Registro seguro e rastreável: onde o blockchain entra e onde ele não precisa entrar

Quem já revisou um estudo ambiental conhece a cena. A planilha final traz um número, o PDF traz outro, e ninguém sabe qual dos dois é o verdadeiro. A leitura de campo foi corrigida por telefone e o arquivo continua com o valor antigo. Alguém abriu o documento, trocou uma coordenada, salvou por cima e fechou. Não há registro de quem fez isso, quando fez, nem por quê.

Vale começar pelo problema, sem termo técnico. Pense numa planilha comum. Ela guarda um número por célula e não guarda nada mais. Então qualquer pessoa que tenha o arquivo pode apagar o número de ontem, digitar outro no lugar, salvar e fechar. O número antigo desaparece. Não fica marca de quem mexeu, em que dia mexeu, nem de qual era o valor antes. A planilha não tem memória do passado: ela mostra só o que está escrito agora.

O ecbyts existe para fechar esse buraco. Ele faz quatro coisas que estão descritas abaixo, com exemplos do dia a dia: guarda cada mudança num livro de registro a caneta, fecha cada pacote com um lacre digital, separa os dados de cada empresa em cofres próprios e amarra cada número ao lugar, ao momento, ao método e à regra que o produziram.

E há uma parte de que quase todo mundo fala e pouca gente separa com honestidade: o blockchain. Nesta matéria, a palavra aparece em duas situações bem diferentes. Em uma delas, a corrente de lacres já funciona dentro da própria chave do ecbyts. Na outra, que é mandar o lacre para uma rede pública, é plano para o futuro — e isso está dito com todas as letras mais abaixo.

O que dá errado hoje

Três falhas aparecem em quase toda gestão ambiental feita em planilha e pasta compartilhada:

1. Edição sem histórico. A planilha mostra o estado de agora e só ele. O valor anterior, quem mudou e o motivo se perdem no instante em que alguém salva por cima.
2. Versões que não batem. O PDF entregue ao órgão saiu de uma tabela que já mudou depois. Os dois documentos existem, os dois parecem oficiais, e não há vínculo que se possa conferir entre eles.
3. Leitura de campo alterada sem rastro. Uma medição é ajustada depois da campanha e nada indica que o número registrado antes era outro.

Em auditoria, a pergunta que trava o processo é sempre a mesma: como você prova que este número é o mesmo que foi registrado naquele dia? A resposta honesta, no modelo de hoje, é: pela confiança em quem guarda o arquivo. Isso não é prova, é acordo entre as partes.

O que o ecbyts faz na base

O ecbyts trata cada pacote de modelo como um documento fechado, com identidade própria. São quatro mecanismos, e cada um resolve uma parte diferente do problema.

Livro de registro a caneta, sem borracha

A trilha de auditoria do sistema só cresce. Funciona como um livro-caixa em que só se escreve a caneta: nada é apagado e nenhuma linha é reescrita. Se um número precisa ser corrigido, a correção entra como uma linha nova embaixo, dizendo o que mudou, quem mudou, em que momento e por qual motivo. A linha antiga continua ali, visível.

Isso muda a natureza da pergunta. Em vez de "você jura que não mexeu?", a conversa vira "mostre o livro". Se alguém alterou um dado, aparece. Se ninguém alterou, também aparece, porque o silêncio fica registrado.

Lacre digital de cada pacote

Todo pacote de modelo exportado recebe um lacre digital: um código gerado a partir do conteúdo inteiro do pacote. Funciona como um código de barras matemático do documento. O mesmo conteúdo gera sempre o mesmo código, e a troca de uma única letra ou de uma única casa decimal muda o código por completo, na hora.

O detalhe que importa é este: o lacre é calculado sobre o conteúdo do pacote, não sobre a imagem do PDF. Por isso duas versões podem ser comparadas sem leitura visual, trecho por trecho. Basta gerar o lacre dos dois arquivos e comparar: lacre igual significa conteúdo exatamente igual; lacre diferente significa que algo mudou. Para quem quiser a referência técnica, esse lacre é a impressão digital conhecida como SHA-256.

