@fiado/type-kit 3.140.0 → 3.142.0

package/bin/platformRbac/enums/Permission.js

@@ -107,112 +107,11 @@ var Permission;
     // DEC-RBAC-038: gestión de scope-entities de nivel genérico — crear/editar/borrar entidades del nivel inferior; scope-bound.
     Permission["TENANT_LEVEL_MANAGE"] = "tenant.level.manage";
     // ====================================================
-    // RETAIL — catálogo + inventario + ventas
-    // ====================================================
-    // RETAIL user-management — espejo de tenant.user.* a nivel RETAILER. Los KEYS existen para que el
-    // catálogo + el picker los ofrezcan; sus endpoints/handlers los implementa el agente de retailer
-    // user-management (rbac TD-RBAC-049). create.lateral gobierna create + assign + update (igual que tenant).
-    Permission["RETAIL_USER_CREATE"] = "retail.user.create";
-    Permission["RETAIL_USER_CREATE_LATERAL"] = "retail.user.create.lateral";
-    Permission["RETAIL_USER_READ"] = "retail.user.read";
-    Permission["RETAIL_USER_UPDATE"] = "retail.user.update";
-    Permission["RETAIL_USER_STATUS"] = "retail.user.status";
-    Permission["RETAIL_USER_DELETE"] = "retail.user.delete";
-    Permission["RETAIL_USER_PASSWORD_RESET"] = "retail.user.password.reset";
-    Permission["RETAIL_USER_MFA_RESET"] = "retail.user.mfa.reset";
-    Permission["RETAIL_PRODUCT_CREATE"] = "retail.product.create";
-    Permission["RETAIL_PRODUCT_LIST"] = "retail.product.list";
-    Permission["RETAIL_PRODUCT_VIEW"] = "retail.product.view";
-    Permission["RETAIL_PRODUCT_UPDATE"] = "retail.product.update";
-    Permission["RETAIL_PRODUCT_DELETE"] = "retail.product.delete";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["RETAIL_PRODUCT_MDM_CONFIG"] = "retail.product.mdm_config";
-    Permission["RETAIL_INVENTORY_LIST"] = "retail.inventory.list";
-    Permission["RETAIL_INVENTORY_VIEW"] = "retail.inventory.view";
-    Permission["RETAIL_INVENTORY_UPDATE"] = "retail.inventory.update";
-    Permission["RETAIL_SALE_CREATE"] = "retail.sale.create";
-    Permission["RETAIL_SALE_LIST"] = "retail.sale.list";
-    Permission["RETAIL_SALE_CANCEL"] = "retail.sale.cancel";
-    Permission["RETAIL_STORE_MANAGE"] = "retail.store.manage";
-    Permission["RETAIL_RETAILER_MANAGE"] = "retail.retailer.manage";
-    // ====================================================
-    // LEND — créditos + cobranza
-    // ====================================================
-    Permission["LEND_CREDIT_CREATE"] = "lend.credit.create";
-    Permission["LEND_CREDIT_LIST"] = "lend.credit.list";
-    Permission["LEND_CREDIT_VIEW"] = "lend.credit.view";
-    Permission["LEND_CREDIT_UPDATE"] = "lend.credit.update";
-    Permission["LEND_CREDIT_LIQUIDATE"] = "lend.credit.liquidate";
-    Permission["LEND_CREDIT_RESTRUCTURE"] = "lend.credit.restructure";
-    Permission["LEND_PAYMENT_APPLY"] = "lend.payment.apply";
-    Permission["LEND_PAYMENT_LIST"] = "lend.payment.list";
-    Permission["LEND_PAYMENT_REVERSE"] = "lend.payment.reverse";
-    Permission["LEND_INSTALLMENT_VIEW"] = "lend.installment.view";
-    // ====================================================
-    // MDM — device management (subset especializado de LEND)
-    // ====================================================
-    Permission["MDM_DEVICE_ENROLL"] = "mdm.device.enroll";
-    Permission["MDM_DEVICE_RELEASE"] = "mdm.device.release";
-    Permission["MDM_DEVICE_ARCHIVE"] = "mdm.device.archive";
-    Permission["MDM_DEVICE_DEACTIVATE"] = "mdm.device.deactivate";
-    Permission["MDM_DEVICE_LOCK_MANUAL"] = "mdm.device.lock.manual";
-    Permission["MDM_DEVICE_UNLOCK_MANUAL"] = "mdm.device.unlock.manual";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["MDM_DEVICE_PIN_UNLOCK"] = "mdm.device.pin_unlock";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["MDM_DEVICE_EXTEND_VALIDITY"] = "mdm.device.extend_validity";
-    Permission["MDM_DEVICE_NOTIFY"] = "mdm.device.notify";
