Roles y permisos
Los cuatro roles con los que arranca el sistema, cómo se reparten los permisos entre ellos, y cómo funciona el PIN de autorización.
Quién puede hacer qué se decide con tres piezas que encajan una en la otra:
- El rol — el puesto. Es lo que se le asigna a cada persona.
- El permiso — la acción concreta. Los permisos se agrupan dentro de un rol.
- El PIN de autorización — una confirmación extra para las acciones que en su mayoria no tienen vuelta atrás.
El menú no es la barrera
El sistema esconde las opciones que la persona no puede usar, pero eso es comodidad, no seguridad. Cada vez que alguien intenta algo, el sistema lo vuelve a verificar por su cuenta: si no está autorizado, no se hace, aunque el botón estuviera a la vista.
Los roles
Un rol es un puesto con un conjunto de permisos adentro. Cada persona tiene un solo rol, y de ahí sale todo lo que puede hacer en el sistema.
Los roles no vienen fijos de fábrica: se crean, se renombran, se desactivan y se eliminan desde Configuración → Roles y permisos. Por eso no hay una lista cerrada — hay una lista que se administra, y arranca con cuatro.
Los cuatro roles con los que arranca el sistema
| Rol | Para quién | Permisos que trae |
|---|---|---|
| ADMINISTRACIÓN | La administración del sistema | 281 de 281 |
| DIRECCIÓN | Dirección y dueños | 80 |
| GERENCIA | Jefatura operativa | 171 |
| SECRETARÍA | Mostrador y trabajo diario | 116 |
ADMINISTRACIÓN
Acceso total, sin excepción. Es el único rol que administra usuarios, roles y permisos, y el único que arranca autorizado a condonar cargos, eliminar moras y editar o borrar notas de clientes.
Es además el rol protegido del sistema, y eso trae tres consecuencias:
Por qué es intocable
Si se pudiera vaciar, alguien podría quitarse a sí mismo la capacidad de administrar permisos, y el sistema quedaría sin nadie capaz de reparar los accesos — sin salida desde ninguna pantalla. Este rol es la garantía de que siempre hay un camino de vuelta.
DIRECCIÓN
Ve y exporta todo el negocio; no crea, no edita, no elimina. Sus 80 permisos son todos de consulta: ver, listar, exportar, descargar e imprimir. Le llega también el panel de dirección, que se mira y no se toca.
Es el rol más limitado, no el más poderoso
Suele sorprender, porque "dirección" suena a máxima autoridad. Está pensado al revés: que la dirección pueda mirar todo el negocio sin riesgo de tocar un dato por accidente. Quien tiene que operar, no usa este rol.
Cinco acciones que parecen consulta quedaron deliberadamente afuera, porque en realidad modifican algo: enviar un reporte por correo, generar el usuario de un empleado, y los tres recálculos que reescriben información guardada (el semáforo del cliente, las cuotas y la mora).
GERENCIA
Maneja de principio a fin las áreas de negocio: clientes, inventario, ventas, cobros, alquileres, agenda y gastos (la contabilidad). Consulta los catálogos y la configuración, pero no los modifica. Recursos humanos y nómina no son suyos: los lleva ADMINISTRACIÓN; de esa área sólo conserva su propio portal de empleado. No recibe nada del área de seguridad, y tampoco las acciones reservadas a la administración (ver Permisos que no se pueden repartir): en gastos, eso deja afuera anular gastos, anular salidas de la caja chica, autorizar y configurar la caja chica y administrar las cuentas bancarias. Sí maneja la caja chica: registra sus salidas y pide las reposiciones.
Del panel administrativo ve sólo la pestaña Gastos — ver Panel administrativo.
SECRETARÍA
El mostrador. Atiende gente, cobra y agenda — y nada más que eso:
- Inicio, agenda y clientes.
- Cobros, incluidos los de alquiler.
- Financiamientos, solicitudes de alquiler y contratos de alquiler.
- Su portal de empleado: sus propias solicitudes y sus pagos de nómina.
- Inventario y catálogos, sólo de consulta — necesita ver la unidad que está cobrando, no editarla.
