@baruk/core 0.3.1 → 0.5.0

package/dist/cjs/subscription-billing/service.js

@@ -2,6 +2,7 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.ensureSaasPlanCatalog = exports.getPlan = exports.listPublicPlans = void 0;
 exports.seedSaasPlans = seedSaasPlans;
+exports.provisionAccountingOffice = provisionAccountingOffice;
 exports.signupSelfService = signupSelfService;
 exports.standingFor = standingFor;
 exports.entitlementsForPlan = entitlementsForPlan;
@@ -21,17 +22,19 @@ const shared_1 = require("@baruk/shared");
 const context_js_1 = require("../db/context.js");
 const audit_js_1 = require("../audit/audit.js");
 const password_js_1 = require("../auth/password.js");
+const repository_js_1 = require("../users/repository.js");
 const provisioning_js_1 = require("../tenancy/provisioning.js");
-const repository_js_1 = require("../products/repository.js");
+const repository_js_2 = require("../products/repository.js");
 const derive_js_1 = require("../entitlements/derive.js");
-const resend_js_1 = require("../mail/resend.js");
+const transactional_outbound_js_1 = require("../mail/transactional-outbound.js");
 const reconcile_js_1 = require("./reconcile.js");
 const dunning_js_1 = require("./dunning.js");
+const live_guard_js_1 = require("../billing/live-guard.js");
 const registry_js_1 = require("./provider/registry.js");
-const repository_js_2 = require("./repository.js");
-Object.defineProperty(exports, "ensureSaasPlanCatalog", { enumerable: true, get: function () { return repository_js_2.ensureSaasPlanCatalog; } });
-Object.defineProperty(exports, "getPlan", { enumerable: true, get: function () { return repository_js_2.getPlan; } });
-Object.defineProperty(exports, "listPublicPlans", { enumerable: true, get: function () { return repository_js_2.listPublicPlans; } });
+const repository_js_3 = require("./repository.js");
+Object.defineProperty(exports, "ensureSaasPlanCatalog", { enumerable: true, get: function () { return repository_js_3.ensureSaasPlanCatalog; } });
+Object.defineProperty(exports, "getPlan", { enumerable: true, get: function () { return repository_js_3.getPlan; } });
+Object.defineProperty(exports, "listPublicPlans", { enumerable: true, get: function () { return repository_js_3.listPublicPlans; } });
 const plans_js_1 = require("./plans.js");
 const product_config_js_1 = require("./product-config.js");
 function asRegistry(source) {
@@ -86,8 +89,70 @@ async function syncTenantStatus(tx, tenantId, status) {
 }
 /** Seed do catálogo padrão (chamado pelo seed do core). */
 async function seedSaasPlans(db) {
-    await (0, repository_js_1.ensureProductCatalog)(db);
-    await (0, repository_js_2.ensureSaasPlanCatalog)(db, plans_js_1.SAAS_PLANS);
+    await (0, repository_js_2.ensureProductCatalog)(db);
+    await (0, repository_js_3.ensureSaasPlanCatalog)(db, plans_js_1.SAAS_PLANS);
+}
+async function provisionAccountingOffice(db, input, nowIso) {
+    const email = input.ownerEmail.trim().toLowerCase();
+    if (!/^[^@\s]+@[^@\s]+\.[^@\s]+$/.test(email))
+        throw new shared_1.ValidationError('E-mail inválido');
+    if (!input.companyName.trim())
+        throw new shared_1.ValidationError('Nome do escritório é obrigatório');
+    if (!input.ownerFullName.trim())
+        throw new shared_1.ValidationError('Nome do responsável é obrigatório');
+    const planKey = input.planKey ?? plans_js_1.SAAS_PLANS.find((p) => p.isActive && p.isPublic)?.key;
+    if (!planKey)
+        throw new shared_1.ValidationError('Nenhum plano ativo disponível');
+    const plan = await (0, repository_js_3.getPlan)(db, planKey);
+    if (!plan || !plan.isActive)
+        throw new shared_1.ValidationError(`Plano indisponível: ${planKey}`);
+    const code = await uniqueTenantCode(db, input.companyName);
+    const tenantId = await (0, provisioning_js_1.ensureTenant)(db, {
+        code,
+        displayName: input.companyName.trim(),
+        status: 'trial',
+        primaryProduct: plans_js_1.DEFAULT_PRODUCT_KEY,
+    });
+    await (0, provisioning_js_1.ensureOrganization)(db, tenantId, input.companyName.trim());
+    await (0, repository_js_2.ensureProductCatalog)(db);
+    await (0, repository_js_2.ensureTenantProduct)(db, tenantId, plans_js_1.DEFAULT_PRODUCT_KEY);
+    const trialEndsAt = addDays(nowIso, plan.trialDays > 0 ? plan.trialDays : plans_js_1.DEFAULT_TRIAL_DAYS);
+    const { subscription, domainEvents } = (0, reconcile_js_1.startTrial)(tenantId, plan.key, trialEndsAt, nowIso);
+    /*
+     * Contexto do TENANT NOVO com o usuário da OPERADORA.
