Capítulo 20 — ECM e GED — Gestão Documental

20.1 Objetivo do Capítulo

Este capítulo detalha o módulo de Gestão Eletrônica de Documentos da Plataforma de Relacionamento Digital com o Cidadão, descrevendo como documentos são recebidos, validados, armazenados, classificados, versionados, indexados, associados a processos e solicitações, controlados quanto ao acesso e retidos conforme política institucional.

O módulo cobre tanto documentos do cidadão — enviados como parte de uma jornada de serviço — quanto documentos institucionais dos órgãos. A solução atende aos requisitos do Bloco 3 do Anexo III com capacidade própria de gestão documental, sem prejuízo da integração com soluções externas de GED/ECM quando tecnicamente justificada, conforme orientação da PRODEMGE nas respostas de esclarecimento ao Chamamento.

20.2 Papel da Gestão Documental na Plataforma

Documentos não são apenas arquivos anexados a formulários. Eles constituem evidências de processos, insumos de decisões administrativas, base de conhecimento para IA e elementos de histórico do relacionamento entre o cidadão e o órgão.

Cidadão envia documento em solicitação
    │
Document Service recebe, valida e processa
    │
    ├── Metadados registrados com hash de integridade
    ├── Arquivo armazenado em storage isolado por tenant
    ├── Pipeline assíncrono: OCR, extração, classificação
    ├── Índice de busca atualizado
    ├── Base de conhecimento de IA atualizada (se autorizado)
    └── Evento publicado no RabbitMQ
    │
Analista acessa documento durante execução do processo
    │
Download autorizado e auditado
    │
Documento associado a decisão, aprovação ou rejeição
    │
Retenção governada conforme política do tenant

20.3 Princípios da Gestão Documental

1. Separação binário / metadado — o binário do documento é armazenado em storage específico; os metadados e controles de acesso residem no banco do Document Service;
2. Integridade verificável — todo documento possui checksum registrado no momento do recebimento;
3. Versionamento sem sobrescrita — novas versões são adicionadas sem destruir versões anteriores;
4. Autorização no acesso, não na URL — o download exige autorização re-validada; uma URL conhecida não constitui permissão;
5. Pipeline de segurança no upload — arquivos passam por quarentena e validação antes de serem disponibilizados;
6. Associação explícita — documentos são vinculados a cidadãos, solicitações, processos e tarefas por referência, não por cópia;
7. Isolamento por tenant — documentos, metadados, índices e vetores de um tenant são inacessíveis por outro;
8. IA condicional — indexação para IA requer autorização explícita por política do tenant;
9. Retenção governada — cada categoria de documento tem política de retenção e exclusão definida;
10. Rastreabilidade — toda operação relevante sobre um documento é auditada.

20.4 Atores da Gestão Documental

20.5 Estrutura Funcional

O módulo de gestão documental é organizado em cinco áreas:

┌────────────────────────────────────────────────────────────┐
│  RECEPÇÃO E PROCESSAMENTO                                   │
│  Upload, validação, quarentena, pipeline assíncrono        │
├────────────────────────────────────────────────────────────┤
│  ARMAZENAMENTO E METADADOS                                  │
│  Binário em storage, metadados no banco, hash, versionamento│
├────────────────────────────────────────────────────────────┤
│  ORGANIZAÇÃO E CLASSIFICAÇÃO                               │
│  Categorias, tipos, templates de metadado, vigência        │
├────────────────────────────────────────────────────────────┤
│  RECUPERAÇÃO E BUSCA                                        │
│  Busca por metadado, texto e semântica; download autorizado │
├────────────────────────────────────────────────────────────┤
│  GOVERNANÇA E RETENÇÃO                                      │
│  Controle de acesso, auditoria, retenção, exclusão, LGPD   │
└────────────────────────────────────────────────────────────┘

