El prospecto de GlobalLink, dentro del sistema de TNI

1. R1 · Firmar el addendum de escritura COT-0003-A1 v2

   Qué: la firma de José Lutz sobre el PDF ya redactado, que autoriza altas en cuatro tablas de las tres bases productivas.

   Por qué: el Term Sheet, cláusula 1, fija modalidad de sólo lectura; sin el addendum, escribir es incumplimiento.

   Exactamente cómo: nos devuelven el PDF firmado; nosotros lo depositamos en el servidor de la plataforma como /etc/tn-globallink/writeback-addendum-firmado. El programa de escritura comprueba la existencia y el tamaño de ese archivo antes de cada corrida; sin archivo, no emite ninguna alta.

   Cómo lo verificamos: el registro de cada corrida deja addendum_file_exists=true; el primer informe mensual lo cita.

   Cuándo: bloque 4, antes de la primera escritura real.

2. R2 · Crear el usuario de escritura user_globallink_writer

   Qué: un login de SQL Server distinto del lector actual, con permiso de alta y lectura sobre exactamente cuatro tablas, en Truly, TrulyNew y TrulyRuso. Ningún permiso sobre TrulyGestion.

   Por qué: separar lectura de escritura permite revocar una sin tocar la otra, y acota el daño posible de cualquier incidente a altas en cuatro tablas. El SELECT sobre esas mismas cuatro tablas hace falta para que el alta devuelva el número asignado (OUTPUT INSERTED).

   Exactamente cómo:

   -- una vez, en el servidor
   CREATE LOGIN user_globallink_writer WITH PASSWORD = '…', CHECK_POLICY = ON, CHECK_EXPIRATION = OFF;
   -- en cada una de las tres bases productivas
   CREATE USER user_globallink_writer FOR LOGIN user_globallink_writer;
   GRANT INSERT, SELECT ON dbo.Clientes   TO user_globallink_writer;
   GRANT INSERT, SELECT ON dbo.Contactos  TO user_globallink_writer;
   GRANT INSERT, SELECT ON dbo.Servicios  TO user_globallink_writer;
   GRANT INSERT, SELECT ON dbo.Propuestas TO user_globallink_writer;
   DENY UPDATE, DELETE ON dbo.Clientes   TO user_globallink_writer;
   DENY UPDATE, DELETE ON dbo.Contactos  TO user_globallink_writer;
   DENY UPDATE, DELETE ON dbo.Servicios  TO user_globallink_writer;
   DENY UPDATE, DELETE ON dbo.Propuestas TO user_globallink_writer;
   -- nada más: sin EXECUTE, sin acceso a dbo.Usuarios ni dbo.Empleados, sin db_datawriter

   La contraseña se entrega por la bóveda de secretos de Catalizadora, no por correo ni chat; nosotros la guardamos en /etc/tn-globallink/sqlserver-writer.env con permisos 600.

   Cómo lo verificamos: desde nuestro servidor, con ese usuario, una consulta fn_my_permissions sobre las cuatro tablas tiene que devolver INSERT y SELECT y nada más, y un intento de UPDATE tiene que fallar con error 229. Ese resultado queda en el registro de la primera corrida.

   Cuándo: bloque 4, dentro de los 10 días hábiles siguientes a la firma, como fija la cláusula 4 del addendum.

3. R3 · Habilitar el acceso de red al usuario de escritura

   Qué: permitir conexiones al puerto del SQL Server desde una única dirección IP, la del servidor de la plataforma, para ese login. La dirección se entrega por canal privado; es la misma desde la que hoy se conecta el usuario lector.

   Exactamente cómo: regla de firewall que admita esa IP/32 al puerto de la instancia; si el login se restringe por origen, la misma IP.

   Cómo lo verificamos: conexión de prueba desde nuestro servidor con el usuario de escritura, en modo sombra (sin insertar), registrada en el log de la corrida.

   Cuándo: bloque 4, junto con R2.

