Dispositivos corporativos e pessoais acessando e-mail, arquivos e sistemas internos de qualquer lugar: essa é a realidade do trabalho híbrido em empresas que lidam com dados sensíveis. Manter esse ambiente sob controle sem travar a operação é o desafio que leva muitos gestores de TI a buscar a integração entre Microsoft 365 e Intune na gestão de dispositivos. O texto a seguir mostra como essa combinação funciona, o que ela permite governar e quais critérios ajudam a decidir quando vale adotá-la.
O que é o Microsoft Intune e o que ele resolve na gestão de dispositivos
O Microsoft Intune é um serviço de gerenciamento de terminais baseado em nuvem que centraliza o controle de notebooks, desktops, celulares e tablets que acessam dados corporativos. Ele funciona como a camada que conecta cada dispositivo a políticas de segurança, configuração e conformidade definidas pela área de TI, sem depender de infraestrutura local de servidores. Na prática, o Intune responde a uma pergunta que ficou mais complexa com o trabalho híbrido: como garantir que um notebook usado em casa ou um celular pessoal com e-mail corporativo siga as mesmas regras de um equipamento dentro do escritório.
Diferente de ferramentas tradicionais que exigiam domínio local e rede interna, o Intune opera pela internet e se apoia na identidade do usuário registrada na nuvem. Isso significa que a gestão acompanha o dispositivo onde ele estiver, desde que haja conexão. Para empresas que lidam com dados sensíveis — como transações financeiras, informações de clientes e ambientes de pagamento —, essa capacidade reduz a dependência de controles físicos e amplia a visibilidade sobre o que acontece fora do perímetro corporativo.
MDM, MAM ou ambos: os modelos de gerenciamento
O Intune entrega dois modelos complementares de controle. O primeiro é o MDM (Mobile Device Management), que gerencia o dispositivo inteiro: sistema operacional, criptografia de disco, senha de tela, atualizações e a possibilidade de apagar o aparelho remotamente em caso de perda ou roubo. O segundo é o MAM (Mobile Application Management), que não controla o hardware, mas sim as aplicações corporativas instaladas nele — por exemplo, impedir que dados do Outlook sejam copiados para aplicativos pessoais ou que arquivos do OneDrive sejam salvos fora do ambiente controlado.
- MDM: controle total do dispositivo, incluindo bloqueio remoto e criptografia.
- MAM: proteção de dados dentro de apps corporativos, sem tocar no aparelho pessoal.
- Modelo híbrido: MDM para equipamentos da empresa, MAM para BYOD.
Em cenários de BYOD (bring your own device), o MAM costuma ser a escolha menos invasiva: o colaborador mantém fotos, mensagens e aplicativos pessoais intactos, enquanto a empresa protege apenas o contêiner corporativo. Já em equipamentos fornecidos pela organização, o MDM completo permite aplicar criptografia, restringir instalação de software e garantir conformidade antes de liberar acesso a sistemas internos.
Como o Intune se conecta ao Microsoft Entra e ao Microsoft 365
O Intune não trabalha isolado. Ele usa o Microsoft Entra ID (antigo Azure Active Directory) como fonte de identidade, o que permite amarrar cada política de dispositivo a um usuário ou grupo específico. Quando um colaborador entra com a conta corporativa em um notebook, o Entra ID autentica a identidade e o Intune avalia se aquele equipamento atende às políticas de conformidade antes de liberar acesso a e-mail, SharePoint, Teams e outros recursos do Microsoft 365.
Essa integração é o que viabiliza o Acesso Condicional: uma regra que combina identidade, dispositivo e contexto para decidir, em tempo real, se um login pode prosseguir. Um dispositivo sem criptografia ou com sistema operacional desatualizado pode ser bloqueado automaticamente, ou ter o acesso limitado apenas a recursos de baixo risco. Para setores regulados, essa cadeia identidade-dispositivo-recurso é a base para demonstrar que o acesso a dados sensíveis passou por verificação técnica, não apenas por senha.
Por que dispositivos sem gestão viram risco para a empresa
Um endpoint sem gestão centralizada é um ponto cego. Ele pode ter sistema operacional desatualizado, senha fraca, software não licenciado ou um malware já instalado sem que a equipe de TI tenha qualquer sinal. Em ambientes com dados de clientes ou transações via Pix, esse ponto cego deixa de ser um problema operacional e se torna um vetor de incidente de segurança com potencial de notificação à autoridade de proteção de dados.
