Kto ma dostęp do jakich danych — zasady dostępu w Veloryn

„Dlaczego widzę tę sprawę, a koleżanka z sąsiedniego biurka nie?", „Dlaczego nie mam dostępu do umowy, którą sam skanowałem?", „Kto zobaczy tę fakturę, jeśli ją tu wrzucę?" — to najczęstsze pytania, jakie pojawiają się po wdrożeniu. Ten artykuł odpowiada na nie od podstaw: pokazuje, z czego bierze się dostęp do dokumentów, spraw, poczty i kartotek, co dzieje się automatycznie, co trzeba nadać ręcznie i jak samodzielnie sprawdzić, skąd wziął się dostęp konkretnej osoby.

Pięć zasad, na których stoi cały system

Zanim przejdziemy do szczegółów — reguły, które obowiązują wszędzie i tłumaczą większość zaskoczeń:

1. Domyślnie nie masz dostępu do niczego. Dostęp trzeba nadać — ręcznie albo przez jedną z automatycznych reguł opisanych niżej. Nie ma „ogólnego dostępu dla wszystkich", który trzeba by po kolei odbierać.
2. Listy pokazują tylko to, do czego masz dostęp. Nie zobaczysz nawet wzmianki o tym, że istnieje dokument, do którego nie masz prawa. Dlatego dwie osoby patrzące na tę samą listę spraw widzą różną liczbę pozycji — to nie błąd.
3. Uprawnienia się sumują. Jeśli dostęp przysługuje Ci z kilku powodów naraz (jesteś autorem, jesteś w grupie, która ma prawo, i dodatkowo ktoś Cię dopisał), masz sumę tych praw — najszersze z nich.
4. Zakaz jest silniejszy niż zgoda. W warstwie uprawnień do funkcji jawny zakaz przebija każdą zgodę, także tę z grupy o wysokim priorytecie.
5. Każda zmiana uprawnień zostaje w historii. Wiadomo, kto komu, kiedy i jakie prawo nadał lub odebrał.

Warstwa pierwsza: co wolno Ci robić w systemie

Ta warstwa nie mówi nic o konkretnych dokumentach. Odpowiada na pytania typu „czy mogę tworzyć sprawy", „czy mogę zatwierdzać faktury zakupu", „czy mogę zmieniać ustawienia". Uprawnienia są ułożone w drzewo — od modułu, przez obszar, po pojedynczą czynność.

Uprawnienia trafiają do Ciebie dwiema drogami:

• przez grupę, do której należysz (np. Handlowcy, Księgowość) — to podstawowy i zalecany sposób;
• bezpośrednio na Twoim koncie — jako wyjątek od reguły grupowej, na przykład gdy jedna osoba w dziale ma robić coś więcej niż reszta.

Przy rozstrzyganiu system idzie po kolei:

Dwie rzeczy w tej warstwie zaskakują najczęściej:

• Uprawnienia dziedziczą się w dół drzewa. Nadanie prawa do całej gałęzi (np. do modułu) daje wszystkie czynności w środku, także te, o których nadający nie pomyślał. Dlatego uprawnienia warto nadawać możliwie punktowo.
• Uprawnienia podwyższonego ryzyka nie dziedziczą się. Czynności oznaczone jako wrażliwe (np. trwałe usuwanie, dostęp do wszystkich danych modułu, operacje administracyjne) trzeba nadać dokładnie — nadanie całej gałęzi ich nie obejmie. To zabezpieczenie przed przypadkowym rozdaniem zbyt szerokich praw.

Grupa „Pracownicy" i inne grupy nadawane automatycznie

Część grup nie wymaga ręcznego dopisywania. Osoba z aktywnym stanowiskiem w strukturze organizacyjnej trafia automatycznie do systemowej grupy pracowników, która daje podstawowy zestaw uprawnień — to, co powinien mieć każdy zatrudniony (własny kalendarz, wnioski urlopowe, wewnętrzna komunikacja). Odebranie komuś stanowiska w strukturze odbiera również te uprawnienia.

