Gestione Utenti

Il modulo Gestione Utenti consente di creare, modificare e gestire gli account degli utenti che accedono a NOX Enterprise Suite. Ogni utente ha credenziali individuali, un ruolo che ne determina i permessi, e una configurazione di moduli e workspace personalizzata.

Funzionalità principali

• 4 livelli di ruolo gerarchici: USER, OPERATOR, ADMIN, SUPERADMIN
• Multi-workspace: ogni utente può accedere a più ambienti di lavoro con configurazioni indipendenti
• Moduli abilitati: configurazione granulare di quali sezioni del menu sono visibili per ogni utente e workspace
• Profilo personale: ogni utente può modificare i propri dati e cambiare la password
• Statistiche database: conteggio record per tabella nel workspace selezionato
• Operazioni avanzate: gestione backup workspace, dati demo, tabelle normativa
• Protezione eliminazione: conferma con nome completo per eliminare utenti ADMIN/SUPERADMIN

La schermata principale mostra tutti gli utenti in una lista con le seguenti informazioni:

In alto: contatore utenti totali e utenti attivi. Pulsante + Nuovo per creare un nuovo utente.

1. Dall'elenco utenti, premere + Nuovo Utente.
2. Compilare il campo Username (obbligatorio, identificativo univoco per il login).
3. Inserire la Password (obbligatoria, minimo 6 caratteri) e la Conferma password (deve corrispondere).
4. Selezionare il Ruolo nella griglia con 4 opzioni:
   • USER — Utente standard (default)
   • OPERATOR — Operatore
   • ADMIN — Amministratore
   • SUPERADMIN — Super Amministratore (visibile solo ai SUPERADMIN)
5. Premere Salva. L'utente viene creato e appare nell'elenco.
6. Dopo la creazione, aprire l'utente per completare il profilo: nome, cognome, email, workspace, moduli abilitati.

Differenze chiave ADMIN vs SUPERADMIN

Nella scheda di Modifica Utente esistono due sezioni distinte che governano cosa un utente può fare: la sezione "Privilegi Produzione" (riquadro lilla) e la sezione "Permessi del ruolo <X> in <workspace>" (riquadro arancio). Sono due meccanismi complementari, non alternativi: vengono valutati in AND sulle azioni a cui si applicano.

Quadro di confronto

A cosa serve la sezione "Privilegi Produzione" (lilla)

Implementa la Separation of Duties del modulo Produzione: assegna a singoli utenti uno dei 3 ruoli applicativi della produzione, indipendentemente dal loro ruolo base USER / OPERATOR / ADMIN.

Tipico caso d'uso: in uno stesso workspace ci sono più collaboratori USER, ognuno con un compito diverso in produzione. Mario è addetto qualità e riceve QUALITY_MANAGER; Luigi è magazziniere/operatore e riceve OPERATOR_PROD; Giovanni è il responsabile di reparto e riceve PRODUCTION_MANAGER. Senza questi privilegi un USER non può toccare nulla in produzione.

I privilegi sono inoltre la base tecnica della Separation of Duties: chi propone un ECO non può approvarlo, e questo controllo si appoggia proprio al fatto che proponente e approvatore siano due utenti distinti, ciascuno con il proprio privilegio individuale.

A cosa serve la sezione "Permessi del ruolo" (arancio)

Permette al SUPERADMIN di accendere o spegnere per l'intero workspace e l'intero ruolo le azioni del catalogo. Esempio: nel workspace "Studio Bianchi" il SUPERADMIN decide che gli ADMIN non possano eseguire backup manuali; basta togliere il segno di spunta a Lanciare backup manuali (backup.esegui): la modifica vale per tutti gli ADMIN di quel workspace presenti e futuri. Allo stesso modo si accende a tutti gli utenti standard, per esempio, Vedere costi e margini.

I permessi coprono documenti, anagrafiche e privacy, catalogo e listini, magazzino, corrispettivi, scadenze, banca e prima nota, persone, commesse, report, produzione, cestino, registro e backup: l’elenco completo è nella sezione 4c. Un’azienda nuova nasce con i permessi di serie di ogni ruolo, e non sono tutti accesi: quelli che riguardano costi, commesse, persone e privacy nascono spenti agli utenti standard e agli operatori, e così Completare ordini di produzione, Approvare/respingere ECO (e, per l’utente standard, le note e la stampa di bolle ed etichette dei lotti). Quando il SUPERADMIN adatta un’azienda a un pacchetto (per esempio la Produzione), questi permessi restano spenti a utenti e operatori come in un’azienda nuova: si accendono a mano dal pannello.

