@caoscompanybr/merlin 3.5.0

package/.merlin-core/tools/vps-security-audit.sh

@@ -0,0 +1,234 @@
+#!/bin/bash
+# ============================================================
+# VPS Security Audit Script — Merlin Security Toolkit
+# Run as root: sudo bash vps-security-audit.sh
+# ============================================================
+
+RED='\033[0;31m'
+GREEN='\033[0;32m'
+YELLOW='\033[1;33m'
+NC='\033[0m'
+PASS=0
+FAIL=0
+WARN=0
+
+check() {
+  if [ "$2" = "PASS" ]; then
+    echo -e "  ${GREEN}[PASS]${NC} $1"
+    ((PASS++))
+  elif [ "$2" = "FAIL" ]; then
+    echo -e "  ${RED}[FAIL]${NC} $1"
+    ((FAIL++))
+  else
+    echo -e "  ${YELLOW}[WARN]${NC} $1"
+    ((WARN++))
+  fi
+}
+
+echo "============================================"
+echo "  VPS SECURITY AUDIT — $(date '+%Y-%m-%d %H:%M')"
+echo "  Host: $(hostname) | IP: $(curl -s ifconfig.me 2>/dev/null || echo 'N/A')"
+echo "  OS: $(cat /etc/os-release 2>/dev/null | grep PRETTY_NAME | cut -d'"' -f2)"
+echo "============================================"
+echo ""
+
+# --- 1. SSH Configuration ---
+echo ">> SSH Configuration"
+
+SSH_CONF="/etc/ssh/sshd_config"
+if [ -f "$SSH_CONF" ]; then
+  # Password auth
+  if grep -qE "^PasswordAuthentication\s+no" "$SSH_CONF"; then
+    check "Password authentication disabled" "PASS"
+  else
+    check "Password authentication ENABLED — disable it!" "FAIL"
+  fi
+
+  # Root login
+  if grep -qE "^PermitRootLogin\s+no" "$SSH_CONF"; then
+    check "Root login disabled" "PASS"
+  elif grep -qE "^PermitRootLogin\s+prohibit-password" "$SSH_CONF"; then
+    check "Root login: key-only (acceptable)" "WARN"
+  else
+    check "Root login ENABLED — disable it!" "FAIL"
+  fi
+
+  # SSH Port
+  SSH_PORT=$(grep -E "^Port\s+" "$SSH_CONF" | awk '{print $2}')
+  if [ -z "$SSH_PORT" ] || [ "$SSH_PORT" = "22" ]; then
+    check "SSH on default port 22 — change to non-standard" "WARN"
+  else
+    check "SSH on custom port $SSH_PORT" "PASS"
+  fi
+else
+  check "SSH config not found at $SSH_CONF" "WARN"
+fi
+
+echo ""
+
+# --- 2. Firewall ---
+echo ">> Firewall"
+
+if command -v ufw &>/dev/null; then
+  UFW_STATUS=$(ufw status 2>/dev/null | head -1)
+  if echo "$UFW_STATUS" | grep -q "active"; then
+    check "UFW firewall active" "PASS"
+    OPEN_PORTS=$(ufw status | grep "ALLOW" | awk '{print $1}' | sort -u | tr '\n' ', ')
+    check "Open ports: ${OPEN_PORTS%,}" "WARN"
+  else
+    check "UFW installed but INACTIVE" "FAIL"
+  fi
+elif command -v iptables &>/dev/null; then
+  RULES=$(iptables -L -n 2>/dev/null | grep -c "ACCEPT\|DROP\|REJECT")
+  if [ "$RULES" -gt 3 ]; then
+    check "iptables has $RULES rules configured" "PASS"
+  else
+    check "iptables has minimal rules — review needed" "WARN"
+  fi
+else
+  check "No firewall detected!" "FAIL"
+fi
+
+echo ""
+
+# --- 3. Fail2ban ---
+echo ">> Brute Force Protection"
+
+if command -v fail2ban-client &>/dev/null; then
+  if systemctl is-active --quiet fail2ban 2>/dev/null; then
+    JAILS=$(fail2ban-client status 2>/dev/null | grep "Jail list" | sed 's/.*://;s/,/ /g')
+    BANNED=$(fail2ban-client status sshd 2>/dev/null | grep "Currently banned" | awk '{print $NF}')
+    check "Fail2ban active — jails:${JAILS} — banned IPs: ${BANNED:-0}" "PASS"
+  else
+    check "Fail2ban installed but NOT running" "FAIL"
+  fi
+else
+  check "Fail2ban NOT installed — install it!" "FAIL"
+fi
+
+echo ""
+
+# --- 4. Updates ---
+echo ">> System Updates"
+
+if command -v apt &>/dev/null; then
