evo360-types 1.3.574 → 1.3.581

package/dist/types/evo-telemedicine/index.ts

@@ -1,6 +1,9 @@
 export * from "./fb_collections";
 import type { IFireDoc, IFireGlobalDoc } from "../shared";
 import type { ITenantModuleEntitlement } from "../evo-tenant";
+// feat-160 F15/F16 — a política da sala é projeção do `calendar.virtual_care`:
+// o MODO de gravação é o mesmo tipo dos dois lados, de propósito.
+import type { VirtualCareRecordingMode } from "../evo-med/calendar";
 
 // ======================================================
 // evo-telemedicine (feat-160 — Telemedicina integrada)
@@ -227,6 +230,18 @@ export const AccessGrantKindEnum = {
   LaunchCode: "launch_code",
   /** Sessão do browser (cookie `__session`), 15 min, rotativa. */
   BrowserSession: "browser_session",
+  /**
+   * feat-160 F7 — `kind` de uma ENTRADA A MAIS no `grant-index`, apontando
+   * para o MESMO grant `qr_capability`, para o link do calendário (ICS)
+   * resolver o caminho da teleconsulta (T56/P1).
+   *
+   * ⚠️ NENHUM grant tem este kind: `ITeleconsultationAccessGrant.kind` nunca
+   * vale `ics_capability`. O poder de entrar continua amarrado ao
+   * `secret_hash` do grant, que é o HMAC do `cap` e não do `ics_cap`. Está no
+   * mesmo enum porque é o `kind` do índice e o índice é endereçado pelo mesmo
+   * espaço de nomes — não para virar um grant.
+   */
+  IcsCapability: "ics_capability",
 } as const;
 export type AccessGrantKind = (typeof AccessGrantKindEnum)[keyof typeof AccessGrantKindEnum];
 
