2 - Conceitos fundamentais

Antes de configurar, vale entender os quatro conceitos que sustentam o sistema: ação, perfil, exceção individual e os três estados de permissão. Com isso você consegue prever exatamente o que cada operador poderá fazer.
Ação
Uma ação é qualquer coisa que se pode fazer no sistema e que vale a pena controlar: abrir uma tela, clicar num botão sensível, imprimir um relatório.

Cada ação tem um código (ex.: FATURA.EXCLUIR, CAIXA.REABRIR) e uma descrição amigável ("Excluir faturas", "Reabrir caixa").
As ações são organizadas em grupos (Vendas, Financeiro, Caixa, Fiscal, etc.) para facilitar a navegação.
O sistema já vem com um catálogo de ações pré-cadastradas, e cria novas automaticamente conforme telas e recursos vão sendo usados.

Você não precisa cadastrar ações manualmente. O catálogo já vem populado e cresce sozinho. Seu trabalho é apenas decidir, em cada perfil, o que liberar ou bloquear.
Perfil
Um perfil é um conjunto reutilizável de regras de ação. Em vez de configurar cada operador individualmente, você cria perfis como "Vendedor", "Caixa", "Gerente" e os aplica a vários operadores de uma vez.
O sistema já sugere 5 perfis prontos (todos começam inativos, para você revisar antes de usar):

Perfil
Ideia geral

Administrador
Sem restrições (para documentar/auditar)

Gerente
Acesso amplo; pede autorização para excluir faturas e gerar DRE

Vendedor
Foco em vender; bloqueado de financeiro, configurações e exclusões

Caixa
Foco na frente de caixa; pede autorização para fechar/reabrir caixa

Financeiro
Foco em faturas e liquidações; bloqueado de vendas e produção

Um operador pode ter mais de um perfil ao mesmo tempo (ex.: "Vendedor" + "Caixa").
Exceção individual
A exceção individual é um ajuste pontual para um operador específico, que sobrepõe o que o perfil dele diz.
Exemplo: o perfil "Vendedor" bloqueia "Fechar caixa". Mas o vendedor João, que é também o responsável pela loja, precisa fechar o caixa. Você adiciona uma exceção individual Permitido para o João na ação "Fechar caixa" — sem alterar o perfil "Vendedor" dos demais.
Os três estados de permissão
Cada ação, em cada perfil ou exceção, pode estar em um de três estados:

Estado
O que acontece

Permitido
O operador faz a ação normalmente.

Bloqueado
O operador é impedido. O botão fica desabilitado ou aparece uma mensagem de "sem permissão".

Solicitar Autorização
O operador pode tentar, mas o sistema pede a autorização de um supervisor antes de prosseguir.

"Solicitar Autorização" reaproveita o fluxo de supervisor que o sistema já usa em descontos e outras operações sensíveis. É o meio-termo ideal: o operador não fica travado, mas a ação só passa com o aval de alguém autorizado.
Como o sistema decide (hierarquia de resolução)
Quando um operador tenta fazer algo, o sistema decide na seguinte ordem:

É Administrador? → Permitido (passa por cima de tudo).

Tem exceção individual para essa ação? → Usa o estado da exceção.

Tem perfil(s) com essa ação? → Usa o perfil. Se tiver vários perfis com estados diferentes, vence o mais permissivo.

Nenhuma regra encontrada? → Usa o padrão da ação (em geral, Permitido).

Regra do "mais permissivo vence" entre perfis: se um operador tem o perfil A (que diz Permitido para "Excluir fatura") e o perfil B (que diz Bloqueado), ele poderá excluir — porque Permitido vence Bloqueado quando vêm de perfis diferentes. Para realmente bloquear, use uma exceção individual (que tem prioridade sobre qualquer perfil).
A ordem de força entre os estados, quando há conflito entre perfis, é:
Permitido > Solicitar Autorização > Bloqueado
Onde isso aparece para o operador
Quando uma ação é bloqueada, o operador vê uma das duas coisas:

O botão/menu fica desabilitado (acinzentado), ou
Uma mensagem avisa que ele não tem permissão e oriente procurar um supervisor.

A mensagem de bloqueio inclui uma marca [Origem: V2] ou [Origem: V1] — isso ajuda o suporte a diagnosticar rapidamente qual sistema decidiu o bloqueio.
Próximo passo: o capítulo "Ativação e primeiros passos" mostra como ligar o sistema com segurança e qual o roteiro recomendado de implantação.