Come si combinano (regola pratica)

Quando usare uno o l'altro

• Vuoi specializzare un singolo utente (Mario fa solo qualità)? → Privilegi Produzione.
• Vuoi vietare un'azione a tutti gli ADMIN di un'azienda (es. Studio Verdi)? → Permessi del ruolo.
• Vuoi un'azione per pochi (es. solo 2 USER su 5) con regole produzione? → combina i due: assegna il privilegio solo ai 2 USER e tieni acceso il permesso ruolo.
• Vuoi spegnere completamente l'audit log per gli ADMIN di un workspace? → Permessi del ruolo: audit.consulta = off.

Questi sono i permessi che si accendono e si spengono nella scheda Permessi di Aziende & Licenze, con il nome che si legge lì. Ogni ruolo ha il suo elenco: la colonna Ruoli dice in quali compare. Un permesso che non compare nell’elenco di un ruolo, per quel ruolo è spento (salvo i permessi che l’amministratore ha di serie senza vederli nell’elenco, come creare ed emettere documenti).

Nella scheda si vedono solo i permessi dei pacchetti che l’azienda ha: senza Prenotta, per esempio, quelli delle camere non compaiono.

Fare clic su un utente nell'elenco per aprire la scheda di modifica. La schermata è organizzata in sezioni:

Intestazione

Avatar con colore del ruolo, nome completo, @username, badge ruolo cliccabile (per ADMIN), toggle Attivo/Inattivo.

Riquadro Account

Sotto il riquadro: pulsante Cambia Password (o “Reset Password” se si sta modificando un altro utente) e, solo per ADMIN, i pulsanti Statistiche Database e Operazioni Avanzate.

Sezione Workspace

Selettore “Ambiente attualmente in uso” per il workspace primario. Per ADMIN: sezione multi-workspace con checkbox per assegnare l'utente a più ambienti. Opzione speciale ___NUOVO___ per creare un workspace al volo.

Sezione Moduli Abilitati

Vedere sezione 9 per i dettagli completi.

Barra azioni

• Disattiva Utente (rosso): disabilita l'account (non è possibile disattivare sé stessi)
• Annulla: scarta le modifiche
• Salva Modifiche: salva tutti i cambiamenti (disabilitato se nulla è cambiato)

Ogni utente può accedere al proprio profilo dal menu utente nella topbar → “Profilo”.

Il profilo personale mostra tre card:

Informazioni Account

• Username: modificabile (min. 3 caratteri)
• Email: con validazione formato
• Ruolo: sola lettura (solo SUPERADMIN può modificare il proprio ruolo)

Dati Anagrafici

• Nome e Cognome (max 50 caratteri ciascuno)

Sicurezza

• Password attuale: obbligatoria per verificare l'identità
• Nuova password: minimo 6 caratteri
• Conferma nuova password: deve corrispondere

I campi password sono opzionali: compilare solo se si desidera cambiare la password.

Cambiare la propria password

1. Accedere al proprio Profilo dalla topbar.
2. Nella sezione “Sicurezza”, inserire la password attuale (per verifica identità).
3. Inserire la nuova password (minimo 6 caratteri).
4. Inserire la conferma (deve corrispondere).
5. Premere Salva Modifiche.

Reset password di un altro utente (solo ADMIN)

1. Aprire la scheda dell'utente dall'elenco.
2. Premere “Reset Password”.
3. Si apre una modale: inserire la nuova password e la conferma.
4. Non serve la password attuale dell'utente (l'ADMIN è autorizzato al reset).
5. Premere Salva Password.

Ogni workspace corrisponde a un database PostgreSQL separato. Permette di gestire più aziende, sedi o ambienti (produzione, test, demo) dalla stessa installazione.

Workspace primario

Il dropdown “Ambiente attualmente in uso” nella scheda utente seleziona il workspace che l'utente vede al login. L'utente può cambiare workspace dalla topbar (icona storage).

