Pastas e permissões

No MySign, três coisas que costumam se confundir ficam separadas de propósito: a pasta é onde você decidiu guardar o documento; a situação é o ponto do processo em que ele está (rascunho, enviado, parcialmente assinado, concluído, cancelado, recusado, expirado, aguardando conferência); e a Lixeira é o conjunto dos documentos excluídos. Um documento continua na pasta que você escolheu em qualquer situação, e mudar de pasta nunca muda a situação dele.

Na tela, a barra lateral traz os recortes por situação (Todos, Rascunhos, Enviados, Concluídos e os demais) e a Lixeira, cada um com a contagem de documentos. São filtros sobre a mesma listagem, não pastas: não existe "mover para a lixeira" nem "mover para enviados". Logo abaixo vem o item Pastas, que abre o explorador e expande as pastas favoritas.

A estrutura de pastas é uma só para a empresa inteira. Uma empresa com dez filiais não mantém dez árvores iguais: todas enxergam a mesma organização, cada uma com os próprios documentos. Quem só alcança a filial de Campinas abre a pasta "Contratos 2026" e vê os contratos de Campinas, não os de São Paulo.

Toda empresa nasce com a pasta Documentos, a pasta padrão. É para ela que vai todo documento criado sem pasta escolhida, e é por isso que o produto funciona antes de alguém montar a organização. Ela não se move nem se exclui.

O explorador funciona como um gerenciador de arquivos: a árvore à esquerda, o conteúdo da pasta aberta em cartões ou em lista (a preferência fica guardada entre visitas), a trilha do caminho no topo, um clique seleciona e dois abrem. A busca por nome procura na árvore inteira, sem diferenciar acento nem maiúsculas, e mostra o caminho completo de cada resultado, porque quem busca não sabe em que ramo a pasta está. Nenhuma pasta exibe quantos documentos contém: a contagem só aparece nos recortes por situação.

Criar e renomear

Uma pasta tem um nome e, opcionalmente, uma pasta-mãe. Pasta sem mãe é uma raiz. O nome vai de 1 a 100 caracteres e não aceita barra; pastas irmãs não repetem nome, e a estrutura vai até dez níveis. Pelo botão Nova pasta, com nenhuma pasta aberta você cria uma raiz; com uma pasta aberta, cria dentro dela. Renomear abre o nome na própria linha; renomear não altera nada nos documentos da pasta. Nome repetido, nome longo demais ou caractere inválido são recusados com a explicação, e o texto digitado permanece na linha para correção.

Mover

Pasta se move por arraste, no explorador: solte sobre a nova mãe, e o ramo inteiro vai junto. O cursor já recusa os três casos impossíveis (soltar sobre a própria pasta, dentro do próprio ramo ou num destino em que você não pode guardar documentos), e o servidor confere o teto de dez níveis depois do movimento. A pasta padrão e as pastas de passagem não se arrastam.

Documentos também se movem: pelo menu da linha, pelo detalhe do documento, pela barra de lote ou, no celular, pelo arraste lateral. O destino vem do seletor de pasta, que mostra a árvore à esquerda e um navegador pasta a pasta à direita, só confirma pasta em que você pode guardar documentos e permite criar a subpasta que faltava sem sair dele. Em lote, o resultado é consolidado ao fim ("2 de 3 movidos"), e os que passaram não são desfeitos.

Excluir

Pasta só se exclui vazia: sem subpastas e sem documentos vivos. Não existe exclusão em cascata nem realocação automática para a pasta-mãe. A confirmação nomeia a pasta e diz a regra antes; se houver conteúdo, o servidor recusa e a pasta continua na árvore. Em Documentos, o botão Excluir nasce desabilitado, com o motivo.

Pasta de passagem

Como cada ramo pode ter regras próprias, é possível alcançar "Comercial / Confidencial" sem alcançar "Comercial". A árvore ainda assim se desenha: a pasta-mãe aparece esmaecida, marcada só de passagem, mostrando apenas o nome. Ela não se abre, não mostra conteúdo nem contagem, não recebe documento, não se renomeia, não se exclui e não é destino no seletor. É o preço de o caminho fazer sentido: revela o nome de uma pasta que você não pode abrir, e nada mais.

Cada pasta pode conceder acesso a usuários ou a grupos. Toda concessão inclui ver a pasta e os documentos dela; sobre isso, três interruptores por linha: Colocar e tirar documentos (criar dentro da pasta, mover para dentro e para fora), Alterar documentos e Excluir documentos. Quem é acrescentado nasce com os três desligados, só podendo ver.

