ten if chroni nas przed tym aby user nie dodał czasu innemu userowi, zróbmy to bardziej explicite

if not self.request.has_perm('admin') and user.id != self.request.user.id:
    raise HTTPForbidden()