@omnizap-system/omnizap 2.5.12

package/docker-compose.yml

@@ -0,0 +1,104 @@
+services:
+  prometheus:
+    image: prom/prometheus:${PROMETHEUS_IMAGE_TAG:-v2.52.0}
+    restart: unless-stopped
+    command:
+      - "--config.file=/etc/prometheus/prometheus.yml"
+      - "--storage.tsdb.retention.time=${PROMETHEUS_RETENTION_TIME:-15d}"
+      - "--storage.tsdb.retention.size=${PROMETHEUS_RETENTION_SIZE:-20GB}"
+    volumes:
+      - ${PROMETHEUS_CONFIG_PATH:-./observability/prometheus.yml}:/etc/prometheus/prometheus.yml:ro
+      - ${PROMETHEUS_ALERT_RULES_PATH:-./observability/alert-rules.yml}:/etc/prometheus/alert-rules.yml:ro
+      - ${PROMETHEUS_METRICS_TOKEN_FILE_PATH:-./.secrets/omnizap_metrics_token}:/etc/prometheus/secrets/omnizap_metrics_token:ro
+      - prometheus_data:/prometheus
+    ports:
+      - "${PROMETHEUS_BIND_HOST:-127.0.0.1}:${PROMETHEUS_PORT:-9090}:9090"
+    extra_hosts:
+      - "host.docker.internal:host-gateway"
+
+  grafana:
+    image: grafana/grafana:${GRAFANA_IMAGE_TAG:-10.4.3}
+    restart: unless-stopped
+    environment:
+      - GF_SECURITY_ADMIN_USER=${GRAFANA_ADMIN_USER:-admin}
+      - GF_SECURITY_ADMIN_PASSWORD=${GRAFANA_ADMIN_PASSWORD:-admin}
+      - GF_USERS_ALLOW_SIGN_UP=false
+      - GF_SERVER_ROOT_URL=${GRAFANA_ROOT_URL:-%(protocol)s://%(domain)s:%(http_port)s/}
+      # Opcional: se quiser setar timezone do Grafana
+      - GF_DATE_FORMATS_DEFAULT_TIMEZONE=${GRAFANA_TIMEZONE:-America/Boa_Vista}
+    volumes:
+      - grafana_data:/var/lib/grafana
+      - ${GRAFANA_PROVISIONING_PATH:-./observability/grafana/provisioning}:/etc/grafana/provisioning:ro
+      - ${GRAFANA_DASHBOARDS_PATH:-./observability/grafana/dashboards}:/var/lib/grafana/dashboards:ro
+    ports:
+      - "${GRAFANA_BIND_HOST:-127.0.0.1}:${GRAFANA_PORT:-3003}:3000"
+    depends_on:
+      - prometheus
+      - loki
+
+  loki:
+    image: grafana/loki:${LOKI_IMAGE_TAG:-2.9.4}
+    restart: unless-stopped
+    command: -config.file=/etc/loki/loki-config.yml
+    volumes:
+      - ${LOKI_CONFIG_PATH:-./observability/loki-config.yml}:/etc/loki/loki-config.yml:ro
+      - loki_data:/loki
+    ports:
+      - "${LOKI_BIND_HOST:-127.0.0.1}:${LOKI_PORT:-3100}:3100"
+
+  promtail:
+    image: grafana/promtail:${PROMTAIL_IMAGE_TAG:-2.9.4}
+    restart: unless-stopped
+    command: -config.file=/etc/promtail/config.yml
+    volumes:
+      - ${PROMTAIL_CONFIG_PATH:-./observability/promtail-config.yml}:/etc/promtail/config.yml:ro
+      - ${APP_LOGS_PATH:-./logs}:/var/log/omnizap:ro
+      - ${MYSQL_LOGS_PATH:-/var/log/mysql}:/var/log/mysql:ro
+    ports:
+      - "${PROMTAIL_BIND_HOST:-127.0.0.1}:${PROMTAIL_PORT:-9080}:9080"
+    depends_on:
+      - loki
+    extra_hosts:
+      - "host.docker.internal:host-gateway"
+
+  mysql-exporter:
+    image: prom/mysqld-exporter:${MYSQL_EXPORTER_IMAGE_TAG:-v0.15.1}
+    restart: unless-stopped
+    environment:
+      - DATA_SOURCE_NAME=${MYSQL_EXPORTER_DSN:-exporter:exporter@(host.docker.internal:3306)/}
+    command:
+      - "--config.my-cnf=/etc/mysql-exporter/my.cnf"
+      - "--collect.global_status"
+      - "--collect.global_variables"
+      - "--no-collect.slave_status"
+      - "--collect.info_schema.innodb_metrics"
+      - "--collect.info_schema.processlist"
+      - "--collect.info_schema.tables"
+      - "--collect.perf_schema.eventsstatements"
+      - "--collect.perf_schema.tableiowaits"
+      - "--collect.perf_schema.tablelocks"
+    volumes:
+      - ${MYSQL_EXPORTER_CNF_PATH:-./observability/mysql-exporter.cnf}:/etc/mysql-exporter/my.cnf:ro
+    ports:
+      - "${MYSQL_EXPORTER_BIND_HOST:-127.0.0.1}:${MYSQL_EXPORTER_PORT:-9104}:9104"
+    extra_hosts:
+      - "host.docker.internal:host-gateway"
+
+  node-exporter:
+    image: prom/node-exporter:${NODE_EXPORTER_IMAGE_TAG:-v1.7.0}
+    restart: unless-stopped
+    pid: "host"
+    command:
+      - "--path.rootfs=/host"
+    volumes:
+      - /:/host:ro,rslave
+    ports:
+      - "${NODE_EXPORTER_BIND_HOST:-127.0.0.1}:${NODE_EXPORTER_PORT:-9100}:9100"
+
+volumes:
+  grafana_data:
+    name: "${STACK_NAME:-omnizap}_grafana_data"
+  prometheus_data:
+    name: "${STACK_NAME:-omnizap}_prometheus_data"
+  loki_data:
+    name: "${STACK_NAME:-omnizap}_loki_data"

