헌금 내역을 다루는 사람은 모든 교인의 헌금을 알게 됩니다. 재정 담당자는 그 사실만으로 부담을 느끼고, 교인들은 목회자나 직분자가 자기 헌금액을 알고 있을지 마음을 씁니다.
그렇다고 아무도 못 보게 할 수는 없습니다. 연말에 기부금영수증을 발행하려면 누군가는 교인 이름과 금액을 함께 봐야 합니다.
「헌금자 정보 보호」는 그 선을 교회가 정하게 하는 기능입니다. 이름과 헌금액을 함께 볼 사람을 정하고, 그 사람들이 언제 누구의 헌금을 봤는지 교회 관리자가 고치거나 지울 수 없는 기록으로 남깁니다. 헌금을 입력하는 일과 교회 전체 합계·보고서는 그대로입니다.
꺼 두면 지금과 같다
이 기능은 교회마다 켜는 것이고, 처음에는 꺼져 있습니다. 꺼져 있는 동안에는 모든 화면이 전과 똑같이 동작합니다.
설정은 사이드바 「소통·관리」 묶음의 「헌금자 정보 보호」에서 합니다. 이 메뉴는 Super Admin과, 아래에서 설명할 두 권한 가운데 하나를 받은 관리자에게만 보입니다. 보호를 켜고 끄는 일과 권한을 주는 일은 Super Admin만 합니다.
켜기 전에 「관리자별 권한」 표에서 볼 사람을 먼저 정해 두는 편이 좋습니다. 권한을 가진 사람이 아무도 없는 채로 켜면 기부금영수증 일괄 발행과 백업 내려받기를 아무도 할 수 없어서, 켤 때 화면이 이를 경고합니다.
데모 교회에서는 보호를 켜거나 권한을 바꿀 수 없습니다.
볼 수 있는 사람을 정한다
권한은 두 가지입니다.
- 개인 헌금 열람 — 확정된 헌금의 교인 이름과 금액을 함께 보는 권한입니다. 기부금영수증을 발행하는 재정 담당자에게 줍니다
- 열람 기록 확인 — 헌금은 보지 않고 열람 기록만 보는 권한입니다. 운영위원이나 외부 감사처럼 확인만 하는 분께 줍니다
권한마다 기한을 정할 수 있습니다. 기한을 정하면 그날이 끝날 때 권한도 끝납니다. 권한을 빼면 로그인해 있는 사람도 다음 조회부터 바로 막힙니다.
Super Admin도 같은 규칙을 따릅니다. 권한을 받지 않았다면 Super Admin에게도 확정된 헌금의 이름이 가려집니다. Super Admin은 자기 자신에게 권한을 줄 수 있지만, 그 일은 「본인에게 부여」로 기록에 남고 다른 권한자들이 그 기록을 봅니다.
권한이 없는 관리자에게는
보호를 켜도 일은 멈추지 않습니다. 권한이 없는 관리자도 헌금을 입력하고, 합계와 보고서를 보고, 그날 헌금을 확정합니다.
입력 중(미확정)인 헌금은 헌금 메뉴 권한이 있으면 이름이 보입니다. 확정하는 순간부터는 교인 이름 자리에 「이름 비공개」가 나오고 메모도 가려집니다. 이름이 가려진 확정 헌금은 수정하거나 삭제할 수 없습니다.
교인 한 사람의 헌금이 모이는 화면은 잠깁니다.
- 교인 상세의 헌금 탭
- 보고서의 헌금 영수증·기부금영수증 탭, 헌금 총계 상세, 항목별 내역의 교인별 보기
- 백업 만들기·내려받기·복원
거래 검색에서는 확정된 헌금을 이름·교인번호·메모로 찾지 않습니다. 헌금 목록의 「헌금 인원」은 이름이 가려진 달에도 서버가 센 숫자로 나옵니다.
가리는 것은 헌금 기록에 붙은 교인 이름과 메모입니다. 작정 헌금 메뉴의 메모, 은행 거래 설명, 심방 메모처럼 사람이 직접 적은 글에 이름이나 금액이 들어 있으면 그대로 보입니다. 날짜·금액 같은 정보로 누구의 헌금인지 짐작하는 것도 막지 못합니다.
전 교인을 한꺼번에 볼 때는 사유와 비밀번호
권한이 있어도 전 교인의 헌금을 한꺼번에 보는 조회는 한 단계를 더 거칩니다. 기부금영수증 일괄 발행, 헌금 총계 상세, 항목별 내역의 교인별 보기, 거래 검색의 이름 보기, 백업, 그리고 이름이 든 인쇄·엑셀 내보내기가 여기에 해당합니다.
