Eu coloco o invariante onde ele não pode ser esquecido.

Olipay Comercial · código fechado

Plataforma de comércio B2B + B2C para distribuição de bebidas

Um catálogo só, atendendo consumidor de balcão e conta empresarial comprando a prazo — mais o estoque, a loja e o caixa por trás disso.

Cinco superfícies implantáveis rodam sobre uma única API NestJS: um app React Native, um PWA React para quem usa iPhone, um backoffice administrativo, um ponto de venda de loja física e a landing page. As cinco importam o mesmo pacote de contratos, então mudar um tipo de resposta quebra o build de qualquer app que ficou errado.

O que eu construí

A integração de pagamento Woovi (Pix), incluindo verificação de assinatura de webhook contra o formato de chave publicado e suporte a múltiplas contas recebedoras. O ponto de venda, adicionado ao monorepo como uma superfície nova. Todo o modelo de estoque — centros de armazenagem, escolha de depósito no checkout, embalagens de produto e incidentes de custo que separam imposto de custo de reposição. Um gerador de encarte promocional que monta o encarte dentro do app e exporta para imagem e PDF. Os endpoints de métricas e tendências por trás do dashboard, a validação de crédito B2B e o programa de pontos de fidelidade.

Como isso se sustenta

Os services dependem de interfaces de repositório ligadas por tokens de DI, em vez do Prisma direto, então os testes unitários mockam a interface e os de integração rodam contra um banco de verdade. Quatro guards de rota, autenticação em dois fatores, um filtro global de exceções, logging estruturado com rastreio de requisição e validadores próprios de CPF/CNPJ. Testado em quatro níveis, até execuções ponta a ponta com Maestro em dispositivo real.

• NestJS 11
• Prisma 7
• PostgreSQL
• React Native · Expo 52
• React 19 · Vite
• Turborepo
• Pino
• Maestro

TeamMove — orders & products Empregador · código fechado

O domínio de pedidos de uma plataforma de vendas em campo, construído desde as tabelas

Durante oito meses em 2023 eu fui o único desenvolvedor da API Java — 440 dos 446 commits daquela janela são meus.

Um vendedor parado dentro da loja precisa lançar um pedido contra um catálogo que precifica diferente para cada cliente. Esse domínio fui eu que construí: pedidos, tipos de pedido, produtos, famílias e categorias de produto, tabelas de preço por cliente e os campos extras que um cliente acrescenta a um produto sem ninguém subir uma versão. Sete pacotes Java, 154 arquivos — 103 dos 104 commits que passaram por eles são meus.

A vertical inteira, em uma semana

Entrou de baixo para cima. Primeiro as tabelas e sua camada de acesso, depois os endpoints REST — listagem, detalhe, criação, atualização, remoção de item, mudanças de status — e as telas em React abriram no dia seguinte, em 28 de março de 2023. A mesma pessoa desenhou o schema, escreveu as queries em cima dele e construiu as telas que as leem, que é a única razão de um domínio desse tamanho ter entrado tão rápido: não havia contrato a negociar, porque não havia com quem negociar.

Pedido muda depois de aprovado

É essa a restrição em torno da qual a coisa toda gira. Um pedido editado depois da aprovação precisa conseguir dizer o que mudou, quem mudou e qual era o valor antes — então em julho de 2023 eu construí um livro-razão genérico de alterações por baixo dele: cinco tabelas registrando a operação, a tabela e a linha atingidas e o valor anterior e o novo de cada campo individual, atribuídos a um usuário e a um instante. Ele é agnóstico de tabela de propósito — carrega o nome da tabela como dado, então qualquer outra coisa no sistema passa a ser auditável apontando para ele em vez de escrever mais um log. Reconstruir o histórico de um pedido a partir de linhas de log em texto livre é chute; isso é uma query.

Depois eu mesmo tirei ele do Java

Dois anos depois a plataforma migrou para um back-end TypeScript e o meu próprio módulo estava na lista. Eu portei — o endpoint de listagem em maio de 2025, o de detalhe na semana seguinte — e continuei ajustando do outro lado, trocando o ORM por query bruta quando a listagem ficou lenta. A maior parte do que eu escrevi passou a ser mantida por outra pessoa. Esse é o pedaço que eu projetei, substituí e depois tive que conviver do outro lado.

