Was ein Freigabeprotokoll wert ist

Was geschrieben wird, wenn ein Kunde entscheidet

Eine Entscheidung aus dem Kundenportal schreibt drei Dinge in einer einzigen Transaktion. Eine Entscheidungszeile zur Freigabe mit dem Ergebnis - freigegeben oder Änderungen angefordert - dem Kommentar, dem Akteurstyp „Portal“ und keiner User-ID. Eine Audit-Zeile im studioeigenen Vokabular, die besagt, dass die Freigabe erteilt oder Änderungen angefordert wurden, zusammen mit dem Kommentar. Und die Freigabe selbst wird mit der Uhrzeit als entschieden markiert.

Sobald der Schreibvorgang dauerhaft ist, erfasst eine zweite Audit-Zeile, dass die Entscheidung über das Kundenportal eingegangen ist: welcher Zugang, welche Session und welche Review-Runde sie registriert hat. Erst dann werden die Mitarbeiter des Studios benachrichtigt, sodass ein E-Mail-Ausfall niemals eine Entscheidung rückgängig machen kann, und das Board bewegt sich gemäß den eigenen Regeln des Workflows.

Eine Entscheidung, die ein Producer auf der Studioseite erfasst, schreibt dieselben Zeilen mit der User-ID des Producers und dem Akteurstyp „User“. Beide sind niemals dieselbe Zeile, was es dem Studio ermöglicht, mit Sicherheit zu sagen, ob der Kunde den Button gedrückt hat oder das Studio dies auf seine Anweisung hin getan hat.

Welche Version

Die Frage nach der Version wird durch die Review-Runde beantwortet. Eine Runde ist ein einzelnes Review einer Version, das genau einmal geöffnet und durch genau eine Entscheidung geschlossen wird und niemals wieder geöffnet werden kann. Wenn der Kunde im Kundenportal entscheidet und der Task der Freigabe einen geöffneten Review-Raum hat, wird die Entscheidung in diesem Raum erfasst, und die Audit-Zeile für die Portal-Entscheidung benennt die Runde. Die Runde benennt die Version.

Das Kundenportal selbst zeigt dem Kunden die Versionsnummer dessen an, was er sich ansieht, sodass der Kunde und das Studio im Moment der Entscheidung dieselbe Nummer vor sich haben. Im Raum des Studios können zwei Versionen nebeneinander verglichen werden, wobei Notizen in die nächste Version übernommen werden. So ist der Weg von der Notiz auf Version zwei bis zur Freigabe auf Version drei lückenlos nachvollziehbar.

Welcher Zugang und wer dahintersteckte

Ein Zugang hat ein vom Studio gewähltes Label - ein Kunde oder eine bestimmte Person beim Kunden - und einen Typ: Code, Link, Telefon oder E-Mail. Ein Zugang, der einen Einmalcode per SMS oder E-Mail erfordert, verknüpft die Session mit einer Telefonnummer oder einer Adresse, die den Code erhalten hat, und der Versand sowie jeder fehlgeschlagene Versuch werden protokolliert. Die Session erfasst die IP-Adresse und den Browser, und der Zugang zählt, wie viele verschiedene Geräte ihn jemals genutzt haben.

Das Protokoll für eine Entscheidung lautet also: Zugang „Dana, Marketing“, Typ E-Mail mit Einmalcode, Session geöffnet an diesem Datum von dieser Adresse aus, Entscheidung freigegeben zu diesem Zeitpunkt für Version drei. Ein Zugang für den gesamten Kunden ohne Einmalcode liest sich weniger spezifisch, und das Studio entscheidet bei der Erstellung des Zugangs, welche Variante es möchte.

Ein verweigerter Zutritt wird ebenfalls erfasst, wobei der Grund - nicht gefunden, widerrufen, abgelaufen, Einmalcode erforderlich - für das Studio aufbewahrt und niemals am Zugang angezeigt wird. Wenn ein Link massenhaft aufgerufen wird, ist dies im Log sichtbar, bevor es zum Problem wird.

Append-only bedeutet Append-only

Die Audit-Tabelle hat in keinem Bereich der Anwendung einen Pfad zum Aktualisieren oder Löschen, und eine Überprüfung im Build weist Code ab, der einen solchen hinzufügen würde. Eine geschriebene Zeile bleibt eine geschriebene Zeile. Die Korrektur des Protokolls bedeutet, eine weitere Zeile zu schreiben, die dies besagt - genau wie in einem Kassenbuch.

