Роли и права: мастер видит свои заказы, а не зарплаты

Пока в компании три человека, права не нужны — все всё видят и это нормально. Проблема появляется на пятом: приходит мастер на испытательный срок, и вместе с доступом к заказам он получает выручку, закупочные цены и телефоны всей базы клиентов.

Обычный ответ коробочных CRM — «настройка прав в платном тарифе». То есть безопасность продаётся отдельно от продукта.

Что меняется

Роли собираются под вас

Владелец, администратор и сотрудник — стартовый набор, но не потолок. Заводите свои: «мастер», «приёмщик», «бухгалтер», «монтажник» — и раздавайте каждой доступ к нужным разделам: читать, изменять, создавать, удалять.

Отдельный режим — «только свои»: сотрудник видит записи, где он ответственный, и не видит чужие — вместе с их вложениями: фотография и договор чужого заказа не откроются даже по прямой ссылке на файл. Для выездных бригад и мастеров это ровно то, что нужно: свои заказы на телефоне, без общей базы.

Скрытый раздел скрыт по-настоящему

Это важнее, чем кажется. Во многих системах «скрыть раздел» означает убрать пункт меню: прямая ссылка всё равно открывает данные, а выгрузка через API отдаёт их целиком.

У нас граница проходит под интерфейсом: закрытый раздел не появится в меню, не откроется по прямой ссылке, не отдастся в поиске, не попадёт в выгрузку, не отдаст прикреплённый файл по его собственной ссылке и не придёт через публичный API. Дверей много, а правило одно — поэтому «забыть проверить» в одной из них невозможно.

И ещё одна деталь: закрытая запись отвечает «не найдено», а не «доступ запрещён». Разница в том, что второй ответ подтверждает существование записи — сотруднику не нужно знать, что у клиента есть заказ, который ему не показали.

Разделы со ставками закрыты сразу, без настройки. Обычный раздел открыт всем, у кого есть право работать с записями, — и это правильно: включение нового раздела не должно отбирать доступ у команды. Но там, где лежат зарплаты, дефолт обратный: разделы «Сотрудники и ставки» и «Выплаты» с первой минуты после включения видны только владельцу и администраторам. Никто не успевает увидеть ставку коллеги, пока владелец настраивает роли. Открыть эти разделы конкретной роли можно — но это отдельное решение владельца, а не то, что случается само.

Что видит владелец

Кто и когда менял права, кто выгружал данные, кто заходил в настройки — в журнале действий. Это не слежка за сотрудниками, а ответ на вопрос «как это произошло», который однажды обязательно возникнет.

Сколько стоит

Бесплатно. Тариф ограничивает число своих ролей (3 на бесплатном, 15 на «Расти») и число мест в команде — то есть объём, а не саму возможность разграничить доступ. Продавать безопасность отдельно мы считаем неправильным.

Честные ограничения

• Права не работают на уровне отдельных полей. Скрыть от мастера колонку «Закупочная цена» внутри общего раздела нельзя — нужен отдельный раздел. Мы сознательно не строим это: поле-уровень трогает каждый запрос чтения и записи, и ошибка в нём стоит утечки.
• Устройство пространства по умолчанию закрыто сотруднику — конструктор, правила, шаблоны документов, каналы и API открываются конкретному человеку только явным разрешением владельца (матрица прав или своя роль); управление командой не открывается вовсе. Личные настройки, включая профиль и привязку Telegram для уведомлений, доступны всем.
• Деактивация односторонняя: вернуть человека можно приглашением только НА ДРУГОЙ адрес — на прежний email приглашение не выпустится.
• Передать владение пространством другому человеку пока нельзя.

Что дальше

Общая картина безопасности — команда, доступ и безопасность; что делать с ошибочным удалением — корзина.