Porque Cada Terminal POS Precisa de PINs de Funcionário e Não de Um Login Partilhado (2026)

Seis empregados de mesa, um terminal, um login chamado "Pessoal". Quando desaparecem 180 € num sábado à noite, essa configuração dá-lhe exatamente um suspeito: toda a gente.

Aqui fica a resposta curta. Cada pessoa que toca num terminal POS precisa do seu próprio PIN — de preferência com 6 dígitos, nunca partilhado, desligado no dia em que sai. Um login partilhado não é um atalho pequeno. Apaga o nome de todas as anulações, descontos, reembolsos e movimentos de dinheiro na caixa do seu restaurante, o que quer dizer que nenhum dos seus relatórios lhe consegue dizer nada de útil sobre pessoas. Os PINs individuais não custam nada em quase todos os POS modernos, demoram cerca de 20 minutos a configurar e acrescentam mais ou menos dois segundos a cada troca de utilizador.

E a parte que os donos não esperam: quem mais sofre com um login partilhado costuma ser o gerente. O nome dele acaba em cima de tudo aquilo que não fez.

Vamos ver o que um login partilhado lhe custa mesmo, e como resolver isso antes de sexta-feira.

O Que Lhe Custa Mesmo um Login Partilhado no POS

Parece inofensivo. Uma conta, um PIN colado por baixo da caixa, toda a gente anda depressa. Depois os problemas chegam sem fazer barulho.

Perde o "quem". O seu POS continua a registar todas as anulações, ofertas, descontos e reembolsos. Só que carimba tudo com o mesmo nome. Fica com um relatório lindo sobre uma pessoa que não existe.

O seu gerente leva com as culpas. Se um gerente desbloqueia o terminal às 16h e ele fica aberto até ao fecho, todas as ações dessa noite são dele no papel. Quarenta anulações, três reembolsos, um desconto de 90 € — tudo com o mesmo nome. Isto não é só injusto. Torna impossível ilibar a pessoa em quem mais confia.

Não consegue agir sobre nada do que encontrar. Imagine que o total de descontos duplica num mês. Com PINs individuais, são dez minutos a olhar e uma conversa com uma pessoa. Com um login partilhado, é um mistério que ou ignora ou resolve a acusar toda a gente — que é como se perde bom pessoal.

Despedir alguém fica arriscado. Se um dia precisar de mandar embora alguém por causa de dinheiro, "foi a conta partilhada" não é prova. Os processos laborais decidem-se com documentação. Um registo com uma conta anónima lá dentro é pior do que não ter registo nenhum, porque mostra que tinha um sistema e que ele não funcionou.

As regras dos cartões podem não permitir. Já falamos disso mais abaixo, mas a versão curta é esta: a norma de segurança dos cartões espera que cada pessoa tenha o seu próprio identificador único.

Nada disto é teoria. Aparece como a mesma conversa em restaurantes por todo o lado: há qualquer coisa errada nos números e ninguém consegue provar seja o que for, nem num sentido nem no outro.

O Que É um PIN de Funcionário (e o Que Não É)

Um PIN de funcionário é um código numérico curto — normalmente de 4 a 6 dígitos — que identifica um empregado no terminal. Marca o número e tudo o que fizer nos minutos seguintes fica com o seu nome.

Não é uma palavra-passe, nem está a tentar ser. Ninguém aqui está a proteger segredos de Estado. Um PIN responde a uma pergunta: quem está neste ecrã neste momento?

A maior parte dos sistemas POS resolve isto de duas maneiras:

• PIN por ação. O terminal fica num ecrã geral e o pessoal marca o seu PIN quando faz uma ação que precisa de nome — enviar um pedido, receber um pagamento, aplicar um desconto.
• Desbloqueio do equipamento com sessões de funcionário. Um gerente desbloqueia o terminal uma vez no início do serviço. A partir daí, cada pessoa entra e sai da sua própria sessão por cima disso, com um botão de bloquear para passar o terminal à pessoa seguinte.

As duas funcionam. A segunda costuma ser mais rápida numa sala cheia, porque o equipamento só faz o arranque lento uma vez por dia.

