# PLP 234/2023 — Jornada do cidadão e Central de Escolhas sobre Meus Dados

Versão 3 para discussão • 08 de outubro de 2026

**Cenário futuro solicitado:** a lei baseada na PLP entrou em vigor, as instituições participantes foram habilitadas e existe um serviço onde o cidadão pode entender e decidir sobre seus dados. A jornada começa quando a pessoa vê a notícia e procura esse serviço. Aprovação, vigência, texto final e habilitação são premissas deste cenário, não acontecimentos que este material declara como reais.

**Conceito proposto: Central de Escolhas sobre Meus Dados.** Um lugar reconhecível para consultar dados no escopo das instituições integradas, analisar ou recusar solicitações, definir limites, acompanhar autorizações e exercer direitos. O nome, o portal e a organização do serviço são propostas de solução; não são um produto pronto nem um portal único que se presume imposto pelo projeto. Operador e modelo institucional permanecem a definir.

A discussão de Informatica orienta os bastidores: catálogo, origem, qualidade, políticas e rastreabilidade precisam tornar as informações confiáveis. Data 360 organiza contexto permitido; Agentforce ajuda o cidadão; AIforce pode oferecer interfaces homologadas; MuleSoft e Agent Fabric conectam e governam ações; Tableau Next apoia explicações. A apresentação de produtos segue a jornada, em vez de definir o seu ponto de partida.

## 1. Jornada: vi a notícia, encontrei a central e decidi

**Encontrei a central → Entrei com segurança → Conheci meus dados → Escolhi o que quero → Autorizei e confirmei, se quiser → Acompanhei minhas escolhas → Conferi meu retorno, se aplicável → Mudei minha decisão, a qualquer momento.**

### Persona, gatilho e objetivo

Ana é uma cidadã adulta fictícia, sem conhecimento técnico. Viu a notícia de que a lei entrou em vigor e quer saber: “Onde posso ir para entender e decidir sobre os meus dados?”. Seu objetivo é ter clareza e controle. Ela pode querer somente consultar; remuneração é um caminho condicionado a um uso elegível e a um contrato, não a motivação presumida de todo cidadão.

O cenário considera instituições integradas e dados elegíveis, sem simular saldos, ganhos ou resultados. Não presume descoberta de todas as empresas que possuem dados de Ana. Acesso à central, consulta de dados e autorização de uso são decisões separadas. Recusar uma proposta não elimina tratamentos baseados em outros fundamentos jurídicos; o serviço deve informar o escopo da ação.

### Como construímos a jornada

Aplicamos mapa de jornada do cidadão (persona, gatilho, objetivo, ação, ponto de contato, sentimento, decisão e resultado), caminhos alternativos e momentos de confiança. Depois, o blueprint de serviço relaciona o que a pessoa vê à operação, aos responsáveis e às evidências. Por último, o conceito e a matriz de capacidades conectam essas necessidades aos produtos e aos requisitos da PLP. Os sentimentos são hipóteses de desenho a validar com cidadãos, não achados de pesquisa realizada.

### O lugar a que Ana chega

A **Central de Escolhas sobre Meus Dados** tem uma entrada pública que explica quem opera o serviço, o que ele cobre e como conseguir ajuda. A área pessoal apresenta:

- **Meus dados:** instituições e categorias consultadas, fonte, data e pendências.
- **Minhas escolhas:** solicitações para analisar, recusar ou autorizar com limites.
- **Autorizações e histórico:** status e comprovantes dos participantes integrados.
- **Minha participação:** condições e extrato quando houver remuneração aplicável.
- **Ajuda e meus direitos:** cópia, correção, contestação, revogação e atendimento com protocolo.

A pessoa escolhe entre navegação visual e assistência conversacional. Toda ação deve ter uma alternativa compreensível fora do chat. O conteúdo geral é público; informações individuais exigem identidade validada. Um atendimento assistido acessível faz parte da proposta de operação, com canal e cobertura a definir; isso não implica um ponto físico ou integração já existentes.

### Os caminhos não são um funil obrigatório

| Intenção | Percurso | Resultado |
|---|---|---|
| Só entender e consultar | Encontrar → entrar → conhecer | Clareza, sem nova autorização |
| Decidir sobre uma solicitação | Conhecer → escolher | Recusa ou adiamento encerram a solicitação; aceitação expressa segue para confirmação |
| Autorizar um uso | Escolher → consentir → autenticar/confirmar na origem | Autorização válida no escopo escolhido |
| Acompanhar algo existente | Entrar → autorizações e histórico | Status e comprovantes confirmados pelos participantes |
| Mudar de ideia ou pedir um direito | Atalho permanente → solicitação → protocolo | Revogação ou demanda acompanhada, com pendências explícitas |
| Conferir remuneração | Extrato, se houver contrato e apuração | Cálculo e status verificáveis, sem ganho presumido |

Entrar no portal não cria autorização. Autorizações anteriores só aparecem com registros confirmados; sua ausência na central não prova que não existem. A autenticação inicial não substitui a exigência de autenticação/confirmação do transmissor para cada consentimento. No primeiro acesso, o estado vazio explica o que ainda não foi conectado ou autorizado.

### 01. Encontrei a central

**Pergunta de Ana:** “A lei entrou em vigor. Onde eu decido sobre meus dados?”

Ana vê a notícia sobre a nova lei e segue o endereço divulgado pelo canal institucional responsável. Ela chega à Central de Escolhas sobre Meus Dados.

- **Ponto de contato:** Notícia e comunicação institucional → página pública da central.
- **Sentimento esperado, a validar:** Curiosidade, com receio de golpes e de termos difíceis.
- **O que Ana vê:** Uma página explica o que ela pode consultar e decidir, quem opera o serviço, quais instituições participam e como pedir ajuda. Ana pode ler a explicação antes de entrar.
- **Decisão:** Entender primeiro, entrar na área pessoal ou pedir ajuda.
- **Resultado:** Ana reconhece o serviço e sabe por onde começar.
- **Se houver dificuldade:** Sem acesso digital ou sem compreender a explicação, Ana usa o atendimento assistido previsto no desenho; ninguém escolhe por ela.
- **IA:** Explica em linguagem simples o que pode ser feito e orienta o primeiro acesso.
- **Pessoa:** Ana escolhe começar, só ler ou pedir ajuda.
- **Controle:** Conteúdo público não revela dados individuais; canal e identidade do operador são verificáveis.
- **Operação:** Publicar conteúdo validado, identificação do operador, participantes e canais de suporte. Agentforce responde dúvidas gerais com base aprovada, sem consultar dados pessoais na área pública.
- **Adequação:** A central e sua divulgação são propostas de serviço. Experience Cloud sustenta o portal; conteúdo, acessibilidade, operação e atendimento precisam ser construídos. A PLP não é tratada como designação automática deste portal ou de seu operador.
- **Responsável:** Operador a definir responde pela central; instituições responsáveis validam o conteúdo e os canais.
- **Evidência:** Versão do conteúdo, identificação do operador e participantes, canais de ajuda publicados.
- **Base no projeto:** Arts. 9–10, 27–28, 45–46; entrada pública é proposta de desenho
- **Produtos:** Experience Cloud + conteúdo de orientação, Agentforce + Service Cloud.

### 02. Entrei com segurança

**Pergunta de Ana:** “Como o serviço sabe que sou eu?”

Ana escolhe “Entrar na minha área” e valida sua identidade pelo método habilitado. Ao voltar, vê uma orientação curta para o primeiro acesso.

- **Ponto de contato:** Área pessoal da central → provedor de identidade habilitado → boas-vindas.
- **Sentimento esperado, a validar:** Precisa sentir segurança e saber o que está aceitando.
- **O que Ana vê:** A tela explica para que a identificação é necessária, o que será consultado e como recuperar o acesso. Entrar não autoriza uma empresa a usar seus dados.
- **Decisão:** Identificar-se para consultar sua área, recuperar acesso ou buscar atendimento.
- **Resultado:** Ana acessa apenas sua área, sem autorizações novas por padrão.
- **Se houver dificuldade:** Identidade não validada, representação incerta ou dificuldade de acesso: preservar a privacidade e encaminhar recuperação ou atendimento.
- **IA:** Orienta o acesso e a recuperação; não pede senhas na conversa nem autentica por inferência.
- **Pessoa:** Ana conclui a identificação no ambiente habilitado.
- **Controle:** Identidade, sessão e segregação são verificadas; nenhuma opção de uso é marcada ao entrar.
- **Operação:** Integrar identidade, sessão e segregação por titular. Tratar representação e recuperação. A identidade individual certificada e o vínculo financeiro previstos no projeto exigem integração adequada. A autenticação de entrada não substitui a autenticação/confirmação do transmissor por consentimento.
- **Adequação:** External Identity apoia acesso ao portal; certificação, representação e integrações dependem do desenho. Conta financeira é tratada no fluxo apropriado; não é uma condição inventada para ler informações públicas.
- **Responsável:** Operador gerencia o acesso; provedor valida identidade; responsáveis validam representação.
- **Evidência:** Resultado da validação, sessão e escopo de acesso, sem expor credenciais.
- **Base no projeto:** Arts. 14, 20–24 e 46; acesso à central é proposta de desenho
- **Produtos:** Experience Cloud + Salesforce External Identity, Provedor de identidade/certificação + MuleSoft, Service Cloud.