@@ -284,6 +299,12 @@ export const TeleconsultationEventTypeEnum = {
   /** Alteração tardia na agenda com consulta já iniciada — tratamento operacional, não apaga o encontro. */
   TeleconsultationDiverged: "teleconsultation.diverged",
   AccessCreated: "access.created",
+  /**
+   * feat-160 F13/D31 — alguém REVELOU/copiou o link do paciente no painel. Um
+   * evento por revelação (é o ato do usuário que fica registrado, não a
+   * abertura da tela). Distinto de `access.created`, que é a emissão do grant.
+   */
+  AccessLinkRevealed: "access.link_revealed",
   AccessRevoked: "access.revoked",
   AccessExchanged: "access.exchanged",
   AccessVerificationFailed: "access.verification_failed",
@@ -307,8 +328,22 @@ export const TeleconsultationEventTypeEnum = {
   RecordingConsentRequested: "recording.consent_requested",
   RecordingConsentAccepted: "recording.consent_accepted",
   RecordingConsentDeclined: "recording.consent_declined",
+  /**
+   * feat-160 F15 — o paciente RECUSOU a gravação automática ANTES de entrar.
+   * Não é `recording.consent_declined`: aquela é a recusa de uma solicitação
+   * feita em sala (a consulta segue sem gravar); esta IMPEDE a entrada, porque
+   * em `auto_*` o aceite é condição do join (D21).
+   */
+  RecordingConsentDeclinedPreJoin: "recording.consent_declined_pre_join",
   RecordingConsentWithdrawn: "recording.consent_withdrawn",
   RecordingStarted: "recording.started",
+  /**
+   * feat-160 F15 — gravação iniciada pela POLÍTICA da agenda (`auto_audio`/
+   * `auto_video`), não por comando do médico. Trilha própria porque
+   * `recording.started` sem um `recording.consent_requested` antes pareceria
+   * gravação sem solicitação na auditoria.
+   */
+  RecordingAutoStarted: "recording.auto_started",
   RecordingStopped: "recording.stopped",
   RecordingFailed: "recording.failed",
   TranscriptionQueued: "transcription.queued",
@@ -318,6 +353,15 @@ export const TeleconsultationEventTypeEnum = {
   ConsultationStarted: "consultation.started",
   ConsultationReconnecting: "consultation.reconnecting",
   ConsultationEnded: "consultation.ended",
+  /**
+   * feat-160 F18 — consulta encerrada e MEDIDA como "não contada" (paciente
+   * não atendeu, sem gravação elegível, franquia). Existe porque
+   * `usage_metered_at` é carimbado nos DOIS casos: sem este evento a
+   * reconciliação "quantas `ended` carimbadas × quantas linhas no BigQuery"
+   * acusaria diferença em toda consulta não contada, indistinguível de evento
+   * perdido.
+   */
+  UsageSkipped: "teleconsultation.usage_skipped",
   ArtifactAccessed: "artifact.accessed",
   ArtifactDeleted: "artifact.deleted",
   EntitlementDenied: "entitlement.denied",
@@ -408,7 +452,33 @@ export interface ITeleconsultation extends IFireDoc {
   provider_meeting_id?: string;
   active_provider_session_id?: string;
   recording_status: RecordingStatus;
+  /**
+   * Gravação — campos de OPERAÇÃO escritos por F8 e lidos pelo `GET /session`
+   * (feat-160). Nenhum id do provedor entra aqui: o id da gravação no
+   * provedor vive em `private/provider.active_provider_recording_id` (T52).
+   */
+  recording_request_id?: string;
+  /** Versão do texto legal `recording` referenciada na solicitação (D21). */
+  recording_terms_version?: string;
+  recording_requested_at?: Date | null;
+  /** `userId` do médico que solicitou. */
+  recording_requested_by?: string;
+  recording_started_at?: Date | null;
+  recording_stopped_at?: Date | null;
+  /** Código estável, sem PII, quando `recording_status === 'failed'`. */
+  recording_failure_code?: string | null;
+  /** Segmento corrente (1..n) — mais de uma sessão física = vários segmentos. */
+  recording_segment?: number;
   transcription_status: TranscriptionStatus;
+  /**
+   * feat-160 F10 — desmonte do meeting no provedor ainda pendente; o sweep lê e
+   * limpa. Escrito FORA do comando transacional de propósito: não é estado
+   * clínico e um `version + 1` por housekeeping faria o `expected_version` que
+   * o painel acabou de ler virar 409.
+   */
+  provider_teardown_pending?: boolean;
+  /** feat-160 F10 — até quando o metadado sensível sobrevive à retenção. */
+  metadata_retention_until?: Date | null;
   entitlement_snapshot: ITeleconsultationEntitlementSnapshot;
   /**
    * Geração no `appointment-index`: incrementa quando o appointment volta a ser
@@ -420,12 +490,69 @@ export interface ITeleconsultation extends IFireDoc {
   /** Última versão/data do appointment aplicada — descarta evento de reconciliação antigo. */
   last_reconciled_appointment_version?: number | string | null;
   last_reconciled_at?: Date | null;
+  /**
+   * feat-160 F18 — quando a passada de bilhetagem do sweep pode contar esta
+   * consulta. Carimbado por `endForAll` (`ended_at + 15 min`): o `ready` das
+   * gravações só chega pelo webhook DEPOIS do fim, então contar no `end`
+   * classificaria toda consulta gravada como "sem gravação".
+   */
+  usage_metering_due_at?: Date | null;
+  /**
+   * Quando o evento de uso foi emitido. Presente = já contada; é o que torna a
+   * bilhetagem idempotente no doc (a dedup em BigQuery, por `target.entityId`,
+   * é a segunda camada) e a trilha para reconciliar contra o BigQuery — o
+   * publish é best-effort e pode se perder.
+   */
+  usage_metered_at?: Date | null;
   /** Concorrência otimista: todo comando de estado é transação + `version`. */
   version: number;
   created_at: Date;
   updated_at: Date;
 }
 
