@baruk/core 0.3.1 → 0.5.0

package/dist/collection/communication-runtime.js

@@ -0,0 +1,249 @@
+/**
+ * Montagem ÚNICA do consumo do motor compartilhado pela cobrança da SC.
+ *
+ * Este arquivo existe por causa de um defeito de arquitetura, não de código: até
+ * aqui havia dois caminhos capazes de mandar mensagem ao cliente.
+ *
+ *   `collection-cron.ts`      montava o motor compartilhado — mas SÓ quando o
+ *                             escritório tinha conta de WhatsApp ou SMS. Sem
+ *                             elas, caía no adapter legado.
+ *   `routes/collections.ts`   montava o adapter legado SEMPRE. A rota manual
+ *                             nunca passou pelo motor compartilhado.
+ *
+ * Dois caminhos com duas idempotências diferentes: o legado usava
+ * `receivableId:stepKey` e não gravava nada, o compartilhado usava a chave
+ * composta pelo motor. Um cron e um clique no botão "rodar agora", no mesmo
+ * minuto, não se enxergavam — e a proteção de cada um era invisível para o
+ * outro. É o `LEGACY_SHARED_COEXISTENCE=BLOCKING` do certificador.
+ *
+ * A correção é ter UM lugar que monta o consumo, e ambos chamarem este. Não é
+ * organização de código: é o que faz "existe uma única autoridade de envio" ser
+ * uma propriedade verificável em vez de uma intenção.
+ */
+import { createClientClearanceStore } from './clearance-store.js';
+import { createEmailChannel, createPostgresAuditSink, createPostgresChannelBindingStore, createPostgresDispatchClaimStore, createSmsChannel, createWhatsAppChannel, credentialResolverFor, resolveSenderProfile, routeAccountsByChannel, withSenderFallback, } from '../communication/index.js';
+import { collectionSenderFallback, createTenantChannelAccountStore } from './channel-accounts.js';
+import { collectionContext, SC_PRODUCT } from './communication-bridge.js';
+import { createConsentStore } from './consent-repository.js';
+import { createCollectionTemplateStore } from './template-catalog.js';
+/**
+ * Slug estável da marca do escritório, para o contexto do motor.
+ *
+ * Vive aqui, e não no cron, porque entra na chave de idempotência: duas
+ * derivações do mesmo nome produziriam duas chaves para o mesmo aviso, e a
+ * proteção contra envio duplo evaporaria entre o cron e a rota manual sem que
+ * nada parecesse errado.
+ */
+export function brandKeyFor(branding) {
+    const slug = branding.officeName
+        .toLowerCase()
+        .normalize('NFD')
+        .replace(/[\u0300-\u036f]/g, '')
+        .replace(/[^a-z0-9]+/g, '-')
+        .replace(/^-+|-+$/g, '')
+        .slice(0, 60);
+    // Nome que não produz slug válido cai num valor fixo do produto, em vez de
+    // fazer o motor recusar o contexto e a régua inteira parar por causa de um
+    // nome de escritório com caracteres incomuns.
+    return /^[a-z][a-z0-9-]*[a-z0-9]$/.test(slug) ? slug : 'baruk-office';
+}
+/**
+ * Nome canônico da credencial de e-mail no cofre do escritório.
+ *
+ * Um nome só, igual para todos os tenants — o que muda é DE QUEM é o cofre. Um
+ * nome por tenant faria a resolução depender de convenção, e convenção é o que
+ * ninguém confere no dia do incidente.
+ */
+export const TENANT_EMAIL_CREDENTIAL_NAME = 'resend-api-key';
+/**
+ * Referência de credencial de e-mail: cofre do tenant quando existe, plataforma
+ * quando não.
+ *
+ * ## O problema que isto resolve (P0-C)
+ *
+ * Nenhum escritório tinha conta de e-mail própria configurada, então todos
+ * caíam no fallback de plataforma — cujo `credentialRef` é o nome de uma
+ * variável de ambiente do processo. Dois escritórios mandavam pela MESMA conta
+ * do provedor: bloqueio e reputação atingem os dois juntos, e o histórico de
+ * envio no provedor mistura clientes de escritórios diferentes.
+ *
+ * Não era vazamento de segredo — o cofre sempre foi isolado por RLS, e nenhum
+ * tenant lê a credencial do outro. Era ausência de isolamento de CONTA.
+ *
+ * ## Por que ler o cofre aqui, e não exigir configuração
+ *
+ * A SC já tem `resend-api-key` no cofre desde a rotação de agosto; o caminho de
+ * e-mail é que não a consumia. Preferir o cofre quando ele existe corrige a SC
+ * hoje, sem pedir nada a ninguém, e faz todo tenant novo nascer isolado assim
+ * que grava a própria chave.
+ *
+ * Só o NOME é consultado — `reveal` não é chamado aqui. O segredo continua
+ * sendo materializado uma única vez, na borda do adapter.
+ */
+export async function resolveTenantEmailCredentialRef(tx, platformRef) {
+    const rows = await tx `
+    SELECT count(*)::int AS n
+      FROM vault_credential
+     WHERE lower(name) = ${TENANT_EMAIL_CREDENTIAL_NAME}
+       AND deleted_at IS NULL
+       AND (expires_at IS NULL OR expires_at > now())
+  `;
+    // A consulta roda sob RLS: só enxerga o cofre do tenant do contexto. Não é
+    // preciso filtrar por `tenant_id` aqui, e filtrar daria a impressão errada de
+    // que o isolamento vem do WHERE.
+    return (rows[0]?.n ?? 0) > 0
+        ? { ref: `vault://${TENANT_EMAIL_CREDENTIAL_NAME}`, origin: 'tenant-vault' }
+        : { ref: platformRef, origin: 'platform-fallback' };
+}
+/**
+ * Monta o consumo do motor para UM tenant.
+ *
+ * Devolve sempre — nunca `undefined`. O desenho anterior devolvia `undefined`
+ * quando não havia canal de telefone configurado, e era isso que empurrava o
+ * e-mail de volta para o caminho legado. O e-mail é UM canal entre outros; se
+ * ele fosse o caso especial, todo canal novo teria de imitá-lo.
+ */
+export async function buildCollectionCommunication(options) {
+    const { db, tx, tenantId, branding } = options;
+    const brand = brandKeyFor(branding);
+    const ctx = collectionContext(tenantId, brand);
+    const tenantAccounts = createTenantChannelAccountStore(tx);
+    /*
+     * Telefone tem registro CANÔNICO próprio: `channel_binding` (0041), escrito
+     * pelo onboarding do Embedded Signup.
+     *
+     * Antes desta composição, TODO canal era resolvido por
+     * `createTenantChannelAccountStore` — o jsonb `tenant.settings.channels`. O
+     * onboarding gravava numa tabela que ninguém lia: a tela dizia "ativo",
+     * `GET /v1/communication/channels` dizia `not_configured`, e o motor teria
+     * respondido `no_account` no primeiro envio. Canal pronto na Meta e invisível
+     * para quem despacha.
+     *
+     * É o mesmo defeito que `registerChannelBinding` teve na outra ponta — existir
+     * e não ser chamado —, agora do lado do consumo.
+     */
+    const bindingAccounts = createPostgresChannelBindingStore(tx);
+    // Credencial de e-mail: cofre do tenant quando existe (P0-C). Resolvido antes