4. R4 · Agregar la columna anti-duplicados idempotency_key

   Qué: una columna nueva, nula por omisión, con índice único filtrado, en dbo.Clientes, dbo.Contactos, dbo.Servicios y dbo.Propuestas, en las tres bases.

   Por qué: si nuestro programa reintenta un alta que sí llegó (corte de red después del INSERT), el motor rechaza la segunda con el índice único y no se duplica el cliente. Es la garantía de motor; sin ella, la única defensa es nuestra búsqueda previa.

   Exactamente cómo:

   -- repetir para Contactos, Servicios y Propuestas; en Truly, TrulyNew y TrulyRuso
   ALTER TABLE dbo.Clientes ADD idempotency_key UNIQUEIDENTIFIER NULL;
   CREATE UNIQUE NONCLUSTERED INDEX UX_Clientes_idempotency_key
     ON dbo.Clientes (idempotency_key) WHERE idempotency_key IS NOT NULL;

   Impacto: ninguno sobre datos ni pantallas existentes: las filas actuales quedan en nulo y el índice filtrado no las incluye. Su aplicación no necesita conocer la columna. Nota sobre el texto del addendum: la cláusula 4 la describe como NOT NULL con UNIQUE; esa forma rompería las filas existentes, que no tienen clave. La forma de acá, nula con índice filtrado, cumple el mismo fin sin tocar el histórico; conviene dejarlo escrito en la firma.

   Cómo lo verificamos: la columna aparece en el catálogo que leemos cada noche, y el primer reintento controlado en modo real devuelve el error 2601 esperado.

   Cuándo: bloque 2. Si no está cuando se encienda la escritura, el programa usa la marca en observaciones como única defensa, y lo dice en el informe.

5. R5 · Confirmar tres convenciones de su modelo de datos

   Qué: tres respuestas cortas de quien conoce su sistema, sobre datos que leímos de su base y necesitamos escribir igual que ustedes.

   5a · Estado y tipo del prospecto. Leímos que el prospecto es IdStatusCliente = 5 («Potential»), y que Guatemala tiene 1.268 clientes así. Para IdTipoCliente proponemos 1 («Creative», venta activa) porque el prospecto sale de prospección; su oficina de Guatemala registra el 72 % de sus potenciales como 2 («Office»). ¿Confirman 5 y qué tipo quieren para los prospectos que vienen de GlobalLink?

   5b · Identidad. Su sistema llena Clientes.Identidad en el 100 % de los prospectos. Nosotros la tenemos sólo cuando el registro oficial del país la trae. ¿Qué escriben cuando no la conocen, o aceptan nulo?

   5c · Referencia. Para que el prospecto diga de dónde vino, proponemos IdTipoReferencia = 6 («Other») con ReferenciaOtra = 'TN GlobalLink · Rocket' o '· Manual'. Mejor aún sería una fila nueva «GlobalLink» en AuxTiposReferencias, que ustedes agregan y nosotros leemos del espejo. ¿Cuál prefieren?

   Cómo lo verificamos: los tres valores quedan como constantes del mapeo, con su origen citado, y aparecen en el primer alta de prueba.

   Cuándo: bloque 2, antes de probar el alta en sombra.

6. R6 · La pestaña «Truly Nolen GlobalLink» en el sistema de gestión

   Qué: una pestaña más en la barra de menú, a la derecha de «Reports», visible para los perfiles que ustedes decidan. Nosotros entregamos el logo en PNG y SVG y el fragmento HTML.

   Exactamente cómo: la pestaña apunta a la página de R7, dentro de su propio sitio; no a GlobalLink. Fragmento de referencia, adaptable a su plantilla:

   <a class="tab" href="globallink.aspx" target="_blank" rel="noopener">
     <img src="img/tn-globallink.png" alt="" width="16" height="16"> Truly Nolen GlobalLink ↗
   </a>

   Cómo lo verificamos: con el usuario de prueba que ya tenemos, la pestaña aparece y abre la página de R7.

   Cuándo: en paralelo con el resto.