+/**
+ * `.../teleconsultations/{teleconsultationId}/private/provider` (data-model §7;
+ * threat model P1/T52).
+ *
+ * Tudo o que identifica o encontro NO PROVEDOR mora aqui, e só aqui: o subdoc
+ * `private/**` é negado a todo mundo nas rules, inclusive super admin, enquanto
+ * `teleconsultations/{id}` e `participants/{id}` são legíveis pelo FE com
+ * `evo_telemedicine_read`. Um id de provedor na mão do browser é exatamente o
+ * que T52 proíbe — e `runTeleconsultationCommand` LANÇA se um patch do doc
+ * principal carregar `provider_meeting_id`/`active_provider_session_id`, para
+ * que o invariante não dependa de alguém lembrar em cada PR.
+ */
+export interface ITeleconsultationPrivateProvider {
+  readonly id: string;
+  tenant: string;
+  teleconsultation_id: string;
+  provider: TeleconsultationProvider;
+  /** Id do meeting no provider — nunca sai deste doc para o FE nem para o SPA. */
+  provider_meeting_id?: string;
+  active_provider_session_id?: string;
+  /** Sessões físicas já vistas (mais de uma = segmentos do mesmo encontro). */
+  provider_session_ids?: string[];
+  /** Id do participante no provider, por id LÓGICO (`doctor`/`patient`). */
+  provider_participant_ids?: Record<string, string>;
+  /**
+   * Gravação ativa no provedor. O artefato guarda o mesmo valor em
+   * `provider_artifact_id` (é por ele que o webhook casa), mas o `stop` precisa
+   * do id sem depender de qual segmento é o corrente.
+   */
+  active_provider_recording_id?: string | null;
+  created_at?: Date | null;
+  updated_at?: Date | null;
+}
+
+/**
+ * Campos que o doc PRINCIPAL da teleconsulta jamais carrega — a asserção do
+ * `runTeleconsultationCommand` e do teste de sanidade itera esta lista.
+ */
+export const TELECONSULTATION_PROVIDER_ONLY_FIELDS = [
+  "provider_meeting_id",
+  "active_provider_session_id",
+] as const;
+
 /** `.../participants/{participantId}` (data-model §2). Id lógico estável; reconexão reutiliza o mesmo participante. */
 export interface ITeleconsultationParticipant extends IFireDoc {
   teleconsultation_id: string;
@@ -491,6 +618,11 @@ export interface ITeleconsultationArtifact extends IFireDoc {
   ended_at?: Date | null;
   /** Retenção: o sweep deleta o objeto e só então marca `deleted` (auditoria preservada). */
   expires_at?: Date | null;
+  /**
+   * feat-160 F10 — quando o CONTEÚDO foi apagado. O doc sobrevive (status
+   * `deleted`) porque a auditoria da deleção é preservada (D13).
+   */
+  deleted_at?: Date | null;
   error_code?: string;
   created_at: Date;
   updated_at: Date;
@@ -582,6 +714,21 @@ export interface ITelemedicineAppointmentIndex extends IFireDoc {
   active_teleconsultation_id: string | null;
   generation: number;
   last_reconciled_appointment_version?: number | string | null;
+  /**
+   * feat-160 F3 — instante do write do appointment já aplicado. A marca d'água
+   * mora AQUI, e não só na teleconsulta, porque o índice sobrevive ao que ela
+   * precisa cobrir: um `denied` não cria doc nenhum e um terminal deixa de ser
+   * a teleconsulta ativa. Sem isto, um evento antigo redelivered depois de um
+   * `denied` seria reavaliado como novo.
+   */
+  last_reconciled_at?: Date | null;
+  /**
+   * Última teleconsulta deste appointment, ativa ou não. Gravada quando o
+   * índice é liberado (terminal) para o painel continuar mostrando a
+   * teleconsulta expirada/encerrada em vez de "não tem teleconsulta". NÃO é
+   * fonte de verdade de ativo — isso é `active_teleconsultation_id`.
+   */
+  last_teleconsultation_id?: string | null;
   updated_at: Date;
 }
 
@@ -638,6 +785,12 @@ export interface ITelemedicineGrantIndex extends IFireGlobalDoc {
   tenant: string;
   teleconsultation_id: string;
   grant_id: string;
+  /**
+   * Qual segredo esta entrada resolve. Ausente = a capability do `/qr`
+   * (comportamento original); `ics_capability` = o segredo derivado do link do
+   * calendário, que aponta para o MESMO grant `qr_capability` (F7).
+   */
+  kind?: AccessGrantKind;
   /** TTL nativo. */
   expires_at: Date;
 }
@@ -822,6 +975,76 @@ export interface IRoomConsentRefDto {
   terms_version: string;
 }
 
