Equipo y seguridad
Roles e invitaciones, autenticación en dos pasos, y las dos protecciones que el equipo nunca deja saltarse.
Los tres roles
Cada persona del equipo tiene su propia cuenta (nunca compartas su acceso) y un rol que decide lo que puede hacer:
| Propietario | Admin | Miembro | |
|---|---|---|---|
| Ver la visión general, la analítica, exportar CSV, usar el playground | ✓ | ✓ | ✓ |
| Reglas, sinónimos, asistente, claves de API, opciones de la tienda | ✓ | ✓ | · |
| Invitar y gestionar el equipo | ✓ | · | · |
| Plan, packs, servicios, datos de facturación | ✓ | · | · |
La lógica: quien consulta lo ve todo, quien opera escribe, y las compras son de quien paga. El propietario nace con la cuenta y no se invita; la cuenta tiene que tener siempre al menos uno.
Invitar a alguien
En Cuenta → Equipo → Invitaciones (solo el propietario): un email y un rol (Admin o Miembro). La invitación genera un enlace que aparece una sola vez, justo después de crearla: cópialo y envíaselo usted a la persona, por el canal que prefieras. La plataforma no envía emails de invitación.
Lo que conviene saber:
- El enlace es válido durante 7 días. Pasado el plazo, se crea otro; volver a invitar el mismo email sustituye la invitación anterior.
- Una invitación no se edita: se revoca y se hace otra. Revocar invalida el enlace de inmediato.
- Un email que ya tiene cuenta en otra tienda no puede ser invitado; cada cuenta pertenece a una sola tienda.
Quien recibe el enlace lo abre, escribe el nombre y elige una contraseña (el email viene de la invitación y no se cambia) y entra enseguida en el equipo, con el rol asignado.
En la página Equipo, el rol de cada miembro se cambia en el selector de la propia lista, y guarda al elegir. Dos protecciones fijas: nadie se elimina a sí mismo, y al último propietario no se le baja el rol ni se le elimina.
Autenticación en dos pasos
En el perfil (menú del usuario) puede activar el segundo factor por app de autenticación (TOTP: 1Password, Google Authenticator, Aegis, entre otras). Nunca por SMS ni por email: el email es el mismo canal por el que se restablece la contraseña, y un segundo factor en el mismo canal no es un segundo factor.
La activación tiene dos pasos, a propósito: primero lee el QR con la app, después confirma con un código generado por ella. Solo en la confirmación el 2FA pasa a valer; así, un QR mal leído no deja a nadie fuera de la cuenta.
Con la confirmación vienen códigos de recuperación, mostrados una sola vez: guárdalos fuera del móvil (en un gestor de contraseñas, por ejemplo). Cada uno funciona una sola vez y sirve para entrar cuando la app no está disponible. Puede generar un lote nuevo en cualquier momento; pide la contraseña e invalida los antiguos en el acto.
En el inicio de sesión con 2FA, el campo del código acepta tanto el TOTP como un código de recuperación. Desactivar el 2FA pide la contraseña.
¿Y los datos?
Lo que la plataforma guarda de su tienda, lo que se puede descargar y lo que se puede borrar está en privacidad y datos.