PM: tipos Session operador (metadata operator_id)

[rcabrera-py]

Contexto

Portal PM usa Session token (X-Cuenca-SessionId) para que el operador actúe como la legal person. Downstream solo ve US_empresa.

Para auditoría (bitácora oaxaca#608, 4 ojos) necesitaremos distinguir qué operador hizo cada acción. El mecanismo exacto aún no está definido (ver authed#377) — este issue prepara tipos por si la Session expone metadata.

Qué hay que hacer

1. Extender tipos de Session (response y/o metadata) para campo opcional operator_id (o equivalente acordado después).
2. Documentar en docstring/comentario que el uso concreto depende de authed#377.
3. No implementar propagación en servicios — solo contrato de tipos.

Criterios de aceptación

• Tipo compatible con Session existente en cuenca-validations
• Campo opcional; no rompe clientes actuales
• Depende de cuenca-validations#421 (mismo release dev preferible)

Dependencias

• Depends on: PM: tipos LegalPerson, Operator, OperatorRole y OperatorLogin #421
• Related: authed#377 (proceso TBD), oaxaca#608

Asignación

Persona A.

[rcabrera-py]

Moved to phase 2 along with the rest of auditing (team decision, Slack 2026-09-01) — see authed#377 and authed#372 §5.5. No operator_id/Session-metadata contract needed for the MVP; not implementing these types for now.