+     *
+     * O operador não é membro deste escritório e nunca será — ele abre o contexto
+     * para criar o convite e sai. O `invited_by` aponta para ele, que é a
+     * resposta honesta a "quem colocou esta pessoa aqui".
+     */
+    return (0, context_js_1.withContext)(db, { tenantId, userId: input.operatorUserId }, async (tx) => {
+        const invited = await (0, repository_js_1.inviteUser)(tx, {
+            email,
+            fullName: input.ownerFullName.trim(),
+            roleKey: 'owner',
+            invitedBy: input.operatorUserId,
+        });
+        const row = await (0, repository_js_3.upsertSubscription)(tx, { tenantId, planKey: plan.key, subscription });
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, audit_js_1.appendAudit)(tx, {
+            actorId: input.operatorUserId,
+            action: 'tenant.provisioned_by_operator',
+            resourceType: 'tenant',
+            resourceId: tenantId,
+            metadata: { planKey: plan.key, trialEndsAt, tenantCode: code, ownerEmail: email },
+            ip: input.ip ?? null,
+            userAgent: input.userAgent ?? null,
+        });
+        return {
+            tenantId,
+            tenantCode: code,
+            ownerUserId: invited.userId,
+            ownerEmail: invited.email,
+            planKey: plan.key,
+            trialEndsAt,
+            activationToken: invited.activationToken,
+        };
+    });
 }
 function slugify(name) {
     return name
@@ -98,6 +163,31 @@ function slugify(name) {
         .replace(/^-+|-+$/g, '')
         .slice(0, 40);
 }
+/**
+ * Código do escritório a partir do nome, único na base.
+ *
+ * Extraído do signup quando o provisionamento pela operadora passou a precisar
+ * do mesmo cálculo. Duas cópias da regra de colisão renderiam dois códigos
+ * diferentes para o mesmo nome dependendo de por qual porta o escritório
+ * entrou — e o código aparece em referência de cobrança já emitida.
+ */
+async function uniqueTenantCode(db, companyName) {
+    const base = slugify(companyName) || 'escritorio';
+    let code = base;
+    for (let i = 2;; i += 1) {
+        const clash = await db `
+      SELECT id FROM tenant WHERE lower(code) = lower(${code}) AND deleted_at IS NULL
+    `;
+        if (!clash[0])
+            break;
+        code = `${base}-${i}`;
+        if (i > 50) {
+            code = `${base}-${(0, shared_1.uuidv7)().slice(-6)}`;
+            break;
+        }
+    }
+    return code;
+}
 /**
  * Cadastro self-service (Fase 17): cria usuário + tenant em TRIAL + organização +
  * membership com papel `owner` + entitlement do produto + assinatura `trialing`.
