Isolamento por instituição
O Lerian SISBAJUD é multitenant, com
institution_id igual ao tenant. As ordens, os arquivos, as credenciais e as chaves de criptografia de cada instituição estão isolados; um deployment atende muitas instituições sem visibilidade entre elas.
Reconciliação
A reconciliação corre no grão de uma ordem de monitoramento ou judicial contra um snapshot de saldo do ledger. Uma varredura agendada compara as ordens pendentes com o ledger e recupera qualquer lacuna; um operador também pode disparar uma reconciliação manual sob demanda. As ordens de monitoramento que ultrapassaram o seu teto ou prazo são fechadas por varredura, de modo que nada permaneça em monitoramento além da sua vida legal.
Cadência do bloqueio permanente
As ordens permanentes reiteram o bloqueio diariamente e considerando os dias úteis, limitadas pelo teto de reiteração de 60 dias do CNJ ou pelo prazo determinado da ordem. As reiterações também são acordadas por eventos de mudança de saldo do ledger, de modo que um depósito que caia entre ciclos diários seja capturado com prontidão em vez de esperar a próxima varredura agendada.
Credenciais e rotação de chaves
Duas coisas rotacionam por instituição, ambas administrativas:
- As credenciais de conector — as credenciais que o Lerian SISBAJUD usa para alcançar o ledger e o canal de troca de arquivos — podem ser registradas e rotacionadas.
- A chave mestra de criptografia (KEK) pode ser rotacionada; uma rotação emite um evento de chave rotacionada. A chave de dados por registro (DEK) fica sob a chave mestra, de modo que rotacionar a chave mestra volta a selar as chaves de dados sem recriptografar cada campo.
Proteção de dados
Os dados pessoais são protegidos em repouso por design:
- Criptografia envelopada. Cada registro tem a sua própria chave de dados, selada sob a chave mestra da instituição, com AES-256-GCM e dados adicionais autenticados por campo — de modo que um conteúdo criptografado não pode ser trocado entre campos ou registros.
- Tokenização pesquisável. Um blind index permite a busca por correspondência exata sobre identificadores fiscais (CPF/CNPJ) e o número de processo sem descriptografia; o texto livre e os valores monetários são apenas criptografados, nunca tokenizados.
- Trilha de auditoria à prova de adulteração. Cada mudança de estado é anexada a um log append-only, sem lacunas e protegido criptograficamente — códigos de autenticação por evento vinculam cada entrada à sua posição, e os hashes de folha de Merkle permitem verificar a trilha sem descriptografar nenhum payload.
- LGPD. Os pedidos de acesso do titular exportam os dados que se guardam de um titular; a eliminação é honrada por cripto-eliminação — destruir a chave do registro para que o seu conteúdo criptografado se torne irrecuperável enquanto o registro de auditoria da mudança sobrevive.
Contingência
As ordens que falham são levadas a um estado terminal FAILED em vez de ficarem presas em processamento, e um operador pode reprocessá-las. As visões de status de SLA e de estatísticas de processamento expõem onde as ordens estão. A resolução do conector falha de forma fechada: se a integração não consegue resolver com segurança uma conta ou uma credencial, ela recusa a operação em vez de agir sobre um alvo ambíguo.
API administrativa
Como as ordens chegam apenas por arquivo, a superfície HTTP não envia ordens — ela é administrativa e de observação. Ela permite a um operador:
- listar ordens e arquivos, e ler o detalhe de uma única ordem ou arquivo;
- reprocessar ordens que falharam;
- executar e listar a reconciliação;
- ver o status de SLA e as estatísticas de processamento;
- verificar a trilha de auditoria;
- tratar os pedidos LGPD — criá-los e resolvê-los, executar uma eliminação e exportar os dados de um titular;
- registrar justificativas de descumprimento; e
- configurar a instituição e registrar ou rotacionar as credenciais de conector.