feat: fundar plataforma mais humana

ecossistema/WORKFLOWS-HUMANOS-OPERACIONAIS.md

@@ -0,0 +1,236 @@
+# Workflows humanos operacionais
+
+- Workflows avaliados: 10
+- Workflows prontos/uteis: 2
+- Workflows bloqueados: 6
+- Score medio de workflow: 32
+
+## Operacao Cloudflare por wrangler
+
+- workflow_id: `cloudflare-wrangler-operations`
+- perfil principal: `tecnico`
+- status: `bloqueado`
+- score: `0`
+- passos: `0/5`
+- risco se faltar: Cloudflare fica dependente de plugin experimental ou sem prova live.
+- bloqueios:
+  - plugin-test: faltam expected
+  - wrangler-auth: faltam whoami
+  - bindings: faltam bindings, secrets
+  - routes: faltam deploy
+  - logs: faltam tail
+- proximas acoes:
+  - executar varredura de segredo, mascaramento e politica de campos proibidos
+
+Passos:
+- `plugin-test` Registrar tentativa do plugin (integracoes) -> premissa cumprida
+- `wrangler-auth` Validar autenticacao wrangler quando houver trabalho real (integracoes) -> identidade operacional
+- `bindings` Verificar bindings e secrets (integracoes) -> runtime configurado
+- `routes` Validar rotas e deploy (integracoes) -> rota viva
+- `logs` Coletar logs/health (integracoes) -> diagnostico real
+
+## Identity com matriz RBAC de negacao
+
+- workflow_id: `identity-rbac-denial`
+- perfil principal: `juridico`
+- status: `bloqueado`
+- score: `0`
+- passos: `0/5`
+- risco se faltar: Controle de acesso fica baseado em caminho feliz e nao em governanca real.
+- bloqueios:
+  - role-matrix: faltam role
+  - allow-case: faltam allow, 200
+  - deny-case: faltam 403, forbidden
+  - audit-case: faltam auditId, traceId
+  - support-case: faltam nextAction
+- proximas acoes:
+  - executar varredura de segredo, mascaramento e politica de campos proibidos
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `role-matrix` Publicar matriz de papeis (identity) -> papel claro
+- `allow-case` Testar caminho permitido (identity) -> acao liberada
+- `deny-case` Testar caminho negado (identity) -> acao bloqueada
+- `audit-case` Registrar auditId da decisao (compliance) -> evidencia juridica
+- `support-case` Explicar negacao para suporte (customer_ops) -> suporte seguro
+
+## Gate comercial unico por Business
+
+- workflow_id: `business-commercial-gate`
+- perfil principal: `financeiro`
+- status: `bloqueado`
+- score: `20`
+- passos: `1/5`
+- risco se faltar: Produto pode ser vendido ou bloqueado por regra divergente.
+- bloqueios:
+  - quota-source: faltam quota, franquia
+  - billing-link: faltam reconciliation
+  - product-isolation: faltam blockerId
+  - support-message: faltam nextAction
+- proximas acoes:
+  - executar varredura de segredo, mascaramento e politica de campos proibidos
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `plan-source` Definir plano como fonte Business (business) -> plano unico
+- `quota-source` Materializar franquia e excedente (business) -> limite claro
+- `billing-link` Reconciliar cobranca Finance (finance) -> fatura rastreavel
+- `product-isolation` Isolar blocker por produto (business) -> impacto isolado
+- `support-message` Gerar mensagem humana de bloqueio (customer_ops) -> cliente orientado
+
+## Cadeia de evidencia Compliance
+
+- workflow_id: `compliance-evidence-chain`
+- perfil principal: `juridico`
+- status: `bloqueado`
+- score: `20`
+- passos: `1/5`
+- risco se faltar: A plataforma nao prova governanca juridica de longo prazo.
+- bloqueios:
+  - policy: faltam retention
+  - consent: faltam consent, actorId
+  - redaction: faltam masked
+  - audit: faltam auditId
+- proximas acoes:
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `policy` Publicar politica aplicavel (compliance) -> regra clara
+- `consent` Registrar consentimento quando aplicavel (compliance) -> consentimento auditavel
+- `redaction` Aplicar redaction em campos sensiveis (compliance) -> sem segredo
+- `audit` Gerar auditId e evidenceId (compliance) -> cadeia de custodia
+- `docs` Documentar contrato de privacidade (docs) -> memoria institucional
+
+## Painel humano com mesma fonte do GPT
+
+- workflow_id: `mcp-panel-same-source`
+- perfil principal: `administrador_empresa`
+- status: `bloqueado`
+- score: `20`
+- passos: `1/5`
+- risco se faltar: Painel e GPT podem mostrar verdades diferentes.
