Aislamiento de datos y límites de permisos

Resumen de confianza

Confianza: Booknetic SaaS aísla los datos de los inquilinos en la capa de consultas de base de datos. Esta página explica qué se separa, quién puede ver qué y qué casos límite debe conocer al operar una plataforma SaaS.

Booknetic SaaS está creado para una configuración multiinquilino: una plataforma SaaS puede alojar muchas empresas inquilinas, y cada inquilino trabaja dentro de su propio espacio de trabajo de Booknetic.

En las pantallas normales del lado del inquilino, Booknetic limita los registros al inquilino actual antes de leer o escribir datos. Eso significa que el Inquilino A no debería ver los clientes, citas, servicios, personal, ubicaciones, workflows, pagos ni ajustes del Inquilino B desde el panel de administración del inquilino.

Al mismo tiempo, usted — como propietario de la plataforma SaaS — necesita herramientas de propietario para administrar su plataforma. Por eso Booknetic SaaS tiene un área de administración separada del lado del propietario, donde los administradores de plataforma de confianza pueden gestionar inquilinos, planes, facturación, ajustes SaaS y actividad de workflows del propietario.

Esta página está escrita en términos prácticos: qué puede ver cada rol, qué puede hacer cada rol y qué reglas de higiene de seguridad ayudan a mantener limpio el límite.

Qué significa el aislamiento de datos en Booknetic SaaS

Cada inquilino tiene su propio alcance de datos de Booknetic. Los registros propiedad del inquilino se almacenan como parte de la plataforma SaaS compartida, pero las acciones del lado del inquilino se ejecutan en el contexto de un solo inquilino.

En la práctica, esto significa que un administrador de inquilino normalmente solo ve, para su propio inquilino:

• clientes;
• citas;
• servicios y categorías de servicio;
• miembros del personal;
• ubicaciones;
• disponibilidad, días festivos, días especiales y hojas de tiempo;
• workflows e historial de workflows conectados con ese inquilino;
• información de pagos y facturación conectada con ese inquilino;
• ajustes del inquilino y ajustes de apariencia.

Booknetic SaaS aplica esto mediante comprobaciones de contexto de inquilino antes de que las pantallas del lado del inquilino lean o escriban datos de Booknetic. El mismo límite general se aplica a las acciones normales del administrador de inquilino y a las acciones de reserva orientadas al cliente.

El propietario de la plataforma es distinto. Se espera que el propietario SaaS administre la plataforma SaaS y pueda ver cuentas de inquilinos e información de inquilinos a nivel de plataforma desde el área de administración SaaS. Esto es intencional: necesita esas herramientas para dar soporte a los inquilinos, gestionar planes y mantener la facturación correcta.

Roles y límites de permisos

Booknetic SaaS tiene varios roles de usuario o niveles de acceso. Los nombres pueden sonar similares, por lo que conviene separarlos claramente.

Rol	Quién suele ser	Acceso principal
WordPress Super Admin / WordPress Administrator	Usted o su administrador de sitio de confianza	Tiene control amplio a nivel de WordPress sobre el sitio. Trátelo como la cuenta de mayor confianza.
SaaS Owner / administrador de plataforma	La persona que gestiona Booknetic SaaS desde el panel del propietario	Gestiona inquilinos, planes, pagos SaaS, ajustes SaaS, campos personalizados, workflows del propietario y Workflow Logs del propietario.
Tenant Admin	El propietario de negocio que usa una cuenta de inquilino	Gestiona el panel propio de Booknetic de ese inquilino: servicios, personal, clientes, citas, workflows, perfil y facturación.
Tenant sub-user / staff user	Un miembro del personal dentro de una empresa inquilina	Trabaja dentro del mismo límite de inquilino, con acceso reducido por el rol de personal del inquilino y las capacidades del plan.
Customer / booking user	Un cliente final de un inquilino que reserva una cita	Usa el flujo de reservas público o pantallas orientadas al cliente. No tiene acceso de administración SaaS.

Un administrador de inquilino puede ser “administrator” dentro de su propio espacio de trabajo de Booknetic, pero eso no lo convierte en propietario SaaS. Los administradores de inquilino no reciben el menú SaaS del lado del propietario para herramientas de plataforma como Tenants, Plans, SaaS Settings o la gestión de pagos del propietario.

Qué puede ver y hacer el propietario SaaS

El propietario SaaS administra la plataforma desde el área de Booknetic SaaS del lado del propietario.

Desde el área de administración SaaS, el propietario puede gestionar elementos de nivel plataforma como:

• la lista completa de inquilinos;
• perfiles de inquilino y detalles de cuenta de inquilino;
• asignación de plan del inquilino y estado de suscripción;
• historial de pagos y facturación de inquilinos disponible en las pantallas del propietario SaaS;
• planes SaaS y capacidades de planes;
• ajustes SaaS;
• workflows del propietario y Workflow Logs del propietario, cuando estén habilitados.

