num só livro
antes da liberação
de ocorrência
de registos
01Sumário executivo
A FloraCore é uma plataforma de operação e escrituração audit-ready por desenho para cultivo protegido. O núcleo do produto não é o sensor nem o painel: é um livro de registos append-only, encadeado por hash SHA-256, cuja adulteração é matematicamente detectável — e cuja prova pode ser feita por terceiros, fora do produto, sem nos pedir nada.
À volta desse livro orbitam as camadas que a operação precisa: rastreabilidade lote a lote, gates de qualidade, assinatura eletrónica com re-autenticação viva, telemetria por zona, gestão de cultivo, e um assistente que cita a fonte de cada resposta. Nenhuma dessas camadas escreve no livro sem passar por um gate humano.
O que distingue o produto
- Prova fora do produto. O algoritmo de encadeamento é publicado. Quem recebe um lote recalcula a cadeia com bibliotecas padrão e chega ao mesmo resultado — ou descobre que não chega.
- Mandato legal, não conveniência. O registo que a plataforma mantém é o que a norma já obriga a manter. A venda não depende de convencer ninguém do valor de "rastreabilidade".
- Falha fechada onde importa. Direito e capacidade falham fechados: sem laudo não há liberação, sem plano legível não há histórico. Observabilidade falha aberta: um sensor mudo nunca inventa leitura.
- Omissão honesta. Onde não existe fonte fiável, o produto declara a ausência em vez de preencher. Amostra é rotulada como amostra; modelo é rotulado como modelo.
- A IA propõe, o humano com papel decide. Nenhum agente escreve num sistema-verdade sem aprovação humana atribuível.
Como ler este documento
Este é um documento público: descreve invariantes de desenho e obrigações normativas, não o estado interno de nenhuma instalação. Números de estado — quantos lotes, quantos movimentos, quantos dispositivos — envelhecem entre a redação e a leitura, e por isso não aparecem aqui. O que aparece é o que continua verdadeiro depois: a regra, o limite legal e o método de verificação. Ambientes de demonstração operam com lotes DEMO; nada neste documento descreve venda real de substância controlada.
02O problema — um registo que não prova nada
Cultivo protegido e produção regulada vivem sob regimes de escrituração exigentes. Em Cannabis medicinal no Brasil, o produtor autorizado mantém um Livro de Registo Específico e cumpre o guia oficial de cultivo. Em floricultura e horticultura, o produtor de mudas e material de propagação mantém registos de produção, tratamentos fitossanitários e comercialização por anos, com emissão eletrónica e prazos fixos de entrega.
Na prática, essa escrituração é feita em folhas de cálculo e sistemas mutáveis, onde uma linha pode ser "corrigida" sem deixar rasto. Um livro em que qualquer linha pode ser reescrita não prova integridade — prova apenas o estado atual.
O risco regulatório real não é perder o dado. É não conseguir demonstrar que ele nunca foi alterado.
Corrigível sem rasto
Uma planilha aceita qualquer edição retroativa. A auditoria não pede o dado; pede a demonstração de que o dado é o mesmo de então.
O comprador não consegue verificar
Um certificado em PDF prova que alguém escreveu um PDF. Quem recebe o lote não tem como confirmar nada sem confiar em quem enviou.
Obrigações com relógio
Comunicação de ocorrência em 48 horas, consolidação trimestral, entregas semestrais em datas fixas. Prazos perdidos são o custo mais comum.
O RT responde pessoalmente
O responsável técnico assina com responsabilidade profissional própria. É ele, não o departamento de compras, quem carrega o risco do registo.
03Dois ambientes, um livro
A plataforma opera duas linhas de negócio com exigências distintas, sobre o mesmo núcleo de escrituração. A linha é um dado do cadastro da unidade de cultivo, com restrição no banco — não uma condição espalhada pelo código.