### 03. Conheci meus dados

**Pergunta de Ana:** “Quais dados meus aparecem aqui e quem os guarda?”

Na área “Meus dados”, Ana vê as instituições integradas e abre as categorias associadas a ela. Pode perguntar ao assistente o que cada categoria significa.

- **Ponto de contato:** Área pessoal → Meus dados → detalhe de cada instituição.
- **Sentimento esperado, a validar:** Busca clareza e pode se surpreender com o que encontra.
- **O que Ana vê:** Uma visão por instituição mostra categorias disponíveis, origem, data da consulta e autorizações confirmadas. Ausência de resposta aparece como “consulta pendente”; não como “a empresa não tem dados”.
- **Decisão:** Consultar, pedir cópia, questionar uma associação ou seguir para escolhas de uso.
- **Resultado:** Ana entende o que foi consultado e o que ainda não está coberto.
- **Se houver dificuldade:** Vínculo incerto ou dado sem origem: marcar como pendência; não fundir pessoas nem incluir a categoria em uma proposta.
- **IA:** Explica categorias, fontes e pendências com base nas consultas; CLAIRE apoia a qualidade nos bastidores.
- **Pessoa:** Ana escolhe explorar, pedir cópia ou contestar; responsáveis resolvem vínculos incertos.
- **Controle:** A API do detentor valida identidade e acesso; metadados expostos são minimizados.
- **Operação:** Informatica descobre e cataloga ativos habilitados; classificação e linhagem apoiam a preparação. MDM mantém referências confiáveis; consultas específicas vinculam ativos ao titular autenticado. Data 360 apresenta contexto permitido, sem confundir um catálogo de tabelas com inventário individual.
- **Adequação:** Catálogo, qualidade e cadastros são capacidades de base. O passaporte por titular é uma composição a construir, alimentada por APIs dos detentores, regras de identidade e metadados. IA explica registros consultados; não descobre automaticamente toda a vida digital.
- **Responsável:** Detentores validam origem e vínculo; coordenadora apresenta; equipe de dados governa o catálogo.
- **Evidência:** Fonte consultada, identidade vinculada, versão do ativo, classificação revisada e horário da atualização.
- **Base no projeto:** Arts. 3, 9–10, 14, 28, 45–46 e 48
- **Produtos:** Informatica CDGC + Data Quality + MDM, Data 360 + MuleSoft, Agentforce + Experience Cloud.

### 04. Escolhi o que quero

**Pergunta de Ana:** “Quero apenas consultar ou permitir algum uso?”

Ana abre “Minhas escolhas”. Pode ficar apenas na consulta, analisar uma solicitação de uso ou revisar autorizações que estejam confirmadas nas instituições integradas.

- **Ponto de contato:** Minhas escolhas → solicitação de uso → comparação e limites.
- **Sentimento esperado, a validar:** Precisa de autonomia e de uma explicação sem pressão.
- **O que Ana vê:** Para cada solicitação, vê quem pede, quais dados, finalidade, duração e condições. Pode recusar, deixar para depois ou escolher os limites que a proposta permite. Se houver remuneração, a regra fica explícita.
- **Decisão:** Recusar ou adiar encerra essa solicitação; aceitar leva à revisão e confirmação. Revisar algo existente leva à etapa 08.
- **Resultado:** Uma escolha compreendida. Consultar sem autorizar também é um resultado completo.
- **Se houver dificuldade:** Sem proposta elegível, a área informa que não há solicitações disponíveis; Ana continua consultando dados e exercendo direitos.
- **IA:** Compara solicitações e explica limites, riscos e condições existentes; não pressiona a aceitar.
- **Pessoa:** Ana escolhe consultar, recusar, adiar, ajustar o escopo disponível ou prosseguir.
- **Controle:** Propostas e dados precisam ser elegíveis; nenhuma autorização resulta de consulta ou silêncio.
- **Operação:** Cloud Data Marketplace organiza produtos de dados curados para instituições. Metadados aprovados alimentam propostas ao titular. Agentforce consulta condições e explica diferenças; qualidade, finalidade e elegibilidade limitam a recomendação. Registrar separadamente consulta, recusa, adiamento e preparação de consentimento. Mostrar autorizações anteriores apenas com evidência válida dos participantes; não presumir inventário universal.
- **Adequação:** Marketplace sustenta descoberta/solicitação institucional de produtos de dados. A vitrine ao titular, contratos bilaterais e remuneração exigem extensão e integração; não são um mercado de dados pessoais pronto.
- **Responsável:** Instituição proponente aprova oferta e contrato; steward valida produto de dados.
- **Evidência:** Produto de dados e proposta versionados, critérios de elegibilidade e condições econômicas.
- **Base no projeto:** Arts. 4–8, 15–17, 29–31; art. 49 (8º-C); art. 50 (426-A)
- **Produtos:** Agentforce + Experience Cloud, Informatica Cloud Data Marketplace + CDGC, Platform + Data 360.

### 05. Autorizei e confirmei

**Pergunta de Ana:** “É exatamente esse uso que eu quero permitir?”

Se decidiu permitir um uso, Ana revisa o resumo, manifesta o consentimento na receptora e segue para a instituição que guarda os dados. Lá, autentica-se e confirma o mesmo escopo.

- **Ponto de contato:** Solicitação da receptora, integrada à central → ambiente do transmissor → recibo na central.
- **Sentimento esperado, a validar:** Precisa ter certeza antes de confirmar e reconhecer a instituição de origem.
- **O que Ana vê:** Dados, destinatário, finalidade e validade ficam legíveis, sem opções pré-marcadas. A tela avisa o redirecionamento. No retorno, Ana recebe o recibo de confirmação ou vê que a autorização não foi concluída.
- **Decisão:** Autorizar expressamente e confirmar na origem, voltar para ajustar antes de consentir ou cancelar.
- **Resultado:** Somente após consentimento, autenticação e confirmação vinculados o uso pode ser liberado.
- **Se houver dificuldade:** Cancelamento, falha de autenticação ou escopo alterado: nenhuma transferência.
- **IA:** Explica o resumo e acompanha o retorno; não recebe credenciais nem substitui a manifestação de Ana.
- **Pessoa:** Ana consente expressamente e autentica-se/confirma no transmissor.
- **Controle:** Valida versões e escopo, receptor e vínculo entre consentimento, autenticação e confirmação; falha impede liberação.
- **Operação:** Transformar condições aprovadas em um registro versionado de consentimento, associado a finalidade, dados, partes e proposta. O agente chama uma ferramenta restrita para preparar a solicitação; a manifestação ativa do titular é capturada pelo serviço de consentimento. Preservar sequência consentimento → autenticação/confirmação. O transmissor autentica o titular uma vez por consentimento e confirma simultaneamente. MuleSoft integra o retorno, sem entregar credenciais ao receptor ou ao agente. A central apresenta e coordena o percurso; a receptora permanece responsável por obter o consentimento.
- **Adequação:** Consentimento, autenticação e confirmação seguem a sequência eletrônica contínua. Preparação ocorre antes. O login da etapa 02 não dispensa a autenticação do transmissor; o agente não confirma em nome de Ana.
- **Responsável:** Receptora obtém consentimento; transmissor autentica e confirma; central coordena e apresenta o retorno.
- **Evidência:** Texto e versão apresentados, ação ativa, escopo, partes, validade e resultado de autenticação/confirmação correlacionados.
- **Base no projeto:** Arts. 13–24, especialmente arts. 15 e 20–22
- **Produtos:** Platform + Consent Data Model + Flow, MuleSoft + identidade do transmissor, Agentforce + Experience Cloud.

### 06. Acompanhei minhas escolhas

**Pergunta de Ana:** “Quem pode usar meus dados e o que aconteceu?”

Ana volta à central e abre “Autorizações e histórico”. Consulta status, prazo e comprovantes; se tiver recusado a proposta, vê a recusa sem uma nova autorização criada.