-    Permission["MDM_DEVICE_STATUS_VIEW"] = "mdm.device.status.view";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["MDM_OPERATION_LOG_VIEW"] = "mdm.operation_log.view";
-    Permission["MDM_TEST"] = "mdm.test";
-    // ====================================================
-    // PAY — futuro FiadoPay (placeholder, no usado en MVP)
-    // ====================================================
-    Permission["PAY_TRANSACTION_VIEW"] = "pay.transaction.view";
-    // ====================================================
-    // AGENTS — Fiado Agents (tenant type AGENTS, roles scope GROUP).
-    // Permisos de DOMINIO derivados de los endpoints/pantallas reales del webapp de agents
-    // (ver fiado-agents-webapp/docs/rbac/RBAC-agents.md §5.2). El aislamiento entre orgs lo da el
-    // scope GROUP del roleAssignment (scopeRef = Group_GT.id), no un permiso aparte.
-    // ====================================================
-    // Gate de ACCESO a la app web de Agents (gobernanza). Sin este permiso el usuario no
-    // entra a la app. Lo otorgan los 5 roles GROUP de agents (en su propio repo, no acá).
-    Permission["AGENTS_APP_ACCESS"] = "agents.app.access";
-    Permission["AGENTS_AGENT_LIST"] = "agents.agent.list";
-    Permission["AGENTS_AGENT_CREATE"] = "agents.agent.create";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["AGENTS_AGENT_CREATE_BULK"] = "agents.agent.create_bulk";
-    Permission["AGENTS_AGENT_MOVE"] = "agents.agent.move";
-    Permission["AGENTS_AGENT_DELETE"] = "agents.agent.delete";
-    Permission["AGENTS_REFERRAL_VIEW"] = "agents.referral.view";
-    Permission["AGENTS_RANKING_VIEW"] = "agents.ranking.view";
-    Permission["AGENTS_PRODUCTION_VIEW"] = "agents.production.view";
-    Permission["AGENTS_PERSON_SEARCH"] = "agents.person.search";
-    Permission["AGENTS_PERSON_VIEW"] = "agents.person.view";
-    Permission["AGENTS_PERSON_UPDATE"] = "agents.person.update";
-    Permission["AGENTS_PERSON_CREATE"] = "agents.person.create";
-    Permission["AGENTS_DOCUMENT_VIEW"] = "agents.document.view";
-    Permission["AGENTS_DOCUMENT_UPLOAD"] = "agents.document.upload";
-    Permission["AGENTS_ADDRESS_VIEW"] = "agents.address.view";
-    Permission["AGENTS_ADDRESS_MANAGE"] = "agents.address.manage";
-    Permission["AGENTS_BENEFICIARY_VIEW"] = "agents.beneficiary.view";
-    Permission["AGENTS_BENEFICIARY_MANAGE"] = "agents.beneficiary.manage";
-    Permission["AGENTS_CARD_ISSUE"] = "agents.card.issue";
-    Permission["AGENTS_CHAT_VIEW"] = "agents.chat.view";
-    Permission["AGENTS_CHAT_SEND"] = "agents.chat.send";
-    Permission["AGENTS_NOTIFICATION_SEND"] = "agents.notification.send";
-    Permission["AGENTS_EXPORT_RUN"] = "agents.export.run";
-    Permission["AGENTS_CATALOG_VIEW"] = "agents.catalog.view";
-    // Gestión de grupos del tenant AGENTS (scope TENANT — el operador). Espejo de retail.retailer.manage.
-    Permission["AGENTS_GROUP_MANAGE"] = "agents.group.manage";
-    // Gestión de usuarios DENTRO de un grupo (scope GROUP — el group_owner/admin sobre su grupo; el
-    // operador la cubre por TENANT). Crea usuarios + asigna roles group_* acotado al groupId. DEC-102.
-    Permission["AGENTS_GROUP_USER_MANAGE"] = "agents.group.user.manage";
-    // ====================================================
-    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063, ADITIVO)
-    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Coexisten con los
-    // legacy retail.*/agents.* (categorías @deprecated), NO los reemplazan en la línea 3.x.
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Los permisos de
+    // DOMINIO (retail.*/lend.*/mdm.*/pay.*/agents.*) fueron purgados del catálogo (v4.0.0,
+    // BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; los permisos de
+    // dominio viven como data (catálogo por aplicación), no hardcodeados acá.
     // ====================================================
     Permission["LEVEL1_USER_CREATE"] = "level1.user.create";
     Permission["LEVEL1_USER_READ"] = "level1.user.read";
@@ -308,87 +207,10 @@ exports.PERMISSION_BIT_ORDER = [