Multi-workspace (solo ADMIN)

La sezione “Ambienti Assegnati” mostra tutti i workspace disponibili con checkbox. Per configurare:

1. Nel selettore “Seleziona utente”, scegliere l'utente da configurare.
2. Sotto, attivare le checkbox dei workspace a cui l'utente deve avere accesso.
3. I workspace contrassegnati con lucchetto sono riservati al SUPERADMIN.
4. I workspace con icona occhio barrato sono nascosti (visibili solo ai SUPERADMIN).
5. Le modifiche vengono salvate automaticamente alla selezione.

Creare un nuovo workspace

Nel dropdown workspace, selezionare l'opzione “+ Crea nuovo ambiente”. Viene creato un database completo di tutte le tabelle, pronto per essere configurato.

Copia dati di configurazione

Nel dialog di creazione si scelgono le tabelle di configurazione da copiare dall'ambiente principale. Tutte le voci sono ora pienamente funzionanti:

• Sempre copiate (obbligatorie): Tipi Pagamento, Condizioni Pagamento, Tipi Documento, Utenti e Ruoli (con i loro permessi; il workspace primario di ogni utente resta invariato)
• Comuni Italiani: anagrafica completa (~9.900 voci con comuni soppressi, stati esteri e CAP) per autocomplete luogo di nascita e calcolo codice fiscale; se non selezionata viene comunque caricata da CSV
• Catalogo Prodotti: copia le voci di catalogo con le categorie (i fornitori, che sono anagrafica, non vengono copiati)
• Parametri Configurazione: copia i dati azienda/fiscali; le tabelle di appoggio da cui dipende (regimi, formati, casse, nature IVA...) vengono incluse automaticamente
• Le voci non più disponibili appaiono disabilitate con l'etichetta “(non disponibile)”

Il nuovo ambiente nasce inoltre con: menu completo (con la sua licenza interna: Base, Fatturazione e Contabilità, tutti i moduli accesi, riducibili poi da Aziende & Licenze), le 14 causali rettifica standard di magazzino, la configurazione MRP e le tabelle/colonne di tutti i moduli v2.2 — in passato alcuni moduli davano “Errore server” sui workspace appena creati.

La sezione “Moduli Abilitati” consente di personalizzare quali voci del menu laterale sono visibili per ciascun utente in ciascun workspace.

Come configurare

1. Nella scheda utente, scorrere alla sezione “Moduli Abilitati”.
2. Selezionare l'utente e il workspace di riferimento dai dropdown.
3. I moduli sono raggruppati in 8 categorie (accordion espandibile).
4. Per ogni categoria: toggle per nascondere l'intero gruppo dal menu, e pulsante per abilitare/disabilitare tutti i moduli del gruppo.
5. Dentro ogni gruppo: toggle individuale per ogni modulo con nome, icona e descrizione.
6. Le modifiche vengono salvate automaticamente.

Toggle bloccato o sbloccato — come capire perché

Ogni toggle può trovarsi in uno di questi stati:

Categorie di moduli

Opzioni globali

• Menu espanso: i sottomenu restano aperti di default
• Nascondi intestazioni gruppo: menu piatto senza raggruppamenti
• Nascondi “Coming Soon”: resta dai tempi in cui i moduli non pronti comparivano in grigio nel menu. Oggi quei moduli sono nascosti comunque, quindi l'opzione non cambia niente

Il pulsante “Statistiche Database” (solo ADMIN) nella scheda utente apre una finestra di dialogo con i conteggi dei record per tabella nel workspace selezionato.

Informazioni visualizzate

• KPI: totale record, tabelle attive (con almeno 1 record), massimo record per tabella
• Griglia: lista di tutte le tabelle con barra grafica proporzionale e conteggio
• Timestamp: ora dell'ultimo aggiornamento
• Pulsante Aggiorna per ricaricare i dati

Utile per verificare lo stato del database, controllare che i dati demo siano stati caricati o individuare tabelle vuote da popolare.

Il pulsante “Operazioni Avanzate” (solo ADMIN) apre un pannello con gestione avanzata dei workspace:

Selezione workspace

Lista di tutti i workspace disponibili. Fare clic per selezionare e visualizzare le operazioni disponibili.

Backup

• Crea Backup Ora: genera un backup del workspace selezionato
• Lista backup: elenco con data, dimensione, pulsanti scarica/ripristina/elimina
• ADMIN: può solo creare backup. SUPERADMIN: può anche scaricare, ripristinare ed eliminare.

Dati Demo

Pulsante “Carica Dati Demo” per aprire la procedura guidata (vedere sezione 12).

