cross module documentatie
Autorisatiemodel — Cross-module Overzicht
Samenvatting
WATCH heeft vier autorisatiesystemen die elk apart zijn gedocumenteerd. Dit artikel brengt ze samen en beschrijft hoe ze samenwerken. Het biedt concrete aanbevelingen voor de inrichting per organisatietype.
De vier autorisatiesystemen
1. Groepen en schermtoegang (Urenregistratie / centraal)
Wat het doet: Bepaalt welke schermen een medewerker kan zien en gebruiken.
Hoe het werkt:
- Elke medewerker zit in precies één groep
- Per groep wordt bepaald welke menuitems (schermen) zichtbaar zijn
- Standaardgroepen: BEHEERDER (alles) en GEBRUIKER (basis)
Configuratie: Beheer > Autorisatiegroepen > groep selecteren > vinkjes per scherm
Voorbeeld:
| Scherm | BEHEERDER | PROJECTLEIDER | MEDEWERKER |
|---|---|---|---|
| Uren schrijven | |||
| Validatie | |||
| Projectbeheer | |||
| Systeeminstellingen | |||
| Rapportages |
2. Relatiebeheer-rechten (A/B/C + geavanceerd)
Wat het doet: Bepaalt wat een medewerker mag doen met relaties en contactpersonen.
Hoe het werkt:
- Per groep worden rechten toegekend: A, B of C
- A-recht: Bekijken van relaties, contactpersonen en contacten. Wijzigen/verwijderen van alleen eigen contactrecords. Aanmaken van nieuwe contacten.
- B-recht: Invoeren en bewerken van relaties, contactpersonen en contacten. Kan niet andermans gegevens verwijderen.
- C-recht: Onbeperkte toegang — bekijken, wijzigen en verwijderen van alles.
Let op: Wijzigingen aan rechten worden pas van kracht bij de volgende login van de medewerker.
Geavanceerde autorisatie (relatiesoort en functie):
Per groep kan worden ingesteld welke relatiesoorten en contactpersoonfuncties zichtbaar zijn. Er zijn twee modi:
| Modus | Effect |
|---|---|
| Selecteren is verbergen | Aangevinkte combinaties worden verborgen voor die groep. Als een relatie meerdere soorten heeft en één is verborgen, wordt de gehele relatie verborgen. |
| Selecteren is tonen | Aangevinkte combinaties worden getoond voor die groep. Als een relatie meerdere soorten heeft en één is aangevinkt, wordt de relatie getoond. |
De modus wordt ingesteld via Relatiebeheer > Instellingen > Systeem.
Geavanceerde autorisatie (selecties en queries):
- Wanneer ingeschakeld zien medewerkers alleen selecties/queries van hun eigen groep
- Instelling: "filter selection queries by group" in Relatiebeheer > Instellingen > Systeem
Configuratie: Relatiebeheer > Instellingen > Rechten (A/B/C) en Relatiebeheer > Instellingen > Systeem (geavanceerd)
3. Contactpersoongroepen (Klantenportaal)
Wat het doet: Bepaalt wat een externe klant (contactpersoon) kan zien in het klantenportaal.
Hoe het werkt:
- Contactpersoongroepen worden aangemaakt (bijv. "Klant-basis", "Klant-uitgebreid")
- Per groep wordt bepaald welke portaal-functies beschikbaar zijn
- Elke contactpersoon wordt aan een groep gekoppeld
Beschikbare functies per groep:
| Functie | Klant-basis | Klant-uitgebreid |
|---|---|---|
| Meldingen indienen | ||
| Downloads | ||
| Projectrapportages | ||
| Facturen inzien | ||
| Klantgegevens beheren | ||
| Vragenlijsten |
Configuratie: Klantenportaal > Beheer > Contactpersoongroepen
4. WATCH Log logniveaus
Wat het doet: Bepaalt welke gebruikersacties worden gelogd.
Hoe het werkt:
- Drie typen logging: inlog-log, inzien-log, wijzigingen-log
- Elk type heeft configureerbare niveaus (uit/laag/hoog)
- Inzien-log is AVG-relevant: wie heeft welke persoonsgegevens bekeken
Configuratie: Beheer > Systeeminstellingen > Log-instellingen
Schermautorisatie en rolfiltering
Autorisatie werkt in de basis met groepen. Per groep legt u twee dingen vast, en het onderscheid daartussen verklaart het meeste gedrag dat gebruikers verrast:
- Schermautorisatie bepaalt welke schermen iemand te zien krijgt.
- Rolfiltering bepaalt welke gegevens die persoon vervolgens binnen die schermen ziet.