O que interessa não é o modelo que escolhe. É que o nome ligado a cada ação seja uma pessoa real, uma só.

As Cinco Coisas Que Só Consegue Com um PIN por Empregado de Mesa

Este é o argumento prático. Cada um destes pontos é impossível com uma conta partilhada.

1. Padrões de anulações e descontos por pessoa. As anulações são normais. Toda a gente tem. O que não é normal é um empregado de mesa anular quatro vezes mais do que os outros na mesma zona da sala. Só consegue ver isso quando as ações têm nome.

2. Responsabilidade nos reembolsos. Os reembolsos são a ação de que mais se abusa em qualquer POS. A jogada clássica é antiga e continua a resultar: fechar uma conta em dinheiro, esperar que o cliente saia, fazer o reembolso e ficar com o dinheiro. Saber a quem pertence a ação é toda a defesa. Se está a apertar isto, o processo completo está aqui: como gerir reembolsos no restaurante.

3. Clareza na gaveta do dinheiro. Quando faltam 40 € na gaveta, um registo de PINs transforma "alguém" nas três pessoas que receberam mesmo pagamentos em dinheiro naquele turno. Normalmente é uma contagem mal feita ou um troco errado, e descobre-o em cinco minutos em vez de andar a remoer durante uma semana.

4. Gorjetas que chegam à pessoa certa. Se as gorjetas são divididas por vendas ou registadas por pedido, o POS precisa de saber de quem era o pedido. Os logins partilhados transformam a divisão de gorjetas numa discussão toda a semana.

5. Dados reais de desempenho. Ticket médio por empregado de mesa. Taxa de adesão aos extras por empregado de mesa. Quem vende mesmo a sobremesa. Esta é a parte divertida dos PINs, e a que ninguém refere — não é só um controlo, é a única forma de saber quem na sua equipa é mesmo bom a vender. Junte isto aos números que já vê: KPIs de restaurante para ver todas as segundas-feiras.

Repare que quatro destas cinco coisas não têm nada a ver com apanhar um ladrão. É esse o discurso honesto para a sua equipa, e é verdade.

As Permissões Não Funcionam Sem PINs

Esta é a parte que mais vezes passa ao lado.

Imagine que fez o mais sensato e definiu bem as funções — os empregados de mesa não podem fazer reembolsos, só os gerentes podem oferecer, os descontos têm limite. Muito bem. Agora ponha toda a gente num login partilhado e veja o que acontece.

Esse login tem um só conjunto de permissões. Se for uma conta de gerente, todos os empregados de mesa passam a ter poderes de gerente. Se for uma conta de empregado de mesa, o seu gerente não consegue fazer o trabalho dele sem sair e voltar a entrar, e por isso em menos de uma semana alguém vai "temporariamente" subir o nível da conta partilhada e nunca mais a baixa.

Permissões e identidade são um só sistema, não dois. Cada interruptor que define só é real se conseguir dizer quem lhe mexeu. Se ainda não definiu os interruptores, esse é o trabalho que anda a par deste: permissões no POS e o que os empregados de mesa devem poder fazer.

As Regras dos Cartões de Que Ninguém Fala

Se o seu POS toca de alguma forma nos dados de pagamento com cartão, a norma de segurança de dados da indústria dos cartões (PCI DSS) aplica-se-lhe. Não é uma lei, mas está no contrato com o seu prestador de pagamentos, e todos os requisitos da versão 4.0 estão em vigor desde 31 de março de 2025.

O requisito 8 é claro nisto: cada utilizador com acesso aos componentes do sistema tem de ter um identificador único, e as contas partilhadas ou genéricas só são permitidas em casos limitados, documentados e muito controlados. Um login chamado "Pessoal" usado por nove pessoas é exatamente aquilo que este requisito existe para evitar.

Duas ressalvas honestas:

• Se o seu terminal de cartões é um equipamento separado e encriptado e o seu POS nunca vê os dados do cartão, o seu âmbito pode ser muito mais pequeno. Muitos restaurantes pequenos estão nesta situação.
• As questões de âmbito são mesmo técnicas e dependem da sua configuração exata.