- **Ponto de contato:** Área pessoal → Autorizações e histórico → detalhe e comprovantes.
- **Sentimento esperado, a validar:** Quer tranquilidade e uma visão que consiga conferir.
- **O que Ana vê:** A lista distingue autorização ativa, vencida, revogada e pendente. O histórico mostra usos informados e confirmados pelos participantes, com data, finalidade e instituição. Onde faltar evidência, a lacuna fica visível.
- **Decisão:** Acompanhar, pedir explicação, contestar ou mudar uma escolha.
- **Resultado:** Ana sabe o que foi autorizado, o que foi comprovado e o que precisa de resposta.
- **Se houver dificuldade:** Histórico sem registros não prova ausência de uso; divergência ou silêncio do participante vira pendência rastreável.
- **IA:** Agente resume evidências e abre investigação permitida; CLAIRE ajuda o steward a localizar dependências.
- **Pessoa:** Ana contesta; equipe valida a hipótese e toma a decisão necessária.
- **Controle:** Autorização e regras de acesso são determinísticas. A IA não amplia escopo nem decide permissão jurídica.
- **Operação:** MuleSoft verifica consentimento e confirmação por chamada. Informatica Data Access Management aplica controles nos destinos suportados. Data 360 entrega contexto governado. Agent Fabric registra ferramentas/agentes e controla os caminhos integrados; execução só ocorre se políticas técnicas e de negócio permitirem. Combinar linhagem técnica de CDGC com transações de negócio e recibos dos participantes. Tableau Next usa métricas aprovadas; Agentforce prepara investigação e casos. Eventos devem vir de integrações monitoradas: zero copy não cria sozinho notificações.
- **Adequação:** Linhagem descreve dependências observadas nas fontes suportadas; não prova todas as transferências ou usos por pessoa. Construir grafo de evidências e indicar lacunas, sem prometer vigilância de sistemas externos não integrados. As autorizações vêm do registro transacional; regras por chamada não dependem da interpretação do agente.
- **Responsável:** Instituições fornecem evidências; coordenadora consolida; privacidade decide encaminhamento.
- **Evidência:** Eventos técnicos e recibos vinculados, lacunas de cobertura, alerta, hipótese e resposta.
- **Base no projeto:** Arts. 17–18, 20, 25, 27–28, 30, 33–36, 40 e 46; art. 49 (8º-A e 10-A)
- **Produtos:** MuleSoft + Agent Fabric + Platform, Informatica Data Access Management + CDGC, Data 360 + Agentforce + Tableau Next.

### 07. Conferi meu retorno

**Pergunta de Ana:** “Houve remuneração pelo uso que autorizei?”

Quando houver uso remunerado e apuração disponível, Ana abre “Minha participação”. Consulta a regra contratada, o cálculo e o status do pagamento.

- **Ponto de contato:** Área pessoal → Minha participação → cálculo e status financeiro.
- **Sentimento esperado, a validar:** Quer entender se há valor devido e por que está pendente.
- **O que Ana vê:** O extrato separa valor apurado, pagamento pendente e crédito confirmado. Se não houve contrato remunerado ou apuração, explica a situação sem apresentar saldo fictício.
- **Decisão:** Consultar, pedir explicação ou contestar o cálculo; esta etapa só se aplica quando houver participação econômica.
- **Resultado:** Retorno compreensível e verificável.
- **Se houver dificuldade:** Receita sem conciliação ou ordem rejeitada não é crédito. Agente não estima ganho como se fosse valor devido.
- **IA:** Agente explica o cálculo existente, localiza pendência e prepara a contestação.
- **Pessoa:** Ana decide contestar; financeiro valida ajustes e pagamentos.
- **Controle:** Fórmulas e regras aprovadas calculam; retorno do banco confirma. IA não altera valores.
- **Operação:** Tableau Semantics padroniza significados como receita elegível, participação e crédito liquidado. ERP/motor calcula pelas regras contratuais; MuleSoft integra banco/PSP. Agentforce consulta a memória de cálculo e prepara contestação quando solicitado.
- **Adequação:** Análise conversacional explica o resultado; o cálculo vem do motor aprovado e a liquidação do parceiro autorizado. Semantics não é motor tributário, de rateio ou conta bancária.
- **Responsável:** Instituição responsável pela remuneração; financeiro apura; banco/PSP liquida.
- **Evidência:** Contrato, receita comprovada, regra e memória de cálculo, ordem idempotente e confirmação bancária.
- **Base no projeto:** Arts. 4–6 e 46; art. 49 (8º-C); art. 50 (426-A)
- **Produtos:** Tableau Next + Semantics, Agentforce + Data 360, MuleSoft + Platform + ERP/banco.

### 08. Mudei minha decisão

**Pergunta de Ana:** “Quero parar este uso ou resolver um problema.”

A qualquer momento, Ana abre uma autorização e escolhe “Parar este uso”. Confirma a revogação e acompanha o protocolo. Também pode pedir cópia, correção ou atendimento sobre um problema.

- **Ponto de contato:** Atalho permanente → autorização ou pedido → confirmação → protocolo e acompanhamento.
- **Sentimento esperado, a validar:** Precisa sentir que pode mudar de ideia e obter resposta.
- **O que Ana vê:** A central mostra o que foi solicitado, quais novas operações foram bloqueadas no escopo e quais instituições já confirmaram a efetivação. Pendências, prazo aplicável e formas de pedir ajuda ficam claros.
- **Decisão:** Revogar, manter a escolha, pedir um direito ou falar com atendimento humano.
- **Resultado:** Escolha atualizada, com comprovação do que foi concluído.
- **Se houver dificuldade:** Sem retorno do parceiro, manter novas chamadas bloqueadas e marcar pendência; não afirmar que todo dado externo foi apagado.
- **IA:** Agente identifica a autorização, prepara e executa a ferramenta permitida após confirmação; acompanha retornos.
- **Pessoa:** Ana pede e confirma; privacidade decide retenções e exceções.
- **Controle:** Bloqueio de novas chamadas imediato como decisão de desenho; efetivação e comunicação seguem os prazos aplicáveis.
- **Operação:** Ferramenta de revogação invalida a autorização no ponto de decisão. Grafo de dependências e registro de transações orientam a propagação; integrações atualizam políticas, acessos e contextos cobertos. Excluir dados já entregues exige processo próprio e análise de retenção.
- **Adequação:** Revogação conversacional é uma ação autenticada, confirmada e registrada; manter o mesmo canal e alternativa acessível. O plano de propagação por grafo é desenho específico e depende de integrações e recibos, não de um botão nativo universal.
- **Responsável:** Cada instituição efetiva no seu escopo; coordenadora acompanha; privacidade trata exceções.
- **Evidência:** Manifestação, versão invalidada, bloqueios, recibos por participante, pendências e resposta ao titular.
- **Base no projeto:** Art. 3; arts. 9–10, 19, 27–28, 40, 45, 47–48; arts. 49 e 51
- **Produtos:** Agentforce + ferramentas de direitos, MuleSoft + Informatica políticas/lineage, Privacy Center + Service Cloud.

## 2. Conceito: uma central para entender, decidir e acompanhar

### A central e seus componentes de experiência a construir

**Central do cidadão:** portal com orientação pública, área pessoal e atalhos para dados, escolhas, autorizações, participação e direitos. Experience Cloud sustenta as telas e o acesso; Agentforce orienta; Service Cloud organiza atendimento e protocolos. A implementação exige conteúdo, identidade, acessibilidade, integração, regras e operação definidos. [Experience Cloud](https://help.salesforce.com/s/articleView?id=sf.exp_cloud_basics_what.htm&language=en_us&release=246.7.0&type=5).

**Passaporte de dados:** ficha do titular com categorias disponíveis, origem, instituição responsável, classificação, qualidade, finalidades permitidas e autorizações vinculadas. É uma composição de catálogo, cadastros, consultas aos detentores e contexto. Não é produto nativo anunciado com esse nome, não mostra automaticamente todos os dados da pessoa e não substitui a identidade certificada exigida pelo projeto.

**Assistente de participação:** conversa que ajuda a compreender ofertas, comparar condições, preparar escolhas e consultar direitos. O agente invoca ferramentas registradas; a pessoa pode revisar, recusar e confirmar. A explicação usa dados e documentos efetivamente recuperados, com origem e status. Quando não houver evidência, a resposta informa a pendência.