Der Audit-Trail überdauert die darin vorkommenden Personen. Wenn ein Benutzerkonto gelöscht wird, werden die Zeilen des Kontos unwiderruflich gelöscht, aber jede Audit-Zeile verweist über eine Verknüpfung auf den Benutzer, die auf NULL gesetzt statt kaskadiert wird, und die E-Mail des Akteurs wurde zum Zeitpunkt des Schreibens in der Zeile erfasst. Ein Jahr später zeigt die Zeile immer noch an, wer es getan hat.

Dieselbe Regel verhindert, dass der Abschied eines Freelancers die Arbeit eines Studios löscht: Projekte, Tasks, Kommentare, Freigaben und Dateien sind über eine Verknüpfung verfasserzugeordnet, die beim Löschen auf NULL gesetzt und nicht kaskadiert wird.

Der gesamte Audit-Trail rund um eine Entscheidung

Eine Entscheidung ist nur eine von vielen Zeilen, die das Kundenportal schreibt. Der Audit-Trail darum herum umfasst die Erstellung des Zugangs mit seinen Einstellungen (und niemals seinen Anmeldedaten), die Zustellung der Einladung, den Widerruf des Zugangs, jeden Zutritt und verweigerten Zutritt, jeden gesendeten oder fehlgeschlagenen Einmalcode, jede gepostete Notiz, jedes hochgeladene Briefing, jedes heruntergeladene Deliverable, jede gesendete Erinnerung (durch eine Person oder das System) und jede Korrekturschleife, die die vereinbarte Anzahl überschritten hat, samt Schleifenzähler. Eine Änderung der vereinbarten Anzahl an Schleifen wird mit den alten und neuen Werten protokolliert.

Die Studioseite des Kundenportals listet jeden Zugang mit dem ersten Öffnen, dem letzten Online-Status, den verschiedenen Geräten und der Anzahl der erfassten Kundenfreigaben auf. Diese Tabelle wird aus denselben Zeilen gelesen; es gibt keine zweite Datenquelle, die abweichen könnte.

• Entscheidung: Ergebnis, Kommentar, Akteurstyp, Uhrzeit, Zugang, Session, Runde.
• Zugang: erstellt, zugestellt, widerrufen, betreten, verweigert mit Grund.
• Darum herum: Notizen, Uploads, Downloads, Erinnerungen, überschrittene Runden.

Löschung, Export und was übersteht

Ein Workspace-Inhaber kann über den Einstellungsbildschirm alles, was dem Workspace gehört, in eine einzige Datei exportieren und den Workspace oder das eigene Konto löschen, ohne jemanden bei Tasked fragen zu müssen. Die Löschung liegt hinter drei Hürden: der Eingabe der ID des Workspace oder Kontos, einer erneuten Authentifizierung und einer Bestätigung, die das Datum nennt, an dem die Aktion unumkehrbar wird. Ein Konto, das der letzte Inhaber eines aktiven Workspace ist, kann erst gelöscht werden, wenn dies gelöst ist.

Die veröffentlichte Frist beträgt 30 Tage. Ein gelöschter Workspace wird exportiert, als gelöscht markiert und 30 Tage später durch eine tägliche Bereinigung dauerhaft vernichtet. Dieselbe Frist ist in den Nutzungsbedingungen, der Datenschutzerklärung und der Vereinbarung zur Auftragsverarbeitung angegeben, und ein Test im Build schlägt fehl, wenn der Code und die veröffentlichten Sätze jemals voneinander abweichen. Der Export ist eine ZIP-Datei, die über einen signierten Link abgerufen wird, der fünf Minuten lang gültig ist.

Der Audit-Trail übersteht die Löschung, befreit von identifizierenden Details, sodass immer noch nachgewiesen werden kann, was passiert ist. Das ist der Wert des Protokolls: Die Freigabe, die ein Kunde in einem Jahr infrage stellt, ist immer noch da - mit dem Wer, Wann, welcher Version und welchem Zugang, unabhängig davon, ob die Beteiligten noch ein Konto haben oder nicht.