Existem quatro tipos de pacote. A letra diz apenas como o pacote é montado e fechado, não que tipo de dado ele guarda. Para entender, ajuda pensar em quatro formas de fechar e enviar um documento:

• Pacote A — o pacote simples. É a forma básica: o conteúdo do modelo é organizado, compactado e fechado, com uma conferência de integridade que apenas verifica se os dados chegaram inteiros. Serve para guardar e abrir o modelo no dia a dia.
• Pacote B — o pacote encadeado. É a forma reforçada. Ele carrega quatro elementos próprios: um código curto que identifica aquela chave (o identificador da chave, ou chave de identificação); o lacre da versão anterior, o que cria uma corrente de versões em que cada pacote aponta para o que veio antes; um índice de cada item do modelo, que mostra exatamente qual item mudou sem precisar reler o modelo inteiro (a referência técnica é árvore de verificação, ou Merkle); e a assinatura digital de quem emitiu o pacote, que funciona como uma assinatura pessoal que ninguém consegue copiar para outro documento.
• Pacote C — o pacote compactado. É a versão otimizada para ocupar menos espaço, usada quando há limite de tamanho para enviar ou guardar.
• Pacote D — o pacote trancado. É a versão fechada com chave, para quando o conteúdo só pode ser aberto por pessoas autorizadas. A criptografia entra aí. O envio desse tipo de pacote é opcional e só é ligado quando a instituição decide usar esse recurso.

Voltando à imagem principal: dentro do pacote encadeado, a corrente de lacres é montada e conferida no próprio navegador de quem exporta, sem depender de internet. Cada versão carrega o lacre da anterior; a primeira carrega a marca de início. Trocar uma versão antiga quebra a corrente, e a conferência mostra em qual elo a corrente se rompeu. Cada número também vai amarrado à assinatura pessoal de quem emitiu: mexer no conteúdo invalida a assinatura. É como um lacre de cartório que se rompe se alguém trocar uma vírgula no documento.

O que já está no ar e o que ainda é plano

Vale separar as camadas, porque a diferença é grande:

• Já funciona hoje, dentro da própria chave do ecbyts e no servidor da plataforma: a corrente de lacres entre versões, o índice de itens do modelo e a assinatura digital de quem emitiu, além do registro do lacre no servidor.
• Ainda não está ligado: o envio de qualquer informação para uma rede pública externa, dessas de criptomoeda, como Ethereum ou Polygon. No banco, o campo que sinaliza esse uso está desligado. Os créditos ambientais também seguem em fase de desenho, sem existir dentro do aplicativo.

Um cofre separado por empresa

Cada empresa enxerga apenas os próprios dados. O ponto importante é onde essa separação é aplicada: na porta do próprio banco de dados, e não só na tela do sistema. A pergunta "essa pessoa pode ver esta linha?" é respondida pelo banco a cada consulta, e não pela boa vontade do programa que pediu a consulta.

A diferença prática é grande. Um relatório novo, uma consulta mal escrita ou um pedido esquecido no meio do sistema não vazam dados de outra empresa, porque a trava não depende de quem escreveu a consulta. É a mesma lógica dos níveis de visibilidade usados na leitura do Selo ECBYTS: quem não tem autorização recebe apenas o que a regra permite, e cada acesso fica registrado.

Cada número amarrado ao lugar, ao momento, ao método e à regra

Um número ambiental sozinho não diz nada. Ele só significa alguma coisa junto de quatro informações: onde e quando foi medido, dentro de qual campanha de coleta, por qual método de análise, e sob qual regra foi interpretado.

No ecbyts, esse vínculo é gravado como parte do dado, e não como nota de rodapé. Trocar o método de análise de uma medição, ou reinterpretar um resultado sob outra versão de regra, não reescreve o registro antigo: cria um vínculo novo, e o vínculo anterior continua disponível para consulta. A figura abaixo mostra como o resultado, a regra e os responsáveis aparecem juntos num modelo de demonstração.

