GORO PMP Enterprise · Apresentação — Definição Completa da Aplicação

CHK S.A · Angola · v1 pré-código (2026-09-15) · consolidação de todas as decisões ratificadas + inputs #1-#15 · código ZERO até alinhamento total

O Produto

GORO PMP Enterprise — SaaS multi-tenant HCM/HRIS para o mercado angolano: Gestão de Colaboradores 360º, Tempo & Assiduidade com biometria, Payroll conforme legislação AO (IRT OGE 2026 · INSS · LGT · LPDA), Desempenho & Formação, Recrutamento & Offboarding, Disciplinares, Organização (SAP-like) e Gestão Documental.

7+2módulos CORE (M0-M6) + Org Engine + GED

9+1micro-serviços + gateway (tecto p/ 2 devs)

180 dias120 dev + 30 revisões + 15 testes + 15 polimentos · GA 20/03/2027 (I55, input #18)

0,00 AOAdiff exigido nos 3 shadow-runs de payroll

Substitui: GORO PMP legado (monólito) — por Strangler Fig, migrando os motores provados em produção (ingest biométrico, consolidador de ponto, motor payroll v2) com shadow-diff = 0. NÃO é green-field: o legado é o activo que garante paridade.

Sistema Base (onde corre)

Camada	DEV (S0, dia 1)	PROD (decisão P6, dia 45)
Orquestração	K3s single-node na VM DEV (I52) · Helm charts · GHCR · cert-manager	K3s (omissão) vs AKS — P6
Base de dados	PostgreSQL 16 · 1 schema por contexto (`hr, org, ged, time, pay, perf, train, recruit, discipline, wf, audit`) · RLS ENABLE+FORCE fail-closed · TimescaleDB p/ hypertables (raw_punch, audit_log, heartbeat) — adoptado do prompt v1
Mensageria	RabbitMQ topic `goro.events` · outbox transaccional + inbox idempotente + DLQ c/ alerta
Objectos/GED	MinIO no K3s (S3 API)	Azure Blob c/ immutability (WORM) se AKS — fronteira `StoragePort`
Identidade	Keycloak (OIDC, MFA) — ratificado
Observabilidade	OTel → Prometheus + Loki + Tempo · Grafana · Alertmanager · Uptime Kuma
Segurança S0	WAF Coraza (P2) · Infisical segredos (P3) · ZAP nightly · Syft/Cosign · hardening VM · SonarQube gates

Ambiente de Desenvolvimento

Backend: NestJS + TypeScript (ratificado) — monorepo Nx com bibliotecas de serviço (adoptado do prompt v1): libs/hr · org · ged · time · payroll · perf · train · recruit · discipline · platform. Regra dura: domain sem imports de infraestrutura; PR que viole é rejeitado.
Contratos: OpenAPI 3.1 por serviço · tipos partilhados via openapi-typescript · validação Zod partilhada.
CI: GitHub Actions — lint, testes (unit/integration/RLS), openapi-diff, SonarQube gate, Stryker ≥60% no motor payroll, docker-build assinado (Cosign).
Teste RLS automático: introspecção de todas as tabelas com tenant_id, leitura cross-tenant tem de devolver 0 linhas — falha = build vermelho.
Dados fictícios: Faker locale pt_PT/pt_AO — zero dados reais em fixtures.

Módulos e Serviços (divisão CORE v2 + acréscimos do input #15)

Módulo	Serviço	Responsabilidade única	Fase
M0Colaboradores	`svc-hr` :3045	Fonte única de escrita do colaborador · Ficha 360º (incl. Saúde cifrada GAP 9) · contratos · + schema `org` (Organization Engine, P7) · + schema `ged` (Documentos, P8)	S1
M1Tempo & Assiduidade	`svc-time` :3051	Ingest biométrico HMAC idempotente · consolidador raw→ponto (LGT) · leave · turnos	S1
M2Payroll & Despesas	`svc-payroll` :3052	Motor por rubricas · IRT Lei 28/20 · INSS 3/8 · snapshot legislativo imutável · fecho + AGD/SEPA (ecrãs P-05/P-06 do mapa de 23 ecrãs)	S2
M3Desempenho & Formação	`svc-perf`+`svc-train` :3053	Ciclos, objectivos, calibração · catálogo/certificados/LMS	S3/S4
M4Recrutamento & Talento	`svc-recruit` :3054	Vagas (contra POSITIONS do Org Engine) → contratação · Offboarding (I53) — cessação escrita por M0 via evento	S4
M5Disciplinares	`svc-discipline` :3055	Máquina de estados LGT · docs WORM · validação jurista	S3
M6Plataforma	gateway · identity · workflow · audit · notify · report :3062	TLS/JWT/rate-limit · Keycloak · maker-checker SoD · trilha WORM · notificações · svc-report (P11): Relatórios & BI read-only — read models por eventos, mapas legais AGT/INSS do snapshot, agregados p/ dashboards e diagramas (ECharts) de todos os módulos	S0/S2

Comunicação: REST síncrono via gateway (timeout 2s + circuit breaker, proibido encadear) · 1 excepção gRPC payroll→time (snapshot fechado) · resto assíncrono por eventos. Detalhe: /arquitectura (Mermaid completo).

