evo360-types 1.3.574 → 1.3.581

package/dist/types/evo-telemedicine/index.d.ts

@@ -1,6 +1,7 @@
 export * from "./fb_collections";
 import type { IFireDoc, IFireGlobalDoc } from "../shared";
 import type { ITenantModuleEntitlement } from "../evo-tenant";
+import type { VirtualCareRecordingMode } from "../evo-med/calendar";
 export declare const EvoTelemedicinePermissions: {
     /** Ver estado e dados operacionais básicos. */
     readonly Read: "evo_telemedicine_read";
@@ -171,6 +172,18 @@ export declare const AccessGrantKindEnum: {
     readonly LaunchCode: "launch_code";
     /** Sessão do browser (cookie `__session`), 15 min, rotativa. */
     readonly BrowserSession: "browser_session";
+    /**
+     * feat-160 F7 — `kind` de uma ENTRADA A MAIS no `grant-index`, apontando
+     * para o MESMO grant `qr_capability`, para o link do calendário (ICS)
+     * resolver o caminho da teleconsulta (T56/P1).
+     *
+     * ⚠️ NENHUM grant tem este kind: `ITeleconsultationAccessGrant.kind` nunca
+     * vale `ics_capability`. O poder de entrar continua amarrado ao
+     * `secret_hash` do grant, que é o HMAC do `cap` e não do `ics_cap`. Está no
+     * mesmo enum porque é o `kind` do índice e o índice é endereçado pelo mesmo
+     * espaço de nomes — não para virar um grant.
+     */
+    readonly IcsCapability: "ics_capability";
 };
 export type AccessGrantKind = (typeof AccessGrantKindEnum)[keyof typeof AccessGrantKindEnum];
 export declare const AccessGrantStateEnum: {
@@ -218,6 +231,12 @@ export declare const TeleconsultationEventTypeEnum: {
     /** Alteração tardia na agenda com consulta já iniciada — tratamento operacional, não apaga o encontro. */
     readonly TeleconsultationDiverged: "teleconsultation.diverged";
     readonly AccessCreated: "access.created";
+    /**
+     * feat-160 F13/D31 — alguém REVELOU/copiou o link do paciente no painel. Um
+     * evento por revelação (é o ato do usuário que fica registrado, não a
+     * abertura da tela). Distinto de `access.created`, que é a emissão do grant.
+     */
+    readonly AccessLinkRevealed: "access.link_revealed";
     readonly AccessRevoked: "access.revoked";
     readonly AccessExchanged: "access.exchanged";
     readonly AccessVerificationFailed: "access.verification_failed";
@@ -241,8 +260,22 @@ export declare const TeleconsultationEventTypeEnum: {
     readonly RecordingConsentRequested: "recording.consent_requested";
     readonly RecordingConsentAccepted: "recording.consent_accepted";
     readonly RecordingConsentDeclined: "recording.consent_declined";
+    /**
+     * feat-160 F15 — o paciente RECUSOU a gravação automática ANTES de entrar.
+     * Não é `recording.consent_declined`: aquela é a recusa de uma solicitação
+     * feita em sala (a consulta segue sem gravar); esta IMPEDE a entrada, porque
+     * em `auto_*` o aceite é condição do join (D21).
+     */
+    readonly RecordingConsentDeclinedPreJoin: "recording.consent_declined_pre_join";
     readonly RecordingConsentWithdrawn: "recording.consent_withdrawn";
     readonly RecordingStarted: "recording.started";
+    /**
+     * feat-160 F15 — gravação iniciada pela POLÍTICA da agenda (`auto_audio`/
+     * `auto_video`), não por comando do médico. Trilha própria porque
+     * `recording.started` sem um `recording.consent_requested` antes pareceria
+     * gravação sem solicitação na auditoria.
+     */
+    readonly RecordingAutoStarted: "recording.auto_started";
     readonly RecordingStopped: "recording.stopped";
     readonly RecordingFailed: "recording.failed";
     readonly TranscriptionQueued: "transcription.queued";
@@ -252,6 +285,15 @@ export declare const TeleconsultationEventTypeEnum: {
     readonly ConsultationStarted: "consultation.started";
     readonly ConsultationReconnecting: "consultation.reconnecting";
     readonly ConsultationEnded: "consultation.ended";
+    /**
+     * feat-160 F18 — consulta encerrada e MEDIDA como "não contada" (paciente
+     * não atendeu, sem gravação elegível, franquia). Existe porque
+     * `usage_metered_at` é carimbado nos DOIS casos: sem este evento a
+     * reconciliação "quantas `ended` carimbadas × quantas linhas no BigQuery"
+     * acusaria diferença em toda consulta não contada, indistinguível de evento
+     * perdido.
