KinoaCRM

Accedi al gestionale Kinoa

Proposte, incarichi, fatturazione, progetti per Unit e relazioni in un solo strumento, con ogni conversazione già agganciata al record a cui appartiene.

Su questo server si accede solo con Google

Accesso con Google
Required
Ci conferma che è stato davvero Google a riconoscerti.
If you decline it: Non c’è alcun accesso: è proprio questo il meccanismo
Il tuo indirizzo email
Required
L’indirizzo che identifica il tuo account e riceve le notifiche.
If you decline it: Non sappiamo quale account sei, quindi non ti si può assegnare nulla
Nome e foto del profilo
Optional — cosmetic only
Così i colleghi vedono un volto e un nome invece di un indirizzo email.
If you decline it: Compari ovunque con il tuo indirizzo email e un monogramma generato

Gmail and Calendar are not requested here. Google’s consent screen at sign-in says name and email address and nothing more; mail and calendar are a second approval, asked for by the surface that needs them and explained on their own screen before you decide.

Google Workspace account

Accepted for @kinoa.studio. Sign-in verifies the hd claim inside Google's signed ID token, not the text of your address, so an address that merely looks right is not enough.

— Shared mailboxes and delegated inboxes are supported.
— Domain-wide revocation is detected and shown as “reconnect needed”.

Personal @gmail.com account

Refused by this server. You will see the “not in this workspace” screen naming your domain and the ones that would work — not a generic access-denied.

— No administrator can pre-approve the app for you; you approve it yourself.
— Until the OAuth client is verified by Google, a personal account sees an “unverified app” warning and must be on the test-user list.

Gmail

Rischio alto

Ogni conversazione con un cliente arriva da sola sulla proposta, sull’incarico e sulla fattura, e il gruppo lavora una sola casella senza pestarsi i piedi.

Decline it and: Il gestionale resta completo (proposte, incarichi, ore, fatturazione): registri le conversazioni a mano, e la casella condivisa resta vuota.

Google Calendar

Rischio medio

La tua agenda sta accanto al lavoro del giorno, e una riunione prenotata si registra da sola sulla scheda giusta.

Decline it and: Le riunioni si registrano a mano come attività. Le pagine di prenotazione raccolgono le richieste ma non confermano l’orario.

Google Drive

Rischio basso

Alla conversione di una proposta in incarico la cartella [Anno]/[Cliente]/[Titolo] nasce da sola su Drive, collegata alla scheda da cui la apri.

Decline it and: Il gestionale funziona per intero: le cartelle si creano a mano su Drive e il link si incolla nella scheda.

Password: Never sent to Kinoa. Authentication happens entirely on Google’s domain.
Refresh token: Encrypted at rest with AES-256-GCM, under a key derived per user. A database dump without the key yields nothing usable.
Sessione: A row in this database, not a self-contained JWT — so signing out really does end the session everywhere, and an administrator can end it for you.
Revocation: Removing Kinoa from your Google account is detected on the next call and shown as “reconnect needed”. Nothing keeps retrying in the background.
Mail and calendar data: This build reads the seeded corpus in its own database. No call leaves the machine.

Refused for the wrong domain — your administrator adds the domain to the allowlist.
Approved but nothing happened — cookies must be allowed for this origin; the flow cannot complete without them.
It worked yesterday — see reconnecting Google.
Setting this up for the first time? docs/GOOGLE-SETUP.md is the exact sequence, including the scope justifications Google asks for.