Permissões no CRM: matriz de acesso para 8 funções

Permissões no CRM são as regras que definem quem vê, edita, exporta e exclui cada registro da base, e o desenho seguro parte do menor privilégio: cada pessoa recebe o acesso que a função dela exige, pelo tempo em que exige. O risco maior está nas pessoas e nos acessos que elas acumulam. O relatório de 2026 da Verizon, que analisou mais de 22 mil violações de dados confirmadas em 145 países, encontrou o elemento humano, como erro, engenharia social ou uso indevido de credenciais, em 62% delas (Verizon, 2026). No CRM, esse número aparece como o vendedor com perfil de administrador que exporta a base na véspera de pedir demissão, o login do ex-funcionário que continua ativo e a integração que roda com a senha de alguém que já saiu. A matriz de perfis por função é a medida mais barata que a diretoria pode aprovar contra os três casos.

Nos diagnósticos que conduzo, a lista de administradores costuma ser maior do que a diretoria imagina, porque na implantação alguém liberou acesso total para o time não travar e ninguém voltou para ajustar. Escrevi para a diretoria, operações de receita, TI e o encarregado de dados, o DPO (a pessoa que responde pela proteção de dados pessoais), como orientação de gestão e sem pretensão de parecer jurídico.

Por que permissão no CRM é decisão de diretoria?

O CRM guarda a carteira de clientes, o pipeline com valores e descontos e os dados pessoais de compradores e decisores. Um usuário com acesso total leva numa exportação de minutos o ativo comercial que a empresa levou anos para construir, e por isso a decisão sobre quem vê o quê pertence a quem responde pelo risco, mesmo que a configuração fique com o administrador.

Na Lei 13.709/2018, o art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, “aptas a proteger os dados pessoais de acessos não autorizados”, e o art. 49 pede sistemas estruturados para atender aos requisitos de segurança e aos padrões de boas práticas e de governança. O art. 6º, inciso X, exige que a empresa demonstre essas medidas, e a prova sai da matriz aprovada, do registro de auditoria e da ata da revisão de acessos.

Entre os incidentes comunicados à ANPD de 2021 a 2025, 98 foram de acesso não autorizado a sistemas de informação e 52 de envio de dados a destinatário incorreto, e no ciclo de julho de 2023 a junho de 2025 o roubo de credenciais e a engenharia social passaram ao primeiro lugar (ANPD, 2025). Os demais números estão em LGPD em números.

O que é o princípio do menor privilégio no CRM?

Menor privilégio é a regra de dar a cada usuário o mínimo de acesso que a função exige. No CRM, ela se traduz em quatro decisões por perfil: que registros a pessoa enxerga, o que altera, o que tira do sistema e o que apaga. O perfil de acesso é o pacote dessas decisões, montado para uma função, como SDR ou analista de CS, e atribuído a todas as pessoas que a exercem.

Liberar tudo e restringir depois quase nunca termina, porque quem perde uma permissão reclama no dia seguinte e quem tem permissão sobrando fica calado. Eu começo pelo perfil fechado e abro por pedido aprovado pelo gestor. O parceiro que migra dados por dois meses recebe acesso com data de expiração.

Quem vê o quê: carteira própria, equipe ou base inteira?

A maioria dos CRMs organiza a visibilidade em três escopos ligados ao dono do registro, o usuário que aparece como responsável por cada empresa, contato ou negócio. Se o dono está errado, a permissão erra junto, e por isso o desenho depende da regra de gestão de carteira.

Escopo	O que a pessoa enxerga	Para quem serve	Risco quando sobra
Carteira própria	Registros em que ela é dona ou participante	Vendedor, parceiro externo, SDR com fila nomeada	Baixo; o problema surge quando falta, com dois vendedores abrindo negócio na mesma conta
Equipe	Registros do próprio time ou unidade	Gestor de vendas, coordenador de CS, SDR com fila compartilhada	Médio; um time enxerga valores e descontos de outro
Base inteira	Todos os registros do objeto	Administrador, operações de receita, marketing, diretoria	Alto; uma exportação leva a carteira completa

A visibilidade pode variar por objeto. O vendedor costuma ver todas as empresas, para conferir se a conta existe antes de criar outra, e só os negócios da própria carteira. A combinação reduz duplicidade e protege valores e condições comerciais.

Quem edita, exporta e exclui no CRM?

A edição define quem muda o registro e quais campos, e a troca de dono gera mais disputa que qualquer outra. O vendedor que consegue passar uma conta para o próprio nome resolve sozinho um conflito de carteira, e a regra reserva essa ação ao gestor.

