@zaip-ai/cli 6.2.0 → 7.5.0

package/templates/.agents/skills/zaip-skill-lead-measurement/references/operations.md

@@ -0,0 +1,125 @@
+# Operações e diagnóstico de mensuração
+
+Owner documental: mantenedores lead-measurement/observabilidade; revisão 2026-10-29. Responsáveis operacionais reais e limites de adoção ainda pendentes. Decisão de origem: `DEC-AI-2026-10-29-11-09-MEASUREMENT-OPERATIONS-RV94BGAUEX`. C09 entrega somente quatro referências, sem implementar sanitizador, fila, DB, migration, coleta ou restauração. [Autoridade](authority.md), [identidade](identity-contract.md), [delivery](delivery-contract.md), [consentimento](consent-contract.md), [Meta](meta-mapping.md) e [Kommo](kommo-contract.md) permanecem contratos distintos.
+
+## Três classes de informação
+
+| Classe | Conteúdo e dono | Acesso/retenção e o que não fazer |
+| --- | --- | --- |
+| Diagnóstico técnico sanitizado | Estado, código fechado, horário e correlação técnica necessários ao suporte | Allowlist validada; retenção técnica aprovada; sem contato/hash/token/password/recibo/body/URL query, texto livre ou formulário |
+| Histórico comercial | Submissões, respostas, atribuição declarada/UTMs, versões, avaliação e override | Dono comercial/dados e acesso restrito; retenção própria; não publicar como log técnico nem usar como fila |
+| Payload restrito de integração | Snapshot mínimo estritamente necessário ao adaptador, incluindo matching quando autorizado | Dono da integração/privacidade; cifra e acesso limitado, finalidade/consentimento/retention próprios; não duplicar em métricas, traces ou evidências |
+
+Credenciais reais continuam no cofre autorizado, nunca no payload/log/histórico comercial. Hash de contato continua restrito; não anonimiza nem se torna campo técnico seguro por formato. Mesmo ID opaco pode exigir classificação/retention; só referências técnicas aprovadas são aceitas no envelope de diagnóstico. Ausência de política de acesso/retenção bloqueia adoção desse armazenamento, sem impedir esta documentação.
+
+`leads_logs` legado pode conter histórico de submissões/UTMs, conforme snapshot da auditoria. O nome não define a classe nem autoriza renomear a tabela para outbox/log técnico. Inventariar schema/uso/retention por consumidor sob nova autoridade; separar destinos e migrar explicitamente quando aprovado. Não truncar, copiar integralmente, apagar histórico ou reaproveitar a tabela como fila por conveniência.
+
+## Dicionário da allowlist técnica proposta
+
+Este é um contrato conceitual, não schema instalado. Cada evento deve validar campos próprios enumeráveis de dados, tipos, catálogos e limites; getter/símbolo/campo extra não pode virar log por serialização de erro. Não interpolar request, headers, query, body ou error.message livre. Escolher códigos técnicos estáveis e construir novo objeto a partir da allowlist.
+
+| Campo permitido | Tipo/origem | Condição de uso |
+| --- | --- | --- |
+| schema_version | Inteiro de versão do envelope | Versão conhecida, sem coagir payload incompatível |
+| observed_at | Timestamp do componente confiável | Momento observado separado de horário de registro; se indisponível, declarar desconhecido |
+| correlation_ref / event_ref / delivery_ref | Referências técnicas opacas aprovadas | Não derivar de contato ou usar hash pessoal; logs/traces restritos, não labels de métricas |
+| environment / provider | Enums de catálogo | Ambiente/provedor conhecidos, não string do formulário |
+| contract_version / mapping_version | Versões técnicas conhecidas | Contextualizar sem recalcular histórico; não converter estado v1 em v2 por nome |
+| state / checkpoint | Enum do contrato-fonte declarado | Transport/queued/uncertain/confirmed/terminal são distintos; checkpoint parcial não completa workflow |
+| code | Catálogo técnico fechado | Exemplos: delivery_uncertain, consent_suppressed, lease_expired, retry_exhausted, mapping_conflict, source_unavailable |
+| attempt_no / fence | Inteiro observado dentro da política | Não confundir claim com envio; não registrar lease token ou remintar/resetar contagem |
+| http_status | Inteiro válido ou null | Transporte apenas; não body/header/erro bruto; 2xx não implica aceite |
+
+Registro rejeitado não deve ser despejado em fallback/raw log. Se necessário, gerar somente código sanitizado invalid_diagnostic_input com metadados mínimos já validados; dados desnecessários são descartados, não persistidos em quarentena por default. Referência restrita só existe se seu propósito/acesso/retention tiverem autorização própria. SHA Git de código pertence à evidência técnica de candidato; não é hash de contato nem label de alta cardinalidade.
