Zie rollen en rechten in een demo
In een demo zetten we samen een paar rollen neer voor jouw teams, met een uitzondering en een API-sleutel, en laten we zien wat een agent dan wel en niet kan.
- Home
- Product
- Rollen en rechten
Rollen en rechten die voor mens én agent gelden
Lumo is een RevOps-CRM met Marketing, Sales en Customer Success en Support onder één dak. Dus werken er veel verschillende mensen in, en steeds vaker ook AI-agents. Met rollen en rechten bepaal je per gebied wie iets mag bekijken of bewerken, en een agent krijgt nooit meer dan de persoon achter zijn sleutel.
- Vier standaardrollen en eigen rollen
- 21 gebieden, elk met Bekijken en Bewerken
- Dezelfde rechten in scherm, API, MCP en assistent
Waarom rechten in een CRM zo snel scheef groeien
Je kent het wel. Een CRM begint met vijf verkopers en iedereen is beheerder, want dat is makkelijk. Een jaar later zit marketing erin, de supportafdeling beantwoordt er tickets, een stagiair belt een lijst na en een freelancer schrijft de kennisbankartikelen. Niemand weet meer precies wie wat mag. En als je het vraagt, is het antwoord meestal "alles".
Dat gaat lang goed. Tot iemand per ongeluk een pipeline aanpast, een export van alle relaties maakt of een koppeling weghaalt waar drie automatiseringen op draaiden. Of tot de controller vraagt waarom een stagiair de uren van het hele team kan zien.
De gebruikelijke reactie is een tweede systeem. Support krijgt een eigen helpdesk, marketing een eigen tool, en de data loopt uit elkaar. Precies wat je met één RevOps-CRM wilde voorkomen.
Er komt nu ook iets bij. Agents. Een AI-agent die 's nachts leads verrijkt, een routine die elke vrijdag uren controleert, een assistent die op verzoek een automation bouwt. Die werken met een sleutel. En de vraag is dan niet alleen wat je collega mag, maar ook wat zijn agent mag.
In Lumo is dat dezelfde vraag. Een rol is een lijst rechten met een naam. Een lid heeft één rol, en zo nodig een paar uitzonderingen. Die rechten gelden in het scherm, in de API, voor elke API-sleutel en MCP-koppeling, en voor de AI-assistent. Neem je iemand een recht af, dan verliest zijn sleutel het ook, bij het volgende verzoek.
Op deze pagina lopen we door hoe je rollen maakt, wat de gebieden zijn, hoe uitzonderingen per persoon werken en wat dat betekent voor je agents. Wil je het bredere verhaal over inloggen, het logboek en de AVG, lees dan beveiliging en privacy. Hoe agents in het algemeen met Lumo werken, staat bij headless CRM en AI-agents.
Zo werkt het
De namen hieronder zijn de namen die je in het scherm ziet.
Open Rollen en rechten
Ga naar Instellingen, Rollen en rechten. Onder Rollen staan de vier standaardrollen met een badge: Standaard, Aangepast, Eigen rol of Vast.
Maak een nieuwe rol
Klik Nieuwe rol, geef een Naam van de rol en kies bij Begin met voor Een lege rol zonder rechten of Een kopie van een bestaande rol, bijvoorbeeld Lid. Klik Rol maken.
Vink aan wat de rol mag
In de matrix staat per Gebied een vinkje Bekijken en een vinkje Bewerken. Met Alles aan en Alles uit zet je snel een basis. Daaronder kies je de Beheer en bijzondere rechten en klik je Opslaan.
Geef mensen de rol
Onder Instellingen, Team kies je per persoon de rol. Bij het uitnodigen van een nieuwe collega kies je de Rol meteen mee.
Stel een uitzondering in
Moet één persoon iets meer of minder dan zijn rol, klik dan Rechten aanpassen. Je ziet "Wijkt af van de rol" bij wat anders is. Rechten opslaan bewaart het, Terug naar de rol haalt de uitzonderingen weg.
Elke werkruimte krijgt vier standaardrollen. Eigenaar mag alles en die rol is vast. Beheerder mag ook alles. Lid mag alle gebieden bekijken en bewerken, maar heeft geen beheerrechten en mag niet exporteren. Lezer mag alleen bekijken.
