@fiado/type-kit 3.454.0 → 3.455.0

package/bin/platformRbac/dtos/ResetTenantUserPasswordResponse.d.ts

@@ -0,0 +1,7 @@
+/**
+ * Respuesta del reset de contraseña. Viene en claro porque no se manda correo: el operador se la
+ * comparte al agente por el canal que tenga a mano.
+ */
+export interface ResetTenantUserPasswordResponse {
+    temporaryPassword: string;
+}

package/bin/platformRbac/dtos/ResetTenantUserPasswordResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/RevokeTenantRoleRequest.d.ts

@@ -0,0 +1,5 @@
+/** Body del POST que revoca una asignación de rol. El `assignmentId` viaja en el path. */
+export declare class RevokeTenantRoleRequest {
+    cognitoSub: string;
+    actedBy: string;
+}

package/bin/platformRbac/dtos/RevokeTenantRoleRequest.js

@@ -0,0 +1,32 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.RevokeTenantRoleRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/** Body del POST que revoca una asignación de rol. El `assignmentId` viaja en el path. */
+// Sin `cognitoSub` el endpoint no revoca nada: la clave de la tabla de asignaciones es
+// cognitoSub + assignmentId.
+class RevokeTenantRoleRequest {
+}
+exports.RevokeTenantRoleRequest = RevokeTenantRoleRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], RevokeTenantRoleRequest.prototype, "cognitoSub", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], RevokeTenantRoleRequest.prototype, "actedBy", void 0);

package/bin/platformRbac/dtos/RevokeTenantRoleResponse.d.ts

@@ -0,0 +1,4 @@
+/** Respuesta de la revocación de una asignación. */
+export interface RevokeTenantRoleResponse {
+    status: string;
+}

package/bin/platformRbac/dtos/RevokeTenantRoleResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantRoleResponse.d.ts

@@ -0,0 +1,20 @@
+import type { Permission } from '../enums/Permission';
+import type { PermissionScope } from '../enums/PermissionScope';
+/**
+ * Proyección pública de un rol del tenant (SharedRole del RBAC), con su catálogo de permisos y el
+ * scope al que se puede asignar.
+ */
+export interface TenantRoleResponse {
+    roleId: string;
+    displayName: string;
+    description?: string;
+    permissions: Permission[];
+    isSystem: boolean;
+    scope: PermissionScope;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+    deletedAt?: number;
+    deletedBy?: string;
+}

package/bin/platformRbac/dtos/TenantRoleResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantUserAckResponse.d.ts

@@ -0,0 +1,7 @@
+/**
+ * Acuse simple que comparten suspender, reactivar, resetear el MFA y borrar un usuario — es
+ * exactamente lo que devuelven hoy sus gemelos con sesión.
+ */
+export interface TenantUserAckResponse {
+    ok: boolean;
+}

package/bin/platformRbac/dtos/TenantUserAckResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantUserAssignmentResponse.d.ts

@@ -0,0 +1,14 @@
+import type { PermissionScope } from '../enums/PermissionScope';
+/**
+ * Una asignación de rol vigente de un usuario, enriquecida con los nombres legibles del rol y del
+ * grupo al que apunta.
+ */
+export interface TenantUserAssignmentResponse {
+    assignmentId: string;
+    roleId: string;
+    roleName: string;
+    scope: PermissionScope;
+    scopeRef: string;
+    scopeRefName: string;
+    scopeRefParentName?: string;
+}

package/bin/platformRbac/dtos/TenantUserAssignmentResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantUserListItemResponse.d.ts

@@ -0,0 +1,9 @@
+import type { PermissionScope } from '../enums/PermissionScope';
+import type { TenantUserResponse } from './TenantUserResponse';
+/** Un usuario en el listado, con los nombres de sus roles y el scope más alto que alcanza. */
+export interface TenantUserListItemResponse extends TenantUserResponse {
+    /** Nombres legibles del rol, no sus ids. */
+    roles: string[];
+    topScope?: PermissionScope;
+    topScopeRef?: string;
+}

package/bin/platformRbac/dtos/TenantUserListItemResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantUserResponse.d.ts

