Roles y permisos

Joryio ofrece un sistema granular de control de acceso basado en roles (RBAC) que te permite definir exactamente qué puede hacer cada miembro del equipo. Asignas acceso desde un solo lugar - Configuración → Equipo y acceso - mediante roles integrados, plantillas predefinidas, conjuntos de permisos personalizados o pertenencia a equipos.

Cómo funciona el acceso

El acceso de cada miembro se resuelve a partir de tres elementos combinados:

1. Concesiones de espacio de trabajo: un rol (o conjunto de permisos personalizado) aplicado a todos los espacios de trabajo o a espacios concretos. Aquí están la mayoría de los permisos.
2. Pertenencia a equipo: los equipos tienen su propio rol y ámbito de espacio de trabajo, y restringen la visibilidad mediante etiquetas (consulta Equipos más abajo).
3. Permisos de organización: un pequeño conjunto de capacidades para toda la organización concedidas directamente al miembro.

Los permisos siguen el formato recurso:acción (por ejemplo, campaigns:read, campaigns:send).

Permisos de espacio de trabajo frente a permisos de empresa

Este es el concepto más importante del modelo:

• Los permisos de espacio de trabajo (la mayoría: campañas, recorridos, audiencia, contenido, datos, eventos, analítica, integraciones, claves de API, configuración, cumplimiento, reglas de contacto y WhatsApp) controlan recursos que pertenecen a un único espacio de trabajo. Se conceden mediante roles por espacio de trabajo y por equipos, nunca globalmente.

• Los permisos de empresa (para toda la organización) son las únicas capacidades que se aplican en todas partes, independientemente del espacio de trabajo. Se conceden como una lista directa al miembro, no mediante un rol ni limitados a un espacio de trabajo. Son exactamente seis:

  Permiso	Qué permite
  team:read	Ver miembros y sus roles
  team:write	Invitar, actualizar y eliminar miembros
  team:manage_roles	Crear, editar y eliminar roles personalizados
  workspaces:manage	Crear, eliminar y configurar espacios de trabajo
  org_settings:write	Modificar la configuración de toda la organización: proveedores de email/SMS, palabras clave de SMS, plantillas de Viber, configuración general, dominio de seguimiento, ajustes de privacidad y conservación de datos, y página de destino de instalación de Wallet; también muestra las entradas de nivel de organización del registro de auditoría de cumplimiento
  billing:read	Ver el registro de auditoría de toda la organización, el desglose de uso y gasto, y el saldo y libro del monedero (abarca todos los espacios de trabajo)

Todo lo que no está en esa lista es de nivel de espacio de trabajo. Esta división permite que una persona sea administradora en un espacio y no tenga acceso a otro, mientras que «gestionar miembros» o «gestionar espacios de trabajo» siempre se aplica a toda la organización.

Administradores y propietarios

Administrador y Propietario omiten por completo la resolución: siempre tienen todos los permisos en todos los espacios de trabajo. La división anterior se aplica al resto de personas.

Roles del sistema

Administrador tiene acceso total a todas las funciones y opciones, no se puede modificar ni eliminar y siempre refleja el conjunto de permisos actual: cuando se añade un permiso a la plataforma, Administrador lo recibe automáticamente. Propietario es un alias de Administrador.

Rol	Descripción	Permisos
Administrador / Propietario	Acceso total a todas las funciones y opciones	Todos los permisos (siempre actualizados)
Editor	Crea y edita contenido; no puede eliminar, enviar ni gestionar configuración, equipo, roles o claves de API	Lectura + escritura (sin Eliminar, Enviar, settings:write, compliance:write, team:write ni api_keys:write)
Lector	Acceso de solo lectura a todos los datos	Todos los permisos :read

Roles de plantilla

Las plantillas son puntos de partida predefinidos que puedes asignar directamente o clonar y personalizar. A diferencia de Administrador, una plantilla es una instantánea fija que mantienes: no obtiene automáticamente permisos nuevos cuando la plataforma los añade.

Plantilla	Descripción	Permisos clave
Marketing	Crea y envía campañas; gestiona audiencias y plantillas	Campañas (completo), recorridos (completo), segmentos (lectura/escritura), plantillas (lectura/escritura), analítica (lectura), usuarios (lectura)
Desarrollador	Gestiona integraciones, eventos y claves de API	Eventos (lectura/escritura), integraciones (lectura/escritura), claves de API (lectura/escritura), configuración (lectura), analítica (lectura)
Analista	Acceso de solo lectura a analítica, campañas y datos de usuarios	Analítica (lectura), campañas (lectura), recorridos (lectura), segmentos (lectura), usuarios (lectura), eventos (lectura)

Categorías de permisos

Los permisos se organizan en las siguientes categorías. Salvo que estén marcadas como de nivel de empresa, todas son de nivel de espacio de trabajo (se conceden por espacio mediante un rol o conjunto personalizado).