+  UPDATES=$(apt list --upgradable 2>/dev/null | grep -c "upgradable")
+  if [ "$UPDATES" -gt 10 ]; then
+    check "$UPDATES packages need updating — run apt upgrade!" "FAIL"
+  elif [ "$UPDATES" -gt 0 ]; then
+    check "$UPDATES packages need updating" "WARN"
+  else
+    check "System up to date" "PASS"
+  fi
+
+  if dpkg -l | grep -q unattended-upgrades; then
+    check "Unattended upgrades installed" "PASS"
+  else
+    check "Unattended upgrades NOT installed" "FAIL"
+  fi
+fi
+
+echo ""
+
+# --- 5. Running Services ---
+echo ">> Exposed Services"
+
+LISTENING=$(ss -tulnp 2>/dev/null | grep LISTEN | awk '{print $5}' | sed 's/.*://' | sort -un | tr '\n' ', ')
+check "Listening ports: ${LISTENING%,}" "WARN"
+
+# Docker check
+if command -v docker &>/dev/null; then
+  CONTAINERS=$(docker ps --format '{{.Names}} ({{.Ports}})' 2>/dev/null | tr '\n' ', ')
+  check "Docker containers: ${CONTAINERS:-none}" "WARN"
+fi
+
+echo ""
+
+# --- 6. Suspicious Activity ---
+echo ">> Suspicious Activity Check"
+
+# Failed SSH attempts (last 24h)
+if [ -f /var/log/auth.log ]; then
+  FAILED=$(grep "Failed password" /var/log/auth.log 2>/dev/null | wc -l)
+elif journalctl -u sshd &>/dev/null 2>&1; then
+  FAILED=$(journalctl -u sshd --since "24 hours ago" 2>/dev/null | grep -c "Failed password")
+else
+  FAILED=0
+fi
+
+if [ "$FAILED" -gt 100 ]; then
+  check "SSH brute force: $FAILED failed attempts in 24h!" "FAIL"
+elif [ "$FAILED" -gt 10 ]; then
+  check "SSH: $FAILED failed login attempts in 24h" "WARN"
+else
+  check "SSH: $FAILED failed attempts in 24h" "PASS"
+fi
+
+# Suspicious crontabs
+CRON_ENTRIES=$(crontab -l 2>/dev/null | grep -vcE "^#|^$" || echo 0)
+check "Root crontab: $CRON_ENTRIES entries" "WARN"
+
+# World-writable files in sensitive locations
+WW_COUNT=$(find /etc /usr/local/bin -perm -002 -type f 2>/dev/null | wc -l)
+if [ "$WW_COUNT" -gt 0 ]; then
+  check "World-writable files in /etc or /usr/local/bin: $WW_COUNT" "FAIL"
+else
+  check "No world-writable files in sensitive dirs" "PASS"
+fi
+
+# Users with UID 0 (should only be root)
+ROOT_USERS=$(awk -F: '$3 == 0 {print $1}' /etc/passwd | tr '\n' ', ')
+if [ "$ROOT_USERS" = "root," ]; then
+  check "Only root has UID 0" "PASS"
+else
+  check "Multiple UID 0 users: $ROOT_USERS" "FAIL"
+fi
+
+echo ""
+
+# --- 7. Backups ---
+echo ">> Backup Status"
+
+# Check common backup tools
+if command -v restic &>/dev/null; then
+  check "Restic backup tool installed" "PASS"
+elif command -v borgbackup &>/dev/null || command -v borg &>/dev/null; then
+  check "Borg backup tool installed" "PASS"
+elif crontab -l 2>/dev/null | grep -qi "backup\|rsync\|tar.*gz"; then
+  check "Backup cron job detected" "PASS"
+else
+  check "No backup solution detected!" "FAIL"
+fi
+
+echo ""
+
+# --- 8. SSL/TLS ---
+echo ">> SSL/TLS"
+
+if command -v certbot &>/dev/null; then
+  CERTS=$(certbot certificates 2>/dev/null | grep "Domains:" | sed 's/.*Domains: //' | tr '\n' ', ')
+  EXPIRY=$(certbot certificates 2>/dev/null | grep "Expiry Date:" | head -1 | sed 's/.*Expiry Date: //' | cut -d' ' -f1)
+  check "Certbot active — domains: ${CERTS:-none} — expires: ${EXPIRY:-unknown}" "PASS"
+elif [ -d "/etc/letsencrypt/live" ]; then
+  CERT_DOMAINS=$(ls /etc/letsencrypt/live/ 2>/dev/null | tr '\n' ', ')
+  check "Let's Encrypt certs found: ${CERT_DOMAINS%,}" "PASS"
+else
+  check "No Let's Encrypt / Certbot detected" "WARN"
+fi
+
+echo ""
+
+# --- Summary ---