FrontEnd Unificado

Web: React 19 · Ant Design 5 + AntD Pro · linguagem visual GORO Sober (I51: 1 acento #2563eb, zero cores decorativas, densidade compacta) — mecânica AntD, identidade própria. Tokens ZKBioTime do prompt v1 rejeitados (look de terceiro, contraria a directiva anti-"look de IA").
Palete configurável em runtime por tenant (ui_themes, RLS, auditada) + claro/escuro por utilizador · ESLint no-hex-color fora de tokens (I47) · contraste WCAG AA validado no backend (I48).
AG Grid Enterprise só em payroll/relatórios · TanStack Virtual na grelha timesheet 31×N (SLO 31×300 <1s) · PDF.js para preview de documentos.
SLO frontend: FCP <1.5s (4G) · TTI <2.5s · bundle inicial <500KB gzip.
Referências vivas: /mockup-v3 (layout definitivo) · /mockup-apple (sample HIG). (v1/v2/Palete arquivados — input #36.)
Fora do GA App móvel RN+Expo (5 ecrãs offline-first do mapa) → v1.1 pós-GA (P9) — não cabe na janela de dev de 120 dias com 2 devs.

Segurança (sistema + aplicação)

Isolamento e acesso

RLS FORCE multi-tenant em todas as tabelas de negócio · teste cross-tenant no CI
Keycloak OIDC + MFA · JWT validado localmente (JWKS)
RBAC 6 perfis + maker-checker SoD (3 camadas) · admin IT nunca vê salários, saúde nem conteúdo de documentos
CASL (adoptado, P8): autorização por condições — "gestor só distribui aos SEUS subordinados" resolve pela cadeia do Org Engine

Dados e integridade

Cifra: pgcrypto (saúde GAP 9) · envelope encryption DEK/KEK p/ documentos GED (KEK no Infisical/KeyVault)
WORM: audit_log + contratos assinados + docs disciplinares
Idempotência composta: picagens UNIQUE(tenant, device_sn, emp_code, punch_time_utc, punch_type) · runs (tenant, calendar, period_month)
Snapshot legislativo SHA-256 — payroll reprodutível bit-a-bit; relatórios legais lêem do snapshot, nunca de tabelas vivas
Presigned URLs 60s · antivírus no upload · binários nunca em BD/logs

Pendentes de decisão: P2 WAF + P3 segredos (dia 10, omissão = Coraza+Infisical) · P4 pen-test (dia 90).

Mockups — versões para constatação

Artefacto	URL	Estado
Shell + Design System GORO Sober (sidebar M0-M6, Central de Aprovações, palete runtime)	arquivado (input #36) — superado por /mockup-v3	Arquivado
Ficha do Colaborador 360º (tabs incl. Saúde 🔒, dependentes maker-checker, docs c/ validade)	arquivado (input #36)	Arquivado
Wireframe técnico (6 tabs, infra & deploy)	/wireframe	Referência
Arquitectura macro (Mermaid, bounded contexts, eventos)	/arquitectura	Ratificada (I49/I50/I52/I53)
Ecrã Organograma + upload Excel (Org Engine)	—	Por produzir após ratificação P7 (dia 18)
Wizard Payroll passos 5-6 (Revisão + Fecho/AGD)	—	Por produzir na spec da S2 — pendência herdada do mapa de 23 ecrãs

Decisões em aberto — o que trava o quê

ID	Decisão	Prazo	Omissão
P2/P3	WAF + gestão de segredos	dia 10	Coraza + Infisical
UIFW+I51	Framework visual + linguagem GORO Sober	dia 15	—
M0SPEC	Spec M0 (incl. emenda Org: reporta_a → assignments)	dia 18	—
I54	Prompt v1: absorver conteúdo (A) vs green-field Python (B)	dia 18	(A) — (B) mata o GA
P7	Org Engine dentro de svc-hr (extraível) vs 10º serviço	dia 18	dentro de svc-hr
P8	GED: MinIO/Blob + CASL + PDF.js · OCR fase 2	dia 18	conforme GED_ANALYSIS
TENANT	Tenant piloto shadow-run	dia 20 (duro)	—
P6	Cluster PROD K3s vs AKS	dia 45	K3s
P11	svc-report (Relatórios & BI read-only, 10º serviço em M6) — porta legado dos mapas legais AGT/INSS	dia 18	conforme REPORTING_BI_SPEC
P9/P10	Mobile pós-GA · Edge Agent multi-vendor (depende do parque real de terminais)	dia 45	v1.1 / sem edge

Aviso de capacidade (sem anestesia): buffer da S0 consumido pelo K8s (I52). Org Engine (+4-6d) e GED MVP (+3-4d) na S1 só cabem com mobile/edge/biometria avançada FORA do GA. Emenda I55 (input #18): GA formal passa para 20/03/2027 (120 dev + 30 revisões + 15 testes + 15 polimentos = 180 dias) — os acréscimos absorvidos (Org Engine, GED, svc-report) ganham folga real nas novas fases T15/P15, mas a janela de desenvolvimento continua a ser 120 dias: acréscimo de escopo dentro dela continua a ser aritmética, não opinião.

GORO PMP Enterprise · CHK S.A · documento vivo — fonte: docs/ALINHAMENTO_PROMPT_V1.md · ORG_DESIGN_SPEC.md · GED_ANALYSIS.md · ARCHITECTURE_MACRO_V2.md · M0_SPEC.md

GORO PMP Enterprise — Definição Completa da Aplicação