+    // do fallback porque é ele que carrega o `credentialRef`.
+    const emailCredential = await resolveTenantEmailCredentialRef(tx, options.platformEmail.credentialRef);
+    const fallback = collectionSenderFallback(branding, {
+        ...options.platformEmail,
+        credentialRef: emailCredential.ref,
+    });
+    /*
+     * Precedência POR CANAL, explícita — e não um `??` entre dois stores.
+     *
+     * Um fallback genérico resolveria o sintoma e esconderia a política: ninguém
+     * conseguiria dizer, lendo o código, de onde vem a conta de WhatsApp de um
+     * escritório. Aqui a resposta é uma linha do mapa.
+     *
+     *   email    → configuração do tenant + remetente de plataforma (contrato
+     *              certificado, intocado)
+     *   whatsapp → SOMENTE `channel_binding`. Sem fallback para o jsonb: aceitar
+     *              as duas fontes criaria a segunda verdade que a 0041 existe
+     *              para eliminar, e o legado sequer satisfaz
+     *              `channel_binding_phone_credential_ref_chk` (telefone exige
+     *              `vault://`).
+     *   sms      → mesma regra do WhatsApp.
+     *
+     * Canal sem rota resolve para ausente. Um canal novo entra fechado.
+     */
+    const accounts = routeAccountsByChannel({
+        email: withSenderFallback(tenantAccounts, fallback),
+        whatsapp: bindingAccounts,
+        sms: bindingAccounts,
+    });
+    const channels = {};
+    const email = await resolveSenderProfile(tenantAccounts, ctx, 'email', fallback);
+    if (email.ok) {
+        channels.email = createEmailChannel({
+            account: email.profile.account,
+            // Resolvedor preso à conta: nenhuma outra referência de credencial passa
+            // por aqui, nem por engano de código.
+            resolveCredential: credentialResolverFor(email.profile.account, options.resolveCredential),
+        });
+    }
+    // Telefone NUNCA tem fallback de plataforma — o motor recusa por construção,
+    // e aqui nem se oferece a opção. Sem conta própria do tenant, o canal
+    // simplesmente não existe, e o motor devolve `no_identity`, que é a verdade.
+    // Telefone consulta o store do TENANT, sem decoração: o fallback de plataforma
+    // é proibido nesses canais, e passar pelo decorado só faria o motor recusar
+    // duas vezes.
+    const whatsapp = await bindingAccounts.find(ctx, 'whatsapp');
+    if (whatsapp) {
+        channels.whatsapp = createWhatsAppChannel({
+            account: whatsapp,
+            resolveCredential: credentialResolverFor(whatsapp, options.resolveCredential),
+            liveSend: options.whatsappLiveSend === true,
+        });
+    }
+    const sms = await bindingAccounts.find(ctx, 'sms');
+    if (sms && options.smsTransport) {
+        // O SMS resolve a própria credencial DENTRO do transporte, e por isso o
+        // adapter não a recebe: o contrato de transporte é provider-agnostic e
+        // nenhum provider está contratado. Quando houver, a trava de credencial por
+        // conta entra na construção do transporte, não aqui.
+        channels.sms = createSmsChannel({ account: sms, transport: options.smsTransport });
+    }
+    // Sem transporte contratado, o canal fica FORA do registry. O motor devolve
+    // `channel_not_registered`, que diz a verdade — registrar um adapter sem
+    // transporte trocaria esse motivo por uma falha de entrega inexplicável.
+    return {
+        tenantId,
+        brand,
+        channels,
+        accounts,
+        templates: createCollectionTemplateStore(tx),
+        consent: createConsentStore(tx),
+        // A conferência do escritório, lida da ficha do cliente. Sem ela, importar
+        // a carteira ligaria a régua para todo mundo no primeiro cron.
+        clearance: createClientClearanceStore(tx),
+        // Fail-safe em todo canal de telefone: sem permissão registrada, não sai.
+        // O e-mail transacional de cobrança se apoia na relação contratual, e por
+        // isso é o único cujo indefinido é tratado como permitido.
+        consentPolicy: { onUnknown: { email: 'allow', whatsapp: 'fail_safe', sms: 'fail_safe' } },
+        claims: createPostgresDispatchClaimStore(db, tenantId),
+        audit: createPostgresAuditSink(tx, tenantId),
+        emailSenderOrigin: email.ok ? email.profile.origin : null,
+        // De onde veio a CREDENCIAL (não o remetente): `tenant-vault` significa
+        // conta própria do escritório; `platform-fallback` significa conta
+        // compartilhada — a dívida que o P0-C deixa medível em vez de silenciosa.
+        emailCredentialOrigin: emailCredential.origin,
+        dryRun: options.dryRun,
+    };
+}
+/**
+ * Referência lógica → segredo, a partir do ambiente do processo.
+ *
+ * O que o tenant configura é o NOME (`RESEND_API_KEY`, `vault://.../whatsapp`);
+ * o valor vem daqui e não atravessa o domínio. A allowlist por FORMA do nome
+ * (maiúsculas, dígitos e `_`) impede que um `credentialRef` colado no jsonb de
+ * configuração de tenant leia qualquer coisa do ambiente do processo — o jsonb é
+ * editável por quem administra o escritório, e `PATH` ou `DATABASE_URL` também
+ * são variáveis de ambiente.
+ */
+export function environmentCredentialResolver() {
+    // `WHATSAPP_ACCESS_TOKEN` e `SMS_API_KEY` SAÍRAM desta lista na Fase L.
+    //
+    // Nenhum tenant os usava — não há canal de telefone configurado em lugar
+    // nenhum do ecossistema —, então a remoção não interrompe nada. O que ela
+    // impede é o desfecho que a lista tornava inevitável no dia em que o SEGUNDO
+    // tenant ligasse WhatsApp: ou os dois apontam para o mesmo nome e compartilham
+    // o token, ou apontam para nomes distintos e nenhum resolve. Num canal em que
+    // o bloqueio se propaga de uma marca para as outras, a primeira opção é a pior
+    // das duas — e era a que "funcionava".
+    //
+    // `RESEND_API_KEY` fica porque a SC entrega e-mail em produção por ela hoje.
+    const ALLOWED = new Set(['RESEND_API_KEY']);
+    return async (ref) => {
+        const name = ref.split('/').pop() ?? '';
+        // Allowlist de NOMES, não de forma. Filtrar por padrão deixaria `DATABASE_URL`
+        // passar inteiro — o defeito que a política de segredos deste repositório
+        // descreve explicitamente.
+        return ALLOWED.has(name) ? process.env[name] : undefined;
+    };
+}
+/** Canais que este produto sabe operar. Consultado por tela e por teste. */
+export const SC_SUPPORTED_CHANNELS = ['email', 'whatsapp', 'sms'];
+export { SC_PRODUCT };
+//# sourceMappingURL=communication-runtime.js.map