Voor veel teams is dat genoeg om mee te beginnen. Maar Lid, Beheerder en Lezer zijn niet in beton gegoten. Je mag de rechten van die drie aanpassen, en dan krijgt de rol de badge Aangepast. Spijt? Terug naar standaard zet de rol weer op de lijst uit Lumo. Zolang je een standaardrol niet aanpast, komen nieuwe rechten er vanzelf bij als Lumo een gebied toevoegt.
Daarnaast maak je zoveel eigen rollen als je wilt. Bijvoorbeeld "Support", die tickets en het helpcentrum mag bewerken en deals alleen mag bekijken. Of "Marketing", die mailings, formulieren en websitemeting bewerkt maar geen offertes ziet. Een eigen rol krijgt alleen wat je aanvinkt.
Lumo leidt uit elke rol ook een toegangsniveau af. Een rol met een beheerrecht krijgt het niveau Beheerder. Een rol die gegevens kan wijzigen krijgt Lid. Een rol die alleen leest krijgt Lezer. Dat niveau is het plafond in de database: een rol zonder beheerrecht schrijft nooit in een beheertabel, ook niet als de app een fout zou maken.
- Eigenaar: alles, vast en niet te wijzigen
- Beheerder: alles, en aan te passen
- Lid: alle gebieden bekijken en bewerken, geen beheer en geen export
- Lezer: alleen bekijken
- Een rol met leden is niet te verwijderen
De matrix is het hart van een rol. Elk gebied heeft twee vinkjes. Bekijken betekent dat iemand het onderdeel ziet en de gegevens kan lezen. Bewerken betekent dat hij ook mag wijzigen. Bewerken neemt bekijken altijd mee, en zet je bekijken uit, dan gaat bewerken ook uit.
De gebieden volgen de onderdelen van Lumo. Voor sales zijn dat onder meer Contacten en organisaties, Deals, Leads, Activiteiten en notities, Belcampagnes en LinkedIn, Offertes en Producten. Voor klantcontact Tickets en klantcontact, Helpcentrum en Gesprekken met bezoekers. Voor marketing Mailings, Marketing en websitemeting en Formulieren. En verder E-mail, Bestanden, Agenda en afspraken, Projecten, Kluis met projectgeheimen, Rapporten en dashboards, Dubbele gegevens samenvoegen en Automatiseringen.
Wat iemand niet mag bekijken, verdwijnt uit zijn menu. Hij ziet dus geen knop die hij toch niet mag gebruiken. Een Lezer die de boekingspagina opent, ziet "Je kunt de boekingspagina bekijken, maar niet wijzigen." En bij bestanden ziet hij "Je kunt bestanden bekijken en downloaden, maar niet wijzigen."
Daaronder staan de beheerrechten. Team beheren, Rollen en rechten beheren, Werkruimte en functies, Gegevensmodel en import, Privacy en toestemming, Koppelingen en sleutels, Automatisering en begeleiding en Klantcontact instellen. Zo kan je RevOps-collega velden en pijplijnen beheren zonder dat hij ook API-sleutels van anderen kan intrekken.
- 21 gebieden, elk met Bekijken en Bewerken
- Alles aan en Alles uit voor een snelle basis
- Acht beheerrechten, los aan te vinken
- Wat je niet mag bekijken, staat niet in je menu
Soms past iemand bijna in een rol. Een accountmanager die ook de offertes van zijn team moet kunnen exporteren. Een supportcollega die tijdelijk geen toegang tot de kluis moet hebben. Daar maak je geen aparte rol voor. Je stelt een uitzondering in.
Onder Instellingen, Team klik je bij die persoon op Rechten aanpassen. Je ziet dezelfde matrix als bij de rol, met Rechten van en zijn naam erboven. Vink aan of uit wat deze persoon anders mag. De rol zelf blijft hetzelfde. In de teamlijst staat daarna "1 uitzondering" of het aantal, en bij wie niets afwijkt "Volgt de rol".
Als een rol iets aanzet en een uitzondering het uitzet, wint uit. Zo kan een uitzondering nooit per ongeluk meer openzetten dan je bedoelde.
Een paar regels houden het veilig. Je geeft alleen rechten uit die je zelf hebt. Bij een recht dat je niet hebt staat "Dit recht heb je zelf niet, dus je kunt het niet uitdelen." Je kunt jezelf niet buitensluiten. En de laatste eigenaar blijft altijd eigenaar.