E os outros três anos e meio

Pedidos e produtos é um módulo. Em volta dele está todo o resto do que eu fiz na mesma plataforma: a agenda e sua visão de mês, o construtor de checklists e o runtime que preenche um deles, o fluxo de chamados com suas etapas de briefing e aprovação, os rankings de campanha, o cálculo de metas dividido entre totais do dia e do mês, rotinas agendadas, o pipeline de impressão que transforma um checklist preenchido num PDF assinável e uma API externa para parceiros. Quatro anos em quatro repositórios — o cliente React, a API Java, o back-end TypeScript que a substituiu e a API externa para parceiros. Eu era o mantenedor principal do cliente e do domínio de pedidos; a API Java já tinha seis anos quando eu cheguei. O escopo completo está abaixo →

• Java · WildFly
• JDBC
• PostgreSQL
• React
• Redux
• Express
• Prisma
• TypeScript

forty-monolito

Plataforma de treino para personal trainers

Dois apps sobre uma API: o personal toca o negócio e o aluno registra cada série na academia — onde não pega sinal.

O personal recebe agenda, CRM de clientes e controle de receita. O aluno recebe um app mobile-first que funciona offline first, porque isso não é um luxo no subsolo de uma academia: as séries são gravadas localmente e sincronizam quando a conexão volta.

O isolamento entre tenants é imposto em dois níveis de row-level security do PostgreSQL — por personal e por aluno — para que um WHERE esquecido não vaze a carteira de clientes de outro personal. O app guarda respostas de questionário de saúde, o que torna essa fronteira uma obrigação de LGPD, não uma preferência. Os testes de integração rodam contra um Postgres real via Testcontainers e verificam o isolamento diretamente; o Playwright cobre os fluxos de ponta a ponta.

• Next.js 16
• NestJS 11
• PostgreSQL 17 · RLS
• Prisma 7
• Better-Auth
• Tailwind v4
• Playwright
• Testcontainers

Código no GitHub → Como o isolamento funciona →

Resumo dos Candidatos

Transparência eleitoral sobre dados abertos oficiais

Só mostra o histórico de votações de um parlamentar quando consegue provar que o candidato e o mandatário são a mesma pessoa. Quando não consegue, avisa.

Uma plataforma pública para as eleições gerais de 2026. Para cada candidato, agrega as propostas publicadas e — para quem já tem mandato e busca reeleição — o histórico real de votações, presença e gastos, inteiramente a partir dos dados abertos oficiais do TSE e da Câmara dos Deputados.

A parte interessante é o CandidateMandateLink: uma aresta materializada e auditável que afirma “esta candidatura de 2026 é a mesma pessoa que ocupa este mandato”, carregando o método de correspondência, um índice de confiança e sua procedência. Abaixo do limiar aceito, a página exibe incumbência não confirmada em vez de anexar um histórico que pode ser de outra pessoa. Atribuir os votos de um político a outro é o único bug que este projeto não pode lançar, então a incerteza é modelada no schema em vez de ser resolvida no chute.

O registro de candidatos de 2026 só existe depois que o prazo de registro fecha, então o sistema inteiro foi construído e validado contra os dados de 2022 e 2024 — mesmos schemas — e passa a apontar para 2026 mudando um único valor de configuração. Os coletores são idempotentes e amigáveis a cron, escrevendo num livro-razão de ingestão bruta que mantém cada fato derivado rastreável até o arquivo de onde veio.

A tabela é o argumento. Nada sobre a correspondência fica implícito:

CREATE TABLE candidate_mandate_link (
  id                      uuid PRIMARY KEY,
  sq_candidato            varchar(32)      NOT NULL REFERENCES candidacy,
  mandate_id              uuid             NOT NULL REFERENCES mandate,
  person_id               uuid                      REFERENCES person,
  match_method            matchmethod      NOT NULL, -- cpf_exact | titulo_exact
                                                     -- | probabilistic | manual
  confidence_score        double precision NOT NULL,
  confidence_tier         confidencetier   NOT NULL, -- auto_strong | auto_weak
                                                     -- | review
  is_incumbent_reelection boolean          NOT NULL,
  pipeline_version        varchar(32),
  resolver                varchar(64),
  resolved_at             timestamptz      NOT NULL DEFAULT now(),
  UNIQUE (sq_candidato, mandate_id)
);

O que a página lê é o confidence_tier, não o confidence_score: uma linha em review aparece como incumbência não confirmada em vez de ser anexada em silêncio. match_method e pipeline_version fazem com que um vínculo errado possa ser reencontrado depois e decidido de novo, e a constraint única em (sq_candidato, mandate_id) é o que impede duas execuções do resolvedor de discordarem dentro da mesma tabela.