20.6 Pipeline de Recepção e Processamento

20.6.1 Fluxo de Upload

Cliente inicia upload
    │
API recebe e registra operação (status: UPLOADING)
    │
Validação inicial: formato permitido, tamanho máximo, MIME verificado
    │
Arquivo movido para quarentena (status: QUARANTINED)
    │
Pipeline assíncrono (via RabbitMQ) inicia
    │
┌───────────────────────────────────────────────────────────┐
│  PIPELINE ASSÍNCRONO                                       │
│                                                            │
│  Validação de conteúdo (magic bytes / assinatura real)    │
│  Verificação de malware / conteúdo inválido               │
│  Cálculo de hash de integridade                           │
│  Extração de metadados técnicos                           │
│  OCR (quando tipo e configuração permitem)                │
│  Classificação (manual ou assistida por IA)               │
│  Indexação para busca textual                             │
│  Indexação para IA (somente quando autorizado)            │
│                                                            │
└───────────────────────────────────────────────────────────┘
    │
Arquivo disponível (status: AVAILABLE)
    │
Evento document.uploaded.v1 publicado

20.6.2 Validação de Formato

A validação não confia apenas na extensão do arquivo. A verificação utiliza:

• extensão declarada pelo cliente;
• MIME type declarado pelo cliente;
• assinatura real do arquivo (magic bytes), verificada pelo backend;
• parser do formato quando disponível (ex.: validar que um PDF está bem formado).

Um arquivo com extensão .pdf mas conteúdo de outro tipo é rejeitado.

20.6.3 Quarentena

Arquivos em quarentena não são acessíveis como documentos confiáveis. Somente após a conclusão do pipeline e validação o arquivo muda para status AVAILABLE. Falhas no pipeline registram o motivo e notificam o responsável pela solicitação quando aplicável.

20.6.4 Tipos Permitidos

A plataforma suporta: documentos em PDF, imagens digitalizadas (JPEG, PNG, TIFF), documentos em formatos de escritório (ODT, DOCX, XLSX), planilhas e outros formatos definidos por política do tenant. Tipos não permitidos são rejeitados com mensagem de erro específica.

20.7 Armazenamento e Metadados

20.7.1 Separação Binário / Metadados

O Document Service mantém separação estrita entre o binário e o metadado:

Document Service
    │
    ├── Metadata Repository (banco relacional)
    │       documentId, tenantId, type, classification,
    │       contentType, size, checksum, version, status,
    │       storageReference, associations, retention, audit
    │
    └── Binary Storage (object storage ou GED)
            tenantId/documentId/version → bytes

O banco do Document Service armazena referências — nunca o binário. Outros serviços que precisam de documentos recebem referência (documentId), não cópias do arquivo.

20.7.2 Modelo de Metadados

Document
  id                   UUID único da plataforma
  tenantId             Tenant proprietário
  ownerId              Cidadão ou órgão proprietário
  ownerDomain          Domínio de origem (CITIZEN, INSTITUTION)
  documentType         Tipo funcional (RG, CPF, Comprovante, Laudo...)
  contentType          MIME type verificado
  size                 Tamanho em bytes
  checksum             Hash de integridade (SHA-256 ou equivalente)
  storageReference     Referência ao objeto no storage
  classification       (PUBLIC, INTERNAL, CONFIDENTIAL, RESTRICTED)
  containsPersonalData boolean
  status               (UPLOADING, QUARANTINED, AVAILABLE, REJECTED,
                        DEPRECATED, DELETED)
  currentVersionId     Referência à versão ativa
  retentionClass       Classe de retenção aplicável
  createdAt
  updatedAt

DocumentVersion
  id
  documentId
  tenantId
  version              Número sequencial
  checksum
  storageReference
  contentType
  size
  createdAt
  createdBy

DocumentAssociation
  id
  documentId
  tenantId
  associatedEntityType (REQUEST, PROCESS_INSTANCE, TASK, CITIZEN, CASE)
  associatedEntityId
  role                 (ATTACHMENT, EVIDENCE, RESULT, TEMPLATE)
  createdAt
  createdBy

20.7.3 Hash de Integridade

O hash SHA-256 é calculado no momento do recebimento do arquivo pelo pipeline e armazenado nos metadados. Verificações posteriores de integridade comparam o hash calculado do arquivo em storage com o hash registrado. O hash não substitui assinatura digital — é controle de integridade técnica.

20.7.4 Versionamento

Quando uma nova versão de um documento é enviada, a versão anterior é preservada e marcada como DEPRECATED. O documento lógico (Document.id) mantém continuidade; cada versão física tem seu próprio DocumentVersion.id e storageReference. A versão ativa é controlada por currentVersionId. O histórico completo de versões é acessível por perfis autorizados.