     Permission.TENANT_SECURITY_POLICY_MANAGE,
     Permission.TENANT_BRANDING_MANAGE,
     Permission.TENANT_AUDIT_VIEW,
-    Permission.RETAIL_USER_CREATE,
-    Permission.RETAIL_USER_CREATE_LATERAL,
-    Permission.RETAIL_USER_READ,
-    Permission.RETAIL_USER_UPDATE,
-    Permission.RETAIL_USER_STATUS,
-    Permission.RETAIL_USER_DELETE,
-    Permission.RETAIL_USER_PASSWORD_RESET,
-    Permission.RETAIL_USER_MFA_RESET,
-    Permission.RETAIL_PRODUCT_CREATE,
-    Permission.RETAIL_PRODUCT_LIST,
-    Permission.RETAIL_PRODUCT_VIEW,
-    Permission.RETAIL_PRODUCT_UPDATE,
-    Permission.RETAIL_PRODUCT_DELETE,
-    Permission.RETAIL_PRODUCT_MDM_CONFIG,
-    Permission.RETAIL_INVENTORY_LIST,
-    Permission.RETAIL_INVENTORY_VIEW,
-    Permission.RETAIL_INVENTORY_UPDATE,
-    Permission.RETAIL_SALE_CREATE,
-    Permission.RETAIL_SALE_LIST,
-    Permission.RETAIL_SALE_CANCEL,
-    Permission.RETAIL_STORE_MANAGE,
-    Permission.RETAIL_RETAILER_MANAGE,
-    Permission.LEND_CREDIT_CREATE,
-    Permission.LEND_CREDIT_LIST,
-    Permission.LEND_CREDIT_VIEW,
-    Permission.LEND_CREDIT_UPDATE,
-    Permission.LEND_CREDIT_LIQUIDATE,
-    Permission.LEND_CREDIT_RESTRUCTURE,
-    Permission.LEND_PAYMENT_APPLY,
-    Permission.LEND_PAYMENT_LIST,
-    Permission.LEND_PAYMENT_REVERSE,
-    Permission.LEND_INSTALLMENT_VIEW,
-    Permission.MDM_DEVICE_ENROLL,
-    Permission.MDM_DEVICE_RELEASE,
-    Permission.MDM_DEVICE_ARCHIVE,
-    Permission.MDM_DEVICE_DEACTIVATE,
-    Permission.MDM_DEVICE_LOCK_MANUAL,
-    Permission.MDM_DEVICE_UNLOCK_MANUAL,
-    Permission.MDM_DEVICE_PIN_UNLOCK,
-    Permission.MDM_DEVICE_EXTEND_VALIDITY,
-    Permission.MDM_DEVICE_NOTIFY,
-    Permission.MDM_DEVICE_STATUS_VIEW,
-    Permission.MDM_OPERATION_LOG_VIEW,
-    Permission.MDM_TEST,
-    Permission.PAY_TRANSACTION_VIEW,
-    // AGENTS (append-only) — Fiado Agents domain perms.
-    Permission.AGENTS_AGENT_LIST,
-    Permission.AGENTS_AGENT_CREATE,
-    Permission.AGENTS_AGENT_CREATE_BULK,
-    Permission.AGENTS_AGENT_MOVE,
-    Permission.AGENTS_AGENT_DELETE,
-    Permission.AGENTS_REFERRAL_VIEW,
-    Permission.AGENTS_RANKING_VIEW,
-    Permission.AGENTS_PRODUCTION_VIEW,
-    Permission.AGENTS_PERSON_SEARCH,
-    Permission.AGENTS_PERSON_VIEW,
-    Permission.AGENTS_PERSON_UPDATE,
-    Permission.AGENTS_DOCUMENT_VIEW,
-    Permission.AGENTS_DOCUMENT_UPLOAD,
-    Permission.AGENTS_ADDRESS_VIEW,
-    Permission.AGENTS_ADDRESS_MANAGE,
-    Permission.AGENTS_BENEFICIARY_VIEW,
-    Permission.AGENTS_BENEFICIARY_MANAGE,
-    Permission.AGENTS_CARD_ISSUE,
-    Permission.AGENTS_CHAT_VIEW,
-    Permission.AGENTS_CHAT_SEND,
-    Permission.AGENTS_NOTIFICATION_SEND,
-    Permission.AGENTS_EXPORT_RUN,
-    Permission.AGENTS_CATALOG_VIEW,
-    Permission.AGENTS_GROUP_MANAGE,
-    Permission.AGENTS_GROUP_USER_MANAGE,
-    // Append-only: nuevo permiso agregado 2026-06-18 (DEC-A2-02). Va al FINAL para no correr los bits
-    // existentes (PERMS_VERSION cambia, pero los índices previos se conservan).
-    Permission.AGENTS_PERSON_CREATE,
-    // Append-only 2026-06-18 (DEC-RBAC-017): catálogo de campos personalizados por tenant. Al FINAL para
-    // no correr bits existentes. (El bitset está deprecado por token-flaco, pero el orden se mantiene
-    // sincronizado con el enum para que el test de bits no rompa.)
+    // Append-only 2026-06-18 (DEC-RBAC-017): catálogo de campos personalizados por tenant.
+    // (El bitset está deprecado por token-flaco, pero el orden se mantiene sincronizado con el
+    // enum para que el test de bits no rompa.)
     Permission.PLATFORM_TENANT_USERFIELDS_MANAGE,
-    // Append-only 2026-06-21: gate de acceso a la app web de Agents (gobernanza). Al FINAL para no
-    // correr bits existentes (PERMS_VERSION cambia, pero los índices previos se conservan).
-    Permission.AGENTS_APP_ACCESS,
     // Append-only 2026-06-19: lateral platform (platform_super_admin asigna roles scope PLATFORM).
     // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.PLATFORM_USER_CREATE_LATERAL,