@@ -111,7 +201,7 @@ async function signupSelfService(db, input, nowIso) {
         throw new shared_1.ValidationError('Senha deve ter ao menos 8 caracteres');
     if (!input.companyName.trim())
         throw new shared_1.ValidationError('Nome da empresa é obrigatório');
-    const plan = await (0, repository_js_2.getPlan)(db, input.planKey);
+    const plan = await (0, repository_js_3.getPlan)(db, input.planKey);
     if (!plan || !plan.isActive || !plan.isPublic) {
         throw new shared_1.ValidationError(`Plano indisponível: ${input.planKey}`);
     }
@@ -122,20 +212,7 @@ async function signupSelfService(db, input, nowIso) {
         throw new shared_1.ConflictError('Já existe uma conta com este e-mail. Faça login para continuar.');
     }
     // Código único do tenant a partir do nome (sufixo em caso de colisão).
-    const base = slugify(input.companyName) || 'escritorio';
-    let code = base;
-    for (let i = 2;; i += 1) {
-        const clash = await db `
-      SELECT id FROM tenant WHERE lower(code) = lower(${code}) AND deleted_at IS NULL
-    `;
-        if (!clash[0])
-            break;
-        code = `${base}-${i}`;
-        if (i > 50) {
-            code = `${base}-${(0, shared_1.uuidv7)().slice(-6)}`;
-            break;
-        }
-    }
+    const code = await uniqueTenantCode(db, input.companyName);
     // INSERT puro (não upsert): o papel de app pode CRIAR credencial, nunca
     // sobrescrever (REVOKE UPDATE em user_credential — anti account-takeover).
     // A checagem de e-mail acima já garante que o usuário é novo.
@@ -158,13 +235,13 @@ async function signupSelfService(db, input, nowIso) {
     await (0, provisioning_js_1.ensureOrganization)(db, tenantId, input.companyName.trim());
     await (0, provisioning_js_1.ensureMembership)(db, tenantId, user.id);
     await (0, provisioning_js_1.assignSystemRole)(db, tenantId, user.id, 'owner');
-    await (0, repository_js_1.ensureProductCatalog)(db);
-    await (0, repository_js_1.ensureTenantProduct)(db, tenantId, 'contabil');
+    await (0, repository_js_2.ensureProductCatalog)(db);
+    await (0, repository_js_2.ensureTenantProduct)(db, tenantId, 'contabil');
     const trialEndsAt = addDays(nowIso, plan.trialDays > 0 ? plan.trialDays : 14);
     const { subscription, domainEvents } = (0, reconcile_js_1.startTrial)(tenantId, plan.key, trialEndsAt, nowIso);
     await (0, context_js_1.withContext)(db, { tenantId, userId: user.id }, async (tx) => {
-        const row = await (0, repository_js_2.upsertSubscription)(tx, { tenantId, planKey: plan.key, subscription });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+        const row = await (0, repository_js_3.upsertSubscription)(tx, { tenantId, planKey: plan.key, subscription });
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: user.id,
             action: 'signup',
@@ -211,16 +288,16 @@ function entitlementsForPlan(sub, plan, nowIso) {
 }
 async function subscriptionOverview(db, ctx, nowIso) {
     const { sub, invoices, events } = await (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        const sub0 = await (0, repository_js_2.getSubscription)(tx);
+        const sub0 = await (0, repository_js_3.getSubscription)(tx);
         return {
             sub: sub0,
-            invoices: sub0 ? await (0, repository_js_2.listInvoices)(tx) : [],
-            events: sub0 ? await (0, repository_js_2.listBillingEvents)(tx, 20) : [],
+            invoices: sub0 ? await (0, repository_js_3.listInvoices)(tx) : [],
+            events: sub0 ? await (0, repository_js_3.listBillingEvents)(tx, 20) : [],
         };
     });
     // Fora da transação: getPlan usa outra conexão do pool — dentro dela seria
     // um segundo checkout de conexão com transação aberta (deadlock de pool).
-    const plan = sub ? await (0, repository_js_2.getPlan)(db, sub.planKey) : null;
+    const plan = sub ? await (0, repository_js_3.getPlan)(db, sub.planKey) : null;
     return {
         subscription: sub,
         plan,
@@ -237,7 +314,7 @@ async function subscriptionOverview(db, ctx, nowIso) {
  * manual (backoffice) — nunca cobra por falta de configuração.