| Dimensão | FloraCore Hub AI | FloraCore Regulated |
|---|---|---|
| Público | Viveiros, floricultura e horticultura em estufa | Cultivo e produção sob regime sanitário controlado |
| Regime | MAPA · ICA · UE | ANVISA + MAPA |
| Núcleo | Operação, telemetria por zona, gémeo 3D, assistente com citação de fonte | Livro de escrituração, gates de liberação, ocorrências, consolidação periódica |
| Ensaio de THC | Não se aplica | Obrigatório por lote antes da liberação |
| Genealogia | Semente → muda → planta → expedição | Semente → muda → planta → material vegetal → droga vegetal |
| Verificação pública | Página de lote por QR, NFC ou hash colado | Página de lote + âncora pública de auditoria |
| Retenção | Conforme plano contratado | 7 anos contratuais |
Ressalva de arquitetura que não escondemos
O livro, hoje, não conhece a linha de cultivo do lote. A separação entre os dois regimes vive no cadastro e no processo, e não num gate que a imponha no próprio registo. A consequência é visível no produto: a etiqueta pública de um lote devolve a aplicabilidade do ensaio de THC como null — nem verdadeiro, nem falso — e diz por escrito que em floricultura, sob regime do MAPA, esse ensaio não se aplica. Declarar que não se sabe custa menos do que deixar o leitor supor pendência onde não há. Fechar isto exige levar o caminho lote → linha para dentro do livro, e é decisão de arquitetura em aberto.
04Arquitetura de alto nível
A premissa está invertida: o registo é imutável por construção, não por disciplina. O livro é a fonte da verdade regulatória; tudo o resto orbita à sua volta e nunca escreve nele sem gate humano. As camadas de apoio, a inteligência de mercado e a recuperação de conhecimento são deliberadamente externas ao núcleo — carregam menos peso de disponibilidade e nenhum direito de escrita.
Invariantes impostos, não aspirados
Corolário gravado na cultura do projeto
«200 não é evidência de publicação.» Um servidor que devolve a página inicial para qualquer caminho inexistente responde 200 a tudo — inclusive ao que não existe. Verificação real é olhar o conteúdo, não o código de estado. A mesma regra vale para este documento: o que aqui se afirma deve ser verificável, não aceite.
05O Livro encadeado
Cada evento de um lote é serializado numa forma canónica — a mesma ordem de campos, a mesma representação de números e datas, sempre — e o seu hash é calculado sobre esse texto concatenado com o hash do evento anterior do mesmo lote. O primeiro evento encadeia a partir de um valor de origem fixo.
O encadeamento é por lote, com sequência e hash anterior próprios. Isso não é detalhe de implementação: significa que provar um lote não obriga a publicar os eventos de todos os outros. Um comprador vê a cadeia do que comprou, e nada mais.
h(n) = SHA‑256( canónico(evento n) ‖ h(n−1) )
Só se anexa. Não existe operação de alterar nem de apagar, nem na aplicação nem no banco.
Sequência e hash anterior são do lote. Provar um lote não obriga a publicar os eventos dos outros.
Uma raiz que cobre o conjunto dos lotes é publicada fora da base — é ela que apanha um lote inteiro removido.
Verificação ao vivo
O widget abaixo executa uma cadeia de demonstração no seu navegador. Altere um evento e veja o elo partir — e todos os seguintes com ele.
O que a cadeia detecta — e o que não detecta
| Ataque | Detectado por | Estado |
|---|---|---|
| Editar um evento no meio da cadeia | Recálculo do encadeamento: o elo seguinte deixa de bater | coberto |
| Inserir um evento a meio | Sequência e hash anterior do lote | coberto |
| Apagar o fim da cadeia de um lote | Âncora publicada com a cabeça de cadeia daquele dia | coberto |
| Apagar o lote inteiro | Raiz diária que cobre o conjunto dos lotes: a raiz publicada deixa de reproduzir | coberto |
| Escrever um evento falso hoje, com hash correto | Nada, na cadeia. A cadeia prova integridade, não veracidade. | fora do escopo |
A última linha é a mais importante e a que mais raramente aparece num documento de vendas. Uma cadeia de hashes prova que o registo não foi alterado depois de escrito. Não prova que quem escreveu disse a verdade. O que ataca esse segundo problema é outra coisa: papel atribuível, re-autenticação no acto de assinar, e a responsabilidade profissional de quem assina.
06Verificação pública
A prova só vale se alguém de fora conseguir fazê-la. Cada lote tem uma página pública alcançável por três caminhos — ler o QR na etiqueta, aproximar a etiqueta NFC, ou colar o hash num campo de pesquisa. A página é de leitura, sem sessão e sem enumeração: quem não tem o identificador não descobre lotes navegando.
O suficiente para verificar
Identificador do lote, espécie e cultivar, etapa, estado do lote, cadeia de eventos com data, tipo e hash, estado do ensaio quando aplicável, e o veredito da verificação da cadeia.
O que não é do público
Nomes de pessoas, coordenadas exactas da propriedade, preços, clientes, contactos, e o mapa comercial de destinos. Campo em dúvida fica de fora — a regra precede qualquer pedido de produto.