Rolfiltering zet u aan met de systeeminstelling gebruik rol filter. Met filter niveau bepaalt u of de rol alleen per groep wordt gekozen, of ook per medewerker. Vervolgens kiest u per groep (of per medewerker) één rol:
| Rol | Wat de gebruiker ziet |
|---|---|
| Ongefilterd | Alle gegevens waarvoor het scherm toegang geeft |
| Projectleiderfilter | Alleen projecten waarvan de gebruiker projectleider is |
| Managerfilter | Alleen medewerkers uit de eigen groep(en) |
| Eigen-uren-filter | Alleen de eigen uren en projecten |
Het zijn dus geen losse schakelaars die naast elkaar aan kunnen staan: per groep geldt er één rol.
Waar u moet zoeken bij een melding over zichtbaarheid volgt daaruit. Ziet iemand een scherm helemaal niet, dan gaat het om schermautorisatie. Ziet iemand het scherm wel maar staat er te veel of te weinig in, dan gaat het om rolfiltering. Wijzigingen in rechten worden pas van kracht bij de volgende aanmelding van de medewerker.
Op deze regel bestaat één uitzondering: met de instelling geen rolfiltering op klanten in beheerschermen kan een gebruiker bij het aanmaken van een project uit alle actieve klanten kiezen, ongeacht de rol die aan hem is toegekend.
Filterhiërarchie (voorrang)
Filters worden op vier niveaus bepaald. Een specifieker niveau overschrijft een algemener niveau:
Scherm-medewerker → overschrijft → Scherm-groep → overschrijft → Medewerker → overschrijft → Groep
(meest specifiek) (meest algemeen)Dit betekent: als een filter op schermniveau voor een specifieke medewerker is ingesteld, heeft dat voorrang boven alle andere instellingen.
Welk systeem beïnvloedt welke module?
| Module | Groepen (1) | Relatie-rechten (2) | Portaal-groepen (3) | Log (4) | PL-filter | Mgr-filter |
|---|---|---|---|---|---|---|
| Urenregistratie | — | — | ||||
| Planning | — | — | ||||
| Offertes | — | — | — | |||
| Facturering | — | — | — | |||
| Relatiebeheer | — | — | — | |||
| Klantenportaal | — | — | — | — | ||
| Dashboard | — | — | — | |||
| WATCH Log | — | — | — | — | — | |
| Beheer | — | — | — | — |
Aanbevolen inrichting per organisatietype
ZZP'er / Eenmanszaak
| Systeem | Instelling |
|---|---|
| Groepen | Alleen BEHEERDER |
| Relatie-rechten | A+B+C (alles) |
| Klantenportaal | Niet actief |
| Log | Uit of minimaal |
| Filters | Alle uit |
MKB (5-25 medewerkers)
| Systeem | Instelling |
|---|---|
| Groepen | BEHEERDER, PROJECTLEIDER, MEDEWERKER |
| Relatie-rechten | Beheerder: A+B+C, PL: A+B, Medewerker: A |
| Klantenportaal | Optioneel (1 contactpersoongroep) |
| Log | Wijzigingen-log aan |
| PL-filter | Aan |
| Mgr-filter | Uit (tenzij meerdere afdelingen) |
Grote organisatie (25+ medewerkers)
| Systeem | Instelling |
|---|---|
| Groepen | Per afdeling + beheerder + directie |
| Relatie-rechten | Geavanceerd per afdeling/relatiesoort |
| Klantenportaal | Meerdere contactpersoongroepen |
| Log | Alle niveaus aan (compliance) |
| PL-filter | Aan |
| Mgr-filter | Aan |
Non-profit / Zorg
| Systeem | Instelling |
|---|---|
| Groepen | BEHEERDER, COORDINATOR, MEDEWERKER |
| Relatie-rechten | Basis (A) voor medewerkers |
| Klantenportaal | Optioneel |
| Log | Inzien-log: HOOG (AVG), Wijzigingen-log: AAN |
| PL-filter | Aan |
| Mgr-filter | Aan |
Diagnostiek: "Waarom zie ik dit niet?"
Wanneer een gebruiker iets niet kan zien of doen, doorloop deze checklist:
Scherm niet zichtbaar
- In welke groep zit de medewerker? → Beheer > Medewerkers
- Heeft die groep het scherm geautoriseerd? → Beheer > Autorisatiegroepen
Project niet zichtbaar
- Is het project "Lopend"? → Projectbeheer > status
- Is de medewerker resource op een onderdeel? → Projectbeheer > resources
- Is het projectleiderfilter actief? → Systeeminstellingen
- Is de medewerker PL van het project? → Projectbeheer > projectleider-veld
Relatie niet zichtbaar
- Heeft de medewerker A-recht? → Relatiebeheer > Beheer > Medewerkers
- Is geavanceerde autorisatie actief? → Functie autorisatie
- Mag de medewerker de relatiesoort zien? → Functie autorisatie
Uren niet bewerkbaar
- Zijn de uren gevalideerd? → Validatiestatus controleren
- Is de periode op "verwerkt" gezet? → Status verwerkt
- Is het project/onderdeel/resource gesloten? → Status controleren
- Is budgetbescherming bereikt? → Budget controleren