  */
 async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
-    const plan = await (0, repository_js_2.getPlan)(db, planKey, productKey);
+    const plan = await (0, repository_js_3.getPlan)(db, planKey, productKey);
     if (!plan || !plan.isActive || !plan.isPublic) {
         throw new shared_1.ValidationError(`Plano indisponível: ${planKey}`);
     }
@@ -254,6 +331,13 @@ async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = pla
     if (provider.mode === 'disabled') {
         return { mode: 'disabled', provider: provider.name, url: null };
     }
+    // Chave geral, no ponto em que dívida real nasce — e ANTES de qualquer
+    // chamada ao gateway. O modo lido é o EFETIVO (a fábrica rebaixa para
+    // `disabled` quem não tem credencial), então só um provedor genuinamente
+    // live é barrado aqui.
+    if (provider.mode === 'live') {
+        (0, live_guard_js_1.assertLiveProviderAllowed)('live', (0, live_guard_js_1.readLiveRuntime)(), 'charge');
+    }
     // 1) Leitura curta (transação própria) — nada de rede com transação aberta.
     const snapshot = await (0, context_js_1.withContext)(db, ctx, async (tx) => {
         const tenantRows = await tx `
@@ -262,7 +346,7 @@ async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = pla
         const userRows = await tx `
       SELECT email FROM "user" WHERE id = ${ctx.userId}
     `;
-        const sub = await (0, repository_js_2.getSubscription)(tx);
+        const sub = await (0, repository_js_3.getSubscription)(tx);
         return {
             tenantName: tenantRows[0]?.display_name ?? 'Tenant Baruk',
             email: userRows[0]?.email ?? null,
@@ -289,8 +373,8 @@ async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = pla
     // 3) Persistência curta: SOMENTE as referências de provider (nunca o estado
     // da assinatura — um webhook pode tê-la mudado durante a chamada de rede).
     await (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, ctx.tenantId);
-        await (0, repository_js_2.setSubscriptionProviderRefs)(tx, ctx.tenantId, provider.name, customer.externalId);
+        await (0, repository_js_3.lockTenantBilling)(tx, ctx.tenantId);
+        await (0, repository_js_3.setSubscriptionProviderRefs)(tx, ctx.tenantId, provider.name, customer.externalId);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: ctx.userId,
             action: 'checkout_started',
@@ -347,7 +431,7 @@ async function processWebhook(db, source, headers, rawBody, payload, nowIso, pro
     const event = provider.parseWebhookEvent(payload);
     if (!event)
         return { outcome: 'ignored' };
-    const webhookId = await (0, repository_js_2.insertWebhookEvent)(db, {
+    const webhookId = await (0, repository_js_3.insertWebhookEvent)(db, {
         provider: provider.name,
         externalEventId: event.externalEventId,
         eventType: event.eventType,
@@ -364,7 +448,7 @@ async function processWebhook(db, source, headers, rawBody, payload, nowIso, pro
 async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIso, expectedProductKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
     const attribution = parseAttribution(event);
     if (!attribution) {
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'ignored', null, 'externalReference ausente/inválida');
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'ignored', null, 'externalReference ausente/inválida');
         return { outcome: 'ignored' };
     }
     // ISOLAMENTO FINANCEIRO: a conta que assinou o webhook é a conta de UM
@@ -372,15 +456,15 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
     // errada no gateway — ou é tentativa de mover dinheiro entre produtos.
     // Recusar é obrigatório: reconciliar aqui escreveria na assinatura errada.
