@baruk/core 0.3.1 → 0.4.2

package/dist/collection/channel.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"channel.js","sourceRoot":"","sources":["../../src/collection/channel.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;GAaG"}

package/dist/collection/communication-bridge.d.ts

@@ -0,0 +1,66 @@
+/**
+ * A régua da SC como CONSUMIDORA do motor compartilhado.
+ *
+ * Esta é a fronteira do adendo §14, e ela cai deste lado: tudo aqui é regra da
+ * SC — quais eventos existem, quais variáveis a cobrança expõe, como o texto do
+ * escritório vira conteúdo de cada canal. Nada disto entra em
+ * `communication/`, porque no dia em que a Dental for o segundo consumidor o
+ * motor não pode ter aprendido contabilidade.
+ *
+ * O caminho inverso também vale: nenhuma linha deste arquivo sabe o que é Meta,
+ * Resend ou Twilio.
+ */
+import { type ChannelKey, type CommunicationContext, type MessageContent } from '../communication/index.js';
+import type { TenantBranding } from './branding.js';
+import type { EmailBlock } from './email-layout.js';
+/** Slug do produto no ecossistema. Estável — entra em toda chave de idempotência. */
+export declare const SC_PRODUCT = "sc-organizacao-contabil";
+/**
+ * Evento de negócio a partir da etapa da régua.
+ *
+ * Deriva de `stepKey` (`D-3`, `D0`, `D+7`), que é o identificador que o tenant
+ * configura e que já garante a idempotência do agendamento. Assim o vocabulário
+ * de evento acompanha a régua do escritório em vez de ser uma segunda lista que
+ * alguém precisa lembrar de atualizar junto.
+ */
+export declare function collectionEventType(stepKey: string): string;
+/** Contexto da SC para um tenant. A marca é a do próprio escritório. */
+export declare function collectionContext(tenantId: string, brand: string): CommunicationContext;
+export interface CollectionVariablesInput {
+    clientName: string;
+    officeName: string;
+    outstandingAmount: number;
+    dueDate: string | null;
+    reference: string | null;
+    paymentUrl?: string;
+}
+/**
+ * Variáveis expostas à camada de template, por NOME.
+ *
+ * O motor as reordena conforme o template declara — a ordem posicional que o
+ * WhatsApp exige é resolvida lá, não aqui. Amarrar a ordem neste ponto faria
+ * cada template novo do escritório exigir mudança de código.
+ */
+export declare function collectionVariables(input: CollectionVariablesInput): Record<string, string>;
+export interface ContentBuilderInput {
+    branding: TenantBranding;
+    /** Conteúdo estruturado já produzido por `renderCopy`. */
+    subject: string;
+    block: EmailBlock;
+}
+/**
+ * Constrói o conteúdo do canal escolhido — **depois** de o canal ser escolhido.
+ *
+ * É aqui que o gap G1 da auditoria se fecha. A abstração anterior
+ * (`collection/channel.ts`) exigia `subject` + `html` no payload: um adapter de
+ * WhatsApp receberia HTML renderizado e teria de desmontá-lo em texto. Agora o
+ * e-mail é renderizado só quando o canal é e-mail, e o WhatsApp recebe o que o
+ * WhatsApp aceita — template aprovado com variáveis posicionais.
+ */
+export declare function buildCollectionContent(input: ContentBuilderInput): (channel: ChannelKey, template: {
+    providerTemplateName?: string;
+    body?: string;
+    subject?: string;
+    locale: string;
+}, ordered: string[], variables: Record<string, string>) => MessageContent | null;
+//# sourceMappingURL=communication-bridge.d.ts.map

package/dist/collection/communication-bridge.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"communication-bridge.d.ts","sourceRoot":"","sources":["../../src/collection/communication-bridge.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAEH,OAAO,EACL,KAAK,UAAU,EACf,KAAK,oBAAoB,EACzB,KAAK,cAAc,EACpB,MAAM,2BAA2B,CAAC;AACnC,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AACpD,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,mBAAmB,CAAC;AAIpD,qFAAqF;AACrF,eAAO,MAAM,UAAU,4BAA4B,CAAC;AAEpD;;;;;;;GAOG;AACH,wBAAgB,mBAAmB,CAAC,OAAO,EAAE,MAAM,GAAG,MAAM,CAQ3D;AAED,wEAAwE;AACxE,wBAAgB,iBAAiB,CAAC,QAAQ,EAAE,MAAM,EAAE,KAAK,EAAE,MAAM,GAAG,oBAAoB,CAEvF;AAED,MAAM,WAAW,wBAAwB;IACvC,UAAU,EAAE,MAAM,CAAC;IACnB,UAAU,EAAE,MAAM,CAAC;IACnB,iBAAiB,EAAE,MAAM,CAAC;IAC1B,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,UAAU,CAAC,EAAE,MAAM,CAAC;CACrB;AAED;;;;;;GAMG;AACH,wBAAgB,mBAAmB,CAAC,KAAK,EAAE,wBAAwB,GAAG,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,CAa3F;AAED,MAAM,WAAW,mBAAmB;IAClC,QAAQ,EAAE,cAAc,CAAC;IACzB,0DAA0D;IAC1D,OAAO,EAAE,MAAM,CAAC;IAChB,KAAK,EAAE,UAAU,CAAC;CACnB;AAED;;;;;;;;GAQG;AACH,wBAAgB,sBAAsB,CACpC,KAAK,EAAE,mBAAmB,GACzB,CACD,OAAO,EAAE,UAAU,EACnB,QAAQ,EAAE;IAAE,oBAAoB,CAAC,EAAE,MAAM,CAAC;IAAC,IAAI,CAAC,EAAE,MAAM,CAAC;IAAC,OAAO,CAAC,EAAE,MAAM,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,EAC5F,OAAO,EAAE,MAAM,EAAE,EACjB,SAAS,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,CAAC,KAC9B,cAAc,GAAG,IAAI,CAkCzB"}