As regras

• A concessão desce a árvore: quem alcança "Comercial" alcança "Comercial / Contratos 2026" e tudo abaixo.
• Uma subpasta que declara as próprias concessões substitui o que herdaria. É assim que se fecha um ramo confidencial dentro de uma árvore aberta.
• Concessões de usuário e de grupo somam. Se você recebe "ver" e o seu grupo recebe "ver" e "colocar e tirar", você fica com os dois.
• Não há concessão negativa. Para tirar acesso, remove-se a concessão.
• Pasta sem nenhuma concessão declarada, nela nem acima dela, fica acessível a quem já tem permissão de operar documentos. Fechar é ato explícito.
• Mover um documento exige poder colocar e tirar documentos nas duas pontas, na pasta de origem e na de destino. Vale para mover pastas também.

O acidente que a tela evita

A primeira concessão escrita numa pasta que herdava substitui tudo o que ela herdava. Quem só queria acrescentar uma pessoa em "Contratos 2026" cortaria o grupo Comercial inteiro. Por isso o painel de permissões nunca abre em branco: ele vem preenchido com as concessões herdadas, marcadas como tal, e tudo o que está na lista faz parte do que será salvo. Acrescentar alguém preserva os demais. Enquanto a pasta ainda herda, uma faixa permanente avisa que salvar rompe a herança.

Antes de gravar, a prévia é obrigatória: o botão Salvar só habilita depois de Ver impacto, e o bloco O que muda diz quantos passam a alcançar a pasta e quantos deixam de alcançar, este em destaque quando é maior que zero. Nada é gravado na prévia. Ao salvar, a resposta repete quem ganhou e quem perdeu acesso, contando pessoas e grupos. Salvar com a lista vazia devolve a pasta à herança, e a tela informa de qual pasta ela passa a herdar.

Administrar as concessões de uma pasta exige a permissão de administrar pastas e, além dela, poder alterar documentos naquela pasta. Sem isso, o painel mostra a recusa sem listar quem tem acesso.

A empresa pode ter várias unidades (filiais ou estabelecimentos), e cada uma emite documentos com identidade própria: é o certificado digital da unidade que sela a peça final, e é o nome dela que aparece como emissora na conferência. Por isso todo documento pertence a uma unidade, definida na criação.

O MySign sempre opera com uma unidade ativa. Ela aparece no cabeçalho do menu da conta, e o submenu Unidade lista as unidades que você alcança (as ativas, vinculadas à sua conta e dentro do que a licença contrata), marcando a corrente. Sem unidade válida no navegador, o sistema escolhe a primeira da sua lista; a escolha vale por navegador e é lembrada na próxima visita.

O assistente de novo documento cria o documento na unidade ativa. Sem unidade ativa, ele não avança do primeiro passo e diz por quê ("Escolha uma unidade para criar documentos."), em vez de deixar você preencher tudo e falhar no fim.

O que muda ao trocar de unidade

• A Visão Geral recarrega com os números da unidade escolhida.
• As pastas favoritas da barra lateral são por unidade: trocar a unidade troca a lista.
• Os documentos encontrados pela busca do topo são descartados.
• A árvore de pastas não recarrega, porque a organização é da empresa inteira; o que muda é o conteúdo que cada pasta mostra.

O alcance de unidade é definido pela conta do usuário, no cadastro da plataforma, e vale com herança pela hierarquia de unidades. Ele age sobre o conteúdo: dentro de uma pasta que você alcança por inteiro, a listagem traz só os documentos das unidades que você alcança. O mesmo recorte vale para a Lixeira, para os painéis e para a lista de certificados. A tela nunca amplia esse alcance por conta própria; quem decide é o servidor, e, em dúvida, ele nega.

Catálogos (papéis de signatário, tipos e grupos de anexo) e a árvore de pastas são da empresa inteira, sem unidade. O que é por unidade são os documentos, os painéis, os favoritos e o certificado digital.

Assinar um contrato de financiamento não é só clicar em assinar: a empresa precisa que o cliente entregue o RG, o comprovante de renda e uma selfie, e que alguém confira se o que chegou serve. O catálogo de anexos existe para que essa exigência seja definida uma vez e repetida igual em todos os documentos, sem que quem monta o documento redija a lista a cada envio.

Tipos de anexo

O tipo é o que se pede: "RG", "Comprovante de residência", "Selfie com documento". Tem nome único na empresa, uma natureza (documento, imagem ou selfie) e uma orientação ao signatário sobre o que enviar e como. A natureza decide o que o signatário vê: selfie abre a câmera frontal no celular; imagem aceita foto; documento aceita PDF ou imagem, porque fotografar o RG é o caso comum. A tela de tipos, em Configurações, mostra a prévia real do seletor que o signatário terá.

Grupos de anexos

O grupo é a combinação que se pede junto: "Pessoa física, crédito", "Pessoa jurídica". Cada item do grupo diz três coisas: se é obrigatório, se precisa de conferência humana e se acompanha o documento final, anexado à folha de verificação. A ordem dos itens é a ordem em que o signatário verá os pedidos. O mesmo tipo não entra duas vezes no mesmo grupo. A tela é mestre-detalhe: a lista de grupos à esquerda, o painel de itens e a prévia do que o signatário verá lado a lado à direita. O painel se salva inteiro, e a confirmação avisa que a alteração vale para os próximos documentos.

