Los datos son de la organización
Cada organización ve solo los suyos. Cuál es la organización de la sesión lo resuelve el servidor en cada petición, a partir del dominio por el que entras y de tu identidad. Si la petición trae una organización —así se desambigua a quien pertenece a varias—, el servidor la contrasta contra las tuyas: pedir la de otra devuelve un no autorizado, nunca sus datos.