Campañas

• campaigns:read: ver campañas y sus estadísticas.
• campaigns:write: crear y actualizar campañas.
• campaigns:delete: eliminar campañas.
• campaigns:send: enviar, pausar, reanudar y cancelar campañas.
• campaigns:test: enviar una prueba de una campaña solo a tu propia dirección o dispositivo. Los editores lo tienen por defecto para poder revisar su trabajo; quien solo tenga este permiso no puede enviar una prueba a otra persona, porque una prueba usa la identidad de envío real del espacio de trabajo. campaigns:send lo incluye.
• campaigns:approve: aprobar o rechazar campañas enviadas a revisión. Separado de campaigns:send a propósito: estar de acuerdo en que una campaña es correcta y lanzarla son decisiones distintas, así que un espacio de trabajo puede exigir personas diferentes para cada una.

Recorridos (Canvas)

• canvas:read: ver recorridos y sus ejecuciones.
• canvas:write: crear y actualizar recorridos.
• canvas:delete: eliminar recorridos.
• canvas:activate: activar, pausar y reanudar recorridos.
• canvas:enter: añadir una persona a un recorrido activo (entrada por API, por ejemplo la acción "Add to journey" de Zapier). Incluido en canvas:activate; por sí solo no permite iniciar, pausar ni editar el recorrido.
• canvas:approve: aprobar o rechazar recorridos enviados a revisión. Separado de canvas:activate, así que un espacio de trabajo puede exigir personas diferentes para revisar y para lanzar.

Usuarios

• users:read: ver perfiles y atributos de usuario.
• users:write: crear y actualizar perfiles de usuario.
• users:delete: eliminar perfiles de usuario.
• pii:view: revelar valores de atributos personalizados marcados como PII en vistas de contacto (de otro modo se ocultan; administradores y propietarios siempre lo tienen). También es lo que necesita una conexión de app como Zapier, además de la casilla opcional "Ver el email y el número de teléfono de los contactos" de su página de consentimiento, para recibir el email, el teléfono y el External ID de los contactos - consulta Me API.
• agents:contacts: agentes de IA: datos de contacto. Permite que un agente de IA conectado por MCP busque, lea y actualice personas; se ofrece solo mientras la organización permite que los agentes de IA lean datos de contacto (Ajustes > General, desactivado por defecto).

Páginas de destino

• landing_pages:read: ver páginas de destino, sus formularios y sus envíos.
• landing_pages:write: crear y editar páginas de destino y sus formularios.
• landing_pages:publish: publicar una página de destino en su URL pública y retirarla (administradores y propietarios).

Segmentos

• segments:read: ver segmentos y sus usuarios.
• segments:write: crear y actualizar segmentos.
• segments:delete: eliminar segmentos.

Plantillas

• templates:read: ver plantillas de email e in-app.
• templates:write: crear y actualizar plantillas.
• templates:delete: eliminar plantillas.

Eventos

• events:read: consultar datos y analítica de eventos.
• event_schema:write: definir esquemas de eventos y el diccionario de datos (la ingesta es events:track).
• events:track: ingerir eventos mediante SDK y endpoints de servidor.

Entidades

• entities:read: ver entidades personalizadas y sus registros.
• entities:write: crear y actualizar entidades y registros personalizados.

Analítica

• analytics:read: ver paneles e informes de analítica.
• analytics:write: crear y modificar paneles, embudos, análisis de retención y consultas guardadas.

Configuración (espacio de trabajo)

• settings:read: ver la configuración del espacio de trabajo.
• settings:write: modificar la configuración del espacio de trabajo (monitorización, horas de silencio, reglas de contacto, suscripciones, apps y push web).
• settings:delete: eliminar recursos de configuración del espacio de trabajo.

