Toute la compagnie, dans un seul logiciel
Six rôles, 31 autorisations, un journal complet, sur le bureau comme à la porte.
Six rôles, et chacun ouvre un logiciel différent
Une compagnie de transport n'est pas une équipe, c'est six métiers qui ne se ressemblent pas. Le propriétaire regarde des chiffres, l'agent de la porte regarde une file de passagers. Leur donner le même écran, c'est se tromper deux fois.
Le propriétaire. Toute la compagnie, toutes les gares, tout l'argent. Son compte ne peut être ni suspendu ni retiré, par personne.
Le responsable de compagnie. Toutes les gares aussi, pour diriger l'exploitation sans être propriétaire.
Le responsable financier. Les revenus, les règlements, les retraits et le compte de versement. Pas les horaires, pas la porte.
Le responsable de gare. Une gare, et tout ce qui s'y passe : ses départs, ses réservations, son personnel, son argent.
Le responsable billetterie. Le guichet : les lignes, les horaires, les réservations à accepter, et le scan, parce que la personne du guichet fait souvent aussi la porte.
L'agent d'embarquement. La porte, et rien d'autre.
La portée découle du rôle et n'est jamais saisie séparément. Les trois premiers rôles couvrent toute la compagnie, les trois autres sont toujours attachés à une seule gare. Un « responsable billetterie pour toutes les gares » ne peut donc pas exister, même par erreur de configuration.
Sous les rôles, 31 autorisations décrivent chaque geste possible : voir un départ, en créer un, l'annuler, accepter une réservation, voir l'identité d'un passager, ouvrir la porte, scanner, clôturer, voir les revenus, changer le compte de versement, ajouter du personnel, lire le journal. Le rôle en donne un jeu cohérent, et vous en accordez d'autres, une par une, à quelqu'un en qui vous avez confiance pour une chose précise.
Un écran pour lequel une personne n'a pas l'autorisation n'est pas grisé, il est absent. Personne ne passe sa journée devant des boutons qui ne lui répondront pas, et personne ne découvre l'existence d'un écran au moment où on le lui refuse.
La portée découle du rôle et n'est jamais saisie. Un responsable de gare couvrant toutes les gares ne peut pas exister.
Votre compagnie n'oublie rien
Chaque geste qui compte laisse une ligne : la réservation acceptée et par qui, les places changées à la main et de combien, le départ annulé, le compte de versement modifié, la pièce d'identité ouverte, le car marqué comme parti. Avec le nom de la personne, la gare concernée et l'heure exacte.
Nos propres interventions y figurent aussi. Le support de la plateforme est l'un des cinq auteurs possibles, aux côtés de votre équipe, du système, du prestataire de paiement et du passager. Ce que nous faisons dans votre compagnie s'écrit dans votre journal, pas dans le nôtre.
L'intérêt n'est pas la surveillance, c'est de pouvoir répondre. Un passager affirme avoir payé pour un départ annulé, un employé conteste une réduction de places, un associé demande pourquoi le versement de mardi est parti sur un autre numéro. Dans les trois cas la réponse existe, datée et nominative, et personne n'a besoin de croire quelqu'un sur parole.
Trois litiges typiques, trois réponses datées et nominatives. Personne n'est cru sur parole.
Sur le web, sur votre bureau, et dans votre poche
Le portail vit d'abord sur le web : une adresse, un navigateur, rien à installer, et il s'ouvre depuis n'importe quel poste de la gare. C'est la façon dont la plupart des gens l'utiliseront.
Il s'installe aussi comme une véritable application de bureau, sur macOS et sur Windows. Le responsable qui passe sa journée dedans l'a dans sa barre des tâches, avec son icône, sans onglet à retrouver au milieu de quinze autres.
Il existe enfin une application mobile, et elle est pour les six rôles, pas pour le seul agent de la porte. Le propriétaire qui consulte ses chiffres depuis la route y a sa place autant que celui qui scanne, et chacun y retrouve exactement ce que ses autorisations lui donnent.
À la porte, elle fait en plus ce qu'un navigateur ne peut pas : elle télécharge la liste des passagers avant l'embarquement, continue de scanner quand le réseau tombe, et renvoie les scans quand il revient. C'est pour cette raison que l'embarquement se lance là.
Les deux ne sont pas une version complète et une version réduite. Tout ce qui est visible dans le portail est visible dans l'application pour qui y a droit : ce sont les mêmes autorisations sur deux formats, et non un logiciel principal accompagné d'un compagnon.
Les mêmes autorisations sur deux formats. Ce n'est pas un logiciel principal avec un compagnon réduit.
La sécurité n'est pas une couche ajoutée à la fin
Une plateforme qui détient l'argent de plusieurs compagnies concurrentes et les pièces d'identité de leurs voyageurs n'a pas le droit de traiter ces questions à la fin. Quatre décisions structurent le produit, et elles sont visibles dans son comportement quotidien.
Une autorisation dit ce que vous pouvez faire, jamais sur qui. Alors quand vous ouvrez un départ, la compagnie et la gare qui décident de vos droits sont lues sur le départ lui-même, et jamais reprises de votre demande. Sinon il suffirait de nommer une gare où l'on a des droits pour lire le travail d'une autre.
Réservations, passagers, embarquements, argent : chacune de ces lignes n'est lisible que par l'équipe de sa gare, celle de sa compagnie, et l'administration de la plateforme. Ce n'est pas un filtre d'affichage posé sur une liste commune. Les billets d'embarquement vont plus loin encore et n'appartiennent à aucune des deux équipes, parce que qui peut lire un billet peut fabriquer un embarquement.
Six conditions doivent être réunies : l'embarquement est en cours, vous avez l'autorisation dans cette gare, le passager est bien sur ce départ, le lien meurt en 15 minutes, il ne rend qu'un passager, et l'enregistrement au journal est écrit avant que le lien n'existe. Ce dernier point est le seul endroit du produit où un journal qui échoue fait échouer la demande.
Vous pouvez consulter la pièce de votre propre employé, et cette consultation est enregistrée. Techniquement, l'image pourrait être servie directement, plus vite : nous refusons, parce qu'une lecture directe ne laisserait aucune trace. Un accès correctement autorisé mais invisible ne vaut pas mieux qu'un accès non autorisé.
Nous détenons l'argent de compagnies concurrentes et les pièces de leurs voyageurs. Cela ne se traite pas à la fin.