Como o grupo chega ao signatário

Ao montar o documento, você aponta o grupo exigido em cada signatário. No envio, o grupo vira uma lista concreta de pedidos para aquele signatário, como estava naquele momento. Editar o grupo depois não muda o que já foi pedido em documentos enviados: um signatário que já entregou tudo não ganha pendência por causa de uma edição de catálogo. É possível acrescentar um pedido avulso enquanto o documento estiver aberto; ele entra ao final da lista.

Inativar um tipo ou um grupo impede novos usos sem afetar o que já foi pedido. Excluir é recusado quando há uso (o tipo exigido por algum grupo, o grupo apontado por algum signatário), e o diálogo oferece inativar no mesmo clique.

Dois bloqueios decorrem do que o grupo pede. O primeiro: o signatário com anexo obrigatório pendente não assina; anexo recusado conta como pendência. O segundo: o documento não se conclui enquanto houver anexo obrigatório aguardando conferência. Quando o último signatário assina e ainda há conferência pendente, o documento entra na situação Aguardando conferência, com recorte próprio na barra lateral e aviso no painel de signatários dizendo quais anexos faltam, com atalho para a fila. Não é um "quase concluído" silencioso: a situação tem nome e diz o que falta.

Cada pedido passa por quatro estados: pendente, enviado, aceito e recusado. Item que não exige conferência é aceito automaticamente no envio. A fila de conferência, na barra lateral, lista os anexos enviados na ordem de espera, com busca pelo título do documento. O visor mostra a imagem ou o PDF, e as duas decisões confirmam o efeito por extenso: aprovar o último anexo pendente conclui o documento e dispara a peça final; recusar exige motivo, avisa o signatário pelo mesmo canal do convite, mostra o motivo a ele e reabre o acesso dele com um convite novo. Reenviar substitui o arquivo, mas a recusa anterior permanece na história do documento e na folha de verificação.

Anexo de signatário é o dado mais sensível do MySign. Conferir, aprovar, recusar e baixar o arquivo entregue exigem uma permissão própria, separada da de operar documentos: quem monta contratos não precisa ver o RG de terceiros. Sem ela, o painel de signatários mostra que há anexo e em que situação, mas o botão de baixar não existe. O signatário vê apenas os próprios pedidos, nunca os de outro signatário. Anexo que não acompanha o documento final é descartado do armazenamento depois de um prazo de retenção contado da conclusão; o registro de que foi entregue, conferido e por quem permanece, e a tela mostra "entregue e já descartado" em vez de um erro.

O acesso a um documento é a interseção de quatro camadas, e a mais restritiva vence: a permissão do módulo (esta pessoa pode operar documentos?), o alcance de unidade (ela alcança a unidade deste documento?), a permissão da pasta (ela alcança a pasta dele?) e o escopo de autoria (ela vê os documentos de todos ou só os próprios?). Documento fora do alcance simplesmente não aparece; o acesso direto pela URL responde como documento inexistente, nunca como "proibido", para não revelar o que existe.

Permissões do MySign em palavras

• Ver documentos abre a listagem, o detalhe, a trilha, a Lixeira e a árvore de pastas. Filhas dela: criar rascunho; alterar o rascunho (arquivos, signatários, campos) e mover de pasta; excluir rascunho e restaurar da Lixeira; enviar e cobrar; cancelar documento aberto, com motivo.
• Ver os documentos de todos: sem ela, a mesma listagem traz apenas o que o usuário criou ou em que é signatário.
• Administrar pastas: criar, renomear, mover, excluir pastas e conceder acesso. Nó único: a granularidade que importa é ver versus mexer. Conceder acesso ainda exige poder alterar documentos na pasta.
• Tipos de anexo e grupos de anexo, cada um com inserir, alterar e excluir.
• Fila de conferência abre a tela; a permissão de conferir anexos, separada, é a que aprova, recusa e baixa o arquivo. Ela não é filha de ver documentos, de propósito.
• Certificados, papéis de signatário, termos de privacidade, contatos, integrações e relatórios têm nós próprios.

Na interface, o que você não pode fazer não aparece: itens da barra lateral e seções de Configurações sem permissão somem, em vez de aparecerem desabilitados, e digitar a URL leva a "não encontrado". Botões de ação seguem o mesmo critério. Esconder é conveniência; a recusa final é sempre do servidor. Sem nenhuma seção de Configurações alcançável, a tela diz que é falta de permissão e a quem recorrer.

Na Lixeira, vale o mesmo alcance de pasta e de unidade de fora dela: documento excluído numa pasta que você não alcança não aparece. Restaurar devolve o documento à pasta de onde saiu; se essa pasta foi excluída depois, ele volta para Documentos, e a tela informa. Documento assinado nunca é apagado do sistema, nem pela Lixeira nem por rotina de limpeza.