+/**
+ * Projeção SANITIZADA do estado de gravação no `GET /session` (feat-160 F8).
+ * Nunca traz id do provider, path do objeto no GCS nem URL assinada — só o que
+ * a UI dos dois papéis precisa.
+ */
+export interface IRoomRecordingStateDto {
+  /** Mesma origem do `recording_status` do DTO da sessão. */
+  status: RecordingStatus;
+  /** Início do segmento ativo — única origem do cronômetro; `null` fora de gravação. */
+  started_at: string | null;
+  /** Idempotência do comando e vínculo do consentimento (T19). */
+  recording_request_id?: string;
+  /** Versão do texto legal `recording` referenciada na solicitação (D21). */
+  terms_version?: string;
+  /** Código estável, sem PII, quando `status === 'failed'`. */
+  failure_code?: string;
+  /** feat-160 F15 — presente só nos modos `auto_*` (aviso pré-join). */
+  auto?: IRoomRecordingAutoDto;
+}
+
+/**
+ * feat-160 F15 — aviso PRÉ-JOIN da gravação automática (`auto_audio`/
+ * `auto_video`). Presente só nesses modos: é o que o SPA usa para explicar o
+ * que vai ser gravado e por quanto tempo ANTES do aceite.
+ */
+export interface IRoomRecordingAutoDto {
+  /** `auto_audio` ou `auto_video`; os outros modos não têm este bloco. */
+  mode: VirtualCareRecordingMode;
+  /**
+   * `true` em `auto_audio`. Hoje é INTENÇÃO declarada: o `POST /recordings` do
+   * provedor não expõe flag de áudio-only, então o arquivo sai A/V. O SPA usa o
+   * campo para o texto do aviso; quando o provedor ganhar a flag, só o adapter
+   * muda.
+   */
+  audio_only: boolean;
+  /** Retenção que o texto mostrado ao paciente promete (`{{retention}}`, D32). */
+  retention_days: number;
+  /**
+   * Versão vigente do texto `recording` que o `POST /consents` tem de
+   * referenciar. `null` = não há texto publicado ⇒ sem aceite possível (D21) e
+   * a gravação automática NÃO acontece.
+   */
+  terms_version: string | null;
+}
+
+/**
+ * feat-160 F16 — política EFETIVA da agenda nesta sessão (`virtual_care` já
+ * com os defaults aplicados). É projeção de decisão, não de config gravada:
+ * agenda sem o bloco devolve os defaults.
+ */
+export interface IRoomSessionPolicyDto {
+  recording_mode: VirtualCareRecordingMode;
+  auto_admit: boolean;
+  identity: {
+    require_name: boolean;
+    require_birth_date: boolean;
+    skip: boolean;
+  };
+  /**
+   * Prazo duro da consulta. `end_at`/`warning_at` são `null` quando não há
+   * prazo (consulta não iniciada com `allow_late_end`), e `reason` diz qual
+   * limite venceu — o MESMO `reason` com que o sweep encerra.
+   */
+  deadline: {
+    end_at: string | null;
+    warning_at: string | null;
+    reason: "scheduled_end" | "max_duration" | null;
+  };
+}
+
 /**
  * `GET /api/room/v1/session` — estado SANITIZADO: sem tenant id, sem ids do
  * provider; nome do profissional/clínica só depois da verificação.
