Checklist de Pré-Execução — Login, Pagamento e LGPD

Referência: docs/LOGIN_E_PAGAMENTO_PLANO_TECNICO.md
Minutas legais: docs/legal/
Atualizado em: 06/10/2026

Legenda: 🔴 bloqueia o início · 🟠 bloqueia uma fase específica · 🟢 não bloqueia login/pagamento

⚠️ Nunca envie chaves, senhas ou tokens por chat. Coloque-os direto no arquivo .env do servidor (ele não vai para o git).

1. Para iniciar o desenvolvimento (fases 0 a 2) 🔴

Aprovar o início da execução do plano.
Trocar a ROUTER_KEY no painel do roteador de IA (a atual está exposta no histórico do git) e colocar a nova no .env como ROUTER_KEY=....

2. Login por e-mail (fase 1) 🟠

2.1 Provedor de e-mail

Escolher o provedor transacional: Resend · Brevo · Amazon SES.
Criar a conta no provedor escolhido.
Gerar a chave de API e colocar no .env como EMAIL_API_KEY=....

2.2 Domínio e DNS (tabieny.com)

Informar onde o domínio está registrado e quem administra o DNS (Registro.br, Cloudflare, Hostinger etc.).
Garantir acesso ao painel de DNS para incluir os registros do provedor de e-mail.
Confirmar se contato@tabieny.com já tem caixa de entrada (Google Workspace, Zoho, Hostinger etc.).
Se tiver: informar qual, para mesclar o SPF existente em vez de criar um segundo registro.

2.3 Remetente

Decidir o remetente dos e-mails automáticos (código de login, confirmação de compra):
Opção A: contato@tabieny.com direto.
Opção B (recomendada): um endereço de envio separado (ex.: acesso@tabieny.com ou contato@mail.tabieny.com) com respostas indo para contato@tabieny.com.

2.4 Hospedagem

Definir onde www.tabieny.com vai rodar (Hub Apps, VPS, outro).
Garantir armazenamento permanente para o banco de dados (SQLite) e backup diário.
Apontar o DNS de www.tabieny.com para a hospedagem e redirecionar tabieny.com → www.tabieny.com.

3. Pagamento — Asaas (fase 4) 🟠

3.1 Conta

Decidir: subconta "Tabieny" sob a Escalada Online (recomendado: separa extrato, chaves e webhook) ou conta principal da Escalada Online.
Definir o nome que aparece na fatura do cartão.

3.2 Ambiente de testes (sandbox)

Criar conta no sandbox do Asaas (sandbox.asaas.com).
Gerar a chave de API do sandbox e colocar no .env como ASAAS_API_KEY=....
Definir um token para o webhook e colocar no .env como ASAAS_WEBHOOK_TOKEN=....
(Depois do deploy) Cadastrar o webhook no painel: https://www.tabieny.com/api/webhooks/asaas.

3.3 Produção (antes do lançamento)

Gerar a chave de API de produção, dedicada à Tabieny (não reaproveitar chave de outro projeto).
Cadastrar o webhook de produção com um token novo.

3.4 Catálogo de lançamento

Confirmar quais produtos e preços entram (hoje em tools.js):

Produto	Créditos	Preço	Entra no lançamento?
Plano Essencial (mensal)	400	R$ 180	sim não alterar: ____
Plano Expansão (mensal)	1.200	R$ 490	sim não alterar: ____
Plano Santuário (mensal)	3.500	R$ 1.390	sim não alterar: ____
Pack Semente	150	R$ 75	sim não alterar: ____
Pack Presença	500	R$ 220	sim não alterar: ____
Pack Travessia	1.500	R$ 620	sim não alterar: ____
Outros (sessões, retiros, apps)			____

Formas de pagamento: Pix Cartão de crédito Boleto
Parcelamento no cartão? não sim, até ___x

3.5 Página de vendas (Caminho A)

Informar se a página de vendas já existe e onde está hospedada.
Criar os links de pagamento no Asaas (feito junto com o desenvolvimento, após o catálogo fechado).
Incluir no rodapé da página os links de Termos, Privacidade e Reembolso.
Informar se a página usa Meta Pixel, Google Analytics ou outra ferramenta de rastreamento (se sim, será preciso um aviso de cookies).

4. Regras de negócio (fases 3, 4 e 6) 🟠

Créditos de boas-vindas na experimentação: nenhum ___ créditos
O que a experimentação libera: Carta do Dia gratuita + ______
Validade dos créditos:
Plano Essencial: 60 dias (confirmar)
Plano Expansão: não expiram (confirmar)
Plano Santuário: __
Pacotes avulsos: __
Reembolso em 7 dias com créditos já usados: reembolso integral (recomendado) outra regra:__
Reembolso que deixa saldo negativo (créditos já gastos): bloquear novos gastos até regularizar (proposta) outra:__
Carência para assinatura em atraso: ___ dias
Cancelamento/remarcação de sessões pelo cliente: antecedência mínima de ___ horas para devolver os créditos
Regras dos retiros presenciais (cancelamento, reembolso): __
Idade mínima: 18 anos (proposta) outra: ___
Conta de experimentação inativa: excluir após ___ meses sem acesso (proposta: 24), com aviso prévio