package/dist/collection/communication-bridge.js

@@ -0,0 +1,134 @@
+/**
+ * A régua da SC como CONSUMIDORA do motor compartilhado.
+ *
+ * Esta é a fronteira do adendo §14, e ela cai deste lado: tudo aqui é regra da
+ * SC — quais eventos existem, quais variáveis a cobrança expõe, como o texto do
+ * escritório vira conteúdo de cada canal. Nada disto entra em
+ * `communication/`, porque no dia em que a Dental for o segundo consumidor o
+ * motor não pode ter aprendido contabilidade.
+ *
+ * O caminho inverso também vale: nenhuma linha deste arquivo sabe o que é Meta,
+ * Resend ou Twilio.
+ */
+import {} from '../communication/index.js';
+import { renderCollectionEmail, renderCollectionText } from './email-layout.js';
+import { formatBRL, formatDateBR } from './format.js';
+/** Slug do produto no ecossistema. Estável — entra em toda chave de idempotência. */
+export const SC_PRODUCT = 'sc-organizacao-contabil';
+/**
+ * Evento de negócio a partir da etapa da régua.
+ *
+ * Deriva de `stepKey` (`D-3`, `D0`, `D+7`), que é o identificador que o tenant
+ * configura e que já garante a idempotência do agendamento. Assim o vocabulário
+ * de evento acompanha a régua do escritório em vez de ser uma segunda lista que
+ * alguém precisa lembrar de atualizar junto.
+ */
+export function collectionEventType(stepKey) {
+    const slug = stepKey
+        .toLowerCase()
+        .replace(/\+/g, 'plus')
+        .replace(/-/g, 'minus')
+        .replace(/[^a-z0-9]+/g, '_')
+        .replace(/^_+|_+$/g, '');
+    return `billing.dunning.${slug || 'step'}`;
+}
+/** Contexto da SC para um tenant. A marca é a do próprio escritório. */
+export function collectionContext(tenantId, brand) {
+    return { tenantId, product: SC_PRODUCT, brand };
+}
+/**
+ * Variáveis expostas à camada de template, por NOME.
+ *
+ * O motor as reordena conforme o template declara — a ordem posicional que o
+ * WhatsApp exige é resolvida lá, não aqui. Amarrar a ordem neste ponto faria
+ * cada template novo do escritório exigir mudança de código.
+ */
+export function collectionVariables(input) {
+    const vars = {
+        clientName: input.clientName,
+        officeName: input.officeName,
+        amount: formatBRL(input.outstandingAmount),
+        dueDate: formatDateBR(input.dueDate),
+        reference: input.reference ?? '',
+    };
+    // Só entra quando existe. Uma variável vazia num template de WhatsApp faz a
+    // Meta recusar a mensagem inteira — melhor o template não pedir o campo do que
+    // o campo chegar em branco.
+    if (input.paymentUrl)
+        vars.paymentUrl = input.paymentUrl;
+    return vars;
+}
+/**
+ * Constrói o conteúdo do canal escolhido — **depois** de o canal ser escolhido.
+ *
+ * É aqui que o gap G1 da auditoria se fecha. A abstração anterior
+ * (`collection/channel.ts`) exigia `subject` + `html` no payload: um adapter de
+ * WhatsApp receberia HTML renderizado e teria de desmontá-lo em texto. Agora o
+ * e-mail é renderizado só quando o canal é e-mail, e o WhatsApp recebe o que o
+ * WhatsApp aceita — template aprovado com variáveis posicionais.
+ */
+export function buildCollectionContent(input) {
+    return (channel, template, ordered, variables) => {
+        if (channel === 'email') {
+            return {
+                kind: 'email',
+                subject: template.subject ?? input.subject,
+                html: renderCollectionEmail(input.branding, input.block),
+                text: renderCollectionText(input.branding, input.block),
+            };
+        }
+        if (channel === 'whatsapp') {
+            // Sem template registrado no provider não há envio ativo possível: fora da
+            // janela de 24h o WhatsApp só aceita template aprovado. Devolver texto
+            // livre aqui produziria uma recusa do provider que pareceria falha do
+            // destinatário.
+            if (!template.providerTemplateName)
+                return null;
+            return {
+                kind: 'whatsapp_template',
+                templateName: template.providerTemplateName,
+                language: template.locale,
+                variables: ordered,
+            };
+        }
+        if (channel === 'sms' || channel === 'notification') {
+            const body = template.body
+                ? renderPlain(template.body, variables)
+                : plainFromBlock(input.block);
+            return { kind: 'text', body };
+        }
+        return null;
+    };
+}
+/**
+ * Substituição por ALLOWLIST das variáveis fornecidas — `{{x}}` só resolve se
+ * `x` existir. Qualquer outra coisa fica literal e visível.
+ *
+ * Mesma regra do `template.ts` da cobrança, e pela mesma razão: o texto vem de
+ * configuração de tenant, e interpolação livre sobre dado editável pelo usuário
+ * é execução arbitrária. Falha à vista é melhor que falha silenciosa.
+ */
+function renderPlain(text, vars) {
+    return text.replace(/\{\{\s*([a-zA-Z][a-zA-Z0-9]*)\s*\}\}/g, (whole, name) => Object.prototype.hasOwnProperty.call(vars, name) ? vars[name] : whole);
+}
+/**
+ * Texto curto a partir do conteúdo estruturado, quando o tenant não configurou
+ * corpo próprio.
+ *
+ * Deliberadamente enxuto: em SMS cada segmento é cobrado, e o corpo de um e-mail
+ * de cobrança inteiro custaria cinco. Leva a saudação, o essencial do valor e o
+ * link de pagamento quando existe — que é o que faz o cliente agir.
+ */
+function plainFromBlock(block) {
+    const parts = [block.greeting];
+    if (block.highlight) {
+        parts.push(`${block.highlight.label}: ${block.highlight.amount} (${block.highlight.dueValue}).`);
+    }
+    else if (block.paragraphs[0]) {
+        parts.push(block.paragraphs[0]);
+    }
+    if (block.payment?.url)
+        parts.push(block.payment.url);
+    return parts.join(' ');
+}
+//# sourceMappingURL=communication-bridge.js.map