package/bin/platformRbac/enums/PermissionCategory.d.ts

@@ -6,14 +6,7 @@ export declare enum PermissionCategory {
     RBAC = "rbac",
     PLATFORM = "platform",
     TENANT = "tenant",
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    RETAIL = "retail",
-    LEND = "lend",
-    MDM = "mdm",
     AUDIT = "audit",
-    PAY = "pay",
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    AGENTS = "agents",
     LEVEL1 = "level1",
     LEVEL2 = "level2",
     LEVEL3 = "level3"

package/bin/platformRbac/enums/PermissionCategory.js

@@ -10,16 +10,11 @@ var PermissionCategory;
     PermissionCategory["RBAC"] = "rbac";
     PermissionCategory["PLATFORM"] = "platform";
     PermissionCategory["TENANT"] = "tenant";
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    PermissionCategory["RETAIL"] = "retail";
-    PermissionCategory["LEND"] = "lend";
-    PermissionCategory["MDM"] = "mdm";
     PermissionCategory["AUDIT"] = "audit";
-    PermissionCategory["PAY"] = "pay";
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    PermissionCategory["AGENTS"] = "agents";
-    // DEC-RBAC-063 (aditivo): categorías de las primitivas RBAC por nivel genérico.
-    // Coexisten con RETAIL/AGENTS (@deprecated), no los reemplazan en la línea 3.x.
+    // DEC-RBAC-063: categorías de las primitivas RBAC por nivel genérico.
+    // Las categorías de DOMINIO (retail/lend/mdm/pay/agents) fueron purgadas del catálogo
+    // (v4.0.0, BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; el dominio
+    // vive como data (catálogo por aplicación), no hardcodeado acá.
     PermissionCategory["LEVEL1"] = "level1";
     PermissionCategory["LEVEL2"] = "level2";
     PermissionCategory["LEVEL3"] = "level3";