package/docs/audits/stickerCatalogController-out-of-scope.md

@@ -0,0 +1,103 @@
+# StickerCatalogController - Itens Fora de Escopo (Snapshot 2026-03-08)
+
+Arquivo de origem: `server/controllers/sticker/stickerCatalogController.js`
+
+## Objetivo
+
+Registrar o que ainda esta dentro do controller e deveria, idealmente, viver em modulos/contextos dedicados.
+
+## Delta desde o snapshot anterior
+
+No snapshot anterior (2026-03-07) foram sinalizados **119 itens** fora de escopo.
+No estado atual, houve extracao real de responsabilidades para modulos dedicados, principalmente em:
+
+- Auth: `server/auth/stickerCatalogAuthContext.js`
+- Admin: `server/controllers/admin/stickerCatalogAdminContext.js`
+- SEO: `server/controllers/seo/stickerCatalogSeoContext.js`
+- System: `server/controllers/system/stickerCatalogSystemContext.js`
+- HTTP util: `server/http/httpRequestUtils.js`
+- Site routing: `server/http/siteRoutingUtils.js`
+- Nao-catalogo: `server/controllers/sticker/nonCatalogHandlers.js`
+
+## Itens remanescentes (priorizados)
+
+Lista focada nos pontos de maior acoplamento atual (nao e inventario exaustivo linha-a-linha).
+
+### 1) Config/env de auth e usuario ainda no controller
+
+- `USER_API_BASE_PATH` (linha 107)
+- `STICKER_LOGIN_WEB_PATH` (linha 110)
+- `USER_PROFILE_WEB_PATH` (linha 111)
+- `USER_PASSWORD_RESET_WEB_PATH` (linha 112)
+- `PASSWORD_RECOVERY_SESSION_AUTH_METHOD` (linha 113)
+- `PASSWORD_RECOVERY_SESSION_TTL_SECONDS` (linha 114)
+
+Risco: politica de rota e auth espalhada entre controller/context.
+
+### 2) Observabilidade e sumarios globais
+
+- `METRICS_ENDPOINT` (linha 149)
+- `METRICS_SUMMARY_TIMEOUT_MS` (linha 150)
+- `GITHUB_REPOSITORY` (linha 151)
+- `GITHUB_TOKEN` (linha 152)
+- `GITHUB_PROJECT_CACHE_SECONDS` (linha 153)
+- `GLOBAL_RANK_REFRESH_SECONDS` (linha 162)
+- `MARKETPLACE_GLOBAL_STATS_API_PATH` (linha 166)
+- `MARKETPLACE_GLOBAL_STATS_CACHE_SECONDS` (linha 167)
+- `HOME_MARKETPLACE_STATS_CACHE_SECONDS` (linha 168)
+- `SYSTEM_SUMMARY_CACHE_SECONDS` (linha 169)
+- `README_SUMMARY_CACHE_SECONDS` (linha 170)
+- `README_MESSAGE_TYPE_SAMPLE_LIMIT` (linha 171)
+- `README_COMMAND_PREFIX` (linha 172)
+
+Risco: afinacao operacional continua acoplada ao controller.
+
+### 3) SEO/sitemap e discovery ainda declarados localmente
+
+- `SITEMAP_MAX_PACKS` (linha 174)
+- `SITEMAP_CACHE_SECONDS` (linha 175)
+- `SEO_DISCOVERY_LINK_LIMIT` (linha 176)
+- `SEO_DISCOVERY_CACHE_SECONDS` (linha 177)
+
+Risco: limiares de SEO espalhados entre controller e contexto SEO.
+
+### 4) Sessao web/cookies no mesmo arquivo do catalogo
+
+- `WEB_VISITOR_COOKIE_NAME` (linha 185)
+- `WEB_SESSION_COOKIE_NAME` (linha 186)
+- `WEB_VISITOR_COOKIE_TTL_SECONDS` (linha 194)
+- `WEB_SESSION_COOKIE_TTL_SECONDS` (linha 195)
+
+Risco: fronteira entre catalogo publico e sessao web ainda nao esta totalmente separada.
+
+### 5) Cache bucket local no controller
+
+- `GITHUB_PROJECT_CACHE` (linha 218)
+- `GLOBAL_RANK_CACHE` (linha 222)
+- `MARKETPLACE_GLOBAL_STATS_CACHE` (linha 227)
+- `CATALOG_LIST_CACHE` (linha 233)
+- `CATALOG_CREATOR_RANKING_CACHE` (linha 234)
+- `CATALOG_PACK_PAYLOAD_CACHE` (linha 235)
+- `SYSTEM_SUMMARY_CACHE` (linha 237)
+- `README_SUMMARY_CACHE` (linha 242)
+
+Risco: estrategias de cache nao padronizadas em servico unico.
+
+### 6) Responsabilidades HTTP de arquivos/public assets
+
+- `handlePublicDataAssetRequest` (linha 4825)
+- `handleAssetRequest` (linha 4961)
+
+Risco: o controller continua com detalhes de IO/streaming de arquivo.
+
+### 7) Despacho final de rotas muito concentrado
+
+- `maybeHandleStickerCatalogRequest` (linhas 5371-5491)
+
+Risco: gateway unico com muitas regras condicionais reduz testabilidade.
+
+## Proxima rodada recomendada
+
+1. Extrair bloco de env/config para `stickerCatalogConfigRuntime` dedicado.
+2. Mover handlers de assets (`/data` e `/asset`) para modulo de rota/serving separado.
+3. Reduzir `maybeHandleStickerCatalogRequest` para um router declarativo com mapa de rotas.

