Menu Administration → Utilisateurs (l'une des permissions manage.users.global, manage.users.agency ou manage.users.account). Un utilisateur est un compte de connexion ; un employé en a un, créé avec sa fiche.

Bouton Nouvel utilisateur :

• prénom, nom, genre, e-mail (unique) et téléphone, puis les rôles à attribuer ;
• un mot de passe conforme à la politique de l'entreprise (paramètres password.*) est généré et envoyé par e-mail à la personne ;
• la liste des rôles n'apparaît qu'avec une permission manage.roles.*.

Avec users.view_deleted, la liste affiche aussi les comptes supprimés, restaurables (users.restore) ou supprimables définitivement (users.force_delete).

Un clic sur un utilisateur ouvre sa fiche, en quatre onglets :

• Profil : identité et coordonnées. L'enregistrement d'une modification demande votre propre mot de passe.
• Rôles : les rôles de l'utilisateur, modifiables avec une permission manage.roles.*.
• Sécurité : activation de la vérification en deux étapes ; choix d'un nouveau mot de passe, ou génération d'un mot de passe aléatoire envoyé par e-mail (un SMS prévient la personne), avec users.update-password (ou sur votre propre compte) et votre mot de passe en confirmation. Le nouveau mot de passe respecte les paramètres password.* : longueur minimale, majuscule, minuscule, chiffre, caractère spécial.
• Zone dangereuse : préférences de notifications par e-mail et par SMS (enregistrées dès le changement d'interrupteur) ; supprimer le compte (users.delete, votre mot de passe est demandé), ou le restaurer s'il est supprimé.

Menu Administration → Rôles (l'une des permissions manage.roles.global, manage.roles.agency ou manage.roles.account). Un rôle réunit des permissions ; un utilisateur cumule celles de tous ses rôles. Les rôles sont propres à votre entreprise.

• Nouveau rôle : un nom unique, puis les permissions glissées de la liste disponible vers la liste attribuée.
• Un poste attribue automatiquement ses rôles aux employés qui l'occupent.
• Les écrans affichent le libellé des rôles fournis ; leur nom technique (entre parenthèses ci-dessous) ne se modifie pas. Un rôle créé par votre entreprise est affiché sous son nom.

Rôles fournis à chaque entreprise, que vous pouvez ajuster depuis l'écran Rôles :

• Administrateur (super-admin) : Tous les droits de l'entreprise : utilisateurs, rôles, configuration, journal d'audit, RH et paie.
• Responsable RH (responsable-rh) : Tout le RH et la paie, toutes agences : employés et salaires, postes, congés, absences, paies.
• Gestionnaire de paie (gestionnaire-paie) : Paies de toutes les agences (création, lignes, lancement, fiches de décharge) ; employés et salaires en lecture.
• Chef d'agence (chef-agence) : Employés de son agence en lecture ; congés (saisie et validation) et absences de son agence.
• Contrôleur (controleur) : Lecture seule, toutes agences : employés et salaires, congés, absences, paies ; journal d'audit.
• Employé (employe) : Accès de base : connexion et tableau de bord, sans aucune donnée RH.

« Son agence » est l'agence du compte : sans employees.view.global, les listes d'employés, de congés et d'absences (et le tableau de bord) se limitent à elle ; sans salary_payrolls.view.global, la liste des paies aussi.

Menu Administration → Permissions : le catalogue des permissions, en lecture seule pour une entreprise. Les permissions portent le nom du module et de l'action, par exemple :

• employees.view, employees.create, employees.update, employees.view_balance (voir les salaires), employees.view.global (toutes les agences) ;
• leaves.view, leaves.create, leaves.approve, leaves.reject ; absences.view, absences.create… ;
• salary_payrolls.create, salary_payrolls.update_line, salary_payrolls.launch ;
• web.access (entrer dans l'interface) et dashboards.view (tableau de bord).

Chaque guide indique les permissions nécessaires à ses écrans et à ses actions.