20.8 Organização e Classificação

20.8.1 Categorias e Tipos de Documento

Categorias e tipos são configurados por tenant. Exemplos para um tenant de órgão de trânsito:

Categoria: Habilitação
  → CNH
  → Laudo Médico
  → Comprovante de Residência

Categoria: Veículo
  → CRLV
  → Nota Fiscal
  → Laudo de Vistoria

Categoria: Processos Administrativos
  → Auto de Infração
  → Recurso
  → Decisão

Cada tipo de documento pode ter: campos de metadado específicos, prazo de validade obrigatório, regra de retenção, permissão de indexação para IA e nível de classificação padrão.

20.8.2 Templates de Metadado

Templates definem quais metadados são coletados por tipo de documento. Metadados estruturados permitem busca e filtro avançados além do conteúdo do arquivo.

Exemplo de template para CNH:

numero_registro    → string obrigatório
categoria          → enum (A, B, C, D, E, AB, etc.)
data_emissao       → date obrigatório
data_validade      → date obrigatório
orgao_emissor      → string
restricoes         → text

20.8.3 Vigência e Validade

Documentos com prazo de validade são monitorados pela plataforma. O cidadão recebe alerta quando a validade se aproxima. Documentos vencidos são marcados automaticamente como EXPIRED nos metadados e não são aceitos como evidência em novas solicitações que exijam validade.

20.8.4 Classificação de Segurança

Documentos são classificados por sensibilidade: PUBLIC, INTERNAL, CONFIDENTIAL, RESTRICTED. Documentos com dados pessoais sensíveis (saúde, biometria, renda) recebem marcação adicional. A classificação orienta: acesso por perfil, criptografia em repouso, elegibilidade para indexação em IA e política de retenção.

20.9 Busca Documental

20.9.1 Busca por Metadados

Busca estruturada por: tipo de documento, classificação, situação, cidadão, protocolo, data de criação, data de validade, tenant. Esta busca retorna resultados imediatos com base nos metadados persistidos.

20.9.2 Busca Textual

Para documentos cujo conteúdo foi indexado (após OCR ou extração de texto), a busca textual cobre o conteúdo do documento além dos metadados. O índice textual é segregado por tenant — uma busca não retorna documentos de outro tenant.

20.9.3 Busca Semântica

Para documentos indexados na base de conhecimento de IA (somente quando autorizado por política do tenant), a busca semântica por similaridade está disponível. Esta busca beneficia principalmente: pesquisa em base de procedimentos e regulamentos internos; assistente de IA consultando base de conhecimento; análise de documentos similares em fluxos de análise.

20.9.4 Download Autorizado

O download de um documento exige autorização re-validada no momento do acesso:

Request GET /documents/{id}/download
    │
Autenticar subject
    │
Verificar tenant do documento == tenant do contexto
    │
Verificar permissão DOCUMENT_READ ou DOCUMENT_DOWNLOAD do perfil
    │
Verificar que o subject tem vínculo com o documento
    │
Gerar URL assinada temporária (ou stream direto)
    │
Registrar download em auditoria

URLs temporárias assinadas têm escopo por documento, expiração curta compatível com a jornada e vinculação ao subject autenticado. Uma URL conhecida sem token válido não concede acesso.

20.10 Gestão de Documentos do Cidadão

20.10.1 Documentos Pessoais

O cidadão gerencia seus documentos no portal e no aplicativo mobile:

• enviar novo documento por upload ou por captura de câmera (mobile);
• visualizar lista de documentos com tipo, validade e situação;
• baixar cópia de documento enviado;
• substituir documento por versão atualizada;
• receber alerta de vencimento próximo;
• reutilizar documento já enviado em novas solicitações sem reenvio.

20.10.2 Reutilização de Documentos

Quando uma solicitação exige documento que o cidadão já enviou anteriormente e a versão ainda é válida, a plataforma apresenta a opção de reutilizar sem novo upload. O cidadão confirma a reutilização; a associação é registrada com data de confirmação.

20.10.3 Documentos em Solicitações

Ao submeter uma solicitação, o cidadão vincula os documentos exigidos. O Document Service registra a associação entre documento e solicitação. O analista acessa o documento pelo contexto da solicitação — nunca diretamente sem vínculo autorizado.