**Trilha de uso e retorno:** relação entre ativo, produto de dados, consentimento, transação, destinatário, receita, apuração e pagamento. Permite perguntar “quem recebeu?”, “o que foi autorizado?”, “por que meu crédito está pendente?” e iniciar uma ação com protocolo. A trilha combina linhagem técnica e eventos de negócio; lacunas de cobertura permanecem explícitas.

### O encaixe de cada tecnologia

| Capacidade | Tecnologia | Papel no desenho |
|---|---|---|
| Encontrar o serviço, entrar e receber ajuda | Experience Cloud, identidade, Agentforce e Service Cloud | Publicar orientação, oferecer área pessoal e atendimento; identidade/certificação integradas conforme o papel |
| Descobrir e entender os dados | Informatica CDGC, Data Quality, MDM e CLAIRE | Organizar metadados, qualidade, referências e relações que tornam o passaporte confiável |
| Publicar usos elegíveis | Cloud Data Marketplace e governança | Curar produtos de dados e orientar solicitação institucional; adaptar propostas e contratos ao titular |
| Colocar contexto no trabalho | Data 360 | Relacionar contexto permitido para os agentes e as experiências, mantendo as fontes oficiais |
| Ajudar a fazer | Agentforce | Explicar, preparar, executar ferramentas restritas e acompanhar retornos |
| Acessar por novas interfaces | AIforce / Headless 360 / MCP | Reutilizar capacidades em interfaces homologadas, com a identidade e os limites apropriados |
| Governar a rede de execução | MuleSoft Agent Fabric e APIs | Inventariar e controlar agentes/ferramentas e integrar decisões, transações e recibos |
| Aplicar proteção ao dado | Informatica Data Access Management + controles das fontes | Aplicar políticas nos pontos suportados, integradas aos requisitos de autorização |
| Entender e agir sobre o resultado | Tableau Next + Semantics | Usar métricas consistentes e análise conversacional para pendências e participação |
| Registrar escolhas e obrigações | Platform, Consent Data Model, Flow e Service | Manter fonte transacional, protocolos e rotinas determinísticas |

O ponto de partida é a necessidade do cidadão depois da notícia: encontrar um serviço, confiar no acesso e decidir. Informatica organiza os dados e as políticas que sustentam a experiência; os agentes ajudam a entender e realizar ações dentro desse serviço.

### Distinções que orientam a seleção

**MDM e Data 360 se complementam.** MDM mantém referências mestras governadas; perfis unificados relacionam contexto para ativação. No desenho, o cadastro da instituição e o produto de dados podem ter referência mestra, enquanto o contexto da jornada relaciona autorização, uso e pendências. Nome semelhante ou correspondência probabilística não é prova de identidade do titular. [Documentação Data 360 + IDMC](https://help.salesforce.com/s/articleView?id=data.c360_a_informatica.htm&language=en_US&type=5).

**Catálogo, marketplace e extrato têm funções diferentes.** O catálogo explica ativos e metadados. O marketplace organiza produtos curados e solicitações institucionais. O extrato apresenta escolhas e evidências por titular. A camada externa de participação e o contrato remunerado precisam ser desenhados; Cloud Data Marketplace não constitui sozinho um mercado de dados pessoais com conta e rateio. [Cloud Data Marketplace](https://www.informatica.com/products/data-governance/cloud-data-marketplace.html).

**Linhagem técnica e uso individual exigem evidências diferentes.** Um caminho tabela → transformação → painel informa dependência de ativos. A transação de Ana exige consentimento, autenticação, confirmação e recibos. Associar os dois registros permite investigar impacto, sem presumir que lineage prova todo uso externo. [Informatica lineage](https://www.informatica.com/products/data-catalog/data-lineage.html.html).

**AIforce, Agentforce e CLAIRE têm papéis próprios.** AIforce amplia a forma de acessar capacidades; Agentforce executa trabalhos da jornada por ferramentas; CLAIRE apoia tarefas de gestão dos dados. Os agentes especializados desta proposta são componentes a construir, com seleção de ações e testes. [AIforce](https://www.salesforce.com/news/stories/aiforce-announcement/), [CLAIRE](https://www.informatica.com/about-us/news/news-releases/2026/05/20260520-informatica-deepens-strategic-partnership-with-google-cloud-bringing-headless-data-management-and-claire-conversational-ai-to-the-enterprise.html).

**Agent Fabric e CDGC têm âmbitos complementares.** O inventário de ferramentas/agentes ajuda a saber quais capacidades são executadas; o catálogo de dados ajuda a entender os ativos relacionados. Unir contexto de execução e evidências de dados é uma integração da solução, não prova automática de conformidade com a PLP. [Agent Fabric](https://docs.mulesoft.com/general/agent-fabric-overview).

**Zero copy é uma escolha de integração.** Pode reduzir réplicas persistentes conforme fonte e método. A consulta ainda processa informações, e resultados, caches e contextos precisam de análise. O uso é condicionado à finalidade e à fronteira jurídica do participante; não comprova ausência de contato com dados por uma iniciadora. [Zero Copy Data Federation](https://help.salesforce.com/s/articleView?id=sf.c360_a_byol_data_federation.htm&language=en_US&type=5).

**Semantics ajuda a explicar corretamente o retorno.** Definir receita elegível, participação apurada e crédito liquidado evita respostas que tratam valores diferentes como equivalentes. O cálculo contratual continua no motor aprovado, e o crédito exige retorno bancário. [Data 360 e Tableau Next](https://help.salesforce.com/s/articleView?id=data.c360_a_datacloud_tableaunext.htm&language=en_US&type=5).

### Arquitetura conceitual

1. **Fontes e domínios:** detentores e receptores mantêm os dados de negócio em seus ambientes. APIs específicas retornam metadados, evidências e ações permitidas.
2. **Confiança:** Informatica organiza catálogo, qualidade, cadastros, produtos e políticas. Stewards aprovam classificação, elegibilidade, finalidade e regras de compartilhamento.
3. **Contexto:** Data 360 relaciona o contexto necessário para a experiência e os agentes. Federação é avaliada somente onde fonte, contrato, acesso e processamento permitirem.
4. **Decisão registrada:** Platform/Consent mantém versões de autorização, contrato, confirmação, transação e protocolo. Uma projeção de contexto não substitui essa fonte transacional.
5. **Ações governadas:** Agentforce chama ferramentas restritas; MuleSoft integra os sistemas e aplica a decisão por chamada; Agent Fabric governa os agentes e as ferramentas nos caminhos registrados. Políticas de dados são aplicadas nos pontos de enforcement suportados, com testes de cobertura.
6. **Interfaces:** canal institucional com confirmação explícita e atendimento humano; AIforce/Headless/MCP ampliam as interfaces homologadas. Slack é canal das equipes. O mesmo negócio não recebe permissões mais amplas por chegar de outra interface.
7. **Evidências e resultados:** linhagem + transações + recibos + memória financeira; Tableau Next fornece leitura e ação autorizada. ERP/banco mantêm cálculo/liquidação; Service/Privacy tratam direitos e retenções.

**Fronteira da iniciadora:** se a central atuar como iniciadora, seus agentes, Data 360, prompts, logs, filas e MCPs não podem receber o payload dos dados transferidos. A central trabalha com autorizações e evidências mínimas; o contexto que exige dados de negócio é executado no ambiente do detentor/receptor competente. Zero copy não é exceção a essa regra. Se a organização desempenhar outro papel em outro processo, documentar separadamente serviços, acessos, contratos e responsabilidades.

**Propagação de revogação:** o registro transacional bloqueia novas operações. Relações do catálogo, transações e destinatários conhecidos ajudam a montar a lista de impacto. Integrações enviam comandos aos pontos de acesso/contexto suportados e coletam recibos. Sistemas não integrados permanecem pendentes. Remover acesso, invalidar contexto e excluir dados são ações distintas; retenção e cópias já entregues exigem tratamento específico.

**Residência e finalidade:** revisar região de execução de cada serviço, conteúdo enviado aos modelos, metadados, suporte, logs e suboperadores. Uma camada de catálogo ou federação não torna uma transferência internacional permitida por si só. A tecnologia não muda a elegibilidade jurídica de dados públicos, sensíveis ou financeiros.

