Evolution #199
Gestion des autorisation d'accès aux données personnelles
50%
Description
Il est nécessaire de pouvoir cacher certaines informations personnelles concernant un membre à toute personne n'ayant pas une telle autorisation.
L'idée c'est de réserver au bureau l'accès à ces données pour protéger la vie privée des membres de l'association.
Par exemple dans la fiche Membres,
Un trésorier a besoin de la partie cotisation (cette vue est très pratique pour voir toutes les cotisations d'un membre donné), date d'adhésion, nom d'usage,...
Par contre l'accès à l'adresse, nom, prénom, n'est pas forcément nécessaire.
Related issues
Updated by Baptiste Jonglez almost 9 years ago
C'est une bonne idée, mais ça demande un peu de boulot.
Notamment parce qu'on ne gère pas plusieurs groupes avec des droits d'accès différents. Qui aurait le privilège d'éditer ces droits, pour pouvoir attribuer des gens aux différents rôles et droits ? (adminsys, membre du bureau, trésorier, etc)
Updated by Baptiste Jonglez over 8 years ago
- Target version set to 0.1
Notes de la réunion du 28/06 concernant les droits d'accès aux données :
- Membre simple : uniquement accès à ses propres données (cf. #202)
- Membre du bureau : accès à toutes les données (super-user)
- "Gestionnaire technique" :
- peut accéder aux informations administrative des abonnements d'un membre (mais pas à l'objet membre lui-même)
- peut accéder à la configuration technique des services d'un membre
C'est trop compliqué de gérer des permissions plus fines au sein du bureau (factures, données personnelles, etc). En revanche, il y a quelques mesures simples qui peuvent éviter certains abus :
- Notifications par mail lorsqu'une personne change de groupe (notifier le bureau, ou carrément notifier les gens qui sont déjà dans le groupe, utile par exemple pour un groupe adminsys)
- Empêcher de modifier ses propres groupes ?
Updated by Baptiste Jonglez over 8 years ago
- Assignee set to CapsLock CapsLock
- % Done changed from 0 to 50
Avec le passage à AbstractUser, on peut désormais utiliser les groupes Django pour donner l'accès à certaines applications et pas d'autres (facturation, membres, configuration VPN, etc).
https://docs.djangoproject.com/en/1.7/topics/auth/default/#topic-authorization
Ça doit être possible de créer des groupes par défaut dans une fixture.
Updated by