+     */
+    readonly UsageSkipped: "teleconsultation.usage_skipped";
     readonly ArtifactAccessed: "artifact.accessed";
     readonly ArtifactDeleted: "artifact.deleted";
     readonly EntitlementDenied: "entitlement.denied";
@@ -325,7 +367,33 @@ export interface ITeleconsultation extends IFireDoc {
     provider_meeting_id?: string;
     active_provider_session_id?: string;
     recording_status: RecordingStatus;
+    /**
+     * Gravação — campos de OPERAÇÃO escritos por F8 e lidos pelo `GET /session`
+     * (feat-160). Nenhum id do provedor entra aqui: o id da gravação no
+     * provedor vive em `private/provider.active_provider_recording_id` (T52).
+     */
+    recording_request_id?: string;
+    /** Versão do texto legal `recording` referenciada na solicitação (D21). */
+    recording_terms_version?: string;
+    recording_requested_at?: Date | null;
+    /** `userId` do médico que solicitou. */
+    recording_requested_by?: string;
+    recording_started_at?: Date | null;
+    recording_stopped_at?: Date | null;
+    /** Código estável, sem PII, quando `recording_status === 'failed'`. */
+    recording_failure_code?: string | null;
+    /** Segmento corrente (1..n) — mais de uma sessão física = vários segmentos. */
+    recording_segment?: number;
     transcription_status: TranscriptionStatus;
+    /**
+     * feat-160 F10 — desmonte do meeting no provedor ainda pendente; o sweep lê e
+     * limpa. Escrito FORA do comando transacional de propósito: não é estado
+     * clínico e um `version + 1` por housekeeping faria o `expected_version` que
+     * o painel acabou de ler virar 409.
+     */
+    provider_teardown_pending?: boolean;
+    /** feat-160 F10 — até quando o metadado sensível sobrevive à retenção. */
+    metadata_retention_until?: Date | null;
     entitlement_snapshot: ITeleconsultationEntitlementSnapshot;
     /**
      * Geração no `appointment-index`: incrementa quando o appointment volta a ser
@@ -337,11 +405,63 @@ export interface ITeleconsultation extends IFireDoc {
     /** Última versão/data do appointment aplicada — descarta evento de reconciliação antigo. */
     last_reconciled_appointment_version?: number | string | null;
     last_reconciled_at?: Date | null;
+    /**
+     * feat-160 F18 — quando a passada de bilhetagem do sweep pode contar esta
+     * consulta. Carimbado por `endForAll` (`ended_at + 15 min`): o `ready` das
+     * gravações só chega pelo webhook DEPOIS do fim, então contar no `end`
+     * classificaria toda consulta gravada como "sem gravação".
+     */
+    usage_metering_due_at?: Date | null;
+    /**
+     * Quando o evento de uso foi emitido. Presente = já contada; é o que torna a
+     * bilhetagem idempotente no doc (a dedup em BigQuery, por `target.entityId`,
+     * é a segunda camada) e a trilha para reconciliar contra o BigQuery — o
+     * publish é best-effort e pode se perder.
+     */
+    usage_metered_at?: Date | null;
     /** Concorrência otimista: todo comando de estado é transação + `version`. */
     version: number;
     created_at: Date;
     updated_at: Date;
 }
+/**
+ * `.../teleconsultations/{teleconsultationId}/private/provider` (data-model §7;
+ * threat model P1/T52).
+ *
+ * Tudo o que identifica o encontro NO PROVEDOR mora aqui, e só aqui: o subdoc
+ * `private/**` é negado a todo mundo nas rules, inclusive super admin, enquanto
+ * `teleconsultations/{id}` e `participants/{id}` são legíveis pelo FE com
+ * `evo_telemedicine_read`. Um id de provedor na mão do browser é exatamente o
+ * que T52 proíbe — e `runTeleconsultationCommand` LANÇA se um patch do doc
+ * principal carregar `provider_meeting_id`/`active_provider_session_id`, para
+ * que o invariante não dependa de alguém lembrar em cada PR.
+ */
+export interface ITeleconsultationPrivateProvider {
+    readonly id: string;
+    tenant: string;
+    teleconsultation_id: string;
+    provider: TeleconsultationProvider;
+    /** Id do meeting no provider — nunca sai deste doc para o FE nem para o SPA. */
+    provider_meeting_id?: string;
+    active_provider_session_id?: string;
+    /** Sessões físicas já vistas (mais de uma = segmentos do mesmo encontro). */
+    provider_session_ids?: string[];
+    /** Id do participante no provider, por id LÓGICO (`doctor`/`patient`). */
+    provider_participant_ids?: Record<string, string>;
+    /**
+     * Gravação ativa no provedor. O artefato guarda o mesmo valor em
+     * `provider_artifact_id` (é por ele que o webhook casa), mas o `stop` precisa
+     * do id sem depender de qual segmento é o corrente.