+echo "============================================"
+echo "  RESULTS: ${GREEN}${PASS} PASS${NC} | ${RED}${FAIL} FAIL${NC} | ${YELLOW}${WARN} WARN${NC}"
+echo "============================================"
+
+if [ "$FAIL" -gt 0 ]; then
+  echo ""
+  echo -e "  ${RED}ACTION REQUIRED: Fix $FAIL failing checks above.${NC}"
+  echo "  Priority: SSH hardening > Firewall > Fail2ban > Updates"
+fi
+
+echo ""
+echo "  Save this report: sudo bash vps-security-audit.sh > audit-$(date +%Y%m%d).txt 2>&1"
+echo ""

package/INSTALL.md

@@ -0,0 +1,312 @@
+# Merlin — Full Installation Guide
+
+> Get from zero (fresh machine) to running `claude` with Merlin loaded in **~15 minutes**.
+
+## TL;DR — Quick Start (after prerequisites)
+
+```bash
+npm install -g @caoscompanybr/merlin
+merlin activate <your-key> --email <you@example.com>   # required: binds your paid license to this machine
+mkdir my-project && cd my-project
+merlin init
+claude
+```
+
+> Merlin is **commercial, licensed software** (see [LICENSE](LICENSE), a
+> Brazil-aware B2B EULA). `merlin init` requires a valid, activated license.
+> Check status anytime with `merlin license` (`--refresh` forces a heartbeat).
+> What the licensing sends is described in
+> [PRIVACY-LICENSING.md](PRIVACY-LICENSING.md) (LGPD).
+
+---
+
+## 1. Prerequisites Matrix
+
+| Tier | What                        | Why                                                                      | Required?                                                    |
+| ---- | --------------------------- | ------------------------------------------------------------------------ | ------------------------------------------------------------ |
+| 1    | **Node.js 22+**             | Runs the `merlin` binary                                                 | **REQUIRED**                                                 |
+| 1    | **`@caoscompanybr/merlin`** | The Merlin framework itself                                              | **REQUIRED**                                                 |
+| 2    | **Claude Code**             | The AI that reads CLAUDE.md, dispatches agents, runs skills              | **REQUIRED to use it**                                       |
+| 2    | **Anthropic API key**       | So Claude Code can talk to Claude                                        | **REQUIRED** (sign up at console.anthropic.com, add billing) |
+| 2    | **Git**                     | Used by most Merlin workflows (commit, PR, handoff)                      | Strongly recommended                                         |
+| 3    | VS Code                     | Nicer editor; terminal works fine without it                             | Optional                                                     |
+| 4    | Python 3.9+                 | Only needed by 3 skills (`load-testing`, `mage-beauty`, `skill-creator`) | Install lazily when needed                                   |
+| 4    | Docker Desktop              | Only for self-hosted automation stacks (n8n, etc.)                       | Only for licence install                                     |
+| 4    | Rust                        | Only for building Merlin Workbench locally                               | Only for licence install                                     |
+
+**The framework itself is 1.6 MB packed. The CLI binary is 5 MB unpacked. You don't need 30 GB of dev tools just to run Merlin.**
+
+---
+
+## 2. macOS Installation
+
+> Most common path.