package/bin/platformRbac/tenantTypes.d.ts

@@ -1,14 +1,18 @@
 import { PermissionScope } from './enums/PermissionScope';
 /**
- * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
- * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ * Tipos de tenant de DOMINIO (retail/agents) — PURGADOS (v4.0.0, BREAKING).
  *
- * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
- * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
+ * El modelo de tipos de tenant de dominio se consolidó en niveles genéricos (LEVEL_1..n)
+ * data-driven (DEC-RBAC-062/063). El type-kit contiene SOLO el vocabulario del sistema RBAC;
+ * la jerarquía de niveles de cada aplicación vive como data (catálogo por aplicación,
+ * ver `LevelDef` en `application/Application`), no hardcodeada acá.
+ *
+ * El enum queda SIN miembros de dominio a propósito. La maquinaria genérica
+ * (`TENANT_TYPES`, `levelsOf`, `tableSuffixForLevel`, `scopeRankOrder`) se conserva para no
+ * romper a los consumidores (ej. `ScopeValidationService._rank` vía `scopeRankOrder`), pero
+ * ya no aporta niveles legacy: el orden queda definido por los niveles genéricos.
  */
 export declare enum TenantType {
-    RETAIL = "retail",
-    AGENTS = "agents"
 }
 interface TenantTypeDef {
     displayName: string;
@@ -17,17 +21,18 @@ interface TenantTypeDef {
     /** Sufijo de tabla DDB por nivel (el prefix del tenant se antepone en runtime). */
     tableSuffix: Partial<Record<PermissionScope, string>>;
 }
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
+/**
+ * Registro de tipos de tenant de dominio — VACÍO tras la purga (v4.0.0). Las jerarquías de
+ * niveles se definen como data por aplicación (LEVEL_n), no acá.
+ */
 export declare const TENANT_TYPES: Record<TenantType, TenantTypeDef>;
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function levelsOf(type: TenantType): PermissionScope[];
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function tableSuffixForLevel(type: TenantType, level: PermissionScope): string | undefined;
 /**
- * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles de cada tipo.
- * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas
- * (sugeriría falsamente que RETAILER cubre GROUP). La cobertura se decide con una relación
- * explícita por niveles — ver `canAccess`/`scopeCovers` en @fiado/gateway-adapter (DEC-RBAC-010).
+ * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles genéricos.
+ * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas.
+ * La cobertura se decide con una relación explícita por niveles — ver `canAccess`/`scopeCovers`
+ * en @fiado/gateway-adapter (DEC-RBAC-010).
  */
 export declare function scopeRankOrder(): PermissionScope[];
 export {};

package/bin/platformRbac/tenantTypes.js

@@ -6,47 +6,37 @@ exports.tableSuffixForLevel = tableSuffixForLevel;
 exports.scopeRankOrder = scopeRankOrder;
 const PermissionScope_1 = require("./enums/PermissionScope");
 /**
- * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
- * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ * Tipos de tenant de DOMINIO (retail/agents) — PURGADOS (v4.0.0, BREAKING).
  *
- * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
- * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
+ * El modelo de tipos de tenant de dominio se consolidó en niveles genéricos (LEVEL_1..n)
+ * data-driven (DEC-RBAC-062/063). El type-kit contiene SOLO el vocabulario del sistema RBAC;
+ * la jerarquía de niveles de cada aplicación vive como data (catálogo por aplicación,
+ * ver `LevelDef` en `application/Application`), no hardcodeada acá.
+ *
+ * El enum queda SIN miembros de dominio a propósito. La maquinaria genérica
+ * (`TENANT_TYPES`, `levelsOf`, `tableSuffixForLevel`, `scopeRankOrder`) se conserva para no
+ * romper a los consumidores (ej. `ScopeValidationService._rank` vía `scopeRankOrder`), pero
+ * ya no aporta niveles legacy: el orden queda definido por los niveles genéricos.
  */
 var TenantType;
 (function (TenantType) {
-    TenantType["RETAIL"] = "retail";
-    TenantType["AGENTS"] = "agents";
 })(TenantType || (exports.TenantType = TenantType = {}));
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-exports.TENANT_TYPES = {
-    [TenantType.RETAIL]: {
-        displayName: 'Retail',
-        levels: [PermissionScope_1.PermissionScope.RETAILER, PermissionScope_1.PermissionScope.STORE],
-        tableSuffix: {
-            [PermissionScope_1.PermissionScope.RETAILER]: 'SharedRetailer',
-            [PermissionScope_1.PermissionScope.STORE]: 'SharedStore',
-        },
-    },
-    // Fiado Agents — un único nivel GROUP debajo de TENANT.
-    [TenantType.AGENTS]: {
-        displayName: 'Agents',
-        levels: [PermissionScope_1.PermissionScope.GROUP],
-        tableSuffix: { [PermissionScope_1.PermissionScope.GROUP]: 'SharedGroup' },
-    },
-};
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
+/**
+ * Registro de tipos de tenant de dominio — VACÍO tras la purga (v4.0.0). Las jerarquías de
+ * niveles se definen como data por aplicación (LEVEL_n), no acá.
+ */
+exports.TENANT_TYPES = {};
 function levelsOf(type) {
     return exports.TENANT_TYPES[type].levels;
 }
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 function tableSuffixForLevel(type, level) {
     return exports.TENANT_TYPES[type].tableSuffix[level];
 }
 /**
- * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles de cada tipo.
- * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas
- * (sugeriría falsamente que RETAILER cubre GROUP). La cobertura se decide con una relación
- * explícita por niveles — ver `canAccess`/`scopeCovers` en @fiado/gateway-adapter (DEC-RBAC-010).
+ * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles genéricos.
+ * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas.
+ * La cobertura se decide con una relación explícita por niveles — ver `canAccess`/`scopeCovers`
+ * en @fiado/gateway-adapter (DEC-RBAC-010).
  */
 function scopeRankOrder() {
     const order = [PermissionScope_1.PermissionScope.PLATFORM, PermissionScope_1.PermissionScope.TENANT];
@@ -55,7 +45,7 @@ function scopeRankOrder() {
             if (!order.includes(lvl))
                 order.push(lvl);
     }
-    // DEC-RBAC-032: niveles genéricos al final del orden total (UI/ranking). Append-only, después de los legacy.
+    // DEC-RBAC-032: niveles genéricos al final del orden total (UI/ranking). Append-only.
     for (const lvl of [PermissionScope_1.PermissionScope.LEVEL_1, PermissionScope_1.PermissionScope.LEVEL_2, PermissionScope_1.PermissionScope.LEVEL_3]) {
         if (!order.includes(lvl))
             order.push(lvl);