+     */
+    active_provider_recording_id?: string | null;
+    created_at?: Date | null;
+    updated_at?: Date | null;
+}
+/**
+ * Campos que o doc PRINCIPAL da teleconsulta jamais carrega — a asserção do
+ * `runTeleconsultationCommand` e do teste de sanidade itera esta lista.
+ */
+export declare const TELECONSULTATION_PROVIDER_ONLY_FIELDS: readonly ["provider_meeting_id", "active_provider_session_id"];
 /** `.../participants/{participantId}` (data-model §2). Id lógico estável; reconexão reutiliza o mesmo participante. */
 export interface ITeleconsultationParticipant extends IFireDoc {
     teleconsultation_id: string;
@@ -404,6 +524,11 @@ export interface ITeleconsultationArtifact extends IFireDoc {
     ended_at?: Date | null;
     /** Retenção: o sweep deleta o objeto e só então marca `deleted` (auditoria preservada). */
     expires_at?: Date | null;
+    /**
+     * feat-160 F10 — quando o CONTEÚDO foi apagado. O doc sobrevive (status
+     * `deleted`) porque a auditoria da deleção é preservada (D13).
+     */
+    deleted_at?: Date | null;
     error_code?: string;
     created_at: Date;
     updated_at: Date;
@@ -491,6 +616,21 @@ export interface ITelemedicineAppointmentIndex extends IFireDoc {
     active_teleconsultation_id: string | null;
     generation: number;
     last_reconciled_appointment_version?: number | string | null;
+    /**
+     * feat-160 F3 — instante do write do appointment já aplicado. A marca d'água
+     * mora AQUI, e não só na teleconsulta, porque o índice sobrevive ao que ela
+     * precisa cobrir: um `denied` não cria doc nenhum e um terminal deixa de ser
+     * a teleconsulta ativa. Sem isto, um evento antigo redelivered depois de um
+     * `denied` seria reavaliado como novo.
+     */
+    last_reconciled_at?: Date | null;
+    /**
+     * Última teleconsulta deste appointment, ativa ou não. Gravada quando o
+     * índice é liberado (terminal) para o painel continuar mostrando a
+     * teleconsulta expirada/encerrada em vez de "não tem teleconsulta". NÃO é
+     * fonte de verdade de ativo — isso é `active_teleconsultation_id`.
+     */
+    last_teleconsultation_id?: string | null;
     updated_at: Date;
 }
 /**
@@ -539,6 +679,12 @@ export interface ITelemedicineGrantIndex extends IFireGlobalDoc {
     tenant: string;
     teleconsultation_id: string;
     grant_id: string;
+    /**
+     * Qual segredo esta entrada resolve. Ausente = a capability do `/qr`
+     * (comportamento original); `ics_capability` = o segredo derivado do link do
+     * calendário, que aponta para o MESMO grant `qr_capability` (F7).
+     */
+    kind?: AccessGrantKind;
     /** TTL nativo. */
     expires_at: Date;
 }
@@ -696,6 +842,73 @@ export interface IRoomConsentRefDto {
     subject: ConsentSubject;
     terms_version: string;
 }
+/**
+ * Projeção SANITIZADA do estado de gravação no `GET /session` (feat-160 F8).
+ * Nunca traz id do provider, path do objeto no GCS nem URL assinada — só o que
+ * a UI dos dois papéis precisa.
+ */
+export interface IRoomRecordingStateDto {
+    /** Mesma origem do `recording_status` do DTO da sessão. */
+    status: RecordingStatus;
+    /** Início do segmento ativo — única origem do cronômetro; `null` fora de gravação. */
+    started_at: string | null;
+    /** Idempotência do comando e vínculo do consentimento (T19). */
+    recording_request_id?: string;
+    /** Versão do texto legal `recording` referenciada na solicitação (D21). */
+    terms_version?: string;
+    /** Código estável, sem PII, quando `status === 'failed'`. */
+    failure_code?: string;
+    /** feat-160 F15 — presente só nos modos `auto_*` (aviso pré-join). */
+    auto?: IRoomRecordingAutoDto;
+}
+/**
+ * feat-160 F15 — aviso PRÉ-JOIN da gravação automática (`auto_audio`/
+ * `auto_video`). Presente só nesses modos: é o que o SPA usa para explicar o
+ * que vai ser gravado e por quanto tempo ANTES do aceite.