Fuera de su alcance quedan personal y nómina (más allá de lo suyo), gastos, reportes y todo lo de seguridad y configuración.
Antes arrancaba idéntica a GERENCIA
Lo era, y se notaba en la práctica: entraba a Configuración y veía pantallas que no le tocaban. Hoy su lista está descrita puesto por puesto en el sistema, no heredada de otro rol.
Crear, desactivar y borrar roles
| Acción | Qué pasa |
|---|---|
| Crear un rol | Nace vacío: sin ningún permiso. La administración se los va marcando |
| Renombrar o editar | Libre, salvo el rol protegido |
| Desactivar | No se puede si tiene gente asignada, igual que eliminar: un rol desactivado deja a su gente sin poder entrar. Primero hay que moverlos a otro rol. Un rol vacío desactivado no se borra y se puede reactivar |
| Eliminar | No se puede si tiene gente asignada — el sistema avisa a cuántos. Primero hay que moverlos a otro rol |
Los permisos y cómo se reparten entre los roles
Un permiso es una acción concreta: crear un cliente, anular un pago, eliminar una mora. El sistema tiene 281, ordenados en 14 áreas.
Cómo se conectan las piezas
Las excepciones por persona todavía no tienen pantalla
El mecanismo funciona y queda registrado en la auditoría, pero hoy no se configura desde Configuración → Roles y permisos: hay que pedirlo al equipo técnico. Para el día a día, la herramienta es el rol.
El mapa completo
Qué hay en cada área, y con cuánto arranca cada rol:
| Área | Permisos | ADMINISTRACIÓN | DIRECCIÓN | GERENCIA | SECRETARÍA |
|---|---|---|---|---|---|
| Seguridad y acceso | 34 | 34 | 12 | 0 | 0 |
| Configuración del sistema | 2 | 2 | 2 | 2 | 2 |
| Catálogos | 55 | 55 | 15 | 15 | 15 |
| Clientes | 16 | 16 | 4 | 13 | 13 |
| Inventario e inmuebles | 31 | 31 | 6 | 31 | 6 |
| Ventas y financiamiento | 19 | 19 | 4 | 18 | 18 |
| Cobros y caja | 22 | 22 | 6 | 20 | 15 |
| Alquileres | 34 | 34 | 8 | 33 | 33 |
| Titulación | 6 | 6 | 1 | 5 | 0 |
| Cuadres diarios | 4 | 4 | 2 | 4 | 0 |
| Agenda y documentos | 10 | 10 | 2 | 10 | 10 |
| Recursos humanos | 25 | 25 | 8 | 4 | 4 |
| Reportes y auditoría | 5 | 5 | 4 | 4 | 0 |
| Gastos | 18 | 18 | 6 | 12 | 0 |
| Total | 281 | 281 | 80 | 171 | 116 |
Se lee de un vistazo: ningún rol operativo tiene nada de seguridad, en catálogos sólo miran, y la diferencia entre GERENCIA y SECRETARÍA está en inventario (una lo administra, la otra lo consulta), titulación, cuadres, reportes y gastos.
Recursos humanos es de ADMINISTRACIÓN, porque ahí vive el sueldo de la gente; DIRECCIÓN lo consulta. GERENCIA y SECRETARÍA no entran: los 4 permisos que conservan son su propio portal —pedir un permiso o un préstamo, ver el estado del pedido, retirarlo y ver sus propios pagos de nómina—, y no dejan ver a nadie más. SECRETARÍA tampoco entra a gastos: la contabilidad la llevan ADMINISTRACIÓN y GERENCIA.
Cinco permisos que no siguen la regla del área
Cobros y caja trae la revisión bancaria y los desembolsos, y ahí GERENCIA tiene permisos que SECRETARÍA no:
- Revisión bancaria: ver la cola y resolverla. Quien cobra en el mostrador no puede dar por buena su propia transferencia — ver Revisión bancaria.
- Desembolsos: verlos, solicitarlos y aprobarlos o rechazarlos. Es dinero que sale — ver Desembolsos.
