Registrar una solicitud ARCOP

Propósito

Registra una solicitud ARCOP dentro de la organización. La operación crea el expediente con estado inicial pending, calcula su vencimiento y lo deja disponible en la plataforma para verificar identidad, responder y cerrar. Requiere el permiso requests:create.

Método y ruta

POST /api/v1/organizations/:organization/requests

Envía credencial, Accept: application/json y Content-Type: application/json.

Body JSON

El bloqueo preventivo no se registra por API: tiene su propio flujo en el portal público y la plataforma.

curl

curl --fail-with-body \
  -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H 'Accept: application/json' \
  -H 'Content-Type: application/json' \
  "$BASE_URL/api/v1/organizations/$ORGANIZATION/requests" \
  --data '{
    "requestType": "rectification",
    "subjectType": "email",
    "subjectValue": " Ada@Example.COM ",
    "notes": "Pidió corregir su dirección."
  }'

Respuesta 201

{
  "id": 42,
  "uuid": "d539f65e-e982-46af-a7ea-9ae01d452227",
  "requestType": "rectification",
  "status": "pending",
  "source": "api",
  "subjectType": "email",
  "subjectValueHash": "b5fc85e55755f9e0d030a10ab4429b6b2944855f9a0d60077fe832becbc41d72",
  "affectedCount": 1,
  "notes": "Pidió corregir su dirección.",
  "dueAt": "2026-09-22T04:00:00.000+00:00",
  "slaState": "on_time",
  "escalated": false,
  "extensionRequestedAt": null,
  "extensionReason": null,
  "identityPending": true,
  "identityVerifiedAt": null,
  "identityVerificationMethod": null,
  "resolvedAt": null,
  "createdAt": "2026-08-23T04:00:00.000+00:00",
  "updatedAt": "2026-08-23T04:00:00.000+00:00"
}

Errores relevantes

• 401: credencial ausente o inválida.
• 403: la credencial no tiene requests:create.
• 404: :organization no es la organización de la credencial.
• 422: enum, longitud o normalización inválida.

Un identificador no normalizable usa este error:

{
  "errors": [
    {
      "message": "El identificador del titular no es válido.",
      "rule": "dataSubjectValue",
      "field": "subjectValue"
    }
  ]
}

Semántica y límites

• La API normaliza subjectValue, registra como actor a la persona que creó la credencial y fija source: "api".
• Para rectification y objection, affectedCount cuenta registros coincidentes en la organización. Para access, portability y erasure nace en 0: el conteo se hace al preparar la respuesta en la plataforma.
• El expediente queda con identityPending: true. La verificación de identidad, la respuesta al titular, la extensión del plazo y el cierre ocurren en la plataforma.
• La respuesta entrega el hash SHA-256 del identificador normalizado, no el valor original.

Los UUID, IDs y fechas del ejemplo son ilustrativos; método, campos y semántica corresponden al contrato publicado.