5. Jurídico e LGPD (fase 6 — publicação) 🟠

5.1 Dados da empresa (controladora)

Razão social da Escalada Online: ________
CNPJ: ________
Endereço completo: ________
E-mail do canal de privacidade: contato@tabieny.com privacidade@tabieny.com

5.2 Fornecedores que recebem dados (para a Política de Privacidade)

Provedor de e-mail: __ (ver item 2.1)
Hospedagem: __ (ver item 2.4)
Provedor de IA por trás do Concierge (ROUTER_URL / modelo): __
Confirmar se ele guarda as conversas ou as usa para treinamento
Confirmar em que país processa os dados

5.3 Revisão jurídica das minutas

Enviar a advogado(a) as três minutas:
docs/legal/TERMOS_DE_USO.md
docs/legal/POLITICA_DE_PRIVACIDADE.md
docs/legal/POLITICA_DE_REEMBOLSO.md
Pontos para o(a) advogado(a) avaliar (marcados com ⚖️ nas minutas):
Se a empresa precisa nomear encarregado(a) de dados (DPO) e fazer o Relatório de Impacto (RIPD), considerando o tratamento de dados sensíveis (espiritualidade e saúde emocional)
Mecanismo para a transferência internacional de dados (IA e WhatsApp)
Reembolso com créditos já usados dentro dos 7 dias
Cláusulas de responsabilidade frente ao CDC
Uso de API não oficial do WhatsApp (risco contratual com a Meta)
Preencher todos os campos [PREENCHER] das minutas com as decisões dos itens 3 e 4.
Receber as versões finais aprovadas para publicação.

6. Itens que NÃO bloqueiam login e pagamento 🟢

Podem ser resolvidos em paralelo, para as fases seguintes.

6.1 Carta do Dia no WhatsApp (seção 15 do plano)

Escolher a API não oficial: Evolution API · WPPConnect · Z-API · Baileys · outra
Providenciar um número dedicado só para a Carta do Dia (diferente do atendimento e do grupo VIP)
Definir o horário de envio (proposta: entre 6h e 9h)
Definir o volume ou o evento que dispara a migração para a API oficial (proposta: 300–500 envios/dia ou o primeiro bloqueio)
Decidir se as cartas podem sair invertidas: sim não
Decidir se a mesma carta pode repetir em dias seguidos: sim, sorteio livre (recomendado) não, evitar os últimos ___ dias
Produzir o conteúdo das 78 cartas (nome, arquétipo, mensagem do dia, conselho; idealmente mais de uma mensagem por carta)
Definir as imagens das 78 cartas e garantir o direito de uso

6.2 CRM

Escolher o CRM: RD Station · HubSpot · ActiveCampaign · Kommo · outro
Gerar a chave de API do CRM (direto no .env)

6.3 Futuro

Login com Google
Painel administrativo visual

Resumo de prioridade

Ordem	Itens	Libera
1º	Seção 1	Fases 0–2 (segurança, base, autorização)
2º	Seção 2	Fase 1 completa (login funcionando de verdade) e deploy
3º	Seções 3 e 4	Fase 4 (pagamento)
4º	Seção 5	Fase 6 (publicação)
Paralelo	Seção 6	Fases posteriores (WhatsApp, CRM)

Arquivos de referência (gerados nesta sessão)

Arquivo	Conteúdo	Consultar quando
`docs/LOGIN_E_PAGAMENTO_PLANO_TECNICO.md`	Plano técnico completo: diagnóstico do código atual (§2), modelo de dados (§4), autenticação por código/link (§5), níveis de perfil (§6), fluxos de compra e experimentação (§7), pagamento e integração Asaas (§8), autorização (§9), LGPD e consumidor (§11.1), fases e estimativas (§12), decisões em aberto (§13), testes (§14), Carta do Dia no WhatsApp e sorteio das 78 cartas (§15)	Para entender o que será construído e por quê
`docs/CHECKLIST_PRE_EXECUCAO_LOGIN_PAGAMENTO.md`	Este checklist: tudo o que falta decidir ou providenciar antes e durante a execução	Para acompanhar pendências
`docs/legal/TERMOS_DE_USO.md`	Minuta dos Termos de Uso (natureza dos serviços, créditos, assinaturas, arrependimento, CVV/SAMU)	Na revisão jurídica e na publicação em `/termos`
`docs/legal/POLITICA_DE_PRIVACIDADE.md`	Minuta da Política de Privacidade (bases legais, dados sensíveis, fornecedores, retenção, direitos do titular) + texto do consentimento de dados sensíveis	Na revisão jurídica e na publicação em `/privacidade`
`docs/legal/POLITICA_DE_REEMBOLSO.md`	Minuta da Política de Cancelamento e Reembolso (7 dias, assinaturas, créditos, sessões, chargeback)	Na revisão jurídica e na publicação em `/reembolso`

As marcações ficam salvas apenas neste navegador.