Integraciones

• integrations:read: ver integraciones configuradas.
• integrations:write: configurar y gestionar integraciones.
• hooks:manage: suscripciones webhook: suscribir una URL externa a eventos del espacio de trabajo y eliminar la suscripción (REST hooks, por ejemplo los disparadores de Zapier).
• lists:read: ver listas de suscripción y su membresía.
• lists:write: crear, actualizar y eliminar listas de suscripción, y cambiar la membresía.
• data_streaming:read: ver flujos de eventos y su estado de entrega.
• data_streaming:write: configurar flujos de eventos hacia tu propio destino.
• users:alias: adjuntar, quitar y resolver alias e identificadores externos de usuario.
• users:merge: fusionar dos perfiles de usuario en uno.
• users:export: iniciar y leer trabajos de exportación de segmentos.
• subscriptions:read: leer el estado de suscripción de un contacto a canales y listas.
• subscriptions:write: establecer el estado de suscripción de un contacto a canales y listas.
• apps:read: ver apps, sus claves de SDK y su configuración de push.
• apps:write: crear y configurar apps y sus ajustes de push.
• assets:read: ver los recursos de la biblioteca multimedia.
• assets:write: subir y actualizar recursos de la biblioteca multimedia.
• email_suppression:read: leer listas de rebotes, spam y bajas de correo.
• email_suppression:write: modificar entradas de supresión de correo.
• sms_suppression:read: leer números de teléfono no válidos y suprimidos.
• sms_suppression:write: quitar la marca de teléfono no válido de los usuarios.
• ai_agents:read: ver agentes de IA y su historial de ejecuciones.
• ai_agents:write: crear, actualizar, probar y eliminar agentes de IA.
• ecommerce:write: crear y actualizar productos, carritos y pedidos.

WhatsApp

• whatsapp:read: ver cuentas y plantillas de WhatsApp Business.
• whatsapp:write: conectar cuentas y gestionar plantillas de WhatsApp.

Wallet

• wallet:read: ver cuentas de pases de Wallet y pases emitidos.
• wallet:write: gestionar credenciales de Wallet y emitir o actualizar pases.

Claves de API

• api_keys:read: ver claves de API (sin valores secretos).
• api_keys:write: crear y actualizar claves de API.
• api_keys:delete: revocar y eliminar claves de API.

Cumplimiento

• compliance:read: ver registros de auditoría de cumplimiento y solicitudes DSR.
• compliance:write: procesar solicitudes DSR y gestionar la configuración de cumplimiento.

Reglas de contacto

• touching_rules:read: ver reglas de límite de frecuencia.
• touching_rules:write: configurar reglas de límite de frecuencia.

Gestión de equipos: nivel de empresa

• team:read: ver miembros y sus roles.
• team:write: invitar, actualizar y eliminar miembros.
• team:manage_roles: crear, editar y eliminar roles personalizados.

Espacios de trabajo: nivel de empresa

• workspaces:manage: crear, eliminar y configurar espacios de trabajo.

Configuración de organización: nivel de empresa

• org_settings:write: modificar la configuración de toda la organización (proveedores de email/SMS, palabras clave de SMS, plantillas de Viber, general, dominio de seguimiento, ajustes de privacidad y conservación de datos, y página de destino de instalación de Wallet).

Crear un rol personalizado

1. Ve a Configuración → Equipo y acceso → Roles.
2. Haz clic en Crear rol.
3. Introduce un nombre y una descripción.
4. Selecciona opcionalmente una plantilla desde la que clonar permisos.
5. Marca o desmarca permisos individuales agrupados por categoría.
6. Haz clic en Guardar.

Asignar acceso a un miembro

Toda la gestión de miembros está en Configuración → Equipo y acceso → Miembros. Haz clic en Invitar miembro (para una persona nueva) o edita uno existente. El formulario tiene dos partes. El enlace de invitación funciona durante 7 días. Si caduca, abre el menú de la fila del miembro (los tres puntos) y elige Reenviar invitación - se envía por correo un nuevo enlace de 7 días y el anterior deja de funcionar. La persona invitada entra directamente en tu organización al aceptar; el correo también le indica el nombre de tu cuenta y el enlace para iniciar sesión más tarde (consulta Aceptar una invitación). Invitar es la única forma de añadir un miembro: un administrador nunca establece la contraseña de otra persona - la persona invitada elige la suya al aceptar.

1. Quién

Nombre, email, teléfono (con selector de código de país, almacenado en E.164) y Departamento. Departamento es un selector: elegir Agencia / Tercero marca automáticamente al miembro como Externo (no hay una casilla independiente).

2. Acceso

El acceso de un miembro es la unión de uno o más bloques. Añade tantos como necesites con + Añadir acceso (arriba a la derecha de la tarjeta Acceso); cada bloque puede ser de uno de estos tipos:

Bloque	Qué significa
Asignar un rol	Reutiliza un rol guardado (del sistema, plantilla o personalizado).
Permisos personalizados	Crea un conjunto de permisos puntual solo para este miembro.
Acceso de equipo	El miembro hereda el rol y espacios de trabajo de cada equipo seleccionado.

Los bloques se combinan libremente: por ejemplo, Marketing en Producción + un conjunto personalizado en Staging + pertenencia a Equipo X, todo en un miembro. Para Asignar un rol y Permisos personalizados también eliges el acceso de espacio de trabajo: Todos los espacios de trabajo o un conjunto específico.