package/docs/audits/stickerCatalogController-symbols.md

@@ -0,0 +1,58 @@
+# Sticker Catalog Controller - Inventario Atual de Simbolos
+
+Snapshot: `2026-03-08`
+Arquivo auditado: `server/controllers/sticker/stickerCatalogController.js`
+
+## Resumo do snapshot
+
+- Total de linhas: **5491** (`wc -l`)
+- Imports no topo do arquivo: **40**
+- API exportada publicamente: **7 simbolos**
+- Handlers internos (`handle*`): **28**
+- Constantes com leitura de `process.env`: **64**
+
+## API exportada (contrato publico)
+
+- `normalizeBasePath` (linha 51)
+- `normalizeCatalogVisibility` (linha 58)
+- `stripWebpExtension` (linha 78)
+- `extractPackKeyFromWebPath` (linha 2101)
+- `isStickerCatalogEnabled` (linha 5349)
+- `getStickerCatalogConfig` (linha 5350)
+- `maybeHandleStickerCatalogRequest` (linha 5371)
+
+## Composicao por contexto (estado atual)
+
+O controller passou a orquestrar contextos especializados em vez de concentrar tudo no mesmo bloco:
+
+- SEO/contexto de pagina: `createStickerCatalogSeoContext` (linha 2117)
+- Auth/contexto de sessao: `createStickerCatalogAuthContext` (linha 2833)
+- System/contexto de metricas e sumarios: `createStickerCatalogSystemContext` (linha 4763)
+- Handlers nao-catalogo (system/readme/support): `createStickerCatalogNonCatalogHandlers` (linha 4799)
+- Handlers administrativos: `createStickerCatalogAdminHandlersContext` (linha 5127)
+- Router declarativo da API: `createCatalogApiRouter` (linha 5166)
+
+## Modulos externos mais relevantes
+
+- HTTP utils centralizados: `server/http/httpRequestUtils.js`
+- Site routing/canonical host: `server/http/siteRoutingUtils.js`
+- Auth web catalogo: `server/auth/stickerCatalogAuthContext.js`
+- Admin catalogo: `server/controllers/admin/stickerCatalogAdminContext.js`
+- SEO catalogo: `server/controllers/seo/stickerCatalogSeoContext.js`
+- System summary/metrics: `server/controllers/system/stickerCatalogSystemContext.js`
+- Handlers nao-catalogo: `server/controllers/sticker/nonCatalogHandlers.js`
+
+## Hotspots de acoplamento remanescente
+
+Mesmo com extracoes recentes, os blocos abaixo ainda concentram responsabilidade transversal:
+
+- Configuracao/env e politicas de rota (aprox. linhas 104-201)
+- Cache local e snapshots de resumo/ranking (aprox. linhas 218-246)
+- Servico de assets publicos (`/data`) e preview de sticker (aprox. linhas 4825-5074)
+- Despacho final de rotas publicas/API em `maybeHandleStickerCatalogRequest` (aprox. linhas 5371-5491)
+
+## Mudanca de baseline em relacao ao snapshot anterior
+
+- Snapshot anterior de symbols indicava **7904** linhas; baseline atual caiu para **5491**.
+- Partes de auth/admin/seo/system foram modularizadas e hoje entram por context factories.
+- Inventario detalhado linha-a-linha foi simplificado para manter manutencao pratica do audit.

package/docs/compliance/acceptable-use-policy-2026-03-07.md

@@ -0,0 +1,35 @@
+# Política de Uso Aceitável (AUP)
+
+Versão: 2026-03-07
+
+## 1) Objetivo
+
+Definir usos permitidos e proibidos na plataforma OmniZap para reduzir risco jurídico, regulatório e de segurança.
+
+## 2) Uso permitido
+
+- Automação e integrações legítimas, com observância de lei e termos de terceiros.
+- Operação com transparência para usuários e participantes dos grupos/canais.
+
+## 3) Casos proibidos (lista objetiva)
+
+- Envio de spam, flood, disparo em massa não solicitado ou manipulação enganosa de origem.
+- Phishing, fraude, malware, engenharia social ou qualquer atividade criminosa.
+- Operação em setores regulados sem licença/autorização válida (ex.: saúde, crédito, apostas, cripto, educação regulada), quando exigido por lei.
+- Coleta, tratamento ou compartilhamento de dados pessoais sem base legal válida.
+- Monitoramento clandestino de comunicações sem ciência dos envolvidos ou sem fundamento legal.
+- Uso para violação de direitos autorais, marca, imagem, privacidade ou segredo comercial.
+- Tentativas de burlar limites técnicos, políticas de plataformas terceiras ou controles de segurança.
+- Varredura agressiva, teste de intrusão sem autorização formal ou degradação deliberada do serviço.
+
+## 4) Medidas de enforcement
+
+- Remoção de conteúdo.
+- Suspensão temporária de acesso.
+- Bloqueio de conta e preservação de evidências.
+- Comunicação a autoridades competentes, quando cabível.
+
+## 5) Canal de denúncia
+
+- Página formal: `/notice-and-takedown/`.
+- Contato oficial: https://wa.me/559591122954.

