Los roles
| Rol | Quién es | Acceso |
|---|---|---|
Administrador (TENANT_ADMIN) |
Administrador del cliente | Todo en el tenant: configura, crea y edita en todos los módulos |
Gestor (TENANT_MANAGER) |
Gestor de área / RR. HH. | Crea campañas y hace seguimiento; lectura en el módulo Personas |
Ombudsman (TENANT_OMBUDSMAN) |
Canal de denuncias | Ve solo los reportes de compliance (denuncias) |
Colaborador (COLLABORATOR) |
Colaborador | Solo el portal del colaborador / agente de escritorio; no accede al panel web |
Super Admin (SUPER_ADMIN) |
Equipo qlture | Acceso global; administra tenants. No pertenece a ningún tenant |
Qué puede hacer cada uno
Regla general: el Administrador escribe; el Gestor lee (y crea campañas/contenido). Las acciones sensibles requieren Administrador.
| Área | Administrador | Gestor | Colaborador |
|---|---|---|---|
| Usuarios — ver | ✅ | ✅ | ❌ |
| Usuarios — invitar/editar/desactivar/importar | ✅ | ❌ | ❌ |
| Grupos y departamentos — ver | ✅ | ✅ | ❌ |
| Grupos y departamentos — crear/editar/eliminar | ✅ | ❌ | ❌ |
| Biblioteca de contenido — crear/editar | ✅ | ✅ | ❌ |
| Contenido — archivar / eliminar quiz | ✅ | ❌ | ❌ |
| Campañas (formación/phishing) — ver | ✅ | ✅ | ❌ |
| Campañas — crear/publicar/editar/cancelar | ✅ | ❌ | ❌ |
| SSO, SCIM, Autorregistro | ✅ | ❌ | ❌ |
| Auditoría | ✅ | ❌ | ❌ |
| Reportes de compliance (denuncias) | ❌* | ❌* | ❌ |
* Las denuncias de compliance son exclusivas del Ombudsman (y del Super Admin): ni el Administrador ni el Gestor las ven, para preservar la confidencialidad del canal. Los demás reportes (seguridad, ingeniería social) quedan a cargo del Administrador/Gestor.
Reglas de seguridad que aplican a todos
- Aislamiento por tenant: ningún dato se filtra entre organizaciones; el tenant siempre proviene de la sesión, nunca del formulario.
- Nadie se convierte en Super Admin por invitación o promoción. Esa vía está bloqueada.
- Desactivar cierra las sesiones al instante (soft delete + revocación de tokens).
- Los colaboradores no tienen contraseña por defecto. Entran por OTP en el correo.