+ */
+export interface IRoomRecordingAutoDto {
+    /** `auto_audio` ou `auto_video`; os outros modos não têm este bloco. */
+    mode: VirtualCareRecordingMode;
+    /**
+     * `true` em `auto_audio`. Hoje é INTENÇÃO declarada: o `POST /recordings` do
+     * provedor não expõe flag de áudio-only, então o arquivo sai A/V. O SPA usa o
+     * campo para o texto do aviso; quando o provedor ganhar a flag, só o adapter
+     * muda.
+     */
+    audio_only: boolean;
+    /** Retenção que o texto mostrado ao paciente promete (`{{retention}}`, D32). */
+    retention_days: number;
+    /**
+     * Versão vigente do texto `recording` que o `POST /consents` tem de
+     * referenciar. `null` = não há texto publicado ⇒ sem aceite possível (D21) e
+     * a gravação automática NÃO acontece.
+     */
+    terms_version: string | null;
+}
+/**
+ * feat-160 F16 — política EFETIVA da agenda nesta sessão (`virtual_care` já
+ * com os defaults aplicados). É projeção de decisão, não de config gravada:
+ * agenda sem o bloco devolve os defaults.
+ */
+export interface IRoomSessionPolicyDto {
+    recording_mode: VirtualCareRecordingMode;
+    auto_admit: boolean;
+    identity: {
+        require_name: boolean;
+        require_birth_date: boolean;
+        skip: boolean;
+    };
+    /**
+     * Prazo duro da consulta. `end_at`/`warning_at` são `null` quando não há
+     * prazo (consulta não iniciada com `allow_late_end`), e `reason` diz qual
+     * limite venceu — o MESMO `reason` com que o sweep encerra.
+     */
+    deadline: {
+        end_at: string | null;
+        warning_at: string | null;
+        reason: "scheduled_end" | "max_duration" | null;
+    };
+}
 /**
  * `GET /api/room/v1/session` — estado SANITIZADO: sem tenant id, sem ids do
  * provider; nome do profissional/clínica só depois da verificação.
@@ -712,13 +925,62 @@ export interface IRoomSessionDto {
     identity_level: IdentityLevel;
     /** Paciente precisa passar por `POST /identity/verify` antes do join. */
     identity_required: boolean;
+    /**
+     * Quais campos o formulário de identidade deve pedir (spec §8.3): a data de
+     * nascimento só é pedida quando EXISTE no cadastro. Para o médico vem sempre
+     * `{ birth_date: false }`.
+     */
+    identity_required_fields: {
+        birth_date: boolean;
+        /**
+         * feat-160 F16 — `virtual_care.identity.require_name`: a agenda pode exigir
+         * o nome também. OPCIONAL no contrato porque SPA anterior à F16 não o
+         * conhece e deve seguir pedindo só a data (comportamento de antes).
+         */
+        name?: boolean;
+    };
+    /**
+     * Contador do lockout, lido do GRANT raiz — e a ÚNICA fonte dele: o erro do
+     * `POST /identity/verify` é neutro e não devolve tentativas nem prazo. Por
+     * isso a UI relê a sessão depois de cada falha.
+     */
+    identity_attempts: {
+        remaining: number;
+        blocked_until: string | null;
+    };
     recording_status: RecordingStatus;
+    recording: IRoomRecordingStateDto;
+    /**
+     * feat-160 F16 — o que a AGENDA decidiu (`calendar.virtual_care` resolvido
+     * com os defaults). OPCIONAL: aditivo, SPA que não o conheça mantém o
+     * comportamento pré-F16.
+     */
+    policy?: IRoomSessionPolicyDto;
     transcription_status: TranscriptionStatus;
     /** Textos vigentes que ainda precisam de aceite antes do join. */
     required_consents: IRoomConsentRefDto[];
     accepted_consents: IRoomConsentRefDto[];
     /** Capabilities efetivas para esta sessão (entitlement AND rollout AND papel). */
     capabilities: Record<string, boolean>;
+    /** Presença do médico; `null` quando não há participante. Atalho de `participants`. */
+    doctor_presence: ParticipantState | null;
+    /** Presença do paciente. Atalho de `participants`. */
+    patient_presence: ParticipantState | null;
+    /** Os dois papéis, com `state`/`disconnected_at`/`reconnect_count`. */
+    participants: ITeleconsultationParticipantDto[];
+    /**
+     * Pacientes em `state === 'waiting'`, e a ponte OBRIGATÓRIA do `POST /admit`:
+     * o `participant_id` de domínio é o literal `'patient'`, enquanto o
+     * `custom_participant_id` devolvido no `POST /join` é hash opaco que nunca
+     * casaria com ele.
+     */
+    waiting_participants: ITeleconsultationParticipantDto[];
+    /**
+     * Máscara "Maria A. d. S." do titular do agendamento. SÓ na sessão do
+     * MÉDICO — o backend nunca a manda ao paciente (T01), e é por isso que é o
+     * único destes campos legitimamente opcional.