## 3. Trabalho de pessoas e agentes

| Papel proposto | Tecnologia | Trabalho | Limite |
|---|---|---|---|
| Assistente do titular | Agentforce | Explicar dados/propostas, preparar autorização e acompanhar direitos. | Sem autorizar por inferência, ampliar escopo ou inventar crédito. |
| Assistente do steward | CLAIRE GPT / capacidades de qualidade | Descobrir ativos, revisar qualidade, classificar e localizar dependências. | Mudanças de classificação, identidade e produção exigem políticas de aprovação. |
| Agente de operação | Agentforce + APIs governadas | Reconciliar recibos, preparar investigação e cobrar pendências pelos fluxos permitidos. | Anomalia é hipótese; decisão sobre infração e incidente tem responsável humano. |
| Assistente de retorno | Agentforce + Tableau Next / Semantics | Explicar memória de cálculo, crédito e diferenças com evidências. | ERP calcula; banco confirma. Agente não altera a obrigação. |

### Ferramentas propostas e seus contratos

Nomes abaixo são ilustrativos e precisam ser implementados; não são APIs nativas prometidas pela Salesforce.

| Ferramenta | Entrada mínima | Saída | Controle |
|---|---|---|---|
| ConsultarPassaporte | Identidade autenticada e instituição/escopo | Categorias, origem, qualidade e pendências | Validar vínculo em cada fonte; não retornar outro titular |
| CompararPropostas | IDs de propostas elegíveis | Condições aprovadas e diferenças | Não inventar preço ou recomendação jurídica; manter fonte |
| PrepararConsentimento | Proposta, finalidade, categorias, validade e destinatário | Rascunho e resumo revisável | Nenhum compartilhamento; exigir manifestação ativa |
| ConfirmarNaOrigem | ID/versão da solicitação | Resultado de autenticação/confirmacão | Transmissor mantém responsabilidade e credenciais |
| ConsultarTrilha | Autorização/transação do titular | Eventos, recibos e lacunas | Segregação e indicação de cobertura |
| ConsultarParticipação | Contrato/período autorizado | Memória de cálculo e estado do crédito | Usar ERP/banco como fontes; não alterar fórmula |
| RevogarAutorização | ID/versão e manifestação confirmada | Bloqueio, protocolo e recibos/pendências | Ação idempotente e propagação rastreável |
| AbrirContestação | Transação/valor e motivo informado | Caso/protocolo e responsável | Não concluir infração ou aprovar ajuste por geração de texto |

A autonomia é concedida por ferramenta, por papel e por contexto. O agente pode preparar e explicar com evidência. A pessoa autoriza e confirma. Serviços determinísticos validam permissão, escopo, fórmula e estado. Equipes decidem classificação, risco, exceções e mudanças de produção conforme suas políticas.

### Exemplo de revogação

Ana: “Quero parar o uso dos meus dados por esta empresa.”

O agente localiza autorizações acessíveis → apresenta instituição, finalidade e escopo → Ana confirma → a ferramenta registra e bloqueia novas chamadas → o fluxo envia a revogação aos participantes → cada retorno atualiza a trilha → Ana vê o que foi efetivado e o que está pendente. Uma contestação pode ser aberta sem afirmar que dados externos já foram apagados.

### Operação institucional

Antes de publicar um produto de dados, a instituição precisa declarar papel, responsável, fontes, classificação, finalidade, qualidade, países/regiões, contrato e regra econômica; obter parecer e habilitação pertinentes; validar acesso e continuidade. A publicação institucional não autoriza automaticamente o uso dos dados de um titular. A convenção e a governança plural continuam necessárias.

### RACI resumida

A = responde pelo resultado; R = executa; C = consultado; I = informado. Para demandas que atravessam instituições, cada participante mantém sua responsabilidade legal; a coordenação acompanha a conclusão.

| Atividade | Coordenadora | Receptora | Transmissora | Jurídico/privacidade da instituição | Financeiro | Banco/PSP | Titular |
|---|---|---|---|---|---|---|---|
| Registro e habilitação operacional | A/R | R | R | C | I | I | I |
| Obter consentimento | C | A/R | I | C | I | I | R |
| Autenticar e confirmar | C | I | A/R | C | I | I | R |
| Executar compartilhamento | C | R | A/R | C | I | I | I |
| Responder direitos | R no acompanhamento | A/R no seu escopo | A/R no seu escopo | C | C | C | I |
| Apurar participação | C | A se responsável contratual | A se responsável contratual | C | R | I | I |
| Liquidar crédito | I | C | C | I | R na ordem | A/R na liquidação | I |
| Preservar evidências | A/R da central | A/R do seu escopo | A/R do seu escopo | C | R do financeiro | R do pagamento | I |

O contrato deve definir uma instituição responsável pela remuneração em cada operação; as duas alternativas na linha de apuração não significam responsabilidade indefinida ou dupla.

## 4. Adequação e adoção do portfólio

| Grupo de produtos | Papel | Prioridade/encaixe | Etapas | Condição |
|---|---|---|---|---|
| Informatica Cloud Data Governance and Catalog (CDGC) | Inventário, classificação, glossário e linhagem para o passaporte e a fiscalização. | Fundação prioritária | 3, 4, 6, 8 | Catálogo é de ativos/metadados. Vínculo individual, recibos externos e cobertura de fontes exigem implementação. |
| Informatica Cloud Data Quality / Observability + CLAIRE | Qualidade e identificação de problemas antes da oferta e durante o uso. | Fundação prioritária | 3, 4, 6 | Regras precisam de dono e aprovação. Remediação autônoma só em escopo validado; recursos novos têm disponibilidade a confirmar. |
| Informatica MDM SaaS | Cadastros confiáveis de instituições, produtos, referências e relações. | Fundação conforme domínio | 2–4, 6 | Não é a certificação digital do titular; não fundir identidades ambíguas. Complementa perfis unificados do Data 360. |
| Informatica Cloud Data Marketplace | Publicação, descoberta e solicitação institucional de produtos de dados curados. | Catálogo institucional | 4, 6 | Jornada externa de titulares, cessão de uso e rateio econômico são composição específica, não marketplace de monetização pronto. |
| Informatica Cloud Data Access Management | Políticas de acesso e proteção com base em metadados nos pontos suportados. | Controle de dados | 5, 6, 8 | Integrar condições de consentimento e testar aplicação por fonte/conector; não pressupor controle universal. |
| Data 360 + federação zero copy | Contexto acessível ao titular, às equipes e aos agentes, com acesso governado. | Contexto central na proposta | 2–8 | Zero copy depende da fonte e do método; consultas, caches, logs e contextos precisam de análise. Não é MDM nem iniciadora sem contato com dados. |
| Agentforce + Testing Center + Observability | Agentes para explicar, comparar, preparar solicitações, investigar e acompanhar direitos. | Execução assistida por regras | 1–8 | Agentes e ações da PLP precisam ser construídos e testados. Consentimento, autorização, cálculo e liquidação têm controles explícitos. |
| AIforce + Headless 360 / MCP | Acesso às capacidades por interfaces de IA e ferramentas reutilizáveis. | Interfaces a homologar | 1–8 / equipes | AIforce é abordagem de acesso; não é um substituto do Agentforce ou da plataforma. Validar canal, identidade, termos, região e disponibilidade. |
| MuleSoft Agent Fabric | Catálogo e governança de agentes, ferramentas e conexões do ecossistema. | Governança de execução | 5–6 / operação | Registrar serviços e aplicar políticas nos caminhos cobertos. Não substitui controle de consentimento, CDGC ou prova de uso por pessoa. |
| MuleSoft Anypoint Platform / API Manager | Integrações com transmissor, receptor, registro de consentimento, financeiro e banco. | Execução determinística | 2–8 | Verificação por chamada e integração de recibos são obrigatórias no desenho; iniciadora mantém caminho de dados separado. |
| Tableau Next + Tableau Semantics | Análise conversacional e definições consistentes de participação, pendências e crédito. | Entendimento e ação | 6–7 / operação | Não calcula obrigações financeiras por decisão generativa; validar licenças e disponibilidade por capacidade. |
| Salesforce Platform + Consent Data Model + Flow | Fonte transacional de propostas, contratos, autorizações, recibos e demandas. | Base operacional | 4–8 | A lógica específica continua configurada/desenvolvida; contextos analíticos não autorizam chamadas. |
| Experience Cloud + identidade + Service Cloud | Central do cidadão: orientação pública, área pessoal, escolhas, histórico, ajuda e atendimento. | Porta de entrada do serviço | 1–8 | A interface pode ser conversacional; autenticação do transmissor, certificação e representações exigem desenho específico. |
| Shield + Privacy Center + arquivo de evidências | Segurança, políticas de privacidade e preservação documental. | Controle transversal | Todas | Verificar cobertura, retenção, integridade e ações em sistemas externos. |
| Slack + Agentforce Coworker / CLAIRE | Trabalho das equipes com contexto, tarefas e exceções no canal interno. | Operação a avaliar | Governança | Separar uso interno do canal do titular. Integração específica de CLAIRE em Slack pode depender de preview/roadmap. |