+
+## Fixture O01 — redaction esperada
+
+JSON **sintético/documental, não executado**, sem credenciais reais. Valores restritos são marcadores, não dados capturados; o timestamp também é fictício, não uma observação da execução C09.
+
+```json
+{
+  "fixture_id": "O01",
+  "synthetic": true,
+  "executed": false,
+  "precondition": "closed diagnostic catalog and approved technical references",
+  "candidate_input": {
+    "schema_version": 1,
+    "observed_at": "2026-10-29T00:00:00Z",
+    "correlation_ref": "synthetic_correlation_a",
+    "event_ref": "evt_synthetic_operation_a",
+    "environment": "test",
+    "provider": "meta_capi",
+    "contract_version": "delivery-v2",
+    "state": "uncertain",
+    "code": "delivery_uncertain",
+    "attempt_no": 1,
+    "http_status": null,
+    "contact": "SYNTHETIC_RESTRICTED_REFERENCE_ONLY",
+    "contact_hash": "SYNTHETIC_RESTRICTED_HASH_REFERENCE_ONLY",
+    "token": "SYNTHETIC_NOT_A_CREDENTIAL",
+    "password": "SYNTHETIC_NOT_A_PASSWORD",
+    "receipt_id": "synthetic_internal_receipt",
+    "payload": { "restricted_fields_present": true },
+    "raw_error": "SYNTHETIC_FREE_TEXT_NOT_FOR_LOG",
+    "request_url": "https://example.invalid/lead?contact=synthetic%40example.invalid"
+  },
+  "expected_diagnostic": {
+    "schema_version": 1,
+    "observed_at": "2026-10-29T00:00:00Z",
+    "correlation_ref": "synthetic_correlation_a",
+    "event_ref": "evt_synthetic_operation_a",
+    "environment": "test",
+    "provider": "meta_capi",
+    "contract_version": "delivery-v2",
+    "state": "uncertain",
+    "code": "delivery_uncertain",
+    "attempt_no": 1,
+    "http_status": null
+  },
+  "field_classification": {
+    "contact": "restricted_business_or_minimal_integration_data_if_authorized",
+    "contact_hash": "restricted_matching_only_if_authorized",
+    "token_and_password": "never_diagnostic_payload_or_business_history",
+    "receipt_id": "internal_restricted_receipt",
+    "payload": "restricted_snapshot_only_if_needed_and_authorized",
+    "raw_error_and_request_url": "discard_from_diagnostic_no_free_text_fallback"
+  },
+  "proof_limit": "expected projection only; no sanitizer, SQL or logging executed"
+}
+```
+
+## Pseudofluxo de recuperação e sinais
+
+1. Correlacionar fato/ocorrência/entrega/checkpoint por referências técnicas permitidas e contrato/versões efetivos, sem abrir contato/payload por default. O cadastro aceito continua aceito quando tracking falha.
+2. Classificar transporte, aceite semântico, processamento em fila, visibilidade externa e atribuição separadamente. Legacy sent/HTTP2xx não são promoção automática a confirmed/ingested/attributed.
+3. Verificar estado atual, due/lease/fence, consentimento vigente e destino server-owned. Lease expirada/timeout pós-efeito vão a uncertain/reconciliação, não a retry por ausência presumida.
+4. Confirmar efeito/ausência por mecanismo autorizado e suficiente do destino; leitura parcial, paginação/visibilidade desconhecida ou sem capacidade de correlação mantém revisão. Se ausência for comprovada e retry permitido, preservar ID/horário/payload/mapping/counters e respeitar política vigente.
+5. Erro permanente/esgotamento isola entrega/suboperação em terminal/dead-letter referenciada, com owner e próxima decisão; não despejar PII no dead-letter nem reenfileirar todos os eventos.