A exportação tira o dado do sistema onde a empresa controla quem acessa, e inclui o botão de baixar planilha, o relatório agendado que chega por e-mail toda segunda e a sincronização de contatos com o celular pessoal. Eu reservo a exportação em massa a poucos perfis, com registro de cada uma, e ofereço ao restante do time os relatórios dentro do CRM.

A exclusão destrói o histórico: o vendedor que apaga o negócio perdido elimina o que a análise de perdas usaria no trimestre seguinte. A exclusão fica com o administrador, mediante pedido documentado, inclusive quando o titular pede a eliminação pela LGPD. Importar e atualizar em massa também ganham permissão própria, porque uma carga errada desfaz meses de cuidado, como mostrei em qualidade de dados no CRM.

Matriz de perfis de acesso por função

A matriz abaixo é o ponto de partida que levo à diretoria. Cada empresa ajusta aos objetos do próprio CRM, e a lógica das linhas costuma se manter.

Perfil	Vê	Edita	Exporta	Exclui	Campos sensíveis
SDR	Todas as empresas e contatos; negócios da própria fila	Contatos, atividades e qualificação dos próprios leads	Não	Não	Sem valores de contrato nem dados financeiros
Vendedor	Todas as empresas; negócios da própria carteira	Os próprios negócios e contatos, sem trocar o dono	Não	Não; marca como perdido	Valor e desconto dos próprios negócios
Gestor de vendas	Registros da equipe	Registros da equipe, inclusive troca de dono	Relatórios da equipe, com registro	Não	Valores e descontos da equipe
Customer Success	Clientes ativos da carteira e chamados	Contatos, saúde da conta e renovação	Não	Não	Contrato e consumo, sem margem
Marketing	Contatos e empresas da base; sem negócios detalhados	Origem, segmentação e consentimento	Listas de campanha, com aprovação e registro	Não	Sem valores de negócio nem dados financeiros
Financeiro	Clientes, contratos e faturamento	Campos de cobrança e status financeiro	Relatórios financeiros, com registro	Não	Dados bancários e de cobrança
Administrador	Base inteira e configurações	Estrutura, perfis, campos e integrações	Sim, com registro	Sim, mediante pedido documentado	Acesso total, com auditoria das próprias ações
Parceiro externo	Registros do projeto ou da carteira atribuída	Os registros atribuídos	Não	Não	Sem acesso; login nominal com data de expiração

Duas regras acompanham a tabela. O administrador é perfil de função, ocupado por poucas pessoas, e o diretor comercial trabalha no dia a dia com perfil de gestor, porque acompanhar a operação não exige mexer na configuração. E cada pessoa tem login nominal, sem conta compartilhada entre estagiários ou parceiros, porque sem login individual a auditoria não diz quem fez o quê.

Campos sensíveis e LGPD: o que restringir dentro do registro

Alguns campos pedem proteção além da visibilidade do registro, o que os CRMs chamam de permissão por campo: CPF, dados bancários, condições de pagamento, margem, desconto aprovado e anotações sobre a vida pessoal do contato. Em saúde, educação e serviços financeiros, o CRM às vezes guarda dado pessoal sensível, que o art. 5º, inciso II, da LGPD define e que inclui informação de saúde e biometria, e esse dado pede regra própria escrita com o encarregado.

A proteção mais segura para um campo sensível é não guardá-lo. O vendedor que anota na observação que o decisor está afastado por doença cria um dado sensível sem finalidade comercial, e a política de registro precisa dizer o que não entra no CRM. O art. 47 acrescenta que quem intervém em qualquer fase do tratamento garante a segurança dos dados “mesmo após o seu término”, e por isso o contrato com parceiros e prestadores trata de acesso, exportação e devolução dos dados ao fim do projeto.

Exportação de dados: o vendedor que sai levando a base

O vazamento mais comum em CRM dispensa hacker: o vendedor aceita a proposta de um concorrente, passa a última semana exportando contatos e negócios e chega ao novo emprego com a lista pronta. Nos times que acompanho, a pergunta sobre exportação quase sempre chega depois da saída de alguém, quando já não há o que bloquear. A prevenção tem camadas: o perfil restringe quem exporta, o registro de auditoria mostra quem exportou o quê e quando, e um alerta avisa o administrador sobre volumes fora do padrão, em especial nas semanas anteriores a um desligamento. O contrato de trabalho e o código de conduta dizem que a base pertence à empresa e que exportar sem autorização é falta, e o RH apresenta a regra na admissão.

A sincronização com os contatos do celular pessoal e o relatório agendado para um e-mail externo copiam a carteira toda semana, sem botão de exportar. O custo comercial dessas saídas está em rotatividade de vendedores.