7. R7 · La página que emite el pase de acceso, y la llave pública

   Qué: una página nueva en su sitio (por ejemplo /proposals/TG/globallink.aspx) que, para el usuario con sesión, arme un pase firmado y lo envíe a GlobalLink; y la llave pública publicada en una dirección fija.

   Por qué: es lo que permite entrar a GlobalLink sin segunda contraseña y sin que ninguna contraseña viaje. Su llave privada nunca sale de su servidor; nosotros sólo verificamos.

   Exactamente cómo: la especificación completa está en la sección 8 de esta página: contenido del pase, algoritmo, vigencia, formato de la llave pública, formulario de envío y errores. En resumen: JWT firmado con RS256 (llave RSA de 2048 bits o más), claims iss, aud, sub, iat, exp, nbf, jti, email, name, country, role, franchise_id, language, vigencia de 300 segundos, y envío por POST en un formulario que se envía solo. La llave pública, en formato JWKS, en https://www.trulynoleninternational.com/.well-known/jwks.json o en la dirección fija que ustedes definan.

   Datos que la página lee de dbo.Empleados: IdEmpleado (va en sub), Nombre y Apellido (en name), Email, IdPais (convertido a ISO de dos letras en country), IdOficina (en franchise_id) e IdCargo (convertido con la tabla de R8 en role).

   Si no pueden publicar una llave pública en su plataforma, la variante con secreto compartido (HS256) usa exactamente el mismo pase; cambia sólo la firma, y el secreto se intercambia por la bóveda. Lo decide su equipo.

   Cómo lo verificamos: un pase de prueba emitido por su página, verificado por nuestro punto de entrada en la dirección de pruebas, con las once comprobaciones de la sección 8.5 en verde y el registro de auditoría escrito.

   Cuándo: en paralelo. Del lado nuestro el punto de entrada se prueba antes con un emisor de laboratorio; el día que su llave esté publicada sólo cambia una dirección de configuración.

8. R8 · La equivalencia entre sus cargos y los roles de GlobalLink

   Qué: una tabla de dos columnas: cada IdCargo de dbo.Empleados que vaya a entrar, y el rol de GlobalLink que le corresponde.

   Los siete roles de GlobalLink y qué pueden hacer: tni_admin ve toda la red · country_admin ve su país y reparte trabajo entre oficinas · auditor sólo lectura de toda la red · franchise_owner, franchise_admin y franchise_manager ven su oficina y reparten trabajo · franchise_user es el vendedor: ve y trabaja sus negocios. La especificación de mayo nombraba un rol tni_regional que no existe; su equivalente es country_admin.

   Exactamente cómo: nos mandan la tabla (hoja de cálculo o correo); nosotros la cargamos en app.tni_cargo_rol. Un cargo sin fila en esa tabla no entra: el pase se rechaza con un mensaje claro, no se adivina un rol.

   Cómo lo verificamos: un pase de prueba por cada cargo de la tabla abre GlobalLink con el rol esperado.

   Cuándo: en paralelo, antes de la primera prueba de acceso.

1. 1
   Carlos entra al TNI Management System, como todos los días

   Con su usuario de siempre. Ese usuario vive en la tabla de empleados de TNI, con su oficina y su cargo. Nada cambia en su sistema.

   TNI ya existe
2. 2
   Hace clic en la pestaña «Truly Nolen GlobalLink»

   Su sistema arma un pase con su número de empleado, su nombre, su país, su oficina y su cargo, lo firma, y lo manda a GlobalLink. Dura cinco minutos y sirve una vez.

   TNI Management System

   HomeReports ▾Truly Nolen GlobalLink ↗

   TNI pone la pestaña y la página que emite el pase · Catalizadora entrega el logo, el fragmento y la especificación
3. 3
   GlobalLink lo recibe ya identificado

   Verifica la firma y abre su tablero de Guatemala, oficina 679, con permisos de vendedor. Como el pase trae su número de empleado, GlobalLink ya sabe quién es Carlos en TNI: no hace falta cruzar nada a mano.