@@ -838,13 +1061,59 @@ export interface IRoomSessionDto {
   identity_level: IdentityLevel;
   /** Paciente precisa passar por `POST /identity/verify` antes do join. */
   identity_required: boolean;
+  /**
+   * Quais campos o formulário de identidade deve pedir (spec §8.3): a data de
+   * nascimento só é pedida quando EXISTE no cadastro. Para o médico vem sempre
+   * `{ birth_date: false }`.
+   */
+  identity_required_fields: {
+    birth_date: boolean;
+    /**
+     * feat-160 F16 — `virtual_care.identity.require_name`: a agenda pode exigir
+     * o nome também. OPCIONAL no contrato porque SPA anterior à F16 não o
+     * conhece e deve seguir pedindo só a data (comportamento de antes).
+     */
+    name?: boolean;
+  };
+  /**
+   * Contador do lockout, lido do GRANT raiz — e a ÚNICA fonte dele: o erro do
+   * `POST /identity/verify` é neutro e não devolve tentativas nem prazo. Por
+   * isso a UI relê a sessão depois de cada falha.
+   */
+  identity_attempts: { remaining: number; blocked_until: string | null };
   recording_status: RecordingStatus;
+  recording: IRoomRecordingStateDto;
+  /**
+   * feat-160 F16 — o que a AGENDA decidiu (`calendar.virtual_care` resolvido
+   * com os defaults). OPCIONAL: aditivo, SPA que não o conheça mantém o
+   * comportamento pré-F16.
+   */
+  policy?: IRoomSessionPolicyDto;
   transcription_status: TranscriptionStatus;
   /** Textos vigentes que ainda precisam de aceite antes do join. */
   required_consents: IRoomConsentRefDto[];
   accepted_consents: IRoomConsentRefDto[];
   /** Capabilities efetivas para esta sessão (entitlement AND rollout AND papel). */
   capabilities: Record<string, boolean>;
+  /** Presença do médico; `null` quando não há participante. Atalho de `participants`. */
+  doctor_presence: ParticipantState | null;
+  /** Presença do paciente. Atalho de `participants`. */
+  patient_presence: ParticipantState | null;
+  /** Os dois papéis, com `state`/`disconnected_at`/`reconnect_count`. */
+  participants: ITeleconsultationParticipantDto[];
+  /**
+   * Pacientes em `state === 'waiting'`, e a ponte OBRIGATÓRIA do `POST /admit`:
+   * o `participant_id` de domínio é o literal `'patient'`, enquanto o
+   * `custom_participant_id` devolvido no `POST /join` é hash opaco que nunca
+   * casaria com ele.
+   */
+  waiting_participants: ITeleconsultationParticipantDto[];
+  /**
+   * Máscara "Maria A. d. S." do titular do agendamento. SÓ na sessão do
+   * MÉDICO — o backend nunca a manda ao paciente (T01), e é por isso que é o
+   * único destes campos legitimamente opcional.
+   */
+  patient_display_masked?: string;
   professional_display_name?: string;
   clinic_display_name?: string;
   /** Expiração do access da sessão (15 min, rotativo via `/session/refresh`). */
@@ -890,11 +1159,114 @@ export interface ITeleconsultationArtifactDto {
   created_at: string;
 }
 
