Por qué funciona así

Una sola responsabilidad por evento

El anfitrión acepta la leyenda una vez y esa aceptación respalda a todos sus invitados. Es lo mismo que firmar la lista de invitados en la caseta, pero queda guardado con fecha y versión.

El invitado no entra hasta que lo apruebas

Con la liga pública cualquiera puede registrarse; por eso el pase nace "pendiente". El anfitrión es quien conoce a su gente. La caseta solo ve verde cuando hay aprobación.

Las señales de color no deciden por ti

Verde, amarillo y rojo son pistas: ya visitó, mismo dispositivo, vetado. La decisión sigue siendo del anfitrión, salvo el rojo de la comunidad, que no se puede aprobar.

La liga no muestra la lista de invitados

Quien abre la liga solo ve la invitación y su propio registro. Nunca a los demás. Por eso tampoco muestra teléfonos ni fotos.

Por qué la selfie se borra sola

Es un dato personal. Se guarda en el espacio privado de fotos y se elimina con el plazo de retención que fijó la administración, igual que las credenciales.

Por qué el código compartido pide nombre

Sin nombre no habría bitácora: "entraron 20 con el QR de la casa 4" no sirve cuando hay un incidente. El nombre que anota el guardia queda ligado al cruce.