• Python 3.11
• FastAPI
• SQLAlchemy 2
• Alembic
• Postgres · pg_trgm
• polars
• rapidfuzz
• Typer

Código no GitHub →

Detetive Sonora

Jogo lançado — itch.io e GameJolt

Sete pistas são os sete graus da escala. Um acorde toca; você voa para a pista que corresponde a ele. Ouvido absoluto nunca é necessário — só o intervalo.

Um jogo de treinamento auditivo disfarçado de história de detetive, feito como o meu TCC. Nove músicas e 121 acordes são escritos como dado puro, três por nível de dificuldade e sorteados a cada partida. Cada nível troca a tonalidade e o instrumento — dó no piano, sol no violão, ré na guitarra — então decorar altura absoluta não serve de nada e só a audição relativa se aproveita. A janela de reação fecha de cinco segundos para três, e abaixo de 70% o nível se repete.

Três atos, cada um abrindo com uma ligação inteiramente dublada do ministro da defesa, sobre um detetive atrás de uma aeronave roubada. No terceiro ato você descobre que o detetive é cego — que é o argumento que o design inteiro já estava fazendo.

• Godot 4.4
• GDScript
• Windows
• pt-BR

Jogar no itch.io → GameJolt → Código →

TeamMove Empregador · código fechado

SaaS de vendas em campo e trade marketing

Durante dois anos, a API Java que estava sendo substituída e a API TypeScript que a substituía estiveram as duas em produção. Eu commitei nas duas no mesmo mês, em vinte e quatro de vinte e cinco meses.

Software para equipes cujo trabalho acontece fora do escritório — vendedores e promotores visitando lojas. Agendamento de visitas e agenda, checklists dinâmicos preenchidos no local, um fluxo de chamados com etapas de briefing e aprovação, metas de venda acompanhadas por dia e por mês, rankings de campanha, planos de ação e clusterização de clientes que define quem enxerga o quê.

Trabalhando em cima da migração

Entrei na API REST em Java e fiquei durante a mudança para uma API em TypeScript. Nenhuma das duas foi desligada de uma vez: as funcionalidades caíam no lado que fosse dono delas, o que significava manter os dois schemas na cabeça e garantir que uma query de relatório e sua substituta respondessem à mesma pergunta. Essa é a parte sem glamour de uma migração e é a maior parte do trabalho — os dois últimos anos do meu histórico lá correm pelos dois trilhos em paralelo.

• React · Vite
• TypeScript
• Express
• Prisma
• PostgreSQL
• NestJS
• Java · WildFly
• AWS S3

O domínio de pedidos, em detalhe →

Celk Empregador · código fechado

Sistemas de saúde pública para secretarias municipais

Um campo obrigatório numa ficha de investigação não é preferência de interface. É o que as regras de notificação dizem que precisa ser coletado, e a ficha está errada até concordar com elas.

Software de saúde municipal — vigilância sanitária, farmácia e controle de estoque, vacinação — usado no dia a dia pelas secretarias municipais de saúde. Um monolito Java EE com telas Wicket renderizadas no servidor, com o primeiro commit em 2012 e hoje bem acima de cinquenta mil commits, dividido em mais de dez módulos Maven. — com o trabalho novo indo para serviços em Quarkus escritos ao lado dele. Eu trabalho dos dois lados dessa fronteira, que é a mesma emenda da migração da TeamMove ali em cima: duas stacks em produção ao mesmo tempo, e cada funcionalidade caindo na que for dona dela.

No que eu trabalho

Fichas de investigação de agravos: fichas estendidas, os campos sem os quais um caso não pode ser encerrado e o cálculo de período por semana epidemiológica em vez de mês do calendário. O lado de licenciamento da vigilância sanitária — taxas de requerimento, licenças de transporte, registro de atividades veterinárias e as conferências que precisam passar antes de um relatório sequer ser gerado. Do lado da farmácia: quantidades decimais para medicamento prescrito e dispensado, juntada de registros duplicados de medicamento, seleção de lote que carrega a própria validade, relatórios de saldo e de análise de estoque, e a codificação de produto que o envio federal espera.

O que o domínio cobra de você

Toda mudança chega como um chamado sobre um software que uma cidade já está rodando, e sai por code review antes de chegar em alguém. Alterações de schema vão como migrações Flyway presas a um padrão de nomenclatura e DDL, porque um script fora do padrão não quebra o seu build — quebra uma atualização. A maioria das minhas correções aqui é pequena e exata pelo mesmo motivo: um rótulo errado num lote de vacina ou uma conferência faltando numa licença não é bug cosmético nesse domínio.

• Java EE
• Quarkus
• Apache Wicket
• EJB
• Hibernate
• PostgreSQL
• Flyway
• JasperReports
• JBoss

shop-schedule Privado

Software de agendamento para negócios que vendem horários

Dois clientes podem tocar no último horário das 15:00 no mesmo segundo. Quem impede é o banco de dados — não uma verificação na aplicação.

