Cuatro roles integrados (Administrador, Gerente de RR. HH., Contador, Empleado) y roles personalizados creados con permisos en formato recurso:acción.
Los roles integrados
Cada empresa empieza con cuatro roles: Administrador (acceso total a la empresa, incluidos facturación y API keys), Gerente de RR. HH. (empleados, departamentos, puestos, beneficios y control de asistencia), Contador (procesa y aprueba la nómina, lee informes) y Empleado (solo sus propios datos, a través del portal). Quien creó la empresa es el propietario y otro usuario no puede degradarlo.
Roles personalizados
En Equipo > Roles y permisos, crea un rol y marca los permisos. Siguen el formato recurso:acción y cubren nómina, empleados, usuarios, control de asistencia, encuestas, configuración, informes, desempeño, incorporación, gastos, documentos, departamentos, facturación y API. Un ejemplo habitual es un rol "Finanzas" con billing:read y reports:read y nada de nómina.
Mínimo privilegio
Da a cada persona solo lo que usa, y revisa los roles cuando alguien cambie de función. Toda acción que modifica datos queda en la auditoría con el usuario que la realizó, así que un permiso de más nunca es invisible: aparece en el registro cuando se usa.