Além do risco técnico, há o custo de resposta: sem inventário confiável de dispositivos, a empresa não sabe quantos equipamentos acessam seus sistemas, quem são os usuários nem qual versão de sistema cada um executa. Essa ausência de visibilidade atrasa investigações, dificulta a contenção de incidentes e compromete a capacidade de provar conformidade em auditorias.
Trabalho híbrido, dispositivos pessoais e a superfície de ataque
O trabalho híbrido expandiu a superfície de ataque para fora do escritório. Redes domésticas sem segmentação, roteadores desatualizados e o compartilhamento de equipamentos entre familiares são variáveis que a empresa não controla. Quando um notebook corporativo opera nesse contexto sem políticas de criptografia e atualização forçada, ele se torna um alvo mais fácil para interceptação de credenciais e movimentação lateral.
- Redes domésticas sem controle de acesso ao roteador.
- Equipamentos compartilhados com usuários sem vínculo corporativo.
- Instalação de aplicativos fora da loja oficial ou de fontes não verificadas.
- Ausência de atualização automática do sistema operacional.
O uso de dispositivos pessoais para trabalho adiciona outra camada: a empresa não tem propriedade sobre o aparelho, mas precisa proteger os dados que circulam nele. Sem uma política de MAM ou de isolamento de aplicativos, arquivos corporativos podem ser salvos em backups pessoais, enviados por aplicativos de mensagem ou permanecer em aparelhos que depois são vendidos ou repassados.
O que muda quando a gestão deixa de ser manual
A gestão manual — planilhas de inventário, checklists de configuração e instalação presencial de software — não escala e falha justamente nos momentos de pressão. Um colaborador admitido em regime remoto pode levar dias para receber um notebook configurado; um equipamento perdido pode ficar horas sem bloqueio até que alguém abra um chamado. O Intune substitui esse fluxo por automação: o dispositivo recebe políticas no primeiro login, e ações de bloqueio ou apagamento podem ser disparadas remotamente em minutos.
Essa mudança também transforma a postura de segurança de reativa para preventiva. Em vez de correr atrás de um incidente já instalado, a TI passa a impedir que dispositivos fora de conformidade acessem dados desde o início. Para áreas de compliance, isso gera trilhas automáticas de quem acessou o quê, de qual aparelho e sob quais condições — um avanço relevante em relação a controles baseados apenas em senha e boa-fé do usuário.
O que dá para gerenciar com o Intune no dia a dia
O Intune cobre o ciclo de vida completo do dispositivo: ingresso, configuração, operação, atualização, resposta a incidentes e descomissionamento. Essa cobertura é o que permite que uma equipe de TI enxuta administre centenas ou milhares de endpoints sem deslocamento físico. As seções a seguir detalham os três blocos de gestão que mais impactam o dia a dia operacional.
Políticas de conformidade e configuração de dispositivos
Políticas de conformidade definem as condições mínimas para um dispositivo ser considerado confiável: versão mínima do sistema operacional, criptografia de disco ativada, senha com complexidade mínima, ausência de root ou jailbreak. Quando um aparelho não atende a esses critérios, ele pode ser marcado como não conforme e, combinado ao Acesso Condicional, ter o acesso a recursos corporativos suspenso até a correção.
Já as políticas de configuração aplicam ajustes técnicos automaticamente: perfis de Wi-Fi corporativo, certificados, configurações de VPN, restrições de Bluetooth, controle de câmera e definições do Microsoft Defender. Em equipamentos Windows, é possível ainda aplicar baselines de segurança recomendadas pela Microsoft, reduzindo a necessidade de configurar manualmente cada parâmetro.
Distribuição de aplicativos e atualizações
O Intune atua como um repositório de aplicativos corporativos. A TI pode publicar apps da loja oficial, aplicativos de linha de negócio e até pacotes MSI para Windows, definindo quais grupos de usuários podem instalá-los. A distribuição pode ser obrigatória — o app aparece instalado sem ação do usuário — ou opcional, disponível em um portal de autoatendimento.
- Publicação de apps obrigatórios por departamento ou função.
- Controle de versão e remoção de aplicativos descontinuados.
- Atualização automática de apps móveis e de desktop.
- Bloqueio de instalação de aplicativos fora da lista permitida.