package/dist/collection/communication-bridge.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"communication-bridge.js","sourceRoot":"","sources":["../../src/collection/communication-bridge.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAEH,OAAO,EAIN,MAAM,2BAA2B,CAAC;AAGnC,OAAO,EAAE,qBAAqB,EAAE,oBAAoB,EAAE,MAAM,mBAAmB,CAAC;AAChF,OAAO,EAAE,SAAS,EAAE,YAAY,EAAE,MAAM,aAAa,CAAC;AAEtD,qFAAqF;AACrF,MAAM,CAAC,MAAM,UAAU,GAAG,yBAAyB,CAAC;AAEpD;;;;;;;GAOG;AACH,MAAM,UAAU,mBAAmB,CAAC,OAAe;IACjD,MAAM,IAAI,GAAG,OAAO;SACjB,WAAW,EAAE;SACb,OAAO,CAAC,KAAK,EAAE,MAAM,CAAC;SACtB,OAAO,CAAC,IAAI,EAAE,OAAO,CAAC;SACtB,OAAO,CAAC,aAAa,EAAE,GAAG,CAAC;SAC3B,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC;IAC3B,OAAO,mBAAmB,IAAI,IAAI,MAAM,EAAE,CAAC;AAC7C,CAAC;AAED,wEAAwE;AACxE,MAAM,UAAU,iBAAiB,CAAC,QAAgB,EAAE,KAAa;IAC/D,OAAO,EAAE,QAAQ,EAAE,OAAO,EAAE,UAAU,EAAE,KAAK,EAAE,CAAC;AAClD,CAAC;AAWD;;;;;;GAMG;AACH,MAAM,UAAU,mBAAmB,CAAC,KAA+B;IACjE,MAAM,IAAI,GAA2B;QACnC,UAAU,EAAE,KAAK,CAAC,UAAU;QAC5B,UAAU,EAAE,KAAK,CAAC,UAAU;QAC5B,MAAM,EAAE,SAAS,CAAC,KAAK,CAAC,iBAAiB,CAAC;QAC1C,OAAO,EAAE,YAAY,CAAC,KAAK,CAAC,OAAO,CAAC;QACpC,SAAS,EAAE,KAAK,CAAC,SAAS,IAAI,EAAE;KACjC,CAAC;IACF,4EAA4E;IAC5E,+EAA+E;IAC/E,4BAA4B;IAC5B,IAAI,KAAK,CAAC,UAAU;QAAE,IAAI,CAAC,UAAU,GAAG,KAAK,CAAC,UAAU,CAAC;IACzD,OAAO,IAAI,CAAC;AACd,CAAC;AASD;;;;;;;;GAQG;AACH,MAAM,UAAU,sBAAsB,CACpC,KAA0B;IAO1B,OAAO,CAAC,OAAO,EAAE,QAAQ,EAAE,OAAO,EAAE,SAAS,EAAE,EAAE;QAC/C,IAAI,OAAO,KAAK,OAAO,EAAE,CAAC;YACxB,OAAO;gBACL,IAAI,EAAE,OAAO;gBACb,OAAO,EAAE,QAAQ,CAAC,OAAO,IAAI,KAAK,CAAC,OAAO;gBAC1C,IAAI,EAAE,qBAAqB,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,KAAK,CAAC;gBACxD,IAAI,EAAE,oBAAoB,CAAC,KAAK,CAAC,QAAQ,EAAE,KAAK,CAAC,KAAK,CAAC;aACxD,CAAC;QACJ,CAAC;QAED,IAAI,OAAO,KAAK,UAAU,EAAE,CAAC;YAC3B,2EAA2E;YAC3E,uEAAuE;YACvE,sEAAsE;YACtE,gBAAgB;YAChB,IAAI,CAAC,QAAQ,CAAC,oBAAoB;gBAAE,OAAO,IAAI,CAAC;YAChD,OAAO;gBACL,IAAI,EAAE,mBAAmB;gBACzB,YAAY,EAAE,QAAQ,CAAC,oBAAoB;gBAC3C,QAAQ,EAAE,QAAQ,CAAC,MAAM;gBACzB,SAAS,EAAE,OAAO;aACnB,CAAC;QACJ,CAAC;QAED,IAAI,OAAO,KAAK,KAAK,IAAI,OAAO,KAAK,cAAc,EAAE,CAAC;YACpD,MAAM,IAAI,GAAG,QAAQ,CAAC,IAAI;gBACxB,CAAC,CAAC,WAAW,CAAC,QAAQ,CAAC,IAAI,EAAE,SAAS,CAAC;gBACvC,CAAC,CAAC,cAAc,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC;YAChC,OAAO,EAAE,IAAI,EAAE,MAAM,EAAE,IAAI,EAAE,CAAC;QAChC,CAAC;QAED,OAAO,IAAI,CAAC;IACd,CAAC,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,WAAW,CAAC,IAAY,EAAE,IAA4B;IAC7D,OAAO,IAAI,CAAC,OAAO,CAAC,uCAAuC,EAAE,CAAC,KAAK,EAAE,IAAY,EAAE,EAAE,CACnF,MAAM,CAAC,SAAS,CAAC,cAAc,CAAC,IAAI,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,IAAI,CAAE,CAAC,CAAC,CAAC,KAAK,CACvE,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,SAAS,cAAc,CAAC,KAAiB;IACvC,MAAM,KAAK,GAAa,CAAC,KAAK,CAAC,QAAQ,CAAC,CAAC;IACzC,IAAI,KAAK,CAAC,SAAS,EAAE,CAAC;QACpB,KAAK,CAAC,IAAI,CACR,GAAG,KAAK,CAAC,SAAS,CAAC,KAAK,KAAK,KAAK,CAAC,SAAS,CAAC,MAAM,KAAK,KAAK,CAAC,SAAS,CAAC,QAAQ,IAAI,CACrF,CAAC;IACJ,CAAC;SAAM,IAAI,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC;QAC/B,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC;IAClC,CAAC;IACD,IAAI,KAAK,CAAC,OAAO,EAAE,GAAG;QAAE,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC;IACtD,OAAO,KAAK,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;AACzB,CAAC"}

