tenant scope
Acceso& Aislamiento

Tenant context · roles · purpose-based visibility · audit trail

Tenant scope activo

TechNova

Plan

Suite

Rol actual

Admin del Tenant

Trust level

5/5

Tenant Context

Aislamiento RLS · row-level por tenant_id

  • Datos aislados por tenant_id=tn-tecnova
  • Sin cache compartido cross-tenant
  • Search scope limitado a tenant
  • Documentos QR con boundary tenant
  • Exports siempre filtrados

Product Context

Productos / capacidades / apps activadas

Productos (6)
clinicaocupacionalesteticaodontokinenutricion
Capacidades (5)
laboratorioimagenesfarmaciafinancesupply
Apps (5)
profesionalpacienterecepcionteleb2b

Access Context

Rol activo: Admin del Tenant

PropósitosAdministrativo
Capabilities
  • persona.view_basic
  • persona.create
  • persona.export
  • agenda.view_all
  • agenda.create
  • document.view
  • document.export
  • finance.view_invoices
  • finance.view_treasury
  • finance.export
  • tenant.iam
  • tenant.billing_saas

Matriz de roles del tenant

Trust level + propósitos + capabilities autorizadas

RolTrustPropósitosVe HCVe sensibleVe finanzas# caps
Super Admin DITAP
administrativo3
Admin del Tenanttu rol
administrativo12
Médico
asistencial6
Recepción
administrativo4
Administración
administrativo, fiscal6
Contaduría
fiscal3
Tesorería
fiscal2
Compras
administrativo0
Auditor Médico
auditoria, asistencial7
Enfermería
asistencial4
Técnico
administrativo0
ART (cliente externo)
art1
Empresa Cliente B2B
administrativo2

Propósito activo

Declarado al iniciar la sesión · queda en cada acceso

Tag de auditoría
Asistencial directo
Cualquier acceso a HC sensible que el rol Admin del Tenant realice esta sesión queda etiquetado con este propósito. Cambios a otro propósito requieren re-declaración.

Sharing intra-red

Pacientes con visibilidad consentida entre productos del tenant

3 activos
  • AM
    Andrea Molina
    Visible en clinicaesteticanutricion
    Hasta 2027-02-14
  • VE
    Victoria Echave
    Visible en estetica
    Hasta 2027-01-20
  • PG
    Pablo García
    Visible en clinicakine
    Hasta 2026-11-08
  • ME
    Marco Echague
    Visible en clinica
    Consentimiento pendiente
Compartición controlada: requiere producto activo + rol que lo permita + consentimiento explícito + queda auditado. Revocación inmediata por el paciente o por el tenant.

Audit Trail

Inmutable · cada acceso a datos sensibles queda registrado con propósito declarado

Live
  • Dra. P. Vargas (medico) Abrió historia clínicapatient:pa-molina
    Tenant: TechNova · Propósito: Asistencial
    09:42
  • María Gómez (recepcion) Confirmó turnoappointment:ap-7
    Tenant: TechNova · Propósito: Administrativo
    09:38
  • María Gómez (recepcion) Intentó descargar HCpatient:pa-molina
    Tenant: TechNova · Propósito: Administrativo
    ⊘ Rol "recepción" no tiene persona.view_clinical
    09:31Bloqueado
  • L. Rivera (Galeno ART) (art cliente) Consultó expediente siniestroart-claim:art-822
    Tenant: TechNova · Propósito: ART
    09:14
  • Contaduría · J. Pérez (contaduria) Exportó CSV facturacióninvoices:2026-04
    Tenant: TechNova · Propósito: Fiscal
    08:58
  • medico-bot@otro-tenant (medico) Intento de query cross-tenantpatient:pa-molina
    Tenant: CrossTenantAttempt · Propósito: Asistencial
    ⊘ BLOQUEO RLS · tenant scope no coincide
    08:42Bloqueado

Reglas no negociables

Producto compartido ≠ dato compartido

1
Aislamiento total entre tenants
Ningún paciente, documento, turno, factura ni HC puede aparecer en otro tenant. Ni en UI, ni search, ni exports, ni cache, ni QR, ni analytics.
2
Aislamiento por rol intra-tenant
Recepción no ve HC. Contaduría no ve datos clínicos sensibles. Cada rol tiene capabilities explícitas.
3
Compartición controlada y auditada
El cruce intra-red entre productos del mismo tenant solo si: producto activo + rol permite + consentimiento + audit.
4
Trust by design
Frontend defensivo: oculta datos por política. Backend autoritativo: RLS Postgres + middleware de permisos.