+
+| Sinal / pergunta | Condição observável a definir na adoção | Owner a designar / ação |
+| --- | --- | --- |
+| Aging pendente/retry | now versus available_at elegível, tenant/destino e limiar versionado aprovados; horário/clock confiáveis | Owner da integração: distinguir not_due, supressão e worker indisponível; não inventar SLA universal |
+| Lease/fence | Lease vigente versus expirada; token/fence e tentativa atual conferidos por caminho restrito | Owner de runtime: impedir confirmação stale e reconciliar possível efeito remoto |
+| Queued/uncertain | Aceite assíncrono ou efeito não confirmado, idade/limite de revisão aprovados | Reconciliador/operador: prova suficiente ou human review; nunca marcar entregue por tempo |
+| Terminal/dead-letter | Erro permanente ou limite de tentativas observado | Owner da integração: diagnóstico sanitizado, correção versionada e replay só sob autoridade específica |
+| Consentimento/mapping | Estado vigente inelegível, drift de recurso/versão ou conflito de fingerprint | Owner de privacidade/técnico: bloquear efeito e revisar; concessão posterior não reenvia confirmado ou histórico |
+| Aceite versus atribuição | Recibo validado por destino separado de evento visível/dedupe/conversão/contabilização | Operador do destino: coletar camada faltante, sem fabricar atribuição por UTM/2xx |
+| Fonte ausente | Leitura indisponível, cobertura parcial ou momento da observação desconhecido | Owner da telemetria: mostrar unavailable/unknown, não zero saudável |
+
+Métricas usam dimensões limitadas (ambiente/provedor/estado/código/versão sob política), sem IDs únicos ou dados de contato como labels. IDs de correlação ficam em logs/traces restritos. Volume, limiares, retenção, on-call e objetivos são decisões da adoção, não números comerciais inventados. Telemetria do aplicativo não equivale à telemetria de Runs/dashboard ZAIP.
+
+## Cenários documentais adicionais
+
+| Caso / entrada e precondição | Decisão/checkpoint esperado | Limite de prova |
+| --- | --- | --- |
+| O02: code/field livre com contato; allowlist fechada | Recusar campo/registro e produzir no máximo invalid_diagnostic_input sanitizado, sem raw fallback | Nenhum sanitizador executado |
+| O03: fonte de métricas indisponível/cobertura parcial | Estado source_unavailable/unknown, sem inferir count0/saúde | Nenhuma coleta/painel observado |
+| O04: legacy sent/HTTP204, sem recibo semântico | Preservar origem/contrato; aceite/atribuição permanecem não verificados | Não reclassifica dado ou entrega real |
+| O05: lease vencida após possível escrita; fence antigo responde | Uncertain, impedir checkpoint stale e reconciliar antes de retry | Nenhum lock/concorrência DB provado |
+| O06: terminal por esgotamento com cadastro aceito | Isolar referência da entrega; cadastro/histórico/counters preservados; replay exige decisão | Nenhuma fila/lead alterados |
+| O07: API queued com evento ainda não visível | Separar fila/aceite/ingestão; aguardar/reconciliar segundo política aprovada | Não comprova ingestão/dedupe/atribuição |
+| O08: consentimento revogado entre enqueue/retry | Nenhum novo efeito; registrar código permitido sem snapshot/contato | Regressão C04 é complementar, não operação observada |
+
+## Prova e rollback da entrega
+
+C09 inspeciona dicionário/fixtures/links e pseudofluxos estaticamente. Teste de consentimento existente (19 casos) é complementar, não execução de redaction/migração/SQL. Review independente avalia C09.1–4. [Migração](migration.md) e [observabilidade](../../zaip-skill-application-observability/references/lead-measurement.md) detalham adoção condicionada. Baseline textual comunicado pelo host: `703f707b8a6691754b060c5eaf8fbbda20bc7bf2`; não é candidato C09 validado. Reversão atual é somente diff próprio dos quatro documentos, se necessária, preservando C01–C08 e alheios; nenhuma reversão/restore DB foi executada.

package/templates/.agents/skills/zaip-skill-lead-measurement/references/persistence-reference.md

@@ -0,0 +1,65 @@
+# Persistência e matriz estática C03
+
+Referência textual, revisão 2026-10-29; nenhum SQL, DDL executável, migration, banco simulado ou backend produtivo. Fontes de origem: auditoria local `04-banco-ddl.md` e `05-banco-operacoes.md`, de 2026-10-29. São propostas, não schemas aprovados. Compor [identidade](identity-contract.md), [modelagem](../../zaip-skill-data-modeling/references/lead-measurement.md) e [isolamento](../../zaip-skill-auth-tenancy/references/lead-measurement.md).