El propietario también puede eliminar inquilinos cuando la cuenta debe retirarse permanentemente. Como eliminar es una acción destructiva y tiene implicaciones de privacidad, revise el flujo de eliminación antes de usarlo: consulte How to cancel or delete a tenant in Booknetic SaaS (/documentation/cancelling-and-deleting-tenants).

Lo que el propietario puede cambiar depende de la pantalla concreta del lado del propietario. Por ejemplo, el área del propietario SaaS está diseñada para administración de inquilinos, cuentas y plataforma: inquilinos, planes, ajustes, pagos y workflows del propietario. No debe describirse como un espacio de trabajo ilimitado para “actuar como cualquier inquilino” a menos que su instalación tenga una función de impersonation confirmada por separado.

Booknetic SaaS no debe describirse como si tuviera una función ilimitada “log in as tenant” a menos que esa función se confirme por separado en su instalación. Si su equipo depende de un flujo de impersonation o login-as, confirme la ruta soportada y restrínjala solo a administradores de confianza.

Nota importante sobre WordPress

Los límites de permisos de Booknetic SaaS controlan Booknetic SaaS y los datos de inquilino de Booknetic. No convierten las cuentas de administrador de WordPress en usuarios ordinarios de inquilino.

Un administrador de WordPress puede tener acceso más amplio al sitio WordPress fuera de Booknetic, según sus roles de WordPress, plugins y configuración de hosting. No dé acceso de administrador de WordPress a administradores de inquilino a menos que quiera darles intencionalmente acceso de alta confianza al sitio.

Qué puede ver y hacer un administrador de inquilino

Un administrador de inquilino gestiona el espacio de trabajo de Booknetic de un solo inquilino.

Un administrador de inquilino normalmente puede gestionar, para su propio inquilino:

• citas;
• clientes;
• servicios;
• personal;
• ubicaciones;
• disponibilidad y horarios;
• workflows y notificaciones;
• apariencia y ajustes del inquilino;
• información de facturación y plan mostrada dentro del panel del inquilino.

El acceso del inquilino también puede limitarse por el plan del inquilino. Por ejemplo, un plan puede ocultar o limitar ciertos módulos, funciones o cantidades. Para más detalle, consulte Plans and plan capabilities in Booknetic SaaS (/documentation/plans-and-capabilities).

Un administrador de inquilino no debería ver:

• otros inquilinos en la lista de inquilinos del propietario SaaS;
• clientes, citas, servicios, personal, ubicaciones, workflows o pagos de otros inquilinos;
• el editor de planes del propietario;
• ajustes de la plataforma SaaS;
• Workflow Logs del propietario o gestión de pagos del lado del propietario;
• configuración de workflows o registros de clientes de otro inquilino.

Si un inquilino informa que puede ver datos de otro inquilino, trátelo como urgente y contacte inmediatamente con soporte de Booknetic.

Cómo se aplica el aislamiento a alto nivel

Booknetic SaaS usa comprobaciones de contexto de inquilino en todo el producto. El objetivo es que cada acción normal del lado del inquilino se ejecute en el contexto de un inquilino antes de que Booknetic lea o escriba datos del inquilino.

A alto nivel:

• Las acciones de base de datos del lado del inquilino se limitan al inquilino actual. Cuando un administrador de inquilino abre clientes, citas, personal, servicios, ubicaciones, workflows o pagos, Booknetic lee registros para ese contexto de inquilino.
• Las solicitudes del administrador de inquilino comprueban el contexto de inquilino del usuario actual. Una sesión de administrador de inquilino está vinculada a la cuenta de inquilino a la que pertenece.
• Las páginas públicas de reserva cargan en un contexto de inquilino. La URL de reserva de un inquilino identifica qué servicios, personal, ubicaciones y disponibilidad de ese inquilino deben aparecer.
• La actividad de workflows se ejecuta con contexto de inquilino. Los workflows y Workflow Logs de inquilino están conectados con el inquilino cuyo evento los activó. Si necesita comprobar si una acción de workflow se ejecutó, consulte Workflow Logs in Booknetic SaaS (/documentation/workflow-logs).
• Las capacidades del plan se comprueban en tiempo de ejecución. Un inquilino solo puede usar las funciones y límites permitidos por el plan asignado.
• Algunos registros secundarios heredan su límite de inquilino de un registro principal. Por ejemplo, los detalles relacionados con una cita se protegen a través de la cita a la que pertenecen. Los clientes no tienen que configurar esto, pero es útil saber que no todos los registros relacionados deben aparecer como un objeto de inquilino de nivel superior separado para permanecer dentro del límite del inquilino.

