database-rules.json

{
  "rules": {
    "users": {
      ".read": "auth.uid !== null",
      "$uid": {
        ".write": "auth.uid === $uid"
      }
    },
    "customers": {
      ".read": "auth.uid !== null",
      ".write": "root.child('users').child(auth.uid).child('division').val() === 'sales'"
    },
    "orders": {
      ".read": "auth.uid !== null",
      ".write": "auth.uid !== null"
    }
  }
}