Une organisation est un espace étanche, un utilisateur peut appartenir à plusieurs, et le rôle se décide organisation par organisation.

Les trois notions

Une organisation est un espace de travail complet : ses écritures, ses projets, ses conventions, ses membres, ses fichiers, son journal d'audit. C'est l'unité d'étanchéité du produit.

Un utilisateur est une personne, identifiée par son adresse e-mail. Il existe une seule fois, quel que soit le nombre d'espaces où il travaille.

Un rôle n'est ni sur l'organisation ni sur l'utilisateur : il est sur le lien entre les deux. C'est ce qui permet d'être trésorière ici et simple lectrice ailleurs, avec le même compte.

Ce que veut dire « étanche »

Toute donnée de l'application porte l'identifiant de son organisation, et toute lecture comme toute écriture passe par un contrôle qui compare cet identifiant à celui de l'organisation active. Un identifiant valide mais appartenant à une autre organisation ne provoque pas une erreur de droits : il renvoie « Introuvable dans cette organisation. » Rien ne fuit, pas même l'existence de l'objet.

Le même contrôle vaut pour les objets rattachés, dont la table ne porte pas d'organisation : un justificatif est vérifié par sa transaction, une échéance par son projet. Il n'y a pas de chemin d'accès qui contourne le rattachement.

Les fichiers suivent la même règle. Chaque pièce est rangée sous un chemin qui commence par l'identifiant de l'organisation, dans un stockage privé, et n'est servie que par une route authentifiée.

Ce que chaque rôle peut faire

Cinq rôles hiérarchiques, où chacun peut tout ce que peut le précédent, et un sixième posé à côté de l'échelle.

Rôle	Niveau	Ce qu'il ouvre
Lecteur	1	Consultation
Auditeur externe	1	Consultation. Libellé distinct pour un réviseur ou un contrôleur
Saisie	2	Proposer des dépenses, joindre des justificatifs, gérer tâches et documents de projet
Trésorier	3	Écrire la comptabilité : transactions, ventilations, imports de relevé, comptes bancaires, plan comptable, restauration depuis les archives
Administrateur	4	Membres et rôles, organisation, clôture d'exercice, abonnement, suppression de l'espace

Le sixième s'appelle Bénévole (notes de frais) dans la liste déroulante des rôles. Il est hors hiérarchie, volontairement : il ne voit rien de la comptabilité, et un lecteur n'est pas « un bénévole en mieux ». L'insérer dans l'échelle ouvrirait aux autres rôles des droits qui ne les concernent pas.

Deux actions restent impossibles quel que soit le rôle : changer son propre rôle et se retirer soi-même. Elles exigent un autre administrateur, ce qui empêche un espace de se retrouver sans personne aux commandes par un simple clic.

Passer d'une organisation à l'autre

L'organisation active est mémorisée dans un cookie, et le sélecteur en haut de l'interface en change. Le cookie n'accorde rien : à chaque requête, l'appartenance est revérifiée en base. Un cookie modifié à la main ne donne accès à rien.

C'est la configuration habituelle d'un comptable qui suit plusieurs associations, ou d'une ONG présente dans deux pays : une organisation par entité, un seul compte, aucune consolidation automatique entre les deux.

Ce qui n'existe pas

Pas de sous-organisation, pas de groupe. Une organisation n'a ni parent ni filiale. Une fédération et ses sections sont autant d'espaces distincts.
Pas de permissions à la carte. Le rôle est un cran sur une échelle, pas une liste de cases à cocher. C'est ce qui rend la question « qui peut faire ceci ? » toujours répondable.
Pas de rôle global. Personne n'est administrateur « d'Aurelona » : le rôle n'existe que dans une organisation.

Le cas de la suppression d'espace

Quand un administrateur demande la suppression de l'espace, celui-ci passe en lecture seule pendant 30 jours, quel que soit le rôle de chacun. Deux actions restent ouvertes pendant ce délai, et deux seulement : exporter les données et annuler la demande. Elles servent la sortie du client, pas son activité.

Organisation, utilisateurs, rôles