package/bin/remittance/dtos/RemittanceAuditLog.d.ts

@@ -0,0 +1,42 @@
+import { AuditAction } from "../enums/AuditAction";
+import { AuditEntityType } from "../enums/AuditEntityType";
+/**
+ * DTOs del audit trail del backoffice de remesas (RemittanceAuditLog_GT, dueño:
+ * remittance-business). Append-only: registra "quién cambió qué, cuándo" en cada
+ * mutación (Configuración, Variables Operativas y, a futuro, suspend/reactivate
+ * desde el connector vía api-invoker — por eso el request vive en type-kit).
+ *
+ * MVP persiste `summary` + `after` (snapshot nuevo); `before` se agrega después
+ * si la UI quiere diff visual.
+ */
+/** Request de append (helper `recordAudit` en rb; futuro cross-lambda). */
+export declare class AuditAppendRequest {
+    entityType: AuditEntityType;
+    /** Id de la entidad afectada (cohortId, segmentId, directoryId…). */
+    entityId: string;
+    action: AuditAction;
+    /** Email del operador (claim del JWT) o "sistema" para jobs. */
+    actor: string;
+    /** Descripción legible ("Editó condiciones del cohort 'Activo'"). */
+    summary: string;
+    /** Snapshot del estado nuevo de la entidad (opcional). */
+    after?: Record<string, unknown>;
+}
+/** Entrada del audit trail (response). */
+export declare class AuditLogEntry {
+    entityType: AuditEntityType;
+    /** SK: ISO-8601 + `#<uuid>` (orden cronológico + unicidad dentro del entityType). */
+    at: string;
+    actor: string;
+    entityId: string;
+    action: AuditAction;
+    summary: string;
+    after: Record<string, unknown> | null;
+    createdAt: string;
+}
+/** Response de GET /backoffice/audit (paginación estándar index/pageSize). */
+export declare class AuditListResponse {
+    items: AuditLogEntry[];
+    /** Cursor opaco (base64) para la próxima página; null/ausente = última. */
+    index?: string | null;
+}

