---
title: Personas, roles y alcance
description: Administre membresías, perfiles y scopes de empresa sin confundir rol, capacidad y alcance de cada persona.
audiencia: Administrador | Data Owner | Data Steward | Ingeniero de datos | Superadministrador
roles: Administrador para gestionar accesos tenant; Superadministrador para administración de plataforma permitida
modulo: Accesos y gobierno
revision: "2026-10-19"
section: "administrar-empresa"
order: 20
sources:
  - CONTEXT.md
  - ARCHITECTURE.md
  - Modelodeobjetosyrelaciones.md
  - Roles,capacidadesyalcance.md
---

# Personas, roles y alcance

Administrar personas significa gestionar su relación con una empresa concreta. Una persona puede pertenecer a varias, con membresía, perfil y estado distintos. Para asignar acceso, distinga **perfil tenant**, **capacidad** y **alcance**.

## Antes de empezar

- **Rol:** el **Administrador** gestiona personas y accesos de su empresa mediante `access.manage`. El **Superadministrador** usa autorizaciones de plataforma permitidas; no las convierte en un rol tenant ni elude las guardas tenant.
- **Módulo:** Accesos y gobierno. Las acciones sobre objetos gobernados siguen sujetas al módulo que corresponda.
- **Precondiciones:** trabaje sobre la empresa efectiva y una membresía activa. Identifique previamente los Dominios, Subdominios o Repositorios que formarán el alcance. Una empresa que no está activa no debe operar normalmente.

El backend calcula empresa, membresía, capacidades y alcance desde la sesión y los objetos registrados, no desde valores enviados por el navegador.

## La diferencia entre perfil, capacidad y alcance

El **perfil tenant** expresa una responsabilidad base. Hay cinco perfiles: Usuario, Data Steward, Data Owner, Ingeniero de datos y Administrador. Las capacidades son las acciones autorizadas; el alcance delimita los Dominios, Subdominios o Repositorios donde se ejercen.

| Perfil | Responsabilidad principal | Alcance operativo documentado |
|---|---|---|
| Usuario | Consulta y participación en gestiones autorizadas. | Según vistas y solicitudes permitidas por la empresa. |
| Data Steward | Mantener definiciones y objetos de negocio; atender stewardship. | Dominios y Subdominios asignados. |
| Data Owner | Responder por el gobierno de su ámbito y aprobar decisiones. | Dominios y Subdominios asignados; puede ser global cuando corresponda. |
| Ingeniero de datos | Administrar conectores, repositorios, metadata, snapshots y agendas. | Solo Repositorios con scope técnico asignado. |
| Administrador | Administrar personas, accesos, taxonomía, gobierno y configuración tenant. | Global dentro de la empresa activa. |

Un Owner o Steward puede consultar más de lo que edita: crear, editar, asociar o aprobar requiere capacidad y ámbito autorizados. Ingeniería de datos opera mediante scopes de Repositorio, no por alcance general de negocio.

Un **Rol de gobierno** representa Owner, Steward u otra responsabilidad de catálogo en un Dominio o Entidad, y puede relacionarse con Productos, Contratos o Workflows. No es el perfil de membresía que autoriza la sesión.

## Recorrido recomendado

1. **Determine la responsabilidad.** Elija el perfil de participación, stewardship, ownership, ingeniería de datos o administración. Los perfiles y sus capacidades base son el contrato actual; no existe edición libre de capacidades por persona.
2. **Asigne la membresía correcta.** Incorpore o actualice a la persona en el tenant objetivo. La membresía no concede acceso a otras empresas.
3. **Delimite el alcance.** Asigne Dominios/Subdominios a Owner y Steward, o Repositorios a Ingeniería de datos. Las asignaciones pueden tener estado y vigencia; use las activas.
4. **Registre la responsabilidad cuando aplique.** Vincule Owner o Steward al nodo taxonómico si debe verse en catálogo. Complementa, no reemplaza, perfil ni controles de sesión.
5. **Revise módulos y efecto.** Una persona no puede operar un módulo desactivado. Compruebe empresa, alcance y objeto; la visibilidad de un botón no prueba autorización.
6. **Trate los cambios como sensibles.** Los cambios de rol o alcance revocan sesiones. La persona debe continuar con una sesión vigente; no se documenta una duración concreta.

> **Ejemplo sintético:** Lucía recibe el perfil Data Steward y el Dominio “Atención ciudadana”. Puede mantener objetos allí si módulo y capacidad lo permiten. Una solicitud de otro Dominio no amplía su autorización: requiere asignación registrada.

## Controles y límites de la asignación

La empresa puede asignar Dominios, Subdominios y Repositorios, crear responsabilidades y definir roles para Workflows. No son permisos arbitrarios: las capacidades backend base se mantienen. Las vistas temporales son de solo lectura salvo mutaciones de Solicitudes de acceso permitidas.

Pertenencia activa, estado de empresa y módulo se comprueban además de capacidad y alcance. Un identificador o nombre compartido no autoriza una acción; un vínculo alto no asocia ni autoriza todos los campos de una fuente.

## Resultado esperado

Cada persona tiene membresía válida, perfil acorde y alcance explícito de negocio o técnico. Las responsabilidades visibles complementan, no sustituyen, la autorización. La escritura queda limitada al alcance efectivo y a la empresa correcta.

## Referencias para continuar

- [Roles, capacidades y alcance](/es/referencia/roles-capacidades-y-alcance/)
- [Modelo de objetos y relaciones](/es/explicaciones/modelo-de-objetos-y-relaciones/)
- [Módulos y dependencias](/es/referencia/modulos-y-dependencias/)
- [Cómo leer el mapa de relaciones](/es/guias/como-leer-mapa-de-relaciones/)