No caso de atualizações de sistema, o Intune permite criar anéis de atualização para Windows e políticas de adiamento, de modo que patches críticos cheguem rapidamente aos grupos de teste antes da liberação geral. Isso reduz a janela de exposição a vulnerabilidades conhecidas sem sacrificar a estabilidade do parque.
Ações remotas, bloqueio e apagamento seletivo
Quando um dispositivo é perdido ou um colaborador é desligado, a resposta precisa ser imediata. O Intune oferece ações remotas como bloqueio de tela, reinicialização, localização do aparelho, reset de senha e apagamento total. Em dispositivos pessoais, a opção mais relevante é o apagamento seletivo: remove apenas os dados corporativos e os aplicativos gerenciados, preservando fotos, contatos e arquivos pessoais do usuário.
Essa distinção entre apagamento total e seletivo é crítica para BYOD. Um colaborador que sai da empresa não precisa ter o celular pessoal formatado; basta que o contêiner corporativo seja removido. Para equipamentos da empresa, o apagamento total garante que dados residuais não permaneçam em um aparelho que será doado, vendido ou reaproveitado por outro funcionário.
Intune já está no seu plano Microsoft 365 — como confirmar e ativar
Muitas empresas descobrem tardiamente que já pagam por licenciamento que inclui o Intune, mas não o utilizam. Isso acontece porque o Intune não aparece como um produto separado no momento da compra: ele está embutido em planos como Microsoft 365 E3, E5, Business Premium e em licenças EMS (Enterprise Mobility + Security). Confirmar essa inclusão é o primeiro passo para ativar a gestão sem custo adicional de licenciamento.
A verificação pode ser feita no centro de administração do Microsoft 365, na seção de licenças atribuídas aos usuários, ou no portal do Microsoft Intune, que indica se o tenant já possui autoridade de MDM configurada. Em organizações com múltiplos produtos Microsoft, é comum que a licença exista para parte dos usuários, e não para todos — o que exige um levantamento de cobertura antes de qualquer implantação.
Quais planos incluem o Intune e o que muda entre eles
O Intune está incluído no Microsoft 365 Business Premium, no Microsoft 365 E3, no Microsoft 365 E5 e no Microsoft 365 F3, além de estar disponível como serviço avulso ou por meio do EMS E3 e E5. A diferença prática entre os planos não está no Intune em si, mas nos recursos que o acompanham: o E5, por exemplo, adiciona funcionalidades avançadas de segurança como o Microsoft Defender for Endpoint com resposta automatizada, enquanto o E3 cobre o gerenciamento básico de dispositivos e aplicativos.
- Business Premium: MDM e MAM para empresas de pequeno e médio porte.
- E3: gerenciamento de dispositivos, apps e Acesso Condicional básico.
- E5: adiciona detecção e resposta avançadas, análise de risco e automação.
- F3: voltado a trabalhadores da linha de frente, com funcionalidades limitadas.
Antes de comprar licenças adicionais, vale auditar o que o plano atual já entrega. Empresas que migraram para o Microsoft 365 recentemente podem ter direito ao Intune sem saber, e o custo de ativação se resume a horas de configuração, não a novas assinaturas.
Definir a autoridade de MDM e os primeiros passos de configuração
A autoridade de MDM é a definição que informa ao tenant qual serviço será responsável por gerenciar dispositivos. Em tenants criados nos últimos anos, a autoridade já vem definida automaticamente como Microsoft Intune, sem necessidade de configuração manual. Em ambientes mais antigos ou que usaram soluções de terceiros, pode ser necessário ajustar essa definição antes de inscrever o primeiro dispositivo.
Os primeiros passos práticos incluem: configurar o nome de domínio personalizado, definir grupos de usuários que receberão políticas, criar um perfil de conformidade inicial e testar a inscrição com um pequeno grupo piloto. É recomendável também habilitar o registro automático para equipamentos Windows que ingressam no Entra ID, de modo que qualquer notebook corporativo seja automaticamente gerenciado ao primeiro login com conta da empresa.
BYOD sem perder controle: o que definir antes de permitir dispositivos pessoais
Permitir dispositivos pessoais sem regras claras é uma das formas mais rápidas de perder governança sobre dados corporativos. O BYOD não precisa ser proibido, mas deve ser regulado: quais aplicativos podem acessar dados da empresa, o que acontece quando o aparelho não cumpre requisitos mínimos e como a TI responde a um incidente sem invadir a privacidade do colaborador. O Intune oferece os controles técnicos; a empresa precisa definir as regras de uso.