A pergunta inversa — para onde é que este lote foi —, a que um recolhimento faz, existe mas exige sessão: é o mapa comercial da casa, não dado de etiqueta. E responde inclusive pelos descendentes, porque material dividido e vendido pelos filhos saiu do mesmo lote. Os destinos que a escrituração não nomeia aparecem separados dos identificados, em vez de somados num total único — esconder essa parte seria a forma mais cara de errar aqui.
Porque é que isto importa comercialmente
Um certificado em PDF prova que alguém escreveu um PDF. Uma página de lote que o comprador verifica sozinho transfere a confiança do vendedor para a matemática — e transforma um custo de conformidade num argumento de venda que o concorrente com folha de cálculo não consegue igualar.
07Gates de liberação
Na linha regulada, a liberação de droga vegetal — venda, transferência, exportação, fabrico de insumos — exige laudo de THC aprovado. Um laudo acima de 0,3 % torna o lote CONTIDO: nenhum movimento passa, com excepção de inutilização, destruição e colheita de amostra, e a resposta já traz as obrigações com prazo de 48 horas.
Registar não é decidir
A ligação dos ensaios ao gate veio antes do critério de propósito: para que o limite, quando chegar do texto oficial, não exija mexer no caminho crítico do livro com pressa regulatória em cima. Um sistema que marca APROVADO por não ter critério cadastrado é pior que um sistema que não avalia — porque parece que avaliou.
08Conformidade — exigência, origem, controlo
Cada controlo existe porque uma norma o exige, e a norma está citada. A tabela é o que um avaliador pede primeiro: não o que o sistema faz, mas a que obrigação cada função responde.
| Exigência | Onde nasce | Controlo na plataforma |
|---|---|---|
| Escrituração imutável e contemporânea | Anexo XVIII Port. SVS/MS 344/98 | Livro append-only, encadeamento SHA-256 e gatilhos de imutabilidade no banco |
| Detecção de adulteração | ALCOA+ / GxP | Verificação de cadeia por lote + âncora pública diária |
| Ensaio de THC por lote antes da liberação | RDC 1.012 / 1.013 + guia oficial de cultivo | Gate bloqueia saída sem laudo ≤ 0,3 % |
| Contenção, acção corretiva e inutilização | idem | Lote CONTIDO; só saídas de contenção passam; liberação excepcional exclusiva do RT |
| Comunicação à autoridade em 48 h | idem | Relógio de 48 h por tipo de ocorrência; laudo reprovado abre ocorrência sozinho |
| Consolidação periódica de produção e estoque | idem | Consolidação por categoria, material e unidade, com prazo |
| Rastreabilidade lote a lote | item 7.3 do guia | Genealogia encadeada, sem ciclos, corrigível por anulação — o vínculo errado continua visível para a auditoria |
| Registo atribuível e assinado | estilo Part 11 | Papel + re-autenticação viva no acto + manifesto imutável com hash do conteúdo assinado |
| Retenção de registos por 5 anos | IN MAPA 24/2005 item 5.2 XII | Retenção contratual de 7 anos, como compromisso e não como configuração |
| Emissão eletrónica e identificação por QR | INC MAPA/SDA 02/2018 art. 6 e 9 | Página pública de lote por QR, NFC ou hash colado |
| Registo de aplicação fitossanitária | IN MAPA 33/2016 art. 24 X | Dose, data e período de carência escriturados no evento |
| Passaporte fitossanitário | Reg. (UE) 2016/2031 | Em preparação — o formato de etiqueta e o mapeamento de campos ainda não estão implementados |
Nota de honestidade regulatória
O catálogo de tipos de ocorrência contém os itens verificados nas fontes disponíveis e é extensível por desenho; a intenção declarada é completá-lo item a item contra a íntegra do texto oficial, sem refactor. E há requisitos hoje catalogados como bloqueantes que ainda não bloqueiam acto nenhum. O sistema publica essa lista sob esse nome, com o aviso de que catalogado não é aplicado, em vez de exibir uma conformidade que o gate não impõe.
09O que o produto não finge
A integridade não é só o encadeamento; é uma postura de produto. Onde não existe fonte fiável, o sistema declara a ausência em vez de preencher — e o mesmo vale para o que falta ao próprio sistema.
Estado, não último valor
Uma zona sem leitura mostra "sem leitura", com a idade do último dado. Repetir o valor antigo como se fosse actual é a mentira mais fácil de contar num painel.