### O que é base documentada, anúncio e construção própria

| Situação | Capacidades | Decisão para a implantação |
|---|---|---|
| Fundação documentada | CDGC, Data Quality, MDM, Marketplace, Data Access Management, Data 360, Agentforce, APIs e Tableau Next. | Selecionar edição, conectores, região e capacidade para o caso; a existência do produto não entrega a jornada pronta. |
| Capacidades anunciadas como GA em Spring 2026 | Headless Data Management / CLAIRE, Data Quality Agent, Data 360 Connector/Scanner e Agent Fabric Context Catalog. | Fonte é anúncio; confirmar habilitação contratual e cobertura, mantendo alternativas de operação. |
| Preview / cronograma publicado | CLAIRE em Slack; Agentic Integration, Metadata Enrichment Agent e Data Steward Agent / Agentic Multidomain MDM aparecem com Q4 2026 no anúncio. | Não presumir disponibilidade em 08/10/2026. MDM ↔ Data 360 foi previsto para Q3; validar versão efetiva. |
| Interface e pacote a homologar | AIforce, interfaces externas, Headless Experience Layer, MCP/A2A e componentes de análise. | Validar autenticação, privacidade, termos e disponibilidade por recurso; usar canal institucional suportado no piloto. |
| Construção específica da solução | Passaporte por titular, propostas da PLP, agentes especializados, autorização por chamada, grafo de evidências, revogação coordenada e rateio. | Componentes propostos; dependem de dados, APIs, contratos, desenho e teste. |

A disponibilidade GA/preview/cronograma acima foi lida no [anúncio de Informatica World 2026](https://www.informatica.com/about-us/news/news-releases/2026/05/20260520-informatica-from-salesforce-delivers-the-trusted-data-foundation-every-ai-agent-needs-now-across-every-surface-every-platform-everywhere.html). Recursos previstos para um trimestre não devem ser tratados como habilitados no cliente. Validar release, edição, região, termos, conectores e licenças atuais. Headless Experience Layer aparece como open beta no [anúncio Headless 360](https://www.salesforce.com/news/stories/expanding-headless-360-enterprise-capabilities/); ele não é dependência obrigatória do piloto.

### Seleção para o primeiro caso

**Priorizar:** primeiro acesso e consulta na central; catálogo/qualidade de um domínio e contexto mínimo; assistente do cidadão; recusa e adiamento; consentimento e confirmação condicionais; APIs, recibos e revogação. Explicação financeira entra quando houver uso remunerado e apuração. A consulta sem autorização precisa funcionar de ponta a ponta.

**Dimensionar pelo caso:** MDM para domínios que exigem referência mestra; Data Access Management onde existirem pontos de aplicação adequados; Agent Fabric quando houver rede de ferramentas/agentes; Tableau Next quando métricas e perguntas de análise estiverem definidas. A composição não significa contratar toda a plataforma antes de provar o primeiro caso.

**Evoluir após validação:** CLAIRE em novas interfaces, agentes de remediação e enriquecimento recém-anunciados, coordenação entre agentes via A2A, novas superfícies AIforce e variações para dados sensíveis/financeiros. A existência do protocolo ou da ferramenta não entrega a integração PLP pronta.

### Alternativas e consequências

| Decisão | Escolha proposta | Consequência |
|---|---|---|
| Centralizar tudo ou coordenar domínios | Contexto mínimo e metadados; dados nos papéis responsáveis | Menor exposição; dependência de APIs, cobertura e recibos |
| Catálogo de ativos ou experiência individual | Catálogo alimenta passaporte por titular via consultas restritas | Construção adicional de vínculo individual e evidências; não há descoberta universal |
| Apenas chat ou capacidade de agir | Agente com ferramentas, confirmações e retornos | Mais desenho/teste; ação é verificável e não apenas resposta textual |
| Regra no prompt ou controle executável | Políticas e decisão de autorização nos serviços | Reduz variação da IA no controle; exige integração por ponto de enforcement |
| Um agente amplo ou papéis especializados | Separar atendimento, stewardship, operação e retorno | Autonomia e acesso mais claros; monitorar dependências e coordenação |
| Anúncio novo ou operação suportada | Piloto usa capacidades habilitadas; roadmap tem avaliação própria | Evita tornar a conclusão do piloto dependente de release não comprovado |

## 5. Dados, modelo e controles

### Modelo de informação proposto

Ativo de dados → classificação/qualidade → produto de dados → proposta/contrato → consentimento → autenticação/confirmação → chamada/recibo → evidência de uso → receita/apuração → ordem/pagamento.

As relações de catálogo/linhagem descrevem ativos e dependências. As relações transacionais descrevem a autorização e o uso individual. Guardar versões, fontes, responsáveis e IDs correlacionáveis com acesso restrito. A identidade certificada do art. 46 permanece distinta do identificador de rastreabilidade por relação contratual proposto no art. 49 (8º-B). MDM, resolução de identidade e ID Salesforce não equivalem a certificação digital ou inviolabilidade.

Estados mínimos: consentimento preparado → manifestação registrada → autenticado/confirmado → ativo → expirado/revogado. Manifestação sem confirmação não permite transferir. Financeiro: receita em validação → participação apurada → ordem enviada → crédito confirmado; rejeição e ajuste têm evidência própria.

### Regra econômica e fiscal

A PLP não fixa um percentual de remuneração individual. A regra deve ser pactuada e versionada em contrato: receita elegível, critério de atribuição em operações agregadas, parcela do titular, custos/deduções permitidos, ajustes e periodicidade. A apuração deve permitir que o titular compreenda a origem do crédito e conteste divergências. Testar que a soma das parcelas não excede o montante contratualmente destinado aos titulares. Nenhum percentual, preço de dado ou taxa de retorno foi inventado.

Os arts. 52–54 propõem regras tributárias e destinação ao fundo, além da remuneração individual. O desenho prevê integração fiscal, sem aplicar hoje um novo tributo. O texto propõe Cofins de 10% para a situação descrita no art. 52, combinando o alcance anual de pelo menos 50 mil titulares/agregados familiares e os limites de receita mensal ali indicados (US$ 25 milhões globais ou R$ 10 milhões no Brasil). A interpretação da incidência, da base e das condições fica com jurídico/fiscal, não com o CRM. Também há previsão de declarações para operações abaixo do limite e exclusões de base para operações economicamente independentes.

A destinação de tributos e multas ao fundo não é o rateio privado devido ao titular. ERP/fiscal fornece os registros; MuleSoft integra; relatórios mostram situações separadas. A solução não implementa arrecadação estatal ou movimentação do fundo sem mandato e escopo específicos.

### Controles e requisitos da PLP mantidos

- Consentimento específico, granular e ativo; finalidade e dados pertinentes. Mudança das condições exige nova manifestação. A IA não infere consentimento.
- Consentimento na receptora → autenticação e confirmação simultâneas no transmissor → compartilhamento. Preservar sequência eletrônica, sucessiva e ininterrupta; avaliações internas ocorrem antes da proposta.
- Titular autenticado uma vez por consentimento; receptor a cada chamada. Nenhum agente recebe senha/credencial do titular.
- Negar chamadas sem autorização válida, confirmação, escopo ou decisão disponível. Não usar painel ou contexto analítico como fonte de permissão.
- Bloquear novas operações de imediato ao revogar, como decisão de desenho; o projeto prevê efetivação em até cinco dias e informação imediata aos participantes após efetivação. Coletar recibos e acompanhar pendências.
- Portabilidade: projeto prevê resposta em até 40 dias e duas respostas gratuitas por ano; não ampliar prazos ou reduzir direitos da legislação vigente aplicável. Exportar formato utilizável, com dicionário, via entrega segura.
- Revogação não elimina automaticamente cópias já entregues. Solicitações de exclusão, retenções e evidências têm processos e bases jurídicas próprios.
- Art. 40 prevê documentação por cinco anos; contratos contam da extinção. Preservar documentação abrangida, sem reter indiscriminadamente todo dado bruto.
- Proteger crianças, representação, dados sensíveis/financeiros e transferências internacionais por fluxos próprios. A escolha tecnológica não cria elegibilidade jurídica.
- Evitar discriminação por recusa/revogação; exceções do art. 48 dependem de análise jurídica. Manter oposição clara e acessível sem cadastro adicional desnecessário.
- Testar recuperação, indisponibilidade, incidentes e restrições a participantes. RTO, RPO, latência, escala e metas serão definidos com a criticidade real.