package/dist/collection/communication-runtime.d.ts

@@ -0,0 +1,95 @@
+/**
+ * Montagem ÚNICA do consumo do motor compartilhado pela cobrança da SC.
+ *
+ * Este arquivo existe por causa de um defeito de arquitetura, não de código: até
+ * aqui havia dois caminhos capazes de mandar mensagem ao cliente.
+ *
+ *   `collection-cron.ts`      montava o motor compartilhado — mas SÓ quando o
+ *                             escritório tinha conta de WhatsApp ou SMS. Sem
+ *                             elas, caía no adapter legado.
+ *   `routes/collections.ts`   montava o adapter legado SEMPRE. A rota manual
+ *                             nunca passou pelo motor compartilhado.
+ *
+ * Dois caminhos com duas idempotências diferentes: o legado usava
+ * `receivableId:stepKey` e não gravava nada, o compartilhado usava a chave
+ * composta pelo motor. Um cron e um clique no botão "rodar agora", no mesmo
+ * minuto, não se enxergavam — e a proteção de cada um era invisível para o
+ * outro. É o `LEGACY_SHARED_COEXISTENCE=BLOCKING` do certificador.
+ *
+ * A correção é ter UM lugar que monta o consumo, e ambos chamarem este. Não é
+ * organização de código: é o que faz "existe uma única autoridade de envio" ser
+ * uma propriedade verificável em vez de uma intenção.
+ */
+import type { Db, Tx } from '../db/client.js';
+import { type ChannelKey, type SmsTransport } from '../communication/index.js';
+import type { TenantBranding } from './branding.js';
+import { SC_PRODUCT } from './communication-bridge.js';
+import type { CollectionCommunication } from './engine.js';
+/**
+ * Slug estável da marca do escritório, para o contexto do motor.
+ *
+ * Vive aqui, e não no cron, porque entra na chave de idempotência: duas
+ * derivações do mesmo nome produziriam duas chaves para o mesmo aviso, e a
+ * proteção contra envio duplo evaporaria entre o cron e a rota manual sem que
+ * nada parecesse errado.
+ */
+export declare function brandKeyFor(branding: TenantBranding): string;
+export interface CollectionCommunicationOptions {
+    /**
+     * Pool. Usado SÓ pela reserva de envio, que precisa de transação própria e
+     * curta para ficar visível a outros workers antes do fim do ciclo.
+     */
+    db: Db;
+    /** Transação do ciclo. Templates, consentimento e trilha vivem nela. */
+    tx: Tx;
+    tenantId: string;
+    branding: TenantBranding;
+    /**
+     * Remetente de e-mail da plataforma — o fallback governado.
+     *
+     * Explícito no chamador de propósito: enquanto era `process.env.RESEND_*` lido
+     * lá dentro, o fallback global era invisível para quem lia a montagem.
+     */
+    platformEmail: {
+        senderId: string;
+        credentialRef: string;
+    };
+    /**
+     * Traduz referência lógica de credencial em segredo. O valor nunca volta ao
+     * domínio; morre dentro do adapter.
+     */
+    resolveCredential: (ref: string) => Promise<string | undefined>;
+    /**
+     * Trava de envio real de WhatsApp. **Desligada por omissão** e ligada só por
+     * ato humano com autorização. Ver `adapters/whatsapp.ts`.
+     */
+    whatsappLiveSend?: boolean;
+    /** Transporte de SMS. Ausente = canal não registrado, que é a verdade hoje. */
+    smsTransport?: SmsTransport;
+    /** Percorre tudo e relata, sem chamar adapter nenhum e sem reservar chave. */
+    dryRun?: boolean;
+}
+/**
+ * Monta o consumo do motor para UM tenant.
+ *
+ * Devolve sempre — nunca `undefined`. O desenho anterior devolvia `undefined`
+ * quando não havia canal de telefone configurado, e era isso que empurrava o
+ * e-mail de volta para o caminho legado. O e-mail é UM canal entre outros; se
+ * ele fosse o caso especial, todo canal novo teria de imitá-lo.
+ */
+export declare function buildCollectionCommunication(options: CollectionCommunicationOptions): Promise<CollectionCommunication>;
+/**
+ * Referência lógica → segredo, a partir do ambiente do processo.
+ *
+ * O que o tenant configura é o NOME (`RESEND_API_KEY`, `vault://.../whatsapp`);
+ * o valor vem daqui e não atravessa o domínio. A allowlist por FORMA do nome
+ * (maiúsculas, dígitos e `_`) impede que um `credentialRef` colado no jsonb de
+ * configuração de tenant leia qualquer coisa do ambiente do processo — o jsonb é
+ * editável por quem administra o escritório, e `PATH` ou `DATABASE_URL` também
+ * são variáveis de ambiente.
+ */
+export declare function environmentCredentialResolver(): (ref: string) => Promise<string | undefined>;
+/** Canais que este produto sabe operar. Consultado por tela e por teste. */
+export declare const SC_SUPPORTED_CHANNELS: readonly ChannelKey[];
+export { SC_PRODUCT };
+//# sourceMappingURL=communication-runtime.d.ts.map

package/dist/collection/communication-runtime.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"communication-runtime.d.ts","sourceRoot":"","sources":["../../src/collection/communication-runtime.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AAEH,OAAO,KAAK,EAAE,EAAE,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC9C,OAAO,EAWL,KAAK,UAAU,EAEf,KAAK,YAAY,EAClB,MAAM,2BAA2B,CAAC;AACnC,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AAEpD,OAAO,EAAqB,UAAU,EAAE,MAAM,2BAA2B,CAAC;AAG1E,OAAO,KAAK,EAAE,uBAAuB,EAAE,MAAM,aAAa,CAAC;AAE3D;;;;;;;GAOG;AACH,wBAAgB,WAAW,CAAC,QAAQ,EAAE,cAAc,GAAG,MAAM,CAY5D;AAED,MAAM,WAAW,8BAA8B;IAC7C;;;OAGG;IACH,EAAE,EAAE,EAAE,CAAC;IACP,wEAAwE;IACxE,EAAE,EAAE,EAAE,CAAC;IACP,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,cAAc,CAAC;IACzB;;;;;OAKG;IACH,aAAa,EAAE;QAAE,QAAQ,EAAE,MAAM,CAAC;QAAC,aAAa,EAAE,MAAM,CAAA;KAAE,CAAC;IAC3D;;;OAGG;IACH,iBAAiB,EAAE,CAAC,GAAG,EAAE,MAAM,KAAK,OAAO,CAAC,MAAM,GAAG,SAAS,CAAC,CAAC;IAChE;;;OAGG;IACH,gBAAgB,CAAC,EAAE,OAAO,CAAC;IAC3B,+EAA+E;IAC/E,YAAY,CAAC,EAAE,YAAY,CAAC;IAC5B,8EAA8E;IAC9E,MAAM,CAAC,EAAE,OAAO,CAAC;CAClB;AAED;;;;;;;GAOG;AACH,wBAAsB,4BAA4B,CAChD,OAAO,EAAE,8BAA8B,GACtC,OAAO,CAAC,uBAAuB,CAAC,CAoGlC;AAED;;;;;;;;;GASG;AACH,wBAAgB,6BAA6B,IAAI,CAAC,GAAG,EAAE,MAAM,KAAK,OAAO,CAAC,MAAM,GAAG,SAAS,CAAC,CAoB5F;AAED,4EAA4E;AAC5E,eAAO,MAAM,qBAAqB,EAAE,SAAS,UAAU,EAAiC,CAAC;AAEzF,OAAO,EAAE,UAAU,EAAE,CAAC"}