Desligamento de usuários: o que fazer no dia da saída

O acesso ao CRM termina no mesmo dia do desligamento, e o RH avisa o administrador antes da conversa com o colaborador. Em saídas litigiosas, o acesso é suspenso antes da reunião. A ação certa é desativar o usuário, e não excluí-lo: o usuário desativado perde o login e mantém o histórico, as atividades e a autoria dos registros, que a empresa usa para atender o cliente e responder a uma auditoria. A transferência das contas segue a regra de carteira, com o gestor como dono interino até a redistribuição.

Revisão periódica de acessos: a rotina trimestral

A pessoa troca de área e leva o perfil antigo, o acesso temporário fica e o parceiro termina o projeto com login ativo. Na revisão de acessos, também chamada de recertificação, cada gestor confirma, pessoa a pessoa, que o acesso do time continua necessário, sobre a lista que o administrador cruza com a folha do RH e os contratos de terceiros. Num exemplo hipotético, a revisão encontra 52 usuários ativos para 45 pessoas com acesso previsto: 4 desligados com login, 2 integrações rodando com credenciais de ex-funcionários e 1 parceiro com contrato encerrado. Os sete casos saem no mesmo dia, e a ata, enviada ao encarregado, registra quem decidiu. A lista de administradores passa por revisão própria com a diretoria, com justificativa escrita para cada nome.

Registro de auditoria: o que o CRM precisa guardar

O registro de auditoria é o histórico das ações dos usuários: logins, exportações, exclusões, mudanças de permissão e alterações em campos críticos, com data, hora e autor. Ele responde às perguntas que chegam depois de um incidente e serve de prova para a demonstração que a LGPD pede.

O administrador confere com a TI quais ações o plano contratado registra e por quanto tempo o fornecedor guarda o histórico, porque uma investigação que começa meses depois pode encontrar o registro vazio. A leitura mensal fica nas exceções: exportações acima do volume combinado, exclusões em massa, mudanças de perfil e logins em horário incomum.

Integrações e chaves de API: os usuários que ninguém vê

Uma chave de API é a credencial que um sistema usa para falar com outro sem login humano, e quem a possui lê e altera o que o escopo dela permite, em geral sem passar pela visibilidade dos perfis. Formulário do site, automação de marketing, ERP, ferramenta de assinatura e agentes de IA entram nessa lista, quase sempre com acesso mais amplo que o de qualquer pessoa.

A Verizon mostra por que isso pesa. As violações com envolvimento de terceiros chegaram a 48% do total, 60% a mais que no ano anterior, e nas exposições de terceiros em nuvem metade dos achados de senha fraca e permissão mal configurada levou quase oito meses para ser resolvida (Verizon, 2026). Na operação comercial, o terceiro é o fornecedor que conectou a ferramenta dele ao seu CRM com acesso total e nunca foi revisado.

Cada integração roda com um usuário de serviço, criado só para ela, e a chave cobre só os objetos e ações que a integração usa, com dono e data de troca. Agentes de IA leem só os campos que a tarefa pede, como detalhei em agentes de IA.

Papéis e responsabilidades: quem decide, quem configura e quem aprova

A matriz funciona quando cada decisão tem dono. Os papéis abaixo se encaixam na estrutura de patrocinador, donos de domínio e curador descrita em governança de dados.

Papel	Responsabilidade	Aprova	Executa
Diretoria	Patrocina a matriz e arbitra exceções	A matriz de perfis e a lista de administradores	Nada no sistema
Operações de receita ou administrador do CRM	Desenha e mantém os perfis	Pedidos de rotina dentro da matriz	Configuração, desligamentos e revisão trimestral
Gestores de área	Respondem pelo acesso do próprio time	Pedidos de acesso e recertificação do time	Conferem a lista do time na revisão
TI e segurança	Entrada pela conta corporativa, segundo fator de autenticação e integrações	Novas integrações e escopos de chave	Troca de chaves e guarda do registro de auditoria
Encarregado de dados (DPO)	Liga a matriz ao inventário de dados pessoais	Regras de campos sensíveis e acesso de terceiros	Recebe a ata da revisão e trata incidentes
RH	Avisa entradas, trocas de área e saídas	Nada no sistema	Inclui o aviso ao administrador no desligamento

Erros comuns na gestão de permissões do CRM

Todo mundo é administrador

O acesso total liberado na implantação nunca volta ao lugar, e muita gente passa anos capaz de apagar campos e exportar tudo. O conserto começa pela lista de administradores aprovada pela diretoria.

Perfil copiado de outro usuário

O gestor pede o acesso do novato “igual ao do fulano”, e o fulano acumulou permissões de três funções. O pedido aponta um perfil da matriz, e o que fugir dele entra como exceção com prazo.