Com caminho e prova
As lacunas medidas contra o próprio código são publicadas com nome e local, e fechadas por um conferidor que corre na integração contínua — não por afirmação.
Quem decide, não a engenharia
Decisões que dependem de dono, jurídico, contabilidade ou laboratório ficam numa lista própria, para não serem confundidas com dívida técnica.
Lote DEMO é DEMO
O que aparece como real é real e rastreável à fonte pública; o que é amostra vem carimbado. Amostra nunca é reetiquetada como operação.
Algoritmo anunciado tem de ser o algoritmo executado
Uma secção que descreve o que vai mudar lê-se, de relance, como descrição do que é — e o leitor apressado implementa a tabela dos tipos novos. Por isso, neste documento e na documentação do formato, o que corre hoje leva marca explícita, e o que está em preparação leva-a no corpo do texto e não apenas no título. Publicar um formato que o produto não usa é o mesmo defeito que publicar um algoritmo diferente do executado: quem verificar de boa-fé chega a um resultado errado e conclui que o nosso registo está partido.
10Segurança e privacidade
Cópias de segurança e o que elas não protegem
Uma cópia local protege contra remoção de volume e corrupção lógica. Não protege contra a perda do servidor, nem contra uma credencial comprometida que apague as cópias com a mesma mão que as escreve. Por isso a cópia fora do anfitrião, imutável por retenção obrigatória e fora do alcance da credencial que corre a cópia, é pré-requisito duro de produção — e não um item de melhoria contínua. Pelo mesmo motivo, a raiz diária é publicada num sítio independente do sistema que a gera: uma âncora guardada apenas onde vive o dado não é âncora.
11Produtos e planos
Dois produtos sobre o mesmo núcleo. O primeiro cobre operação e escrituração de viveiro e estufa; o segundo acrescenta os gates, as ocorrências com prazo e a retenção contratual que o regime sanitário exige.
| Plano | Sítios | Dispositivos | Retenção | Mensal |
|---|---|---|---|---|
| Free avaliação sem cartão | 1 | 3 | 30 dias | €0 |
| Grower produtor individual | 1 | 25 | 12 meses | €29 |
| Hub Starter | 1 | 60 | 3 anos | €49 |
| Hub Growth o mais escolhido | 3 | 200 | 5 anos | €149 |
| Hub Scale | 10 | 750 | ilimitada | €299 |
| Regulated regime sanitário | 1 · +€199/sítio | 300 | 7 anos contratuais | €399 |
Preços em euros, sem IVA, referentes a setembro de 2026; no Brasil e na Colômbia a faturação é em moeda local. O plano anual equivale a dez mensalidades. Os créditos de IA contam por acto — alerta ou resposta de texto, análise de imagem, corrida de raciocínio — e uma geração falhada nunca debita. A tabela vigente é a do site; esta reproduz-se aqui para leitura, não para citação contratual.
12Roadmap e contacto
Prova fora do produto
Raiz diária publicada em dois fornecedores independentes, com verificação cruzada de destinos; formato de evento canónico versionado e com vectores de teste congelados; página pública de lote em produção.
Critérios e passaporte
Dicionário de limites de aceitação a partir de texto oficial; caminho lote → linha dentro do livro; passaporte fitossanitário da UE com formato de etiqueta e mapeamento de campos.
Endurecimento
Um segredo por sistema; manual de operação cobrindo subida, migração, recuperação de desastre, rotação e incidente; cópia fora do anfitrião imutável como pré-requisito de entrada.
Assinatura qualificada
Assinatura qualificada com certificado reconhecido, e ampliação do monitor de mercado sobre dados públicos comerciais, dentro do escopo legal gravado.
Contacto
- Comercial e parcerias — através do formulário em floracore.plimlab.ch
- Verificação de um lote — leia o QR da etiqueta, aproxime a etiqueta NFC, ou cole o hash na página pública de lote
- Segurança — comunique falhas de integridade ou de verificação pelo mesmo canal, com o identificador do lote e o hash observado
Base normativa citada neste documento: RDC 1.012 e 1.013 e o guia oficial de cultivo de Cannabis (ANVISA/MAPA); Anexo XVIII da Portaria SVS/MS 344/98; Instrução Normativa MAPA 24/2005; Instrução Normativa Conjunta MAPA/SDA 02/2018; Instrução Normativa MAPA 33/2016; Regulamento (UE) 2016/2031. As citações identificam a obrigação; a interpretação aplicável a cada operação é do seu responsável técnico e do seu jurídico.