Onde entra o blockchain

Se você nunca ouviu falar de blockchain, a imagem mais fiel é esta: um cartório coletivo, com muitas cópias espalhadas, onde cada página nova carrega o lacre da página anterior. Para mudar uma página antiga, seria preciso refazer todas as páginas seguintes em todas essas cópias. Por isso, na prática, o passado fica caro demais para falsificar.

O ecbyts já aplica essa mesma corrente de lacres em dois lugares: dentro de cada chave do tipo encadeado (o pacote B) e no servidor da plataforma. E faz isso sem enviar nada para redes públicas de criptomoeda. É essa corrente que sustenta a conferência entre versões, e é ela que roda em produção hoje.

• A corrente de lacres — já funciona hoje. Cada versão do pacote carrega o lacre da versão anterior, o índice que aponta qual item mudou e a assinatura digital de quem emitiu. O lacre do estado fechado também fica registrado no servidor e nas trilhas de auditoria que só crescem.
• O envio do lacre para uma rede pública — ainda não. Hoje o aplicativo não envia nada para uma rede pública como Ethereum ou Polygon, e o campo do banco que sinaliza esse uso está desligado. Esse envio é o degrau seguinte, ainda não ligado. Ele serve para um caso específico: provar que uma informação existia numa certa data, de um jeito que convença alguém que não confia no ecbyts nem no dono do dado.
• Os créditos ambientais em rede pública — fase de desenho. O desenho dos créditos ambientais prevê esse tipo de transferência no futuro. Está em especificação, não no ar, e nada do que existe hoje depende disso para funcionar.

Resumindo com honestidade: a prova que o ecbyts entrega hoje é a corrente de lacres, o índice de itens e a assinatura digital, somados ao lacre registrado de forma imutável no servidor. Isso já basta para conferir, dentro da plataforma, que um número não mudou. O envio para a rede pública é o próximo degrau, previsto e ainda desligado.

Quando esse envio for ligado, o que sai da plataforma é apenas o código do lacre — e nunca os dados. Esse código é um número que não significa nada para quem não tem o arquivo original: sem o modelo em mãos, ele não abre nada e não revela nada do que está dentro. É o mesmo princípio de um selo de conferência de bagagem: o selo prova que a mala é a mesma, mas não mostra o que tem dentro.

E ele resolve uma pergunta só, que é uma pergunta real: provar que uma informação existia numa certa data e não mudou desde então, de um jeito que qualquer pessoa possa conferir, mesmo sem confiar na plataforma. Nesse cenário, três códigos vão para a rede pública: o do estado do modelo no momento em que foi fechado, o do Selo ECBYTS emitido sobre aquele estado, e o dos créditos ambientais quando eles passarem a existir no aplicativo.

O que essa conferência pública passa a garantir é equilíbrio de forças: nem o dono do dado nem a própria plataforma conseguem reescrever o passado em silêncio. Se o conteúdo do pacote mudar depois, o lacre recalculado deixa de bater com o lacre publicado, e essa diferença é pública e conferível por qualquer parte — inclusive por quem não confia no ecbyts.

O que esse envio não faz, e é importante não vender o contrário:

• não valida se o dado está certo, se o método é adequado ou se o número faz sentido;
• não substitui a responsabilidade técnica de quem assina;
• não atesta conformidade legal nem substitui parecer de órgão ambiental;
• não impede que alguém publique um dado errado. Ele prova apenas que aquele dado errado é o mesmo de sempre, e desde quando.

Mais uma honestidade sobre o desenho, e ela vale para os dois momentos. Hoje, conferir que o conteúdo não mudou é feito no próprio navegador, recalculando o lacre e verificando a corrente e a assinatura: isso não depende de rede nenhuma. Quando o envio para rede pública for ligado, a prova da data vai depender dessa rede externa. Se o serviço estiver fora do ar nesse momento, o pacote continua válido e conferível pelo lacre local, mas fica sem prova pública de data até o envio ser concluído. O sistema diz "ainda não registrado em rede pública" nesse caso, nunca "registrado".