20.11 Gestão de Documentos Institucionais

20.11.1 Documentos do Órgão

Documentos produzidos ou recebidos pelo órgão no exercício de suas funções — atos administrativos, despachos, notificações, certidões, publicações — são gerenciados com: classificação, versionamento, acesso por perfil, associação a processos e solicitações, retenção conforme política institucional.

20.11.2 Documentos de Processo

Documentos produzidos durante a execução de um processo (laudos, pareceres, decisões, certidões) são associados à instância do processo e à solicitação correspondente. O Document Service mantém o vínculo; o Workflow Service referencia por documentId.

20.11.3 Templates e Minutas

A plataforma suporta templates de documentos para geração de minutas preenchidas automaticamente com dados de variáveis do processo. A minuta gerada é armazenada como documento institucional, versão inicial, aguardando aprovação e assinatura quando aplicável.

20.12 Integração com SEI!MG

A plataforma integra o SEI!MG (Sistema Eletrônico de Informações de Minas Gerais) para trâmite documental governamental quando o processo exige.

Document Service
    │
GED Adapter (SEI)
    │
SEI!MG

Operações candidatas de integração:

• registro de processo no SEI com documentos vinculados;
• inclusão de documento em processo SEI existente;
• consulta de situação de documento no SEI;
• recebimento de documentos via SEI.

O adapter encapsula o protocolo específico do SEI. O Document Service não conhece detalhes do SEI — recebe e envia por contrato de integração abstrato. A comunicação é preferencialmente assíncrona (via RabbitMQ e Integration Service) para absorver indisponibilidades do SEI sem impactar o fluxo principal.

A integração com o PROECM (solução de gerenciamento de conteúdo da PRODEMGE) segue o mesmo padrão de adapter específico quando disponibilizada.

20.13 Inteligência Artificial e Documentos

20.13.1 Indexação para RAG

Documentos autorizados por política do tenant são indexados na base de conhecimento de IA para uso em RAG. A autorização é explícita — não existe indexação automática de todo documento disponível.

O pipeline de indexação:

document.processed.v1 publicado
    │
AI Builder verifica política de indexação do tenant
    │
Obtém conteúdo autorizado via Document Service
    │
Sanitiza (remove PII não necessário)
    │
Fragmenta (chunking configurado por tipo de documento)
    │
Gera embeddings (modelo aprovado para o tenant)
    │
Indexa no vector store do tenant (namespace isolado)
    │
ai.knowledge-indexed.v1 publicado

20.13.2 Remoção de Vetores ao Revogar Acesso

Quando um documento perde autorização de indexação ou é excluído:

document.access-revoked.v1 ou document.deleted.v1
    │
AI Builder consome evento
    │
Remove ou desativa vetores do namespace do tenant

A janela de propagação entre a revogação e a remoção efetiva dos vetores é monitorada.

20.13.3 Sumarização e Extração

O Document Service pode acionar capacidades de IA para:

• extração de campos estruturados de documentos (ex.: dados do laudo médico);
• sumarização para apresentação ao analista;
• classificação automática de tipo quando o tipo não for declarado pelo remetente.

Os resultados são variáveis de processo ou metadados do documento — não substitutos da decisão humana quando o contexto exige.

20.14 Controle de Acesso a Documentos

20.14.1 Modelo de Autorização

O acesso a um documento considera: tenant do contexto, perfil do solicitante, vínculo entre solicitante e documento (direto ou por solicitação/processo), classificação do documento, finalidade do acesso.

20.14.2 Acesso a Documentos Sensíveis

Documentos classificados como RESTRICTED ou com marcação de dados pessoais sensíveis têm controles adicionais: log de acesso obrigatório, escopo de perfis reduzido, expiração de URL temporária mais curta.

20.15 Modelo de Dados

Document                → ver seção 20.7.2
DocumentVersion         → ver seção 20.7.2
DocumentAssociation     → ver seção 20.7.2

DocumentType
  id
  tenantId
  name
  category
  metadataTemplate      (schema dos metadados específicos)
  allowedContentTypes   (lista de MIME types)
  maxSizeMb
  validityRequired      boolean
  retentionClass
  defaultClassification
  aiIndexingPolicy      (DISABLED, ENABLED, REQUIRES_APPROVAL)

DocumentMetadataEntry
  id
  documentVersionId
  tenantId
  key
  value
  extractedAt           (timestamp da extração automática, quando aplicável)
  extractedBy           (MANUAL, OCR, AI)

