Aislamiento por institución
Lerian SISBAJUD es multitenant, con
institution_id igual al tenant. Las órdenes, los archivos, las credenciales y las claves de cifrado de cada institución están aislados; un despliegue sirve a muchas instituciones sin visibilidad entre ellas.
Reconciliación
La reconciliación corre al grano de una orden de monitoreo o judicial contra una instantánea de saldo del ledger. Un barrido programado compara las órdenes pendientes con el ledger y recupera cualquier brecha; un operador también puede lanzar una reconciliación manual bajo demanda. Las órdenes de monitoreo que superaron su límite o plazo se cierran por barrido, de modo que nada permanezca en monitoreo más allá de su vida legal.
Cadencia del bloqueo permanente
Las órdenes permanentes reintentan el bloqueo a diario y considerando los días hábiles, acotadas por el límite de reiteración de 60 días del CNJ o por el plazo determinado de la orden. Los reintentos también se despiertan por eventos de cambio de saldo del ledger, de modo que un depósito que caiga entre ciclos diarios se capture con prontitud en lugar de esperar al siguiente barrido programado.
Credenciales y rotación de claves
Dos cosas rotan por institución, ambas administrativas:
- Las credenciales de conector — las credenciales que Lerian SISBAJUD usa para alcanzar el ledger y el canal de intercambio de archivos — pueden registrarse y rotarse.
- La clave maestra de cifrado (KEK) puede rotarse; una rotación emite un evento de clave rotada. La clave de datos por registro (DEK) se ubica bajo la clave maestra, de modo que rotar la clave maestra vuelve a sellar las claves de datos sin volver a cifrar cada campo.
Protección de datos
Los datos personales están protegidos en reposo por diseño:
- Cifrado envolvente. Cada registro tiene su propia clave de datos, sellada bajo la clave maestra de la institución, con AES-256-GCM y datos adicionales autenticados por campo — de modo que un cifrado no puede intercambiarse entre campos ni registros.
- Tokenización buscable. Un blind index permite la búsqueda por coincidencia exacta sobre identificadores fiscales (CPF/CNPJ) y el número de proceso sin descifrado; el texto libre y los valores monetarios solo se cifran, nunca se tokenizan.
- Rastro de auditoría a prueba de manipulación. Cada cambio de estado se agrega a un log append-only, sin huecos y protegido criptográficamente — códigos de autenticación por evento vinculan cada entrada a su posición, y los hashes de hoja de Merkle permiten verificar el rastro sin descifrar ningún payload.
- LGPD. Las solicitudes de acceso del titular exportan los datos que se guardan de un titular; la eliminación se honra por cripto-borrado — destruir la clave del registro para que su cifrado quede irrecuperable mientras el registro de auditoría del cambio sobrevive.
Contingencia
Las órdenes fallidas se llevan a un estado terminal FAILED en lugar de quedar atascadas en procesamiento, y un operador puede reprocesarlas. Las vistas de estado de SLA y de estadísticas de procesamiento exponen dónde están las órdenes. La resolución del conector falla de forma cerrada: si la integración no puede resolver con seguridad una cuenta o una credencial, rechaza la operación en lugar de actuar sobre un objetivo ambiguo.
API administrativa
Como las órdenes llegan solo por archivo, la superficie HTTP no envía órdenes — es administrativa y de observación. Permite a un operador:
- listar órdenes y archivos, y leer el detalle de una sola orden o archivo;
- reprocesar órdenes fallidas;
- ejecutar y listar la reconciliación;
- ver el estado de SLA y las estadísticas de procesamiento;
- verificar el rastro de auditoría;
- manejar las solicitudes LGPD — crearlas y resolverlas, ejecutar una eliminación y exportar los datos de un titular;
- registrar justificaciones de incumplimiento; y
- configurar la institución y registrar o rotar las credenciales de conector.