이때는 사유를 고르고 로그인 비밀번호를 한 번 더 입력합니다. 사유는 기부금영수증 발행, 재정 감사·결산, 입력 오류 확인, 교인 본인 요청, 데이터 백업, 기타 가운데 고르고, 기타를 고르면 메모를 적습니다. 확인되면 30분 동안 열리고 사유와 함께 기록됩니다. 비밀번호가 틀리면 열리지 않고 그 시도도 기록에 남습니다.
일을 일찍 마쳤다면 화면 위 안내 줄의 「지금 잠그기」로 30분이 끝나기 전에 닫습니다. Google 로그인만 써서 비밀번호를 모르는 관리자는 로그인 화면의 「비밀번호를 잊으셨나요?」로 비밀번호를 먼저 정해야 합니다.
교인 한 사람의 헌금을 여는 것은 사유를 묻지 않습니다. 대신 열 때마다 자동으로 기록됩니다.
인쇄·엑셀 같은 내보내기 기록은 브라우저가 알려 온 것을 남긴 것입니다. 화면 캡처나 이미 출력한 종이까지 막지는 못합니다.
누가 언제 봤는지 남는다
이름과 금액을 함께 본 순간은 「헌금자 정보 보호」의 「열람 기록」 탭에 남습니다. 누가, 언제, 누구의 헌금을(전 교인 조회면 몇 명인지), 어느 화면에서 봤는지와 사유, 허용·거부 결과가 보입니다. 금액은 기록하지 않습니다.
기록은 기간·사람·종류·결과·교인 이름으로 거르고 CSV로 내려받습니다. 기록을 볼 수 있는 사람은 Super Admin과 두 권한 가운데 하나를 받은 관리자이고, 기록을 본 일도 다시 기록됩니다. 기록을 누가 들여다봤는지까지 남는다는 뜻입니다.
교회 관리자는 이 기록을 고치거나 지울 수 없습니다. 기록 하나하나에 바로 앞 기록의 지문(해시)이 함께 담기고, 보존 기간이 지난 기록을 정리하는 일 말고는 데이터베이스에서도 고치거나 지우지 못하게 막아 두었습니다. 「기록 검증」을 누르면 남아 있는 기록이 끊긴 곳 없이 이어지는지 확인합니다.
기록은 2년 동안 보관하고, 2년이 지난 기록은 매일 자동으로 지웁니다. 더 오래 남겨야 하는 기록은 그 전에 CSV로 받아 둡니다.
한 관리자가 1시간 안에 서로 다른 교인 20명 이상의 헌금을 하나씩 열면 「이상 조회」로 기록되고, 조회한 본인을 뺀 Super Admin과 권한자들에게 메일이 갑니다. 플랫폼 운영자가 교회 백업을 만들거나 내려받은 일도 이 기록에 「운영자」로 남습니다.
「기록 검증」은 기록을 고치거나 지운 흔적을 찾습니다. 데이터베이스를 직접 다루는 운영자가 기록 전체를 다시 계산해 바꾸는 것까지는 드러나지 않습니다.
혼자서는 끌 수 없게
Super Admin이 2명 이상인 교회에서는 보호를 끄는 일과, 자기 자신에게 열람 권한을 주거나 기한을 늘리는 일을 혼자 할 수 없습니다. 누르면 요청이 「승인 대기」에 올라가고, 요청한 사람이 아닌 다른 Super Admin이 승인해야 적용됩니다. 7일 안에 아무도 결정하지 않으면 요청은 사라집니다.
Super Admin이 한 명뿐이면 승인할 사람이 없어 바로 바뀝니다. 그래서 다른 Super Admin을 일반 관리자로 바꾸거나 비활성·삭제해 한 명만 남게 되면, 그 일을 열람 기록에 남기고 당사자와 기록을 볼 수 있는 분들에게 메일로 알립니다.
보호를 켜고 끄거나 권한을 주고 빼고 기한을 바꾸는 일도 메일로 알립니다. Super Admin과 권한자, 권한이 바뀐 당사자가 받고, 바꾼 본인은 받지 않습니다. 메일에는 교인 이름과 금액이 들어가지 않습니다.
보호를 끈 기간은 열람 기록 화면 위에 표시되고, 끈 동안의 열람은 기록되지 않습니다. 백업을 복원하면 그 교회의 열람 권한이 모두 해제되고 승인을 기다리던 요청도 취소되므로, 복원한 뒤 권한을 다시 정해야 합니다.