DocumentAccessLog
  id
  documentId
  tenantId
  subjectId
  subjectType           (USER, SERVICE, SYSTEM)
  action                (VIEW_METADATA, DOWNLOAD, APPROVE, REJECT, DELETE)
  accessedAt
  requestContext        (solicitação ou processo relacionado)

20.16 Eventos do Módulo

20.17 Integrações com Outros Módulos

20.18 Retenção e Exclusão

20.18.1 Classes de Retenção

A plataforma suporta classes de retenção configuradas por tenant e por tipo de documento:

20.18.2 Propagação de Exclusão

Quando um documento é excluído, a exclusão propaga-se:

Document deleted / retention expired
    │
Binary removed from storage
    │
Metadata marked DELETED
    │
Search index entry removed
    │
Vector entries removed or deactivated
    │
Association records preserved (para auditoria histórica)
    │
Audit record maintained (evidence of deletion)

A exclusão respeita vínculo com processos ativos. Documento associado a instância de processo ativa não é excluído automaticamente — aguarda conclusão ou cancelamento da instância.

20.18.3 LGPD e Documentos

• dados pessoais em documentos são tratados conforme finalidade declarada;
• documento contendo CPF, nome e outros dados do cidadão é classificado como CONFIDENTIAL no mínimo;
• documentos com dados de saúde, biometria ou outros dados pessoais sensíveis recebem classificação RESTRICTED;
• exclusão de dados pessoais por solicitação do titular aciona propagação completa;
• documentos com obrigação legal de retenção não são excluídos até o cumprimento do prazo legal, mesmo com solicitação do titular.

20.19 Observabilidade

20.20 Rastreabilidade com o Anexo III

O módulo atende ao Bloco 3 do Anexo III:

20.21 Benefícios do Módulo

• documentos como objetos de primeiro nível com metadados ricos, não apenas arquivos anexados;
• integridade verificável por hash desde o recebimento;
• versionamento sem perda de histórico;
• reutilização de documentos reduz atrito para o cidadão;
• pipeline assíncrono não bloqueia a jornada do cidadão;
• integração com SEI!MG e PROECM por adapter específico, sem contaminar o domínio;
• IA indexa apenas o que foi explicitamente autorizado;
• retenção governada automatiza o ciclo de vida documental;
• busca em três modalidades cobre necessidades operacionais e de IA.

20.22 Riscos e Mitigações

20.23 Decisões Arquiteturais

20.24 Considerações Finais

A gestão documental é a espinha dorsal do relacionamento entre cidadão e órgão quando há exigência de evidências formais. A separação entre binário e metadado, o pipeline de segurança, o versionamento sem perda de histórico, a autorização no acesso e a retenção governada garantem que a plataforma trate documentos com o rigor que a administração pública exige.

A integração com SEI!MG e a compatibilidade com o PROECM permitem que a plataforma componha com o ecossistema documental já existente no Estado de Minas Gerais, sem criar redundâncias desnecessárias ou dependências que fragilizem a operação.

O Capítulo 21 detalha o módulo de Comunicação Omnichannel, descrevendo templates, notificações transacionais, campanhas, preferências de canal e entrega efetiva de mensagens.

20.25 Controle de Versão

20.26 Rastreabilidade PRODEMGE

• [ANX-III] Bloco 3 — Gestão Documental e Informação: cobertura completa dos itens 3.1 a 3.8 conforme seção 20.20.
• [ANX-IV] — Capacidades técnicas de armazenamento, versionamento, busca, controle de acesso, integração com GED externo e IA documental.
• [ANX-V] — Sustentabilidade: separação binário/metadado, versionamento sem sobrescrita, adapter para GED externo, política de retenção automatizada.
• [PNR] Item 3.2.3 — Gestão Documental e de Conteúdo (ECM): armazenamento estruturado, organização e recuperação eficiente de informações digitais, conforme Plano de Negócio Referencial.
• [Resposta de Esclarecimento — Item 13] — Atendimento tanto por capacidade própria quanto por integração com SEI!MG e PROECM, conforme orientação da PRODEMGE no processo de esclarecimentos ao Chamamento.
• [EDITAL] — Edital CP001/2026: plataforma com gestão documental integrada aos fluxos de atendimento e processos de negócio.