   TN GlobalLink Oficina 679 · Carlos

   Entró desde el sistema de gestión.

   Catalizadora construye el punto de entrada que verifica el pase
4. 4
   Prospecta

   En «Prospectar» busca por sector, por zona o deja que el sistema le proponga. Encuentra el Hotel Los Volcanes, con dirección, teléfono, correo y la persona que decide.

   Catalizadora ya existe
5. 5
   Decide cómo trabajarlo: Modo Manual o Truly Rocket

   Modo Manual: se lo queda él. Truly Rocket: el bot hace los primeros toques y le entrega la cita. En los dos casos el negocio nace con dueño.

   Prospecto · Hotel Los Volcanes

   Hotel Los VolcanesHotelería · Zona 10, Guatemala · +502 2xxx xxxxContacto: María Pérez, gerente de operaciones

   Enviar a Truly RocketModo Manual

   Catalizadora ya existe
6. 6
   En segundos nace el negocio en GlobalLink; en minutos, el cliente en TNI

   GlobalLink crea la empresa, la persona y el negocio, y deja el aviso en la cola. El programa de escritura elige la base de Guatemala, comprueba que el hotel no exista ya en la cartera de la 679, y crea la ficha en «Clientes», que es donde Guatemala da de alta a sus prospectos en 2026 (su módulo «Gestión de Ventas / Prospectos» no recibe altas desde noviembre de 2025). La crea exactamente como TNI crea las suyas: estado 5 Potencial, Carlos como vendedor, la persona como contacto administrativo, referencia «Otro: TN GlobalLink», y el tipo de cliente que TNI confirme (proponemos «venta activa»). TNI devuelve el número de cliente y queda guardado en el negocio.

   Catalizadora el aviso, el programa, el mapeo · TNI el usuario de escritura y la columna anti-duplicados
7. 7
   Carlos lo ve en TNI, en su lista de clientes

   Vuelve a su sistema, filtra por estado Potencial y ahí está, con su nombre como vendedor. Igual que los otros 1.268 potenciales de la oficina.

   TNI Management System > Ventas > Clientes · Status: Potencial

   ID	Oficina	Código	Cliente	Vendedor	Localidad	Status
   588xxx	GUATE	—	HOTEL LOS VOLCANES 14 calle 3-20 zona 10	MORALES, C.	Guatemala	Potencial
   587997	GUATE	—	CLINICA SANTA LUCIA Av. Reforma 12-01 zona 9	RAMIREZ, A.	Guatemala	Potencial

   Reconstrucción con las columnas y colores reales de la pantalla «Clientes» de su sistema: ID, Oficina, Código, Cliente con dirección, Vendedor, Localidad y Status en amarillo para Potencial. El código lo asigna la oficina.

   TNI su pantalla de siempre; nada que construir
8. 8
   Primer contacto

   Carlos llama o escribe desde GlobalLink; si eligió Rocket, el bot manda el primer correo. En TNI aparece un renglón en la bitácora del cliente con motivo «Lead», que es como TNI registra sus gestiones de venta: las 1.364 del último año en la 679 llevan ese motivo, 1.358 de ellas marcadas como venta directa.

   Catalizadora
9. 9
   Agenda la visita técnica

   La agende él o la agende el bot. En TNI aparece un renglón «Lead» con fecha programada y hora de inicio y fin, que es exactamente la forma en que TNI anota una visita de venta. Es el momento en que el prospecto pasa a «potencial» según lo acordado en la reunión del 10 de agosto, que quedó escrito en la migración 302.

   TNI Management System > Customer: HOTEL LOS VOLCANES > Contacts

   Date	Reason	Scheduled	Sales Person	Notes
   04/09/2026	Lead	04/09/2026 08:00–09:00	Carlos M.	GLOBALLINK · contactado · correo
   05/09/2026	Lead	09/09/2026 10:00–11:00	Carlos M.	GLOBALLINK · cita agendada

   Catalizadora
10. 10
    Hace la visita y anota el resultado en TNI, como hace hoy

    Carlos registra la visita en el sistema de gestión, no en GlobalLink. Esa noche, el espejo trae ese renglón y GlobalLink lo pone en la línea de tiempo del negocio.