package/dist/collection/communication-runtime.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"communication-runtime.js","sourceRoot":"","sources":["../../src/collection/communication-runtime.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;AAGH,OAAO,EAAE,0BAA0B,EAAE,MAAM,sBAAsB,CAAC;AAClE,OAAO,EACL,kBAAkB,EAClB,uBAAuB,EACvB,iCAAiC,EACjC,gCAAgC,EAChC,gBAAgB,EAChB,qBAAqB,EACrB,qBAAqB,EACrB,oBAAoB,EACpB,sBAAsB,EACtB,kBAAkB,GAInB,MAAM,2BAA2B,CAAC;AAEnC,OAAO,EAAE,wBAAwB,EAAE,+BAA+B,EAAE,MAAM,uBAAuB,CAAC;AAClG,OAAO,EAAE,iBAAiB,EAAE,UAAU,EAAE,MAAM,2BAA2B,CAAC;AAC1E,OAAO,EAAE,kBAAkB,EAAE,MAAM,yBAAyB,CAAC;AAC7D,OAAO,EAAE,6BAA6B,EAAE,MAAM,uBAAuB,CAAC;AAGtE;;;;;;;GAOG;AACH,MAAM,UAAU,WAAW,CAAC,QAAwB;IAClD,MAAM,IAAI,GAAG,QAAQ,CAAC,UAAU;SAC7B,WAAW,EAAE;SACb,SAAS,CAAC,KAAK,CAAC;SAChB,OAAO,CAAC,kBAAkB,EAAE,EAAE,CAAC;SAC/B,OAAO,CAAC,aAAa,EAAE,GAAG,CAAC;SAC3B,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC;SACvB,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IAChB,2EAA2E;IAC3E,2EAA2E;IAC3E,8CAA8C;IAC9C,OAAO,2BAA2B,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,cAAc,CAAC;AACxE,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,MAAM,4BAA4B,GAAG,gBAAgB,CAAC;AAE7D;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AACH,MAAM,CAAC,KAAK,UAAU,+BAA+B,CACnD,EAAM,EACN,WAAmB;IAEnB,MAAM,IAAI,GAAG,MAAM,EAAE,CAAiB;;;2BAGb,4BAA4B;;;GAGpD,CAAC;IACF,2EAA2E;IAC3E,8EAA8E;IAC9E,iCAAiC;IACjC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;QAC1B,CAAC,CAAC,EAAE,GAAG,EAAE,WAAW,4BAA4B,EAAE,EAAE,MAAM,EAAE,cAAc,EAAE;QAC5E,CAAC,CAAC,EAAE,GAAG,EAAE,WAAW,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;AACxD,CAAC;AAmCD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,4BAA4B,CAChD,OAAuC;IAEvC,MAAM,EAAE,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,QAAQ,EAAE,GAAG,OAAO,CAAC;IAC/C,MAAM,KAAK,GAAG,WAAW,CAAC,QAAQ,CAAC,CAAC;IACpC,MAAM,GAAG,GAAG,iBAAiB,CAAC,QAAQ,EAAE,KAAK,CAAC,CAAC;IAC/C,MAAM,cAAc,GAAG,+BAA+B,CAAC,EAAE,CAAC,CAAC;IAC3D;;;;;;;;;;;;;OAaG;IACH,MAAM,eAAe,GAAG,iCAAiC,CAAC,EAAE,CAAC,CAAC;IAC9D,8EAA8E;IAC9E,0DAA0D;IAC1D,MAAM,eAAe,GAAG,MAAM,+BAA+B,CAC3D,EAAE,EACF,OAAO,CAAC,aAAa,CAAC,aAAa,CACpC,CAAC;IACF,MAAM,QAAQ,GAAG,wBAAwB,CAAC,QAAQ,EAAE;QAClD,GAAG,OAAO,CAAC,aAAa;QACxB,aAAa,EAAE,eAAe,CAAC,GAAG;KACnC,CAAC,CAAC;IACH;;;;;;;;;;;;;;;;;OAiBG;IACH,MAAM,QAAQ,GAAG,sBAAsB,CAAC;QACtC,KAAK,EAAE,kBAAkB,CAAC,cAAc,EAAE,QAAQ,CAAC;QACnD,QAAQ,EAAE,eAAe;QACzB,GAAG,EAAE,eAAe;KACrB,CAAC,CAAC;IAEH,MAAM,QAAQ,GAAwB,EAAE,CAAC;IAEzC,MAAM,KAAK,GAAG,MAAM,oBAAoB,CAAC,cAAc,EAAE,GAAG,EAAE,OAAO,EAAE,QAAQ,CAAC,CAAC;IACjF,IAAI,KAAK,CAAC,EAAE,EAAE,CAAC;QACb,QAAQ,CAAC,KAAK,GAAG,kBAAkB,CAAC;YAClC,OAAO,EAAE,KAAK,CAAC,OAAO,CAAC,OAAO;YAC9B,yEAAyE;YACzE,sCAAsC;YACtC,iBAAiB,EAAE,qBAAqB,CAAC,KAAK,CAAC,OAAO,CAAC,OAAO,EAAE,OAAO,CAAC,iBAAiB,CAAC;SAC3F,CAAC,CAAC;IACL,CAAC;IAED,6EAA6E;IAC7E,sEAAsE;IACtE,6EAA6E;IAC7E,+EAA+E;IAC/E,4EAA4E;IAC5E,cAAc;IACd,MAAM,QAAQ,GAAG,MAAM,eAAe,CAAC,IAAI,CAAC,GAAG,EAAE,UAAU,CAAC,CAAC;IAC7D,IAAI,QAAQ,EAAE,CAAC;QACb,QAAQ,CAAC,QAAQ,GAAG,qBAAqB,CAAC;YACxC,OAAO,EAAE,QAAQ;YACjB,iBAAiB,EAAE,qBAAqB,CAAC,QAAQ,EAAE,OAAO,CAAC,iBAAiB,CAAC;YAC7E,QAAQ,EAAE,OAAO,CAAC,gBAAgB,KAAK,IAAI;SAC5C,CAAC,CAAC;IACL,CAAC;IAED,MAAM,GAAG,GAAG,MAAM,eAAe,CAAC,IAAI,CAAC,GAAG,EAAE,KAAK,CAAC,CAAC;IACnD,IAAI,GAAG,IAAI,OAAO,CAAC,YAAY,EAAE,CAAC;QAChC,wEAAwE;QACxE,uEAAuE;QACvE,4EAA4E;QAC5E,qDAAqD;QACrD,QAAQ,CAAC,GAAG,GAAG,gBAAgB,CAAC,EAAE,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,OAAO,CAAC,YAAY,EAAE,CAAC,CAAC;IACrF,CAAC;IACD,4EAA4E;IAC5E,yEAAyE;IACzE,yEAAyE;IAEzE,OAAO;QACL,QAAQ;QACR,KAAK;QACL,QAAQ;QACR,QAAQ;QACR,SAAS,EAAE,6BAA6B,CAAC,EAAE,CAAC;QAC5C,OAAO,EAAE,kBAAkB,CAAC,EAAE,CAAC;QAC/B,2EAA2E;QAC3E,+DAA+D;QAC/D,SAAS,EAAE,0BAA0B,CAAC,EAAE,CAAC;QACzC,0EAA0E;QAC1E,0EAA0E;QAC1E,2DAA2D;QAC3D,aAAa,EAAE,EAAE,SAAS,EAAE,EAAE,KAAK,EAAE,OAAO,EAAE,QAAQ,EAAE,WAAW,EAAE,GAAG,EAAE,WAAW,EAAE,EAAE;QACzF,MAAM,EAAE,gCAAgC,CAAC,EAAE,EAAE,QAAQ,CAAC;QACtD,KAAK,EAAE,uBAAuB,CAAC,EAAE,EAAE,QAAQ,CAAC;QAC5C,iBAAiB,EAAE,KAAK,CAAC,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI;QACzD,wEAAwE;QACxE,mEAAmE;QACnE,0EAA0E;QAC1E,qBAAqB,EAAE,eAAe,CAAC,MAAM;QAC7C,MAAM,EAAE,OAAO,CAAC,MAAM;KACvB,CAAC;AACJ,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,UAAU,6BAA6B;IAC3C,wEAAwE;IACxE,EAAE;IACF,yEAAyE;IACzE,0EAA0E;IAC1E,6EAA6E;IAC7E,+EAA+E;IAC/E,8EAA8E;IAC9E,+EAA+E;IAC/E,uCAAuC;IACvC,EAAE;IACF,6EAA6E;IAC7E,MAAM,OAAO,GAAG,IAAI,GAAG,CAAC,CAAC,gBAAgB,CAAC,CAAC,CAAC;IAC5C,OAAO,KAAK,EAAE,GAAW,EAAE,EAAE;QAC3B,MAAM,IAAI,GAAG,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,GAAG,EAAE,IAAI,EAAE,CAAC;QACxC,+EAA+E;QAC/E,0EAA0E;QAC1E,2BAA2B;QAC3B,OAAO,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;IAC3D,CAAC,CAAC;AACJ,CAAC;AAED,4EAA4E;AAC5E,MAAM,CAAC,MAAM,qBAAqB,GAA0B,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,CAAC,CAAC;AAEzF,OAAO,EAAE,UAAU,EAAE,CAAC"}