     if (attribution.productKey !== expectedProductKey) {
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'ignored', null, `produto divergente: evento=${attribution.productKey} conta=${expectedProductKey}`);
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'ignored', null, `produto divergente: evento=${attribution.productKey} conta=${expectedProductKey}`);
         return { outcome: 'ignored' };
     }
     try {
-        const plan = await (0, repository_js_2.getPlan)(db, attribution.planKey, attribution.productKey);
+        const plan = await (0, repository_js_3.getPlan)(db, attribution.planKey, attribution.productKey);
         const { tenantId } = attribution;
         const applied = await (0, context_js_1.withContext)(db, { tenantId }, async (tx) => {
-            await (0, repository_js_2.lockTenantBilling)(tx, tenantId);
-            const current = await (0, repository_js_2.getSubscription)(tx);
+            await (0, repository_js_3.lockTenantBilling)(tx, tenantId);
+            const current = await (0, repository_js_3.getSubscription)(tx);
             // Guarda de ordenação (webhook atrasado): um OVERDUE que chega DEPOIS do
             // pagamento do mesmo ciclo (período corrente ainda vigente) é obsoleto —
             // aplicá-lo marcaria past_due uma assinatura em dia. Política de
@@ -440,7 +524,7 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
                     currentPeriodEnd: addMonths(nowIso, plan.periodicity === 'yearly' ? 12 : 3),
                 };
             }
-            const row = await (0, repository_js_2.upsertSubscription)(tx, {
+            const row = await (0, repository_js_3.upsertSubscription)(tx, {
                 tenantId,
                 planKey: effectivePlanKey ?? current?.planKey ?? next.items[0]?.planKey ?? 'starter',
                 subscription: next,
@@ -448,9 +532,9 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
                 providerCustomerId: event.externalCustomerId ?? null,
                 providerSubscriptionId: event.subscription?.externalId ?? null,
             });
-            await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+            await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
             if (event.invoice) {
-                await (0, repository_js_2.upsertInvoice)(tx, {
+                await (0, repository_js_3.upsertInvoice)(tx, {
                     tenantId,
                     subscriptionRowId: row.rowId,
                     provider: provider.name,
@@ -478,25 +562,25 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
             return null;
         });
         if (applied !== null) {
-            await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'ignored', attribution.tenantId, applied);
+            await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'ignored', attribution.tenantId, applied);
             return { outcome: 'ignored', tenantId: attribution.tenantId };
         }
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'processed', attribution.tenantId);
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'processed', attribution.tenantId);
         return { outcome: 'processed', tenantId: attribution.tenantId };
     }
     catch (err) {
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'failed', attribution.tenantId, err instanceof Error ? err.message : String(err));
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'failed', attribution.tenantId, err instanceof Error ? err.message : String(err));
         return { outcome: 'failed', tenantId: attribution.tenantId };
     }
 }
 // ── Gestão da assinatura (tenant) ────────────────────────────────────────────
 async function changePlanForTenant(db, ctx, newPlanKey, nowIso) {
-    const plan = await (0, repository_js_2.getPlan)(db, newPlanKey);
+    const plan = await (0, repository_js_3.getPlan)(db, newPlanKey);
     if (!plan || !plan.isActive)
         throw new shared_1.ValidationError(`Plano desconhecido: ${newPlanKey}`);
     return (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, ctx.tenantId);
-        const current = await (0, repository_js_2.getSubscription)(tx);
+        await (0, repository_js_3.lockTenantBilling)(tx, ctx.tenantId);
+        const current = await (0, repository_js_3.getSubscription)(tx);
         if (!current)
             throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
         if (current.status === 'canceled') {
@@ -505,12 +589,12 @@ async function changePlanForTenant(db, ctx, newPlanKey, nowIso) {
         if (current.planKey === plan.key)
             return current;
         const { subscription, domainEvents } = (0, reconcile_js_1.changePlan)(current, plan.key, nowIso);
-        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+        const row = await (0, repository_js_3.upsertSubscription)(tx, {
             tenantId: ctx.tenantId,
             planKey: plan.key,
             subscription,
         });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: ctx.userId,
             action: 'plan_changed',
@@ -521,27 +605,64 @@ async function changePlanForTenant(db, ctx, newPlanKey, nowIso) {
         return row;
     });
 }
-async function cancelForTenant(db, ctx, nowIso) {
+/**
+ * Cancelamento — GATEWAY-FIRST.
+ *
+ * A recorrência é cancelada no provider ANTES de o estado local virar
+ * `canceled`. A ordem inversa produzia o pior resultado possível: a aplicação
+ * dizia "cancelado", o acesso era suspenso, e o ASAAS seguia emitindo cobrança
+ * mensal — cliente pagando por serviço que já não usa.