package/docs/compliance/dpa-b2b-standard-2026-03-07.md

@@ -0,0 +1,80 @@
+# DPA Padrao (B2B) - Data Processing Addendum
+
+Versao: 2026-03-07  
+Partes: Cliente (Controlador) e OmniZap System (Operador, quando atuar sob instrucao do Cliente).
+
+## 1) Objeto
+
+Este DPA define as obrigacoes de protecao de dados para tratamentos realizados em nome do Cliente, incluindo controles tecnicos, suboperadores e cooperacao em incidentes/DSAR.
+
+## 2) Instrucoes do controlador
+
+- O Operador trata dados apenas conforme instrucoes documentadas do Cliente.
+- O Cliente declara possuir base legal adequada para os tratamentos ordenados.
+
+## 3) Confidencialidade e acesso
+
+- Acesso interno por necessidade operacional (need-to-know).
+- Pessoas autorizadas ficam sujeitas a obrigacao de confidencialidade.
+
+## 4) Seguranca da informacao
+
+- Medidas minimas estao no Anexo II (organizacionais e tecnicas).
+- O nivel de seguranca deve ser proporcional ao risco.
+
+## 5) Suboperadores
+
+- Lista atualizada no Anexo I e em `/suboperadores/`.
+- Mudancas relevantes podem ser comunicadas ao Cliente conforme contrato principal.
+
+## 6) Incidentes de seguranca
+
+- Fluxo operacional no Anexo III.
+- Cooperacao com Cliente para avaliacao de impacto e obrigacoes regulatorias.
+
+## 7) Direitos de titulares (DSAR)
+
+- Cooperacao conforme SLA do Anexo IV.
+- O Cliente permanece responsavel pela decisao juridica final quando atuar como Controlador.
+
+## 8) Retencao e descarte
+
+- Retencao conforme instrucao contratual e exigencias legais.
+- Ao termino da relacao, devolucao/eliminacao conforme viabilidade tecnica e clausulas do contrato principal.
+
+## Anexo I - Suboperadores (resumo tecnico)
+
+| Categoria           | Finalidade                                     | Exemplo de fornecedor     | Dados afetados                             |
+| ------------------- | ---------------------------------------------- | ------------------------- | ------------------------------------------ |
+| Cloud/Infra         | Hospedagem, banco e disponibilidade            | Provedor cloud contratado | Dados de conta, logs, conteudo operacional |
+| E-mail transacional | Recuperacao de senha e comunicacao operacional | Provedor SMTP/e-mail      | E-mail, metadados de envio                 |
+| Monitoramento       | Logs, metricas, alertas                        | Stack observabilidade     | Logs tecnicos e telemetria                 |
+
+## Anexo II - Medidas de seguranca
+
+- Criptografia em transito (TLS).
+- Segmentacao logica de ambientes.
+- Controle de acesso por papel e minimo privilegio.
+- Registro de eventos criticos (auth, erro, seguranca).
+- Processo de patching e hardening.
+- Backup operacional e testes de restauracao.
+
+## Anexo III - Fluxo de incidente
+
+1. Deteccao e classificacao inicial.
+2. Contencao tecnica e preservacao de evidencias.
+3. Comunicacao ao Cliente sem atraso indevido (quando houver impacto relevante).
+4. Mitigacao, RCA e acoes corretivas.
+5. Apoio para reporte regulatorio quando aplicavel.
+
+## Anexo IV - SLA de cooperacao (DSAR e incidente)
+
+| Evento                           | SLA alvo             |
+| -------------------------------- | -------------------- |
+| Ack de incidente critico         | ate 4h uteis         |
+| Atualizacao inicial de incidente | ate 24h              |
+| Evidencias tecnicas preliminares | ate 48h              |
+| Apoio para DSAR simples          | ate 5 dias corridos  |
+| Apoio para DSAR complexo         | ate 10 dias corridos |
+
+Observacao: prazos legais do controlador prevalecem quando menores.