package/dist/collection/consent-repository.d.ts

@@ -0,0 +1,32 @@
+/**
+ * Permissão de contato do cliente — leitura e escrita.
+ *
+ * Sobre `client_channel_consent` (migration 0038). A ausência de linha NÃO é
+ * permissão: é ausência de decisão, e quem decide o que fazer com ela é a
+ * política do tenant, não esta camada.
+ */
+import type { Tx } from '../db/client.js';
+import type { ChannelKey, ConsentRecord, ConsentSource, ConsentState, ConsentStore } from '../communication/index.js';
+export declare function createConsentStore(tx: Tx): ConsentStore;
+/** Todas as decisões de um cliente — para a ficha dele na tela. */
+export declare function listClientConsent(tx: Tx, clientId: string): Promise<ConsentRecord[]>;
+export interface RecordConsentInput {
+    tenantId: string;
+    clientId: string;
+    channel: ChannelKey;
+    state: ConsentState;
+    source: ConsentSource;
+    note?: string;
+    decidedBy?: string | null;
+}
+/**
+ * Registra a decisão. Uma linha viva por (cliente, canal).
+ *
+ * **Um opt-out do próprio cliente não é revertido por operador.** Quando a linha
+ * existente veio de `customer_reply` com `denied`, só outra manifestação do
+ * cliente a muda: alguém no escritório desmarcando isso na tela — por engano, ou
+ * porque "o cliente disse que pode" — é exatamente o caminho pelo qual uma
+ * régua automática passa por cima de um pedido de silêncio.
+ */
+export declare function recordConsent(tx: Tx, input: RecordConsentInput): Promise<ConsentRecord>;
+//# sourceMappingURL=consent-repository.d.ts.map

package/dist/collection/consent-repository.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"consent-repository.d.ts","sourceRoot":"","sources":["../../src/collection/consent-repository.ts"],"names":[],"mappings":"AAAA;;;;;;GAMG;AAEH,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC1C,OAAO,KAAK,EACV,UAAU,EACV,aAAa,EACb,aAAa,EACb,YAAY,EACZ,YAAY,EACb,MAAM,2BAA2B,CAAC;AAoBnC,wBAAgB,kBAAkB,CAAC,EAAE,EAAE,EAAE,GAAG,YAAY,CAavD;AAED,mEAAmE;AACnE,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,aAAa,EAAE,CAAC,CAQ1F;AAED,MAAM,WAAW,kBAAkB;IACjC,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,UAAU,CAAC;IACpB,KAAK,EAAE,YAAY,CAAC;IACpB,MAAM,EAAE,aAAa,CAAC;IACtB,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CAC3B;AAED;;;;;;;;GAQG;AACH,wBAAsB,aAAa,CAAC,EAAE,EAAE,EAAE,EAAE,KAAK,EAAE,kBAAkB,GAAG,OAAO,CAAC,aAAa,CAAC,CAgC7F"}