+/**
+ * Modo da URL assinada de um artefato (feat-160 F21; D34).
+ *
+ * `attachment` é o default histórico (F8): o navegador BAIXA o arquivo.
+ * `inline` existe para o `<video>` do painel fazer streaming por `Range` sem
+ * baixar — e a única diferença técnica é NÃO emitir `Content-Disposition`.
+ */
+export const ArtifactDispositionEnum = {
+  Inline: "inline",
+  Attachment: "attachment",
+} as const;
+export type ArtifactDisposition =
+  (typeof ArtifactDispositionEnum)[keyof typeof ArtifactDispositionEnum];
+
+/**
+ * Teto de validade da URL `inline` (feat-160 F21): 15 min. Playback casa com a
+ * duração de uma consulta; download curto casa com o clique. É TETO, não
+ * default — o use case aplica, e o adapter recusa acima dele.
+ */
+export const ARTIFACT_INLINE_SIGNED_URL_MAX_SECONDS = 900;
+
 /** `POST /v1/teleconsultations/:id/artifacts/:artifactId/signed-url` — URL ≤ 5 min; evento `artifact.accessed`. */
 export interface ISignedUrlResponseDto {
   ok: true;
   url: string;
   expires_at: string;
+  /** Modo efetivamente aplicado (`attachment` quando o comando omite). */
+  disposition?: ArtifactDisposition;
+}
+
+// ----- Transcrição servida ao painel (feat-160 F21 §9.1 b)
+//
+// O texto NUNCA vive em doc do Firestore (threat model): a rota lê o objeto do
+// bucket e devolve ESTE DTO. Tempos em MILISSEGUNDOS porque o player faz
+// `seekTo` e o `mm:ss` da bolha vem de arredondamento — dois consumidores do
+// mesmo número, e um `0.1 + 0.2` no meio é ruído garantido.
+
+export type TranscriptSpeakerRole = "doctor" | "patient" | "unknown";
+
+export interface ITranscriptSpeakerDto {
+  /** `opaque_custom_participant_id` que amarra a fala ao papel. */
+  key: string;
+  display_name: string;
+  role: TranscriptSpeakerRole;
+}
+
+export interface ITranscriptEntryDto {
+  index: number;
+  speaker_key: string;
+  start_ms: number;
+  end_ms: number;
+  text: string;
+  overlapping?: boolean;
+}
+
+/** Corpo da transcrição de UM artefato (`segment`). */
+export interface ITranscriptDto {
+  artifact_id: string;
+  segment: number;
+  language?: string;
+  generated_at?: string;
+  speakers: ITranscriptSpeakerDto[];
+  entries: ITranscriptEntryDto[];
+}
+
+/**
+ * `GET /v1/teleconsultations/:id/artifacts/:artifactId/transcript` — envelope
+ * da rota: `{ ok: true, ...ITranscriptDto }` (o DTO é espalhado, não aninhado).
+ */
+export interface ITranscriptResponseDto extends ITranscriptDto {
+  ok: true;
+}
+
+// ----- Badges da lista de agendamentos (feat-160 F21 §9.1 d)
+
+/**
+ * Um agendamento que TEM teleconsulta, e o que ela produziu. Id ausente do mapa
+ * = "nunca virou teleconsulta" — é essa diferença que impede a tela de
+ * desenhar três ícones apagados em toda linha comum.
+ */
+export interface ITeleconsultationBadgeDto {
+  teleconsultation_id: string;
+  status: TeleconsultationStatus;
+  recording_audio: boolean;
+  recording_video: boolean;
+  transcript: boolean;
+}
+
+/** `GET /v1/appointments/teleconsultation-badges?ids=a,b,c` (máx. 50 ids). */
+export interface ITeleconsultationBadgesResponseDto {
+  ok: true;
+  /** Keyed por `appointment_id`. */
+  items: Record<string, ITeleconsultationBadgeDto>;
+}
+
+/** Teto de ids por chamada; acima disso a rota responde 400. */
+export const TELECONSULTATION_BADGES_MAX_IDS = 50;
+
+/**
+ * Corpo do `POST …/artifacts/:artifactId/signed-url` (feat-160 F21). O zod
+ * espelho é `zArtifactSignedUrlCommandSchema`.
+ */
+export interface IArtifactSignedUrlCommand {
+  disposition?: ArtifactDisposition;
+  /** 30..900; o teto REAL depende do modo e é aplicado pelo backend. */
+  ttl_seconds?: number;
+  /** Renova a URL de um artefato já acessado (evento `artifact.accessed`). */
+  refresh?: boolean;
 }
 