+
+### Step 1 — Install Homebrew (the Mac package manager)
+
+```bash
+/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
+```
+
+Then add it to your shell PATH (run the command Homebrew tells you, usually):
+
+```bash
+# Apple Silicon (M1/M2/M3/M4):
+echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> ~/.zprofile
+eval "$(/opt/homebrew/bin/brew shellenv)"
+
+# Intel Mac:
+echo 'eval "$(/usr/local/bin/brew shellenv)"' >> ~/.zprofile
+eval "$(/usr/local/bin/brew shellenv)"
+
+brew --version    # → Homebrew 4.x.x
+```
+
+### Step 2 — Install Node 22 + Git
+
+```bash
+brew install node@22 git
+brew link --force --overwrite node@22
+node -v          # → v22.x.x
+git --version    # → git version 2.x.x
+```
+
+### Step 3 — Install Claude Code
+
+```bash
+curl -fsSL https://claude.ai/install.sh | bash
+claude --version    # → claude version X.X.X (reopen terminal if not found)
+```
+
+### Step 4 — Install Merlin globally
+
+```bash
+npm install -g @caoscompanybr/merlin
+merlin --version    # → 1.0.2 or higher
+```
+
+### Step 5 — Initialize your first project
+
+```bash
+mkdir -p ~/DevOps && cd ~/DevOps
+mkdir my-first-project && cd my-first-project
+merlin init
+```
+
+Expected output:
+
+```
+✓ tools (38 files)
+✓ skills (483 files)
+✓ commands (35 files)
+...
+Verification: PASSED (3.5.0)
+
+Created (7):
+  + .merlin
+  + .merlin/locks
+  + .merlin/sessions
+  + .merlin/cache
+  + .merlin/logs
+  + .mcp.json
+  + .gitignore (added .merlin/)
+```
+
+### Step 6 — Launch Claude Code in the project
+
+```bash
+claude
+```
+
+First run prompts for your Anthropic API key (paste it from https://console.anthropic.com → Settings → API Keys). After auth, Claude loads `.claude/CLAUDE.md` and Merlin is live. Try:
+
+```
+/research what skills are available in this project
+```
+
+---
+
+## 3. Windows Installation
+
+> Use **Git Bash** (comes with Git for Windows) — not CMD or default PowerShell. Most Merlin commands assume Unix-style shell.
+
+### Step 1 — Install Node.js 22 + Git
+
+Download installers:
+
+- Node 22 LTS: https://nodejs.org/en/download
+- Git for Windows: https://git-scm.com/download/win (includes Git Bash)
+
+Open **Git Bash** and verify:
+
+```bash
+node -v          # → v22.x.x
+git --version    # → git version 2.x.x
+```
+
+### Step 2 — Install Claude Code
+
+In Git Bash:
+
+```bash
+curl -fsSL https://claude.ai/install.sh | bash
+claude --version
+```
+
+### Step 3 — Install Merlin globally
+
+```bash
+npm install -g @caoscompanybr/merlin
+merlin --version    # → 1.0.2 or higher
+```
+
+### Step 4 — Initialize + launch
+
+```bash
+mkdir -p /c/DevOps/my-project && cd /c/DevOps/my-project
+merlin init
+claude
+```
+
+### Windows + VS Code gotcha
+
+If you launch the terminal from inside VS Code's integrated terminal and `claude` fails with exit code 1:
+
+```bash
+unset CLAUDECODE && claude
+```
+
+Permanent fix — add to VS Code `settings.json`:
+
+```json
+"terminal.integrated.env.windows": { "CLAUDECODE": null }
+```
+
+(VS Code's Claude Code extension sets `CLAUDECODE=1` which blocks nested `claude` launches.)
