@baruk/core 0.4.2 → 0.6.0

package/dist/cjs/subscription-billing/service.js

@@ -2,6 +2,7 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.ensureSaasPlanCatalog = exports.getPlan = exports.listPublicPlans = void 0;
 exports.seedSaasPlans = seedSaasPlans;
+exports.provisionAccountingOffice = provisionAccountingOffice;
 exports.signupSelfService = signupSelfService;
 exports.standingFor = standingFor;
 exports.entitlementsForPlan = entitlementsForPlan;
@@ -14,6 +15,7 @@ exports.reactivateForTenant = reactivateForTenant;
 exports.backofficeListSubscriptions = backofficeListSubscriptions;
 exports.backofficeOverview = backofficeOverview;
 exports.backofficeListWebhookEvents = backofficeListWebhookEvents;
+exports.backofficeSetPlatformBillingExemption = backofficeSetPlatformBillingExemption;
 exports.backofficeActivateSubscription = backofficeActivateSubscription;
 exports.retryFailedWebhookEvents = retryFailedWebhookEvents;
 exports.runBillingCron = runBillingCron;
@@ -21,18 +23,20 @@ const shared_1 = require("@baruk/shared");
 const context_js_1 = require("../db/context.js");
 const audit_js_1 = require("../audit/audit.js");
 const password_js_1 = require("../auth/password.js");
+const repository_js_1 = require("../users/repository.js");
 const provisioning_js_1 = require("../tenancy/provisioning.js");
-const repository_js_1 = require("../products/repository.js");
+const repository_js_2 = require("../products/repository.js");
 const derive_js_1 = require("../entitlements/derive.js");
 const transactional_outbound_js_1 = require("../mail/transactional-outbound.js");
 const reconcile_js_1 = require("./reconcile.js");
+const platform_exemption_js_1 = require("./platform-exemption.js");
 const dunning_js_1 = require("./dunning.js");
 const live_guard_js_1 = require("../billing/live-guard.js");
 const registry_js_1 = require("./provider/registry.js");
-const repository_js_2 = require("./repository.js");
-Object.defineProperty(exports, "ensureSaasPlanCatalog", { enumerable: true, get: function () { return repository_js_2.ensureSaasPlanCatalog; } });
-Object.defineProperty(exports, "getPlan", { enumerable: true, get: function () { return repository_js_2.getPlan; } });
-Object.defineProperty(exports, "listPublicPlans", { enumerable: true, get: function () { return repository_js_2.listPublicPlans; } });
+const repository_js_3 = require("./repository.js");
+Object.defineProperty(exports, "ensureSaasPlanCatalog", { enumerable: true, get: function () { return repository_js_3.ensureSaasPlanCatalog; } });
+Object.defineProperty(exports, "getPlan", { enumerable: true, get: function () { return repository_js_3.getPlan; } });
+Object.defineProperty(exports, "listPublicPlans", { enumerable: true, get: function () { return repository_js_3.listPublicPlans; } });
 const plans_js_1 = require("./plans.js");
 const product_config_js_1 = require("./product-config.js");
 function asRegistry(source) {
@@ -87,8 +91,70 @@ async function syncTenantStatus(tx, tenantId, status) {
 }
 /** Seed do catálogo padrão (chamado pelo seed do core). */
 async function seedSaasPlans(db) {
-    await (0, repository_js_1.ensureProductCatalog)(db);
-    await (0, repository_js_2.ensureSaasPlanCatalog)(db, plans_js_1.SAAS_PLANS);
+    await (0, repository_js_2.ensureProductCatalog)(db);
+    await (0, repository_js_3.ensureSaasPlanCatalog)(db, plans_js_1.SAAS_PLANS);
+}
+async function provisionAccountingOffice(db, input, nowIso) {
+    const email = input.ownerEmail.trim().toLowerCase();
+    if (!/^[^@\s]+@[^@\s]+\.[^@\s]+$/.test(email))
+        throw new shared_1.ValidationError('E-mail inválido');
+    if (!input.companyName.trim())
+        throw new shared_1.ValidationError('Nome do escritório é obrigatório');
+    if (!input.ownerFullName.trim())
+        throw new shared_1.ValidationError('Nome do responsável é obrigatório');
+    const planKey = input.planKey ?? plans_js_1.SAAS_PLANS.find((p) => p.isActive && p.isPublic)?.key;
+    if (!planKey)
+        throw new shared_1.ValidationError('Nenhum plano ativo disponível');
+    const plan = await (0, repository_js_3.getPlan)(db, planKey);
+    if (!plan || !plan.isActive)
+        throw new shared_1.ValidationError(`Plano indisponível: ${planKey}`);
+    const code = await uniqueTenantCode(db, input.companyName);
+    const tenantId = await (0, provisioning_js_1.ensureTenant)(db, {
+        code,
+        displayName: input.companyName.trim(),
+        status: 'trial',
+        primaryProduct: plans_js_1.DEFAULT_PRODUCT_KEY,
+    });
+    await (0, provisioning_js_1.ensureOrganization)(db, tenantId, input.companyName.trim());
+    await (0, repository_js_2.ensureProductCatalog)(db);
+    await (0, repository_js_2.ensureTenantProduct)(db, tenantId, plans_js_1.DEFAULT_PRODUCT_KEY);
+    const trialEndsAt = addDays(nowIso, plan.trialDays > 0 ? plan.trialDays : plans_js_1.DEFAULT_TRIAL_DAYS);
+    const { subscription, domainEvents } = (0, reconcile_js_1.startTrial)(tenantId, plan.key, trialEndsAt, nowIso);
+    /*
+     * Contexto do TENANT NOVO com o usuário da OPERADORA.