Um ponto frequentemente negligenciado é o termo de aceite. Antes de inscrever um aparelho pessoal, o colaborador deve saber exatamente o que a empresa pode ver, o que pode bloquear e o que será removido em caso de desligamento. Essa transparência reduz resistência e evita conflitos trabalhistas e questionamentos sob a ótica da proteção de dados pessoais.
Limites de visibilidade sobre dados pessoais do colaborador
No modelo MAM, a empresa não tem acesso a fotos, mensagens, histórico de navegação pessoal ou localização contínua do aparelho. A visibilidade se restringe aos aplicativos gerenciados e aos dados corporativos que circulam dentro deles. O Intune registra, por exemplo, se um app corporativo foi acessado de um dispositivo com jailbreak, mas não coleta o conteúdo de conversas pessoais do usuário.
- Sem acesso a galeria de fotos, SMS ou aplicativos pessoais no MAM.
- Visibilidade limitada a apps gerenciados e dados corporativos.
- Localização apenas em ações pontuais de dispositivo perdido, quando habilitada.
- Inventário de hardware e versão de sistema, sem conteúdo pessoal.
No MDM completo, a visibilidade sobre o aparelho é maior — inclui inventário de aplicativos instalados e configurações de sistema —, mas ainda assim não abrange o conteúdo de e-mails pessoais ou arquivos fora do perímetro corporativo. Essa distinção precisa estar documentada na política de privacidade interna e comunicada antes da inscrição.
Políticas de acesso condicional e identidade
O Acesso Condicional é o mecanismo que transforma a inscrição no Intune em benefício real de segurança. Uma regra típica para BYOD exige que o dispositivo esteja inscrito e em conformidade para acessar e-mail corporativo e SharePoint. Se o aparelho não atender, o acesso é negado ou limitado a uma experiência somente leitura, sem download de arquivos.
Outra prática recomendada é exigir autenticação multifator (MFA) para logins a partir de dispositivos pessoais, combinada com políticas de risco de identidade que detectam logins atípicos. Para empresas do setor financeiro, essa combinação reduz a chance de que credenciais roubadas sejam usadas em um aparelho não gerenciado para acessar sistemas de pagamento ou dados de clientes.
Intune, compliance, auditoria e LGPD
O Intune não é uma ferramenta de compliance por si só, mas gera evidências que sustentam programas de governança e respostas a auditorias. Registros de conformidade de dispositivos, ações remotas executadas, aplicativos distribuídos e políticas aplicadas ficam disponíveis em logs que podem ser exportados para análise ou retidos conforme a política de retenção da organização. Para empresas que precisam demonstrar controles de acesso a dados pessoais, essa rastreabilidade é um ativo relevante.
A conexão com a LGPD aparece em dois níveis: o primeiro é a proteção de dados pessoais de clientes e colaboradores que trafegam em dispositivos; o segundo é o tratamento adequado das informações do próprio colaborador coletadas durante a gestão do aparelho. Ambos exigem documentação clara sobre finalidade, base legal e minimização de coleta — temas que devem ser tratados em conjunto com a área jurídica e com o encarregado de dados.
Rastreabilidade de acessos e evidências para auditoria
Cada evento relevante no Intune — inscrição de dispositivo, mudança de conformidade, ação remota, atribuição de política — gera um registro com data, usuário e resultado. Esses logs podem ser integrados a soluções de monitoramento e retidos por períodos definidos pela política interna, permitindo reconstruir a linha do tempo de um incidente ou comprovar que um controle estava ativo em determinada data.
Em auditorias de segurança ou de conformidade com normas do setor financeiro, a capacidade de demonstrar que dispositivos fora de conformidade foram automaticamente bloqueados tem mais peso do que declarações genéricas de boas práticas. O auditor consegue verificar, por exemplo, quantos dispositivos estavam não conformes em um período e quais medidas foram tomadas — um nível de evidência difícil de obter com controles manuais.
Como tratar dados pessoais em dispositivos gerenciados
O inventário de dispositivos gerenciados coleta dados como nome do usuário, modelo do aparelho, versão do sistema e, em alguns casos, número de telefone. Esses dados são pessoais e precisam de tratamento compatível com a LGPD: finalidade definida, minimização, prazo de retenção e transparência com o titular. A política interna deve prever por quanto tempo os registros de um ex-colaborador permanecem no console e quando são excluídos.