+ *
+ * Se o gateway falhar, o erro sobe e o estado local NÃO é consolidado: melhor o
+ * usuário ver a falha e tentar de novo do que acreditar num cancelamento que não
+ * aconteceu. A operação é segura para retry porque `cancelSubscription` do
+ * provider é idempotente — cancelar o que já está cancelado devolve sucesso.
+ *
+ * Assinatura sem `providerSubscriptionId` (trial que nunca chegou ao checkout)
+ * não tem o que cancelar no gateway: segue direto para o estado local.
+ */
+async function cancelForTenant(db, ctx, source, nowIso, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
+    // Fora da transação: chamada de rede não pode segurar o lock do tenant.
+    const existing = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_3.getSubscription)(tx, productKey));
+    if (!existing)
+        throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
+    let providerOutcome = 'skipped_no_provider_id';
+    if (existing.status !== 'canceled' && existing.providerSubscriptionId) {
+        // Mesma resolução por produto usada no checkout: a conta de gateway sai do
+        // PRODUTO, nunca de configuração global. Cancelar na conta errada seria tão
+        // grave quanto cobrar na conta errada.
+        const cfg = asRegistry(source).resolve({ productKey, tenantId: ctx.tenantId });
+        const provider = providerFor(cfg);
+        if (provider.cancelSubscription) {
+            const res = await provider.cancelSubscription(existing.providerSubscriptionId);
+            providerOutcome = res.alreadyCanceled ? 'already_canceled' : 'canceled';
+        }
+    }
     return (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, ctx.tenantId);
-        const current = await (0, repository_js_2.getSubscription)(tx);
+        await (0, repository_js_3.lockTenantBilling)(tx, ctx.tenantId);
+        const current = await (0, repository_js_3.getSubscription)(tx, productKey);
         if (!current)
             throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
+        // Idempotência: cancelar o que já está cancelado devolve o estado, sem erro
+        // e sem novo evento — inclusive quando dois pedidos correm em paralelo.
         if (current.status === 'canceled')
             return current;
         const { subscription, domainEvents } = (0, reconcile_js_1.cancelSubscription)(current, nowIso);
-        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+        const row = await (0, repository_js_3.upsertSubscription)(tx, {
             tenantId: ctx.tenantId,
             planKey: current.planKey,
             subscription,
         });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
         await syncTenantStatus(tx, ctx.tenantId, subscription.status);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: ctx.userId,
             action: 'subscription_canceled',
             resourceType: 'saas_subscription',
             resourceId: row.rowId,
+            // Registra o que aconteceu no gateway: auditoria de cancelamento sem isso
+            // não distingue "cancelei a recorrência" de "não havia recorrência".
+            diff: { providerOutcome, productKey },
         });
         return row;
     });
@@ -552,7 +673,7 @@ async function cancelForTenant(db, ctx, nowIso) {
  * devolve o checkout; em modo 'disabled' a reativação é manual (backoffice).
  */
 async function reactivateForTenant(db, ctx, source, nowIso, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
-    const sub = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_2.getSubscription)(tx, productKey));
+    const sub = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_3.getSubscription)(tx, productKey));
     if (!sub)
         throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
     if (sub.status === 'active' || sub.status === 'trialing') {
@@ -562,10 +683,10 @@ async function reactivateForTenant(db, ctx, source, nowIso, productKey = plans_j
 }
 // ── Backoffice (operadora) ───────────────────────────────────────────────────
 async function backofficeListSubscriptions(db, filter = {}) {
-    return (0, repository_js_2.withOperatorContext)(db, (tx) => (0, repository_js_2.listAllSubscriptions)(tx, filter));
+    return (0, repository_js_3.withOperatorContext)(db, (tx) => (0, repository_js_3.listAllSubscriptions)(tx, filter));
 }
 async function backofficeOverview(db) {
-    return (0, repository_js_2.withOperatorContext)(db, (tx) => (0, repository_js_2.backofficeSummary)(tx));
+    return (0, repository_js_3.withOperatorContext)(db, (tx) => (0, repository_js_3.backofficeSummary)(tx));
 }
 async function backofficeListWebhookEvents(db, limit = 100) {
     const rows = await db `
@@ -590,12 +711,12 @@ async function backofficeListWebhookEvents(db, limit = 100) {
  * nenhuma transição de estado fora do domínio puro.