+     *
+     * O operador não é membro deste escritório e nunca será — ele abre o contexto
+     * para criar o convite e sai. O `invited_by` aponta para ele, que é a
+     * resposta honesta a "quem colocou esta pessoa aqui".
+     */
+    return (0, context_js_1.withContext)(db, { tenantId, userId: input.operatorUserId }, async (tx) => {
+        const invited = await (0, repository_js_1.inviteUser)(tx, {
+            email,
+            fullName: input.ownerFullName.trim(),
+            roleKey: 'owner',
+            invitedBy: input.operatorUserId,
+        });
+        const row = await (0, repository_js_3.upsertSubscription)(tx, { tenantId, planKey: plan.key, subscription });
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, audit_js_1.appendAudit)(tx, {
+            actorId: input.operatorUserId,
+            action: 'tenant.provisioned_by_operator',
+            resourceType: 'tenant',
+            resourceId: tenantId,
+            metadata: { planKey: plan.key, trialEndsAt, tenantCode: code, ownerEmail: email },
+            ip: input.ip ?? null,
+            userAgent: input.userAgent ?? null,
+        });
+        return {
+            tenantId,
+            tenantCode: code,
+            ownerUserId: invited.userId,
+            ownerEmail: invited.email,
+            planKey: plan.key,
+            trialEndsAt,
+            activationToken: invited.activationToken,
+        };
+    });
 }
 function slugify(name) {
     return name
@@ -99,6 +165,31 @@ function slugify(name) {
         .replace(/^-+|-+$/g, '')
         .slice(0, 40);
 }
+/**
+ * Código do escritório a partir do nome, único na base.
+ *
+ * Extraído do signup quando o provisionamento pela operadora passou a precisar
+ * do mesmo cálculo. Duas cópias da regra de colisão renderiam dois códigos
+ * diferentes para o mesmo nome dependendo de por qual porta o escritório
+ * entrou — e o código aparece em referência de cobrança já emitida.
+ */
+async function uniqueTenantCode(db, companyName) {
+    const base = slugify(companyName) || 'escritorio';
+    let code = base;
+    for (let i = 2;; i += 1) {
+        const clash = await db `
+      SELECT id FROM tenant WHERE lower(code) = lower(${code}) AND deleted_at IS NULL
+    `;
+        if (!clash[0])
+            break;
+        code = `${base}-${i}`;
+        if (i > 50) {
+            code = `${base}-${(0, shared_1.uuidv7)().slice(-6)}`;
+            break;
+        }
+    }
+    return code;
+}
 /**
  * Cadastro self-service (Fase 17): cria usuário + tenant em TRIAL + organização +
  * membership com papel `owner` + entitlement do produto + assinatura `trialing`.
@@ -112,7 +203,7 @@ async function signupSelfService(db, input, nowIso) {
         throw new shared_1.ValidationError('Senha deve ter ao menos 8 caracteres');
     if (!input.companyName.trim())
         throw new shared_1.ValidationError('Nome da empresa é obrigatório');
-    const plan = await (0, repository_js_2.getPlan)(db, input.planKey);
+    const plan = await (0, repository_js_3.getPlan)(db, input.planKey);
     if (!plan || !plan.isActive || !plan.isPublic) {
         throw new shared_1.ValidationError(`Plano indisponível: ${input.planKey}`);
     }
@@ -123,20 +214,7 @@ async function signupSelfService(db, input, nowIso) {
         throw new shared_1.ConflictError('Já existe uma conta com este e-mail. Faça login para continuar.');
     }
     // Código único do tenant a partir do nome (sufixo em caso de colisão).