Para dados corporativos em si, o Intune contribui com criptografia de disco, proteção de aplicativos e apagamento remoto — controles que reduzem o risco de exposição de dados pessoais de clientes em caso de perda de equipamento. Vale integrar essa discussão ao primeiro passo para conformidade com a LGPD, que envolve mapear onde os dados estão e quais controles já existem.
O que define o custo de adotar o Intune na empresa
O custo de adoção do Intune não se resume ao valor da licença — e, em muitos casos, a licença já está paga dentro do plano Microsoft 365 existente. Os fatores que realmente pesam no investimento são horas de configuração, integração com a identidade, treinamento da equipe de TI, adequação de processos internos e eventual suporte especializado para cenários complexos, como ambientes híbridos ou setores regulados.
Há também o custo de não gerenciar: incidentes de segurança, perda de dados, retrabalho de configuração manual e não conformidade em auditorias. Empresas que comparam apenas o preço da licença ignoram o custo operacional de manter o status quo — um cálculo que muda completamente a equação de retorno sobre o investimento.
Fatores que pesam no investimento ao longo do tempo
- Número de dispositivos e usuários cobertos pelas políticas.
- Complexidade do ambiente: Windows, macOS, iOS, Android ou combinações.
- Necessidade de integração com sistemas legados ou MDM anterior.
- Horas de engenharia para políticas, perfis e automação de inscrição.
- Treinamento da equipe interna e material de comunicação com usuários.
- Suporte contínuo para ajustes, novos cenários e resposta a incidentes.
O investimento tende a se concentrar no início, com a definição de políticas e o piloto, e depois se estabiliza em operação assistida e evolução contínua. Organizações que terceirizam a gestão de dispositivos geralmente buscam reduzir a curva de aprendizado interna e manter as políticas alinhadas às mudanças do ecossistema Microsoft, que evolui com frequência.
Erros que reduzem o valor do Intune e como evitá-los
Implantações de Intune que não entregam o valor esperado costumam compartilhar padrões previsíveis: falta de diagnóstico prévio, integração incompleta com identidade, exceções permanentes e tratamento do projeto como algo pontual. Esses erros não são técnicos em sua origem — são de planejamento e governança —, o que significa que podem ser evitados com método e critério.
Implantar sem diagnóstico e não integrar identidade e dispositivos
Começar a criar políticas sem antes mapear o parque de dispositivos, os sistemas operacionais em uso, os aplicativos críticos e os fluxos de acesso leva a regras genéricas que ou bloqueiam usuários legítimos ou deixam brechas. O diagnóstico inicial deve responder: quantos dispositivos existem, quais são corporativos, quais são pessoais, quais sistemas acessam e quais requisitos de conformidade já existem.
O segundo erro é tratar dispositivos e identidades como silos separados. Sem integração com o Microsoft Entra ID e sem políticas de Acesso Condicional, o Intune vira apenas um inventário sofisticado. A segurança real vem da combinação: identidade verificada, dispositivo conforme e contexto de acesso avaliado a cada login. Ignorar essa integração é o caminho mais curto para uma implantação que não reduz risco efetivo.
Manter exceções permanentes e tratar MDM como projeto pontual
Exceções são necessárias em fases de transição — um executivo com dispositivo legado, um app crítico ainda não compatível —, mas quando se tornam permanentes, criam uma subclasse de dispositivos fora de política que enfraquece todo o programa. Cada exceção deve ter prazo, responsável e plano de resolução; caso contrário, o ambiente volta a ter pontos cegos exatamente onde o risco é maior.
- Exceção sem prazo vira brecha crônica de conformidade.
- Políticas desatualizadas não acompanham novas ameaças nem novos apps.
- Falta de revisão periódica transforma o console em cemitério de regras.
- Ignorar feedback dos usuários gera contorno das políticas e shadow IT.
MDM é um programa contínuo, não um projeto com data de término. Sistemas operacionais mudam, aplicativos são atualizados, funcionários entram e saem, ameaças evoluem. Sem revisões periódicas de políticas, relatórios de conformidade e ajustes de escopo, o valor do Intune se degrada em poucos meses — e a empresa volta a operar com a falsa sensação de controle.
