ACL Matrix — Courier

Tento dokument je referenčná tabuľka prístupových práv pre Courier konverzácie. Doplňuje matrix-comments o komunikačnú vrstvu.

Princípy

Courier ACL má dve odlišné dimenzie oproti komentárom:

1. Iniciovanie konverzácie — kto smie založiť konverzáciu s kým. Toto je gate predtým, než konverzácia vôbec existuje.
2. Operácie v existujúcej konverzácii — kto smie čítať/písať/admin po pridaní do konverzácie.

Operácie sú obohatené o nové (oproti komentárom):

Iniciovanie konverzácií (S — Start)

Kto smie iniciovať direct alebo group konverzáciu s kým. Default pravidlá:

Implementácia

V CourierService.canInitiateConversation(initiator, target) ide cez tabuľku pravidiel. Pravidlá sú vyhodnocované v poradí — prvé match rozhoduje. Default deny, ak nič nevyhovuje.

Operácie v existujúcej konverzácii

Direct conversation (1:1, E2E šifrované)

Poznámky

• Žiadne A ani M — direct chat nemá adminov, je medzi rovnými dvomi
• Proxy-rodič read sa aplikuje len v špecifickom prípade: dieťa (po dosiahnutí minorSelfJoinAge) ↔ odborník (tréner, lekár, mentor); rodič číta read-only. Detaily v ../features/parental-proxy.
• Admin organizácie nemá prístup k E2E direct chatu, ani na audit. Server vidí len ciphertext.

Direct conversation — odpojenie

Group conversation

Poznámky

• Admin konverzácie je ConversationParticipant s role = 'admin'
• Admin organizácie má R s audit logom — pri otvorení sa vytvorí audit záznam
• Admin organizácie môže moderovať (mazať správy), ale toto sa logovo zaznamenáva ako moderation akcia
• Externý hosť (napr. UEFA mentor) je explicitne pridaný adminom, má rovnaké práva ako plný člen

DND v group

Broadcast conversation

Málo publisherov, veľa subscriberov.

Poznámky

• Publisher je rola pre tých, ktorí smú publikovať do broadcastu (zväz, klub, media manager)
• Subscriber sa pridáva opt-in — buď sa sám prihlási do broadcastu (ak je klub mu otvorený), alebo ho admin pridá pri registrácii (napr. pri pridaní do fanklubu)
• Reactions na broadcast správy môžu byť povolené — záleží na nastavení broadcastu

Špecifické scenáre

Mentoring konverzácia

Konverzácia mentor ↔ mentee aktívneho cyklu — typicky direct, ale môže byť aj group (mentor + mentee + UEFA mentor).

Poznámky

• Predseda komisie nemá automatický prístup do mentoringovej konverzácie — to je súkromný priestor mentora a mentee
• Predseda môže byť explicitne pridaný adminom (zriedkavé, vyžaduje súhlas oboch strán)
• Admin organizácie má R ale len v audit móde, žiadna moderation (mentoring konverzácie sú citlivé, moderation by porušila dôveru)

Tímová konverzácia s rodičmi-proxy

Klubová konverzácia U13: tréner + asistent + rodičia-proxy detí.

Klubový broadcast pre rodičov

Poznámky

• Toto je broadcast — rodičia len čítajú
• Pre interakciu rodič ↔ tréner je direct konverzácia

Komunikácia rodič ↔ tréner

direct konverzácia rodič ↔ tréner je častý use case.

Aj keď je rodič v tomto kontexte zástupcom dieťaťa, samotný 1:1 chat je medzi dvomi dospelými. Dieťa nevidí túto konverzáciu (ani po dosiahnutí plnoletosti — historický prístup je zatvorený).

Rodičovský prístup detailne

Toto je dôležitý a často nesprávne implementovaný prípad. Detaily v ../features/parental-proxy, tu zhrnutie:

V deň 18. narodenín dieťaťa všetky rodičovské práva expirujú (s 30-dňovým grace period pre proxy účastníctva).

Vyprchávanie prístupu

Naprieč všetkými typmi konverzácií platí:

Restriktívne pravidlá

Reportovanie a moderation

Ktorýkoľvek účastník môže nahlásiť správu (report_message). Hlásenie ide do queue admina organizácie (vlastnícu konverzácie). Admin rozhodne:

• Skryť správu (soft-delete s viditeľným "odstránené moderátorom")
• Varovať autora (notifikácia)
• Suspendovať autora v konverzácii (odoberie účastníka, nemôže byť pridaný späť)
• Eskalácia (predá vyššiemu adminovi alebo system admin)

Self-blocking

Užívateľ môže zablokovať inú osobu (block_person):

• Skryje správy danej osoby pre seba
• Zablokuje iniciovanie nových direct konverzácií od danej osoby
• Druhá strana nedostane info o blokovaní (privacy)

Block-list je per-user, žije v profile, neviditeľný pre ostatných.

Restrikcia rodičovského prístupu

ParentalAccess.restricted: true pri súdnom obmedzení:

• Rodič nemôže byť pridaný ako proxy do nových konverzácií
• Stráca read access k existujúcim direct chatom dieťaťa s odborníkmi
• Existujúce proxy účastníctva idú do read-only

Nastavenie robí len admin organizácie na základe doručeného súdneho rozhodnutia.

Audit log

Tieto operácie sa povinne logujú do auditLog:

• Každý prístup admina organizácie ku konverzácii (s exception: vlastné konverzácie admina)
• Každá moderation akcia (hide, remove, suspend)
• Každá zmena ACL roly v konverzácii (set_participant_role)
• Každý report message
• Každý block/unblock person

Audit log má TTL 7 rokov (GDPR retention pre audit).

Implementácia

ACL pre Courier

// courier/acl/canSendMessage.ts
export async function canSendMessage(user: User, conversationId: ObjectId): Promise<boolean> {
  const participant = await db.conversationParticipant.findOne({
    conversationId,
    personId: user._id,
    leftAt: null,
  });
  if (!participant) return false;
 
  const conv = await db.conversation.findOne({ _id: conversationId });
 
  // Broadcast — only publishers a admin organizácie
  if (conv.kind === 'broadcast') {
    return participant.role === 'publisher' || await isOrgAdmin(user._id, conv.owningOrgId);
  }
 
  // Group / Direct — observer nemôže písať
  if (participant.role === 'observer') return false;
 
  // Default member, admin, publisher v group — môže
  return ['member', 'admin', 'publisher'].includes(participant.role);
}

Test coverage

Každý case z tejto matice musí mať testovací prípad. CI test job kontroluje, že žiadny prechod nezostane bez testu.

Otvorené otázky

1. Time-restricted broadcasts — broadcast s časovým oknom (napr. "otvorený 24h pre predikcie"). Schéma to vie, ACL middleware bude TBD.
2. Threading v group — momentálne replyToMessageId v ploškej štruktúre. Slack-style threadovanie zatiaľ nie. ACL na thread úrovni je TBD.
3. Cross-organization conversations — konverzácia, ktorá patrí pod dva tenanty súčasne (napr. zápas medzi klubmi). Pre MVP: vlastnícka jedna organizácia, druhá strana cez explicit grants.

Nasleduje

Pre ACL komentárov pokračuj v matrix-comments. Pre detail Courier subsystému pokračuj v ../features/courier. Pre detail rodičovského proxy pokračuj v ../features/parental-proxy.