package/dist/collection/consent-repository.js

@@ -0,0 +1,79 @@
+/**
+ * Permissão de contato do cliente — leitura e escrita.
+ *
+ * Sobre `client_channel_consent` (migration 0038). A ausência de linha NÃO é
+ * permissão: é ausência de decisão, e quem decide o que fazer com ela é a
+ * política do tenant, não esta camada.
+ */
+import { uuidv7 } from '@baruk/shared';
+function toRecord(row) {
+    return {
+        channel: row.channel,
+        state: row.state,
+        source: row.source,
+        decidedAt: row.decided_at instanceof Date ? row.decided_at.toISOString() : String(row.decided_at),
+    };
+}
+export function createConsentStore(tx) {
+    return {
+        async find(recipientRef, channel) {
+            const rows = await tx `
+        SELECT channel, state, source, decided_at
+          FROM client_channel_consent
+         WHERE client_id = ${recipientRef} AND channel = ${channel}
+         LIMIT 1
+      `;
+            const row = rows[0];
+            return row ? toRecord(row) : null;
+        },
+    };
+}
+/** Todas as decisões de um cliente — para a ficha dele na tela. */
+export async function listClientConsent(tx, clientId) {
+    const rows = await tx `
+    SELECT channel, state, source, decided_at
+      FROM client_channel_consent
+     WHERE client_id = ${clientId}
+     ORDER BY channel
+  `;
+    return rows.map(toRecord);
+}
+/**
+ * Registra a decisão. Uma linha viva por (cliente, canal).
+ *
+ * **Um opt-out do próprio cliente não é revertido por operador.** Quando a linha
+ * existente veio de `customer_reply` com `denied`, só outra manifestação do
+ * cliente a muda: alguém no escritório desmarcando isso na tela — por engano, ou
+ * porque "o cliente disse que pode" — é exatamente o caminho pelo qual uma
+ * régua automática passa por cima de um pedido de silêncio.
+ */
+export async function recordConsent(tx, input) {
+    const existing = await tx `
+    SELECT channel, state, source, decided_at
+      FROM client_channel_consent
+     WHERE client_id = ${input.clientId} AND channel = ${input.channel}
+     LIMIT 1
+  `;
+    const current = existing[0];
+    const lockedByCustomer = current?.state === 'denied' && current.source === 'customer_reply';
+    if (lockedByCustomer && input.source !== 'customer_reply') {
+        return toRecord(current);
+    }
+    const rows = await tx `
+    INSERT INTO client_channel_consent
+      (id, tenant_id, client_id, channel, state, source, note, decided_at, decided_by)
+    VALUES
+      (${uuidv7()}, ${input.tenantId}, ${input.clientId}, ${input.channel},
+       ${input.state}, ${input.source}, ${input.note ?? null}, now(), ${input.decidedBy ?? null})
+    ON CONFLICT (tenant_id, client_id, channel) DO UPDATE
+       SET state = EXCLUDED.state,
+           source = EXCLUDED.source,
+           note = EXCLUDED.note,
+           decided_at = now(),
+           decided_by = EXCLUDED.decided_by,
+           updated_at = now()
+    RETURNING channel, state, source, decided_at
+  `;
+    return toRecord(rows[0]);
+}
+//# sourceMappingURL=consent-repository.js.map

package/dist/collection/consent-repository.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"consent-repository.js","sourceRoot":"","sources":["../../src/collection/consent-repository.ts"],"names":[],"mappings":"AAAA;;;;;;GAMG;AAUH,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AASvC,SAAS,QAAQ,CAAC,GAAQ;IACxB,OAAO;QACL,OAAO,EAAE,GAAG,CAAC,OAAqB;QAClC,KAAK,EAAE,GAAG,CAAC,KAAqB;QAChC,MAAM,EAAE,GAAG,CAAC,MAAuB;QACnC,SAAS,EACP,GAAG,CAAC,UAAU,YAAY,IAAI,CAAC,CAAC,CAAC,GAAG,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,UAAU,CAAC;KACzF,CAAC;AACJ,CAAC;AAED,MAAM,UAAU,kBAAkB,CAAC,EAAM;IACvC,OAAO;QACL,KAAK,CAAC,IAAI,CAAC,YAAoB,EAAE,OAAmB;YAClD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAO;;;6BAGL,YAAY,kBAAkB,OAAO;;OAE3D,CAAC;YACF,MAAM,GAAG,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,OAAO,GAAG,CAAC,CAAC,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;QACpC,CAAC;KACF,CAAC;AACJ,CAAC;AAED,mEAAmE;AACnE,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,QAAgB;IAC9D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAO;;;yBAGL,QAAQ;;GAE9B,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;AAC5B,CAAC;AAYD;;;;;;;;GAQG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,EAAM,EAAE,KAAyB;IACnE,MAAM,QAAQ,GAAG,MAAM,EAAE,CAAO;;;yBAGT,KAAK,CAAC,QAAQ,kBAAkB,KAAK,CAAC,OAAO;;GAEnE,CAAC;IAEF,MAAM,OAAO,GAAG,QAAQ,CAAC,CAAC,CAAC,CAAC;IAC5B,MAAM,gBAAgB,GAAG,OAAO,EAAE,KAAK,KAAK,QAAQ,IAAI,OAAO,CAAC,MAAM,KAAK,gBAAgB,CAAC;IAE5F,IAAI,gBAAgB,IAAI,KAAK,CAAC,MAAM,KAAK,gBAAgB,EAAE,CAAC;QAC1D,OAAO,QAAQ,CAAC,OAAO,CAAC,CAAC;IAC3B,CAAC;IAED,MAAM,IAAI,GAAG,MAAM,EAAE,CAAO;;;;SAIrB,MAAM,EAAE,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,KAAK,KAAK,CAAC,OAAO;SAChE,KAAK,CAAC,KAAK,KAAK,KAAK,CAAC,MAAM,KAAK,KAAK,CAAC,IAAI,IAAI,IAAI,YAAY,KAAK,CAAC,SAAS,IAAI,IAAI;;;;;;;;;GAS5F,CAAC;IAEF,OAAO,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC5B,CAAC"}