Rodzaj konta a dostęp do modułów

Licencja może przewidywać konta lekkie — dla osób korzystających z wąskiego wycinka systemu (np. tylko zgłoszenia i wnioski urlopowe). Ograniczenie takiego konta działa jak sufit: przebija wszystkie nadania. Jeżeli moduł jest poza zakresem konta lekkiego, nie pomoże ani przypisanie do grupy, ani jawne dodanie do dokumentu — dostępu nie będzie. To pierwsza rzecz do sprawdzenia, gdy ktoś „ma wszystkie uprawnienia, a i tak nic nie widzi".

Warstwa druga: dostęp do konkretnego dokumentu, sprawy, wiadomości

Tu rozstrzyga się to, o co pyta większość użytkowników. Przy każdym rekordzie system zbiera wszystkie powody, dla których możesz mieć do niego dostęp, i sumuje wynikające z nich prawa. Prawa są rozłączne — można mieć podgląd bez edycji, edycję bez prawa usuwania, a prawo udostępniania innym jest osobnym uprawnieniem.

A oto komplet powodów, dla których dostęp może Ci przysługiwać. Każdy z nich jest opisany dalej:

Dostęp z roli, jaką pełnisz przy rekordzie

Najprostszy i najczęstszy powód dostępu. W chwili utworzenia dokumentu, sprawy czy oferty system zapisuje uprawnienia dla dwóch osób:

• twórcy — pełny zestaw praw, łącznie z udostępnianiem innym;
• osoby odpowiedzialnej (jeśli została wskazana i jest kimś innym niż twórca) — odczyt, edycja i praca z dokumentami, bez prawa odbierania uprawnień innym.

Te wpisy są widoczne w oknie uprawnień z etykietą źródła i nie znikają samoczynnie. Zmiana osoby odpowiedzialnej dodaje uprawnienie nowej osobie — poprzednia zachowuje dostęp do historii, dopóki ktoś jej go nie odbierze ręcznie.

Dostęp nadany ręcznie

Na każdym dokumencie, sprawie, ofercie czy umowie dostępne jest okno Uprawnienia. Dodać można cztery rodzaje odbiorców:

• konkretną osobę;
• grupę — wtedy prawo mają wszyscy jej obecni i przyszli członkowie;
• komórkę organizacyjną — cały dział, opcjonalnie z podległymi jednostkami;
• rolę (np. „osoba odpowiedzialna", „opiekun kontrahenta") — system sam ustala, kto nią w danym momencie jest.

Nadanie może być ograniczone czasowo. Po upływie terminu dostęp wygasa sam — nie trzeba o nim pamiętać.

Dostęp z grupy i z komórki organizacyjnej

Grupa i komórka organizacyjna to dwa różne byty i warto je rozróżniać:

• Grupa to zbiór osób powołany do jakiegoś celu — może być zespołem projektowym, może łączyć ludzi z kilku działów. Członkostwo nadaje się ręcznie (albo automatycznie, jak w przypadku grupy pracowników) i może mieć datę ważności.
• Komórka organizacyjna to miejsce w strukturze firmy — dział, zespół, stanowisko. Należysz do niej dlatego, że tam pracujesz, a nie dlatego, że ktoś Cię dopisał.

Uprawnienie nadane komórce można rozszerzyć na jednostki podległe — wtedy dostęp dostaje cała gałąź struktury, łącznie z zespołami tworzonymi w niej później.

Dostęp z miejsca w strukturze organizacyjnej

To najczęstsza odpowiedź na pytanie „dlaczego kierownik widzi coś, czego nikt mu nie nadał". Osoba, która ma podwładnych albo kieruje jednostką, dostaje dostęp automatycznie — i to bez żadnego wpisu w oknie uprawnień. Zakres zależy od rodzaju danych:

Sprawa jest uznawana za sprawę działu, gdy zachodzi choć jedno:

• założyła ją osoba podległa;
• osobą odpowiedzialną jest ktoś podległy;
• sprawa jest przypisana do jednostki, którą kierujesz;
• ktoś podległy został do niej dopisany jako uczestnik.