  */
 async function backofficeActivateSubscription(db, operatorEmail, tenantId, planKey, nowIso) {
-    const plan = await (0, repository_js_2.getPlan)(db, planKey);
+    const plan = await (0, repository_js_3.getPlan)(db, planKey);
     if (!plan)
         throw new shared_1.ValidationError(`Plano desconhecido: ${planKey}`);
     return (0, context_js_1.withContext)(db, { tenantId }, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, tenantId);
-        const current = await (0, repository_js_2.getSubscription)(tx);
+        await (0, repository_js_3.lockTenantBilling)(tx, tenantId);
+        const current = await (0, repository_js_3.getSubscription)(tx);
         const manualEvent = {
             externalEventId: `manual_${(0, shared_1.uuidv7)()}`,
             eventType: 'manual.activation',
@@ -616,14 +737,14 @@ async function backofficeActivateSubscription(db, operatorEmail, tenantId, planK
             event: manualEvent,
             now: nowIso,
         });
-        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+        const row = await (0, repository_js_3.upsertSubscription)(tx, {
             tenantId,
             planKey: plan.key,
             subscription,
             provider: 'manual',
         });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
-        await (0, repository_js_2.upsertInvoice)(tx, {
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, repository_js_3.upsertInvoice)(tx, {
             tenantId,
             subscriptionRowId: row.rowId,
             provider: 'manual',
@@ -652,14 +773,14 @@ async function backofficeActivateSubscription(db, operatorEmail, tenantId, planK
 async function retryFailedWebhookEvents(db, source, nowIso, limit = 25, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
     const cfg = asRegistry(source).resolve({ productKey });
     const provider = providerFor(cfg);
-    const failed = await (0, repository_js_2.listFailedWebhookEvents)(db, limit);
+    const failed = await (0, repository_js_3.listFailedWebhookEvents)(db, limit);
     let recovered = 0;
     for (const row of failed) {
         if (row.provider !== provider.name)
             continue;
         const event = provider.parseWebhookEvent(row.payload);
         if (!event) {
-            await (0, repository_js_2.markWebhookEvent)(db, row.id, 'ignored', null, 'payload não parseável no reprocessamento');
+            await (0, repository_js_3.markWebhookEvent)(db, row.id, 'ignored', null, 'payload não parseável no reprocessamento');
             continue;
         }
         const result = await reconcileStoredWebhookEvent(db, provider, event, row.id, nowIso, productKey);
@@ -703,7 +824,7 @@ async function runBillingCron(db, source, nowIso) {
         report.webhooksRetried += retry.retried;
         report.webhooksRecovered += retry.recovered;
     }
-    const subs = await (0, repository_js_2.withOperatorContext)(db, (tx) => (0, repository_js_2.listSubscriptionsForCron)(tx, today));
+    const subs = await (0, repository_js_3.withOperatorContext)(db, (tx) => (0, repository_js_3.listSubscriptionsForCron)(tx, today));
     report.examined = subs.length;
     for (const sub of subs) {
         // Isolamento de falha: um tenant quebrado não pode derrubar a régua dos demais.
@@ -713,8 +834,8 @@ async function runBillingCron(db, source, nowIso) {
             // assinatura — nunca de uma configuração global compartilhada.