+     */
+    patient_display_masked?: string;
     professional_display_name?: string;
     clinic_display_name?: string;
     /** Expiração do access da sessão (15 min, rotativo via `/session/refresh`). */
@@ -760,11 +1022,93 @@ export interface ITeleconsultationArtifactDto {
     error_code?: string;
     created_at: string;
 }
+/**
+ * Modo da URL assinada de um artefato (feat-160 F21; D34).
+ *
+ * `attachment` é o default histórico (F8): o navegador BAIXA o arquivo.
+ * `inline` existe para o `<video>` do painel fazer streaming por `Range` sem
+ * baixar — e a única diferença técnica é NÃO emitir `Content-Disposition`.
+ */
+export declare const ArtifactDispositionEnum: {
+    readonly Inline: "inline";
+    readonly Attachment: "attachment";
+};
+export type ArtifactDisposition = (typeof ArtifactDispositionEnum)[keyof typeof ArtifactDispositionEnum];
+/**
+ * Teto de validade da URL `inline` (feat-160 F21): 15 min. Playback casa com a
+ * duração de uma consulta; download curto casa com o clique. É TETO, não
+ * default — o use case aplica, e o adapter recusa acima dele.
+ */
+export declare const ARTIFACT_INLINE_SIGNED_URL_MAX_SECONDS = 900;
 /** `POST /v1/teleconsultations/:id/artifacts/:artifactId/signed-url` — URL ≤ 5 min; evento `artifact.accessed`. */
 export interface ISignedUrlResponseDto {
     ok: true;
     url: string;
     expires_at: string;
+    /** Modo efetivamente aplicado (`attachment` quando o comando omite). */
+    disposition?: ArtifactDisposition;
+}
+export type TranscriptSpeakerRole = "doctor" | "patient" | "unknown";
+export interface ITranscriptSpeakerDto {
+    /** `opaque_custom_participant_id` que amarra a fala ao papel. */
+    key: string;
+    display_name: string;
+    role: TranscriptSpeakerRole;
+}
+export interface ITranscriptEntryDto {
+    index: number;
+    speaker_key: string;
+    start_ms: number;
+    end_ms: number;
+    text: string;
+    overlapping?: boolean;
+}
+/** Corpo da transcrição de UM artefato (`segment`). */
+export interface ITranscriptDto {
+    artifact_id: string;
+    segment: number;
+    language?: string;
+    generated_at?: string;
+    speakers: ITranscriptSpeakerDto[];
+    entries: ITranscriptEntryDto[];
+}
+/**
+ * `GET /v1/teleconsultations/:id/artifacts/:artifactId/transcript` — envelope
+ * da rota: `{ ok: true, ...ITranscriptDto }` (o DTO é espalhado, não aninhado).
+ */
+export interface ITranscriptResponseDto extends ITranscriptDto {
+    ok: true;
+}
+/**
+ * Um agendamento que TEM teleconsulta, e o que ela produziu. Id ausente do mapa
+ * = "nunca virou teleconsulta" — é essa diferença que impede a tela de
+ * desenhar três ícones apagados em toda linha comum.
+ */
+export interface ITeleconsultationBadgeDto {
+    teleconsultation_id: string;
+    status: TeleconsultationStatus;
+    recording_audio: boolean;
+    recording_video: boolean;
+    transcript: boolean;
+}
+/** `GET /v1/appointments/teleconsultation-badges?ids=a,b,c` (máx. 50 ids). */
+export interface ITeleconsultationBadgesResponseDto {
+    ok: true;
+    /** Keyed por `appointment_id`. */
+    items: Record<string, ITeleconsultationBadgeDto>;
+}
+/** Teto de ids por chamada; acima disso a rota responde 400. */
+export declare const TELECONSULTATION_BADGES_MAX_IDS = 50;
+/**
+ * Corpo do `POST …/artifacts/:artifactId/signed-url` (feat-160 F21). O zod
+ * espelho é `zArtifactSignedUrlCommandSchema`.
+ */
+export interface IArtifactSignedUrlCommand {
+    disposition?: ArtifactDisposition;
+    /** 30..900; o teto REAL depende do modo e é aplicado pelo backend. */
+    ttl_seconds?: number;
+    /** Renova a URL de um artefato já acessado (evento `artifact.accessed`). */
+    refresh?: boolean;
 }
 export interface ITeleconsultationEventDto {
     id: string;
@@ -792,6 +1136,13 @@ export interface ITelemedicineLegalTextDto {
     content_html: string;
     content_hash: string;
     effective_at?: string | null;
+    /**
+     * VALORES dos placeholders já resolvidos e filtrados pela allowlist do
+     * próprio doc (`ITelemedicineLegalText.placeholders`, que guarda os NOMES
+     * permitidos). ux-flows §3 exige "usada para {finalidade} e ficará
+     * disponível por {prazo}", e D21 proíbe hardcode disso no bundle.
