Ce fichier décrit les permissions applicatives et S2S de DiddiFood. Il s'adresse aux équipes frontend, Backoffice, Support et QA.

Rôle ou service	Actions
Client authentifié	Lire le catalogue, créer et suivre ses commandes, annuler avant acceptation, demander un remboursement, noter une commande terminée.
manager restaurant	Modifier profil, logo, horaires, zones, plats, commandes, équipe et wallet de son restaurant.
kitchen restaurant	Lire les plats sans prix, accepter/préparer, marquer prêt et gérer les disponibilités.
Admin global / admin métier	Décider l'approbation/rejet restaurant, traiter les décisions de remboursement et lire l'audit. Les administrateurs métier disposent aussi de la capacité Support.
Backoffice S2S	Routes internes selon client, audience, scope et idempotence.
Pilotage S2S	Lecture agrégée avec food:pilotage:read.
DiddiSupport S2S	Lecture du contexte avec diddifood:support-context:read; aucune mutation directe. Les décisions de remboursement passent par le circuit Backoffice audité avec food:payments:write, pour les agents Support autorisés et les administrateurs métier.

DiddiFreeID vérifie l'identité globale. DiddiFood reste propriétaire des rôles manager et kitchen.