update

CLAUDE.md

@@ -139,6 +139,15 @@ et haché par `password_hash()`. La règle « qui doit avoir un mot de passe »
 qu'une attente horodatée de cinq minutes : **un jeton validé sans mot de passe n'ouvre rien**. La DSI
 peut effacer un mot de passe, jamais en poser un — sans quoi elle connaîtrait celui de tout le monde.
 
+Depuis la V7.27 (`README_V7_27.md`), le Service Enfance distribue lui-même les jetons des rôles
+`AGENT` et `RESPONSABLE_STRUCTURE`, depuis l'onglet « Administration »
+(`AccessAccountController`, `api/acces_*.php`). **La délégation s'arrête à ces deux rôles** : un
+compte `SERVICE_ENFANCE` créé par le Service Enfance serait une auto-promotion, un compte `DSI` lui
+ouvrirait le journal de ses propres actions. La borne est posée des deux côtés —
+`AccessAccountController::ROLES_DELEGUES` en PHP, `can_manage_field_access` en base — et ne doit être
+élargie ni d'un côté ni de l'autre. La DSI reste seule sur les comptes privilégiés, les mots de passe
+et le journal.
+
 `Access` relit le compte à **chaque requête** (`v_acces_compte`, filtrée sur `actif` et
 `identite_active`) : c'est ce qui fait qu'un jeton révoqué, un agent désactivé ou un lieu fermé
 referment la session en cours. Ne pas mettre ce résultat en cache entre deux requêtes.
@@ -242,6 +251,12 @@ les navigateurs et le `expires 7d` de nginx servent l'ancienne version.
 - Un `planning` = un agent × une semaine ISO × un lieu, statut `BROUILLON` ou `VALIDE`. Il contient
   des `creneau_horaire` porteurs d'un `motif_planning`. Le flag `compte_dans_quota` du motif décide
   de l'imputation (CONGE, AUTRE_ABSENCE et JNT ne comptent pas).
+- **Un compte d'accès coupé retire l'agent des listes d'AFFECTATION** (V7.29) : sélecteur de la
+  saisie (`AgentModel::listForLocation()`) et composition des équipes (`allSelectable()`). Un agent
+  **sans compte** reste proposé — c'est l'état normal avant distribution des jetons, le filtrer
+  viderait les listes d'une installation neuve. Les écrans de consultation et le référentiel
+  « Agents » continuent de le montrer : c'est de là qu'on lui rétablit son accès. `allActive()` reste
+  la liste non filtrée ; ne pas confondre les deux.
 - Un agent peut être planifié sur plusieurs lieux la même semaine ; `id_structure` sur l'agent n'est
   qu'un rattachement par défaut. D'où les contrôles de chevauchement inter-structures.
 - Les vacances scolaires (`periode_vacance`) déterminent le contexte périscolaire/extrascolaire ;