@@ -0,0 +1,29 @@
+/** Estados posibles de un usuario del tenant en el RBAC. */
+export type TenantUserStatusValue = 'INVITED' | 'ACTIVE' | 'SUSPENDED' | 'LOCKED' | 'OFFBOARDED' | 'DELETED';
+/** Origen del alta del usuario en el RBAC. */
+export type TenantUserSourceValue = 'cognito_trigger' | 'admin_create' | 'self_register';
+/**
+ * Proyección pública de un usuario del tenant (SharedUser del RBAC), con sus campos personalizados
+ * y las marcas de su última sesión y su último sync desde Cognito.
+ */
+export interface TenantUserResponse {
+    cognitoSub: string;
+    email?: string;
+    displayName: string;
+    phone?: string;
+    tenantId: string;
+    status: TenantUserStatusValue;
+    userPoolId?: string;
+    retailerId?: string;
+    storeIds?: string[];
+    source?: TenantUserSourceValue;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+    lastLoginAt?: number;
+    lastSyncedFromCognito?: number;
+    customFields?: {
+        [key: string]: string;
+    };
+}

package/bin/platformRbac/dtos/TenantUserResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/UpdateLevelEntityRequest.d.ts

@@ -0,0 +1,8 @@
+/**
+ * Body del PUT que renombra un grupo. `tenantId`, `level` y el id del grupo viajan en el path.
+ * `actedBy` es el cognitoSub de quien accionó en el backoffice — es lo único que queda en la auditoría.
+ */
+export declare class UpdateLevelEntityRequest {
+    displayName?: string;
+    actedBy: string;
+}

package/bin/platformRbac/dtos/UpdateLevelEntityRequest.js

@@ -0,0 +1,35 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.UpdateLevelEntityRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del PUT que renombra un grupo. `tenantId`, `level` y el id del grupo viajan en el path.
+ * `actedBy` es el cognitoSub de quien accionó en el backoffice — es lo único que queda en la auditoría.
+ */
+class UpdateLevelEntityRequest {
+}
+exports.UpdateLevelEntityRequest = UpdateLevelEntityRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(120),
+    __metadata("design:type", String)
+], UpdateLevelEntityRequest.prototype, "displayName", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], UpdateLevelEntityRequest.prototype, "actedBy", void 0);

package/bin/platformRbac/dtos/UpdateTenantUserRequest.d.ts

@@ -0,0 +1,8 @@
+/**
+ * Body del PUT que renombra a un usuario. El correo es inmutable en el rbac y el grupo se mueve
+ * reasignando el rol, así que aquí no viaja ninguno de los dos.
+ */
+export declare class UpdateTenantUserRequest {
+    displayName?: string;
+    actedBy: string;
+}

package/bin/platformRbac/dtos/UpdateTenantUserRequest.js

@@ -0,0 +1,35 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.UpdateTenantUserRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del PUT que renombra a un usuario. El correo es inmutable en el rbac y el grupo se mueve
+ * reasignando el rol, así que aquí no viaja ninguno de los dos.
+ */
+class UpdateTenantUserRequest {
+}
+exports.UpdateTenantUserRequest = UpdateTenantUserRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(120),
+    __metadata("design:type", String)
+], UpdateTenantUserRequest.prototype, "displayName", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], UpdateTenantUserRequest.prototype, "actedBy", void 0);

