> ## Documentation Index
> Fetch the complete documentation index at: https://docs.brelio.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Permisos

> Qué permiso necesita cada operación, y cómo se combinan los permisos de una credencial con los de la persona y la clínica.

Cada operación necesita un permiso. La credencial debe tenerlo y, si es una credencial personal, también la persona.

## Los permisos

| Permiso | Área | Operaciones |
| - | - | - |
| `organization.centers.read` | `team` | Listar centros |
| `professionals.read` | `team` | Listar profesionales |
| `services.read` | `team` | Listar servicios |
| `calendar.read` | `agenda` | Leer la agenda, buscar huecos libres |
| `appointments.read` | `agenda` | Leer una cita |
| `appointments.create` | `agenda` | Reservar una cita |
| `appointments.reschedule` | `agenda` | Mover una cita |
| `appointments.cancel` | `agenda` | Cancelar una cita |
| `patients.administrative.read` | `patients` | Listar, buscar y leer pacientes |
| `patients.administrative.create` | `patients` | Crear un paciente |
| `patients.administrative.update` | `patients` | Cambiar los datos de un paciente |
| `patients.administrative.archive` | `patients` | Archivar un paciente |
| `integrations.keys.manage` | `integrations` | Claves de API, apps de partners, webhooks, la política de datos y sus decisiones |
| `self` | `integrations` | Tus propias claves y conexiones (`/v1/me/*`), solo credenciales personales |

La tabla completa, con la ruta REST, la herramienta MCP y el área de datos de cada operación, está en [Operaciones](https://docs.brelio.com/es/reference/operations.md). Una integración también puede leerla desde la API:

```bash theme={null}
curl https://api.brelio.app/v1/platform-policy/permissions \
  -H "Authorization: Bearer $BRELIO_API_KEY"
```

## Cómo se decide el acceso

En cada llamada, en este orden:

1. **Credencial.** Válida, sin revocar y vinculada a una clínica de Brelio.
2. **Plan.** El plan de la clínica incluye el acceso a la API (si no, `402 PLATFORM_PLAN_REQUIRED`).
3. **Límites.** Consulta los [límites de uso](https://docs.brelio.com/es/concepts/rate-limits.md).
4. **Permiso.** La credencial tiene el permiso de la operación; si es personal, la persona también lo tiene, en el centro de que se trate.
5. **Área de datos.** El [área de datos](https://docs.brelio.com/es/concepts/data-areas.md) de la operación está activada y, si son datos de pacientes, la credencial está aceptada.
6. **La entrada, la versión y las reglas propias de la operación**, exactamente como en la web.

Un rechazo a partir del paso 2 queda en el registro de actividad de la clínica con su código, nunca con la entrada.

## Centros

* **Las credenciales de la organización** ven todos los centros.
* **Las credenciales personales** ven los centros que ve la persona. Filtrar por un `centerId` fuera de ellos responde `403 CENTER_CONTEXT_FORBIDDEN`.
* Si la clínica tiene varios centros, las operaciones que crean algo en un centro (una cita) o buscan en el tiempo de un centro (huecos libres) necesitan `centerId`. Sin él responden `422 APPOINTMENT_CENTER_REQUIRED` o `422 AVAILABILITY_CENTER_REQUIRED`.

## Por MCP

Un asistente solo **ve** las herramientas cuyo permiso tienes, así que la propia lista de herramientas te dice qué puedes hacer. Una herramienta que no puedes usar no aparece, en lugar de fallar al llamarla.

## Lo que ninguna credencial puede hacer

* Crear claves o apps de partners, o revocar una credencial que no sea ella misma.
* Activar un área de datos o aceptar datos de pacientes.
* Dar a una clave un permiso que no tiene quien la crea (`403 CREDENTIAL_PERMISSION_NOT_HELD`).

Eso siempre lo hace una persona con sesión en Brelio.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.