Een wijziging werkt binnen enkele seconden, zonder dat iemand opnieuw hoeft in te loggen. Daarom waarschuwt het scherm voor je opslaat, bijvoorbeeld "Opslaan raakt 4 gebruikers: hun rechten veranderen meteen." Elke wijziging aan een rol of uitzondering komt in het logboek.
- Rechten aanpassen per persoon, de rol blijft gelijk
- Uit wint van aan
- Terug naar de rol haalt alle uitzonderingen weg
- Je deelt alleen rechten uit die je zelf hebt
- Elke wijziging in het logboek
Lumo is gemaakt om door mensen en AI-agents samen gebruikt te worden. Een agent werkt via de MCP-server of de REST-API, met een API-sleutel. De regel is simpel: een sleutel krijgt nooit meer dan de persoon die hem maakte.
Iedere gebruiker, ook een Lid of Lezer, maakt en trekt zijn eigen sleutels in. Bij het maken weigert Lumo rechten die buiten jouw rol vallen. En bij elk verzoek begrenst Lumo de sleutel opnieuw tot wat jij op dat moment mag. Haal je iemand het recht Bewerken op Deals af, dan kan zijn agent bij het volgende verzoek ook geen deals meer wijzigen. Een sleutel zonder schrijfrechten werkt als Lezer.
Koppel je Lumo als connector aan Claude.ai of ChatGPT, dan krijg je een sleutel die 90 dagen geldig is en nooit bij de kluis of de werkruimte-instellingen kan. Een eigenaar of beheerder met het recht Koppelingen en sleutels ziet alle sleutels van het team en kan ze intrekken. Alleen een eigenaar maakt een sleutel met beheerrechten.
De AI-assistent in de app werkt met de rol van de ingelogde gebruiker. Gereedschappen van een gebied waar je geen leesrecht op hebt, ontbreken gewoon. Een gereedschap dat iets wijzigt, vraagt ook het schrijfrecht. Verzenden en verwijderen wachten op "Akkoord, uitvoeren".
- Sleutels nooit boven de rechten van hun maker
- Een recht afnemen werkt direct door in de sleutels
- Connectorsleutel 90 dagen, zonder kluis en werkruimte
- Assistent mist gereedschappen voor gebieden zonder leesrecht
Wat er in rollen en rechten zit
Elk punt hieronder staat zo in de app.
Vier standaardrollen
Eigenaar, Beheerder, Lid en Lezer. Lid, Beheerder en Lezer zijn aan te passen, Eigenaar is vast. Terug naar standaard zet een aangepaste rol terug.
Eigen rollen
Begin met Een lege rol zonder rechten of Een kopie van een bestaande rol. Een eigen rol krijgt alleen wat je aanvinkt.
Bekijken en Bewerken
Per gebied twee vinkjes, 21 gebieden. Bewerken neemt Bekijken mee. Met Alles aan en Alles uit zet je snel een basis.
Exporteren als apart recht
Lijsten en formulierinzendingen in bulk downloaden, ook via een API-sleutel. Lid heeft het standaard niet.
Alle uren bekijken
Zonder dit recht zie je in de tijdregistratie alleen je eigen uren. Eigenaar en Beheerder hebben het standaard, Lid en Lezer niet.
Alle 1-op-1's lezen
Standaard heeft alleen de eigenaar dit recht, ook de beheerder niet. Een 1-op-1-gesprek lezen verder alleen de medewerker en zijn manager.
Acht beheerrechten
Van Team beheren tot Klantcontact instellen. Elk beheerrecht geeft de rol het toegangsniveau Beheerder.
Uitzonderingen per persoon
Rechten aanpassen in Team. De lijst toont Volgt de rol of het aantal uitzonderingen. Uit wint van aan.
Rollen per team
Zo zetten teams de rechten vaak neer. Het zijn voorbeelden, geen vaste indeling.
Sales
Bewerken op Deals, Leads, Contacten en organisaties, Activiteiten en notities, Offertes en E-mail. Mailings alleen bekijken. Geen export.
Salesmanager
Zoals sales, plus Rapporten en dashboards bewerken en Exporteren. Met Alle uren bekijken als het team ook uren schrijft.
Customer success
Bewerken op Projecten, Contacten en organisaties en Activiteiten. Kluis met projectgeheimen alleen voor wie de klant echt installeert.
Support
Bewerken op Tickets en klantcontact, Helpcentrum en Gesprekken met bezoekers. Deals en Offertes alleen bekijken.