package/docs/compliance/monthly-compliance-checklist-2026-03-07.md

@@ -0,0 +1,88 @@
+# Checklist Mensal de Compliance (Jurídico + Produto + Segurança)
+
+Data: 2026-03-07  
+Periodicidade: mensal (reunião com ata obrigatória)
+
+## 1) Participantes mínimos
+
+- Responsável jurídico/privacidade
+- Responsável de produto
+- Responsável de segurança da informação
+- Responsável operacional (quando houver cliente enterprise ativo)
+
+## 2) Checklist de aderência
+
+Marcar `OK`, `Pendente` ou `N/A` para cada item.
+
+### 2.1 Conteúdo e categorias reguladas
+
+- [ ] Há validação de faixa etária para campanhas e fluxos aplicáveis.
+- [ ] Operações em verticais reguladas possuem licenças/autorização vigentes.
+- [ ] Restrições de país/estado/município foram revisadas e atualizadas.
+
+### 2.2 Branding e uso de marca
+
+- [ ] Comunicação comercial não sugere afiliação oficial com Meta/WhatsApp.
+- [ ] Uso de marcas/logotipos de terceiros está aderente às diretrizes oficiais.
+- [ ] Materiais de marketing, landing pages e docs foram revisados no mês.
+
+### 2.3 Contratos com clientes (DPA e alocação de risco)
+
+- [ ] Clientes enterprise possuem contrato principal assinado.
+- [ ] DPA assinado para clientes com tratamento de dados em escala.
+- [ ] Há cláusulas de base legal, indenização regressiva e limitação de responsabilidade.
+
+### 2.4 Governança de dados
+
+- [ ] Política de minimização está aplicada nos fluxos ativos.
+- [ ] Prazos de retenção e descarte foram executados no ciclo.
+- [ ] Criptografia em trânsito e em repouso (quando aplicável) permanece ativa.
+- [ ] Controles de acesso por privilégio mínimo foram revisados.
+- [ ] Logs de acesso a mensagens foram coletados e auditados por amostragem.
+
+### 2.5 Incidentes e notificação regulatória
+
+- [ ] Não houve incidente no período ou, se houve, há relatório formal concluído.
+- [ ] Gatilhos de comunicação ANPD/titulares foram avaliados para cada incidente.
+- [ ] Quando aplicável, prazo regulatório de comunicação (ex.: 3 dias úteis na regra da ANPD) foi observado.
+- [ ] Runbook de incidentes está atualizado e alinhado à operação atual.
+
+### 2.6 Separação patrimonial e seguro
+
+- [ ] Operação permanece vinculada à pessoa jurídica (PJ), sem mistura patrimonial.
+- [ ] Apólice cyber e/ou E&O vigente (ou plano formal de contratação com prazo).
+- [ ] Limites e exclusões da apólice foram revisados quanto ao risco do negócio.
+
+### 2.7 Notice-and-takedown com SLA
+
+- [ ] Canal de denúncia está funcional e testado.
+- [ ] SLA de triagem (24h) e decisão inicial (72h) foi cumprido no período.
+- [ ] Evidências de remoção/bloqueio cautelar foram registradas.
+
+### 2.8 Comitê e rastreabilidade
+
+- [ ] Ata do comitê foi assinada pelos responsáveis.
+- [ ] Itens pendentes possuem responsável, prazo e prioridade.
+- [ ] Termos de uso, políticas e runbooks foram atualizados quando necessário.
+- [ ] Inventário público de suboperadores foi revisado e data de atualização foi renovada.
+- [ ] Registro versionado de aceite jurídico (hash + timestamp + IP + user agent) foi auditado por amostragem.
+
+## 3) Entregáveis da reunião mensal
+
+1. Ata com decisões e pendências.
+2. Lista de riscos atualizada com plano de mitigação.
+3. Registro de conformidade contratual (DPA/termos/clientes).
+4. Plano de ação para o próximo ciclo mensal.
+
+## 4) Referências externas
+
+- WhatsApp Business Terms: https://www.whatsapp.com/legal/business-terms/
+- WhatsApp Business Messaging Policy: https://business.whatsapp.com/policy
+- WhatsApp Brand Guidelines: https://about.meta.com/brand/resources/whatsapp/whatsapp-brand/
+- LGPD (Planalto): https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
+- ANPD: https://www.gov.br/anpd/pt-br
+- ANPD (CIS): https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis
+- Política de Privacidade (web): https://omnizap.shop/politica-de-privacidade/
+- AUP (web): https://omnizap.shop/aup/
+- Notice-and-Takedown (web): https://omnizap.shop/notice-and-takedown/
+- Suboperadores (web): https://omnizap.shop/suboperadores/