package/bin/remittance/dtos/RemittanceAuditLog.js

@@ -0,0 +1,62 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.AuditListResponse = exports.AuditLogEntry = exports.AuditAppendRequest = void 0;
+const class_validator_1 = require("class-validator");
+const AuditAction_1 = require("../enums/AuditAction");
+const AuditEntityType_1 = require("../enums/AuditEntityType");
+/**
+ * DTOs del audit trail del backoffice de remesas (RemittanceAuditLog_GT, dueño:
+ * remittance-business). Append-only: registra "quién cambió qué, cuándo" en cada
+ * mutación (Configuración, Variables Operativas y, a futuro, suspend/reactivate
+ * desde el connector vía api-invoker — por eso el request vive en type-kit).
+ *
+ * MVP persiste `summary` + `after` (snapshot nuevo); `before` se agrega después
+ * si la UI quiere diff visual.
+ */
+/** Request de append (helper `recordAudit` en rb; futuro cross-lambda). */
+class AuditAppendRequest {
+}
+exports.AuditAppendRequest = AuditAppendRequest;
+__decorate([
+    (0, class_validator_1.IsEnum)(AuditEntityType_1.AuditEntityType),
+    __metadata("design:type", String)
+], AuditAppendRequest.prototype, "entityType", void 0);
+__decorate([
+    (0, class_validator_1.IsString)(),
+    __metadata("design:type", String)
+], AuditAppendRequest.prototype, "entityId", void 0);
+__decorate([
+    (0, class_validator_1.IsEnum)(AuditAction_1.AuditAction),
+    __metadata("design:type", String)
+], AuditAppendRequest.prototype, "action", void 0);
+__decorate([
+    (0, class_validator_1.IsString)(),
+    __metadata("design:type", String)
+], AuditAppendRequest.prototype, "actor", void 0);
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(500),
+    __metadata("design:type", String)
+], AuditAppendRequest.prototype, "summary", void 0);
+__decorate([
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsObject)(),
+    __metadata("design:type", Object)
+], AuditAppendRequest.prototype, "after", void 0);
+/** Entrada del audit trail (response). */
+class AuditLogEntry {
+}
+exports.AuditLogEntry = AuditLogEntry;
+/** Response de GET /backoffice/audit (paginación estándar index/pageSize). */
+class AuditListResponse {
+}
+exports.AuditListResponse = AuditListResponse;

package/bin/remittance/dtos/RemittanceCohort.d.ts

@@ -0,0 +1,62 @@
+import { CohortField } from "../enums/CohortField";
+import { CohortOperator } from "../enums/CohortOperator";
+import { CohortRefresh } from "../enums/CohortRefresh";
+/**
+ * DTOs de Cohorts (Dashboard Ops · Configuración §3, EP-26..30).
+ *
+ * Un cohort es un grupo dinámico de clientes definido por condiciones en AND
+ * (rule builder del mockup) que se recalcula periódicamente. Dueño de la tabla:
+ * remittance-business (RemittanceCohorts_GT). Solo se persiste el count (D4.5),
+ * nunca la membership.
+ */
+/** Condición del rule builder: `SI <field> <op> <value>`. Todas en AND. */
+export declare class CohortCondition {
+    field: CohortField;
+    op: CohortOperator;
+    value: number;
+}
+/** Body de EP-27 POST /backoffice/config/cohorts. */
+export declare class CreateCohortRequest {
+    name: string;
+    description?: string;
+    conditions: CohortCondition[];
+    refresh: CohortRefresh;
+}
+/** Body de EP-28 PUT /backoffice/config/cohorts/{id} (reemplazo completo, patrón Save del mockup). */
+export declare class UpdateCohortRequest {
+    name: string;
+    description?: string;
+    conditions: CohortCondition[];
+    refresh: CohortRefresh;
+}
+/** Cohort completo (response). `memberCount`/`pctTotal` son null si nunca se calculó. */
+export declare class Cohort {
+    id: string;
+    name: string;
+    description: string | null;
+    conditions: CohortCondition[];
+    refresh: CohortRefresh;
+    /** Clientes actualmente en el cohort (snapshot del último recálculo). */
+    memberCount: number | null;
+    /** % del total de RemittanceUsers (denominador = todos, no solo ACTIVE). 0-100. */
+    pctTotal: number | null;
+    lastCalculatedAt: string | null;
+    /** ISO — próxima corrida que el cron horario debe honrar (derivado de `refresh`). */
+    nextCalculationAt: string;
+    createdAt: string;
+    updatedAt: string;
+    createdBy: string;
+    updatedBy: string;
+}
+/** Response de EP-26 GET /backoffice/config/cohorts (tabla chica, sin paginación). */
+export declare class CohortListResponse {
+    items: Cohort[];
+}
+/** Response de EP-30 POST /backoffice/config/cohorts/{id}/recalcular. */
+export declare class RecalculateCohortResponse {
+    id: string;
+    memberCount: number;
+    pctTotal: number;
+    lastCalculatedAt: string;
+    nextCalculationAt: string;
+}

