Gestão Documental

Gestão Documental é o GED arquivístico do PowerP: o lugar onde a instituição guarda os documentos que um dia vai precisar apresentar a um fiscal do MEC, a um juiz ou a um auditor. O módulo não é uma pasta de arquivos. É uma infraestrutura de prova, construída sobre três regras que nada dentro dele contraria.

• O arquivo é a prova; o banco é o índice. Cada versão de um documento é um arquivo imutável, com o hash SHA-256 recalculado pelo servidor. Corrigir é gravar uma versão nova com linhagem, nunca sobrescrever.
• Nada se elimina fora do rito. O único caminho que apaga um arquivo é a listagem de eliminação aprovada por uma pessoa diferente de quem a propôs, com prazo de guarda vencido, sem bloqueio legal e com termo de eliminação assinado. O registro do documento sobrevive: existiu, com este hash, foi eliminado em tal data por tal listagem.
• Todo ato deixa rastro que não se reescreve. Arquivar, consultar o conteúdo, reclassificar, assinar, bloquear, eliminar e exportar viram eventos de uma trilha encadeada por hash. Suprimir ou alterar um evento quebra a cadeia, e a quebra é detectada por verificação periódica.

Em cima disso o módulo entrega o que a legislação pede: plano de classificação com tabela de temporalidade, digitalização conforme o Decreto 10.278/2020 (metadados obrigatórios, conferência técnica, assinatura com o certificado ICP-Brasil da instituição), dossiês por aluno, funcionário ou contrato, bloqueio legal, eliminação com dupla aprovação, verificação de integridade dos arquivos, exportação do acervo para fiscalização e relatórios de situação, conversão e dados pessoais.

O módulo é genérico, organizado por perfis. O acervo acadêmico das instituições de ensino superior (Portarias MEC 315/2018, 360/2022 e 613/2022, com o Código de Classificação e a Tabela de Temporalidade da Portaria AN/MJ 92/2011) é o primeiro perfil; RH, contratos e licitações usam a mesma base. O que o módulo garante é o que é código: imutabilidade, hash, assinatura, trilha, temporalidade e fixidade. Ele não se declara, por si só, um repositório certificado: réplica, backup verificado e comitê gestor são operação da instituição, tratados como pré-requisito de implantação.

Perfil de temporalidade

Pacote de configuração por domínio (acadêmico, genérico, próprio da instituição). Um perfil é dono de um plano de classificação e de um conjunto de tipos documentais. A instituição pode ter vários perfis ativos. O perfil do sistema existe sempre e guarda os termos que o próprio módulo emite.

Plano de classificação

A árvore de classes, cada uma com código hierárquico (por exemplo 125.43), nome e nota explicativa. Nem toda classe recebe documento: as agrupadoras só organizam a árvore. Toda classe que recebe documento carrega a sua temporalidade.

Tabela de temporalidade

Para cada classe: o prazo da fase corrente, o prazo da fase intermediária, o prazo total de guarda, o gatilho que dispara a contagem (data de produção, fim do vínculo do aluno, desligamento do funcionário, fim do contrato ou um evento informado à mão), a destinação final (eliminação ou guarda permanente) e as observações do instrumento oficial.

Tipo documental

Espécie mais função: Histórico escolar, Contrato de trabalho, Atestado médico. Define a classe sugerida, o gênero (textual, iconográfico, cartográfico), os campos específicos que o formulário pede, se o documento exige digitalização conforme, os formatos aceitos e a base legal e a categoria do dado pessoal.

Documento e versão

O documento é a unidade arquivística: número sequencial, tipo, classe, título, assunto, autor, datas, origem (nato-digital ou digitalizado) e campos específicos. Cada versão é um arquivo gravado uma única vez: a versão 1 é o original enviado; a versão 2 é a derivada assinada, que aponta para a original.

Dossiê

O agrupamento em torno de uma pessoa ou caso: o aluno, o funcionário, o contrato ou um assunto avulso. É no dossiê que mora o marco da temporalidade (“o vínculo acabou em tal data”) e o titular dos dados pessoais.

Fixidade

A releitura periódica de cada arquivo guardado para conferir que o hash continua o mesmo. Sucesso também é evidência; divergência bloqueia o conteúdo e alerta, nunca conserta em silêncio.

Trilha

A lista de atos arquivísticos, em ordem, que não se altera nem se apaga, encadeada por hash numa cadeia única por instituição.

Tudo começa na área Configuração, em três telas: Perfis de temporalidade, Plano de classificação e Tipos documentais. A instituição nasce só com o perfil do sistema; o primeiro passo é ativar um perfil de fábrica.

