Как уже написали, все пакеты ставятся в /nix/store. Суть установки в пользовательский профиль в том, что генерится новый метапакет user-environment, на который переключается симлинк текущего профиля пользователя /nix/var/nix/profiles/per-user/${username}/profile . В результате этого:
- установленные пакеты защищаются от удаления сборщиком мусора (наподобие добавления в файл world в генте или apt-mark manual в дебиане)
- их бинари добавляются в $PATH пользователя (т. к. симлинки на них собраны в поддиректории bin/ метапакета user-environment, на который ссылается симлинк, который добавлен в $PATH)

По идее, нет проблем лишить непривелигированных пользователей возможности ставить пакеты, или оставить им возможность ставить только из системной коллекции nixpkgs .