package/dist/collection/copy.d.ts

@@ -0,0 +1,50 @@
+import type { TenantBranding } from './branding.js';
+import type { EmailBlock } from './email-layout.js';
+import type { PaymentBlock } from './payment-block.js';
+import type { StepTone } from './policy.js';
+/**
+ * Textos da régua.
+ *
+ * A progressão vai de lembrete cordial a pedido claro de regularização — e para
+ * por aí. Nenhum texto menciona medida judicial, negativação, protesto ou
+ * suspensão de serviço: o escritório é quem decide se e quando falar disso, com
+ * o cliente dele, e uma automação que escala sozinha para ameaça é onde cobrança
+ * automatizada vira problema jurídico e de relacionamento.
+ *
+ * O assunto também mudou de registro. "Lembrete: vencimento em 2026-08-15" é
+ * saída de sistema; quem recebe quer reconhecer o remetente e o assunto de
+ * imediato.
+ */
+export interface CopyContext {
+    clientName: string;
+    branding: TenantBranding;
+    outstandingAmount: number;
+    dueDate: string | null;
+    competence: string | null;
+    description: string | null;
+    daysOverdue: number;
+    /** Já entrou parte do valor? Muda o texto — e evita cobrar o que já foi pago. */
+    hasPartialPayment: boolean;
+    originalAmount: number;
+    /**
+     * Como pagar, quando já existe cobrança emitida.
+     *
+     * Opcional porque a régua roda com ou sem provider conectado: um escritório
+     * sem conta de pagamento continua recebendo a comunicação completa, só sem o
+     * botão. O e-mail nunca promete um caminho de pagamento que não existe.
+     */
+    payment?: PaymentBlock;
+}
+export interface RenderedCopy {
+    subject: string;
+    block: EmailBlock;
+}
+/**
+ * Anexa o pagamento a qualquer etapa da régua.
+ *
+ * Fica fora do `switch` de propósito: o bloco de pagamento é o mesmo em D-3, D0
+ * e D+3, e cada etapa tendo a própria cópia da regra é a forma garantida de uma
+ * delas ficar para trás — foi assim que a etapa de atraso ficaria sem botão.
+ */
+export declare function renderCopy(tone: StepTone, ctx: CopyContext): RenderedCopy;
+//# sourceMappingURL=copy.d.ts.map

package/dist/collection/copy.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"copy.d.ts","sourceRoot":"","sources":["../../src/collection/copy.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AACpD,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,mBAAmB,CAAC;AACpD,OAAO,KAAK,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAEvD,OAAO,KAAK,EAAE,QAAQ,EAAE,MAAM,aAAa,CAAC;AAE5C;;;;;;;;;;;;GAYG;AAEH,MAAM,WAAW,WAAW;IAC1B,UAAU,EAAE,MAAM,CAAC;IACnB,QAAQ,EAAE,cAAc,CAAC;IACzB,iBAAiB,EAAE,MAAM,CAAC;IAC1B,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IACvB,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,WAAW,EAAE,MAAM,CAAC;IACpB,iFAAiF;IACjF,iBAAiB,EAAE,OAAO,CAAC;IAC3B,cAAc,EAAE,MAAM,CAAC;IACvB;;;;;;OAMG;IACH,OAAO,CAAC,EAAE,YAAY,CAAC;CACxB;AAED,MAAM,WAAW,YAAY;IAC3B,OAAO,EAAE,MAAM,CAAC;IAChB,KAAK,EAAE,UAAU,CAAC;CACnB;AAuBD;;;;;;GAMG;AACH,wBAAgB,UAAU,CAAC,IAAI,EAAE,QAAQ,EAAE,GAAG,EAAE,WAAW,GAAG,YAAY,CAIzE"}

package/dist/collection/copy.js

@@ -0,0 +1,122 @@
+import { formatBRL, formatDateBR, formatOverdue, describeReference } from './format.js';
+/** Frase que identifica a dívida sem inventar dado que não existe. */
+function referenceSentence(ctx) {
+    const ref = describeReference({ competence: ctx.competence, description: ctx.description });
+    return ref ? `Referente a ${ref}.` : null;
+}
+/**
+ * Quando houve pagamento parcial, o texto precisa dizer isso.
+ *
+ * Mandar "o valor de X está em aberto" para quem já pagou metade soa como se o
+ * pagamento não tivesse sido registrado — e é a mensagem que mais gera ligação
+ * irritada para o escritório.
+ */
+function partialSentence(ctx) {
+    if (!ctx.hasPartialPayment)
+        return null;
+    return (`Registramos o pagamento parcial de ${formatBRL(ctx.originalAmount - ctx.outstandingAmount)}. ` +
+        `O saldo restante é de ${formatBRL(ctx.outstandingAmount)}.`);
+}
+/**
+ * Anexa o pagamento a qualquer etapa da régua.
+ *
+ * Fica fora do `switch` de propósito: o bloco de pagamento é o mesmo em D-3, D0
+ * e D+3, e cada etapa tendo a própria cópia da regra é a forma garantida de uma
+ * delas ficar para trás — foi assim que a etapa de atraso ficaria sem botão.
+ */
+export function renderCopy(tone, ctx) {
+    const rendered = renderCopyBody(tone, ctx);
+    if (!ctx.payment)
+        return rendered;
+    return { ...rendered, block: { ...rendered.block, payment: ctx.payment } };
+}
+function renderCopyBody(tone, ctx) {
+    const office = ctx.branding.officeName;
+    const amount = formatBRL(ctx.outstandingAmount);
+    const due = formatDateBR(ctx.dueDate);
+    // Razão social brasileira termina em ponto com frequência ("Ltda.", "S.A.",
+    // "ME."). Somar o nosso produziria "Olá, Padaria Exemplo Ltda.." — pequeno,
+    // mas é a primeira linha que o cliente lê.
+    const greeting = `Olá, ${ctx.clientName}${/[.!?…]$/.test(ctx.clientName.trim()) ? '' : '.'}`;
+    const ref = referenceSentence(ctx);
+    const partial = partialSentence(ctx);
+    const highlight = {
+        label: ctx.hasPartialPayment ? 'Saldo em aberto' : 'Valor',
+        amount,
+        dueLabel: tone === 'reminder' ? 'Vencimento em' : 'Vencimento:',
+        dueValue: due,
+    };
+    switch (tone) {
+        case 'reminder':
+            return {
+                subject: `Lembrete de vencimento — ${office}`,
+                block: {
+                    greeting,
+                    paragraphs: [
+                        `Passando para lembrar que você tem um valor a vencer em ${due}.`,
+                        ...(ref ? [ref] : []),
+                        ...(partial ? [partial] : []),
+                    ],
+                    highlight,
+                    closing: 'Se o pagamento já foi feito, é só desconsiderar.',
+                },
+            };
+        case 'due_notice':
+            return {
+                subject: `Seu honorário vence hoje — ${office}`,
+                block: {
+                    greeting,
+                    paragraphs: [
+                        'O valor abaixo vence hoje.',
+                        ...(ref ? [ref] : []),
+                        ...(partial ? [partial] : []),
+                    ],
+                    highlight: { ...highlight, dueLabel: 'Vence hoje,' },
+                    closing: 'Se o pagamento já foi feito, é só desconsiderar.',
+                },
+            };
+        case 'friendly_collection':
+            return {
+                subject: `Pendência em aberto — ${office}`,
+                block: {
+                    greeting,
+                    paragraphs: [
+                        `Identificamos um valor em aberto, com vencimento em ${due}${ctx.daysOverdue > 0 ? ` — ${formatOverdue(ctx.daysOverdue)}` : ''}.`,
+                        ...(ref ? [ref] : []),
+                        ...(partial ? [partial] : []),
+                        'Se já tiver pago, avise-nos para darmos baixa. Se preferir, estamos à disposição para combinar a melhor forma.',
+                    ],
+                    highlight,
+                },
+            };
+        case 'overdue_collection':
+            return {
+                subject: `Regularização de pendência — ${office}`,
+                block: {
+                    greeting,
+                    paragraphs: [
+                        `O valor abaixo segue em aberto desde ${due}${ctx.daysOverdue > 0 ? ` (${formatOverdue(ctx.daysOverdue)})` : ''}.`,
+                        ...(ref ? [ref] : []),
+                        ...(partial ? [partial] : []),
+                        'Pedimos que entre em contato para regularizarmos. Se houver qualquer dificuldade, fale conosco — encontramos a melhor alternativa juntos.',
+                    ],
+                    highlight,
+                },
+            };
+        // Interno: nunca chega ao cliente. Ver a nota em `policy.ts`.
+        case 'human_escalation':
+        default:
+            return {
+                subject: `Cobrança para acompanhamento manual — ${ctx.clientName}`,
+                block: {
+                    greeting: 'Aviso interno.',
+                    paragraphs: [
+                        `A régua automática chegou ao fim para ${ctx.clientName}, com ${amount} em aberto desde ${due}.`,
+                        'A condução a partir daqui é humana.',
+                    ],
+                    highlight,
+                },
+            };
+    }
+}
+//# sourceMappingURL=copy.js.map

