Roles y scope: las dos ideas

Dirigido a: administradores de la plataforma que deciden quién puede hacer qué en la consola.
Necesitas: las secciones Asignaciones y Scope, disponibles para 
admin y 
employee_manager.
El acceso en la consola se basa en dos ideas independientes. Mantenerlas separadas es la clave de todo el modelo.
Concepto
Qué define
Dónde se configura
Roles
Lo que un empleado puede hacer — acciones y módulos
Asignado al empleado; uno o varios
Scope
Qué datos puede ver — marcas, tiendas, fuentes
Configurado una sola vez, por empleado
Un empleado puede tener varios roles a la vez. Los permisos de todos ellos se combinan. El scope, en cambio, es siempre compartido: se aplica por igual a todo lo que ese empleado puede hacer.
Por qué importa esta separación
Significa que nunca tienes que elegir entre "puede operar el hub" y "solo puede ver dos tiendas". Se responden por separado:
Le das 
hub_operator → puede trabajar en el hub.
Configuras su scope a las tiendas 1 y 2 → solo verá los datos de esas dos tiendas, en el hub y en todo lo demás.
Añadir más adelante un segundo rol —informes, por ejemplo— no amplía los datos que ve. El scope se mantiene.
Las tres cosas que vas a configurar
Si quieres…
Ve a
Permitir que alguien haga algo nuevo
Gestionar roles desde la consola
Cambiar qué datos puede ver
Configurar el scope de un empleado
Conceder o bloquear una capacidad concreta, solo para esa persona
Excepciones individuales de permisos
Los roles deciden qué puede hacer alguien; su ficha de personal es cosa aparte — ver Empleados: qué cubre esta área.
Dónde seguir
Scope: qué datos puede ver un empleado — los dos modos y las tres dimensiones
Catálogo de roles — cada rol y para quién es
Acceso por sección — la rejilla completa de rol contra sección de la consola