+     */
+    placeholders?: Record<string, string>;
 }
 /** `GET /api/room/v1/legal-texts`. */
 export interface ILegalTextsResponseDto {
@@ -803,17 +1154,61 @@ export interface IIdentityVerifyResponseDto {
     ok: true;
     identity_level: IdentityLevel;
 }
-/** `POST /v1/teleconsultations/:id/access/send`. */
+/**
+ * `POST /api/room/v1/exchange` e `POST /api/room/v1/session/refresh`.
+ *
+ * O corpo NÃO repete o `sid` (está no cookie `__session`, `HttpOnly`,
+ * `Path=/api`) nem o tenant; traz o papel, que é o que permite ao SPA escolher
+ * a tela sem um `GET /session` extra.
+ */
+export interface IExchangeResponseDto {
+    ok: true;
+    role: ParticipantRole;
+    session_expires_at: string;
+}
+/** `POST /api/room/v1/participant-token/refresh` — token novo, MESMO participante lógico. */
+export interface IParticipantTokenRefreshDto {
+    ok: true;
+    provider_token: string;
+    /** Nome do preset no provider (`hm_doctor`, `hm_patient_waiting`, ...). */
+    preset: string;
+    token_expires_at?: string;
+}
+/**
+ * `POST /v1/teleconsultations/:id/access/send` (feat-160 F7).
+ *
+ * É RECIBO DE TASK, não confirmação de envio: a rota publica a mesma task fina
+ * que a rotina publicaria (`telemedicine_join_reminder`) e responde antes de
+ * existir grant — o executor é quem resolve template, canal e elegibilidade e
+ * emite a capability, uma por perna do fan-out. Por isso NÃO há `grant_id` nem
+ * `expires_at` aqui: forjá-los era mentir para a recepção sobre um acesso que
+ * ainda não existia.
+ */
 export interface IAccessSendResponseDto {
     ok: true;
-    grant_id: string;
+    task_id: string;
+    /** `true` quando a chave de idempotência colapsou num envio já pedido. */
+    reused: boolean;
     channel_kind: AccessSendChannelKind;
+    /** Eco do pedido: revogar a capability anterior antes de emitir a nova. */
+    resend: boolean;
+    /** Destinatário mascarado do canal pedido; ausente em `manual`. */
     recipient_masked?: string;
+}
+/**
+ * `POST /v1/teleconsultations/:id/access/link` (feat-160 F13; D31).
+ *
+ * **A `url` é CREDENCIAL** (capability de 128 bits do `/qr`), não um
+ * identificador: não tem lugar em store, log, analytics nem storage do
+ * navegador (T01/T04). Nasce nesta resposta, vai para a área de transferência e
+ * morre com o diálogo. Cada revelação é uma chamada nova, de propósito — o que
+ * fica registrado em `access.link_revealed` é o ato do usuário.
+ */
+export interface IAccessLinkResultDto {
+    ok: true;
+    url: string;
+    grant_id: string;
     expires_at: string;
-    /** Só para `channel_kind = manual` (smoke): URL mascarada, nunca a capability inteira. */
-    url_masked?: string;
-    /** Id da task `telemedicine_join.send` criada, quando houver canal. */
-    task_id?: string;
 }
 export interface IWaitingPolicyCommand {
     waiting_policy: WaitingPolicy;
@@ -853,6 +1248,26 @@ export interface IConsentCommand {
     terms_version: string;
     decision: Extract<ConsentDecision, "accepted" | "declined">;
 }
+/**
+ * `POST /api/room/v1/join` — intenção de mídia do preflight ("Entrar somente
+ * com áudio"). Os dois campos são opcionais porque o backend só os REGISTRA
+ * (escolha de preset e `audio_only_allowed`) e ignora o que não vier.
+ */
+export interface IJoinCommand {
+    audio?: boolean;
+    video?: boolean;
+}
+/**
+ * `POST /api/room/v1/leave` — saída TEMPORÁRIA (D10); nunca encerra a consulta.
+ *
+ * `reason` é string aberta e o backend só distingue UM valor: `'temporary'` é
+ * saída explícita (`left`), qualquer outro é tratado como queda de rede
+ * (`disconnected`). Ausente = `'temporary'`. Chega pelo `pagehide` com
+ * `fetch(keepalive)`, então pode vir sem `Content-Type`.