Agenda, cadastro de clientes, catálogo de serviços, lembretes e receita por regime de caixa, para qualquer negócio cujo produto é um horário marcado. Vários estabelecimentos dividem uma instância, isolados por row-level security.

A disponibilidade é calculada a cada leitura, nunca armazenada. Não existe tabela de horários: o tempo livre é derivado como horário de funcionamento ∩ horário do recurso − folgas − agendamentos ativos, e então fatiado pela duração do serviço. Uma cópia armazenada significa que uma folga cancelada deixa um horário velho na página pública e alguém marca um atendimento que o estabelecimento não tem como honrar. O gerador vive em um pacote compartilhado importado tanto pela API quanto pelo front-end, então a página pública de agendamento e o balcão não têm como discordar sobre o que está livre.

• NestJS
• Prisma
• PostgreSQL 17
• btree_gist
• React · Vite
• pnpm workspaces

Como a marcação em dobro se torna impossível → Quero isso no meu negócio →

ecommerce-base Privado

Base de e-commerce feita para o Brasil, clonada por cliente

Um endpoint não consegue retornar um campo que o contrato dele não declara. Não por convenção — o campo é removido na saída.

Uma API NestJS, uma vitrine Next.js e um admin React em um monorepo, lidando com Pix, cartão, boleto, CPF/CNPJ e frete por CEP. É um template: clonado por cliente e depois configurado em vez de modificado — marca, identidade jurídica, regras de checkout, provedor de pagamento e transportadora são todos dados.

Um schema Zod por contrato vive em um pacote compartilhado. O nestjs-zod transforma cada um em um DTO, então uma única definição comanda a validação da requisição, a serialização da resposta e o documento OpenAPI publicado, enquanto os dois front-ends inferem seus tipos da mesma fonte. O serializador remove tudo o que o contrato não declara, o que significa que um hash de senha pego por um select descuidado do Prisma nunca chega na rede. Segurança por construção, não por revisão de código.

• NestJS 11
• Next.js 16
• React 19
• Zod · nestjs-zod
• Prisma 7
• Redis
• MinIO

Quero isso no meu negócio →

smart-workshop Privado

Sistema de gestão para oficinas de veículos

O cliente aprovou R$ 393,70. No meio do serviço o mecânico descobre que as pastilhas de freio acabaram. Ninguém entrega a moto por R$ 592,70 até o cliente dizer sim uma segunda vez.

Clientes e seus veículos, ordens de serviço, um livro-razão de peças, o caixa do balcão e o contas a receber do mês — para o tipo de oficina brasileira que ainda funciona no bloquinho de papel. Um único schema cobre mecânica geral, funilaria, pintura e auto elétrica, o que só funciona porque os fluxos de seguradora ficaram de fora por decisão: sem eles, um serviço de funilaria é um serviço de mecânica que demora mais.

Uma lei, compilada em uma trava

O Código de Defesa do Consumidor é explícito: o cliente não pode ser cobrado por serviço que não autorizou. Aqui isso não é um checkbox. Uma aprovação é uma linha — quem aprovou, por qual canal, em qual valor, carregando um snapshot em JSON de todos os itens como estavam — e uma ordem não chega a entregue enquanto o total atual passar do último valor aprovado. A comparação é estritamente maior, porque cobrar menos que o aprovado nunca foi o problema. A verificação é uma função pura no pacote compartilhado, então o navegador avisa usando exatamente o predicado que a API impõe, e APPROVED é inalcançável a não ser pela chamada que grava o registro — um status que dá para setar direto é justamente o booleano que este desenho se recusa a ser.

Isolamento por ausência

Os outros sistemas multi-tenant desta página colocam uma policy no banco e um id de tenant em cada linha. Este não tem nem um nem outro, de propósito: cada oficina ganha o próprio banco e a própria instância, então o raio de alcance de um erro é um fato sobre o deploy e não uma query que alguém precisa acertar toda vez. A aplicação nunca resolve um tenant e a palavra não aparece no schema. O custo é real e foi escrito antes de ser aceito — N bancos para migrar em vez de um. O mesmo mecanismo da Nota 01, defendido pelo outro lado.

• NestJS 11
• Prisma 7
• PostgreSQL 17
• React 19 · Vite 8
• Zod 4
• TanStack Query
• Tailwind v4
• pdfmake

Por que justo este não tem RLS nenhum → Por que o estoque é um livro-razão, e não um contador → Quero isso na minha oficina →