package/dist/collection/copy.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"copy.js","sourceRoot":"","sources":["../../src/collection/copy.ts"],"names":[],"mappings":"AAGA,OAAO,EAAE,SAAS,EAAE,YAAY,EAAE,aAAa,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAC;AA2CxF,sEAAsE;AACtE,SAAS,iBAAiB,CAAC,GAAgB;IACzC,MAAM,GAAG,GAAG,iBAAiB,CAAC,EAAE,UAAU,EAAE,GAAG,CAAC,UAAU,EAAE,WAAW,EAAE,GAAG,CAAC,WAAW,EAAE,CAAC,CAAC;IAC5F,OAAO,GAAG,CAAC,CAAC,CAAC,eAAe,GAAG,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AAC5C,CAAC;AAED;;;;;;GAMG;AACH,SAAS,eAAe,CAAC,GAAgB;IACvC,IAAI,CAAC,GAAG,CAAC,iBAAiB;QAAE,OAAO,IAAI,CAAC;IACxC,OAAO,CACL,sCAAsC,SAAS,CAAC,GAAG,CAAC,cAAc,GAAG,GAAG,CAAC,iBAAiB,CAAC,IAAI;QAC/F,yBAAyB,SAAS,CAAC,GAAG,CAAC,iBAAiB,CAAC,GAAG,CAC7D,CAAC;AACJ,CAAC;AAED;;;;;;GAMG;AACH,MAAM,UAAU,UAAU,CAAC,IAAc,EAAE,GAAgB;IACzD,MAAM,QAAQ,GAAG,cAAc,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;IAC3C,IAAI,CAAC,GAAG,CAAC,OAAO;QAAE,OAAO,QAAQ,CAAC;IAClC,OAAO,EAAE,GAAG,QAAQ,EAAE,KAAK,EAAE,EAAE,GAAG,QAAQ,CAAC,KAAK,EAAE,OAAO,EAAE,GAAG,CAAC,OAAO,EAAE,EAAE,CAAC;AAC7E,CAAC;AAED,SAAS,cAAc,CAAC,IAAc,EAAE,GAAgB;IACtD,MAAM,MAAM,GAAG,GAAG,CAAC,QAAQ,CAAC,UAAU,CAAC;IACvC,MAAM,MAAM,GAAG,SAAS,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC;IAChD,MAAM,GAAG,GAAG,YAAY,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;IACtC,4EAA4E;IAC5E,4EAA4E;IAC5E,2CAA2C;IAC3C,MAAM,QAAQ,GAAG,QAAQ,GAAG,CAAC,UAAU,GAAG,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,GAAG,EAAE,CAAC;IAC7F,MAAM,GAAG,GAAG,iBAAiB,CAAC,GAAG,CAAC,CAAC;IACnC,MAAM,OAAO,GAAG,eAAe,CAAC,GAAG,CAAC,CAAC;IAErC,MAAM,SAAS,GAAG;QAChB,KAAK,EAAE,GAAG,CAAC,iBAAiB,CAAC,CAAC,CAAC,iBAAiB,CAAC,CAAC,CAAC,OAAO;QAC1D,MAAM;QACN,QAAQ,EAAE,IAAI,KAAK,UAAU,CAAC,CAAC,CAAC,eAAe,CAAC,CAAC,CAAC,aAAa;QAC/D,QAAQ,EAAE,GAAG;KACd,CAAC;IAEF,QAAQ,IAAI,EAAE,CAAC;QACb,KAAK,UAAU;YACb,OAAO;gBACL,OAAO,EAAE,4BAA4B,MAAM,EAAE;gBAC7C,KAAK,EAAE;oBACL,QAAQ;oBACR,UAAU,EAAE;wBACV,2DAA2D,GAAG,GAAG;wBACjE,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;wBACrB,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;qBAC9B;oBACD,SAAS;oBACT,OAAO,EAAE,kDAAkD;iBAC5D;aACF,CAAC;QAEJ,KAAK,YAAY;YACf,OAAO;gBACL,OAAO,EAAE,8BAA8B,MAAM,EAAE;gBAC/C,KAAK,EAAE;oBACL,QAAQ;oBACR,UAAU,EAAE;wBACV,4BAA4B;wBAC5B,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;wBACrB,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;qBAC9B;oBACD,SAAS,EAAE,EAAE,GAAG,SAAS,EAAE,QAAQ,EAAE,aAAa,EAAE;oBACpD,OAAO,EAAE,kDAAkD;iBAC5D;aACF,CAAC;QAEJ,KAAK,qBAAqB;YACxB,OAAO;gBACL,OAAO,EAAE,yBAAyB,MAAM,EAAE;gBAC1C,KAAK,EAAE;oBACL,QAAQ;oBACR,UAAU,EAAE;wBACV,uDAAuD,GAAG,GACxD,GAAG,CAAC,WAAW,GAAG,CAAC,CAAC,CAAC,CAAC,MAAM,aAAa,CAAC,GAAG,CAAC,WAAW,CAAC,EAAE,CAAC,CAAC,CAAC,EACjE,GAAG;wBACH,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;wBACrB,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;wBAC7B,gHAAgH;qBACjH;oBACD,SAAS;iBACV;aACF,CAAC;QAEJ,KAAK,oBAAoB;YACvB,OAAO;gBACL,OAAO,EAAE,gCAAgC,MAAM,EAAE;gBACjD,KAAK,EAAE;oBACL,QAAQ;oBACR,UAAU,EAAE;wBACV,wCAAwC,GAAG,GACzC,GAAG,CAAC,WAAW,GAAG,CAAC,CAAC,CAAC,CAAC,KAAK,aAAa,CAAC,GAAG,CAAC,WAAW,CAAC,GAAG,CAAC,CAAC,CAAC,EACjE,GAAG;wBACH,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;wBACrB,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;wBAC7B,2IAA2I;qBAC5I;oBACD,SAAS;iBACV;aACF,CAAC;QAEJ,8DAA8D;QAC9D,KAAK,kBAAkB,CAAC;QACxB;YACE,OAAO;gBACL,OAAO,EAAE,yCAAyC,GAAG,CAAC,UAAU,EAAE;gBAClE,KAAK,EAAE;oBACL,QAAQ,EAAE,gBAAgB;oBAC1B,UAAU,EAAE;wBACV,yCAAyC,GAAG,CAAC,UAAU,SAAS,MAAM,oBAAoB,GAAG,GAAG;wBAChG,qCAAqC;qBACtC;oBACD,SAAS;iBACV;aACF,CAAC;IACN,CAAC;AACH,CAAC"}

