Firmy a prava: tenance napric portalem

Portal nemel zadnou tenanci. Kterykoliv prihlaseny uzivatel videl vsechny
tickety vsech firem i cely seznam resitelu, requireRole se nikde nevolal.

Tenant je hranice viditelnosti, tenantId na ticketu, resiteli i automatizaci.
Uzivatel muze patrit do vic firem, v kazde s jinou roli. Pristup napric firmami
je zvlast jako platformAdmin.

Tri pohledy na tickety: all, tenant, mine. Admin mezi nimi prepina vcetne
vyberu firmy. O pravech rozhoduje jedine data/access.ts, klient si nic
nedovozuje a bere je z GET /api/dashboard/access.

Filtr na firmu je v ulozistich povinny argument, takze zapomenuty filtr
neznamena vse, ale nezkompiluje se. Cizi firma vraci 403 nebo 404, nikdy
tise zuzeny vysledek.

Prirazeni jen v ramci firmy. Prehazovat praci mezi lidmi smi jen admin,
agent si smi vzit ticket na sebe.

Zmena prihlasovani: ucet klient@firma.cz zanikl, demo ucty jsou nove.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

documentation/04-api.md

@@ -22,6 +22,7 @@ Vyzaduji `Authorization: Bearer <token>`:
 | ------ | --------------------------------------------------- |
 | GET    | `/api/auth/me`                                      |
 | POST   | `/api/auth/logout`                                  |
+| GET    | `/api/dashboard/access`                             |
 | GET    | `/api/dashboard/summary`                            |
 | GET    | `/api/dashboard/people`                             |
 | GET    | `/api/dashboard/tickets`                            |
@@ -113,14 +114,24 @@ curl -X POST https://services.csbot.cz/apps/<app-id>/webhook/<token> \
 Prototyp pozadavek prijme, zvaliduje a zapocita do metrik, ale strom akci
 nevykona - runtime neexistuje.
 
+## Firmy a pohledy
+
+Prava popisuje [07-firmy-a-prava.md](07-firmy-a-prava.md), tady jen API.
+
+Endpointy dashboardu berou `scope` (`all`, `tenant`, `mine`) a `tenantId`.
+`GET /api/dashboard/access` rekne, co uzivatel smi, aby to klient nedovozoval.
+
+Pozadavek na pohled nebo firmu bez opravneni vraci **403 nebo 404**, nikdy tise
+zuzeny vysledek. Uzivatel nesmi koukat na cizi cisla v domneni, ze jsou spravna.
+
 ## Tickety
 
 Popis modelu je v [06-tickety.md](06-tickety.md), tady jen to, co se tyka API.
 
-`GET /api/dashboard/tickets` bere filtry v query: `assignee`, `status`, `channel`.
-U `assignee` jsou dve zvlastni hodnoty: `me` znamena resitele odpovidajiciho
-prihlasenemu uzivateli, `unassigned` frontu bez resitele. Neznama hodnota filtru
-se zaloguje a ignoruje - je lepsi ukazat vic ticketu nez prazdny seznam
+`GET /api/dashboard/tickets` bere navic filtry `assignee`, `status`, `channel`.
+U `assignee` je zvlastni hodnota `unassigned` pro frontu bez resitele.
+U pohledu `mine` se `assignee` ignoruje, pohled je silnejsi. Neznama hodnota
+filtru se zaloguje a ignoruje - je lepsi ukazat vic ticketu nez prazdny seznam
 bez vysvetleni.
 
 Odpoved nese vedle `items` jeste `meId`. Klient podle nej pozna, ktere tickety