Por isso, não tome esta página como a sua resposta de conformidade. Pergunte ao seu prestador de pagamentos ou ao banco com que trabalha qual é o questionário de autoavaliação que se aplica ao seu caso e se a sua configuração de acessos passa. As regras mudam, e custa-lhe um e-mail ficar descansado.

Há também o lado do registo de horas. Em Portugal, o Código do Trabalho obriga o empregador a manter um registo dos tempos de trabalho, em local acessível, e a guardá-lo durante cinco anos — é uma das primeiras coisas que a ACT pede quando aparece. Um registo de PINs do POS não é automaticamente um registo de tempos de trabalho válido. Se está a pensar usar as entradas por PIN como parte do seu controlo de horas, confirme primeiro com o seu contabilista ou com a ACT.

Mas Isso Não Atrasa o Serviço?

Esta é a objeção a sério, e merece uma resposta a sério em vez de um sermão.

Sim, acrescenta tempo. Cerca de dois segundos por troca, se o sistema estiver bem configurado. Vinte trocas por turno é menos de um minuto da sua noite inteira.

As pessoas acreditam no contrário porque já usaram um POS onde trocar de utilizador queria dizer sair da sessão por completo, um ecrã a carregar e quinze segundos de espera. Isso não é um problema do PIN. É uma má implementação, e é a maior causa de logins partilhados que existe.

Três soluções, por ordem de impacto:

• Use um botão de bloquear, não a saída da sessão. Bloquear deve voltar ao teclado do PIN num instante. Sair e voltar a entrar não devia fazer parte do serviço normal.
• Ative o bloqueio automático. Entre 60 e 120 segundos sem atividade é o ponto certo. Curto o suficiente para um terminal abandonado se bloquear sozinho, longo o suficiente para não bloquear a meio de um pedido.
• Acrescente terminais antes de acrescentar atrito. Se uma caixa serve 14 mesas, o problema é a fila, não o PIN. Um segundo tablet custa menos do que uma semana das perdas que um login partilhado esconde.

Aqui fica o teste que vale a pena fazer. Cronometre uma troca real de utilizador no seu terminal. Se demorar mais de cinco segundos, corrija o fluxo. Se demorar dois, a objeção acabou.

Regras de PIN Que Resultam Mesmo

A maior parte das políticas de PIN falha porque são escritas como um documento de informática. Fique-se por seis regras que as pessoas conseguem decorar.

1. Seis dígitos, não quatro. Quatro dígitos dão 10.000 combinações. Seis dão um milhão. Com uma dúzia de funcionários e um ecrã que toda a gente vê, essa diferença vale bem os toques a mais.

2. Nada de datas de nascimento, nada de 1234, nada de 0000. Esta é a que surpreende os donos. Os seus colegas sabem a sua data de nascimento. Veem-na na escala. Um PIN com o ano de nascimento, num restaurante, é praticamente público.

3. Nada escrito perto do terminal. Nada de post-its, nada de listas de PINs na gaveta do escritório, nada de PINs no grupo de WhatsApp da equipa. Se está escrito, não é um PIN, é uma placa.

4. Vire o ecrã. Os teclados de PIN virados para a sala acabam lidos sem querer. Rode o terminal ou use um sistema que esconda os dígitos à medida que são marcados.

5. Ninguém marca o PIN de outra pessoa. Nunca. Nem "só desta vez, que está cheio". No momento em que uma pessoa marca o código de outra, todo o registo passa a ser um palpite. Esta regra tem de ser dita em voz alta, senão as pessoas acham que é um pormenor.

6. Qualquer pessoa pode mudar o seu PIN, quando quiser. Se alguém acha que o seu código foi visto, mudá-lo deve demorar dez segundos e não deve ser preciso pedir a um gerente. Facilite isso e as pessoas vão mesmo fazê-lo.

Acrescente mais uma se trabalha com muito dinheiro em numerário: mude os PINs dos gerentes de poucos em poucos meses, e sempre que um gerente sai.

O PIN do Gerente Que Toda a Gente Sabe

Todos os restaurantes têm este problema mais cedo ou mais tarde, e começa por uma boa razão.