-    const base = slugify(input.companyName) || 'escritorio';
-    let code = base;
-    for (let i = 2;; i += 1) {
-        const clash = await db `
-      SELECT id FROM tenant WHERE lower(code) = lower(${code}) AND deleted_at IS NULL
-    `;
-        if (!clash[0])
-            break;
-        code = `${base}-${i}`;
-        if (i > 50) {
-            code = `${base}-${(0, shared_1.uuidv7)().slice(-6)}`;
-            break;
-        }
-    }
+    const code = await uniqueTenantCode(db, input.companyName);
     // INSERT puro (não upsert): o papel de app pode CRIAR credencial, nunca
     // sobrescrever (REVOKE UPDATE em user_credential — anti account-takeover).
     // A checagem de e-mail acima já garante que o usuário é novo.
@@ -159,13 +237,13 @@ async function signupSelfService(db, input, nowIso) {
     await (0, provisioning_js_1.ensureOrganization)(db, tenantId, input.companyName.trim());
     await (0, provisioning_js_1.ensureMembership)(db, tenantId, user.id);
     await (0, provisioning_js_1.assignSystemRole)(db, tenantId, user.id, 'owner');
-    await (0, repository_js_1.ensureProductCatalog)(db);
-    await (0, repository_js_1.ensureTenantProduct)(db, tenantId, 'contabil');
+    await (0, repository_js_2.ensureProductCatalog)(db);
+    await (0, repository_js_2.ensureTenantProduct)(db, tenantId, 'contabil');
     const trialEndsAt = addDays(nowIso, plan.trialDays > 0 ? plan.trialDays : 14);
     const { subscription, domainEvents } = (0, reconcile_js_1.startTrial)(tenantId, plan.key, trialEndsAt, nowIso);
     await (0, context_js_1.withContext)(db, { tenantId, userId: user.id }, async (tx) => {
-        const row = await (0, repository_js_2.upsertSubscription)(tx, { tenantId, planKey: plan.key, subscription });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+        const row = await (0, repository_js_3.upsertSubscription)(tx, { tenantId, planKey: plan.key, subscription });
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: user.id,
             action: 'signup',
@@ -211,17 +289,18 @@ function entitlementsForPlan(sub, plan, nowIso) {
     });
 }
 async function subscriptionOverview(db, ctx, nowIso) {
-    const { sub, invoices, events } = await (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        const sub0 = await (0, repository_js_2.getSubscription)(tx);
+    const { sub, invoices, events, platformBilling } = await (0, context_js_1.withContext)(db, ctx, async (tx) => {
+        const sub0 = await (0, repository_js_3.getSubscription)(tx);
         return {
             sub: sub0,
-            invoices: sub0 ? await (0, repository_js_2.listInvoices)(tx) : [],
-            events: sub0 ? await (0, repository_js_2.listBillingEvents)(tx, 20) : [],
+            invoices: sub0 ? await (0, repository_js_3.listInvoices)(tx) : [],
+            events: sub0 ? await (0, repository_js_3.listBillingEvents)(tx, 20) : [],
+            platformBilling: await (0, platform_exemption_js_1.readTenantPlatformBilling)(tx, ctx.tenantId),
         };
     });
     // Fora da transação: getPlan usa outra conexão do pool — dentro dela seria
     // um segundo checkout de conexão com transação aberta (deadlock de pool).
-    const plan = sub ? await (0, repository_js_2.getPlan)(db, sub.planKey) : null;
+    const plan = sub ? await (0, repository_js_3.getPlan)(db, sub.planKey) : null;
     return {
         subscription: sub,
         plan,
@@ -229,6 +308,8 @@ async function subscriptionOverview(db, ctx, nowIso) {
         invoices,
         entitlements: entitlementsForPlan(sub, plan, nowIso),
         events,
+        platformBilling,
+        platformBillingExempt: (0, platform_exemption_js_1.isPlatformBillingExempt)(platformBilling),
     };
 }
 /**
@@ -238,7 +319,7 @@ async function subscriptionOverview(db, ctx, nowIso) {
  * manual (backoffice) — nunca cobra por falta de configuração.