package/docs/compliance/notice-and-takedown-policy-2026-03-07.md

@@ -0,0 +1,34 @@
+# Política de Notice-and-Takedown
+
+Versão: 2026-03-07
+
+## 1) Escopo
+
+Canal formal para notificações sobre conteúdo/uso ilícito, violação de direitos autorais, marca, imagem, privacidade ou descumprimento de lei.
+
+## 2) Requisitos mínimos de prova
+
+A notificação deve conter:
+
+- Identificação do notificante (nome e contato válido).
+- URL, ID ou evidência objetiva do conteúdo alvo.
+- Fundamentação jurídica resumida (qual direito foi violado).
+- Declaração de boa-fé e veracidade.
+- Prova mínima (captura, hash, documento de titularidade ou procuração, quando aplicável).
+
+## 3) SLA público
+
+- Confirmação de recebimento: até 24 horas úteis.
+- Triagem inicial: até 48 horas úteis.
+- Decisão cautelar inicial (manter, restringir ou remover): até 72 horas úteis.
+
+Casos tecnicamente complexos podem exigir prazo adicional, com registro de justificativa.
+
+## 4) Resultado e contraditório
+
+- O resultado é comunicado ao notificante quando houver contato válido.
+- Quando cabível, o usuário afetado pode apresentar contraponto/evidências.
+
+## 5) Preservação de evidências
+
+- Logs e metadados técnicos podem ser preservados para auditoria, defesa e cooperação com autoridades.

package/docs/compliance/privacy-policy-2026-03-07.md

@@ -0,0 +1,75 @@
+# Política de Privacidade (Documento Separado dos Termos)
+
+Data da versão: 2026-03-07  
+Escopo: site, login web, painel, API e operação de automação do OmniZap System.
+
+## 0) Escopo desta política (serviço oficial)
+
+- Esta política se aplica ao serviço oficial operado pelos canais do OmniZap System (incluindo domínio omnizap.shop e endpoints oficiais).
+- Forks, redistribuições e instâncias auto-hospedadas por terceiros não se vinculam automaticamente a este documento.
+- Em instância derivada/self-host, o operador da instância atua como controlador independente e deve publicar sua própria política de privacidade.
+
+## 1) Controlador e contato
+
+- Controlador: 59.034.123 KAIKY BRITO RIBEIRO (CNPJ 59.034.123/0001-96).
+- Contato de privacidade: https://wa.me/559591122954
+- Canal para titulares (LGPD): mensagem com assunto "DSAR LGPD" no contato oficial.
+- Para serviços de terceiros baseados em fork/self-host, o contato de privacidade deve ser solicitado diretamente ao operador da respectiva instância.
+
+## 1.1) Encarregado pelo tratamento (LGPD art. 41)
+
+- Encarregado (DPO): Kaiky Brito Ribeiro (59.034.123 KAIKY BRITO RIBEIRO, CNPJ 59.034.123/0001-96).
+- Contato do encarregado: https://wa.me/559591122954 (assunto recomendado: "ENCARREGADO LGPD").
+- Divulgação pública mantida para transparência regulatória.
+
+## 2) Tabela de tratamento de dados
+
+| Categoria de dados                                                           | Finalidade principal                                   | Base legal (LGPD art. 7)                                                            | Prazo de retenção                                                        | Compartilhamentos                               | Transferência internacional                                         |
+| ---------------------------------------------------------------------------- | ------------------------------------------------------ | ----------------------------------------------------------------------------------- | ------------------------------------------------------------------------ | ----------------------------------------------- | ------------------------------------------------------------------- |
+| Identificação de conta (sub Google, e-mail, owner_jid)                       | Autenticação, segurança de sessão e vínculo de conta   | Execução de contrato; legítimo interesse                                            | Enquanto a conta estiver ativa + até 12 meses para trilha técnica        | Provedores de cloud, autenticação e e-mail      | Pode ocorrer quando fornecedor tiver infraestrutura fora do Brasil  |