+
+## Compatibilidade e D-01
+
+O snapshot [canônico](architecture.md) declara Node.js 24.19.0, TypeScript 7.0.2, Hono 4.13.11 e Kysely 0.29.6; PostgreSQL via Supabase é contexto atual, major desconhecido. PostgreSQL 16 nos exemplos da auditoria é dialeto condicionado. Nenhum provedor/major/empresa foi escolhido; sem Supabase/Edge Functions novos. Versão latest de documentação externa não altera a stack declarada. D-01, roles/identidade, retenção e autorização de testes DB são gates futuros de adoção.
+
+## Pseudofluxo Node / Hono / Kysely
+
+Sequência conceitual, não código executável:
+
+1. Hono recebe comando limitado; rejeita tipo/campo inválido. Resolve formulário/ambiente/tenant por configuração confiável e autenticação/autoridade da ação. UUID do corpo, origem HTTP ou chave pública de idempotência não autenticam tenant/pessoa.
+2. Application valida contrato/questionário/política versionados e recuperabilidade da operação. Kysely obtém conexão de runtime não-owner, não-superuser, sem BYPASSRLS. Inicia transação e estabelece contexto tenant verificado somente nela; se qualquer passo falhar, nenhum write é permitido.
+3. Serializa a chave composta e consulta operação existente. Se houver registro, verifica fingerprint com versões históricas; conflito aborta, equivalente recupera resultado. Sob corrida, unicidade persistente decide a inserção, e o perdedor reconsulta/compara antes de responder.
+4. Resolve contato sob política aprovada; zero/múltiplos matches não significam automaticamente nova pessoa. Coordenação de match por identidade aprovada é distinta do lock da client key; duas novas keys podem competir pelo mesmo contato. Não impor unicidade de e-mail sem decisão comercial.
+5. Para nova operação, valida pai/root/tenant/contato e registra ocorrência imutável, metadados HMAC/janela, consentimento declarado validado, avaliação e fatos pertinentes. Fato de perfil/qualified não recria cadastro. Destinos resolvidos no servidor e entregas elegíveis pertencem ao mesmo tenant/ambiente/modo.
+6. Persiste ocorrência/evento/entregas backend previstas atomicamente, se esse for o contrato aprovado. Uma falha em qualquer parte aborta tudo; duas escritas independentes deixam lacuna explícita, não podem ser vendidas como outbox atômica. Nenhum HTTP externo ocorre dentro da transação.
+7. Após confirmação do commit, Hono devolve o recibo mínimo autorizado e a projeção browser pode ser elegível. Commit/ack incerto exige consulta/reconciliação da mesma operação. 200 sem corpo válido, timeout e 202 pending não confirmam persistência por inferência.
+8. Em sucesso ou exceção, finalizar transação e verificar descarte do contexto antes de reutilizar conexão. Reset/rollback não comprovado coloca conexão fora de reutilização até recuperação do pool. Nunca liberar contexto A para request/job B.
+9. Dispatcher/worker futuros recebem referências de IDs, revalidam tenant/ação/destino e consentimento vigente em contexto novo; entrega/lease não são identidade da ocorrência. Nenhum detalhe desta sequência instala fila, adapter ou reconciliação produtivos.
+
+## Invariantes persistentes propostas
+
+| Invariante | Defesa a implementar após aprovação | O que não basta |
+| --- | --- | --- |
+| Uma operação por chave composta | Unicidade tenant/ambiente/operação/client key; fingerprint/versões imutáveis; concorrência e conflito tratados | Map local, lock somente em memória ou chave global sem tenant |
+| Relações não atravessam tenants | PK/FK compostas e validação semântica de contato/pai/root; tenant obrigatório | FKs individuais de IDs ou GUC sem autenticação |
+| Snapshot e avaliação preservados | Append-only, privilégios limitados, versões e nova avaliação para override | Ler a última regra para reinterpretar histórico |
+| Fato e entrega não se multiplicam | Unicidade de fato raiz/código/fact_key e entrega por identidade completa, snapshot congelado | Deduplicar só contact_id, destination_id ou event_id global |
+| Atomicidade e recuperação | Uma transação na conexão efetiva; estado de commit recuperável; outbox e constraints reais | Helper, HTTP2xx, teste serial ou referência SQL |
+| Leitura e retenção limitadas | Índices por tenant/contato/data/estado e paginação; retenção por categoria | Índice JSON genérico, logs como fila ou purge global |
+
+HMAC/key_version/canonicalization_version, janela e contexto da operação são requisitos adicionais da referência de identidade: o DDL histórico da auditoria não os implementa integralmente. Não copiar esse DDL como migration pronta. A defesa final deve ser reconciliada com schema real e decisão de adoção.