Perfis

A tela de perfis mostra o catálogo de fábrica com a situação de cada um. Ativar copia classes e tipos para a instituição. A cópia é da instituição: pode ser editada, desativada e acrescida à vontade. Atualizar para uma versão nova só acrescenta o que ainda não existe e nunca altera uma linha já copiada. O perfil genérico traz classes e tipos de exemplo; o perfil acadêmico é a transcrição, com dupla conferência humana, do Código de Classificação e da Tabela de Temporalidade da Portaria AN/MJ 92/2011.

O plano e a temporalidade

O plano aparece em linhas com recuo por profundidade, com busca por código ou nome e o formulário da classe ao lado. A árvore vai até oito níveis; mover uma classe é trocar a classe superior. Os prazos são digitados em anos ou meses; campo vazio significa “não se aplica”, nunca zero. A data prevista de destinação é calculada assim: o marco é a data do gatilho; o fim da fase corrente é o marco mais o prazo corrente (sem prazo, é o próprio marco); o fim por fases soma a intermediária; o prazo total, quando existe, conta da data de produção; vale a maior das duas datas. Sem marco resolvido (aluno ainda matriculado), o documento fica na fase corrente indefinidamente: é o “enquanto o aluno mantiver o vínculo” da Tabela. As observações da classe são de cumprimento obrigatório e aparecem em destaque na classe, no documento e em cada item da listagem de eliminação; o sistema as exibe, não as interpreta. Mudar a temporalidade de uma classe recalcula a data prevista dos documentos não eliminados dela e fica na trilha com o antes e o depois.

Tipos documentais

O formulário do tipo tem cinco seções: Identificação, Classificação e gênero, Digitalização, Campos específicos e LGPD. Os campos específicos (chave, rótulo, tipo, obrigatório, opções) viram o formulário dinâmico do documento e o filtro da busca. Base legal e categoria de dado pessoal são obrigatórias; a categoria sensível passa a exigir uma permissão própria para abrir o conteúdo. Tipo ou classe em uso não se exclui: desativa-se, e o que já foi arquivado continua valendo.

Um documento entra no acervo por dois caminhos. Os módulos do PowerP arquivam sozinhos, sem tela, o PDF que acabaram de gerar: o documento nasce nato-digital, já no dossiê. O operador usa o assistente de arquivamento em Documentos, em cinco passos até o Acompanhamento. O estado inicial é sempre na fila, nunca “sucesso”: o desfecho chega como pronto, quarentena (arquivo diferente do declarado ou formato não aceito) ou falha.

O que o Decreto 10.278/2020 exige

Para o papel escaneado produzir os efeitos do original, o módulo pede os metadados do Anexo II (título, autor, assunto, data, hora e local da digitalização, responsável, classe, gênero, prazos e destinação) e confere os padrões do Anexo I conforme o material de origem:

A régua aparece na tela antes do envio; a conferência é do servidor, página a página. Por padrão a não conformidade não bloqueia: o documento entra com os achados registrados e aparece no relatório de não conformes. O tipo documental pode exigir conformidade; aí a versão vai para quarentena e nada é assinado.

Assinatura, lote e termo

Os metadados são gravados dentro do PDF antes da assinatura, que assim cobre documento e metadados. A assinatura é PAdES, com carimbo do tempo por padrão, feita com o certificado ICP-Brasil da própria instituição, cadastrado por unidade em Certificados. O original enviado fica como versão 1; o assinado vira a versão 2. Editar o cadastro depois não mexe no PDF: a tela oferece Reassinar.

O lote de digitalização guarda local, equipamento, responsável e material padrão, preenche o Anexo II de cada versão enviada por ele (até 2.000 por lote) e, ao fechar, gera o Termo de Digitalização: PDF/A assinado que lista cada documento com os hashes e a conferência, arquivado como documento permanente.

O destino do original físico é registrado no documento. Descartá-lo só é aceito com a versão assinada e conforme, classe que não é de guarda permanente nem de valor histórico (Portaria MEC 613/2022), tipo que não é documento de identificação e sem bloqueio legal. A cópia de RG ou CNH integra o dossiê, mas não se equipara ao original.

O documento passa por fases: rascunho, ativo (fase corrente), intermediário, aguardando destinação e, no fim, permanente ou eliminado. As passagens de fase acontecem sozinhas, comparando as datas calculadas com o dia de hoje no fuso da unidade.

O marco mora no dossiê

O gatilho dominante é um evento da pessoa, não a data do papel. Fechar o dossiê (informando a data do fim do vínculo, nunca futura) dá o marco a todos os documentos dele cuja classe conta a partir desse evento e recalcula as datas. Reabrir exige motivo e desfaz o marco dos que ainda não foram eliminados, que voltam à fase corrente.