Esta sección es intencionalmente de alto nivel. La documentación pública debe explicar el comportamiento sin exponer detalles de implementación de bajo nivel que podrían ayudar a alguien a explorar el sistema.

Casos límite que debe entender

Cuentas de usuario de WordPress compartidas

No reutilice casualmente el mismo usuario de WordPress en varios inquilinos.

Si el mismo usuario de WordPress está conectado intencionalmente con más de un inquilino o rol, ese usuario puede acceder a más de un espacio de trabajo según cómo esté configurada la cuenta. Mantenga separada la cuenta de administrador de cada inquilino, a menos que tenga una razón operativa clara y entienda el impacto de acceso.

Buena práctica: cree un usuario administrador de inquilino separado para cada empresa inquilina y mantenga su propia cuenta de administrador de WordPress separada de todas las cuentas de inquilino.

Acceso al panel de WordPress

Booknetic SaaS puede restringir a los usuarios de inquilino para que no accedan a páginas normales de administración de WordPress y enviarlos de vuelta al panel de Booknetic. Mantenga esta restricción habilitada a menos que tenga una razón específica para permitir que usuarios de inquilino entren en otras áreas de administración de WordPress.

Si deshabilita esa restricción, los roles de WordPress y otros plugins pueden afectar a lo que los usuarios de inquilino pueden acceder fuera de Booknetic. Revise esos permisos con cuidado.

Estado en caché o retrasado

Algún estado de la plataforma puede quedar en caché brevemente por WordPress o por sistemas de actualización/licencia a nivel de plataforma. Después de cambiar ajustes, planes o estado de plugins, puede que necesite actualizar la página o esperar brevemente antes de que todas las pantallas reflejen el cambio.

Esto no debe tratarse como permiso para compartir datos entre inquilinos. Es una precaución normal para propietarios SaaS: después de cambios sensibles de ajustes, confirme el resultado desde la cuenta de inquilino correcta.

Registros secundarios conectados a través de registros principales

Algunos datos de Booknetic están conectados a través de un elemento principal. Por ejemplo, los detalles de una cita pertenecen a una cita, y los detalles de una acción de workflow pertenecen a un workflow.

Se espera que esos registros sigan dentro del mismo límite de inquilino porque el elemento principal está limitado al inquilino. Si alguna vez ve que un detalle secundario aparece bajo el inquilino incorrecto, repórtelo como un problema de seguridad.

Archivos subidos y eliminación de inquilinos

La eliminación de un inquilino elimina registros de inquilino de Booknetic SaaS, pero algunos archivos subidos pueden permanecer en el servidor como archivos huérfanos. Esto importa para solicitudes de privacidad y eliminación tipo GDPR.

Antes de prometer eliminación completa de datos, revise la guía de eliminación y su proceso de subidas/copias de seguridad de WordPress: How to cancel or delete a tenant in Booknetic SaaS (/documentation/cancelling-and-deleting-tenants).

También evite editar manualmente archivos dentro de carpetas de subidas de WordPress usadas por Booknetic. La propiedad de archivos, las rutas de archivo y las referencias de archivo las gestionan Booknetic y WordPress.

Notificaciones orientadas al cliente y URLs de archivo

Si una plantilla de notificación incluye una URL de archivo, el destinatario puede abrir esa URL más tarde si el archivo permanece en el servidor. Tenga cuidado al añadir enlaces de archivos subidos a mensajes de workflow orientados al cliente.

Si necesita verificar si se envió un mensaje de workflow de inquilino, use Workflow Logs en lugar de adivinar solo a partir de la entrega del email: Workflow Logs in Booknetic SaaS (/documentation/workflow-logs).

Reglas de higiene de seguridad

Seguridad: Mantenga separadas las cuentas del propietario de la plataforma, las cuentas de administrador de inquilino y las cuentas de administrador de WordPress. La mayoría de los errores de permisos vienen de compartir demasiado ampliamente cuentas de alta confianza.

Siga estas reglas al operar Booknetic SaaS:

• No comparta credenciales de WordPress Super Admin o WordPress Administrator con administradores de inquilino.
• No use su propia cuenta de administrador de WordPress como cuenta de administrador de inquilino.
• No reutilice un usuario de WordPress como administrador de varios inquilinos a menos que intencionalmente quiera que esa persona tenga acceso multiinquilino.
• Use nombres de usuario y direcciones de email claros y separados para cada cuenta de inquilino.
• No edite manualmente archivos de Booknetic en wp-content/uploads/booknetic/ a menos que soporte de Booknetic o su desarrollador le dé un plan de limpieza específico.
• Mantenga el acceso del inquilino restringido al panel de Booknetic a menos que el inquilino realmente necesite acceso más amplio a WordPress.
• Revise las capacidades del plan antes de decirle a un inquilino que “debería” ver un módulo. El módulo puede estar oculto o limitado por el plan.
• Si usa notificaciones de workflow, asegúrese de que los mensajes dirigidos a inquilinos usen los detalles de negocio del inquilino y no incluyan accidentalmente información solo del propietario o solo de la plataforma.