DIRECCIÓN tampoco los recibe, aunque haya de lectura: verificar cierra la puerta a anular ese pago, y un desembolso es una decisión sobre plata, así que no es "mirar".
Un rol que ya existía antes de que se agregaran no los recibe solo: se le dan con Comparar con el catálogo (abajo) o marcándolos a mano.
Devolver un cobro de alquiler sin aplicar
Es un permiso de Alquileres (Devolver cobros de alquiler sin aplicar) y además pide PIN de autorización. El catálogo se lo asigna a GERENCIA y SECRETARÍA; a los roles que ya existían se les da con Comparar con el catálogo — ver Revisión bancaria.
Cuando el sistema estrena permisos
Una versión nueva puede traer acciones nuevas, y con ellas permisos nuevos. El rol ADMINISTRACIÓN los recibe solo al arrancar; los demás roles no, porque sus listas son de la casa: el sistema no decide por su cuenta que ahora la secretaria puede devolver plata.
Para eso está Comparar con el catálogo, en Configuración → Roles y permisos, sobre cualquier rol que no sea el protegido:
Sólo agrega, nunca quita
La comparación no revoca nada: lo que el rol ya tiene se queda, aunque el catálogo no lo incluya. Quitar permisos sigue siendo destildar en la matriz y guardar.
Dos roles no salen en la comparación
El rol protegido (ADMINISTRACIÓN) no la necesita: recibe cada permiso nuevo al arrancar. Un rol creado desde la pantalla tampoco tiene con qué compararse — su lista la arma la administración, no el catálogo.
Dentro de recursos humanos, el sueldo va aparte: hay un permiso para ver el sueldo y su historial, y otro para cambiarlo. Sin el primero, la ficha del empleado se abre sin la parte de dinero — no es que la pantalla la esconda, es que el sistema no la manda.
La pantalla de permisos
Configuración → Roles y permisos es donde se administra todo esto: los roles como pestañas arriba, las 14 áreas desplegables, y cada permiso con su nombre y su explicación en español. Se marcan y desmarcan casillas, y se guarda.
Al guardar, la auditoría anota qué permisos ganó y cuáles perdió ese rol — no sólo que "se modificó".
Un cambio puede tardar unos minutos en verse
Para no ir a buscar los permisos a cada rato, el sistema los recuerda un rato. Al guardar avisa enseguida para que se actualicen; si ese aviso se pierde, se actualizan solos a los 5 minutos. Si alguien reporta que "todavía puede entrar", esperá ese margen antes de dudar del cambio.
Permisos que no se pueden repartir
Hay 16 permisos reservados al rol protegido. No es que vengan desmarcados: el sistema rechaza el intento de dárselos a otro rol.
Y hay otros doce que sólo se le entregan al rol protegido de arranque, aunque la pantalla sí permite repartirlos después si la administración lo decide:
- Eliminar una mora de venta
- Eliminar una mora de alquiler
- Borrar una nota de cliente
- Editar una nota de cliente
- Condonar un cargo de financiamiento
- Reabrir una etapa de titulación
- Crear y editar cuentas bancarias (son dos permisos)
- Anular gastos
- Anular salidas de la caja chica
- Autorizar reposiciones de la caja chica
- Configurar la caja chica
Los de clientes salen de una regla del cliente: la administración es la única autorizada a quitar notas y moras aplicadas a clientes. Los de gastos, de que las cuentas de la empresa las administra la administración, de que anular un gasto o una salida de caja chica es una reversión, y de que la caja chica la configura y la repone —autorizando— la administración, mientras quien la maneja registra y solicita. Están fuera de GERENCIA y SECRETARÍA por decisión, no por olvido.
Qué pasa cuando falta un permiso
Lo más común es que la persona ni vea la opción: el menú y los botones se arman según lo que tiene permitido. Si igual llega a la acción —por un enlace directo, o porque le quitaron el permiso con la pantalla abierta— el sistema la rechaza y dice exactamente qué permiso le faltó.
La regla de fondo es negar por defecto: nada funciona hasta que quede declarado qué permiso hace falta para hacerlo.