    Negocio · Hotel Los Volcanes · línea de tiempo

    • 9 sep
      Visita registrada en TNI por Carlos M.«Recorrido de cocina y bodega. Interés en plan mensual.»
    • 5 sepCita agendada para el 9 de septiembre, 10:00
    • 4 sepCorreo enviado · primer contacto
    • 4 sepNegocio creado · Modo Manual · cliente TNI n.º 588.214

    TNI Carlos usa su sistema · Catalizadora el paso de vuelta que lee el espejo y lo aplica
11. 11
    Manda la propuesta

    Desde GlobalLink, con el monto. En TNI: otro renglón «Lead» en la bitácora con «propuesta enviada · USD 1.800 anuales».

    Catalizadora
12. 12
    Gana

    Carlos cierra el negocio en GlobalLink. El programa crea en TNI el servicio en la etapa «Propuesta aceptada, programar servicio», la etapa en la que están los servicios de los clientes potenciales de la oficina, y la propuesta colgando de él. Aparece en el reporte Sales > Services > List de la oficina. La ficha sigue en Potencial: activarla es de TNI.

    TNI - List of Services · Office=Guatemala, Service Status=Active · Sorted by Office

    ServiceId	IdCustomer	Customer	Sales Person	Address	Zone	StatusService	StartDate	EndDate	Frequency	Valor
    1035xxx	588xxx	HOTEL LOS VOLCANES	MORALES C.	14 CALLE 3-20 ZONA 10	ZONA 10	Active	09/15/2026	09/14/2027	Monthly	150.00

    Reconstrucción sobre la pantalla real capturada el 3 de septiembre con el usuario de prueba: las once columnas y el encabezado son los del reporte; la fila es de ejemplo.

    Catalizadora ya existe, ajustando las columnas obligatorias
13. 13
    TNI programa, inicia y factura

    Con su flujo de siempre: el servicio pasa a «iniciado» y la ficha de Potencial a Activo. Nadie de Catalizadora toca esa ficha ni ese servicio.

    TNI ya existe
14. 14
    Esa noche, GlobalLink cierra el ciclo

    El espejo trae el cambio y el negocio queda como sincronizado con TNI. Si Carlos no lo había cerrado, se cierra solo. Si en cambio TNI cancela el servicio o da de baja la ficha, el negocio pasa a perdido, con el motivo que TNI puso.

    Catalizadora

👤 PABLO ESTRADA | TNI | 🔒 Close | [TRULY]

TRULY
NOLENINTERNATIONAL

TNI Management System

Home

Reports ▾

Truly Nolen GlobalLink ↗

TNI Management System > Sales > Services > List

Cabecera y pestañas copiadas de la pantalla real del 3 de septiembre; la pestaña nueva es la propuesta.

8.1 · Las partes y sus direcciones

8.2 · El pase: cabecera y contenido

Un JWT (RFC 7519) firmado con RS256 (RSA con SHA-256, llave de 2048 bits como mínimo). Cabecera y contenido:

// cabecera
{ "alg": "RS256", "typ": "JWT", "kid": "tni-2026-09" }
// contenido · ejemplo de un vendedor de Guatemala
{
  "iss": "https://www.trulynoleninternational.com",
  "aud": "tn-globallink",
  "sub": "22059",                      // dbo.Empleados.IdEmpleado, como texto
  "iat": 1788500000,                   // emitido, segundos Unix UTC
  "nbf": 1788500000,                   // no antes de · igual a iat
  "exp": 1788500300,                   // vence · iat + 300 como máximo
  "jti": "5f1c9b2e-7a3d-4e0b-9c61-2f8d4a7b3c10",  // único por pase, UUID v4
  "email": "carlos.morales@trulynolen.com.gt",   // dbo.Empleados.Email
  "name": "Carlos Morales",            // Nombre + Apellido
  "country": "gt",                     // ISO 3166-1 alfa-2 en minúsculas, desde IdPais
  "franchise_id": "679",               // dbo.Empleados.IdOficina, como texto
  "role": "franchise_user",            // resuelto con la tabla de cargos (R8)
  "language": "es"                     // ISO 639-1 · opcional
}