+
+## Matriz estática discriminante
+
+Todos os resultados abaixo são **esperados por contrato**, não execuções. Camadas I=identidade, P=persistência, T=tenant/segurança. Tenant A/B, chaves K1/K2 e IDs são símbolos sintéticos, não contas ou dados reais. O reviewer confronta entrada, precondição e resultado com pseudofluxo/invariantes; prova de DB/HTTP permanece futura.
+
+| Caso / trigger e entrada | Precondição | Resultado esperado / discriminante | Camada / limite observável |
+| --- | --- | --- | --- |
+| S01: A tenta pai/contact/event de B | Tenant A verificado; ID de B conhecido | Negar relação/leitura, sem write, recibo ou vazamento de existência | T/P; revisar FK+autorização, sem query real |
+| S02: A/K1 e B/K1 com mesmo texto | Dois tenants autorizados separadamente | Operações isoladas; A nunca recupera recibo/fingerprint de B | I/T/P; composto não é teste cross-tenant executado |
+| S03: request sem tenant, corpo tenant B ou job stale | Contexto ausente/divergente/revogado | Fail-closed antes de conectar/escrever; não usar último tenant do pool | T; revisão de todos os caminhos, sem autenticação real |
+| S04: A termina; conexão reutilizada por B, incluindo erro/rollback | Pool compartilhado proposto | Contexto A encerrado; B estabelece o próprio; falha de reset impede reuso | T/P; reset/policies só provados com conexão efetiva futura |
+| S05: runtime owner/superuser/BYPASSRLS ou role admin herdável | Atributos/grants efetivos inspecionáveis na adoção | Rejeitar configuração de runtime; GUC não corrige privilégio excessivo | T; nenhum catálogo DB consultado nesta entrega |
+| S06: UUID colide; bigint 9007199254740993 | Unicidade e tipo decimal contratados | Não sobrescrever; colisão antes do insert tem retry limitado; bigint JSON "9007199254740993" intacto | I/P; análise de representação, sem gerador/constraint executados |
+| S07: A/K1 envia mesmo comando; resposta se perde após commit | Registro confirmado e versões históricas disponíveis | Mesmo occurrence/event/recibo permitido; zero efeitos adicionais | I/P; não prova commit real ou rota de recuperação |
+| S08: A/K1 altera resposta, versão ou missing→null | Registro anterior e canonicalização tipada | Entrada canônica distinta, conflito sem sobrescrever; não retornar sucesso do pedido diferente | I/P; digest não é prova de ausência matemática de colisão |
+| S09: A/K1 repetido simultaneamente; segundo payload divergente | Unicidade persistente/coordenação proposta | Equivalentes convergem; divergente perdedor reconsulta e conflita; não cria segundo evento | P/I; somente revisão de corrida, sem concorrência DB |
+| S10: nova solicitação intencional A/K2 do mesmo contato | Nova intenção e política de elegibilidade aprovadas | Outra ocorrência raiz/identidade; não confundir com retry K1 nem impor janela de 24h | I/P; intenção/política não inferidas do e-mail |
+| S11: commit ack incerto ou falha antes do commit | Estado pode ser consultado com autoridade | Incerto reconcilia K1; rollback confirmado não emite recibo positivo; nunca remintar K2 por timeout | P/I; sem falha injetada em DB nesta Task |
+| S12: amend de A acrescenta respostas, depois perfil/qualified | Pai/root do mesmo contato/tenant, versões e avaliação válidas | Nova revisão/avaliação/evento, raiz preservada; uma raiz no funil, não quatro leads | I/P; lineage/agregação apenas especificadas |
+| S13: amend aponta para B, ciclo ou pai de outro contato | Linhagem validada antes de persistir | Rejeitar; não corrigir pai pelo último contato ou truncar travessia como sucesso | I/T/P; limite de profundidade depende de aprovação |
+| S14: rotacionar v1→v2 e repetir K1 | Registro K1 aponta v1/canonicalizador antigo preservado | Verificar com v1, recuperar mesmo resultado; v2 só para operação nova | I/P; sem acesso a material criptográfico |
+| S15: K1 expirada; chave antiga/purge indisponível | Política de janela/compatibilidade ainda necessária | Negar/pausar recuperação, não tomar ausência como nova operação; rotação não autoriza replay | I/T/P; retenção e recuperação operacional não testadas |