Dokument jest uznawany za dokument działu, gdy:

• utworzyła go lub jest jego właścicielem osoba podległa, albo
• jest powiązany ze sprawą działu (bezpośrednio lub przez powiązanie dokumentu ze sprawą).

Konsekwencja praktyczna: zmiana w strukturze organizacyjnej zmienia dostęp do danych natychmiast i wstecz. Powierzenie komuś kierowania działem otwiera mu sprawy tego działu sprzed lat. Przeniesienie pracownika do innego zespołu przenosi jego dokumenty pod nowego przełożonego. To argument, żeby strukturę utrzymywać w zgodzie ze stanem faktycznym, a nie „na kiedyś".

Teczki, szablony spraw i role rozwijane automatycznie

Sprawy, szanse sprzedaży i zgłoszenia nie zaczynają życia z pustą listą uprawnień. Kategoria (teczka), do której trafiają, może mieć zapisany zestaw reguł — kto ma dostać dostęp i jaki. Reguły nie wskazują nazwisk, tylko role, a system rozwija je w chwili zakładania sprawy:

Dzięki temu „sprawy reklamacyjne widzi cały dział obsługi, a sprawy kadrowe tylko kadry i przełożony" da się ustawić raz, zamiast pamiętać o tym przy każdej nowej sprawie. Te same reguły tłumaczą sytuację, w której zakładasz sprawę i od razu widzi ją kilka osób, których nie dodawałeś.

Opiekun klienta i kartoteki kontrahentów

Kartoteki kontrahentów rządzą się nieco innymi zasadami niż dokumenty. Domyślnie każdy, kto ma prawo do modułu klientów, widzi wszystkie kartoteki — baza kontrahentów jest w większości firm wspólnym zasobem, a nie prywatną własnością handlowca. Osobne prawo „wgląd we wszystkie kartoteki" pomija wszelkie zawężenia.

Na to nakładają się dwa mechanizmy:

• Opiekun kartoteki widzi ją zawsze. Przypisanie opieki (w dowolnej roli — także obserwatora czy wsparcia) daje dostęp niezależnie od pozostałych ograniczeń. Odebranie opieki ten dostęp zamyka, co jest ważną różnicą wobec dostępu „bo kiedyś to założyłem".
• Zawężenia branżowe. Instalacja może mieć włączone dodatkowe reguły zawężające widoczność kartotek (np. wg regionu, branży czy cechy klienta). Działają one wyłącznie odejmująco — potrafią dostęp odebrać, nigdy nadać. Opieka nad kartoteką jest od nich niezależna.

Opiekun klienta ma też skutki poza samą kartoteką: to on jest podstawą roli „opiekun kontrahenta" w regułach teczek, a więc automatycznie dostaje dostęp do spraw dotyczących swojego klienta.

Dziedziczenie: sprawa, przestrzeń, konwersja

Dostęp potrafi przechodzić z rekordu na rekord. Trzy najważniejsze przypadki:

• Sprawa → dokumenty w sprawie. Dokument dołączony do sprawy jest widoczny dla osób pracujących nad sprawą. W oknie uprawnień taki dostęp jest opisany jako pochodzący ze sprawy.
• Przestrzeń → sprawy w przestrzeni. Dopisanie kogoś do przestrzeni (wspólnego obszaru pracy) nadaje mu dostęp do powiązanych z nią spraw. Usunięcie z przestrzeni ten dostęp cofa — ale tylko ten, który z niej wynikał. Prawa nadane wcześniej ręcznie zostają.
• Lead → szansa → oferta. Przy konwersji nowy rekord przejmuje uprawnienia poprzednika, żeby zespół pracujący nad tematem nie stracił go z oczu w połowie procesu.