+
+---
+
+## 4. Linux Installation (Ubuntu/Debian)
+
+### Step 1 — System packages
+
+```bash
+sudo apt update && sudo apt install -y curl git build-essential
+```
+
+### Step 2 — Install Node 22 via NodeSource
+
+```bash
+curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
+sudo apt install -y nodejs
+node -v          # → v22.x.x
+```
+
+### Step 3 — Install Claude Code
+
+```bash
+curl -fsSL https://claude.ai/install.sh | bash
+claude --version
+```
+
+### Step 4 — Install Merlin globally
+
+If you hit `EACCES` permission errors on `npm install -g`, configure a user-level npm prefix first:
+
+```bash
+mkdir -p ~/.npm-global
+npm config set prefix ~/.npm-global
+echo 'export PATH=~/.npm-global/bin:$PATH' >> ~/.bashrc
+source ~/.bashrc
+```
+
+Then:
+
+```bash
+npm install -g @caoscompanybr/merlin
+merlin --version    # → 1.0.2 or higher
+```
+
+### Step 5 — Initialize + launch
+
+```bash
+mkdir -p ~/projects/my-project && cd ~/projects/my-project
+merlin init
+claude
+```
+
+---
+
+## 5. Post-Install Verification
+
+Run these in any Merlin-initialized project dir:
+
+```bash
+merlin --version     # → 1.0.2+
+merlin doctor        # Health check — expect ~5 [OK] lines
+merlin agents        # → "Available agents (16): @analyst, @architect, ..."
+merlin skills        # → "Available skills (72): ..."
+merlin mcp           # → "No MCP servers configured" (expected on fresh init)
+```
+
+Inside `claude`:
+
+```
+/research what does this project do?     # Tests AI + agent dispatch
+/help                                     # Lists all Merlin slash commands
+```
+
+---
+
+## 6. Troubleshooting
+
+| Symptom                                                                | Fix                                                                                                      |
+| ---------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------- |
+| `merlin: command not found` after install                              | Reopen terminal. If still missing: `npm prefix -g` to find install dir, ensure that dir is in PATH.      |
+| `Cannot find module '../.merlin-core/core/commands/init'`              | You have v1.0.0 cached. Upgrade: `npm install -g @caoscompanybr/merlin@latest`                           |
+| `claude` errors with exit code 1 in VS Code terminal                   | `unset CLAUDECODE && claude` — or set VS Code env override (see Windows section)                         |
+| `merlin doctor` shows `[!!] mcp-system: no servers defined`            | Expected on fresh init. Add servers to `.mcp.json` when you need them.                                   |
+| `merlin doctor` shows `[XX] config-system: Config directory not found` | Pre-existing minor framework health-check item, doesn't affect usage. Will be fixed in a future release. |
+| Build fails on Mac with `xcrun` / `clang` error                        | `xcode-select --install`                                                                                 |
+| `npm install -g` fails with EACCES on Linux                            | Set user-level prefix (see Linux Step 4)                                                                 |
+
+---
+
+## 7. What to Do Next
+
+### Learn the framework
+
+- Read `.claude/CLAUDE.md` in your project — auto-loaded by Claude Code, explains the 15 agents, 8-layer context engine, 13 principles
+- Read `.merlin-core/constitution.md` — the 13 governing principles
+- Browse `.merlin-core/skills/general/` — 60+ skills you can invoke
+
+### Try the core workflows
+
+```
+/fast-start            # Session onboarding — triage existing thoughts
+/research <topic>      # Deep codebase research with parallel sub-agents
+/plan <feature>        # Interactive implementation planning
+/implement             # Execute a saved plan, phase by phase
+/commit                # Safe commit with secret scan
+/handoff               # Save session context for the next chat
+```
+
+### Optional upgrades
+
+- **MCP servers** — add to `.mcp.json` to give Merlin external capabilities (browser, Paper.design, n8n, Notion, etc.). See `.merlin-core/skills/general/mcp-builder/` for setup help.