             const cfg = registry.resolve({ productKey: sub.productKey, tenantId: sub.tenantId });
             await (0, context_js_1.withContext)(db, { tenantId: sub.tenantId }, async (tx) => {
-                await (0, repository_js_2.lockTenantBilling)(tx, sub.tenantId);
-                const loaded = await (0, repository_js_2.getSubscription)(tx, sub.productKey);
+                await (0, repository_js_3.lockTenantBilling)(tx, sub.tenantId);
+                const loaded = await (0, repository_js_3.getSubscription)(tx, sub.productKey);
                 if (!loaded)
                     return; // sumiu entre o scan e o lock (ex.: tenant removido)
                 let current = loaded;
@@ -756,30 +877,30 @@ async function runBillingCron(db, source, nowIso) {
                             ...subscription,
                             currentPeriodEnd: subscription.currentPeriodEnd ?? reference,
                         };
-                        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+                        const row = await (0, repository_js_3.upsertSubscription)(tx, {
                             tenantId: current.tenantId,
                             planKey: current.planKey,
                             subscription: next,
                         });
-                        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+                        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
                         await (0, audit_js_1.appendAudit)(tx, {
                             actorType: 'automation',
                             action: trialExpired ? 'trial_expired' : 'period_expired',
                             resourceType: 'saas_subscription',
                             resourceId: row.rowId,
                         });
-                        current = (await (0, repository_js_2.getSubscription)(tx));
+                        current = (await (0, repository_js_3.getSubscription)(tx));
                     }
                 }
                 // 2. Régua de inadimplência (idempotente por stepKey + reference_date).
                 if (current.status === 'past_due') {
                     const reference = current.currentPeriodEnd ?? current.trialEndsAt ?? today;
-                    const executed = await (0, repository_js_2.listExecutedDunningSteps)(tx, current.rowId, reference);
+                    const executed = await (0, repository_js_3.listExecutedDunningSteps)(tx, current.rowId, reference);
                     const events = (0, dunning_js_1.dunningStepsAsEvents)({ ...current, currentPeriodEnd: reference }, today, executed);
                     for (const ev of events) {
                         const stepKey = ev.data.dunningStep?.stepKey ??
                             `step_${ev.sequence}`;
-                        await (0, repository_js_2.recordDunningStep)(tx, {
+                        await (0, repository_js_3.recordDunningStep)(tx, {
                             tenantId: current.tenantId,
                             subscriptionRowId: current.rowId,
                             stepKey,
@@ -788,9 +909,9 @@ async function runBillingCron(db, source, nowIso) {
                         report.dunningStepsExecuted += 1;
                     }
                     if (events.length > 0) {
-                        await (0, repository_js_2.appendDomainEvents)(tx, current.rowId, events);
+                        await (0, repository_js_3.appendDomainEvents)(tx, current.rowId, events);
                         dunningEmailTo = await ownerEmailForTenant(tx, current.tenantId);
-                        await (0, repository_js_2.upsertSubscription)(tx, {
+                        await (0, repository_js_3.upsertSubscription)(tx, {
                             tenantId: current.tenantId,
                             planKey: current.planKey,
                             subscription: { ...current, sequence: current.sequence + events.length },
@@ -818,11 +939,15 @@ async function runBillingCron(db, source, nowIso) {
             });
             // Envio FORA da transação (best-effort com timeout): rede nunca segura o banco.
             if (dunningEmailTo) {
-                const sent = await (0, resend_js_1.sendEmail)(cfg.resendApiKey, {
-                    from: cfg.emailFrom,
-                    to: dunningEmailTo,
-                    subject: 'Sua assinatura Baruk está com pagamento pendente',
-                    html: `<p>Olá,</p><p>Identificamos uma pendência na assinatura da sua conta Baruk.</p><p>Regularize para manter seus serviços ativos: <a href="${cfg.webBaseUrl}/assinatura">gerenciar assinatura</a>.</p><p>Se o pagamento já foi feito, desconsidere este aviso.</p>`,
+                const sent = await (0, transactional_outbound_js_1.sendTransactionalOutbound)({
+                    kind: 'subscription_dunning',
+                    apiKey: cfg.resendApiKey,
+                    message: {
+                        from: cfg.emailFrom,
+                        to: dunningEmailTo,
+                        subject: 'Sua assinatura Baruk está com pagamento pendente',
+                        html: `<p>Olá,</p><p>Identificamos uma pendência na assinatura da sua conta Baruk.</p><p>Regularize para manter seus serviços ativos: <a href="${cfg.webBaseUrl}/assinatura">gerenciar assinatura</a>.</p><p>Se o pagamento já foi feito, desconsidere este aviso.</p>`,
+                    },
                 });
                 if (sent)
                     report.emailsSent += 1;