+| S16: concatenação ambígua ou campo desconhecido | Canonicalizador versionado e limitado | Tuplas distintas não se confundem por concatenação; input inválido recusado, sem coerção | I; revisão de algoritmo, não implementação HMAC |
+| S17: mapping novo ou dataset/modo diferente para evento já entregue | Identidade de entrega e snapshot anteriores conhecidos | Sem replay automático; preservar ledger e exigir transição/reconciliação aprovadas | I/P; nenhum destino ou ledger produtivo acessado |
+| S18: lookup de recibo só com client key / PII no log | Recuperação requer ação/contexto autorizados | Não autorizar pessoa pela key; nenhum contato/digest/token em log ou recibo | T/I; antiabuso/redaction exigem testes futuros |
+
+## Alcance de prova e rollback
+
+Teste do helper existente é regressão complementar, não teste deste modelo de persistência. Static-check da matriz/links e review de segurança independente confrontam C03.1–C03.6; não comprovam RLS, constraints, locks, pool, concorrência ou restore. Adotar exige autorização e testes na conexão/runtime reais, cobrindo cenários negativos e worker, com dados sintéticos isolados. SQL continua proibido nesta SPEC, inclusive local/PGlite/psql.
+
+Rollback C03 remove somente seu diff documental, preserva C01/C02 e nomes legados. Schema/dados não foram alterados; não existe restore DB comprovado por este trabalho. Fonte/owner de adoção, retenção, roles e plano de migração permanecem pendentes conforme [autoridade](authority.md).

package/templates/.agents/skills/zaip-skill-lead-measurement/references/questionnaire-v2.schema.json

@@ -0,0 +1,136 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "title": "Synthetic BANT questionnaire v2, draft only",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schema_version",
+    "status",
+    "synthetic",
+    "opt_in",
+    "adoption_authorized",
+    "company",
+    "versions",
+    "approval",
+    "questions",
+    "policy",
+    "cases"
+  ],
+  "properties": {
+    "schema_version": { "const": 2 },
+    "status": { "const": "draft" },
+    "synthetic": { "const": true },
+    "opt_in": { "const": true },
+    "adoption_authorized": { "const": false },
+    "company": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["code", "name", "offer", "owner"],
+      "properties": {
+        "code": { "type": "string", "maxLength": 64 },
+        "name": { "type": "string", "maxLength": 100 },
+        "offer": { "type": "string", "maxLength": 200 },
+        "owner": { "type": "string", "maxLength": 100 }
+      }
+    },
+    "versions": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["contract", "questionnaire", "rule", "consent", "mapping"],
+      "properties": {
+        "contract": { "const": 2 },
+        "questionnaire": { "type": "integer", "minimum": 1 },
+        "rule": { "type": "integer", "minimum": 1 },
+        "consent": { "type": "integer", "minimum": 1 },
+        "mapping": { "type": "integer", "minimum": 1 }
+      }
+    },
+    "approval": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["simulated", "reviewer", "date"],
+      "properties": {
+        "simulated": { "const": true },
+        "reviewer": { "type": "string", "maxLength": 100 },
+        "date": { "type": "string", "maxLength": 10 }
+      }
+    },
+    "questions": {
+      "type": "array",
+      "minItems": 1,
+      "maxItems": 20,
+      "items": {
+        "type": "object",
+        "additionalProperties": false,
+        "required": ["code", "dimension", "label", "type", "required"],
+        "properties": {
+          "code": { "type": "string", "maxLength": 64 },
+          "dimension": { "enum": ["B", "A", "N", "T", "extension"] },
+          "label": { "type": "string", "maxLength": 200 },
+          "type": { "enum": ["single_choice", "multi_choice", "number", "date", "text"] },
+          "required": { "type": "boolean" },