package/dist/collection/communication-runtime.js

@@ -0,0 +1,187 @@
+/**
+ * Montagem ÚNICA do consumo do motor compartilhado pela cobrança da SC.
+ *
+ * Este arquivo existe por causa de um defeito de arquitetura, não de código: até
+ * aqui havia dois caminhos capazes de mandar mensagem ao cliente.
+ *
+ *   `collection-cron.ts`      montava o motor compartilhado — mas SÓ quando o
+ *                             escritório tinha conta de WhatsApp ou SMS. Sem
+ *                             elas, caía no adapter legado.
+ *   `routes/collections.ts`   montava o adapter legado SEMPRE. A rota manual
+ *                             nunca passou pelo motor compartilhado.
+ *
+ * Dois caminhos com duas idempotências diferentes: o legado usava
+ * `receivableId:stepKey` e não gravava nada, o compartilhado usava a chave
+ * composta pelo motor. Um cron e um clique no botão "rodar agora", no mesmo
+ * minuto, não se enxergavam — e a proteção de cada um era invisível para o
+ * outro. É o `LEGACY_SHARED_COEXISTENCE=BLOCKING` do certificador.
+ *
+ * A correção é ter UM lugar que monta o consumo, e ambos chamarem este. Não é
+ * organização de código: é o que faz "existe uma única autoridade de envio" ser
+ * uma propriedade verificável em vez de uma intenção.
+ */
+import { createEmailChannel, createPostgresAuditSink, createPostgresChannelBindingStore, createPostgresDispatchClaimStore, createSmsChannel, createWhatsAppChannel, credentialResolverFor, resolveSenderProfile, routeAccountsByChannel, withSenderFallback, } from '../communication/index.js';
+import { collectionSenderFallback, createTenantChannelAccountStore } from './channel-accounts.js';
+import { collectionContext, SC_PRODUCT } from './communication-bridge.js';
+import { createConsentStore } from './consent-repository.js';
+import { createCollectionTemplateStore } from './template-catalog.js';
+/**
+ * Slug estável da marca do escritório, para o contexto do motor.
+ *
+ * Vive aqui, e não no cron, porque entra na chave de idempotência: duas
+ * derivações do mesmo nome produziriam duas chaves para o mesmo aviso, e a
+ * proteção contra envio duplo evaporaria entre o cron e a rota manual sem que
+ * nada parecesse errado.
+ */
+export function brandKeyFor(branding) {
+    const slug = branding.officeName
+        .toLowerCase()
+        .normalize('NFD')
+        .replace(/[\u0300-\u036f]/g, '')
+        .replace(/[^a-z0-9]+/g, '-')
+        .replace(/^-+|-+$/g, '')
+        .slice(0, 60);
+    // Nome que não produz slug válido cai num valor fixo do produto, em vez de
+    // fazer o motor recusar o contexto e a régua inteira parar por causa de um
+    // nome de escritório com caracteres incomuns.
+    return /^[a-z][a-z0-9-]*[a-z0-9]$/.test(slug) ? slug : 'baruk-office';
+}
+/**
+ * Monta o consumo do motor para UM tenant.
+ *
+ * Devolve sempre — nunca `undefined`. O desenho anterior devolvia `undefined`
+ * quando não havia canal de telefone configurado, e era isso que empurrava o
+ * e-mail de volta para o caminho legado. O e-mail é UM canal entre outros; se
+ * ele fosse o caso especial, todo canal novo teria de imitá-lo.
+ */
+export async function buildCollectionCommunication(options) {
+    const { db, tx, tenantId, branding } = options;
+    const brand = brandKeyFor(branding);
+    const ctx = collectionContext(tenantId, brand);
+    const tenantAccounts = createTenantChannelAccountStore(tx);
+    /*
+     * Telefone tem registro CANÔNICO próprio: `channel_binding` (0041), escrito
+     * pelo onboarding do Embedded Signup.
+     *
+     * Antes desta composição, TODO canal era resolvido por
+     * `createTenantChannelAccountStore` — o jsonb `tenant.settings.channels`. O
+     * onboarding gravava numa tabela que ninguém lia: a tela dizia "ativo",
+     * `GET /v1/communication/channels` dizia `not_configured`, e o motor teria
+     * respondido `no_account` no primeiro envio. Canal pronto na Meta e invisível
+     * para quem despacha.
+     *
+     * É o mesmo defeito que `registerChannelBinding` teve na outra ponta — existir
+     * e não ser chamado —, agora do lado do consumo.
+     */
+    const bindingAccounts = createPostgresChannelBindingStore(tx);
+    const fallback = collectionSenderFallback(branding, options.platformEmail);
+    /*
+     * Precedência POR CANAL, explícita — e não um `??` entre dois stores.
+     *
+     * Um fallback genérico resolveria o sintoma e esconderia a política: ninguém
+     * conseguiria dizer, lendo o código, de onde vem a conta de WhatsApp de um
+     * escritório. Aqui a resposta é uma linha do mapa.
+     *
+     *   email    → configuração do tenant + remetente de plataforma (contrato
+     *              certificado, intocado)
+     *   whatsapp → SOMENTE `channel_binding`. Sem fallback para o jsonb: aceitar
+     *              as duas fontes criaria a segunda verdade que a 0041 existe
+     *              para eliminar, e o legado sequer satisfaz
+     *              `channel_binding_phone_credential_ref_chk` (telefone exige
+     *              `vault://`).
+     *   sms      → mesma regra do WhatsApp.
+     *
+     * Canal sem rota resolve para ausente. Um canal novo entra fechado.
+     */
+    const accounts = routeAccountsByChannel({
+        email: withSenderFallback(tenantAccounts, fallback),
+        whatsapp: bindingAccounts,
+        sms: bindingAccounts,
+    });
+    const channels = {};
+    const email = await resolveSenderProfile(tenantAccounts, ctx, 'email', fallback);
+    if (email.ok) {
+        channels.email = createEmailChannel({
+            account: email.profile.account,
+            // Resolvedor preso à conta: nenhuma outra referência de credencial passa
+            // por aqui, nem por engano de código.
+            resolveCredential: credentialResolverFor(email.profile.account, options.resolveCredential),
+        });
+    }
+    // Telefone NUNCA tem fallback de plataforma — o motor recusa por construção,
+    // e aqui nem se oferece a opção. Sem conta própria do tenant, o canal
+    // simplesmente não existe, e o motor devolve `no_identity`, que é a verdade.
+    // Telefone consulta o store do TENANT, sem decoração: o fallback de plataforma
+    // é proibido nesses canais, e passar pelo decorado só faria o motor recusar
+    // duas vezes.
+    const whatsapp = await bindingAccounts.find(ctx, 'whatsapp');
+    if (whatsapp) {
+        channels.whatsapp = createWhatsAppChannel({
+            account: whatsapp,
+            resolveCredential: credentialResolverFor(whatsapp, options.resolveCredential),
+            liveSend: options.whatsappLiveSend === true,
+        });
+    }
+    const sms = await bindingAccounts.find(ctx, 'sms');
+    if (sms && options.smsTransport) {
+        // O SMS resolve a própria credencial DENTRO do transporte, e por isso o
+        // adapter não a recebe: o contrato de transporte é provider-agnostic e
+        // nenhum provider está contratado. Quando houver, a trava de credencial por
+        // conta entra na construção do transporte, não aqui.
+        channels.sms = createSmsChannel({ account: sms, transport: options.smsTransport });
+    }
+    // Sem transporte contratado, o canal fica FORA do registry. O motor devolve
+    // `channel_not_registered`, que diz a verdade — registrar um adapter sem
+    // transporte trocaria esse motivo por uma falha de entrega inexplicável.
+    return {
+        tenantId,
+        brand,
+        channels,
+        accounts,
+        templates: createCollectionTemplateStore(tx),
+        consent: createConsentStore(tx),
+        // Fail-safe em todo canal de telefone: sem permissão registrada, não sai.
+        // O e-mail transacional de cobrança se apoia na relação contratual, e por
+        // isso é o único cujo indefinido é tratado como permitido.
+        consentPolicy: { onUnknown: { email: 'allow', whatsapp: 'fail_safe', sms: 'fail_safe' } },
+        claims: createPostgresDispatchClaimStore(db, tenantId),
+        audit: createPostgresAuditSink(tx, tenantId),
+        emailSenderOrigin: email.ok ? email.profile.origin : null,
+        dryRun: options.dryRun,
+    };
+}
+/**
+ * Referência lógica → segredo, a partir do ambiente do processo.
+ *
+ * O que o tenant configura é o NOME (`RESEND_API_KEY`, `vault://.../whatsapp`);
+ * o valor vem daqui e não atravessa o domínio. A allowlist por FORMA do nome
+ * (maiúsculas, dígitos e `_`) impede que um `credentialRef` colado no jsonb de
+ * configuração de tenant leia qualquer coisa do ambiente do processo — o jsonb é
+ * editável por quem administra o escritório, e `PATH` ou `DATABASE_URL` também
+ * são variáveis de ambiente.
+ */
+export function environmentCredentialResolver() {
+    // `WHATSAPP_ACCESS_TOKEN` e `SMS_API_KEY` SAÍRAM desta lista na Fase L.
+    //
+    // Nenhum tenant os usava — não há canal de telefone configurado em lugar
+    // nenhum do ecossistema —, então a remoção não interrompe nada. O que ela
+    // impede é o desfecho que a lista tornava inevitável no dia em que o SEGUNDO
+    // tenant ligasse WhatsApp: ou os dois apontam para o mesmo nome e compartilham
+    // o token, ou apontam para nomes distintos e nenhum resolve. Num canal em que
+    // o bloqueio se propaga de uma marca para as outras, a primeira opção é a pior
+    // das duas — e era a que "funcionava".
+    //
+    // `RESEND_API_KEY` fica porque a SC entrega e-mail em produção por ela hoje.
+    const ALLOWED = new Set(['RESEND_API_KEY']);
+    return async (ref) => {
+        const name = ref.split('/').pop() ?? '';
+        // Allowlist de NOMES, não de forma. Filtrar por padrão deixaria `DATABASE_URL`
+        // passar inteiro — o defeito que a política de segredos deste repositório
+        // descreve explicitamente.
+        return ALLOWED.has(name) ? process.env[name] : undefined;
+    };
+}
+/** Canais que este produto sabe operar. Consultado por tela e por teste. */
+export const SC_SUPPORTED_CHANNELS = ['email', 'whatsapp', 'sms'];
+export { SC_PRODUCT };
+//# sourceMappingURL=communication-runtime.js.map