8.3 · La llave pública

Documento JWKS (RFC 7517) en la dirección fija, servido por HTTPS con TLS 1.2 o superior, cacheable. Cada llave lleva kid, kty: "RSA", use: "sig", alg: "RS256", n y e. Para rotar, TNI publica la llave nueva junto a la vieja, empieza a firmar con la nueva, y retira la vieja después de 10 minutos; GlobalLink guarda el documento una hora y lo vuelve a pedir cuando llega un kid que no conoce. La llave privada vive en el servidor de TNI (almacén de certificados de Windows o equivalente) y nunca en código ni en variables de entorno.

8.4 · Cómo se envía el pase

La página emisora de TNI devuelve un documento HTML mínimo con un formulario que se envía solo. El pase viaja en el cuerpo, no en la dirección: así no queda en el historial del navegador, ni en el Referer, ni en los registros de ningún servidor intermedio.

<!doctype html><meta charset="utf-8"><title>Entrando a GlobalLink…</title>
<form id="f" method="post" action="https://app.trulynolen.tech/globalink/auth/exchange">
  <input type="hidden" name="token" value="eyJhbGciOiJSUzI1NiIs…">
  <noscript><button>Entrar a GlobalLink</button></noscript>
</form>
<script>document.getElementById("f").submit();</script>

Cabeceras de la respuesta de esa página: Cache-Control: no-store y Referrer-Policy: no-referrer. Un pase nunca se escribe en un log del lado de TNI.

8.5 · Qué hace GlobalLink al recibirlo, en orden, y qué devuelve si falla

Cada intento, exitoso o no, escribe una fila en audit.events con action = 'auth.exchange', la IP y el agente de usuario en sus columnas, y dentro de details el resultado, el motivo, el sub y el jti. El pase mismo nunca se registra; el correo y el nombre se escriben sólo en esa tabla de auditoría, no en los registros de aplicación. Limite: 30 intentos por minuto por IP; por encima, 429 sin detalle.

8.6 · Qué ve la persona si algo falla

Una página en el idioma del pase, o en español si no lo trae, con un texto por motivo, sin jerga y sin datos técnicos: «Este acceso venció; vuelve al sistema de gestión y haz clic otra vez» · «Tu oficina todavía no está habilitada en GlobalLink; avisa a tu gerente» · «Tu cargo no tiene un rol asignado en GlobalLink; avisa a TNI». Siempre con el enlace de vuelta al sistema de gestión. Los detalles técnicos quedan en la auditoría, no en pantalla.

8.7 · Altas, bajas y cambios de usuarios

• Alta: automática en el primer acceso, con los datos del pase. No hay invitación ni contraseña de GlobalLink.
• Cambio: nombre, correo, oficina y rol se actualizan en cada acceso desde el pase. TNI manda.
• Baja: cuando TNI da de baja al empleado, su página deja de emitirle pases y el acceso se corta solo; además, cada noche el espejo trae Empleados.FechaBaja y GlobalLink desactiva la cuenta y revoca sus sesiones abiertas. Ese motivo de revocación no existe hoy en app.user_sessions (admite cierre de sesión, revocación remota, revocación por administrador, vencimiento y fusión de oficinas): la migración del acceso agrega employee_offboarded.
• Convivencia con el login normal: una cuenta creada por pase puede recibir después una contraseña de GlobalLink si TNI lo pide; una cuenta creada a mano queda ligada al empleado la primera vez que entra por pase con el mismo correo.

8.8 · Qué entrega cada lado, y cómo se prueba