Módulos da aplicação → serviços que os servem (divisão CORE v2 · I49/I50/I53/P11 · fonte: docs/ARCHITECTURE_MACRO_V2.md)

Como ler: 1 módulo de negócio = 1 bounded context = 1 serviço com schema PostgreSQL próprio (excepção: M3 tem 2 serviços; M6 é a plataforma transversal). Nenhum serviço lê o schema de outro — integração só por eventos ou API via gateway.

Tecto para 2 devs (emenda P11): 9 serviços de domínio + svc-report read-only + gateway. Schemas PG: hr, org, ged, time, pay, perf, train, recruit, discipline, wf, audit, report — todos com RLS por tenant.

Central de Aprovações (svc-workflow — única fila para TODOS os módulos)

7

Aguardam a minha aprovação

2

Em atraso (SLA excedido)

3

Delegadas a mim (férias de M. Costa)

41

Concluídas este mês

Módulo	Operação	Cadeia Maker-Checker	SLA	Ação

PAYROLL · SENSÍVEL

Alteração Salarial — Joana M. (Técnica Comercial) · ref. 2026-10

Alterações propostas (diff auditável)

Campo	De	Para
base_salary	450.000,00 AOA	520.000,00 AOA (+15,6%)
subsidies	35.000,00 AOA	50.000,00 AOA
net_salary (calc.)	411.250,00	473.900,00 AOA

IRT recalculado pela tabela vigente (Lei 28/20, vigência 2026) · INSS 3% trabalhador

Cadeia de custódia (SoD)

Inputter · A. Sebastião (colaborador12)
12 Set · 14:32 · PENDING_VALIDATION
Validator · P. Domingos (colaborador17, gestor da equipa)
13 Set · 09:10 · PENDING_APPROVAL
Approver · a sua decisão (rh_admin)
SLA: faltam 26h

Motor bloqueia: aprovador ≠ inputter ≠ validator (verificado no serviço, no UPDATE e em CHECK constraint).

Rejeição exige justificação ≥ 5 carateres · tudo auditado

Catálogo de Módulos (GET /api/system/catalog — artefacto vivo; usado também pelo PMP Manager p/ licenciamento)

$ npm run verify:catalog # corre em CI e no arranque de cada serviço

✅ Catálogo VERIFICADO: 6 módulo(s), 38 rota(s), 9 workflow(s).

— rota não declarada, dependência em falta, workflow inválido ou tabela sem dono ⇒ exit 1 (o serviço NÃO arranca)

Barramento de Eventos (monitor do outbox — quem alimenta quem)

Evento	Produtor	Consumidores	Estado

Envelope v1 (congelado — dec. B9)

{
  "event_id": "0192f3a1-…",        // uuid v7
  "event_type": "time.timesheet.closed",
  "version": 1,
  "tenant_id": "…",
  "occurred_at": "2026-09-30T23:59:00+01:00",
  "actor": { "user_id": "…", "role": "rh_admin" },
  "payload": { /* FAT: tudo o que o consumidor precisa */ }
}

Garantias

Transacional: evento gravado na MESMA tx do dado (outbox)
At-least-once + inbox UNIQUE(event_id) = efetivamente once
Retenção 90 dias → replay para serviços novos
LISTEN/NOTIFY p/ latência + polling crash-safe
Migração p/ NATS JetStream: só o relay muda

Trilha de Auditoria (svc-audit — append-only, particionada por mês, pgAudit em leituras sensíveis)

Qualidade & Release (SonarQube + gates CI — qualidade por serviço, merge bloqueado se gate falhar)

SonarQube — Quality Gate "GORO Enterprise" por serviço

Serviço	Gate	Coverage novo	Duplicação	Vulns novas	Dívida	Maior ficheiro

Pipeline CI — PR #214 (svc-payroll: rubrica subsídio noturno)

Gitleaks + Semgrep (regras GORO) · 41s
tsc strict + dependency-cruiser (fronteiras) · 1m02
verify:catalog — manifesto ≡ implementação · 12s
Vitest + Testcontainers PG16 (RLS · SoD · outbox) · 3m18
Pact: contrato time.timesheet.closed v1 válido · 29s
SonarQube Quality Gate (payroll: coverage ≥ 90%)…
Review humana — 2 aprovações (regra payroll/discipline)

Plano 180 dias (I55: 120 dev + 30 rev + 15 testes + 15 polimentos) — progresso por sprint

Caminho crítico: svc-time → svc-payroll. Shadow-runs nos fechos ~d40 e ~d60; 3º fecho (d91-100) = GO/NO-GO do cutover payroll. Decisão de corte de âmbito (recruit MVP) até ao dia 45.

Shadow-run Payroll — fecho 2026-10 (motor PROD vs svc-payroll) · diff automático linha-a-linha

324

funcionários comparados

324

recibos idênticos

0,00 AOA

desvio total (líquidos)

2/3

shadows concluídos · falta fecho #3 (d91-100)

Infra & Deploy (decisão I40: Compose+Traefik agora · K8s-ready · Kubernetes por gatilhos pós-GA — KUBERNETES_ANALYSIS.md)

DEV · gorodev.chk.co.ao ● ONLINE · TLS A+

Docker Compose v2 + overlay compose.dev.yml
Dados sintéticos/anonimizados (dec. G38 — nunca PII real)
Deploy automático no merge a main (CI verde)
ZAP baseline nightly contra este ambiente

PROD · goro.chk.co.ao (a confirmar) cutover d101-110

MESMO compose · overlay compose.prod.yml (réplicas + limites + secrets)
Deploy manual aprovado (tag assinada Cosign) · rollback < 2 min
pgBackRest PITR (RPO 15 min) · restore-drill mensal · RTO 4h

Stack da VM Azure (Compose) — componentes de segurança/estabilidade adicionados na revisão pré-código

Camada	Componentes	Estado

Deploy rolling sem paragem — svc-payroll v2.3.1 → v2.3.2

Imagem sha-8f3a21c assinada (Cosign) · Trivy 0 críticas
Migração expand (coluna nova, sem DROP) · job isolado OK
Réplica B → v2.3.2 · /readyz ✓ · Traefik roteia
Réplica A: drain (SIGTERM · 12 pedidos in-flight)…
Smoke automático · alerta se 5xx > 1% → rollback automático

Downtime: 0s. Kill-switch Unleash disponível (rollback por toggle, sem deploy).

Kubernetes — decisão I40 e gatilhos de migração

Matriz (ponderada): Compose+Traefik 8.5 · Swarm 8.0 · K3s 7.2 · AKS 6.3 — curva K8s (3-6 sem.) incompatível com o caminho crítico payroll nos 90 dias.

Contrato K8s-ready K1-K9 em vigor desde o dia 1: 12-factor · stateless · /healthz+/readyz · graceful SIGTERM · imagens non-root · logs stdout JSON · DNS por nome · migrações fora do boot · limites de recursos → migração futura = helm install, não refactor.

Gatilho 1
carga exige 2º nó

Gatilho 2
SLA multi-nó contratual

Gatilho 3
SRE contratado

Reavaliação: dia 120 (GA) e a cada tenant enterprise novo. Caminho: K3s (2-3 VMs, soberania) → AKS.

Mapa vivo da plataforma (gerado de /api/system/catalog federado — nunca desenhado à mão)