Wzmianka w komentarzu i udostępnienie

Wpisanie w komentarzu wzmianki o koledze (znakiem @) to nie tylko powiadomienie — to również nadanie dostępu. Osoba wspomniana dostaje odczyt, edycję, prawo komentowania i powiadomienia o zmianach. Jeżeli dostęp już miała, nic się nie zmienia. Fakt nadania trafia do historii zmian, ze wskazaniem, że powodem była wzmianka.

Zadania w obiegu dokumentów

Gdy dokument (np. faktura zakupu, wniosek, umowa) idzie ścieżką akceptacji, dostęp dostają kolejne osoby na tej ścieżce — na czas, w którym mają coś do zrobienia. Uprawnienie ma źródło „workflow" i pojawia się bez udziału autora dokumentu.

Zakres praw zależy od etapu:

• dokument oczekujący na przyjęcie zadania widzisz w trybie podglądu;
• po przyjęciu zadania możesz go edytować w zakresie przewidzianym dla etapu;
• dokument zamknięty (zaakceptowany, ostateczny, anulowany) jest chroniony przed edycją — odblokować może go tylko osoba z odpowiednim uprawnieniem administracyjnym.

Zastępstwa — co przejmuje osoba, która Cię zastępuje

Zastępstwo zgłasza się w module Zastępstwa: wskazujesz Zastępcę i okres od–do. Zastępstwo może też powstać automatycznie z zaakceptowanego wniosku urlopowego. Zaczyna i kończy się samo, zgodnie z datami — nie trzeba go „wyłączać" po powrocie.

Co zastępca dostaje:

• Twoje zadania w obiegach dokumentów. Nowe zadania kierowane do Ciebie w czasie nieobecności trafiają od razu do zastępcy. Zadania, które czekały już wcześniej, zastępca również widzi i może je przyjąć oraz wykonać — inaczej obieg stałby w miejscu.
• Twoją domyślną skrzynkę pocztową — ale tylko jeśli przy tworzeniu zastępstwa włączysz przełącznik Udostępnij pocztę. Zastępca dostaje wtedy prawo czytania, pracy z wiadomościami i wysyłania z Twojej skrzynki. Uprawnienie jest przypisane do okresu zastępstwa i wygasa razem z nim. Jeżeli zastępca miał już dostęp do tej skrzynki wcześniej, nic się nie zmienia — po zakończeniu zastępstwa zachowa swój wcześniejszy dostęp.
• Automatyczną odpowiedź o nieobecności, jeśli ją włączysz — z opcjonalną informacją, kto Cię zastępuje.

Czego zastępca nie dostaje:

• dostępu do Twoich dokumentów, spraw, ofert i umów;
• dostępu do Twojego kalendarza;
• Twoich uprawnień do funkcji (jeśli Ty możesz zatwierdzać faktury, a on nie — nadal nie może);
• dostępu do skrzynek innych niż Twoja domyślna.

System pilnuje przy tym oczywistych pomyłek: nie da się wskazać samego siebie, nie da się nałożyć na siebie dwóch zastępstw tej samej osoby w tym samym czasie ani zbudować koła (A zastępuje B, B zastępuje A).

Poczta: skrzynki, foldery i wiadomości

W poczcie jednostką dostępu jest konto pocztowe, a nie pojedyncza wiadomość. Widzisz wiadomości z tych skrzynek, do których masz prawo — własnych i współdzielonych (np. biuro@, zamowienia@). Prawa do skrzynki są stopniowane: osobno odczyt, osobno praca z wiadomościami, osobno wysyłanie w imieniu skrzynki, osobno zarządzanie (zmiana ustawień i rozdzielanie dostępu innym).

