RBAC & Permissoes

O Romeo implementa Role-Based Access Control (RBAC) para garantir que cada usuario acesse apenas os recursos apropriados. O sistema e multi-tenant, com isolamento por organizacao e permissoes granulares por papel.

Principio

Privilegio minimo: cada usuario tem apenas as permissoes necessarias para sua funcao. Toda acao sensivel e auditada.

Organizacao (Imobiliaria)

Plataforma (Admin Romeo)

Portais Externos

Cada papel tem permissoes especificas. As principais acoes:

O corretor ve apenas imoveis onde e o responsavel. Para compartilhar, usa o sistema de parcerias com split de comissao.

Cada persona acessa um portal diferente com interface e permissoes especificas:

Isolamento

Cada portal e uma aplicacao separada em termos de UI, mas compartilha o mesmo backend com RLS garantindo isolamento de dados.

O RBAC e implementado em duas camadas:

• Row Level Security (RLS) — no Postgres/Supabase, garantindo que queries retornem apenas dados permitidos
• Middleware de aplicacao — no Next.js, validando permissoes antes de renderizar paginas ou processar acoes

// lib/rbac.ts — checagem de permissao
export function canAccess(
  user: User,
  action: Action,
  resource: Resource
): boolean {
  const role = user.papel;
  const permissions = ROLE_PERMISSIONS[role];
  return permissions.includes(action) &&
    isResourceOwner(user, resource);
}

// Middleware Next.js
export async function middleware(req) {
  const user = await getUser(req);
  if (!canAccess(user, 'read', req.resource)) {
    return NextResponse.redirect('/403');
  }
}

Detalhes de implementacao em /docs/tech/rbac-permissoes.

Toda acao sensivel gera registro de auditoria:

• Login/logout e tentativas de acesso negado
• Criacao, edicao e exclusao de registros
• Alteracoes de permissoes e papeis
• Acesso a dados sensiveis (CPF, financeiro)

LGPD

A trilha de auditoria e exigencia da LGPD para tratamento de dados pessoais. Veja /docs/lgpd.