Bloqueio legal

Em Bloqueios legais, uma determinação administrativa ou judicial impede a eliminação de um documento ou de um dossiê inteiro; aplicar e liberar exigem motivo. O bloqueio impede entrar em listagem, ser eliminado e descartar o original físico. Não impede leitura nem a passagem de fase: o relógio continua, e quando o bloqueio cai o documento vencido entra na próxima listagem.

A listagem de eliminação

É elegível o documento aguardando destinação, com destinação eliminação, data prevista vencida, sem bloqueio legal e fora de outra listagem viva. O módulo monta, por unidade, uma listagem em rascunho com até 500 itens; cada item fotografa número, título, tipo, classe, datas, observações da classe e hash. O rito, na tela Eliminação:

1. Revisar e propor: retirar itens (a observação da classe pode mandar guardar), acrescentar elegíveis e propor.
2. Aprovar ou rejeitar: só quem tem a permissão e não é quem propôs; para quem propôs, os botões ficam desabilitados com a explicação. Rejeitar e cancelar exigem motivo.
3. Carência opcional entre aprovar e executar, para quem publica edital de ciência de eliminação (Resolução Conarq 40/2014).
4. Executar: cada item é reconferido na hora; o que deixou de ser elegível (bloqueio novo, reclassificação, dossiê reaberto) sai como pulado, com o motivo.
5. Termo de Eliminação: PDF/A assinado com o certificado da unidade, arquivado como documento permanente, com o hash da cabeça da trilha naquele instante.

A eliminação apaga os arquivos; ficam o registro do documento, as versões com os hashes, o item, a listagem, o termo e a trilha. Quem pedir o conteúdo é informado da eliminação, com data e listagem. O original físico ainda guardado é listado no termo como suporte físico a eliminar: o módulo registra, a instituição executa.

A trilha

Cada ato arquivístico (arquivar, acessar o conteúdo, reclassificar, assinar, bloquear, eliminar, exportar, verificar, configurar) vira um evento que não se altera nem se apaga: banco e aplicação recusam alteração e exclusão. Cada evento carrega o hash do anterior, numa cadeia única por instituição, e não por documento: apagar um documento com todos os eventos dele passaria despercebido em cadeias por documento; numa cadeia única, qualquer supressão quebra tudo o que vem depois. O evento guarda quem praticou, IP, navegador, finalidade e os dados que reconstituem o ato, sem texto livre com dado pessoal.

A verificação da cadeia roda todo dia, de forma incremental, e a cadeia inteira a cada 30 dias. O laudo fica gravado: íntegra, quebrada (com a posição da quebra) ou com lacuna. Para que ninguém possa truncar o fim da cadeia reescrevendo o banco, a cabeça da trilha é publicada fora dele: no log de cada verificação, em todo Termo de Eliminação e no manifesto de toda exportação. Cadeia quebrada é alerta crítico; nada é consertado.

A tela Trilha abre com a situação da cadeia (último ato e últimos laudos) e a lista de atos do mais recente ao mais antigo, com filtro por tipo, sujeito, ator, documento e período. O detalhe do ato mostra os dados, o hash, o hash anterior e a reconferência feita pelo servidor. Verificar a cadeia aceita uma faixa e produz um laudo; a verificação manual entra na trilha como ato. A trilha não tem criar, editar nem excluir.

Fixidade dos arquivos

Cada arquivo pronto é relido periodicamente (por padrão a cada 365 dias) e o hash é comparado com o registrado. Íntegro: evento “verificado e íntegro em tal data”. Hash ou tamanho diferente, ou arquivo ausente: a versão fica corrompida, o hash registrado permanece, o conteúdo deixa de ser servido e sai alerta crítico. Restaurar é operação: depois que o backup recoloca o arquivo, Verificar integridade na seção Versões relê, e se o hash confere a versão volta a pronta. O módulo nunca aceita um hash novo para um arquivo existente; fixidade atrasada também alerta.

Acesso ao conteúdo é ato registrado

Visualizar e Baixar pedem uma URL de cinco minutos no clique, nunca por linha de listagem. Cada pedido grava quem, quando, de onde e, para tipo sensível, a finalidade informada antes de abrir; tudo aparece na Linha do tempo do documento e no relatório de acessos.

Exportação do acervo

Em Exportações, a instituição pede o pacote de um dossiê ou de todo o acervo de uma unidade, informando a finalidade: é o insumo para fiscalização, auditoria, transferência de mantença ou encerramento da instituição (Portaria MEC 315/2018). O pacote sai em volumes ZIP com um manifesto que lista, por documento, metadados, classe e temporalidade, dossiê, versões com tamanho e SHA-256, situação da assinatura e da conformidade, os eventos da trilha desses documentos e a cabeça da trilha. Ao concluir, o termo de exportação (PDF/A assinado) é arquivado como documento permanente.