+ */
+export interface ILeaveCommand {
+    reason?: string;
+}
 /** `POST /api/room/v1/presence`. */
 export interface IPresenceCommand {
     state: PresenceState;

package/dist/types/evo-telemedicine/index.js

@@ -14,7 +14,7 @@ var __exportStar = (this && this.__exportStar) || function(m, exports) {
     for (var p in m) if (p !== "default" && !Object.prototype.hasOwnProperty.call(exports, p)) __createBinding(exports, m, p);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.TelemedicineErrorCode = exports.EntitlementAuditActionEnum = exports.TranscriptionProviderEnum = exports.LegalTextStatusEnum = exports.WebhookEventStatusEnum = exports.TeleconsultationEventTypeEnum = exports.TeleconsultationEventSourceEnum = exports.TeleconsultationEventActorTypeEnum = exports.EndedByTypeEnum = exports.AccessSendChannelKindEnum = exports.AccessGrantStateEnum = exports.AccessGrantKindEnum = exports.ArtifactStatusEnum = exports.ArtifactTypeEnum = exports.ConsentActorTypeEnum = exports.ConsentDecisionEnum = exports.ConsentSubjectEnum = exports.TranscriptionStatusEnum = exports.RecordingStatusEnum = exports.IdentityLevelEnum = exports.PresenceStateEnum = exports.ParticipantStateEnum = exports.ParticipantRoleEnum = exports.TeleconsultationProviderEnum = exports.TeleconsultationModeEnum = exports.WaitingPolicyEnum = exports.TELECONSULTATION_TERMINAL_STATUSES = exports.TeleconsultationStatusEnum = exports.TELEMEDICINE_WINDOW_DEFAULTS = exports.TELEMEDICINE_JOIN_REMINDER_HANDLER = exports.TELEMEDICINE_JOIN_ACTION_TYPE = exports.EvoTelemedicinePermissions = void 0;
+exports.TELECONSULTATION_BADGES_MAX_IDS = exports.ARTIFACT_INLINE_SIGNED_URL_MAX_SECONDS = exports.ArtifactDispositionEnum = exports.TelemedicineErrorCode = exports.EntitlementAuditActionEnum = exports.TELECONSULTATION_PROVIDER_ONLY_FIELDS = exports.TranscriptionProviderEnum = exports.LegalTextStatusEnum = exports.WebhookEventStatusEnum = exports.TeleconsultationEventTypeEnum = exports.TeleconsultationEventSourceEnum = exports.TeleconsultationEventActorTypeEnum = exports.EndedByTypeEnum = exports.AccessSendChannelKindEnum = exports.AccessGrantStateEnum = exports.AccessGrantKindEnum = exports.ArtifactStatusEnum = exports.ArtifactTypeEnum = exports.ConsentActorTypeEnum = exports.ConsentDecisionEnum = exports.ConsentSubjectEnum = exports.TranscriptionStatusEnum = exports.RecordingStatusEnum = exports.IdentityLevelEnum = exports.PresenceStateEnum = exports.ParticipantStateEnum = exports.ParticipantRoleEnum = exports.TeleconsultationProviderEnum = exports.TeleconsultationModeEnum = exports.WaitingPolicyEnum = exports.TELECONSULTATION_TERMINAL_STATUSES = exports.TeleconsultationStatusEnum = exports.TELEMEDICINE_WINDOW_DEFAULTS = exports.TELEMEDICINE_JOIN_REMINDER_HANDLER = exports.TELEMEDICINE_JOIN_ACTION_TYPE = exports.EvoTelemedicinePermissions = void 0;
 __exportStar(require("./fb_collections"), exports);
 // ======================================================
 // evo-telemedicine (feat-160 — Telemedicina integrada)
@@ -195,6 +195,18 @@ exports.AccessGrantKindEnum = {
     LaunchCode: "launch_code",
     /** Sessão do browser (cookie `__session`), 15 min, rotativa. */
     BrowserSession: "browser_session",
+    /**
+     * feat-160 F7 — `kind` de uma ENTRADA A MAIS no `grant-index`, apontando
+     * para o MESMO grant `qr_capability`, para o link do calendário (ICS)
+     * resolver o caminho da teleconsulta (T56/P1).
+     *
+     * ⚠️ NENHUM grant tem este kind: `ITeleconsultationAccessGrant.kind` nunca
+     * vale `ics_capability`. O poder de entrar continua amarrado ao
+     * `secret_hash` do grant, que é o HMAC do `cap` e não do `ics_cap`. Está no
+     * mesmo enum porque é o `kind` do índice e o índice é endereçado pelo mesmo
+     * espaço de nomes — não para virar um grant.