Onde o blockchain NÃO precisa entrar

A pergunta certa não é "dá para colocar isso em blockchain?", e sim "o que ganha algo sendo registrado lá fora?". Mandar o dado em si para uma rede pública seria pior em três frentes: cada operação custa dinheiro, cada dado precisa circular pela rede, e o controle sobre informação sensível se perde. Dado ambiental bruto traz coordenada exata, espécie ameaçada, documento de proprietário e informação de terceiros. Nada disso tem motivo para circular fora do ambiente controlado.

O que vai para a rede é o lacre, e só o lacre. E há dois casos em que nem isso ajuda:

• Quem pode ver. Blockchain não é controle de acesso. Quem vê o quê continua sendo decidido no banco de dados, com o cofre separado por empresa e a trava por linha.
• Qualidade da análise. Garantir que a coleta seguiu o procedimento e que o laboratório trabalhou dentro do controle de qualidade é trabalho de método e de laboratório. Nenhuma rede distribuída substitui isso.

O critério prático é este: se a dúvida é "quem pode ver", resolve-se no banco. Se a dúvida é "isso existia naquela data", resolve-se com o lacre publicado. Se a dúvida é "esse número está certo", nenhum dos dois resolve — resolve a cadeia técnica e analítica que produziu o número.

Privacidade e proteção de dados

O desenho foi feito para que a camada pública não receba dado pessoal nem dado sensível em momento nenhum.

• O que já vai para o servidor, hoje: apenas o código do lacre e a data e a hora, no registro do selo e nas trilhas de auditoria que só crescem. Um código de lacre não permite reconstruir o conteúdo original.
• O que vai para a rede pública, quando o envio for ligado: apenas o código do lacre e a data e a hora. Nada além disso.
• O que nunca vai, em nenhum dos casos: dados brutos, coordenadas exatas, anexos, documentos, nomes de pessoas e qualquer identificador de titular.
• O que fica sob controle do titular: o nível de detalhe do acesso. O dono dos dados decide o que cada destinatário enxerga, e localização exata, aproximada ou oculta é escolha dele, não um padrão escondido da plataforma.

Vale explicar por que o código do lacre não é dado pessoal na prática. Ele é uma via de mão única: do conteúdo se chega ao código, mas do código não se volta ao conteúdo. Funciona como um selo de conferência. Quem tem o arquivo original recalcula o código e compara. Quem não tem o arquivo não obtém nada com o código. Por isso esse desenho é compatível com a regra de recolher o mínimo possível de informação: o que se expõe é a prova de que nada mudou, não o dado.

O titular mantém, a qualquer momento e sem custo, o direito de ocultar nome e documentos associados a uma atestação, e a revogação de consentimento vale para os acessos seguintes, sem apagar o histórico de quem já acessou dentro da autorização. Revogar não reescreve o passado; apenas fecha a porta daqui para frente.

O que este desenho não resolve

• Não corrige dado errado. Nada ter mudado não quer dizer que o número está certo. Registrar um número inadequado só torna o erro permanente e rastreável.
• Não substitui o laudo nem a responsabilidade técnica. O registro conferível organiza a prova; quem assina continua sendo quem responde.
• Não é prova de conformidade legal. O sistema organiza e comprova que o registro não mudou e desde quando. Nada além disso.
• Não garante disponibilidade para sempre. A conferência depende dos serviços envolvidos e de a rede de registro estar acessível.
• Não é uma conferência independente da conta. O servidor confere a estrutura, os responsáveis e os documentos, mas ainda não refaz o cálculo: os números são calculados no navegador de quem publica e registrados como chegaram.

O que ele entrega é mais modesto e mais útil do que parece: torna impossível reescrever o passado sem que a diferença apareça.

Para conhecer

O tour guiado leva cerca de 3 minutos e roda sobre um modelo de demonstração, com responsáveis fictícios. Nenhum passo emite, cobra ou grava nada, e você pode exportar um pacote e conferir a chave de verificação no próprio navegador.

Praticar a exportação e a conferência da chave ECBT no tour guiado · Ver os outros tours na Trilha dos Tours

Para quem cuida de dados ambientais no dia a dia: qual foi a última vez que você precisou provar que um número não mudou desde a coleta — e conseguiu provar?