+- **Domain skills** — drop your own SKILL.md folders into `.merlin-core/skills/domain/` for project-specific knowledge
+- **Update Merlin** — when new versions ship: `npm install -g @caoscompanybr/merlin@latest` then `merlin init` in each project to pull the latest framework files
+
+---
+
+## 8. Getting Help
+
+- **Repo:** https://github.com/EuGenio1FreeLa/gestao-merlin
+- **npm:** https://www.npmjs.com/package/@caoscompanybr/merlin
+- **Releases:** https://github.com/EuGenio1FreeLa/gestao-merlin/releases
+- **Support:** support@merlincompany.com.br
+
+---
+
+**License:** Commercial — see [LICENSE](LICENSE) (B2B EULA, Brazilian law).
+Requires `merlin activate`. Data handling: [PRIVACY-LICENSING.md](PRIVACY-LICENSING.md) (LGPD).

package/LICENSE

@@ -0,0 +1,118 @@
+Merlin Framework — Contrato de Licença de Uso de Software (EULA)
+
+> This is a commercial End User License Agreement for the Merlin Framework,
+> governed by the laws of Brazil. The controlling text is in Portuguese below.
+
+Copyright (c) 2026 Matteus Rodrigues Eugenio ("Merlin Company"). Todos os direitos reservados.
+
+Este é um contrato de licença de software COMERCIAL, não uma licença de código
+aberto. Ao instalar, ativar ou usar o Merlin Framework e seus componentes (o
+"Software"), você ("Licenciado") concorda com os termos abaixo. Se não
+concordar, não instale, não ative e não use o Software.
+
+LICENCIANTE: Matteus Rodrigues Eugenio (Empresário Individual), inscrito no
+CNPJ sob o nº 39.315.802/0001-26, operando sob a marca Merlin Company — contato
+support@merlincompany.com.br.
+
+1. DEFINIÇÕES
+   "Software": o Merlin Framework, sua CLI, engines, skills, agentes, comandos,
+   documentação e atualizações. "Chave de Licença": o identificador emitido pela
+   Licenciante que habilita a ativação. "Máquina": o computador cujo
+   identificador (fingerprint) a licença vincula. "Ativação": o processo que
+   liga a Chave de Licença a uma Máquina.
+
+2. OBJETO E CONCESSÃO DE LICENÇA (USO PROFISSIONAL / B2B)
+   O Software é licenciado para uso EMPRESARIAL E PROFISSIONAL, destinado a
+   pessoa jurídica, MEI ou profissional autônomo no exercício da sua atividade —
+   não é um produto de consumo de massa. Mediante licença válida, paga e não
+   expirada, a Licenciante concede ao Licenciado uma licença pessoal, não
+   exclusiva, intransferível, não sublicenciável e revogável para instalar e usar
+   o Software para os fins internos do próprio Licenciado, na(s) Máquina(s) à(s)
+   qual(is) a licença está vinculada, pelo prazo contratado.
+
+3. ATIVAÇÃO E VÍNCULO DE MÁQUINA
+   O Software exige ativação com uma Chave de Licença. Cada licença é vinculada
+   ao fingerprint de uma Máquina e pode exigir verificação online periódica
+   (heartbeat). O uso sem licença válida, vinculada à Máquina e não expirada não
+   é permitido. Os dados tratados na ativação e na verificação estão descritos no
+   aviso de privacidade (cláusula 8).
+
+4. RESTRIÇÕES
+   O Licenciado NÃO poderá, no todo ou em parte: (a) revender, sublicenciar,
+   alugar, arrendar, emprestar ou redistribuir o Software ou qualquer Chave de
+   Licença; (b) compartilhar, publicar ou transferir uma Chave de Licença ou uma
+   cópia ativada a terceiros; (c) contornar, desabilitar ou remover os mecanismos
+   de licenciamento, ativação ou verificação; (d) usar o Software além dos
+   assentos, Máquinas ou prazo cobertos pela licença paga; (e) remover ou alterar
+   avisos de propriedade.
