# Regras Obrigatórias — Mud Sentinel

**Documento:** `governanca/01-regras-obrigatorias.md`  
**Versão:** 1.0.0  
**Status:** Vigente  
**Classificação:** Normas não negociáveis (waivers apenas por escrito com risco aceito)

---

## 1. Escopo

Estas regras aplicam-se a qualquer contribuinte (CLT, contratado, agente de IA assistindo desenvolvimento) do ecossistema Mud Sentinel.

---

## 2. Regras de produto e ética

1. **Não implementar** capacidades cujo uso primário seja vigilância ilegal, assédio ou discriminação ilícita.
2. **Toda recomendação de IA de alto impacto** deve distinguir fatos citados de hipóteses.
3. **Minimização LGPD:** coletar/armazenar apenas o necessário à finalidade declarada.

---

## 3. Regras de arquitetura

1. **Nenhum** código de domínio depende de frameworks web, ORM ou SDKs de cloud/LLM.
2. **Nenhuma** query de negócio sem `tenant_id` efetivo derivado da identidade (quando o recurso é tenant-scoped).
3. **Nenhuma** comunicação cross-módulo via tabelas internas de outro contexto.
4. **Mudança de tecnologia Core** exige ADR aprovado antes do merge.
5. **EDA** apenas conforme [política EDA](../arquitetura/06-event-driven.md); outbox obrigatório pós-commit quando aplicável.

---

## 4. Regras de segurança

1. Segredos **nunca** no git; rotação após qualquer suspeita de vazamento.
2. Autorização **sempre** revalidada no application boundary.
3. MFA obrigatório para papéis administrativos.
4. Scanners de segredo e vulnerabilidade **não** podem ser contornados no CI sem waiver registrado.
5. Acesso de suporte cross-tenant somente break-glass auditado.

---

## 5. Regras de auditoria e logs

1. Ações sensíveis **obrigam** AuditEvent (lista em política de auditoria).
2. Application logs **não** substituem auditoria.
3. PII e segredos **não** em logs.
4. Falha sistemática de escrita de auditoria é **SEV alto**.

---

## 6. Regras de engenharia

1. PR sem CI verde não mergeia em main.
2. Testes de isolamento multi-tenant não podem ser deletados sem substituto equivalente.
3. Conventional Commits + SemVer para releases.
4. Proibido `--no-verify` para contornar hooks sem autorização explícita de Tech Lead + registro.
5. Documentação fundacional é fonte da verdade até ADR substituto.

---

## 7. Regras desta fase (fundação)

1. **Não gerar código de aplicação** até abertura formal da Fase 0 de implementação.
2. **Não criar** migrations, controllers, models nesta etapa.
3. Exceções apenas por ordem explícita do product owner + arquitetura.

---

## 8. Regras de operação

1. Produção recebe apenas artefatos versionados via pipeline.
2. Mudanças manuais hot-fix em prod exigem postmortem e follow-up de automação.
3. Alertas paging devem ter runbook.

---

## 9. Enforcement

| Violação | Consequência típica |
|----------|---------------------|
| Boundary / tenant isolation | Bloqueio de PR; prioridade de correção |
| Segredo commitado | Rotação imediata + rewrite policy conforme processo segurança |
| Bypass de audit | Bloqueio de release |
| Reincidência | Escalação a liderança de engenharia |

---

## 10. Waivers

Waivers são temporários, datados, com dono, risco, mitigação e data de expiração — armazenados junto aos ADRs ou registro de risco.