Um empregado de mesa precisa que aprovem uma anulação. O gerente está na câmara frigorífica. A sala está cheia. Então o gerente diz o PIN em voz alta, uma vez, para poupar trinta segundos a toda a gente. Num mês é conhecimento geral, e continua a circular muito depois de essa pessoa ter saído.

Isto não se resolve com sermões. Resolve-se tirando o motivo pelo qual acontece.

• Torne a aprovação rápida. Um gerente deve aprovar uma ação marcando o PIN no mesmo ecrã, ali mesmo, em segundos. Se aprovar implicar ir ao escritório, vão arranjar maneira de contornar.
• Registe os dois nomes. O registo deve mostrar quem pediu e quem aprovou. Um nome é um palpite. Dois nomes são um rasto que se segue.
• Passe as decisões pequenas para baixo. Se um gerente é chamado 15 vezes por turno para anulações de nada, as permissões estão demasiado apertadas. Alivie-as, peça um motivo obrigatório em vez disso, e reveja uma vez por semana.
• Mude o PIN do gerente com regularidade. De três em três meses, e logo que um gerente sai. Trate-o exatamente como o código do cofre.

Se os seus gerentes estão tão esticados que não conseguem aprovar nada sem atrasar o serviço, isso é um problema de pessoal disfarçado de tecnologia: contratar gerentes de turno.

Configurar os PINs da Equipa Num Só Turno

Quarenta minutos, uma reunião antes do turno, está feito.

1. Liste toda a gente que toca no terminal. Inclua o cozinheiro que de vez em quando marca um take-away e o companheiro do dono que cobre os domingos. Os utilizadores fantasma são os que acabam a partilhar.
2. Crie uma conta por pessoa, com o nome verdadeiro e a função. Nada de "Empregado 1" e "Empregado 2" — nomes reais, ou já reconstruiu o mesmo problema com passos a mais.
3. Atribua funções e permissões à função, não à pessoa, para que a próxima contratação herde os acessos certos sem ninguém pensar nisso.
4. Deixe cada pessoa escolher o seu PIN de 6 dígitos. Dê-lhes 30 segundos no terminal na reunião antes do turno. Um PIN escolhido pela própria pessoa fica na memória; um PIN atribuído acaba escrito na mão.
5. Ligue o bloqueio automático entre 60 e 120 segundos e garanta que o botão de bloquear está onde o polegar cai naturalmente.
6. Apague a conta partilhada. Não desativar — apagar, se o sistema deixar. Uma conta desativada tem o hábito de voltar num sábado cheio.
7. Diga porquê, num minuto, na reunião antes do turno. Fale de clareza, não de desconfiança. "As suas vendas e as suas gorjetas passam a contar como suas, e nada aparece em cima do seu nome se não foi você" é uma frase de que as pessoas até gostam.
8. Veja os registos ao terceiro dia. Está à procura de uma coisa só: continua tudo a cair no mesmo nome? Se sim, estão a partilhar, e o que tem para resolver é um problema de fluxo de trabalho — não de disciplina.

Essa verificação ao terceiro dia é o essencial de toda a mudança. Salte-a e daqui a seis meses descobre que o sistema de PINs é decorativo desde a primeira semana.

O Dia em Que Alguém Sai

Todos os restaurantes têm uma lista de saída para as chaves e o código da porta. O POS pertence a essa mesma lista, no mesmo dia.

• Desative a conta antes de acabar o último turno, e não "para a semana, quando estiver no escritório".
• Mude o PIN do gerente se a pessoa que sai o tinha, ou se é plausível que o soubesse.
• Passe os pedidos abertos dela para outra pessoa, para que nada fique parado em nome de quem já foi embora.
• Guarde o histórico. Desative o acesso, nunca apague o registo — continua a precisar das vendas do último trimestre atribuídas corretamente, e pode vir a precisar do rasto.
• Verifique o acesso remoto se o seu POS funciona no navegador. O acesso à área de gestão é uma porta diferente do PIN da sala, e é aquela de que as pessoas se esquecem.