Zona Pericolosa (solo SUPERADMIN, workspace non-default)

Procedura di eliminazione workspace in 3 passaggi con doppia conferma. Elimina definitivamente il database e tutti i dati contenuti.

La procedura guidata “Dati Demo” consente di popolare un workspace con dati di esempio o con le tabelle normative ufficiali italiane.

Tab “Carica Demo”

Wizard a 3 step per generare dati realistici:

1. Scegli archivio: Soggetti (anagrafe) o Catalogo (articoli)
2. Scegli categoria: es. Clienti, Fornitori, Agenti, Farmaci, Articoli, Kit, ecc.
3. Scegli quantità: preset rapidi (10, 50, 100, 500, 1.000) o valore personalizzato fino a 100.000

I dati generati sono realistici: nomi, indirizzi, P.IVA, CF, codici articolo, prezzi, categorie.

Tab “Tabelle Normativa”

Carica le tabelle ufficiali dell'Agenzia delle Entrate / INPS / SDI:

• Tipi Pagamento (codici SDI)
• Condizioni Pagamento
• Tipi Documento (TD01-TD29)
• Formati Trasmissione (FPR12, FPA12)
• Regimi Fiscali (RF01-RF19)
• Tipi Cassa Previdenza (TC01-TC22)
• Nature IVA (N1-N7 con sottotipi)

L'operazione è idempotente: aggiorna i record esistenti e inserisce quelli mancanti senza creare duplicati.

Tab “Svuota Archivi”

Zona pericolosa per svuotare tabelle selezionate. Richiede conferma esplicita. Mostra il conteggio dei record eliminati per archivio.

Disattivare

Il toggle Attivo/Inattivo nella scheda utente disabilita l'account senza eliminarlo. Un utente disattivato non può effettuare il login ma i suoi dati e le sue associazioni restano nel sistema.

• Non è possibile disattivare sé stessi
• La disattivazione è reversibile: riattivare con lo stesso toggle

Eliminare

Il pulsante Elimina (cestino) nell'elenco utenti rimuove definitivamente l'account.

La pagina /admin/sistema non c’è più. Raccoglieva funzioni che con il tempo erano diventate doppioni o avevano trovato una casa migliore: è stata sciolta e ogni riquadro è andato dove lo si usa. Chi aveva l’indirizzo salvato finisce su Aziende & Licenze.

Aggiornamenti alla gestione utenti, workspace e permessi.

Sync target per-workspace

In Modifica Utente → Database di Lavoro, accanto a ogni workspace abilitato, compare un selettore “Sync target” (visibile solo ai SuperAdmin). Permette di indicare il workspace di replica automatica: qualsiasi generazione XML o documento nel workspace sorgente viene replicato su quello target.

Si preme sulla scritta «Nessun sync» per aprire l’elenco e si sceglie l’azienda di destinazione; per toglierlo si rimette su Nessun sync.

menuConfig per-workspace

I moduli abilitati (menu laterale visibile all'utente) non sono più configurati a livello utente ma a livello workspace. La configurazione viene salvata su Parametri.menuConfig invece che su User.menuConfig.

• Ogni workspace ha il proprio set di moduli attivi (Scadenzario on/off, Magazzino on/off, ecc.)
• Tutti gli utenti che accedono a quel workspace vedono lo stesso menu
• L'impostazione sostituisce quella per-utente precedente (migrazione automatica al primo accesso)

Scudo colorato per riservataSuper

Il bottone di accesso alla sezione riservata SuperAdmin (pulsante con icona scudo) è ora più evidente: colore ambra e bordo gold, per distinguerlo visivamente dai bottoni standard e ridurre errori di accesso.

In Associazione Aziende (menu utente), sotto «Ambienti accessibili dall’utente», ogni azienda occupa una riga sola. Sopra l’elenco ci sono i titoli delle colonne, così si capisce a colpo d’occhio che cosa fa ciascun comando.

Le due protezioni

• Lo scudo — azienda riservata al SuperAdmin: gli Amministratori normali non possono lavorarci. Scudo pieno e arancione quando è attiva.
• La persona — azienda nascosta al Super Amministratore Limitato: non la vede negli elenchi e non può entrarci. Icona rossa con la persona sbarrata quando è attiva.

Ogni tentativo di autenticazione è persistito nella tabella log_accessi_utente con IP, user-agent, workspace, timestamp.

Eventi tracciati

La cancellazione di un utente non rimuove il record fisicamente: imposta isActive=false + cancellatoIl.