package/bin/remittance/dtos/RemittanceCohort.js

@@ -0,0 +1,105 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.RecalculateCohortResponse = exports.CohortListResponse = exports.Cohort = exports.UpdateCohortRequest = exports.CreateCohortRequest = exports.CohortCondition = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+const CohortField_1 = require("../enums/CohortField");
+const CohortOperator_1 = require("../enums/CohortOperator");
+const CohortRefresh_1 = require("../enums/CohortRefresh");
+/**
+ * DTOs de Cohorts (Dashboard Ops · Configuración §3, EP-26..30).
+ *
+ * Un cohort es un grupo dinámico de clientes definido por condiciones en AND
+ * (rule builder del mockup) que se recalcula periódicamente. Dueño de la tabla:
+ * remittance-business (RemittanceCohorts_GT). Solo se persiste el count (D4.5),
+ * nunca la membership.
+ */
+/** Condición del rule builder: `SI <field> <op> <value>`. Todas en AND. */
+class CohortCondition {
+}
+exports.CohortCondition = CohortCondition;
+__decorate([
+    (0, class_validator_1.IsEnum)(CohortField_1.CohortField),
+    __metadata("design:type", String)
+], CohortCondition.prototype, "field", void 0);
+__decorate([
+    (0, class_validator_1.IsEnum)(CohortOperator_1.CohortOperator),
+    __metadata("design:type", String)
+], CohortCondition.prototype, "op", void 0);
+__decorate([
+    (0, class_validator_1.IsNumber)(),
+    __metadata("design:type", Number)
+], CohortCondition.prototype, "value", void 0);
+/** Body de EP-27 POST /backoffice/config/cohorts. */
+class CreateCohortRequest {
+}
+exports.CreateCohortRequest = CreateCohortRequest;
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.Length)(3, 100),
+    __metadata("design:type", String)
+], CreateCohortRequest.prototype, "name", void 0);
+__decorate([
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(500),
+    __metadata("design:type", String)
+], CreateCohortRequest.prototype, "description", void 0);
+__decorate([
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.ArrayMinSize)(1),
+    (0, class_validator_1.ValidateNested)({ each: true }),
+    (0, class_transformer_1.Type)(() => CohortCondition),
+    __metadata("design:type", Array)
+], CreateCohortRequest.prototype, "conditions", void 0);
+__decorate([
+    (0, class_validator_1.IsEnum)(CohortRefresh_1.CohortRefresh),
+    __metadata("design:type", String)
+], CreateCohortRequest.prototype, "refresh", void 0);
+/** Body de EP-28 PUT /backoffice/config/cohorts/{id} (reemplazo completo, patrón Save del mockup). */
+class UpdateCohortRequest {
+}
+exports.UpdateCohortRequest = UpdateCohortRequest;
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.Length)(3, 100),
+    __metadata("design:type", String)
+], UpdateCohortRequest.prototype, "name", void 0);
+__decorate([
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(500),
+    __metadata("design:type", String)
+], UpdateCohortRequest.prototype, "description", void 0);
+__decorate([
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.ArrayMinSize)(1),
+    (0, class_validator_1.ValidateNested)({ each: true }),
+    (0, class_transformer_1.Type)(() => CohortCondition),
+    __metadata("design:type", Array)
+], UpdateCohortRequest.prototype, "conditions", void 0);
+__decorate([
+    (0, class_validator_1.IsEnum)(CohortRefresh_1.CohortRefresh),
+    __metadata("design:type", String)
+], UpdateCohortRequest.prototype, "refresh", void 0);
+/** Cohort completo (response). `memberCount`/`pctTotal` son null si nunca se calculó. */
+class Cohort {
+}
+exports.Cohort = Cohort;
+/** Response de EP-26 GET /backoffice/config/cohorts (tabla chica, sin paginación). */
+class CohortListResponse {
+}
+exports.CohortListResponse = CohortListResponse;
+/** Response de EP-30 POST /backoffice/config/cohorts/{id}/recalcular. */
+class RecalculateCohortResponse {
+}
+exports.RecalculateCohortResponse = RecalculateCohortResponse;