Preguntas frecuentes

¿Pueden dos inquilinos ver accidentalmente los datos del otro?

En los flujos normales del lado del inquilino de Booknetic SaaS, los datos de inquilino se limitan antes de leerse o escribirse. El Inquilino A no debería ver los clientes, citas, servicios, personal, ubicaciones, workflows ni pagos del Inquilino B.

Si alguna vez ve algo que parece visibilidad entre inquilinos, no lo ignore y no intente rodearlo. Contacte inmediatamente con soporte de Booknetic con el nombre del inquilino, la cuenta de usuario, la URL de la página, la hora aproximada y una captura con cualquier dato sensible de cliente redactado cuando sea posible.

¿Puedo, como propietario SaaS, modificar las citas de un inquilino?

El área del propietario SaaS es para administración de plataforma: inquilinos, planes, pagos, ajustes, workflows del propietario y pantallas relacionadas de gestión SaaS.

Que pueda editar directamente los datos diarios de reservas de un inquilino depende de la superficie de UI específica disponible en su instalación. No asuma que el panel del propietario es un área ilimitada para “actuar como inquilino”. Si necesita cambiar registros operativos de un inquilino, use el propio espacio de trabajo de Booknetic limitado de ese inquilino o confirme la ruta de administración soportada para su instalación.

¿Puede un administrador de inquilino gestionar su propia facturación?

Sí, la facturación del inquilino se muestra dentro del panel de Booknetic del inquilino cuando el plan y los permisos del inquilino lo permiten. El inquilino puede revisar su propio estado de facturación/suscripción y usar las opciones de cambio de plan o cancelación expuestas para él.

No puede gestionar el editor de planes de la plataforma, la facturación de otros inquilinos ni los ajustes de pagos del lado del propietario.

Si elimino un inquilino, ¿sus datos desaparecen?

Eliminar un inquilino elimina los datos de inquilino de Booknetic SaaS y no puede deshacerse desde la app. Sin embargo, los archivos subidos pueden permanecer en el servidor como archivos huérfanos, y las copias de seguridad del hosting también pueden conservar copias fuera de Booknetic SaaS.

Para el flujo completo de eliminación y las advertencias de privacidad, consulte How to cancel or delete a tenant in Booknetic SaaS (/documentation/cancelling-and-deleting-tenants).

¿Qué pasa si el cliente de un inquilino pide que se eliminen sus datos?

El inquilino debe eliminar el registro del cliente desde su panel de administración de inquilino cuando corresponda. Si la solicitud también implica archivos subidos, copias de seguridad o un proceso formal GDPR/derecho al olvido, revise su carpeta de subidas de WordPress, las copias de seguridad del hosting y sus obligaciones legales.

Esta página no es una guía legal/GDPR completa. Para requisitos estrictos de eliminación, cree un proceso interno con su responsable legal o de privacidad.

¿Qué debo hacer si sospecho una exposición de datos entre inquilinos?

Deténgase y repórtelo de inmediato. Envíe un email a [email protected] con los detalles, incluyendo:

• el nombre o slug del inquilino;
• la cuenta de usuario implicada;
• la página o workflow donde apareció el problema;
• la fecha y hora;
• capturas o mensajes reenviados, con datos sensibles redactados cuando sea posible.

No envíe los mismos datos sospechosos a otros inquilinos y no publique datos de clientes en canales públicos.

Documentación relacionada

• Tenant management: /documentation/tenant-management
• Plans and capabilities: /documentation/plans-and-capabilities
• Workflow Logs: /documentation/workflow-logs
• Cancelling and deleting tenants: /documentation/cancelling-and-deleting-tenants
• Tenant URLs and routing: /documentation/tenant-urls-and-routing

Lista rápida para propietarios SaaS

Antes de incorporar inquilinos, confirme que:

• Su cuenta de administrador de WordPress está separada de las cuentas de inquilino.
• Cada inquilino tiene su propio usuario administrador de inquilino.
• Los usuarios de inquilino están restringidos de las páginas generales de administración de WordPress, a menos que se permita intencionalmente.
• Los planes y capacidades coinciden con lo que cada inquilino debe ver.
• Las plantillas de workflow no exponen información solo del propietario o solo de la plataforma a clientes de inquilinos.
• Su proceso de eliminación incluye archivos subidos y copias de seguridad, no solo la acción de eliminar inquilino dentro de la app.
• Su equipo sabe que debe contactar inmediatamente con soporte si se sospecha visibilidad entre inquilinos.