Cada download é evento e traz tamanho e SHA-256 para conferir. O pacote vive por um prazo configurável (sete dias por padrão); vencido, os volumes são apagados e ficam o registro, os hashes e o termo. O pacote nunca finge estar completo: documento sensível só entra se quem pediu tem a permissão, e os omitidos são contados; versão corrompida, em quarentena ou eliminada entra no manifesto sem arquivo, com o estado e o hash.

Relatórios

Todos em Relatórios, dentro das unidades de quem consulta; um número clicável abre a grade de Documentos com o filtro pronto.

• Situação do acervo: documentos e bytes por estado, origem, assinatura e conformidade; fila, quarentena e corrompidos; fixidade em dia; bloqueios ativos; última verificação da cadeia.
• Conversão do acervo: em que pé está a digitalização exigida pela Portaria MEC 360/2022, por coorte de alunos, com o prazo legal de cada uma, a meta e o realizado; a subclasse 125.4 em destaque.
• Inventário: por classe, tipo, unidade, origem e ano de produção.
• Não conformes: o que foi digitalizado fora do Anexo I, por regra, tipo e lote; assinaturas pendentes, falhas ou adiadas.
• Previsão de destinação: o que vence nos próximos 12 meses, por mês, classe e destinação, mais o vencido e o retido por bloqueio.
• Originais físicos descartáveis: os papéis que já cumprem as quatro condições de descarte, e quantos faltam por condição.
• Acessos ao conteúdo: quem visualizou ou baixou o quê, por período.
• Dados pessoais por titular (LGPD): os dossiês e documentos de uma pessoa, com base legal, categoria, prazo e destinação, sem conteúdo; exige permissão própria e deixa rastro.

Como o sistema não sabe quantas pastas de papel existem no arquivo morto, a instituição informa em Metas de conversão quantos dossiês precisam ser convertidos por unidade e coorte.

Permissões

O módulo é licenciável e aparece no menu como o grupo Gestão Documental: Documentos, Dossiês, Lotes de digitalização, Bloqueios legais, Eliminação, Exportações, Relatórios, Trilha e Configuração (Perfis, Plano de classificação, Tipos documentais, Certificados, Metas de conversão). Cada tela tem a sua permissão de acesso, que dá a leitura; criar, editar e excluir são permissões separadas. Quem tem só o acesso à tela vê tudo em consulta, com o rodapé só com Voltar.

Algumas permissões são alçada: baixar ou visualizar conteúdo; abrir conteúdo de tipo com dado sensível; aprovar ou rejeitar listagem de eliminação (quem propôs nunca aprova, mesmo com a permissão); o relatório de dados pessoais por titular. Documentos, dossiês, lotes, bloqueios, listagens, certificados e exportações pertencem a uma unidade, e o usuário só enxerga o que é das unidades a que tem vínculo; o plano de classificação e os tipos documentais são da instituição inteira. Ação barrada por regra de negócio fica desabilitada com o motivo à vista, nunca some.

Configurações

Nível da assinatura (com ou sem carimbo do tempo) e endereço da autoridade de carimbo; local padrão de digitalização por unidade; teto de tamanho por arquivo; geração automática das listagens; carência entre aprovação e execução; antecedência do aviso de documentos a vencer; cadência da fixidade; vida do pacote de exportação; e os e-mails da operação que recebem os alertas (listagem aguardando aprovação, documentos a vencer, assinatura que falhou, certificado a vencer, fixidade reprovada, cadeia quebrada). Sem e-mail, o alerta fica na trilha e na tela.

Integrações com outros módulos

• Módulos que geram documento (Educacional, Recursos Humanos, Financeiro): arquivam o PDF direto no dossiê do aluno, do funcionário ou do contrato, sem tela, e informam o fim do vínculo que fecha o dossiê. Se o PDF já chega assinado (um contrato selado pelo MySign), o módulo registra a assinatura encontrada e não reassina.
• Global: as unidades (todo documento pertence a uma) e as pessoas (o titular do dossiê vem do cadastro de pessoas; pessoa inativa não pode ser titular).
• Assinatura de PDF da plataforma: assina as versões digitalizadas e os termos com o certificado da instituição, guardado em cofre; arquivo e senha nunca ficam no módulo.
• Auditoria do PowerP: a trilha registra os atos arquivísticos; a auditoria geral continua registrando quem alterou qual campo dos cadastros.