package/bin/platformRbac/index.d.ts

@@ -54,9 +54,33 @@ export * from './dtos/SelfRegisterCompleteRequest';
 export * from './dtos/CreateLevelEntityRequest';
 export type { CreateLevelEntityResponse } from './dtos/CreateLevelEntityResponse';
 export * from './dtos/CreateTenantUserRequest';
-export type { CreateTenantUserResponse } from './dtos/CreateTenantUserResponse';
+export type { CreateTenantUserResponse, TenantUserOutcomeValue } from './dtos/CreateTenantUserResponse';
 export * from './dtos/CreateIntegrationRequest';
 export * from './dtos/UpdateIntegrationRequest';
 export type { IntegrationResponse, IntegrationStatusValue } from './dtos/IntegrationResponse';
 export type { IntegrationKeyResponse, IntegrationKeyStatusValue, IssueIntegrationKeyResponse, } from './dtos/IntegrationKeyResponse';
 export type { IntegrationWhoamiResponse } from './dtos/IntegrationWhoamiResponse';
+export type { LevelEntityResponse } from './dtos/LevelEntityResponse';
+export type { TenantUserResponse, TenantUserStatusValue, TenantUserSourceValue } from './dtos/TenantUserResponse';
+export type { TenantUserAssignmentResponse } from './dtos/TenantUserAssignmentResponse';
+export type { TenantRoleResponse } from './dtos/TenantRoleResponse';
+export type { ListLevelEntitiesResponse } from './dtos/ListLevelEntitiesResponse';
+export * from './dtos/UpdateLevelEntityRequest';
+export * from './dtos/DeleteLevelEntityRequest';
+export type { DeleteLevelEntityResponse } from './dtos/DeleteLevelEntityResponse';
+export type { ListTenantUsersResponse } from './dtos/ListTenantUsersResponse';
+export type { TenantUserListItemResponse } from './dtos/TenantUserListItemResponse';
+export type { GetTenantUserResponse } from './dtos/GetTenantUserResponse';
+export * from './dtos/UpdateTenantUserRequest';
+export * from './dtos/DeleteTenantUserRequest';
+export * from './dtos/DisableTenantUserRequest';
+export * from './dtos/EnableTenantUserRequest';
+export * from './dtos/ResetTenantUserPasswordRequest';
+export type { ResetTenantUserPasswordResponse } from './dtos/ResetTenantUserPasswordResponse';
+export * from './dtos/ResetTenantUserMfaRequest';
+export type { TenantUserAckResponse } from './dtos/TenantUserAckResponse';
+export type { ListTenantRolesResponse } from './dtos/ListTenantRolesResponse';
+export * from './dtos/AssignTenantRoleRequest';
+export type { AssignTenantRoleResponse } from './dtos/AssignTenantRoleResponse';
+export * from './dtos/RevokeTenantRoleRequest';
+export type { RevokeTenantRoleResponse } from './dtos/RevokeTenantRoleResponse';

package/bin/platformRbac/index.js

@@ -6,7 +6,7 @@
 // (Permission, PermissionScope, AuthContext, RoleAssignmentInfo) de aquí a `rbac/`.
 //
 // Los DTOs propios del rbac-business se van agregando a medida que los flujos los necesitan.
-// EffectivePermissionsResponse ya vive acá (lo consume jwt-inyector vía /internal/effective-permissions).
+// EffectivePermissionsResponse ya vive aquí (lo consume jwt-inyector vía /internal/effective-permissions).
 // Otros DTOs aún pendientes se sumarán cuando los managers que los consumen se implementen.
 var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
     if (k2 === undefined) k2 = k;
@@ -115,3 +115,13 @@ __exportStar(require("./dtos/CreateTenantUserRequest"), exports);
 // Los requests van como clase (class-validator); las responses como tipo.
 __exportStar(require("./dtos/CreateIntegrationRequest"), exports);
 __exportStar(require("./dtos/UpdateIntegrationRequest"), exports);
+__exportStar(require("./dtos/UpdateLevelEntityRequest"), exports);
+__exportStar(require("./dtos/DeleteLevelEntityRequest"), exports);
+__exportStar(require("./dtos/UpdateTenantUserRequest"), exports);
+__exportStar(require("./dtos/DeleteTenantUserRequest"), exports);
+__exportStar(require("./dtos/DisableTenantUserRequest"), exports);
+__exportStar(require("./dtos/EnableTenantUserRequest"), exports);
+__exportStar(require("./dtos/ResetTenantUserPasswordRequest"), exports);
+__exportStar(require("./dtos/ResetTenantUserMfaRequest"), exports);
+__exportStar(require("./dtos/AssignTenantRoleRequest"), exports);
+__exportStar(require("./dtos/RevokeTenantRoleRequest"), exports);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.454.0",
+  "version": "3.455.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/AssignTenantRoleRequest.ts

