Monitorar usina de terceiro sem virar o dono da conta
Compartilhar a senha do portal é o modelo errado — e o mais usado. Os caminhos certos para acompanhar a usina do cliente, do melhor ao pior, e o que a LGPD tem a ver com isso.
Quem faz manutenção ou acompanha sistemas instalados precisa ver a geração de dezenas de usinas que não são suas: a conta no portal do fabricante é do cliente. E o arranjo mais comum do mercado é também o pior — o cliente passa login e senha, e a empresa vira, na prática, a dona da conta.
Funciona até o dia em que dá errado. Quando dá, dá errado em camadas.
Por que senha compartilhada é o modelo errado
- Ninguém sabe quem fez o quê. Mudança de configuração, usina apagada, e-mail trocado — tudo aparece como feito pelo cliente. No dia em que der problema, não há como provar que não foi você.
- Acesso demais para a necessidade. Quem só precisa ver a geração passa a poder mexer nos parâmetros do inversor. Risco puro, sem nenhum ganho.
- Cancelar é traumático. Contrato encerrado? A única saída é o cliente trocar a senha — e descobrir na marra o que mais dependia dela.
- É proibido pelos próprios portais. A maioria dos fabricantes veda compartilhar senha nos termos de uso. A sua operação inteira fica pendurada numa cláusula que eles podem executar quando quiserem.
A hierarquia dos modelos legítimos
Os fabricantes divergem no nome, mas os mecanismos caem em quatro famílias — da melhor para a pior:
1. Autorização pelo aplicativo (o “Entrar com…”). O cliente clica em autorizar e o seu sistema passa a ler os dados — só ler — sem nunca conhecer a senha dele. É o mesmo mecanismo do “Entrar com Google” que você já usa em outros serviços (o padrão técnico é a RFC 6749). Para o cliente cancelar, é um clique. É o único desenho em que a permissão, o limite e o cancelamento fazem parte do próprio sistema — e não de uma promessa.
2. Conta de instalador com vínculo. Você tem a sua própria conta no portal e o cliente aprova o vínculo com a usina dele. Fica registrado quem fez o quê, e o vínculo pode ser desfeito; o quanto você enxerga depende de cada fabricante.
3. Acesso de visitante (somente leitura). O cliente cria um usuário visitante para você. Resolve o excesso de acesso — mas na prática quem cria esse acesso costuma ser a própria empresa, de dentro da conta do cliente, o que traz o problema de volta pela porta dos fundos.
4. Chave de acesso do portal (token). Melhor que senha, pior que as opções acima: essas chaves costumam dar acesso demais e quase nunca têm um botão claro de cancelar.
A regra prática: aceite o melhor mecanismo que o fabricante daquela usina oferecer, e nunca menos que “só leitura, com cancelamento possível”. Se você atende várias marcas, vai conviver com os quatro modelos ao mesmo tempo — e vale manter anotado, por usina, qual está em uso e quem autorizou.
O ângulo que quase ninguém olha: LGPD
A curva de geração de uma casa conta quando tem gente lá, quanto consomem, que padrão de vida têm. Por isso a LGPD trata esse número como dado pessoal — e não como “dado técnico” do equipamento.
Na prática, o contrato de O&M precisa dizer, em uma cláusula curta: o que você acessa, para quê, por qual caminho, e como o cliente cancela. Com senha compartilhada, essa cláusula é impossível de escrever com honestidade — o acesso é total, o rastro é nenhum e cancelar é trocar a senha. A cláusula que não se consegue escrever é o diagnóstico do arranjo.
O teste de mesa
- O cliente consegue cancelar o seu acesso sem trocar a própria senha?
- Você consegue provar que nunca alterou uma configuração?
- O seu acesso continua funcionando se o cliente trocar a senha (ou seja: não depende dela)?
Três “sim” = acesso do jeito certo. Qualquer “não” = a conta tem dois donos, e um deles não assinou por isso.