A PLP permanece em tramitação, conforme [Câmara](https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2401133), consultada em 08/10/2026. O cenário da jornada assume uma futura entrada em vigor. Para esta análise técnica, os dispositivos do PDF continuam sendo requisitos propostos; texto final e regulamentação precisam ser incorporados antes de uma implantação real. As inconsistências de remissão do texto, por exemplo arts. 12, 33, 38 e 40, exigem revisão jurídica antes de parametrizar regras. A matriz usa o conteúdo material dos dispositivos.

## 6. Provar a experiência

O piloto deve validar a experiência com cidadãos, incluindo quem não quer autorizar dados. Começa por uma central de teste, uma pessoa fictícia, um transmissor e um receptor habilitados para o escopo. Não exige contratar todos os produtos antes de comprovar o serviço.

1. Testar se uma pessoa que viu a notícia consegue encontrar a central, entender sua finalidade e reconhecer seu operador.
2. Validar acesso, recuperação, atendimento e segregação de dados; garantir que login não cria consentimento.
3. Consultar um conjunto de dados, explicar cobertura e mostrar pendências e estado vazio com clareza.
4. Provar que apenas consultar, recusar e adiar são percursos completos, sem transferência nova por essa solicitação.
5. Se a pessoa quiser autorizar, provar consentimento na receptora e autenticação/confirmação contínua no transmissor, com recibos.
6. Exibir status e comprovantes; diferenciar ausência de evidência de ausência de uso.
7. Revogar pelo atalho permanente e acompanhar bloqueio e respostas, inclusive falha de parceiro.
8. Quando houver remuneração, explicar cálculo aprovado e pagamento confirmado; testar contestação e ausência de saldo.

Momentos de confiança: reconhecer o endereço da central; separar identificação de autorização; compreender finalidade/dados antes de consentir; reconhecer a origem ao confirmar; receber um protocolo e saber o que foi efetivado. Medir compreensão e conclusão, incluindo recusa, sem considerar maior aceitação como sucesso automático.

### Critérios de aceite específicos para IA e dados

| Cenário | Evidência esperada |
|---|---|
| Identidade ou origem ambígua | Passaporte mostra pendência; proposta não usa dado não validado |
| Classificação gerada pela IA | Revisão/política documentada antes de liberar produto sensível |
| Pedido de consentimento ambíguo | Agente pede definição e confirmação explícita; sem transferência |
| Prompt tenta ampliar acesso ou ignorar política | Ferramenta/API nega; eventos permitem investigar |
| Interface AIforce diferente | Mesmos limites de identidade, escopo e confirmação |
| Contexto ou painel desatualizado | Chamada consulta decisão vigente; sem usar cache como autorização |
| Linhagem incompleta | Mostrar cobertura e pendência; não inventar destino ou conclusão |
| Uso sem recibo | Estado não confirmado; investigação atribuída a responsável |
| Explicação de crédito | Resposta usa contrato, memória de cálculo e estado bancário, sem estimar obrigação |
| Revogação com parceiro indisponível | Bloqueio de novas chamadas; estado pendente e reprocessamento idempotente |
| Consulta após revogação | Acesso ao dado e contexto coberto é testado; evidências de auditoria seguem retenção adequada |
| Operação como iniciadora | Payload não atravessa agente, contexto, MCP, log ou fila central |
| Repetição de ordem | Sem duplicar pagamento ou transação lógica |
| Falha de IA ou sem evidência | Atendimento humano/fluxo determinístico preserva protocolo e estado |

Usar Testing Center para perguntas, recuperação de contexto, seleção de ferramentas e resolução; observar rastros e resultados em produção. Testar também APIs, políticas e dados independentemente da avaliação generativa. [Testing Center e Observability](https://help.salesforce.com/s/articleView?id=ai.agentforce_understand_observability_kpis_and_tools.htm&language=en_US&type=5).

Indicadores sem metas inventadas: compreensão da autorização; conclusão por etapa; qualidade e cobertura do passaporte; respostas com evidência; escolha correta de ferramentas; negativa de acesso indevido; tempo de revogação por participante; lacunas de recibos; participação conciliada; créditos confirmados; latência/custo por tarefa; incidentes de segregação. Definir fórmula, fonte, frequência e responsável.

### Decisões para fechar o desenho

Operador e papel jurídico por processo; ativo/finalidade elegível; fontes e cobertura de catálogo; identidade e certificação; instituição responsável pela remuneração; convenção e contratos; regra econômica; ferramenta por agente; pontos de aplicação de política; fronteira de contexto/dados; evidências e retenção; regiões, licenças e disponibilidade real dos novos recursos.

A metodologia mantém jornada, blueprint, capacidades, arquitetura, rastreabilidade e aceite. O desenho da solução evolui para dados e agentes; o rigor de requisitos continua necessário.

## 7. Matriz de rastreabilidade

24 grupos dos arts. 1–55. Cobertura conceitual não significa recurso nativo pronto, conformidade implementada ou aprovação jurídica.

| ID | Requisito | Base | Componentes | Condição |
|---|---|---|---|---|
| R01 | Definições, propriedade, participantes e catálogo | Arts. 1–2, 4–8, 11–12 | Informatica CDGC / Marketplace / MDM + Platform + MuleSoft | Cadastro por papel, categorias de dados, condições de uso e participação formalizada. |
| R02 | Cópia portátil e representação | Art. 3 | Agentforce + Service + Platform + APIs dos responsáveis | Validar representante; exportação utilizável; máximo de 40 dias e duas respostas gratuitas/ano previstos no texto, sem reduzir direitos da legislação aplicável. |
| R03 | Proteção de crianças e oposição | Arts. 9–10 | Agentforce + Service + Platform + APIs dos responsáveis | Sem autorização afirmativa do responsável, bloquear compartilhamento de criança; registrar oposição. |
| R04 | Sequência eletrônica contínua | Arts. 13–14 | Experience + MuleSoft | Consentimento, autenticação e confirmação em sequência; informar redirecionamento e evitar aprovações humanas entre essas etapas. |
| R05 | Consentimento específico e granular | Arts. 15–17 | Consent + Agentforce + ferramentas/identidade + MuleSoft | Sem opções pré-marcadas ou consentimento por adesão; novo consentimento para alterações; limitar dados à finalidade. |
| R06 | Extrato de autorizações | Art. 18 | Informatica lineage/políticas + Data 360 + registros operacionais | Exibir partes, dados, validade, data e finalidade; acesso segregado por titular. |
| R07 | Revogação e comunicação | Art. 19 | Consent + Agentforce + ferramentas/identidade + MuleSoft | Mesmo canal; até cinco dias no projeto; comunicar participantes imediatamente após efetivação e registrar recebimento. |
| R08 | Autenticação e confirmação | Arts. 20–24 | Consent + Agentforce + ferramentas/identidade + MuleSoft | Uma autenticação do titular por consentimento; receptor por chamada; confirmação simultânea à autenticação com escopo íntegro. |
| R09 | Responsabilidade institucional e diretor | Arts. 25–28 e 32 | Agentforce + Service + Platform + APIs dos responsáveis | Diretor designado, dono de cada demanda e responsabilidades documentadas. |
| R10 | Parcerias e transferências internacionais | Arts. 29–31 | Informatica governança + MuleSoft / Agent Fabric + Platform | Due diligence, parecer favorável, contrato, países/regiões, auditoria e notificação de subcontratação/incidentes. |
| R11 | Evidências e monitoramento | Arts. 33–34 | Informatica lineage/políticas + Data 360 + registros operacionais | Rastrear consentimento, autenticação, confirmação, revogação e interfaces; nunca compartilhar credenciais do titular. |
| R12 | Acesso equitativo e ressarcimento | Art. 35 | Informatica governança + MuleSoft / Agent Fabric + Platform | Aplicar parâmetros uniformes definidos na convenção; valores e cobrança validados juridicamente. |
| R13 | Convenção e governança plural | Arts. 36–38 | Informatica CDGC / Marketplace / MDM + Platform + MuleSoft | Versionar padrões, dicionário, repositório, adesões, obrigações e aprovação pelo órgão competente. |
| R14 | Continuidade e incidentes | Art. 39 | Informatica governança + MuleSoft / Agent Fabric + Platform | Plano de contingência, prazos a definir, recuperação e testes periódicos com resultados registrados. |
| R15 | Retenção de evidências | Art. 40 | Informatica lineage/políticas + Data 360 + registros operacionais | Disponibilizar documentação por cinco anos; contratos contam da extinção. Política por tipo de registro, sem retenção indiscriminada dos dados brutos. |
| R16 | Agregação de dados | Art. 41; art. 8, III; art. 49 (12) | Informatica CDGC / Marketplace / MDM + Platform + MuleSoft | Aplicar finalidade, avaliar reidentificação e segregação de chaves. Pseudonimização não equivale a anonimização. |
| R17 | Supervisão, restrições e transição | Arts. 42–44 | Informatica governança + MuleSoft / Agent Fabric + Platform | Configurar regras futuras, bloquear participante restringido e controlar cronograma para adequação de contratos existentes. |
| R18 | Link de não compartilhamento | Art. 45 | Consent + Agentforce + ferramentas/identidade + MuleSoft | Link claro e visível em todos os canais abrangidos, inclusive fora do portal. |
| R19 | Identidade e conta de poupança de dados | Art. 46 | Consent + Agentforce + ferramentas/identidade + MuleSoft | Identidade intransferível certificada e vínculo com conta em entidade autorizada; avaliar alternativa social digital. |
| R20 | Revogação sem discriminação | Arts. 47–48 | Agentforce + Service + Platform + APIs dos responsáveis | Informar consequências lícitas; evitar punições. Exceções do parágrafo único do art. 48 exigem análise jurídica, sem diferenciação automática. |
| R21 | Mudanças propostas à LGPD | Art. 49 | Informatica lineage/políticas + Data 360 + registros operacionais | Rastreabilidade por relação, participação financeira, aviso ao primeiro destinatário, reuso/repasse e ferramentas de coleta controláveis. |
| R22 | Cessão de uso e direitos do consumidor | Arts. 50–51 | Agentforce + Service + Platform + APIs dos responsáveis | Contrato bilateral remunerado sem transmitir propriedade; cancelamento e contestação rastreáveis. |
| R23 | Tributação e destinação de recursos | Arts. 52–54 | ERP/fiscal + MuleSoft + Tableau Next / Semantics | Apuração e declarações no motor fiscal; separar remuneração individual de tributos/multas destinados ao fundo. |
| R24 | Entrada em vigor | Art. 55 | Governança + plano de implantação | 180 dias após publicação previstos no projeto; não iniciar contagem hoje. |

