Роли и права: мастер видит свои заказы, а не зарплаты

Пока в компании три человека, права не нужны — все всё видят и это нормально. Проблема появляется на пятом: приходит мастер на испытательный срок, и вместе с доступом к заказам он получает выручку, закупочные цены и телефоны всей базы клиентов.

Обычный ответ коробочных CRM — «настройка прав в платном тарифе». То есть безопасность продаётся отдельно от продукта.

Что меняется

Роли собираются под вас

Владелец, администратор и сотрудник — стартовый набор, но не потолок. Заводите свои: «мастер», «приёмщик», «бухгалтер», «монтажник» — и раздавайте каждой доступ по разделам. У раздела три уровня: «Скрыт» — раздела для человека не существует; «Чтение» — видит, но не правит, карточка открывается без кнопки сохранения; «Полный» — работает как обычно. Рядом с уровнем стоит переключатель области: «Все записи» или «Только свои».

Отдельный режим — «только свои»: сотрудник видит записи, где он ответственный, и не видит чужие — вместе с их вложениями: фотография и договор чужого заказа не откроются даже по прямой ссылке на файл. Для выездных бригад и мастеров это ровно то, что нужно: свои заказы на телефоне, без общей базы.

Готовые роли: мастер и тренер

Роль «своё расписание, свои клиенты, без кассы» нужна всем, у кого работают наёмные люди, — барбершопу и салону, автосервису и клинике, клубу и студии, — и собирать её галочка за галочкой одинаково скучно всем. Поэтому в подразделе «Роли доступа» стоят готовые роли: «Мастер» — для того, кто принимает по записи (барбер, мастер маникюра, автослесарь, врач на приёме), и «Тренер» — для того, кто ведёт занятия. Одна кнопка — и форма открывается уже заполненной.

Заполненной, а не сохранённой: вы видите всю таблицу разделов до того, как нажмёте «Создать роль». Записи, занятия и заказы — только те, где человек стоит ответственным; клиенты — только его; услуги, каталог, календари и площадки — на чтение, чтобы он мог поставить запись, но не переписал прайс; «Платежи», «Выплаты» и «Сотрудники» ему не существуют — вместе со ставками коллег. Всё, что готовая роль не назвала, она закрывает — включая ваши собственные разделы, о которых поставка знать не может: «Аренда зала», «Расходы», «Договоры». Это сознательно: роль, перечислившая только то, что открывает, тихо отдавала бы полный доступ к каждому новому разделу.

Одного роль не отбирает — собственной ведомости. Мастер, который платит салону за кресло, видит свой расчёт и только свой: за что начислено, сколько удержано за аренду. Счёт, который человек не может открыть и проверить, доверия не заслуживает; чужих ставок и общей кассы в нём по-прежнему нет.

Дальше это ваша роль: переименуйте, откройте человеку что-то ещё, уберите лишнее — и сохраните. Готовая роль появляется только там, где ей есть на что опереться: «Мастер» — где включена онлайн-запись, «Тренер» — где есть групповые занятия. Пространству без них она закрыла бы всё и не открыла ничего.

Скрытый раздел скрыт по-настоящему

Это важнее, чем кажется. Во многих системах «скрыть раздел» означает убрать пункт меню: прямая ссылка всё равно открывает данные, а выгрузка через API отдаёт их целиком.

У нас граница проходит под интерфейсом: закрытый раздел не появится в меню, не откроется по прямой ссылке, не отдастся в поиске, не попадёт в выгрузку, не отдаст прикреплённый файл по его собственной ссылке и не придёт через публичный API. Дверей много, а правило одно — поэтому «забыть проверить» в одной из них невозможно.

И ещё одна деталь: закрытая запись отвечает «не найдено», а не «доступ запрещён». Разница в том, что второй ответ подтверждает существование записи — сотруднику не нужно знать, что у клиента есть заказ, который ему не показали.

Разделы со ставками закрыты сразу, без настройки. Обычный раздел открыт всем, у кого есть право работать с записями, — и это правильно: включение нового раздела не должно отбирать доступ у команды. Но там, где лежат зарплаты, дефолт обратный: разделы «Сотрудники и ставки» и «Выплаты» с первой минуты после включения видны только владельцу и администраторам. Никто не успевает увидеть ставку коллеги, пока владелец настраивает роли. Открыть эти разделы конкретной роли можно — но это отдельное решение владельца, а не то, что случается само.

Что видит владелец

Кто и когда менял права, кто выгружал данные, кто заходил в настройки — в журнале действий. Это не слежка за сотрудниками, а ответ на вопрос «как это произошло», который однажды обязательно возникнет.

Сколько стоит

Бесплатно. Тариф ограничивает число своих ролей (3 на бесплатном, 15 на «Расти») и число мест в команде — то есть объём, а не саму возможность разграничить доступ. Продавать безопасность отдельно мы считаем неправильным.

Честные ограничения

• «Только свои» опирается на поле «Ответственный». Режим режет записи по человеку, записанному в разделе ответственным (или заведшему запись). Отсюда две честные границы. В разделе, где такого поля нет, сужать нечем — «только свои» там покажет всё; заполняя роль готовым набором, система прямо называет такие разделы и предлагает завести им поле «Ответственный» в конструкторе. И запись, у которой поле пустое, видна всем: ничья запись не прячется ни от кого — иначе она пропала бы из виду у всей команды сразу.
• Доступ выдаётся уровнем раздела, а не отдельными действиями. «Создавать, но не удалять» одной ролью не собрать: «Полный» открывает и то и другое сразу. Обычное удаление при этом кладёт запись в корзину раздела на 30 дней, а стереть её оттуда без следа могут только владелец и администратор пространства.
• Права не работают на уровне отдельных полей. Скрыть от мастера колонку «Закупочная цена» внутри общего раздела нельзя — нужен отдельный раздел. Мы сознательно не строим это: поле-уровень трогает каждый запрос чтения и записи, и ошибка в нём стоит утечки.
• Устройство пространства по умолчанию закрыто сотруднику — конструктор, правила, шаблоны документов, каналы и API открываются конкретному человеку только явным разрешением владельца (матрица прав или своя роль); управление командой не открывается вовсе. Личные настройки, включая профиль и привязку Telegram для уведомлений, доступны всем.
• Деактивация односторонняя: вернуть человека можно приглашением только НА ДРУГОЙ адрес — на прежний email приглашение не выпустится. Она закрывает вход в кабинет, но не гасит привязанный сотрудником Telegram — для ушедших это отдельный пункт «Отвязать Telegram» в меню его строки (владелец гасит канал, а вернуть привязку может только сам человек у себя в профиле).
• Передать владение пространством другому человеку пока нельзя.

Что дальше

Общая картина безопасности — команда, доступ и безопасность; что делать с ошибочным удалением — корзина.

Как права раскладываются на маршрут документа — кто вправе утвердить счёт, а кто только видит его, — показано на странице согласование документов.