package/dist/collection/delivery-callback.d.ts

@@ -0,0 +1,49 @@
+/**
+ * Aplicação dos callbacks de entrega ao estado do produto.
+ *
+ * `communication/webhook.ts` traduz o vocabulário do provider e decide se o
+ * evento avança o estado; este arquivo é o que ESCREVE. A separação é a mesma de
+ * sempre: o motor não conhece `dunning_event`, e a régua não conhece a Meta.
+ *
+ * Três escritas, e a ordem entre elas importa menos que o fato de estarem na
+ * MESMA transação: um callback que atualiza a etapa e falha ao gravar a trilha
+ * deixaria a tela dizendo "entregue" sem nada que explique quando nem por qual
+ * caminho.
+ */
+import type { Tx } from '../db/client.js';
+import { type DeliveryEvent, type DeliveryStatus, type InboundOptOut } from '../communication/index.js';
+export type CallbackOutcome = 
+/** Estado avançado e gravado. */
+'applied'
+/** O provider mandou algo que este canal não reporta — dado inventado, recusado. */
+ | 'not_reported_by_channel'
+/** Chegou fora de ordem, ou repetido: o estado já está igual ou adiante. */
+ | 'no_progress'
+/** Nenhuma mensagem deste tenant tem esse identificador de provider. */
+ | 'unknown_message';
+export interface CallbackResult {
+    outcome: CallbackOutcome;
+    receivableId: string | null;
+    status: DeliveryStatus | null;
+}
+/**
+ * Aplica um callback de entrega.
+ *
+ * A via de acesso é o `provider_ref` — é a ÚNICA coisa que o webhook traz. Sem
+ * a coluna indexada da 0038 isso exigiria varrer a tabela, e a régua de um
+ * escritório grande tornaria cada callback caro o bastante para o provider
+ * desistir de reentregar.
+ */
+export declare function applyDeliveryCallback(tx: Tx, tenantId: string, event: DeliveryEvent): Promise<CallbackResult>;
+export type OptOutOutcome = 'registered' | 'unknown_recipient';
+/**
+ * Registra o opt-out que o cliente pediu respondendo no canal.
+ *
+ * `customer_reply` é a origem mais forte que existe: `recordConsent` impede que
+ * um operador a reverta pela tela. Por isso a resolução do telefone para cliente
+ * é feita pelo `phone_e164` canônico e nunca pelo campo digitado — casar por
+ * texto livre acertaria o cliente errado quando dois cadastros diferem só na
+ * pontuação, e bloquearia o canal de quem não pediu nada.
+ */
+export declare function applyInboundOptOut(tx: Tx, tenantId: string, optOut: InboundOptOut): Promise<OptOutOutcome>;
+//# sourceMappingURL=delivery-callback.d.ts.map

package/dist/collection/delivery-callback.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"delivery-callback.d.ts","sourceRoot":"","sources":["../../src/collection/delivery-callback.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAGH,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAC1C,OAAO,EAEL,KAAK,aAAa,EAClB,KAAK,cAAc,EACnB,KAAK,aAAa,EACnB,MAAM,2BAA2B,CAAC;AAInC,MAAM,MAAM,eAAe;AACzB,iCAAiC;AAC/B,SAAS;AACX,oFAAoF;GAClF,yBAAyB;AAC3B,4EAA4E;GAC1E,aAAa;AACf,wEAAwE;GACtE,iBAAiB,CAAC;AAEtB,MAAM,WAAW,cAAc;IAC7B,OAAO,EAAE,eAAe,CAAC;IACzB,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,MAAM,EAAE,cAAc,GAAG,IAAI,CAAC;CAC/B;AAKD;;;;;;;GAOG;AACH,wBAAsB,qBAAqB,CACzC,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,EAChB,KAAK,EAAE,aAAa,GACnB,OAAO,CAAC,cAAc,CAAC,CAmEzB;AA0CD,MAAM,MAAM,aAAa,GAAG,YAAY,GAAG,mBAAmB,CAAC;AAE/D;;;;;;;;GAQG;AACH,wBAAsB,kBAAkB,CACtC,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,EAChB,MAAM,EAAE,aAAa,GACpB,OAAO,CAAC,aAAa,CAAC,CAsCxB"}