+- bloqueios:
+  - screen-instance: faltam viewInstance, screenData
+  - source-hashes: faltam sourcePayloadHash, sourceRecordsHash
+  - gpt-explain: faltam gptExplainable
+  - docs-contract: faltam contractVersion, schemaVersion
+- proximas acoes:
+  - promover leitura Docs responseReady minima ou registrar excecao catalogOnly deliberada
+
+Passos:
+- `screen-instance` Criar instancia administrativa (mcps) -> payload rastreavel
+- `source-hashes` Gerar hashes de fonte e registros (mcps) -> mesma fonte
+- `ui-render` Renderizar UI sem backend paralelo (ui) -> painel confiavel
+- `gpt-explain` Explicar a mesma instancia pelo GPT (mcps) -> resposta coerente
+- `docs-contract` Publicar contrato da tela (docs) -> documentacao viva
+
+## Release com rollback e contrato
+
+- workflow_id: `release-and-rollback`
+- perfil principal: `gestor_operacional`
+- status: `bloqueado`
+- score: `20`
+- passos: `1/5`
+- risco se faltar: Mudancas futuras quebram contratos sem trilha de reversao.
+- bloqueios:
+  - version: faltam contractVersion, schemaVersion
+  - compat: faltam compatibilityVersion, breakingChanges
+  - rollback: faltam previousVersion
+  - docs: faltam changelog, migrationNotes
+- proximas acoes:
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+  - promover leitura Docs responseReady minima ou registrar excecao catalogOnly deliberada
+
+Passos:
+- `version` Gerar contractVersion/schemaVersion (platform_base) -> versao clara
+- `compat` Declarar compatibilidade (platform_base) -> risco explicito
+- `smoke` Executar smoke regressivo (mcps) -> prova tecnica
+- `rollback` Registrar rollback (platform_base) -> reversao possivel
+- `docs` Publicar changelog (docs) -> memoria de mudanca
+
+## Incidente Customer Ops completo
+
+- workflow_id: `customer-ops-incident`
+- perfil principal: `suporte`
+- status: `atencao`
+- score: `40`
+- passos: `2/5`
+- risco se faltar: Suporte perde historico e proxima acao em falhas recorrentes.
+- bloqueios:
+  - classify: faltam severity, domain
+  - handoff: faltam handoff, owner
+  - resolve: faltam resolved
+- proximas acoes:
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `open` Abrir incidente (customer_ops) -> ticket criado
+- `classify` Classificar origem e severidade (customer_ops) -> prioridade clara
+- `handoff` Encaminhar para owner (customer_ops) -> responsavel definido
+- `resolve` Resolver com evidencia (customer_ops) -> solucao rastreavel
+- `audit` Auditar ciclo (compliance) -> cadeia completa
+
+## BYOK live controlado por tenant
+
+- workflow_id: `byok-live-controlled`
+- perfil principal: `tecnico`
+- status: `atencao`
+- score: `43`
+- passos: `3/7`
+- risco se faltar: Integracao parece pronta, mas nao e autosservico real.
+- bloqueios:
+  - identity-org: faltam organizationId, tenant
+  - identity-user: faltam actorId, session, role
+  - integracoes-smoke: faltam usage
+  - support-diagnostic: faltam nextAction
+- proximas acoes:
+  - executar varredura de segredo, mascaramento e politica de campos proibidos
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `identity-org` Criar organizacao de teste (identity) -> tenant rastreavel
+- `identity-user` Criar usuario e sessao (identity) -> ator autorizado
+- `business-entitlement` Vincular produto e entitlement (business) -> uso permitido
+- `integracoes-session` Criar sessao BYOK (integracoes) -> segredo nao exposto
+- `integracoes-smoke` Executar smoke readonly (integracoes) -> provider validado
+- `compliance-redaction` Validar nao vazamento (compliance) -> auditoria segura
+- `support-diagnostic` Criar diagnostico para falha (customer_ops) -> suporte orientado
+
+## Decisao canonica de Docs
+
+- workflow_id: `docs-canonical-decision`
+- perfil principal: `planejamento_estrategico`
+- status: `util`
+- score: `75`
+- passos: `3/4`
+- risco se faltar: Docs continua como blocker global ambiguo.
+- bloqueios:
+  - ui-explain: faltam sourceHash
+- proximas acoes:
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `docs-source` Identificar fonte documental canonica (docs) -> fonte documental declarada
+- `docs-read` Promover leitura minima ou declarar excecao (docs) -> decisao legivel
+- `mcp-reconcile` Reconciliar readiness MCP (mcps) -> blocker Docs classificado
+- `ui-explain` Explicar estado para painel e GPT (ui) -> painel e GPT explicam igual
+
+## Promocao controlada de Intelligence
+
+- workflow_id: `intelligence-promotion`
+- perfil principal: `ceo`
+- status: `util`
+- score: `80`
+- passos: `4/5`
+- risco se faltar: Intelligence permanece meio provider e confunde readiness global.
+- bloqueios:
+  - planned-state: faltam planned, catalogOnly
+- proximas acoes:
+  - classificar cada resposta como real, simulatedInstitutional, fixture, stale, partial ou blocked
+
+Passos:
+- `planned-state` Declarar estado planejado (intelligence) -> sem ambiguidade
+- `endpoint` Publicar endpoint minimo (intelligence) -> runtime basico
+- `contract` Publicar contrato (intelligence) -> surface auditavel
+- `mcp-register` Registrar no MCP (mcps) -> control-plane ciente
+- `ui-readiness` Expor status no painel (ui) -> status humano