Evidencia: TyC + Tratamiento de Datos obligatorios en welcome emails con CTA a reset-password

Caso A — Contacto/CEO nuevo recibe credenciales temporales:

Caso B — Contacto/CEO ya existia en el sistema (boton "Ver mi registro" → /dashboard):

1. Gate en reset-password (LAP-325)

src/routes/auth/reset-password/+page.server.ts LAP-325

// LAP-325: si el usuario llego via welcome email (CEO/contacto ICG creado por
// otra persona) y nunca acepto T&C / Privacidad, mostrar checkboxes obligatorios
// junto al cambio de contrasena. Detectamos esto mirando si tiene filas en
// consent_log: cero filas = primer ingreso, requerir aceptacion.
export const load: PageServerLoad = async ({ locals, url }) => {
  const { user } = await locals.safeGetSession();
  if (!user) throw redirect(303, '/login?tab=recover&error=expired');

  const { count } = await supabaseAdmin
    .from('consent_log')
    .select('id', { count: 'exact', head: true })
    .eq('user_id', user.id);

  return { needsConsent: (count ?? 0) === 0 };
};

2. Botón bloqueado hasta marcar ambos checkboxes

src/routes/auth/reset-password/+page.svelte

let termsAccepted = false;
let privacyAccepted = false;
// reactive: consent OK solo si no se requiere O si ambos checkbox marcados
$: consentOk = !data.needsConsent || (termsAccepted && privacyAccepted);

// El handler valida explicitamente antes de submit
if (data.needsConsent && (!termsAccepted || !privacyAccepted)) {
  message = 'Debes aceptar los Términos y la Política de Tratamiento de Datos.';
  return;
}

// Boton: disabled hasta cumplir password + consent
<button type="submit"
        disabled={loading || !allCriteriaMet || !passwordsMatch || !consentOk}>
  {loading ? 'Actualizando...' : 'Establecer nueva contraseña'}
</button>

3. Guard global en dashboard (LAP-325 + refuerzo 0bef598)

src/routes/dashboard/+layout.server.ts:43-53

// H1: Guard de consent — usuarios sin ningun registro en consent_log no han
// aceptado T&C de forma explicita (CEO designado / contacto ICG creados por
// otra persona). Redirigir a pantalla de aceptacion antes de entrar al dashboard.
const { count: consentCount } = await supabaseAdmin
  .from('consent_log')
  .select('id', { count: 'exact', head: true })
  .eq('user_id', user.id);

if ((consentCount ?? 0) === 0) {
  throw redirect(303, '/aceptar-terminos');
}

4. Endpoint que graba la aceptacion

src/routes/api/auth/accept-consent/+server.ts

export const POST: RequestHandler = async (event) => {
  const { user } = await event.locals.safeGetSession();
  if (!user) throw error(401, 'No autenticado');

  if (!body.terms || !body.privacy) {
    return json({ error: 'Debes aceptar Términos y Política de Privacidad.' }, { status: 400 });
  }

  logConsent(event, [
    { userId: user.id, consentType: 'terms',   metadata: { flow: body.flow ?? 'password_reset' } },
    { userId: user.id, consentType: 'privacy', metadata: { flow: body.flow ?? 'password_reset' } },
  ]);

  return json({ ok: true });
};

Asi se ve la pantalla destino del CTA cuando el contacto/CEO nuevo abre el correo. Replicado fielmente desde auth/reset-password/+page.svelte con needsConsent: true (caso productivo de un destinatario sin filas previas en consent_log).

eaa42f2 · feat(LAP-325): consent obligatorio en reset-password para usuarios sin historial · 2026-05-26 14:06 -05

0bef598 · feat(consent): TyC obligatorios en invitación equipo + guard primer login (C5/H2 + H1) · 2026-05-30 12:06 -05

Ambos commits estan en main, desplegados en eco.lpdi.co. Branch: master. Origin: devlapuntadeliceberg/relacionamiento.