• Asignar un rol → elige el rol de la cuadrícula de tarjetas (nombre, descripción y número de permisos).
• Permisos personalizados → marca exactamente los permisos de nivel de espacio de trabajo, agrupados por categoría, con un recuento en vivo «n de m seleccionados» y Seleccionar todo / Borrar todo.
• Acceso de equipo → elige uno o varios equipos; cada uno aporta su propio rol y espacios de trabajo.

Permisos de organización

Debajo de los bloques de acceso hay una lista independiente de Permisos de organización, las seis capacidades de nivel de empresa. Se aplican en todas partes sin importar el ámbito de espacio de trabajo anterior, por lo que se conceden directamente aquí, no mediante un rol.

Los permisos del miembro entran en vigor en 60 segundos.

Los permisos personalizados son por miembro

Un conjunto de permisos personalizado se guarda en el miembro, no como rol compartido. Editarlo después solo cambia a ese miembro; no crea ni modifica ningún rol que usen otras personas.

Permisos de clave de API

Los permisos de las claves de API son un sistema independiente del acceso de miembros. Al crear una clave de API, le asignas permisos concretos que controlan a qué puede acceder mediante programación. Los roles de miembro controlan si alguien puede gestionar claves de API (api_keys:read/write/delete) en un espacio de trabajo, pero los permisos de la clave son independientes.

---

Equipos

Los equipos proporcionan un ámbito de recursos basado en etiquetas dentro de un espacio de trabajo. Mientras los roles controlan qué acciones puede realizar un miembro, los equipos controlan qué recursos puede ver, y un equipo incluye su propio rol y ámbito de espacio de trabajo.

Cómo funcionan los equipos

• Cada equipo tiene un rol y un ámbito de espacio de trabajo, además de un conjunto opcional de etiquetas (por ejemplo, marketing, europe, premium).
• Los recursos (campañas, recorridos, segmentos y plantillas) pueden etiquetarse.
• Los miembros del equipo solo pueden ver recursos que compartan al menos una etiqueta con su equipo.
• Los recursos sin etiqueta son visibles para todos.
• Los miembros sin asignación de equipo ven todos los recursos (compatibilidad con versiones anteriores).
• El ámbito de equipo es un filtro restrictivo: solo puede restringir el acceso, nunca ampliarlo.

Crear un equipo

1. Ve a Configuración → Equipo y acceso → Equipos.
2. Haz clic en Crear equipo.
3. Introduce un nombre y descripción, y elige el rol y ámbito de espacio de trabajo del equipo.
4. Añade etiquetas que definan a qué recursos accede este equipo, seleccionadas de las etiquetas existentes del espacio de trabajo.
5. Haz clic en Guardar.

Gestionar miembros de equipo

1. Ve a Configuración → Equipo y acceso → Equipos.
2. Abre un equipo y usa el selector de miembros para añadir personas de tu organización.
3. Elimina un miembro con el botón Eliminar.

Ejemplo: equipos regionales

Equipo	Etiquetas	Recursos visibles
Marketing EMEA	emea, marketing	Campañas etiquetadas con emea o marketing
Ventas de EE. UU.	us, sales	Campañas etiquetadas con us o sales
Analítica global	(sin etiquetas)	Todos los recursos (sin restricción)

Etiquetar recursos

Para usar ámbitos basados en equipos, etiqueta tus recursos. Puedes añadir etiquetas al crear o editar cualquiera de los siguientes:

Campañas

1. Ve a Campañas → Crear o edita una campaña existente.
2. En la pestaña Detalles, busca la sección Etiquetas.
3. Escribe el nombre de una etiqueta y pulsa Intro o haz clic en Añadir.

Recorridos

1. Ve a Recorridos → Crear o edita un recorrido existente.
2. En el formulario de creación, busca la sección Etiquetas después de la descripción.
3. Añade etiquetas del mismo modo.

Segmentos

1. Ve a Segmentos → Crear o edita un segmento existente.
2. Busca la sección Etiquetas después de la descripción.

Plantillas de email

1. Ve a Plantillas → Plantillas de email → Crear o edita una plantilla existente.
2. Busca la sección Etiquetas después de la descripción.

Plantillas in-app

1. Ve a Plantillas → Plantillas in-app → Crear o edita una plantilla existente.
2. Busca la sección Etiquetas después de la descripción.

Recomendaciones

• Usa nombres de etiqueta coherentes en todos los recursos (por ejemplo, usa siempre emea, no EMEA ni Europe).
• Un recurso sin etiquetas es visible para todos los miembros del equipo.
• Un recurso con etiquetas solo es visible para los miembros cuyo equipo comparta al menos una etiqueta coincidente.
• Las etiquetas distinguen entre mayúsculas y minúsculas.

Etiqueta correctamente tus campañas, recorridos, segmentos y plantillas; los miembros del equipo solo verán lo que sea relevante para ellos.