+| Credenciais e eventos de login (sessão, IP, user agent, aceite jurídico)     | Prevenir fraude, auditoria e prova de consentimento    | Legítimo interesse; exercício regular de direitos; obrigação legal quando aplicável | Até 24 meses, salvo retenção superior por obrigação legal                | Provedores de cloud/segurança/monitoramento     | Pode ocorrer via suboperadores globais com salvaguardas contratuais |
+| Conteúdo de mensagens e metadados (quando funcionalidade estiver habilitada) | Execução de automações, moderação, suporte e segurança | Execução de contrato; legítimo interesse; consentimento quando exigido              | Conforme finalidade declarada pelo cliente e políticas técnicas vigentes | Infraestrutura de processamento e armazenamento | Pode ocorrer conforme região do provedor contratado                 |
+| Logs de API, erros e telemetria                                              | Observabilidade, capacidade, resposta a incidentes     | Legítimo interesse                                                                  | 6 a 24 meses, conforme criticidade operacional                           | Monitoramento e observabilidade                 | Pode ocorrer (fornecedores globais)                                 |
+| Dados de suporte (tickets, e-mails, evidências)                              | Atendimento, correções e histórico de suporte          | Execução de contrato; exercício regular de direitos                                 | Até 5 anos para defesa administrativa/judicial, quando cabível           | Plataforma de e-mail e atendimento              | Pode ocorrer conforme local de processamento do provedor            |
+
+## 3) Compartilhamento de dados
+
+- Compartilhamos somente com suboperadores e parceiros estritamente necessários para operar o serviço.
+- Compartilhamos com autoridades públicas quando houver obrigação legal, ordem judicial ou requisição válida.
+- Não comercializamos dados pessoais como produto.
+
+## 4) Transferências internacionais
+
+- Alguns fornecedores podem processar dados fora do Brasil.
+- As transferências internacionais seguem salvaguardas contratuais, controles técnicos e avaliação de risco compatíveis com a LGPD e regulamentação da ANPD.
+- Mecanismos adotados podem incluir cláusulas contratuais e avaliação por finalidade/risco.
+- O inventário de suboperadores publicado em `/suboperadores/` informa categoria e status de localização/região.
+
+## 5) Retenção e descarte
+
+- Mantemos dados somente pelo tempo necessário para as finalidades legítimas e exigências legais.
+- Encerrada a finalidade, os dados podem ser anonimizados, bloqueados ou eliminados, ressalvadas obrigações legais e necessidade probatória.
+
+## 6) Direitos do titular (art. 18 LGPD)
+
+- Confirmação de tratamento e acesso.
+- Correção de dados incompletos ou desatualizados.
+- Anonimização, bloqueio ou eliminação quando cabível.
+- Portabilidade (quando tecnicamente viável).
+- Oposição e revisão de tratamento nas hipóteses legais.
+- Petição perante ANPD e autoridades competentes, quando cabível.
+- Quando aplicável, declaração clara e completa em até 15 dias (LGPD art. 19), sem prejuízo de resposta simplificada imediata quando possível.
+
+Prazos operacionais e fluxo completo: ver `docs/security/dsar-lgpd-runbook-2026-03-07.md`.
+
+## 7) Segurança
+
+- Criptografia em trânsito (TLS), controles de acesso por privilégio mínimo, logs e trilhas de auditoria.
+- Monitoramento técnico e resposta a incidentes com critério LGPD/ANPD.
+- Havendo incidente com risco ou dano relevante aos titulares, comunicação à ANPD e aos titulares será avaliada e realizada quando exigida por lei/regulamentação.
+- Quando aplicável ao controlador, observar prazo regulatório vigente para comunicação de incidente (incluindo 3 dias úteis previstos no regulamento atual da ANPD).
+
+## 8) Atualizações desta política
+
+- Esta política pode ser atualizada para refletir mudanças legais, regulatórias e operacionais.
+- Versões e aceite eletrônico podem ser registrados para prova jurídica (hash da versão, timestamp, IP e user agent).