Poza tym dostęp do konkretnych wiadomości może wynikać z:

• udostępnienia pojedynczego folderu innej osobie lub grupie — z poziomami „odczyt", „zapis" i „delegowanie". Odbiorca musi takie udostępnienie przyjąć; do tego czasu ma status oczekującego i może je odrzucić;
• powiązania wiadomości ze sprawą — korespondencja dopięta do sprawy jest widoczna dla osób pracujących nad tą sprawą, także jeśli nie mają dostępu do skrzynki, z której pochodzi;
• zastępstwa z włączonym udostępnieniem poczty (patrz wyżej).

Kalendarz: właściciel, uczestnicy, przełożeni

Kalendarz działa wokół właściciela, a nie wokół pojedynczych zdarzeń. Dostęp do wpisu rozstrzyga się w kolejności: właściciel kalendarza → uczestnicy spotkania → przełożeni właściciela → osoby, którym właściciel udostępnił swój kalendarz. Udostępnienie może być stopniowane — od „widzę tylko zajętość" po prawo dodawania i edytowania wpisów w cudzym kalendarzu.

Zdarzenia powiązane ze sprawą są dodatkowo widoczne dla osób mających dostęp do tej sprawy — dzięki temu terminy z prowadzonego tematu nie giną, gdy prowadzący jest na urlopie.

Wiki i bazy wiedzy

Wiki ma własny, prostszy model: dostęp ustala się na poziomie przestrzeni, a strony dziedziczą go po przestrzeni, o ile nie mają własnych ustawień. Uprawnienia nadaje się grupom — osobno dla czytających i redagujących. Przestrzeń bez wskazanej grupy czytelników jest widoczna dla całej organizacji, co jest wygodne dla wiedzy ogólnofirmowej i ryzykowne dla notatek poufnych.

Dokumenty poufne — wyłącznik wszystkich automatów

Dokument można oznaczyć jako poufny. To najmocniejsze dostępne ograniczenie, bo wyłącza wszystkie automatyczne ścieżki dostępu naraz. Po oznaczeniu dostęp mają wyłącznie osoby wskazane imiennie (oraz grupy i komórki dodane wprost): twórca, osoba odpowiedzialna i ci, których ktoś świadomie dopisał.

Oznaczenie dokumentu jako poufnego cofa wcześniej przyznane dostępy automatyczne — również te, które już wynikały ze struktury czy reguł. Zdjęcie poufności nie przywraca ich samoczynnie; dokument wraca do zwykłego trybu i reguły zaczynają obowiązywać od nowa.

Administrator, super administrator i uprawnienia „widzę wszystko"

Trzy poziomy, które łatwo pomylić:

• Uprawnienie „wgląd we wszystkie rekordy modułu" (osobne dla dokumentów, umów, faktur i innych modułów) — daje podgląd całej zawartości modułu bez konieczności dopisywania do poszczególnych rekordów. To uprawnienie podwyższonego ryzyka: trzeba je nadać punktowo, nie wystarczy nadanie całej gałęzi.
• Grupa Administratorzy — pełne uprawnienia do funkcji w obrębie organizacji. Nie omija jednak poufności dokumentów.
• Super administrator — konto techniczne obsługi systemu. Widzi wszystko, łącznie z dokumentami poufnymi, natomiast zmiana, usunięcie czy zmiana statusu dokumentu podlega u niego takim samym regułom jak u pozostałych. To celowe: konto serwisowe ma móc zdiagnozować problem, a nie po cichu zmienić treść dokumentu.

Jak sprawdzić, dlaczego ktoś ma (albo nie ma) dostępu

Nie trzeba tego zgadywać. Na dokumencie, sprawie, umowie i ofercie dostępny jest panel Kto ma dostęp oraz okno Uprawnienia. Przy każdej osobie i każdej grupie widać źródło dostępu — dokładnie w tych kategoriach, o których mówi ten artykuł: Twórca dokumentu, Osoba odpowiedzialna, Bezpośrednie uprawnienie, Członkostwo w grupie, Jednostka organizacyjna, Rola dynamiczna, Hierarchia (przełożony), Udostępnienie, Ze sprawy, Teczka, Workflow.