@@ -0,0 +1,16 @@
+import { Expose } from 'class-transformer';
+import { IsEnum, IsNotEmpty, IsNumber, IsOptional, IsString } from 'class-validator';
+import { PermissionScope } from '../enums/PermissionScope';
+
+/**
+ * Body del POST que asigna un rol a un usuario en un scope. Un rol y un solo `scopeRef` por
+ * llamada; `expiresAt` en epoch ms deja la asignación temporal.
+ */
+export class AssignTenantRoleRequest {
+    @Expose() @IsString() @IsNotEmpty() cognitoSub!: string;
+    @Expose() @IsString() @IsNotEmpty() roleId!: string;
+    @Expose() @IsEnum(PermissionScope) scope!: PermissionScope;
+    @Expose() @IsString() @IsNotEmpty() scopeRef!: string;
+    @Expose() @IsOptional() @IsNumber() expiresAt?: number;
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/AssignTenantRoleResponse.ts

@@ -0,0 +1,4 @@
+/** Respuesta del alta de una asignación: el `assignmentId` con el que después se revoca. */
+export interface AssignTenantRoleResponse {
+    assignmentId: string;
+}

package/src/platformRbac/dtos/CreateTenantUserResponse.ts

@@ -1,7 +1,20 @@
+import type { TenantUserStatusValue } from './TenantUserResponse';
+
+/** Desenlace del alta: si el correo ya tenía usuario se lo adopta en vez de crear otro. */
+export type TenantUserOutcomeValue = 'CREATED' | 'ADOPTED';
+
 /**
  * Respuesta del POST create-tenant-user (endpoint privado). Devuelve el cognitoSub del usuario
  * provisionado, que retail-org guarda en el RetailUser para el match F1↔RBAC. Interface plain → type-only.
  */
 export interface CreateTenantUserResponse {
     cognitoSub: string;
+    // DEC-RBAC-079: ausente en un tenant phone-primary sin identificador secundario.
+    email?: string;
+    status: TenantUserStatusValue;
+    // Solo viene en un alta nueva: a un usuario adoptado no se le pisa la contraseña que ya está usando.
+    // El operador muestra la credencial si y solo si este campo llegó; `outcome` explica por qué no llegó.
+    temporaryPassword?: string;
+    rolesAssigned: string[];
+    outcome: TenantUserOutcomeValue;
 }

package/src/platformRbac/dtos/DeleteLevelEntityRequest.ts

@@ -0,0 +1,7 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/** Body del DELETE de un grupo. `tenantId`, `level` y el id del grupo viajan en el path. */
+export class DeleteLevelEntityRequest {
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/DeleteLevelEntityResponse.ts

@@ -0,0 +1,4 @@
+/** Respuesta del DELETE de un grupo. */
+export interface DeleteLevelEntityResponse {
+    deleted: boolean;
+}

package/src/platformRbac/dtos/DeleteTenantUserRequest.ts

@@ -0,0 +1,7 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/** Body del DELETE de un usuario. `tenantId` y `cognitoSub` viajan en el path. */
+export class DeleteTenantUserRequest {
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/DisableTenantUserRequest.ts

@@ -0,0 +1,10 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/**
+ * Body del endpoint que suspende a un usuario. `actedBy` es el cognitoSub de quien accionó en el
+ * backoffice — es lo único que queda en la auditoría.
+ */
+export class DisableTenantUserRequest {
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/EnableTenantUserRequest.ts