Motivazione

• Preservare la storia accessi per audit e compliance
• Mantenere traccia delle modifiche effettuate da quell'utente in passato
• Evitare broken references su log modifiche di altre tabelle

Ripristino

Solo gli ADMIN possono ripristinare tramite POST /api/utenti/:id/ripristina. Viene riattivato con isActive=true.

Endpoint GET /api/utenti/_/accessi-recenti (ADMIN) consente il monitoring degli accessi recenti con filtri.

Integrabile in un cruscotto di sicurezza per rilevare pattern anomali (tentativi falliti consecutivi, IP sospetti, orari inusuali).

Tabella log_modifiche_utente per tracciare cambi di ruolo, email, attivazione, password.

Endpoint: GET /api/utenti/:id/audit-log. Filtra le ultime 100 modifiche per utente specifico.

Tre ruoli applicati uniformemente su tutti i moduli della piattaforma.

L'uniformità è verificata dalla regressione API: ogni endpoint distruttivo o bulk ritorna 403 se chiamato da utente non-admin.

Protezione contro attacchi brute-force: dopo 5 tentativi di login falliti consecutivi per lo stesso username, l'account è bloccato automaticamente per 15 minuti.

Meccanismo

• Il controllo viene eseguito prima della validazione password sul tentativo di login
• Si conteggiano i record LOGIN_FAIL consecutivi a partire dall'ultimo LOGIN_OK (o da qualsiasi evento negli ultimi 15 minuti)
• Al raggiungimento della soglia, il server risponde HTTP 429 Too Many Requests con campo lockedUntil
• Il blocco genera un evento LOGIN_BLOCKED nel log accessi (monitoraggio centralizzato)

Costanti configurabili

Esempio risposta 429

{
  "error": "Account bloccato per 15 minuti dopo 5 tentativi falliti. Riprovare più tardi o contattare l'amministratore.",
  "lockedUntil": "2026-04-19T14:35:00.000Z"
}

Sblocco amministrativo

Un ADMIN può sbloccare manualmente un account inserendo un record LOGIN_OK manuale nel database oppure attendendo lo scadere della finestra temporale.

Autenticazione a due fattori basata su TOTP time-based one-time password (RFC 6238), compatibile con Google Authenticator, Authy, 1Password, Microsoft Authenticator.

Setup

1. L\'utente chiama POST /api/2fa/setup → il server genera un secret (base32) e restituisce l\'URI otpauth:// per QR code
2. L\'utente scansiona il QR con l\'app authenticator
3. L\'utente chiama POST /api/2fa/verify con il codice a 6 cifre visualizzato → attivazione effettiva
4. Il server restituisce 10 backup codes (formato XXXX-XXXX) da salvare in luogo sicuro

Endpoint disponibili

Parametri TOTP

• Algoritmo: HMAC-SHA1 (standard RFC 6238)
• Periodo: 30 secondi
• Cifre: 6
• Window: ±1 step (tolleranza ±30 secondi per drift clock)

Backup codes

• 10 codici monouso formato XXXX-XXXX
• Salvati in DB solo come SHA-256 (mai in chiaro)
• Ogni codice è consumabile una sola volta (rimosso dopo l\'uso)
• Rigenerazione con /api/2fa/rigenera-backup-codes invalida tutti i precedenti

Un utente, un posto — e il telefono è a parte

Con lo stesso utente si lavora da un computer alla volta: chi entra chiude la sessione di chi c'era prima, e a quest'ultimo compare «Sei stato disconnesso: qualcuno è entrato con il tuo stesso utente da un altro computer». Le credenziali sono di una persona: due sessioni insieme vogliono dire che gira una password.

Il telefono ha un posto suo. Entrare dall'app sul telefono (per esempio Schedia per gli appuntamenti) non chiude il computer, e il computer non chiude il telefono: si può lavorare dal computer e segnare un appuntamento dal telefono con lo stesso utente. Fra due telefoni vale ancora «uno alla volta».

Fa eccezione il Super Amministratore: può stare collegato da più computer e più telefoni insieme, e un suo nuovo accesso non chiude gli altri. «Disconnetti tutti» e il cambio password chiudono comunque tutte le sue sessioni.