El PIN de autorización
Algunas acciones son peligrosas o no tienen vuelta atrás: anular un pago, condonar una mora, eliminar un archivo, cambiarle el rol a un usuario. Para esas, tener el permiso no alcanza: hay que confirmar con un PIN de autorización de 6 dígitos.
Quién puede tener PIN
Sólo las personas con rol ADMINISTRACIÓN. El PIN se configura desde el rol protegido; nadie más puede crearse uno.
Eso no significa que el resto quede trabado. Cuando alguien de otro rol llega a una acción sensible, el sistema le ofrece dos caminos, y elige el que corresponda al momento:
Ejecuta quien opera; autoriza quien pone el PIN
En los dos caminos la acción queda a nombre de quien la hizo, con el administrador registrado como quien la autorizó. Son dos datos distintos en la auditoría, y no se mezclan: nunca vas a ver que alguien se autorizó a sí mismo cuando en realidad se lo autorizaron.
El PIN se escribe, no se dicta
El administrador tiene que escribirlo él. Dictárselo a quien está operando convierte un control personal en una contraseña compartida: a partir de ahí cualquiera autoriza en su nombre, y la auditoría va a decir que fue él.
Solicitar autorización cuando no hay nadie cerca
La aprobación dura 15 minutos
Aprobar no ejecuta la acción: abre una ventana para que la persona que la pidió la termine. Si deja pasar ese rato, la aprobación vence y hay que volver a pedirla. Es a propósito — la acción se ejecuta con alguien mirando la pantalla, no sola y en cualquier momento.
Cómo se configura
Configuración → PIN de autorización. La pantalla tiene tres partes:
| Parte | Qué muestra |
|---|---|
| Estado del código | Si ya hay un PIN configurado, si está bloqueado y hasta cuándo, y cuántos intentos fallidos lleva |
| Formulario | Crear o cambiar el PIN — 6 dígitos, repetidos dos veces. Para cambiarlo hay que confirmar con la contraseña actual |
| Usos recientes | Cada vez que se pidió el código: autorizado, rechazado, o autorizado por otra persona |
El sistema nunca muestra el PIN ni permite recuperarlo — sólo dice si existe. Si se olvidó, se define uno nuevo confirmando con la contraseña. Pedir la contraseña no es un trámite de más: evita que alguien que se metió en una sesión ajena pueda cambiar el PIN sin conocerla.
Cómo funciona, paso a paso
Si la autorización vence antes de terminar —la persona se distrajo, o el formulario demoró— el sistema vuelve a pedir el PIN. No es una falla: que la ventana sea corta y de un solo uso es justamente lo que la hace segura.
El PIN se pide después de revisar el permiso. A quien no tiene el permiso ni siquiera se le pide el PIN — así el sistema no le muestra qué acciones existen a quien no debería verlas.
Bloqueo por intentos fallidos
El que se equivoca es el que paga. Hay dos cuentas distintas:
| Quién falla | Qué se bloquea |
|---|---|
| El administrador en su propia sesión | Su PIN, hasta que pase el bloqueo |
| Alguien escribiendo el PIN de un administrador en la pantalla de otro | Su propia posibilidad de seguir intentando. El PIN del administrador no se toca |
Antes la cuenta era una sola, y eso tenía una consecuencia fea: cinco dedazos de la persona del mostrador dejaban al administrador sin poder autorizar nada durante el bloqueo — la víctima pagando el error de otro.
Hay un tope que sí bloquea el PIN
Si contra el mismo administrador se acumulan muchos fallos en una hora —vengan de donde vengan, tres veces el límite normal— ahí sí se bloquea su PIN. Ese tope es el freno para el caso de varias personas insistiendo, que es lo único que separar las cuentas podría haber abierto.
Cada intento fallido le llega al administrador dueño del PIN como notificación, con el nombre de quien lo escribió mal. Un dedazo del mostrador se entiende al toque; cualquier otra cosa, también.
Un PIN correcto vuelve las cuentas a cero.
