Quatro camadas tratam dado vindo do ERP. Uma tem contrato formal. As outras somam 2,27 GB de exportação sem minimização, cinco rotinas sem modelagem centralizada e um catálogo de campos parcial. Este inventário consolida o que existe; não cria classificação nova.
A camada B tem contrato, De-Para e destino declarado. A e D não têm nada disso, e concentram o dado de titular. C é inventário da origem, não tratamento: descreve o que o ERP guarda além do que já foi extraído.
| Camada | Volume | Modelagem | Risco |
|---|---|---|---|
| A · Acervo Parquet legado | 32 datasets · 2,27 GB | Nenhuma — exportação integral | Alto |
| B · Contratos de API | 3 endpoints · 14 campos | JSON Schema + De-Para | Médio |
| C · Campos da interface | ~200 campos de Pasta e Ficha | Catálogo as-is, cobertura parcial | Baixo |
| D · Rotinas em produção | 5 rotinas ativas | Nenhuma centralizada | Alto |
Uma camada bronze legítima seria majoritariamente referência e metadado. A ausência total do nível de referência mostra que nada foi minimizado na saída do ERP.
A pasta é biblioteca do SharePoint, com histórico de versões e lixeira de dois estágios. Reescrever cria versão nova e a anterior continua recuperável: purgar ali produz conformidade aparente. Versionamento e retenção da lixeira dependem da TI.
Segunda superfície, que nenhuma purga na pasta alcança: o serviço de BI importa e mantém em cache, na infraestrutura dele, os 30 arquivos sensíveis.
Contrato escrito por inferência não permite afirmar quais categorias de dado pessoal o endpoint devolve. Sem isso não há finalidade nem base legal declarável, e a ingestão não deve ser ativada.
Destino relacional próprio, isolamento por inquilino e reconciliação por identificador de origem. S1 predominante, mas a descrição é texto livre e pode conter titular sem classificação.
Três colunas de dado restrito: nome completo, documento fiscal e endereço de devedor, avalista e cônjuge. O conteúdo bruto da extração carrega tudo o que o documento tinha. Maior exposição de titular do catálogo.
Nenhum campo confere com a tela real do ERP. Nenhuma resposta do endpoint foi capturada. O número do processo é mapeado para o campo de nome do tribunal.
Um inventário restrito a Parquet e contrato deixaria esta camada de fora — e é nela que o risco vive. Uma das rotinas envia diariamente, em lote, documento integral com dado de titular a um processador de IA externo.
Consulta a fila de digitalização, baixa os documentos, extrai 91 campos por peça e escreve de volta no ERP: registro, participantes e biblioteca. Até 500 documentos por execução. Trata documento fiscal, nome completo e endereço de devedores, avalistas e cônjuges. Persiste em arquivo local; não há banco.
O pacote distribuível já carregou dado real de titular até uma versão anterior. Corrigido no empacotamento; a versão distribuída precisa ser substituída.
Única extração do ERP com destino relacional real, isolamento por inquilino ativo e reconciliação por identificador de origem.
Duas tabelas registram vínculo patrimonial de pessoa que não foi objeto da pesquisa autorizada. Bloqueadas e proibidas de modelagem física até decisão. Não é defeito técnico: é finalidade e base legal, e a decisão é do DPO.
Três bases locais de arquivo único, sem isolamento por linha e sem cifra declarada, fora de qualquer inventário até agosto de 2026. A abertura do repositório encontrou credencial de acesso a fornecedor externo antes do primeiro commit. Barrado a tempo; rotação pendente e acompanhada por @devops.
Lê caixa institucional, interpreta formulários e importa no ERP. Leitura provada em produção; persistência nunca implementada. Único produtor com registro formal: três conjuntos planejados e cinco condições de segurança abertas. Nada foi gravado.
Declaradas em registro versionado. Declarar não é resolver, e a distinção é deliberada.
| NC-1 | Trinta arquivos com dado pessoal e sob sigilo em substrato compartilhado, sem manifesto, sem produtor registrado e sem classificação declarada. Severidade alta. |
| NC-3 | Um arquivo de 1,26 GB foi escrito pela metade e ninguém percebeu por cinco meses. Sincronizou para a nuvem, foi copiado para dentro do backup, e nada acusou. Sem manifesto com contagem e verificação, escrita concluída e escrita interrompida são o mesmo observável. É a justificativa empírica do manifesto obrigatório — e a única remediação de risco praticamente nulo, porque um arquivo que nenhum leitor abre não pode ter consumidor funcionando. |
| NC-5 | Zero colunas de linhagem em 785 campos. Sem identificador de execução nem data de carga, não há reprocessamento idempotente nem detecção de desvio. Um pedido de titular sobre quais dados a banca tem e desde quando não tem resposta auditável no acervo atual. |
| NC-4 | Oito colisões de tipo entre arquivos; três quebram junção. Datas gravadas como texto em parte do acervo; o identificador principal tem três tipos físicos distintos. Bloqueia a camada seguinte. |
| NC-6 | Não há ambiente de execução fixado gerando esta camada. Quatro versões de biblioteca não-monotônicas no tempo, e três arquivos gerados no mesmo dia em intervalo de uma hora — iteração manual de desenvolvimento preservada como dado, com conteúdo sob sigilo dentro. |
| NC-2 | O acervo alimenta o BI diretamente, contra o próprio desenho de arquitetura. Registrado como exceção interina datada, em vez de silenciosa — um documento que proíbe o que a operação faz todo dia deixa de ser lido. |
Vínculo patrimonial de pessoa que nunca foi objeto da pesquisa autorizada. Modelagem bloqueada até a decisão.
Envio diário, em lote, de documento integral com titular a processador externo. Exige base legal e registro como transferência a operador.
Versão já distribuída da rotina carregava documento fiscal real. Substituição pendente com a engenharia.
A classificação do acervo é triagem, não auditoria: inferida de nome de coluna, por leitura do rodapé de cada arquivo. Nenhum valor de linha foi lido — as estatísticas de coluna carregam valores reais, e o menor valor de uma coluna de nome é, ele próprio, dado de titular. Confirmar é trabalho da Segurança da Informação.
O catálogo da interface tem cobertura parcial: dezesseis superfícies nunca foram abertas, e são as de maior densidade de dado pessoal — participantes, garantias e documentos.
A ligação entre os conjuntos do acervo e as telas do ERP é hipótese por coincidência de nome. Nenhuma correspondência campo a campo foi verificada.
Este inventário não cria, altera nem revoga classificação. Consolida o que as fontes já declaram, na data-base do cabeçalho. E não alcança o que a banca nunca extraiu: o ERP guarda mais do que ele vê.
{{ cab.lead }}
Código, data, valor, situação. Não identifica ninguém sozinho.
Nome de cliente, parte contrária, advogado ou colaborador. Também texto livre que cita pessoas.
CPF ou CNPJ. Identificação direta e inequívoca.
A marcação vem do papel do campo, não do conteúdo: nenhum valor foi lido. Onde o rótulo de origem não permite afirmar o que o campo guarda, isso está dito. {{ cab.nota }}
{{ det.oQueE }}
{{ det.alerta }}
Fonte: {{ cab.fonte }}. Se o dicionário divergir da fonte, a fonte manda.