Fanno eccezione anche gli utenti delle demo pubbliche. Alla demo del gestionale si entra tutti con le stesse credenziali, scritte sul sito: con la regola normale il secondo visitatore avrebbe buttato fuori il primo, che si sarebbe ritrovato alla schermata di ingresso con scritto che qualcuno stava usando il suo utente. La regola serve a difendere una password che è di una persona sola; quella della demo è pubblica, quindi non c'è niente da difendere. Le sessioni demo ferme da più di dodici ore vengono chiuse da sé.

• Conta come telefono sia un'app installata sul telefono o sul tablet, sia il sito aperto dal browser di un telefono o tablet (iPhone, iPad, Android). Un iPad con Safari impostato su «sito desktop» si presenta come un Mac e conta come computer.
• In pratica, con lo stesso utente possono essere collegati insieme al massimo un computer e un telefono (o tablet). Dal telefono si può fare tutto quello che si fa dal computer.
• «Disconnetti da tutti i dispositivi» e il cambio password chiudono sia i computer sia i telefoni.

Vedere chi è collegato, e staccarne uno

C'è una pagina che elenca le sessioni vive: Aziende & Licenze » Chi è collegato (ci si arriva anche cliccando il gruppetto di iniziali in alto a destra). Per ciascuna si vede la persona, l'azienda, il posto da cui lavora, l'indirizzo di rete e da quanto tempo non dà segni di vita.

Di una sessione non basta sapere quando è nata: una aperta la mattina risulterebbe viva anche se la persona se n'è andata alle nove. Per questo ogni sessione lascia un segno di passaggio, al massimo una volta al minuto, e «collegato» vuol dire che si è mossa negli ultimi cinque minuti.

Da lì si può staccare una sessione sola — il computer sì, il telefono della stessa persona no — e lo stacco è immediato, non alla scadenza del gettone. È cosa diversa da «Disconnetti da tutti i dispositivi», che chiude tutto.

Il dettaglio sta nel manuale di quella pagina.

Sistema di refresh token rotation per bilanciare sicurezza (access token brevi) e UX (sessioni lunghe senza richiedere login ripetuto).

Struttura

• Access token (JWT): TTL 1 ora, contiene id/role/username
• Refresh token: TTL 30 giorni, stringa random 96 caratteri (48 bytes hex)
• Persistenza in tabella refresh_tokens: token, userId, issuedAt, expiresAt, revokedAt, replacedBy, IP, userAgent

Endpoint

Token rotation (sicurezza)

Quando il client chiama /refresh con il refresh token corrente:

1. Il server verifica che non sia revocato e non sia scaduto
2. Revoca il vecchio token con revokedReason='rotated' e replacedBy=<nuovo>
3. Emette un nuovo refresh token + nuovo access token
4. Logga evento TOKEN_REFRESH in log accessi

Questo schema permette di rilevare token compromessi: se un attaccante rubà un refresh token e lo usa, l\'utente legittimo al prossimo refresh troverà il suo token revocato.

Auto-disconnessione

Un ADMIN può forzare la disconnessione di un utente da tutti i dispositivi con /api/auth/logout-all: utile in caso di smarrimento credenziali o licenziamento.

Lo sgancio agisce su due fronti, perché il gettone con cui si lavora è il JWT e non il refresh token:

1. tutti i refresh token dell\'utente vengono revocati;
2. su users.sessioni_valide_da viene scritto l\'istante dello sgancio, e ogni JWT emesso prima di quell\'istante viene rifiutato al primo passaggio.

Senza il secondo punto lo sgancio non avrebbe effetto su chi è già collegato: il suo gettone resterebbe buono fino a scadenza, cioè 8 ore — o 30 giorni se aveva scelto «resta connesso».

Lo stesso interruttore scatta al recupero password: cambiare la password ora scaccia davvero chi era dentro con il gettone vecchio.

Cosa vede e cosa può usare un utente lo decidono due cose sole:

La regola

modulo_acceso(utente, azienda, modulo) =
  pacchetto_in_licenza(azienda, pacchetto_di(modulo))
  AND ( indispensabile(modulo)
        OR ( acceso_per_azienda(modulo)
             AND acceso_per_utente(utente, modulo)
             AND modulo_da_cui_dipende_acceso ) )

Il profilo attività non blocca più niente: serve solo a proporre le impostazioni di partenza. Un modulo spento è bloccato: la pagina non si apre e le funzioni rispondono «spenta per te su questa azienda». Tutti i dettagli nel manuale Aziende & Licenze.