  */
 async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
-    const plan = await (0, repository_js_2.getPlan)(db, planKey, productKey);
+    const plan = await (0, repository_js_3.getPlan)(db, planKey, productKey);
     if (!plan || !plan.isActive || !plan.isPublic) {
         throw new shared_1.ValidationError(`Plano indisponível: ${planKey}`);
     }
@@ -250,6 +331,21 @@ async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = pla
     // A conta de gateway e a URL de retorno saem do PRODUTO do plano — nunca de
     // uma configuração global. É isso que impede o checkout de um produto voltar
     // para o domínio de outro, ou cobrar na conta errada.
+    // ═══ O portão da isenção vem ANTES do gateway ═════════════════════════════
+    //
+    // Um tenant isento da assinatura da plataforma não deve nem chegar a existir
+    // como cliente no gateway: `ensureCustomer` cria cadastro, `createCheckout`
+    // cria link de cobrança, e um link emitido é uma cobrança que alguém pode
+    // pagar. Recusar depois — ao reconciliar o webhook — já teria custado dinheiro
+    // ao escritório fundador.
+    //
+    // A isenção NÃO desliga o financeiro do escritório: `receivable`, honorários e
+    // régua continuam intactos. O que ela desliga é a cobrança que a Baruk faz ao
+    // escritório, e só ela.
+    const billing = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, platform_exemption_js_1.readTenantPlatformBilling)(tx, ctx.tenantId));
+    if ((0, platform_exemption_js_1.isPlatformBillingExempt)(billing)) {
+        throw new platform_exemption_js_1.PlatformBillingExemptError(billing.exemptionReason);
+    }
     const cfg = asRegistry(source).resolve({ productKey: plan.productKey, tenantId: ctx.tenantId });
     const provider = providerFor(cfg);
     if (provider.mode === 'disabled') {
@@ -270,7 +366,7 @@ async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = pla
         const userRows = await tx `
       SELECT email FROM "user" WHERE id = ${ctx.userId}
     `;
-        const sub = await (0, repository_js_2.getSubscription)(tx);
+        const sub = await (0, repository_js_3.getSubscription)(tx);
         return {
             tenantName: tenantRows[0]?.display_name ?? 'Tenant Baruk',
             email: userRows[0]?.email ?? null,
@@ -297,8 +393,8 @@ async function startCheckout(db, ctx, source, planKey, _nowIso, productKey = pla
     // 3) Persistência curta: SOMENTE as referências de provider (nunca o estado
     // da assinatura — um webhook pode tê-la mudado durante a chamada de rede).
     await (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, ctx.tenantId);
-        await (0, repository_js_2.setSubscriptionProviderRefs)(tx, ctx.tenantId, provider.name, customer.externalId);
+        await (0, repository_js_3.lockTenantBilling)(tx, ctx.tenantId);
+        await (0, repository_js_3.setSubscriptionProviderRefs)(tx, ctx.tenantId, provider.name, customer.externalId);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: ctx.userId,
             action: 'checkout_started',
@@ -355,7 +451,7 @@ async function processWebhook(db, source, headers, rawBody, payload, nowIso, pro
     const event = provider.parseWebhookEvent(payload);
     if (!event)
         return { outcome: 'ignored' };
-    const webhookId = await (0, repository_js_2.insertWebhookEvent)(db, {
+    const webhookId = await (0, repository_js_3.insertWebhookEvent)(db, {
         provider: provider.name,
         externalEventId: event.externalEventId,
         eventType: event.eventType,
@@ -372,7 +468,7 @@ async function processWebhook(db, source, headers, rawBody, payload, nowIso, pro
 async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIso, expectedProductKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
     const attribution = parseAttribution(event);
     if (!attribution) {
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'ignored', null, 'externalReference ausente/inválida');
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'ignored', null, 'externalReference ausente/inválida');
         return { outcome: 'ignored' };
     }
     // ISOLAMENTO FINANCEIRO: a conta que assinou o webhook é a conta de UM
@@ -380,15 +476,15 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
     // errada no gateway — ou é tentativa de mover dinheiro entre produtos.