As contas de quem já saiu dão mais problemas do que as ativas, exatamente porque ninguém está a olhar para elas.

Mais Do Que Um Terminal, Mais Do Que Uma Casa

Duas regras extra quando cresce para além de uma caixa.

Uma pessoa, um PIN, em todos os terminais. Um empregado de mesa não deve ter um código no bar e outro na sala. A mesma identidade em todo o lado, senão os seus relatórios vão precisar de ser acertados à mão.

Limite cada pessoa ao seu estabelecimento. Um empregado de mesa de uma casa não deve conseguir abrir pedidos noutra. A maior parte dos sistemas resolve isto com um estabelecimento atribuído na ficha do funcionário — defina-o, e volte a verificar sempre que alguém cobre um turno do outro lado da cidade, porque o acesso temporário tem o hábito de ficar permanente. Faz parte da mesma família de dores de cabeça descrita aqui: problemas de POS em vários estabelecimentos.

E mantenha o mesmo número de dígitos em todas as casas. Regras diferentes fazem com que ninguém se lembre de qual é o espaço que quer seis dígitos, e é nessa confusão que a partilha começa.

O Que Ver Ao Fim de Duas Semanas

Assim que os PINs estão a funcionar, o proveito está nos relatórios. Dez minutos, por funcionário:

1. Anulações e linhas removidas — número e valor
2. Descontos — número, valor e percentagem média
3. Reembolsos e ofertas — todos, com o motivo
4. Pedidos pagos em dinheiro e alterados depois — deve estar perto de zero
5. Sessões deixadas abertas durante muito tempo — sinal de partilha, não de roubo

Depois compare as pessoas umas com as outras, não com zero. Toda a gente anula. O sinal é uma pessoa a anular quatro vezes mais do que os colegas nos mesmos turnos, na mesma zona, com os mesmos clientes.

Antes de acusar seja quem for, veja as explicações aborrecidas. Muitas anulações costumam querer dizer uma grelha de produtos confusa, três artigos da ementa que ficam iguais no ecrã ou formação fraca. Vai ter razão na maior parte das vezes, e vai ficar com um bom empregado de mesa que de outra forma teria perdido. Se ler estes relatórios ainda lhe parece estranho, comece por aqui: como ler o relatório de vendas do restaurante.

Erros Que Matam um Sistema de PINs

• Manter a conta partilhada "só para emergências". Num mês passa a ser a conta principal.
• Atribuir PINs em vez de deixar escolher. Os códigos atribuídos acabam escritos em talões e antebraços.
• Tornar a troca de utilizador lenta. A maior causa de partilha que existe. Corrija o fluxo, não as pessoas.
• Não ter bloqueio automático. Um terminal desbloqueado a noite toda deita por terra todos os PINs da casa.
• PINs em sequência, tipo 1001, 1002, 1003. Quem vir um código adivinha os outros.
• Reutilizar o PIN de quem saiu para uma pessoa nova. Baralha o histórico e confunde os relatórios.
• Bloquear tanta coisa que os gerentes são chamados a toda a hora. A seguir vem o contorno, garantido.
• Configurar tudo e nunca ver os registos. Permissões e PINs sem revisão são teatro.
• Apresentar isto como um combate ao roubo. Faça-o e passa um mês a reconstruir uma confiança que não precisava de ter perdido.

FAQ

Porque é que cada funcionário deve ter o seu próprio PIN no POS? Porque é o PIN que põe um nome em cada ação. Anulações, descontos, reembolsos, pagamentos e dinheiro passam todos a ser rastreáveis até uma pessoa, em vez de uma conta anónima. Isso dá-lhe relatórios reais por pessoa, protege quem não fez nada de errado e evita que o nome do seu gerente apareça em coisas que ele nunca fez.

Um login partilhado no POS é mesmo um problema se confio na minha equipa? Sim, e a confiança é a forma errada de olhar para isto. Um login partilhado quer dizer que não consegue provar que alguém fez alguma coisa — nem que não fez. Também estraga os dados de vendas por empregado de mesa, complica a divisão de gorjetas e é provável que choque com as regras da indústria dos cartões, que exigem um identificador único para cada utilizador.