+
+5. PROPRIEDADE INTELECTUAL
+   O Software é licenciado, não vendido. A Licenciante retém todos os direitos,
+   título e interesse sobre o Software, incluindo todos os direitos de
+   propriedade intelectual. Nenhum direito é concedido exceto os expressamente
+   previstos neste contrato.
+
+6. COMPONENTES DE TERCEIROS
+   O Software pode incluir componentes de terceiros de código aberto, cada um
+   regido por sua própria licença, que não são substituídas por este contrato.
+
+7. SUSPENSÃO E REVOGAÇÃO REMOTA
+   A Licenciante poderá suspender ou revogar a licença, de forma remota, nas
+   seguintes hipóteses, que o Licenciado reconhece como base contratual legítima:
+   (a) cópia, clonagem ou divergência de Máquina (uso da mesma licença em Máquina
+   diversa da vinculada); (b) inadimplemento do pagamento; (c) violação de
+   qualquer cláusula deste contrato, em especial a cláusula 4. A suspensão por
+   verificação automática (heartbeat) e a revogação administrativa decorrem
+   diretamente destas hipóteses e não configuram privação arbitrária. Sempre que
+   praticável, a Licenciante comunicará o Licenciado e permitirá a regularização.
+
+8. PROTEÇÃO DE DADOS (LGPD)
+   O Software trata dados pessoais para fins de ativação, antifraude e suporte,
+   conforme descrito no aviso de privacidade do licenciamento
+   (PRIVACY-LICENSING.md), parte integrante deste contrato. A base legal é a
+   execução de contrato (LGPD, art. 7º, V). Os direitos do titular são
+   assegurados nos termos da Lei nº 13.709/2018.
+
+9. DIREITO DE ARREPENDIMENTO (CDC, ART. 49)
+   Caso, excepcionalmente, um consumidor (pessoa física, fora do exercício de
+   atividade profissional) adquira o Software por canal de venda à distância
+   (internet), fica assegurado o direito de arrependimento no prazo de 7 (sete)
+   dias contados da contratação ou do recebimento, com restituição dos valores
+   pagos, nos termos do art. 49 do Código de Defesa do Consumidor. Esta cláusula
+   não se aplica à contratação empresarial/profissional (B2B), regida pelo prazo
+   e condições comerciais acordados.
+
+10. GARANTIA
+    O Software é fornecido "no estado em que se encontra". Na máxima extensão
+    permitida pela lei brasileira, a Licenciante não presta garantias de
+    adequação a uma finalidade específica, de funcionamento ininterrupto ou
+    livre de erros, ressalvadas as garantias legais que não podem ser afastadas.
+
+11. LIMITAÇÃO DE RESPONSABILIDADE
+    Na máxima extensão permitida pela lei, a responsabilidade total e agregada da
+    Licenciante decorrente ou relacionada ao Software fica limitada ao valor
+    efetivamente pago pelo Licenciado pela licença no período de 12 (doze) meses
+    anteriores ao evento. Esta limitação NÃO se aplica a danos causados por dolo
+    ou má-fé, nem a hipóteses cuja exclusão a lei vede. A Licenciante não responde
+    por danos indiretos ou lucros cessantes não razoavelmente previsíveis.
+
+12. VIGÊNCIA E RESCISÃO
+    Este contrato vigora até o término ou expiração da licença. Rescinde-se
+    automaticamente se o Licenciado violar qualquer cláusula. Rescindida a
+    licença, o Licenciado deve cessar o uso e remover o Software. Sobrevivem à
+    rescisão as cláusulas de propriedade intelectual, limitação de
+    responsabilidade, proteção de dados e foro.
+
+13. CESSÃO
+    O Licenciado não poderá ceder ou transferir este contrato ou a licença sem o
+    consentimento prévio e por escrito da Licenciante.
+
+14. LEI APLICÁVEL E FORO
+    Este contrato é regido pelas leis da República Federativa do Brasil. Fica
+    eleito o foro da Comarca de São Paulo/SP para dirimir controvérsias, salvo
+    norma cogente em contrário aplicável a consumidor.
+
+15. CONTATO
+    Merlin Company — support@merlincompany.com.br
+
+O uso do Software constitui aceitação integral deste contrato.