Роли

Шесть ролей системы. Роль определяет, что пользователь видит и может делать; источник истины по конкретным разрешениям — матрица RP (docs/matrices/rp/{домен}.yaml).

Роль	Кто это	Кратко
guest {#role-guest}	Аноним без входа	Создаёт проекты в гостевом спейсе публичной/дефолтной коллекции; данные живут локально. Не видит чужого.
employee {#role-employee}	Зарегистрированный участник	Личные и командные спейсы; создаёт и редактирует свои проекты, читает проекты коллег по спейсу.
spaceman {#role-spaceman}	Менеджер спейса	Всё, что employee, плюс настройка своего спейса (overlay слоёв/блоков/специальностей), участники, маппинг ролей коллекции, смена владельца проекта.
supervisor {#role-supervisor}	Наблюдатель	Read-only: видит проекты и документы спейсов под наблюдением, но ничего не создаёт и не редактирует. Кнопок создания не видит.
org_admin {#role-org-admin}	Администратор организации	Управляет организацией: коллекции, спейсы, участники, инвайты, назначение ролей в пределах своей org.
site_admin {#role-site-admin}	Администратор платформы	Глобальные операции: все организации, шаблоны, межорганизационные гранты, восстановление. Недоступно никакому API-токену.

Заметки

• spaceman исторически назывался pm (legacy alias до миграции данных).
• Роль supervisor — строго read-only; любые мутации возвращают 403.
• Доступ гостя к коллекции ограничен публичными (is_public) и дефолтными (is_default) — см. глоссарий: guest-mode.