@@ -0,0 +1,10 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/**
+ * Body del endpoint que reactiva a un usuario suspendido. `actedBy` es el cognitoSub de quien
+ * accionó en el backoffice — es lo único que queda en la auditoría.
+ */
+export class EnableTenantUserRequest {
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/GetTenantUserResponse.ts

@@ -0,0 +1,11 @@
+import type { TenantUserAssignmentResponse } from './TenantUserAssignmentResponse';
+import type { TenantUserResponse } from './TenantUserResponse';
+
+/**
+ * Respuesta del detalle de un usuario: además de sus datos, trae los nombres de sus roles y sus
+ * asignaciones vigentes con el `assignmentId` de cada una.
+ */
+export interface GetTenantUserResponse extends TenantUserResponse {
+    roles: string[];
+    roleAssignments: TenantUserAssignmentResponse[];
+}

package/src/platformRbac/dtos/LevelEntityResponse.ts

@@ -0,0 +1,14 @@
+/**
+ * Proyección pública de una entidad de nivel (grupo) del RBAC: la devuelven el listado, el detalle
+ * y la actualización de grupos. Convive con CreateLevelEntityResponse, que ya es contrato publicado.
+ */
+export interface LevelEntityResponse {
+    id: string;
+    displayName: string;
+    parentId?: string;
+    level: string;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+}

package/src/platformRbac/dtos/ListLevelEntitiesResponse.ts

@@ -0,0 +1,9 @@
+import type { LevelEntityResponse } from './LevelEntityResponse';
+
+/**
+ * Respuesta del listado de grupos de un nivel. El GET acepta `parentId` opcional en la query para
+ * traer solo los hijos de un grupo.
+ */
+export interface ListLevelEntitiesResponse {
+    items: LevelEntityResponse[];
+}

package/src/platformRbac/dtos/ListTenantRolesResponse.ts

@@ -0,0 +1,6 @@
+import type { TenantRoleResponse } from './TenantRoleResponse';
+
+/** Respuesta del listado de roles del tenant, para armar el selector de asignación. */
+export interface ListTenantRolesResponse {
+    items: TenantRoleResponse[];
+}

package/src/platformRbac/dtos/ListTenantUsersResponse.ts

@@ -0,0 +1,9 @@
+import type { TenantUserListItemResponse } from './TenantUserListItemResponse';
+
+/**
+ * Respuesta del listado de usuarios del tenant. El GET acepta `email` opcional en la query para
+ * encontrar una cuenta que ya existía y adoptarla.
+ */
+export interface ListTenantUsersResponse {
+    items: TenantUserListItemResponse[];
+}

package/src/platformRbac/dtos/ResetTenantUserMfaRequest.ts

@@ -0,0 +1,10 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/**
+ * Body del endpoint que resetea el MFA de un usuario. `actedBy` es el cognitoSub de quien accionó
+ * en el backoffice — es lo único que queda en la auditoría.
+ */
+export class ResetTenantUserMfaRequest {
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/ResetTenantUserPasswordRequest.ts

@@ -0,0 +1,10 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/**
+ * Body del endpoint que resetea la contraseña de un usuario. `actedBy` es el cognitoSub de quien
+ * accionó en el backoffice — es lo único que queda en la auditoría.
+ */
+export class ResetTenantUserPasswordRequest {
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/ResetTenantUserPasswordResponse.ts

@@ -0,0 +1,7 @@
+/**
+ * Respuesta del reset de contraseña. Viene en claro porque no se manda correo: el operador se la
+ * comparte al agente por el canal que tenga a mano.
+ */
+export interface ResetTenantUserPasswordResponse {
+    temporaryPassword: string;
+}

package/src/platformRbac/dtos/RevokeTenantRoleRequest.ts

@@ -0,0 +1,10 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/** Body del POST que revoca una asignación de rol. El `assignmentId` viaja en el path. */
+// Sin `cognitoSub` el endpoint no revoca nada: la clave de la tabla de asignaciones es
+// cognitoSub + assignmentId.
+export class RevokeTenantRoleRequest {
+    @Expose() @IsString() @IsNotEmpty() cognitoSub!: string;
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/RevokeTenantRoleResponse.ts

