-- Modul-Scoping fuer Policy-Regeln (RBAC-04, siehe core-kanban/tickets/RBAC-04.md).
-- Existiert fuer eine (role, permission)-Regel ein Eintrag hier, gilt sie
-- NUR, wenn zusaetzlich das verknuepfte Feature-Flag (LIC-02) fuer den
-- Tenant aktiv ist — Rechte folgen der Lizenz, nicht umgekehrt.
CREATE TABLE policy_module_scopes (
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    module     TEXT NOT NULL,
    flag_key   TEXT NOT NULL,
    PRIMARY KEY (role, permission)
);