 export interface ITeleconsultationEventDto {
@@ -925,6 +1297,13 @@ export interface ITelemedicineLegalTextDto {
   content_html: string;
   content_hash: string;
   effective_at?: string | null;
+  /**
+   * VALORES dos placeholders já resolvidos e filtrados pela allowlist do
+   * próprio doc (`ITelemedicineLegalText.placeholders`, que guarda os NOMES
+   * permitidos). ux-flows §3 exige "usada para {finalidade} e ficará
+   * disponível por {prazo}", e D21 proíbe hardcode disso no bundle.
+   */
+  placeholders?: Record<string, string>;
 }
 
 /** `GET /api/room/v1/legal-texts`. */
@@ -939,17 +1318,64 @@ export interface IIdentityVerifyResponseDto {
   identity_level: IdentityLevel;
 }
 
-/** `POST /v1/teleconsultations/:id/access/send`. */
+/**
+ * `POST /api/room/v1/exchange` e `POST /api/room/v1/session/refresh`.
+ *
+ * O corpo NÃO repete o `sid` (está no cookie `__session`, `HttpOnly`,
+ * `Path=/api`) nem o tenant; traz o papel, que é o que permite ao SPA escolher
+ * a tela sem um `GET /session` extra.
+ */
+export interface IExchangeResponseDto {
+  ok: true;
+  role: ParticipantRole;
+  session_expires_at: string;
+}
+
+/** `POST /api/room/v1/participant-token/refresh` — token novo, MESMO participante lógico. */
+export interface IParticipantTokenRefreshDto {
+  ok: true;
+  provider_token: string;
+  /** Nome do preset no provider (`hm_doctor`, `hm_patient_waiting`, ...). */
+  preset: string;
+  token_expires_at?: string;
+}
+
+/**
+ * `POST /v1/teleconsultations/:id/access/send` (feat-160 F7).
+ *
+ * É RECIBO DE TASK, não confirmação de envio: a rota publica a mesma task fina
+ * que a rotina publicaria (`telemedicine_join_reminder`) e responde antes de
+ * existir grant — o executor é quem resolve template, canal e elegibilidade e
+ * emite a capability, uma por perna do fan-out. Por isso NÃO há `grant_id` nem
+ * `expires_at` aqui: forjá-los era mentir para a recepção sobre um acesso que
+ * ainda não existia.
+ */
 export interface IAccessSendResponseDto {
   ok: true;
-  grant_id: string;
+  task_id: string;
+  /** `true` quando a chave de idempotência colapsou num envio já pedido. */
+  reused: boolean;
   channel_kind: AccessSendChannelKind;
+  /** Eco do pedido: revogar a capability anterior antes de emitir a nova. */
+  resend: boolean;
+  /** Destinatário mascarado do canal pedido; ausente em `manual`. */
   recipient_masked?: string;
+}
+
+/**
+ * `POST /v1/teleconsultations/:id/access/link` (feat-160 F13; D31).
+ *
+ * **A `url` é CREDENCIAL** (capability de 128 bits do `/qr`), não um
+ * identificador: não tem lugar em store, log, analytics nem storage do
+ * navegador (T01/T04). Nasce nesta resposta, vai para a área de transferência e
+ * morre com o diálogo. Cada revelação é uma chamada nova, de propósito — o que
+ * fica registrado em `access.link_revealed` é o ato do usuário.
+ */
+export interface IAccessLinkResultDto {
+  ok: true;
+  url: string;
+  grant_id: string;
   expires_at: string;
-  /** Só para `channel_kind = manual` (smoke): URL mascarada, nunca a capability inteira. */
-  url_masked?: string;
-  /** Id da task `telemedicine_join.send` criada, quando houver canal. */
-  task_id?: string;
 }
 
 // ======================================================
@@ -1002,6 +1428,28 @@ export interface IConsentCommand {
   decision: Extract<ConsentDecision, "accepted" | "declined">;
 }
 
+/**
+ * `POST /api/room/v1/join` — intenção de mídia do preflight ("Entrar somente
+ * com áudio"). Os dois campos são opcionais porque o backend só os REGISTRA
+ * (escolha de preset e `audio_only_allowed`) e ignora o que não vier.
+ */
+export interface IJoinCommand {
+  audio?: boolean;
+  video?: boolean;
+}
+
+/**
+ * `POST /api/room/v1/leave` — saída TEMPORÁRIA (D10); nunca encerra a consulta.
+ *
+ * `reason` é string aberta e o backend só distingue UM valor: `'temporary'` é
+ * saída explícita (`left`), qualquer outro é tratado como queda de rede
+ * (`disconnected`). Ausente = `'temporary'`. Chega pelo `pagehide` com
+ * `fetch(keepalive)`, então pode vir sem `Content-Type`.
+ */
+export interface ILeaveCommand {
+  reason?: string;
+}
+
 /** `POST /api/room/v1/presence`. */
 export interface IPresenceCommand {
   state: PresenceState;

package/dist/types/shared/index.d.ts

@@ -32,6 +32,7 @@ export interface IContact {
     type?: string | null;
     instagram?: string | null;
     instagram_username?: string | null;
+    bsuid?: string | null;
 }
 export interface IAddress {
     name?: string;

package/dist/types/shared/index.ts

@@ -43,6 +43,8 @@ export interface IContact {
   type?: string | null;
   instagram?: string | null;
   instagram_username?: string | null;
+  // WhatsApp BSUID (Business-Scoped User ID) — contato que a Meta entrega sem telefone
+  bsuid?: string | null;
 }
 export interface IAddress {
   name?: string;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "evo360-types",
-  "version": "1.3.574",
+  "version": "1.3.581",
   "description": "HREVO360 Shared Types",
   "main": "./dist/index.js",
   "types": "./dist/index.d.ts",