     // Recusar é obrigatório: reconciliar aqui escreveria na assinatura errada.
     if (attribution.productKey !== expectedProductKey) {
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'ignored', null, `produto divergente: evento=${attribution.productKey} conta=${expectedProductKey}`);
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'ignored', null, `produto divergente: evento=${attribution.productKey} conta=${expectedProductKey}`);
         return { outcome: 'ignored' };
     }
     try {
-        const plan = await (0, repository_js_2.getPlan)(db, attribution.planKey, attribution.productKey);
+        const plan = await (0, repository_js_3.getPlan)(db, attribution.planKey, attribution.productKey);
         const { tenantId } = attribution;
         const applied = await (0, context_js_1.withContext)(db, { tenantId }, async (tx) => {
-            await (0, repository_js_2.lockTenantBilling)(tx, tenantId);
-            const current = await (0, repository_js_2.getSubscription)(tx);
+            await (0, repository_js_3.lockTenantBilling)(tx, tenantId);
+            const current = await (0, repository_js_3.getSubscription)(tx);
             // Guarda de ordenação (webhook atrasado): um OVERDUE que chega DEPOIS do
             // pagamento do mesmo ciclo (período corrente ainda vigente) é obsoleto —
             // aplicá-lo marcaria past_due uma assinatura em dia. Política de
@@ -448,7 +544,7 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
                     currentPeriodEnd: addMonths(nowIso, plan.periodicity === 'yearly' ? 12 : 3),
                 };
             }
-            const row = await (0, repository_js_2.upsertSubscription)(tx, {
+            const row = await (0, repository_js_3.upsertSubscription)(tx, {
                 tenantId,
                 planKey: effectivePlanKey ?? current?.planKey ?? next.items[0]?.planKey ?? 'starter',
                 subscription: next,
@@ -456,9 +552,9 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
                 providerCustomerId: event.externalCustomerId ?? null,
                 providerSubscriptionId: event.subscription?.externalId ?? null,
             });
-            await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+            await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
             if (event.invoice) {
-                await (0, repository_js_2.upsertInvoice)(tx, {
+                await (0, repository_js_3.upsertInvoice)(tx, {
                     tenantId,
                     subscriptionRowId: row.rowId,
                     provider: provider.name,
@@ -486,25 +582,25 @@ async function reconcileStoredWebhookEvent(db, provider, event, webhookId, nowIs
             return null;
         });
         if (applied !== null) {
-            await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'ignored', attribution.tenantId, applied);
+            await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'ignored', attribution.tenantId, applied);
             return { outcome: 'ignored', tenantId: attribution.tenantId };
         }
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'processed', attribution.tenantId);
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'processed', attribution.tenantId);
         return { outcome: 'processed', tenantId: attribution.tenantId };
     }
     catch (err) {
-        await (0, repository_js_2.markWebhookEvent)(db, webhookId, 'failed', attribution.tenantId, err instanceof Error ? err.message : String(err));
+        await (0, repository_js_3.markWebhookEvent)(db, webhookId, 'failed', attribution.tenantId, err instanceof Error ? err.message : String(err));
         return { outcome: 'failed', tenantId: attribution.tenantId };
     }
 }
 // ── Gestão da assinatura (tenant) ────────────────────────────────────────────
 async function changePlanForTenant(db, ctx, newPlanKey, nowIso) {
-    const plan = await (0, repository_js_2.getPlan)(db, newPlanKey);
+    const plan = await (0, repository_js_3.getPlan)(db, newPlanKey);
     if (!plan || !plan.isActive)
         throw new shared_1.ValidationError(`Plano desconhecido: ${newPlanKey}`);
     return (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, ctx.tenantId);
-        const current = await (0, repository_js_2.getSubscription)(tx);
+        await (0, repository_js_3.lockTenantBilling)(tx, ctx.tenantId);
+        const current = await (0, repository_js_3.getSubscription)(tx);
         if (!current)
             throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
         if (current.status === 'canceled') {
@@ -513,12 +609,12 @@ async function changePlanForTenant(db, ctx, newPlanKey, nowIso) {
         if (current.planKey === plan.key)
             return current;
         const { subscription, domainEvents } = (0, reconcile_js_1.changePlan)(current, plan.key, nowIso);
-        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+        const row = await (0, repository_js_3.upsertSubscription)(tx, {
             tenantId: ctx.tenantId,
             planKey: plan.key,
             subscription,
         });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: ctx.userId,
             action: 'plan_changed',
@@ -547,7 +643,7 @@ async function changePlanForTenant(db, ctx, newPlanKey, nowIso) {
  */
 async function cancelForTenant(db, ctx, source, nowIso, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
     // Fora da transação: chamada de rede não pode segurar o lock do tenant.
-    const existing = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_2.getSubscription)(tx, productKey));
+    const existing = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_3.getSubscription)(tx, productKey));
     if (!existing)
         throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
     let providerOutcome = 'skipped_no_provider_id';
@@ -563,8 +659,8 @@ async function cancelForTenant(db, ctx, source, nowIso, productKey = plans_js_1.