+     */
+    IcsCapability: "ics_capability",
 };
 exports.AccessGrantStateEnum = {
     Active: "active",
@@ -236,6 +248,12 @@ exports.TeleconsultationEventTypeEnum = {
     /** Alteração tardia na agenda com consulta já iniciada — tratamento operacional, não apaga o encontro. */
     TeleconsultationDiverged: "teleconsultation.diverged",
     AccessCreated: "access.created",
+    /**
+     * feat-160 F13/D31 — alguém REVELOU/copiou o link do paciente no painel. Um
+     * evento por revelação (é o ato do usuário que fica registrado, não a
+     * abertura da tela). Distinto de `access.created`, que é a emissão do grant.
+     */
+    AccessLinkRevealed: "access.link_revealed",
     AccessRevoked: "access.revoked",
     AccessExchanged: "access.exchanged",
     AccessVerificationFailed: "access.verification_failed",
@@ -259,8 +277,22 @@ exports.TeleconsultationEventTypeEnum = {
     RecordingConsentRequested: "recording.consent_requested",
     RecordingConsentAccepted: "recording.consent_accepted",
     RecordingConsentDeclined: "recording.consent_declined",
+    /**
+     * feat-160 F15 — o paciente RECUSOU a gravação automática ANTES de entrar.
+     * Não é `recording.consent_declined`: aquela é a recusa de uma solicitação
+     * feita em sala (a consulta segue sem gravar); esta IMPEDE a entrada, porque
+     * em `auto_*` o aceite é condição do join (D21).
+     */
+    RecordingConsentDeclinedPreJoin: "recording.consent_declined_pre_join",
     RecordingConsentWithdrawn: "recording.consent_withdrawn",
     RecordingStarted: "recording.started",
+    /**
+     * feat-160 F15 — gravação iniciada pela POLÍTICA da agenda (`auto_audio`/
+     * `auto_video`), não por comando do médico. Trilha própria porque
+     * `recording.started` sem um `recording.consent_requested` antes pareceria
+     * gravação sem solicitação na auditoria.
+     */
+    RecordingAutoStarted: "recording.auto_started",
     RecordingStopped: "recording.stopped",
     RecordingFailed: "recording.failed",
     TranscriptionQueued: "transcription.queued",
@@ -270,6 +302,15 @@ exports.TeleconsultationEventTypeEnum = {
     ConsultationStarted: "consultation.started",
     ConsultationReconnecting: "consultation.reconnecting",
     ConsultationEnded: "consultation.ended",
+    /**
+     * feat-160 F18 — consulta encerrada e MEDIDA como "não contada" (paciente
+     * não atendeu, sem gravação elegível, franquia). Existe porque
+     * `usage_metered_at` é carimbado nos DOIS casos: sem este evento a
+     * reconciliação "quantas `ended` carimbadas × quantas linhas no BigQuery"
+     * acusaria diferença em toda consulta não contada, indistinguível de evento
+     * perdido.
+     */
+    UsageSkipped: "teleconsultation.usage_skipped",
     ArtifactAccessed: "artifact.accessed",
     ArtifactDeleted: "artifact.deleted",
     EntitlementDenied: "entitlement.denied",
@@ -294,6 +335,14 @@ exports.TranscriptionProviderEnum = {
     None: "none",
     RealtimeKit: "realtimekit",
 };
+/**
+ * Campos que o doc PRINCIPAL da teleconsulta jamais carrega — a asserção do
+ * `runTeleconsultationCommand` e do teste de sanidade itera esta lista.
+ */
+exports.TELECONSULTATION_PROVIDER_ONLY_FIELDS = [
+    "provider_meeting_id",
+    "active_provider_session_id",
+];
 // ======================================================
 // Auditoria de entitlement (`.../entitlement-audit/{id}`, data-model §8)
 // ======================================================
@@ -359,3 +408,22 @@ exports.TelemedicineErrorCode = {
     /** 400 — body/params inválidos. */
     ValidationError: "VALIDATION_ERROR",
 };
+/**
+ * Modo da URL assinada de um artefato (feat-160 F21; D34).
+ *
+ * `attachment` é o default histórico (F8): o navegador BAIXA o arquivo.
+ * `inline` existe para o `<video>` do painel fazer streaming por `Range` sem
+ * baixar — e a única diferença técnica é NÃO emitir `Content-Disposition`.
+ */
+exports.ArtifactDispositionEnum = {
+    Inline: "inline",
+    Attachment: "attachment",
+};
+/**
+ * Teto de validade da URL `inline` (feat-160 F21): 15 min. Playback casa com a
+ * duração de uma consulta; download curto casa com o clique. É TETO, não
+ * default — o use case aplica, e o adapter recusa acima dele.
+ */
+exports.ARTIFACT_INLINE_SIGNED_URL_MAX_SECONDS = 900;
+/** Teto de ids por chamada; acima disso a rota responde 400. */
+exports.TELECONSULTATION_BADGES_MAX_IDS = 50;