Marketing
Bewerken op Mailings, Marketing en websitemeting en Formulieren. Leads bekijken en bewerken, Offertes uit.
RevOps
Beheerrechten Gegevensmodel en import en Automatisering en begeleiding, zonder Team beheren. Lees meer voor RevOps en directie.
Directie
Vaak een Lezer met Exporteren en Alle uren bekijken als uitzondering. Kijken in alles, niets per ongeluk wijzigen.
Een voorbeeld: een softwarebedrijf met mensen en agents
Stel: een softwarebedrijf met 22 mensen gebruikt Lumo voor sales, marketing en support. Dit is een verzonnen voorbeeld om te laten zien hoe het werkt, geen klantcase.
In het begin was iedereen Beheerder. De operationsmanager wil dat veranderen. Ze opent Rollen en rechten en maakt drie eigen rollen. "Sales" is een kopie van Lid, met Mailings op alleen bekijken. "Support" begint leeg: Tickets en klantcontact, Helpcentrum en Gesprekken met bezoekers op bewerken, Contacten en organisaties en Deals op bekijken. "Marketing" krijgt Mailings, Formulieren en Marketing en websitemeting op bewerken en Leads erbij.
Ze klikt Opslaan. Het scherm meldt dat het negen gebruikers raakt. Die zien binnen een paar seconden een ander menu. De supportmensen zien geen offertes meer staan. Niemand hoeft opnieuw in te loggen.
Dan de uitzonderingen. Eén accountmanager maakt elke maand een export voor finance. Hij houdt de rol Sales, maar krijgt via Rechten aanpassen het recht Exporteren erbij. In de teamlijst staat bij hem "1 uitzondering". De twee oprichters blijven Eigenaar. De controller wordt Lezer met Alle uren bekijken als uitzondering, zodat ze de uren van iedereen ziet zonder iets te kunnen wijzigen.
En de agents. Het salesteam heeft een agent die elke ochtend nieuwe leads naloopt. Die draait op een sleutel van een accountmanager, dus ook met de rol Sales. Hij kan deals aanmaken, maar geen mailing versturen, want Mailings staat voor Sales op alleen bekijken. Finance heeft een routine die elke vrijdag de uren controleert. Die draait op een leessleutel van de controller. Omdat zij Alle uren bekijken heeft, ziet de routine de uren van het hele team. Een sleutel van een gewoon Lid zou alleen de eigen uren zien.
Drie maanden later stapt een supportmedewerker over naar marketing. Hij krijgt de rol Marketing. Zijn agent kan vanaf het volgende verzoek geen tickets meer bewerken, want dat recht heeft hij zelf niet meer. Een sleutel volgt altijd de rechten van zijn maker.
Voor AI-agents: wat via MCP en de API kan
Een agent die via de MCP-server of de REST-API werkt, ziet in tools/list alleen de tools die zijn sleutel mag. Heeft de maker van de sleutel geen leesrecht op Offertes, dan staan de offertetools er niet tussen. Een uitgezette module levert ook geen tools. Tools die een klant benaderen, mail versturen of iets voorgoed wissen vragen daarnaast confirm: true.
Lezen wie er in het team zit, kan met list_members. Voor de uren volgen list_time_entries, time_summary en time_report het recht Alle uren bekijken. In time_report zie je aan de scope of het rapport beperkt is tot de eigen uren.
Wat een agent bewust niet kan: rollen maken, rechten wijzigen of teamleden uitnodigen. Daar is geen MCP-tool voor. Dat doe je in het scherm, of via de eindpunten van de app met een ingelogde sessie. Zo kan een agent zichzelf of een ander nooit meer rechten geven. Inloggen, tweestapsverificatie en sleutels beheren lopen ook niet via de MCP.
Meer over sleutels, scopes en limieten lees je bij API en integraties. Wat de AI-assistent in de app doet, en hoe hij om akkoord vraagt, staat op zijn eigen pagina.
Zo richt je het in
Dit lopen we langs bij een nieuwe werkruimte.
- Houd twee eigenaren aan, zodat je nooit vastzit als er één weg is.
- Maak een lijst van je teams en schrijf per team op welke onderdelen ze echt gebruiken.
- Maak per team een eigen rol, liefst als kopie van Lid of Lezer.
- Zet Exporteren alleen aan voor wie het voor zijn werk nodig heeft.
- Bepaal wie Alle uren bekijken krijgt, zeker als je met projecten en uren werkt.