         }
     }
     return (0, context_js_1.withContext)(db, ctx, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, ctx.tenantId);
-        const current = await (0, repository_js_2.getSubscription)(tx, productKey);
+        await (0, repository_js_3.lockTenantBilling)(tx, ctx.tenantId);
+        const current = await (0, repository_js_3.getSubscription)(tx, productKey);
         if (!current)
             throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
         // Idempotência: cancelar o que já está cancelado devolve o estado, sem erro
@@ -572,12 +668,12 @@ async function cancelForTenant(db, ctx, source, nowIso, productKey = plans_js_1.
         if (current.status === 'canceled')
             return current;
         const { subscription, domainEvents } = (0, reconcile_js_1.cancelSubscription)(current, nowIso);
-        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+        const row = await (0, repository_js_3.upsertSubscription)(tx, {
             tenantId: ctx.tenantId,
             planKey: current.planKey,
             subscription,
         });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
         await syncTenantStatus(tx, ctx.tenantId, subscription.status);
         await (0, audit_js_1.appendAudit)(tx, {
             actorId: ctx.userId,
@@ -597,7 +693,7 @@ async function cancelForTenant(db, ctx, source, nowIso, productKey = plans_js_1.
  * devolve o checkout; em modo 'disabled' a reativação é manual (backoffice).
  */
 async function reactivateForTenant(db, ctx, source, nowIso, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
-    const sub = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_2.getSubscription)(tx, productKey));
+    const sub = await (0, context_js_1.withContext)(db, ctx, (tx) => (0, repository_js_3.getSubscription)(tx, productKey));
     if (!sub)
         throw new shared_1.NotFoundError('Nenhuma assinatura para este tenant');
     if (sub.status === 'active' || sub.status === 'trialing') {
@@ -607,10 +703,10 @@ async function reactivateForTenant(db, ctx, source, nowIso, productKey = plans_j
 }
 // ── Backoffice (operadora) ───────────────────────────────────────────────────
 async function backofficeListSubscriptions(db, filter = {}) {
-    return (0, repository_js_2.withOperatorContext)(db, (tx) => (0, repository_js_2.listAllSubscriptions)(tx, filter));
+    return (0, repository_js_3.withOperatorContext)(db, (tx) => (0, repository_js_3.listAllSubscriptions)(tx, filter));
 }
 async function backofficeOverview(db) {
-    return (0, repository_js_2.withOperatorContext)(db, (tx) => (0, repository_js_2.backofficeSummary)(tx));
+    return (0, repository_js_3.withOperatorContext)(db, (tx) => (0, repository_js_3.backofficeSummary)(tx));
 }
 async function backofficeListWebhookEvents(db, limit = 100) {
     const rows = await db `
@@ -634,13 +730,85 @@ async function backofficeListWebhookEvents(db, limit = 100) {
  * simula uma fatura `received` e reconcilia pelo MESMO caminho do webhook —
  * nenhuma transição de estado fora do domínio puro.
  */
+/**
+ * A operadora declara — ou revoga — a isenção da assinatura de plataforma.
+ *
+ * ## Por que esta função existe, e por que ela não existia
+ *
+ * A C1 entregou `tenant_platform_billing` com RLS por comando e testes verdes, e
+ * a tabela terminou o deploy com ZERO linhas. Não por esquecimento: não havia
+ * caminho de produto para escrevê-la. `setTenantPlatformBilling` era exportada e
+ * alcançável só por código, o que na prática significa "alguém abre um console e
+ * roda um script" — exatamente o tipo de ato que a tabela existe para tornar
+ * auditável.
+ *
+ * Um mecanismo cujo único acionamento é um script fora do produto não é um
+ * mecanismo auditável; é um mecanismo com a auditoria de fora.
+ *
+ * ## Quem pode
+ *
+ * Só a OPERADORA (allowlist de e-mails do backoffice). O tenant não escreve a
+ * própria isenção — a RLS da 0060 já garante isso, e esta rota não é uma segunda
+ * barreira, é o caminho que atravessa a primeira legitimamente, com
+ * `withOperatorContext`.
+ *
+ * ## O que fica gravado
+ *
+ * `granted_by` é o USUÁRIO operador, não um rótulo. `granted_at` sai do banco.
+ * E a trilha registra o e-mail de quem decidiu, o motivo e o tenant — porque a
+ * pergunta que alguém vai fazer daqui a um ano é "quem isentou este escritório,
+ * quando e por quê", e ela não pode depender de memória.