@@ -0,0 +1,4 @@
+/** Respuesta de la revocación de una asignación. */
+export interface RevokeTenantRoleResponse {
+    status: string;
+}

package/src/platformRbac/dtos/TenantRoleResponse.ts

@@ -0,0 +1,21 @@
+import type { Permission } from '../enums/Permission';
+import type { PermissionScope } from '../enums/PermissionScope';
+
+/**
+ * Proyección pública de un rol del tenant (SharedRole del RBAC), con su catálogo de permisos y el
+ * scope al que se puede asignar.
+ */
+export interface TenantRoleResponse {
+    roleId: string;
+    displayName: string;
+    description?: string;
+    permissions: Permission[];
+    isSystem: boolean;
+    scope: PermissionScope;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+    deletedAt?: number;
+    deletedBy?: string;
+}

package/src/platformRbac/dtos/TenantUserAckResponse.ts

@@ -0,0 +1,7 @@
+/**
+ * Acuse simple que comparten suspender, reactivar, resetear el MFA y borrar un usuario — es
+ * exactamente lo que devuelven hoy sus gemelos con sesión.
+ */
+export interface TenantUserAckResponse {
+    ok: boolean;
+}

package/src/platformRbac/dtos/TenantUserAssignmentResponse.ts

@@ -0,0 +1,17 @@
+import type { PermissionScope } from '../enums/PermissionScope';
+
+/**
+ * Una asignación de rol vigente de un usuario, enriquecida con los nombres legibles del rol y del
+ * grupo al que apunta.
+ */
+// `assignmentId` es lo que necesitas para revocar: el endpoint de revoke lo recibe en el path,
+// junto con el `cognitoSub` en el cuerpo.
+export interface TenantUserAssignmentResponse {
+    assignmentId: string;
+    roleId: string;
+    roleName: string;
+    scope: PermissionScope;
+    scopeRef: string;
+    scopeRefName: string;
+    scopeRefParentName?: string;
+}

package/src/platformRbac/dtos/TenantUserListItemResponse.ts

@@ -0,0 +1,10 @@
+import type { PermissionScope } from '../enums/PermissionScope';
+import type { TenantUserResponse } from './TenantUserResponse';
+
+/** Un usuario en el listado, con los nombres de sus roles y el scope más alto que alcanza. */
+export interface TenantUserListItemResponse extends TenantUserResponse {
+    /** Nombres legibles del rol, no sus ids. */
+    roles: string[];
+    topScope?: PermissionScope;
+    topScopeRef?: string;
+}

package/src/platformRbac/dtos/TenantUserResponse.ts

@@ -0,0 +1,30 @@
+/** Estados posibles de un usuario del tenant en el RBAC. */
+export type TenantUserStatusValue = 'INVITED' | 'ACTIVE' | 'SUSPENDED' | 'LOCKED' | 'OFFBOARDED' | 'DELETED';
+
+/** Origen del alta del usuario en el RBAC. */
+export type TenantUserSourceValue = 'cognito_trigger' | 'admin_create' | 'self_register';
+
+/**
+ * Proyección pública de un usuario del tenant (SharedUser del RBAC), con sus campos personalizados
+ * y las marcas de su última sesión y su último sync desde Cognito.
+ */
+export interface TenantUserResponse {
+    cognitoSub: string;
+    // DEC-RBAC-079: ausente en un tenant phone-primary sin identificador secundario.
+    email?: string;
+    displayName: string;
+    phone?: string;
+    tenantId: string;
+    status: TenantUserStatusValue;
+    userPoolId?: string;
+    retailerId?: string;
+    storeIds?: string[];
+    source?: TenantUserSourceValue;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+    lastLoginAt?: number;
+    lastSyncedFromCognito?: number;
+    customFields?: { [key: string]: string };
+}