package/docs/compliance/subprocessors-inventory-2026-03-07.md

@@ -0,0 +1,16 @@
+# Inventario de Suboperadores
+
+Atualizado em: 2026-03-07
+
+## Lista publica
+
+| Categoria                     | Suboperador/Fornecedor                                         | Finalidade                                      | Regiao de processamento (resumo)                                       | Status |
+| ----------------------------- | -------------------------------------------------------------- | ----------------------------------------------- | ---------------------------------------------------------------------- | ------ |
+| Cloud e banco                 | Provedor de infraestrutura cloud contratado pelo projeto       | Hospedagem, banco, rede, backups                | Pode incluir processamento internacional                               | Ativo  |
+| E-mail transacional           | Provedor SMTP/e-mail contratado                                | Recuperacao de senha e comunicados operacionais | Pode incluir processamento internacional                               | Ativo  |
+| Monitoramento/observabilidade | Stack de monitoramento (Prometheus/Grafana/Loki + integrações) | Logs, metricas, alertas operacionais            | Primariamente ambiente do controlador; pode haver integracoes externas | Ativo  |
+
+## Observacoes
+
+- A lista e atualizada sempre que houver mudanca relevante de fornecedor ou escopo.
+- Transferencias internacionais seguem salvaguardas contratuais e controles tecnicos compativeis com a LGPD.