+ *
+ * Revogar usa a mesma porta: `billingMode: 'standard'` limpa motivo e data, e o
+ * motor volta a cobrar. Uma isenção que só se concede é uma isenção permanente
+ * por acidente.
+ */
+async function backofficeSetPlatformBillingExemption(db, operator, input) {
+    const tenants = await db `
+    SELECT id FROM tenant WHERE id = ${input.tenantId} AND deleted_at IS NULL
+  `;
+    if (!tenants[0])
+        throw new shared_1.ValidationError(`Tenant desconhecido: ${input.tenantId}`);
+    const record = await (0, repository_js_3.withOperatorContext)(db, (tx) => (0, platform_exemption_js_1.setTenantPlatformBilling)(tx, {
+        tenantId: input.tenantId,
+        billingMode: input.billingMode,
+        exemptionReason: input.exemptionReason ?? null,
+        foundingTenant: input.foundingTenant ?? false,
+        grantedBy: operator.userId,
+        expiresOn: input.expiresOn ?? null,
+        notes: input.notes ?? null,
+    }));
+    /*
+     * A trilha é escrita no contexto do TENANT afetado, e não no do operador: é lá
+     * que alguém vai procurar por que aquele escritório não é cobrado. `audit_log`
+     * é tenant-scoped, e gravar no lugar errado é o mesmo que não gravar.
+     */
+    await (0, context_js_1.withContext)(db, { tenantId: input.tenantId, userId: operator.userId }, (tx) => (0, audit_js_1.appendAudit)(tx, {
+        actorType: 'user',
+        actorId: operator.userId,
+        action: record.billingMode === 'exempt'
+            ? 'platform_billing_exemption_granted'
+            : 'platform_billing_exemption_revoked',
+        resourceType: 'tenant_platform_billing',
+        resourceId: null,
+        metadata: {
+            operatorEmail: operator.email,
+            billingMode: record.billingMode,
+            exemptionReason: record.exemptionReason,
+            foundingTenant: record.foundingTenant,
+            expiresOn: record.expiresOn,
+            notes: record.notes,
+        },
+    }));
+    return record;
+}
 async function backofficeActivateSubscription(db, operatorEmail, tenantId, planKey, nowIso) {
-    const plan = await (0, repository_js_2.getPlan)(db, planKey);
+    const plan = await (0, repository_js_3.getPlan)(db, planKey);
     if (!plan)
         throw new shared_1.ValidationError(`Plano desconhecido: ${planKey}`);
     return (0, context_js_1.withContext)(db, { tenantId }, async (tx) => {
-        await (0, repository_js_2.lockTenantBilling)(tx, tenantId);
-        const current = await (0, repository_js_2.getSubscription)(tx);
+        await (0, repository_js_3.lockTenantBilling)(tx, tenantId);
+        const current = await (0, repository_js_3.getSubscription)(tx);
         const manualEvent = {
             externalEventId: `manual_${(0, shared_1.uuidv7)()}`,
             eventType: 'manual.activation',
@@ -661,14 +829,14 @@ async function backofficeActivateSubscription(db, operatorEmail, tenantId, planK
             event: manualEvent,
             now: nowIso,
         });
-        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+        const row = await (0, repository_js_3.upsertSubscription)(tx, {
             tenantId,
             planKey: plan.key,
             subscription,
             provider: 'manual',
         });
-        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
-        await (0, repository_js_2.upsertInvoice)(tx, {
+        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
+        await (0, repository_js_3.upsertInvoice)(tx, {
             tenantId,
             subscriptionRowId: row.rowId,
             provider: 'manual',
@@ -697,14 +865,14 @@ async function backofficeActivateSubscription(db, operatorEmail, tenantId, planK
 async function retryFailedWebhookEvents(db, source, nowIso, limit = 25, productKey = plans_js_1.DEFAULT_PRODUCT_KEY) {
     const cfg = asRegistry(source).resolve({ productKey });
     const provider = providerFor(cfg);
-    const failed = await (0, repository_js_2.listFailedWebhookEvents)(db, limit);
+    const failed = await (0, repository_js_3.listFailedWebhookEvents)(db, limit);
     let recovered = 0;
     for (const row of failed) {
         if (row.provider !== provider.name)
             continue;
         const event = provider.parseWebhookEvent(row.payload);
         if (!event) {
-            await (0, repository_js_2.markWebhookEvent)(db, row.id, 'ignored', null, 'payload não parseável no reprocessamento');
+            await (0, repository_js_3.markWebhookEvent)(db, row.id, 'ignored', null, 'payload não parseável no reprocessamento');
             continue;
         }
         const result = await reconcileStoredWebhookEvent(db, provider, event, row.id, nowIso, productKey);
@@ -748,7 +916,7 @@ async function runBillingCron(db, source, nowIso) {
         report.webhooksRetried += retry.retried;
         report.webhooksRecovered += retry.recovered;
     }
-    const subs = await (0, repository_js_2.withOperatorContext)(db, (tx) => (0, repository_js_2.listSubscriptionsForCron)(tx, today));
+    const subs = await (0, repository_js_3.withOperatorContext)(db, (tx) => (0, repository_js_3.listSubscriptionsForCron)(tx, today));
     report.examined = subs.length;
     for (const sub of subs) {
         // Isolamento de falha: um tenant quebrado não pode derrubar a régua dos demais.
