A solução completa que imaginamos

Duas palavras que não cabem no mesmo banco de dados.

Auditorias de tribunais de contas dizem, com todas as letras, que falta na rede de proteção uma “base eletrônica unificada e sigilosa”. O pedido parece simples. Ele é impossível do jeito comum.

Por que ninguém resolveu isso ainda

	Unificada	Sigilosa
Os sistemas de hojeSIPIA, SINAN, Prontuário SUAS, Educacenso	não — cada um enxerga um pedaço	sim
Um banco central únicoa saída “óbvia”	sim	não — alguém passa a ver o risco de toda criança do país
A nossa proposta	sim — os sinais se cruzam	sim — ninguém precisa ver nada

Unificar exige juntar tudo em um lugar. Juntar tudo em um lugar destrói o sigilo. É por isso que o problema continua aberto há décadas — não por falta de vontade nem de dinheiro. Só existe uma saída: fazer a conta sem abrir os dados.

As duas ideias que tornam isso possível

FHE · CRIPTOGRAFIA QUE DEIXA CALCULAR

Somar envelopes lacrados sem abrir nenhum.

Imagine que cada órgão escreve um número num papel e fecha num envelope. Normalmente, para somar, é preciso abrir todos. Com essa criptografia dá para somar os envelopes fechados e receber um envelope com o resultado certo dentro. Quem fez a conta não viu nenhum número.

É o que permite descobrir que a UBS e a escola viram sinais sobre a mesma criança — sem que a UBS saiba o que a escola registrou, sem que a escola saiba da UBS, e sem que o sistema no meio saiba de nada.

Escolhemos essa técnica, e não outra parecida, por um motivo prático: uma UBS, uma escola e um CRAS nunca vão estar ligados ao mesmo tempo. As alternativas exigem todo mundo online conversando ao vivo. Esta funciona com cada um mandando seu envelope quando puder.

ZK · PROVA QUE NÃO REVELA

Provar que você sabe a senha sem dizer a senha.

Dá para provar que uma afirmação é verdadeira sem mostrar por quê. O verificador fica convencido e não aprende mais nada além do “é verdade”.

Serve para o problema que mais trava a rede hoje: o professor que desconfia e não denuncia com medo de retaliação. Com isso ele prova que é um professor daquela escola — logo a denúncia vale — sem que ninguém descubra qual professor foi.

Tem um efeito colateral importante: uma prova dessas continua sem revelar nada mesmo daqui a 50 anos, contra qualquer computador. Guardar prova é seguro para sempre. Guardar segredo trancado, não.

Como funciona, do começo ao fim

1 · Os órgãos

UBS, escola e CRAS mandam um sinal cifrado, ligado a um apelido da criança. O nome, o prontuário e o relato ficam onde sempre estiveram.

↓→

2 · A conta às cegas

Um serviço soma os sinais sem abrir nenhum. Ele não tem a chave. Nem sabe de que criança se trata: só vê apelidos.

↓→

3 · O alerta

Se dois ou mais sinais coincidem, sai um alerta. Um só sinal não vira nada — e nada é registrado.

4 · O caso nasce

Gravado na Solana com um órgão responsável e um prazo. Quem grava é quem fez a conta — o responsável não precisa concordar, senão bastaria ele não assinar para o caso nunca existir.

↓→

5 · O repasse

Passar adiante tem dois passos. Até o outro órgão confirmar que recebeu, o caso continua sendo de quem passou, com o prazo correndo contra ele.

↓→

6 · A cobrança

Prazo vencido sem ninguém aceitar, o caso vai para o Ministério Público. Qualquer pessoa pode acionar — nenhum dos envolvidos consegue segurar.

Em paralelo, a denúncia protegida. Um profissional pode acionar a rede provando que tem o direito de denunciar, sem se identificar. A denúncia entra no mesmo fluxo e ganha prazo e responsável, como qualquer outra.

O que vai para a blockchain, e por quê

VAI PARA A REDE

Quem é o responsável — a chave pública do órgão
Desde quando e até quando — abertura e prazo
Para quem foi passado, e se já aceitou
Um resumo de quem responde — cargo e matrícula viram um número; o nome fica fora
O encadeamento dos passos — cada um embaralha o anterior junto
Quem deu sinal de vida no período, e quem não deu

São 156 bytes por caso, num espaço de tamanho fixo. Não cabe mais nada nem se alguém quisesse colocar.

NÃO VAI, EM NENHUMA HIPÓTESE

Nome, CPF ou endereço de qualquer criança
O que foi observado — lesão, falta, relato
Diagnóstico, laudo ou parecer
Quem denunciou
O apelido usado no cruzamento
Os envelopes cifrados — nem eles

Nem cifrado. O registro é permanente e não dá para apagar. A criança de hoje ainda vai ser adulta por uns 80 anos. Guardar hoje um segredo trancado é apostar que a fechadura resiste esse tempo todo — e quem quiser é só esperar.

Reduzindo ao osso: o que vai para a rede é quem é o responsável, desde quando, até quando, e quem não apareceu. Um banco de dados comum guardaria isso sem dificuldade. O problema não é guardar — são estas três coisas:

O registro é contra quem guardaria o banco

A informação “o órgão deixou o prazo vencer” ficaria num sistema da mesma prefeitura que emprega esse órgão. Apagar uma linha não deixa rastro. Aqui não existe quem hospeda — logo, não existe quem apaga.

Cada passo é assinado, e assinatura não se desdiz

“O CREAS assumiu às 15h59” não é afirmação do nosso sistema: é uma frase que o CREAS assinou com a chave dele. Ele não pode depois dizer que o sistema anotou errado. Num banco comum, quem fez o quê é um campo que o administrador preenche.

A ida ao Ministério Público é código, não rotina

Num sistema comum, “escalar após o prazo” é uma tarefa agendada que alguém com acesso desliga. Aqui é regra do programa: vencido o prazo, qualquer pessoa aciona, e nenhum dos envolvidos consegue impedir.

O efeito prático de tudo isso: um promotor, um vereador ou um jornalista confere sozinho — sem pedir acesso a sistema nenhum, e sem precisar confiar em quem seria cobrado.

O que assumimos que não resolvemos

Se alguém escrever uma mentira no registro de origem, nada disso corrige. O que garantimos é outra coisa, e é a que falta hoje: que o registro exista, que ele tenha dono, que o prazo seja público e que ninguém consiga apagar o rastro depois. O problema mais comum na rede não é alguém mentir — é ninguém registrar nada.

Esta página descreve a solução como ela deve ser. O protótipo navegável já tem boa parte dela funcionando de verdade e outra parte ainda não — a separação, item a item, está aqui.