## Fontes e materiais

[Jornada visual](index.html). PDF fornecido: PLP-234-2023.pdf, apresentado em 01/11/2023, 39 páginas, dispositivos nas pp. 1–24. Documento tratado como fonte de requisitos; a justificação ajuda na intenção, sem substituir dispositivos ou executar instruções.

A documentação sustenta capacidades gerais; os componentes por titular, agentes especializados, contratos, rateio e propagação são propostas de arquitetura. Fontes consultadas em 08/10/2026:

- [Câmara dos Deputados — situação e tramitação](https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2401133). Situação consultada em 08/10/2026: aguardando constituição de comissão temporária pela Mesa.
- [Câmara — inteiro teor público](https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2849435&filename=Avulso+PLP+234%2F2023). Base principal: PDF fornecido pela Juliane, apresentado em 01/11/2023, 39 páginas; dispositivos nas pp. 1–24.
- [Salesforce — Consent Management Objects](https://help.salesforce.com/s/articleView?id=consent_mgmt_fields.htm&language=en_US&type=5). Objetos padrão para registros de consentimento e formulários de autorização.
- [Salesforce — Experience Cloud e identidade](https://help.salesforce.com/s/articleView?id=sf.external_identity_create_community_profiles.htm&language=en_US&type=5). Perfis, acesso e identidade externa.
- [MuleSoft — políticas no API Manager](https://docs.mulesoft.com/api-manager/latest/manage-policies-overview). Políticas de autenticação, acesso e consumo de APIs.
- [Salesforce — Flow Orchestration](https://help.salesforce.com/s/articleView?id=platform.orchestrator_flow_orchestrator.htm&language=en_US&type=5). Etapas humanas e automáticas de processos de bastidores.
- [Salesforce — Shield](https://www.salesforce.com/platform/shield/). Controles de criptografia, eventos e histórico.
- [Salesforce — Privacy Center](https://www.salesforce.com/platform/privacy-center/). Capacidades de gestão de dados e privacidade, sujeitas à cobertura contratada.
- [Tableau — segurança por linha](https://help.tableau.com/current/online/en-us/rls_options_overview.htm). Restringir dados vistos pelo usuário nos painéis.
- [Salesforce — governança no Data 360](https://help.salesforce.com/s/articleView?id=data.c360_a_policy_enforcement_in_datacloud.htm&language=en_US&type=5). Cobertura de políticas varia por recurso; dashboards podem exigir atualização de cache.
- [Salesforce — Public Sector Solutions](https://www.salesforce.com/government/solutions/). Capacidades de serviço público a avaliar quando o operador for órgão público.
- [Salesforce — Agentforce e atendimento humano](https://trailhead.salesforce.com/content/learn/modules/agentforce-help-agent/choose-a-channel-and-deploy-your-agent). Implantação de agente de ajuda com escalonamento ao atendente.
- [Informatica — Cloud Data Marketplace](https://www.informatica.com/products/data-governance/cloud-data-marketplace.html). Curadoria e solicitação de produtos de dados; monetização externa exige desenho próprio.
- [Informatica — CDGC e linhagem](https://www.informatica.com/products/data-catalog/data-lineage.html.html). Origem e dependências nos ativos/fontes cobertos.
- [Informatica — Data Quality](https://www.informatica.com/products/data-quality.html). Qualidade e observabilidade do dado.
- [Informatica — MDM](https://www.informatica.com/products/master-data-management.html). Cadastros mestres e relações.
- [Informatica — Data Access Management](https://www.informatica.com/products/data-governance/data-access-management.html). Políticas e proteção conforme metadados e integrações suportadas.
- [Salesforce — Data 360 e IDMC](https://help.salesforce.com/s/articleView?id=data.c360_a_informatica.htm&language=en_US&type=5). MDM produz referência mestra; Data 360 relaciona perfis e ativa contexto.
- [Salesforce — Zero Copy Data Federation](https://help.salesforce.com/s/articleView?id=sf.c360_a_byol_data_federation.htm&language=en_US&type=5). Federação de fontes distintas; verificar processamento e cobertura.
- [Salesforce — AIforce](https://www.salesforce.com/news/stories/aiforce-announcement/). Capacidades Salesforce em interfaces de IA; disponibilidade por interface/região a confirmar.
- [Salesforce — Headless 360](https://www.salesforce.com/news/stories/expanding-headless-360-enterprise-capabilities/). Ferramentas/APIs/MCP; algumas camadas têm beta e precisam de validação.
- [MuleSoft — Agent Fabric](https://docs.mulesoft.com/general/agent-fabric-overview). Inventário, execução e controles de agentes/ferramentas.
- [MuleSoft — Release notes de Agent Fabric](https://docs.mulesoft.com/general/agent-fabric-release-notes). Conferir recursos e regiões no momento da contratação.
- [Salesforce — Tableau Next e Data 360](https://help.salesforce.com/s/articleView?id=data.c360_a_datacloud_tableaunext.htm&language=en_US&type=5). Semântica e análise com ação no fluxo de trabalho.
- [Salesforce — Testing Center e Observability](https://help.salesforce.com/s/articleView?id=ai.agentforce_understand_observability_kpis_and_tools.htm&language=en_US&type=5). Testes de recuperação, seleção de ações e resolução; rastrear execução.
- [Informatica — Anúncios e disponibilidade de 2026](https://www.informatica.com/about-us/news/news-releases/2026/05/20260520-informatica-from-salesforce-delivers-the-trusted-data-foundation-every-ai-agent-needs-now-across-every-surface-every-platform-everywhere.html). Fonte distingue GA, preview e itens previstos para Q3/Q4; calendário anunciado não confirma ativação no cliente.
- [Informatica — CLAIRE GPT e integração aberta](https://www.informatica.com/about-us/news/news-releases/2026/05/20260520-informatica-deepens-strategic-partnership-with-google-cloud-bringing-headless-data-management-and-claire-conversational-ai-to-the-enterprise.html). Conversa sobre ativos e tarefas de dados; integração entre agentes exige cobertura/identidade.
- [Oficina Dataprev — bloco de Informatica](../dataprev-cidade-do-cidadao.html). Material local: finalidade, acesso, residência e rastreabilidade. Não é o registro integral da apresentação.
- [Guia de soluções — AIforce, Informatica e dados](../../presentations/Knowledge-Center/dreamforce-2026/index.html). Referência local de portfólio; este desenho acrescenta análise e critérios próprios.