package/dist/collection/communication-runtime.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"communication-runtime.js","sourceRoot":"","sources":["../../src/collection/communication-runtime.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AAGH,OAAO,EACL,kBAAkB,EAClB,uBAAuB,EACvB,iCAAiC,EACjC,gCAAgC,EAChC,gBAAgB,EAChB,qBAAqB,EACrB,qBAAqB,EACrB,oBAAoB,EACpB,sBAAsB,EACtB,kBAAkB,GAInB,MAAM,2BAA2B,CAAC;AAEnC,OAAO,EAAE,wBAAwB,EAAE,+BAA+B,EAAE,MAAM,uBAAuB,CAAC;AAClG,OAAO,EAAE,iBAAiB,EAAE,UAAU,EAAE,MAAM,2BAA2B,CAAC;AAC1E,OAAO,EAAE,kBAAkB,EAAE,MAAM,yBAAyB,CAAC;AAC7D,OAAO,EAAE,6BAA6B,EAAE,MAAM,uBAAuB,CAAC;AAGtE;;;;;;;GAOG;AACH,MAAM,UAAU,WAAW,CAAC,QAAwB;IAClD,MAAM,IAAI,GAAG,QAAQ,CAAC,UAAU;SAC7B,WAAW,EAAE;SACb,SAAS,CAAC,KAAK,CAAC;SAChB,OAAO,CAAC,kBAAkB,EAAE,EAAE,CAAC;SAC/B,OAAO,CAAC,aAAa,EAAE,GAAG,CAAC;SAC3B,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC;SACvB,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IAChB,2EAA2E;IAC3E,2EAA2E;IAC3E,8CAA8C;IAC9C,OAAO,2BAA2B,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,cAAc,CAAC;AACxE,CAAC;AAmCD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,4BAA4B,CAChD,OAAuC;IAEvC,MAAM,EAAE,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC;IAC/C,MAAM,KAAK,GAAG,WAAW,CAAC,QAAQ,CAAC,CAAC;IACpC,MAAM,GAAG,GAAG,iBAAiB,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC;IAC/C,MAAM,cAAc,GAAG,+BAA+B,CAAC,EAAE,CAAC,CAAC;IAC3D;;;;;;;;;;;;;OAaG;IACH,MAAM,eAAe,GAAG,iCAAiC,CAAC,EAAE,CAAC,CAAC;IAC9D,MAAM,QAAQ,GAAG,wBAAwB,CAAC,QAAQ,EAAE,OAAO,CAAC,aAAa,CAAC,CAAC;IAC3E;;;;;;;;;;;;;;;;;OAiBG;IACH,MAAM,QAAQ,GAAG,sBAAsB,CAAC;QACtC,KAAK,EAAE,kBAAkB,CAAC,cAAc,EAAE,QAAQ,CAAC;QACnD,QAAQ,EAAE,eAAe;QACzB,GAAG,EAAE,eAAe;KACrB,CAAC,CAAC;IAEH,MAAM,QAAQ,GAAwB,EAAE,CAAC;IAEzC,MAAM,KAAK,GAAG,MAAM,oBAAoB,CAAC,cAAc,EAAE,GAAG,EAAE,OAAO,EAAE,QAAQ,CAAC,CAAC;IACjF,IAAI,KAAK,CAAC,EAAE,EAAE,CAAC;QACb,QAAQ,CAAC,KAAK,GAAG,kBAAkB,CAAC;YAClC,OAAO,EAAE,KAAK,CAAC,OAAO,CAAC,OAAO;YAC9B,yEAAyE;YACzE,sCAAsC;YACtC,iBAAiB,EAAE,qBAAqB,CAAC,KAAK,CAAC,OAAO,CAAC,OAAO,EAAE,OAAO,CAAC,iBAAiB,CAAC;SAC3F,CAAC,CAAC;IACL,CAAC;IAED,6EAA6E;IAC7E,sEAAsE;IACtE,6EAA6E;IAC7E,+EAA+E;IAC/E,4EAA4E;IAC5E,cAAc;IACd,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,IAAI,CAAC,GAAG,EAAE,UAAU,CAAC,CAAC;IAC7D,IAAI,QAAQ,EAAE,CAAC;QACb,QAAQ,CAAC,QAAQ,GAAG,qBAAqB,CAAC;YACxC,OAAO,EAAE,QAAQ;YACjB,iBAAiB,EAAE,qBAAqB,CAAC,QAAQ,EAAE,OAAO,CAAC,iBAAiB,CAAC;YAC7E,QAAQ,EAAE,OAAO,CAAC,gBAAgB,KAAK,IAAI;SAC5C,CAAC,CAAC;IACL,CAAC;IAED,MAAM,GAAG,GAAG,MAAM,eAAe,CAAC,IAAI,CAAC,GAAG,EAAE,KAAK,CAAC,CAAC;IACnD,IAAI,GAAG,IAAI,OAAO,CAAC,YAAY,EAAE,CAAC;QAChC,wEAAwE;QACxE,uEAAuE;QACvE,4EAA4E;QAC5E,qDAAqD;QACrD,QAAQ,CAAC,GAAG,GAAG,gBAAgB,CAAC,EAAE,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,OAAO,CAAC,YAAY,EAAE,CAAC,CAAC;IACrF,CAAC;IACD,4EAA4E;IAC5E,yEAAyE;IACzE,yEAAyE;IAEzE,OAAO;QACL,QAAQ;QACR,KAAK;QACL,QAAQ;QACR,QAAQ;QACR,SAAS,EAAE,6BAA6B,CAAC,EAAE,CAAC;QAC5C,OAAO,EAAE,kBAAkB,CAAC,EAAE,CAAC;QAC/B,0EAA0E;QAC1E,0EAA0E;QAC1E,2DAA2D;QAC3D,aAAa,EAAE,EAAE,SAAS,EAAE,EAAE,KAAK,EAAE,OAAO,EAAE,QAAQ,EAAE,WAAW,EAAE,GAAG,EAAE,WAAW,EAAE,EAAE;QACzF,MAAM,EAAE,gCAAgC,CAAC,EAAE,EAAE,QAAQ,CAAC;QACtD,KAAK,EAAE,uBAAuB,CAAC,EAAE,EAAE,QAAQ,CAAC;QAC5C,iBAAiB,EAAE,KAAK,CAAC,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI;QACzD,MAAM,EAAE,OAAO,CAAC,MAAM;KACvB,CAAC;AACJ,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,UAAU,6BAA6B;IAC3C,wEAAwE;IACxE,EAAE;IACF,yEAAyE;IACzE,0EAA0E;IAC1E,6EAA6E;IAC7E,+EAA+E;IAC/E,8EAA8E;IAC9E,+EAA+E;IAC/E,uCAAuC;IACvC,EAAE;IACF,6EAA6E;IAC7E,MAAM,OAAO,GAAG,IAAI,GAAG,CAAC,CAAC,gBAAgB,CAAC,CAAC,CAAC;IAC5C,OAAO,KAAK,EAAE,GAAW,EAAE,EAAE;QAC3B,MAAM,IAAI,GAAG,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,GAAG,EAAE,IAAI,EAAE,CAAC;QACxC,+EAA+E;QAC/E,0EAA0E;QAC1E,2BAA2B;QAC3B,OAAO,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;IAC3D,CAAC,CAAC;AACJ,CAAC;AAED,4EAA4E;AAC5E,MAAM,CAAC,MAAM,qBAAqB,GAA0B,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,CAAC,CAAC;AAEzF,OAAO,EAAE,UAAU,EAAE,CAAC"}