Login compartilhado

A conta única do time de estagiários ou do parceiro apaga a autoria de cada ação. Na auditoria, a empresa sabe que alguém exportou a base e não sabe quem.

Usuário desligado com acesso ativo

O ex-funcionário continua entrando pelo aplicativo do celular porque a sessão ficou aberta, e a licença segue paga meses depois. O aviso do RH no dia da saída fecha a porta.

Integração com a senha de uma pessoa

A automação do analista usa o login dele, e na saída a empresa escolhe entre manter viva a credencial de um ex-funcionário ou parar o processo. O usuário de serviço desde o primeiro dia evita a escolha.

Capacitação do time: quem precisa aprender o quê

O administrador aprende a configurar perfis, ler o registro de auditoria e conduzir a revisão trimestral. Os gestores aprendem a pedir acesso pela matriz, recertificar o time e usar os relatórios do CRM no lugar da exportação. O time comercial aprende o que pode sair do sistema e o que não se registra em texto livre, e o RH aprende a avisar o administrador no tempo certo.

Roteiro de 30 dias para a liderança

1. Semana 1: levante o retrato atual. Extraia os usuários ativos com perfil e último acesso e cruze com a folha do RH.
2. Semana 1: corte o que já está errado. Desative os desligados, encerre os logins compartilhados e reduza os administradores ao mínimo justificado.
3. Semana 2: escreva e aprove a matriz. Parta da tabela de perfis, ajuste aos objetos do seu CRM e leve à diretoria, com o encarregado e a TI na revisão.
4. Semana 2: marque os campos sensíveis. Defina com o encarregado quem vê e quem edita cada campo com dado pessoal, financeiro ou estratégico.
5. Semana 3: feche exportação e exclusão. Restrinja as duas ações aos perfis da matriz, ative o registro de auditoria e configure o alerta de exportação.
6. Semana 3: inventarie as integrações. Troque as que rodam com login de pessoa por usuários de serviço e nomeie um dono para cada chave.
7. Semana 4: amarre o desligamento ao RH. Inclua o aviso ao administrador e o checklist do CRM na saída de funcionários e no fim de contratos com parceiros.
8. Semana 4: treine e agende a revisão. Apresente a matriz a gestores e time e marque a primeira revisão trimestral, com ata para o encarregado.

A matriz protege a carteira quando os gestores pedem acesso pela regra e o time entende por que nem tudo sai do sistema. Esse é o trabalho do treinamento in company de adoção de CRM, feito sobre o CRM e os perfis que a sua empresa já tem. A empresa sai com o guia de boas práticas de CRM, que inclui a matriz de perfis e as regras de exportação, e com o manual de gestão de carteira e base, com o checklist de desligamento e a rotina de revisão de acessos.

Perguntas frequentes

O que são permissões no CRM?

São as regras que definem, para cada perfil de usuário, quais registros ele enxerga e o que pode editar, exportar e excluir. Elas ficam agrupadas em perfis por função, como SDR, vendedor, gestor e administrador, e cada pessoa recebe o perfil da função que exerce.

Vendedor deve ver toda a base de clientes?

Na maioria das operações B2B, o vendedor vê todas as empresas, para conferir se a conta já existe antes de criar outra, e só os negócios da própria carteira. Valores, descontos e condições de outras carteiras ficam fora do perfil dele.

Como impedir que um vendedor exporte a base antes de sair?

Restrinja a exportação a poucos perfis, ative o registro de auditoria e configure um alerta para volumes fora do padrão. O contrato e o código de conduta dizem que a base pertence à empresa, e o RH avisa o administrador no dia da saída para o acesso terminar junto com o desligamento.

Com que frequência revisar os acessos do CRM?

A cada trimestre, com cada gestor confirmando o acesso do próprio time e a diretoria revisando a lista de administradores. Mudanças de área e saídas entram no dia em que acontecem, sem esperar a revisão.

O que a LGPD exige sobre acesso aos dados do CRM?

O art. 46 pede medidas de segurança, técnicas e administrativas, contra acessos não autorizados, e o art. 49 pede sistemas estruturados para atender aos requisitos de segurança e de governança. A empresa precisa demonstrar essas medidas, e a matriz aprovada, o registro de auditoria e as atas de revisão servem de prova, validadas com o jurídico e o encarregado.

Como preparar o time para trabalhar com permissões mais restritas?

Explique antes de mudar, mostrando a cada papel o que ele continua fazendo e qual relatório substitui a planilha exportada. Treine os gestores primeiro, porque são eles que pedem acesso e recertificam o time, e combine com o RH a apresentação das regras de exportação na admissão.