Los tres valores se ajustan en Configuración → Parámetros del sistema, en la sección Seguridad y autenticación:
| Parámetro | Por defecto | Se puede poner entre |
|---|---|---|
| Vigencia del token de PIN administrador (segundos) | 60 segundos | 15 y 300 |
| Intentos fallidos del PIN administrador antes de bloquear | 5 | 3 y 20 |
| Duración del bloqueo del PIN administrador (minutos) | 15 minutos | 1 y 1440 |
Pasado ese tiempo el bloqueo se levanta solo. Si hay que destrabar a alguien antes, se hace desde el detalle de esa cuenta — y esa acción, a su vez, también pide PIN.
Qué acciones piden PIN
Son 39 que lo piden siempre. Las marcadas (sin pantalla) existen en el sistema pero hoy no tienen botón: sólo las hace soporte técnico.
| Área | Acciones |
|---|---|
| Clientes | Cambiar el documento de identidad · Eliminar un documento del expediente · Editar una nota del expediente · Eliminar una nota del expediente |
| Ventas | Aprobar un desembolso · Editar un financiamiento (sin pantalla) · Eliminar un financiamiento (sin pantalla) · Editar un plan de pagos (sin pantalla) · Retirar el contrato de venta firmado (sin pantalla) |
| Cobros | Anular un pago · Registrar un pago dirigido a una cuota específica (dos variantes) · Registrar un abono a capital · Cargar una mora a mano · Condonar o reducir una mora · Condonar un cargo de financiamiento |
| Alquileres | Cobrar, aplicar y liberar el depósito · Condonar una mora de alquiler · Firmar, cancelar, terminar y renovar un contrato · Editar un contrato (sin pantalla) · Retirar el contrato de alquiler firmado (sin pantalla) · Anular un pago de renta · Devolver un cobro de renta sin aplicar · Aprobar una solicitud · Cobrar un cargo |
| Gastos | Anular un gasto |
| Documentos | Eliminar un archivo del sistema |
| Usuarios | Cambiarle el rol a un usuario · Reiniciar su verificación en dos pasos · Destrabar su cuenta |
| Roles | Guardar los permisos de un rol · Conceder desde Comparar con el catálogo |
| Autorizaciones | Aprobar la solicitud de otra persona |
| Caja | Cerrar el cuadre del día — fuera de servicio, ver Cuadre diario |
Otras lo piden sólo en ciertos casos:
- Cancelar venta y Dar por perdido — el cambio de estado común no lo pide, pero esos dos sí, siempre.
- Reemplazar la tasa del dólar de una fecha pasada o que algún cobro ya usó.
- Comprometer a un cliente con el documento vencido —crearle una venta, un contrato o una solicitud, o emitir y firmar su contrato—: el PIN destraba el bloqueo.
Eliminar un usuario no pide PIN: alcanza con el permiso, y sólo funciona si el usuario nunca registró actividad — ver Usuarios.
El patrón detrás de la lista: plata que se mueve o se deshace, documentos que se eliminan, y cambios sobre quién puede hacer qué.
Mensajes que puede dar el PIN
| Mensaje | Qué pasó | Qué hacer |
|---|---|---|
| "Aún no tenés un PIN configurado" | La cuenta nunca definió uno | Configurarlo — recordá que hace falta el rol ADMINISTRACIÓN |
| "El PIN es incorrecto" | Los dígitos no coinciden | Reintentar; el sistema avisa cuántos intentos quedan |
| "Bloqueado por intentos fallidos" | Se agotaron los intentos | Esperar a que se levante, o pedir que destraben la cuenta |
| "No se pudo verificar la autorización" | Una falla momentánea del sistema | Reintentar en unos segundos. Ante la duda no deja pasar — nunca se abre solo |
| "Demasiados intentos fallidos autorizando con el PIN de un administrador" | Quien opera agotó sus intentos | Esperar unos minutos, o mandar la solicitud en vez de insistir |
| "No se puede autorizar con el PIN de otro administrador en este momento" | Falla momentánea del control de intentos | Reintentar en unos segundos. Mientras tanto el PIN propio del administrador sigue funcionando |