- Geef de Kluis met projectgeheimen alleen aan wie bij de klant installeert.
- Gebruik uitzonderingen voor één persoon en een rol voor een groep.
- Laat agents draaien op een sleutel van iemand met precies de rechten die de agent nodig heeft.
- Loop elk kwartaal de teamlijst, de uitzonderingen en de API-sleutels na.
Hoe rollen samenhangen met de rest van Lumo
Rollen raken elk onderdeel. In tijdregistratie en projecten bepaalt Alle uren bekijken of iemand alleen zijn eigen uren ziet of die van het team. Het urenbudget van een project telt wel altijd iedereen mee. In het klantportaal ziet een klant alleen zijn eigen project, los van de rollen van je team.
De afsprakenplanner en Bestanden laten een Lezer kijken zonder te wijzigen. En een melding in de bel staat alleen bij de ontvanger.
Voor het bredere beeld van inloggen, het logboek en de AVG ga je naar beveiliging en privacy. Ben je degene die dit allemaal inricht, kijk dan ook bij RevOps en directie.
Wat je moet weten
Rechten gelden per gebied, niet per record. Wie Deals mag bekijken, ziet alle deals van de werkruimte, niet alleen zijn eigen. De enige uitzondering zijn uren: zonder Alle uren bekijken zie je alleen je eigen uren. Er zijn ook geen rechten per pipeline, per team of per veld. Wil je dat een groep iets niet ziet, zet dan dat hele gebied uit in hun rol. Projectgeheimen staan apart in de kluis, met een eigen gebied en een pincode per medewerker.
Zoeken en de tijdlijn volgen het toegangsniveau van de rol, niet het leesrecht per gebied. Houd daar rekening mee als je een gebied uitzet voor gevoelige gegevens.
Inloggen via SSO zit er niet in. Iedereen logt in met zijn eigen account, en tweestapsverificatie kun je verplicht maken voor beheerders. Rollen wijzigen kan niet via MCP, dat doe je in het scherm.
Veelgestelde vragen over rollen en rechten
Welke rollen heeft Lumo standaard?
Vier: Eigenaar (alles, vast), Beheerder (alles), Lid (alle gebieden bekijken en bewerken, geen beheer en geen export) en Lezer (alleen bekijken). Lid, Beheerder en Lezer kun je aanpassen.
Kan ik een eigen rol maken?
Ja. Klik op Nieuwe rol in Rollen en rechten en begin met een lege rol of een kopie van een bestaande rol. Daarna vink je per gebied Bekijken en Bewerken aan en kies je beheerrechten.
Kan ik instellen dat een verkoper alleen zijn eigen deals ziet?
Nee. Rechten gelden per gebied. Wie Deals mag bekijken, ziet alle deals van de werkruimte. Alleen bij uren bestaat het onderscheid tussen eigen en alle, met het recht Alle uren bekijken.
Wat is een uitzondering per persoon?
Een recht dat voor één persoon anders staat dan in zijn rol. Je zet het via Rechten aanpassen in Team. De rol blijft gelijk. Staat iets in de rol aan en in de uitzondering uit, dan wint uit.
Moet iemand opnieuw inloggen na een wijziging?
Nee. Een wijziging werkt binnen enkele seconden. Het scherm laat vooraf zien hoeveel gebruikers je wijziging raakt.
Wat mag een AI-agent in Lumo?
Precies wat de persoon achter zijn sleutel mag, en niet meer. Lumo begrenst de sleutel bij elk verzoek opnieuw. Neem je die persoon een recht af, dan verliest de agent het ook.
Kan een agent rollen of rechten wijzigen?
Nee. Er is geen MCP-tool om rollen te maken of rechten te wijzigen. Een agent kan met list_members wel lezen wie er in het team zit. Rollen beheer je in het scherm.
Werkt de AI-assistent ook met rollen?
Ja. De assistent werkt met de rol van de ingelogde gebruiker. Gereedschappen van een gebied zonder leesrecht ontbreken, en verzenden en verwijderen wachten op jouw akkoord.
Ondersteunt Lumo SSO?
Nee, inloggen via SSO zit er niet in. Iedereen heeft een eigen account en je kunt tweestapsverificatie verplicht maken voor beheerders. Lees meer bij beveiliging en privacy.
Wordt bijgehouden wie rechten verandert?
Ja. Elke wijziging aan een rol of uitzondering komt in het logboek.
Verder lezen