@@ -758,8 +926,8 @@ async function runBillingCron(db, source, nowIso) {
             // assinatura — nunca de uma configuração global compartilhada.
             const cfg = registry.resolve({ productKey: sub.productKey, tenantId: sub.tenantId });
             await (0, context_js_1.withContext)(db, { tenantId: sub.tenantId }, async (tx) => {
-                await (0, repository_js_2.lockTenantBilling)(tx, sub.tenantId);
-                const loaded = await (0, repository_js_2.getSubscription)(tx, sub.productKey);
+                await (0, repository_js_3.lockTenantBilling)(tx, sub.tenantId);
+                const loaded = await (0, repository_js_3.getSubscription)(tx, sub.productKey);
                 if (!loaded)
                     return; // sumiu entre o scan e o lock (ex.: tenant removido)
                 let current = loaded;
@@ -801,30 +969,30 @@ async function runBillingCron(db, source, nowIso) {
                             ...subscription,
                             currentPeriodEnd: subscription.currentPeriodEnd ?? reference,
                         };
-                        const row = await (0, repository_js_2.upsertSubscription)(tx, {
+                        const row = await (0, repository_js_3.upsertSubscription)(tx, {
                             tenantId: current.tenantId,
                             planKey: current.planKey,
                             subscription: next,
                         });
-                        await (0, repository_js_2.appendDomainEvents)(tx, row.rowId, domainEvents);
+                        await (0, repository_js_3.appendDomainEvents)(tx, row.rowId, domainEvents);
                         await (0, audit_js_1.appendAudit)(tx, {
                             actorType: 'automation',
                             action: trialExpired ? 'trial_expired' : 'period_expired',
                             resourceType: 'saas_subscription',
                             resourceId: row.rowId,
                         });
-                        current = (await (0, repository_js_2.getSubscription)(tx));
+                        current = (await (0, repository_js_3.getSubscription)(tx));
                     }
                 }
                 // 2. Régua de inadimplência (idempotente por stepKey + reference_date).
                 if (current.status === 'past_due') {
                     const reference = current.currentPeriodEnd ?? current.trialEndsAt ?? today;
-                    const executed = await (0, repository_js_2.listExecutedDunningSteps)(tx, current.rowId, reference);
+                    const executed = await (0, repository_js_3.listExecutedDunningSteps)(tx, current.rowId, reference);
                     const events = (0, dunning_js_1.dunningStepsAsEvents)({ ...current, currentPeriodEnd: reference }, today, executed);
                     for (const ev of events) {
                         const stepKey = ev.data.dunningStep?.stepKey ??
                             `step_${ev.sequence}`;
-                        await (0, repository_js_2.recordDunningStep)(tx, {
+                        await (0, repository_js_3.recordDunningStep)(tx, {
                             tenantId: current.tenantId,
                             subscriptionRowId: current.rowId,
                             stepKey,
@@ -833,9 +1001,9 @@ async function runBillingCron(db, source, nowIso) {
                         report.dunningStepsExecuted += 1;
                     }
                     if (events.length > 0) {
-                        await (0, repository_js_2.appendDomainEvents)(tx, current.rowId, events);
+                        await (0, repository_js_3.appendDomainEvents)(tx, current.rowId, events);
                         dunningEmailTo = await ownerEmailForTenant(tx, current.tenantId);
-                        await (0, repository_js_2.upsertSubscription)(tx, {
+                        await (0, repository_js_3.upsertSubscription)(tx, {
                             tenantId: current.tenantId,
                             planKey: current.planKey,
                             subscription: { ...current, sequence: current.sequence + events.length },