Como implementar o Intune sem travar a operação
Uma implantação mal conduzida pode bloquear o acesso de usuários legítimos, gerar chamados em massa e criar resistência duradoura à ferramenta. O segredo está em uma abordagem faseada, com piloto controlado, comunicação antecipada e critérios claros de expansão. A operação não precisa parar para que a gestão de dispositivos comece a funcionar.
Etapas de uma implantação madura, do piloto à escala
- Diagnóstico: inventário de dispositivos, sistemas, apps e requisitos de segurança.
- Definição de escopo: quais plataformas entram primeiro e quais políticas são prioritárias.
- Configuração técnica: integração com Entra ID, perfis de conformidade e Acesso Condicional.
- Piloto com grupo reduzido e diversificado de usuários e dispositivos.
- Avaliação do piloto: métricas de conformidade, chamados abertos e ajustes de política.
- Expansão em ondas, por departamento ou perfil de risco, com comunicação prévia.
- Operação contínua: revisão periódica, monitoramento de conformidade e evolução de políticas.
O piloto deve incluir perfis variados: usuários de Windows e macOS, quem usa celular pessoal e quem usa equipamento corporativo, áreas técnicas e áreas de negócio. Um piloto homogêneo não revela os problemas reais que aparecerão na escala. O critério para avançar de fase deve ser objetivo — por exemplo, percentual mínimo de dispositivos conformes e ausência de incidentes críticos no grupo piloto.
Comunicação com os colaboradores e gestão da mudança
A resistência ao Intune raramente é técnica; é de percepção. Colaboradores temem vigilância, perda de privacidade ou lentidão no aparelho. A comunicação deve antecipar essas preocupações: explicar o que a empresa pode e o que não pode ver, por que a gestão existe e o que muda na rotina de cada um. Transparência reduz boatos e aumenta a adesão voluntária, especialmente no BYOD.
O material de comunicação deve incluir instruções práticas de inscrição, canal de suporte para dúvidas e um resumo simples da política de privacidade aplicada aos dispositivos. Em empresas com sindicatos ou comissões de privacidade, envolver essas instâncias antes da implantação evita questionamentos posteriores. A gestão da mudança, nesse contexto, é tão importante quanto a configuração técnica — e é o que separa implantações aceitas de implantações contornadas.
Perguntas frequentes sobre Microsoft 365 e Intune na gestão de dispositivos
As dúvidas mais comuns sobre o Intune misturam questões técnicas, jurídicas e de privacidade. Respondê-las com clareza ajuda decisores a dimensionar o escopo da ferramenta e a evitar expectativas equivocadas sobre o que ela faz e o que não faz.
O Intune serve apenas para celulares?
Não. O Intune gerencia Windows, macOS, iOS, iPadOS e Android. Em ambientes corporativos, a maior parte do valor costuma estar em notebooks e desktops Windows, que concentram o acesso a sistemas internos e dados sensíveis. Celulares e tablets são uma extensão importante, especialmente em BYOD, mas limitar o Intune a dispositivos móveis é subutilizar a ferramenta.
Qual a diferença entre o Intune e um antivírus?
O Intune não é um antivírus. Ele gerencia políticas, configurações, aplicativos e conformidade de dispositivos. A proteção contra malware em tempo real é papel do Microsoft Defender, que pode ser integrado ao Intune para aplicar políticas de proteção e receber alertas de risco. As duas ferramentas se complementam: o Intune garante que o dispositivo esteja íntegro e gerenciado; o Defender detecta e responde a ameaças. Para entender melhor a camada de proteção contra ameaças, vale consultar proteção contra ransomware.
O Intune é indicado para pequenas empresas?
Sim, especialmente para empresas que usam Microsoft 365 Business Premium, onde o Intune já está incluído. O ganho de automação é proporcionalmente maior em equipes de TI enxutas, que não têm pessoal para configurar manualmente cada equipamento. A recomendação é começar com políticas simples — criptografia, senha e atualização — e evoluir conforme a maturidade da operação.
A empresa consegue ver arquivos e fotos pessoais do colaborador?
No modelo MAM, não. A empresa vê apenas dados e aplicativos corporativos gerenciados. No MDM completo aplicado a equipamentos da empresa, a visibilidade é maior sobre configurações e inventário de aplicativos, mas não inclui o conteúdo de e-mails pessoais, fotos ou mensagens. Essa separação deve estar documentada e comunicada antes da inscrição do dispositivo, para alinhar expectativas e cumprir obrigações de transparência.