package/dist/collection/consent-repository.d.ts

@@ -0,0 +1,32 @@
+/**
+ * Permissão de contato do cliente — leitura e escrita.
+ *
+ * Sobre `client_channel_consent` (migration 0038). A ausência de linha NÃO é
+ * permissão: é ausência de decisão, e quem decide o que fazer com ela é a
+ * política do tenant, não esta camada.
+ */
+import type { Tx } from '../db/client.js';
+import type { ChannelKey, ConsentRecord, ConsentSource, ConsentState, ConsentStore } from '../communication/index.js';
+export declare function createConsentStore(tx: Tx): ConsentStore;
+/** Todas as decisões de um cliente — para a ficha dele na tela. */
+export declare function listClientConsent(tx: Tx, clientId: string): Promise<ConsentRecord[]>;
+export interface RecordConsentInput {
+    tenantId: string;
+    clientId: string;
+    channel: ChannelKey;
+    state: ConsentState;
+    source: ConsentSource;
+    note?: string;
+    decidedBy?: string | null;
+}
+/**
+ * Registra a decisão. Uma linha viva por (cliente, canal).
+ *
+ * **Um opt-out do próprio cliente não é revertido por operador.** Quando a linha
+ * existente veio de `customer_reply` com `denied`, só outra manifestação do
+ * cliente a muda: alguém no escritório desmarcando isso na tela — por engano, ou
+ * porque "o cliente disse que pode" — é exatamente o caminho pelo qual uma
+ * régua automática passa por cima de um pedido de silêncio.
+ */
+export declare function recordConsent(tx: Tx, input: RecordConsentInput): Promise<ConsentRecord>;
+//# sourceMappingURL=consent-repository.d.ts.map

