organization_id es nullable porque una sesión existe antes de elegir organización, y porque
revocar la sesión de la organización A debe dejar viva la del mismo usuario en la B.
Clave primaria
Atributos específicos
Claves foráneas
Atributos base
Restricciones e índices
RLS y particionamiento
RLS activa portenant_id, y además solo el dueño de la sesión la ve: la política es más
estricta que el tenant. No particionada.