Quantos dígitos deve ter um PIN de funcionário? Seis é o ponto certo na prática. Quatro dígitos dão só 10.000 combinações e são adivinhados com facilidade por colegas que sabem as datas de nascimento uns dos outros. Seis dígitos dão um milhão e custam meio segundo a mais a marcar.

Os PINs da equipa atrasam o serviço? Quase nada — cerca de dois segundos por troca de utilizador quando o sistema está bem configurado. Se a troca demora mais, a causa costuma ser uma saída completa da sessão em vez de um botão de bloquear rápido, ou terminais a menos para o número de mesas.

Qual é a diferença entre desbloquear o equipamento e um PIN de funcionário? O desbloqueio do equipamento abre o terminal para o dia, normalmente feito por um gerente. O PIN de funcionário identifica quem o está a usar naquele momento. Nesse modelo, cada pessoa entra e sai da sua sessão por cima do equipamento já desbloqueado e carrega em bloquear para passar o terminal.

De quanto em quanto tempo se devem mudar os PINs? Os PINs do pessoal não precisam de ser mudados por rotina se ninguém os partilhar. Os PINs dos gerentes devem mudar de poucos em poucos meses e logo que um gerente sai. Quem achar que o seu PIN foi visto deve poder mudá-lo em segundos sem pedir autorização.

O que devo fazer com a conta do POS quando alguém sai? Desative-a antes de acabar o último turno, mude qualquer PIN de gerente que a pessoa soubesse, passe os pedidos abertos dela para outra pessoa e verifique à parte o acesso à área de gestão ou pelo navegador. Guarde a ficha do funcionário para que as vendas antigas fiquem bem atribuídas — desative o acesso, não apague o histórico.

Os PINs da equipa podem servir para registar entradas e saídas? Muitos sistemas permitem, e é prático. Mas um registo do POS não é automaticamente um registo de tempos de trabalho válido. Em Portugal, o Código do Trabalho obriga a manter um registo dos tempos de trabalho e a guardá-lo durante cinco anos. Confirme com o seu contabilista ou com a ACT antes de depender disso.

Um café de três pessoas precisa mesmo de PINs separados? Precisa, e demora 15 minutos. É nas equipas pequenas que uma única falha faz mais estragos, porque não há folga para a absorver. PINs separados, reembolsos e ofertas reservados ao dono e uma olhada rápida aos números uma vez por semana é a configuração toda.

E se o meu POS só permitir um login? Então é a ferramenta errada para um restaurante com funcionários. Contas individuais com PIN são o normal, incluindo em sistemas gratuitos. Não ter essa funcionalidade quer dizer nenhum relatório por pessoa, nenhum controlo de permissões e um problema provável com as suas obrigações de conformidade nos cartões.

Consigo ver quem recebeu um determinado pagamento? Com PINs individuais, sim — o registo do pagamento fica com o funcionário que o recebeu, que é exatamente o que precisa para um estorno, uma diferença na caixa ou uma reclamação de um cliente. Com um login partilhado, esse campo não quer dizer nada.

Como é que impeço mesmo a equipa de partilhar PINs? Torne o caminho certo mais rápido do que o atalho. Bloqueio imediato, troca rápida, terminais suficientes e permissões suficientemente largas para ninguém precisar do código de um gerente emprestado. Depois veja ao terceiro dia se o registo mostra mais do que um nome, e trate a partilha como uma falha de fluxo de trabalho antes de a tratar como um problema de disciplina.

---

Um login partilhado no POS dá a sensação de poupar tempo. O que faz mesmo é apagar a resposta a todas as perguntas que vai querer fazer mais tarde — sobre dinheiro, sobre gorjetas, sobre qual dos seus empregados de mesa é, sem alarido, o seu melhor vendedor.

Faça uma coisa esta semana. Abra a lista de funcionários do seu POS e conte as contas. Se houver menos contas do que pessoas, encontrou o seu trabalho de sábado à tarde, e é curto. Vinte minutos, uma conversa antes do turno, e a partir desse dia todos os números que o seu restaurante produz vêm com um nome agarrado.