package/dist/collection/consent-repository.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"consent-repository.d.ts","sourceRoot":"","sources":["../../src/collection/consent-repository.ts"],"names":[],"mappings":"AAAA;;;;;;GAMG;AAEH,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC1C,OAAO,KAAK,EACV,UAAU,EACV,aAAa,EACb,aAAa,EACb,YAAY,EACZ,YAAY,EACb,MAAM,2BAA2B,CAAC;AAoBnC,wBAAgB,kBAAkB,CAAC,EAAE,EAAE,EAAE,GAAG,YAAY,CAavD;AAED,mEAAmE;AACnE,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,aAAa,EAAE,CAAC,CAQ1F;AAED,MAAM,WAAW,kBAAkB;IACjC,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,UAAU,CAAC;IACpB,KAAK,EAAE,YAAY,CAAC;IACpB,MAAM,EAAE,aAAa,CAAC;IACtB,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CAC3B;AAED;;;;;;;;GAQG;AACH,wBAAsB,aAAa,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,kBAAkB,GAAG,OAAO,CAAC,aAAa,CAAC,CAgC7F"}

package/dist/collection/consent-repository.js

@@ -0,0 +1,79 @@
+/**
+ * Permissão de contato do cliente — leitura e escrita.
+ *
+ * Sobre `client_channel_consent` (migration 0038). A ausência de linha NÃO é
+ * permissão: é ausência de decisão, e quem decide o que fazer com ela é a
+ * política do tenant, não esta camada.
+ */
+import { uuidv7 } from '@baruk/shared';
+function toRecord(row) {
+    return {
+        channel: row.channel,
+        state: row.state,
+        source: row.source,
+        decidedAt: row.decided_at instanceof Date ? row.decided_at.toISOString() : String(row.decided_at),
+    };
+}
+export function createConsentStore(tx) {
+    return {
+        async find(recipientRef, channel) {
+            const rows = await tx `
+        SELECT channel, state, source, decided_at
+          FROM client_channel_consent
+         WHERE client_id = ${recipientRef} AND channel = ${channel}
+         LIMIT 1
+      `;
+            const row = rows[0];
+            return row ? toRecord(row) : null;
+        },
+    };
+}
+/** Todas as decisões de um cliente — para a ficha dele na tela. */
+export async function listClientConsent(tx, clientId) {
+    const rows = await tx `
+    SELECT channel, state, source, decided_at
+      FROM client_channel_consent
+     WHERE client_id = ${clientId}
+     ORDER BY channel
+  `;
+    return rows.map(toRecord);
+}
+/**
+ * Registra a decisão. Uma linha viva por (cliente, canal).
+ *
+ * **Um opt-out do próprio cliente não é revertido por operador.** Quando a linha
+ * existente veio de `customer_reply` com `denied`, só outra manifestação do
+ * cliente a muda: alguém no escritório desmarcando isso na tela — por engano, ou
+ * porque "o cliente disse que pode" — é exatamente o caminho pelo qual uma
+ * régua automática passa por cima de um pedido de silêncio.
+ */
+export async function recordConsent(tx, input) {
+    const existing = await tx `
+    SELECT channel, state, source, decided_at
+      FROM client_channel_consent
+     WHERE client_id = ${input.clientId} AND channel = ${input.channel}
+     LIMIT 1
+  `;
+    const current = existing[0];
+    const lockedByCustomer = current?.state === 'denied' && current.source === 'customer_reply';
+    if (lockedByCustomer && input.source !== 'customer_reply') {
+        return toRecord(current);
+    }
+    const rows = await tx `
+    INSERT INTO client_channel_consent
+      (id, tenant_id, client_id, channel, state, source, note, decided_at, decided_by)
+    VALUES
+      (${uuidv7()}, ${input.tenantId}, ${input.clientId}, ${input.channel},
+       ${input.state}, ${input.source}, ${input.note ?? null}, now(), ${input.decidedBy ?? null})
+    ON CONFLICT (tenant_id, client_id, channel) DO UPDATE
+       SET state = EXCLUDED.state,
+           source = EXCLUDED.source,
+           note = EXCLUDED.note,
+           decided_at = now(),
+           decided_by = EXCLUDED.decided_by,
+           updated_at = now()
+    RETURNING channel, state, source, decided_at
+  `;
+    return toRecord(rows[0]);
+}
+//# sourceMappingURL=consent-repository.js.map

package/dist/collection/consent-repository.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"consent-repository.js","sourceRoot":"","sources":["../../src/collection/consent-repository.ts"],"names":[],"mappings":"AAAA;;;;;;GAMG;AAUH,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AASvC,SAAS,QAAQ,CAAC,GAAQ;IACxB,OAAO;QACL,OAAO,EAAE,GAAG,CAAC,OAAqB;QAClC,KAAK,EAAE,GAAG,CAAC,KAAqB;QAChC,MAAM,EAAE,GAAG,CAAC,MAAuB;QACnC,SAAS,EACP,GAAG,CAAC,UAAU,YAAY,IAAI,CAAC,CAAC,CAAC,GAAG,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,UAAU,CAAC;KACzF,CAAC;AACJ,CAAC;AAED,MAAM,UAAU,kBAAkB,CAAC,EAAM;IACvC,OAAO;QACL,KAAK,CAAC,IAAI,CAAC,YAAoB,EAAE,OAAmB;YAClD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAO;;;6BAGL,YAAY,kBAAkB,OAAO;;OAE3D,CAAC;YACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,OAAO,GAAG,CAAC,CAAC,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;QACpC,CAAC;KACF,CAAC;AACJ,CAAC;AAED,mEAAmE;AACnE,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,QAAgB;IAC9D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAO;;;yBAGL,QAAQ;;GAE9B,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;AAC5B,CAAC;AAYD;;;;;;;;GAQG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,EAAM,EAAE,KAAyB;IACnE,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAO;;;yBAGT,KAAK,CAAC,QAAQ,kBAAkB,KAAK,CAAC,OAAO;;GAEnE,CAAC;IAEF,MAAM,OAAO,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC;IAC5B,MAAM,gBAAgB,GAAG,OAAO,EAAE,KAAK,KAAK,QAAQ,IAAI,OAAO,CAAC,MAAM,KAAK,gBAAgB,CAAC;IAE5F,IAAI,gBAAgB,IAAI,KAAK,CAAC,MAAM,KAAK,gBAAgB,EAAE,CAAC;QAC1D,OAAO,QAAQ,CAAC,OAAO,CAAC,CAAC;IAC3B,CAAC;IAED,MAAM,IAAI,GAAG,MAAM,EAAE,CAAO;;;;SAIrB,MAAM,EAAE,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,OAAO;SAChE,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,MAAM,KAAK,KAAK,CAAC,IAAI,IAAI,IAAI,YAAY,KAAK,CAAC,SAAS,IAAI,IAAI;;;;;;;;;GAS5F,CAAC;IAEF,OAAO,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC5B,CAAC"}