export function ownerFilter(session, requestedOwnerEmail) {
  if (!session?.email) throw new Error("NO_SESSION");

  // Vendedor: siempre su propio correo, ignorando lo que pida el cliente.
  if (!session.isAdmin) return { email: session.email, locked: true };

  // Admin: puede pedir un vendedor concreto, o todos.
  return { email: requestedOwnerEmail || null, locked: false };
}