La máquina detrás del pie legal: lo que ya existe, lo que falta y por dónde pasa cada decisión

erDiagram
  Profile ||--o{ LegalAcceptance : acepta
  Profile ||--o{ ContentReport : reporta
  Appointment ||--o| TeleconsultConsent : consiente
  Doctor ||--o{ ContentReport : es_objetivo
  LegalAcceptance {
    uuid id
    enum document
    string version
    string contentHash
    enum source
    datetime acceptedAt
  }
  ContentReport {
    uuid id
    string publicRef
    enum targetType
    enum reason
    enum status
    datetime slaDueAt
  }
  TeleconsultConsent {
    uuid id
    string version
    string guardianName
    datetime acceptedAt
  }
    

Relaciones nuevas. ContentReport.targetId no lleva FK dura porque el objetivo puede ser un perfil ya borrado o una URL externa de suplantación; la integridad se resuelve en el servicio.

flowchart TD
  A[Request a client o consultorio] --> B{Cookie amedi-consent}
  B -->|no existe| C[Provider en opt_out
GA en denied x4]
  C --> D[Render con ConsentBanner]
  D --> E{Decisión}
  E -->|solo necesarias| F[Escribe cookie analytics false]
  E -->|aceptar medición| G[Escribe cookie analytics true]
  E -->|configurar| H[ConsentPreferences]
  H --> F
  H --> G
  B -->|existe| I[Provider lee categorías]
  G --> J[posthog.opt_in_capturing
gtag consent update granted]
  I -->|analytics true| J
  I -->|analytics false| K[Sigue en opt_out]
  F --> K
  J --> L{Ruta clínica}
  L -->|patient doctor secretary| M[autocapture off
replay off siempre
solo eventos explícitos]
  L -->|marketing y búsqueda| N[pageview y eventos explícitos
replay off siempre]
    

La grabación de sesión no depende de ninguna rama: disable_session_recording: true en la configuración, en las tres apps. La rama «ruta clínica» solo decide si además hay autocaptura.

sequenceDiagram
  autonumber
  participant U as Paciente
  participant N as Next server
  participant C as ConsentProvider
  participant P as PostHog SDK
  participant G as gtag
  U->>N: GET /search
  N->>N: lee cookie amedi-consent (ausente)
  N-->>U: HTML con banner y provider en opt_out
  P->>P: init con opt_out_capturing_by_default
  G->>G: consent default denied (4 señales)
  U->>C: toca Aceptar medición
  C->>C: set-cookie amedi-consent analytics true (dominio compartido)
  C->>P: opt_in_capturing y register environment
  C->>G: consent update analytics_storage granted
  P-->>P: pageview de la ruta actual
  U->>N: abre consultorio.amedisalud.com (doctor)
  N->>N: lee la misma cookie: analytics true
  N-->>U: sin banner, provider ya en opt_in
  Note over P: en /doctor/* autocapture off y replay off
    

Una sola decisión para client y consultorio. El admin no carga trackers; monta CompactFooter con enlace a preferencias para que la regla sea visible, pero el banner no aparece porque no hay nada que consentir.

sequenceDiagram
  autonumber
  participant U as Paciente
  participant W as client (server action)
  participant S as Supabase Auth
  participant A as apps/api
  participant L as registry @workspace/legal
  U->>W: envía registro con checkbox marcado
  W->>L: versión y hash vigentes de terminos y privacidad
  W->>S: signUp con user_metadata accepted_terms_version
  S-->>W: usuario creado
  W->>A: POST /profiles/sync con legal { terminos 2.0, privacidad 2.0, locale }
  A->>A: upsert Profile
  A->>A: create LegalAcceptance x2 (source signup, ip, userAgent)
  A-->>W: 201
  Note over U,A: semanas después el registry pasa privacidad a 2.1
  U->>W: abre /patient
  W->>A: GET /legal/acceptances/me
  A-->>W: terminos 2.0 ok · privacidad 2.0 desactualizada
  W-->>U: interstitial Actualizamos la política (una vez)
  U->>W: acepta
  W->>A: POST /legal/acceptances { privacidad 2.1, source interstitial }
  A->>A: notificación terms_updated marcada como leída
    

El registry es la única fuente de «qué versión está vigente»: packages/legal/src/registry.ts exporta { slug, version, effectiveFrom, hash } calculado en build a partir del MDX. El API lo importa como paquete del workspace; no hay tabla de versiones.

sequenceDiagram
  autonumber
  participant R as Reportante (sin cuenta)
  participant W as client /reportar
  participant A as apps/api reports
  participant DB as Postgres
  participant N as notifications
  participant AD as admin /reportes
  R->>W: tipo, enlace, descripción, correo opcional
  W->>A: POST /reports (Public, Throttle 5 por hora, honeypot vacío)
  A->>A: resuelve targetId desde targetUrl si es un perfil de Amedi
  A->>A: slaDueAt = ahora + 6 h si reason odio, si no + 72 h
  A->>DB: insert ContentReport status received
  A->>N: report_received a todos los ADMIN
  A-->>W: 201 { publicRef RPT-7F3K2Q, slaDueAt }
  W-->>R: Recibimos tu reporte · número · plazo
  A-)R: correo de acuse (si dejó correo)
  AD->>A: GET /admin/reports?status=received orden slaDueAt
  AD->>A: PATCH /admin/reports/:id { status in_review }
  AD->>A: PATCH /admin/reports/:id { status resolved, resolutionKind profile_unpublished, note }
  A->>A: si profile_unpublished: doctors.unpublish(targetId) con motivo admin
  A->>N: report_resolved al reportante si tiene perfil
  A-)R: correo de cierre con la decisión
    

La bandeja del admin ordena por slaDueAt y pinta en ámbar lo que vence en menos de 2 horas. Un cron de 15 minutos marca sla_breached en el log y avisa por Slack (canal de operaciones) — no cambia el estado, solo hace ruido.

sequenceDiagram
  autonumber
  participant D as Doctor (consultorio)
  participant A as apps/api doctors
  participant DB as Postgres
  participant S as búsqueda pública
  D->>A: POST /doctors/me/unpublish (PrimaryAuthorizedDoctorId)
  A->>DB: update Doctor set publishedAt null, listingOptOutAt now
  A->>A: notificación profile_unpublished (confirmación al doctor)
  A-->>D: 200 ProfileCompletionDto con published false
  Note over D,S: las citas ya agendadas siguen — el perfil por URL directa muestra «no acepta citas nuevas»
  S->>DB: search prefiltra publishedAt not null
  DB-->>S: el doctor ya no aparece
  D->>A: POST /doctors/me/publish (más tarde)
  A->>A: valida las 7 PUBLIC_REQUIREMENTS otra vez
  A->>DB: publishedAt now · listingOptOutAt se conserva
    

Mismo guard que publicar (@SkipPermissions + @SecretaryEndpoint + @PrimaryAuthorizedDoctorId): la secretaria autorizada puede despublicar igual que publica. isVerified no se toca — despublicarse no es perder la licencia.