Quando realizamos a configuração de coleta de email em formulários de fase que serão preenchidos, seria necessário uma etapa ou check que garanta que apenas os emails para os quais o formulário de fase foi enviado possam acessar e preencher.

Embora esta já seja a frase indicada na configuração: "As pessoas listadas abaixo podem acessar e preencher o formulário” qualquer pessoa que receba o link compartilhado de outra forma pode preencher o formulário de fase depois de receber o código de acesso no seu email. Não há uma validação se o email preenchido é um dos emails que está na lista de possíveis responsáveis e entendo que essa pode ser uma falha de segurança e melhoria significativa.