+          "unit": { "type": "string", "maxLength": 40 },
+          "currency": { "type": "string", "maxLength": 3 },
+          "minimum": { "type": "number" },
+          "maximum": { "type": "number" },
+          "max_length": { "type": "integer", "minimum": 1, "maximum": 500 },
+          "max_selections": { "type": "integer", "minimum": 1, "maximum": 10 },
+          "options": {
+            "type": "array",
+            "minItems": 1,
+            "maxItems": 30,
+            "items": {
+              "type": "object",
+              "additionalProperties": false,
+              "required": ["code", "label"],
+              "properties": {
+                "code": { "type": "string", "maxLength": 64 },
+                "label": { "type": "string", "maxLength": 100 }
+              }
+            }
+          },
+          "required_when": { "type": "object" }
+        }
+      }
+    },
+    "policy": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["code", "questionnaire_version", "expression_ast"],
+      "properties": {
+        "code": { "type": "string", "maxLength": 64 },
+        "questionnaire_version": { "type": "integer", "minimum": 1 },
+        "expression_ast": { "type": "object" }
+      }
+    },
+    "aliases": { "type": "object" },
+    "cases": {
+      "type": "array",
+      "minItems": 4,
+      "maxItems": 20,
+      "items": {
+        "type": "object",
+        "additionalProperties": false,
+        "required": ["id", "kind", "answers", "receipt_accepted", "expected"],
+        "properties": {
+          "id": { "type": "string", "maxLength": 64 },
+          "kind": { "enum": ["positive", "negative", "boundary", "override", "uncertainty"] },
+          "answers": { "type": "object" },
+          "receipt_accepted": { "type": "boolean" },
+          "authority_type": { "enum": ["sole", "shared", "researcher", "owner_approval"] },
+          "manual_override": { "type": "object" },
+          "expected": {
+            "type": "object",
+            "additionalProperties": false,
+            "required": ["cadastro", "profile", "outcome"],
+            "properties": {
+              "cadastro": { "type": "boolean" },
+              "profile": { "type": "boolean" },
+              "outcome": { "enum": ["pending", "qualified", "not_qualified", "human_review"] }
+            }
+          }
+        }
+      }
+    }
+  }
+}

package/templates/.agents/skills/zaip-skill-lead-measurement/references/synthetic-config.json

@@ -0,0 +1,24 @@
+{
+  "schema_version": 1,
+  "catalog_version": "synthetic-v1",
+  "mapping_version": "synthetic-v1",
+  "classification_catalog": {
+    "service": ["renovation", "painting"],
+    "budget_band": ["low", "medium", "unknown"],
+    "qualification": ["new", "qualified", "disqualified"]
+  },
+  "events": {
+    "lead_accepted": { "ga4": "generate_lead", "meta": "Lead" },
+    "lead_qualified": { "ga4": "lead_qualified", "meta": "QualifiedLead" }
+  },
+  "google_ads": {
+    "primary_source": "ga4_import",
+    "sources": { "ga4_import": { "primary": true }, "direct": { "primary": false } }
+  },
+  "required_consent": {
+    "ga4": ["analytics_storage"],
+    "google_ads": ["analytics_storage", "ad_storage", "ad_user_data"],
+    "meta": ["meta_measurement"]
+  },
+  "retry": { "max_attempts": 3, "base_delay_ms": 1000, "max_delay_ms": 60000 }
+}

package/templates/.agents/skills/zaip-skill-lead-measurement/references/synthetic-event.json

@@ -0,0 +1,19 @@
+{
+  "schema_version": 1,
+  "event_id": "evt_synthetic_A7p2",
+  "event_name": "lead_accepted",
+  "occurred_at": "2026-10-27T19:00:00Z",
+  "acceptance": { "persisted": true, "receipt_id": "receipt_synthetic_01" },
+  "classification": {
+    "service": "renovation",
+    "budget_band": "medium",
+    "qualification": "qualified"
+  },
+  "consent": {
+    "analytics_storage": "granted",
+    "ad_storage": "granted",
+    "ad_user_data": "granted",
+    "ad_personalization": "granted",
+    "meta_measurement": "granted"
+  }
+}