Praktyczna kolejność diagnozy, gdy ktoś zgłasza, że czegoś nie widzi:

1. Czy w ogóle ma prawo do modułu? Jeśli nie ma modułu w menu, problem jest w warstwie uprawnień do funkcji — sprawdź grupy i uprawnienia konta, a przy koncie lekkim również zakres licencji.
2. Czy nie ma jawnego zakazu? Zakaz nadany bezpośrednio na koncie przebija wszystkie zgody z grup.
3. Czy rekord nie jest poufny? Przy dokumencie poufnym nie zadziała żaden automat — trzeba dodać osobę wprost.
4. Otwórz panel „Kto ma dostęp". Jeśli osoby tam nie ma, żadna z reguł jej nie objęła — dodaj ją ręcznie albo popraw źródło (np. przypisz opiekuna klienta, uzupełnij strukturę organizacyjną, dopisz do grupy).
5. Sprawdź historię zmian. Jeśli dostęp był, a zniknął, historia pokaże, kto i kiedy go odebrał — albo że wygasł termin ważności uprawnienia.

Najczęstsze pytania

Utworzyłem dokument, a teraz go nie widzę. Jak to możliwe?
Najczęściej ktoś oznaczył go jako poufny i nie dodał Cię do listy, albo dokument został przeniesiony do sprawy, do której nie masz dostępu i jednocześnie odebrano wcześniejsze uprawnienia. Historia zmian pokaże, co się wydarzyło.

Kolega z mojego działu widzi sprawy, których ja nie widzę. Dlaczego?
Prawdopodobnie jest opiekunem klienta, którego te sprawy dotyczą, albo ma podwładnych (w strukturze pełni funkcję kierowniczą), albo należy do grupy, której nadano dostęp. Panel Kto ma dostęp na konkretnej sprawie rozstrzyga to w kilka sekund.

Dodałem kogoś do grupy, a on nadal nic nie widzi.
Sprawdź, czy członkostwo nie ma daty ważności zaczynającej się w przyszłości, czy grupa jest aktywna i czy na koncie tej osoby nie ma jawnego zakazu. Przy koncie lekkim sprawdź też, czy moduł mieści się w zakresie licencji — to ograniczenie przebija uprawnienia z grup.

Odebrałem komuś dostęp, ale on dalej otwiera dokument.
Dostęp sumuje się ze wszystkich źródeł — usunięcie jednego wpisu nie usuwa pozostałych. Ta sama osoba może mieć dostęp jednocześnie jako członek grupy, jako przełożony autora i jako uczestnik sprawy. Panel Kto ma dostęp pokazuje wszystkie źródła naraz.

Pracownik odchodzi z firmy. Co zrobić z jego dostępami?
Dezaktywacja konta zamyka wszystkie ścieżki naraz. Dodatkowo warto przepisać opiekę nad klientami i wskazać nowe osoby odpowiedzialne w otwartych sprawach — inaczej reguły oparte na rolach będą wskazywać osobę, której już nie ma.

Chcę, żeby zastępca robił wszystko to, co ja. Wystarczy zastępstwo?
Nie. Zastępstwo przekaże zadania w obiegach i — po włączeniu przełącznika — skrzynkę pocztową. Dostęp do spraw i dokumentów oraz uprawnienia do funkcji trzeba nadać osobno; najlepiej czasowo, z datą końcową równą końcowi nieobecności.

Jak zbudować to sensownie od początku?
Sprawdzają się cztery nawyki: uprawnienia do funkcji nadawaj grupom, a nie osobom; strukturę organizacyjną utrzymuj zgodną ze stanem faktycznym, bo z niej wynika dostęp kierowników; powtarzalne reguły dostępu zapisz w teczkach spraw zamiast dodawać ludzi ręcznie przy każdej sprawie; a dostęp wyjątkowy nadawaj z datą końcową.