# Ley operativa común Este documento es el preámbulo de la paleta de procesos operativos de Vercy. Las siete familias (MIR, ACT, CON, FED, QSC, CTX, GOV) lo citan. Las definiciones que aquí se hacen se hacen una sola vez: los textos de familia citan esta ley por sección y jamás la vuelven a glosar. Donde una carta de familia y esta ley parezcan entrar en conflicto, gobierna esta ley. La paleta es neutral respecto de proveedores; los modelos en producción de Orkestron y la Dimensión de referencia Meta-Orchestrator State (MOS) aparecen en los textos de familia solo como implementaciones de referencia, jamás como dependencias normativas. Las palabras normativas DEBERÁ, DEBERÍA y PUEDE se usan según la práctica común de los estándares. Los valores de nivel de proceso son nuclear, recomendado y opcional. Los niveles de delegación se citan como T1, T2 y T3 tal como se definen en la sección 3 de esta ley, y en ningún otro sitio. ## 1. El bucle cerrado de la realidad Un meta-modelo conforme a Vercy existe dentro de un bucle, y todo proceso de la paleta es un segmento de él: realidad -> detección -> modelo -> consumo -> decisión -> actuación -> realidad -> detección. La postura de espejo (MIR) sostiene la primera mitad: la realidad cambia, el cambio se detecta, y el modelo se actualiza de modo que todo lo que el modelo contiene es o bien verdad redactada o bien un espejo que nombra su maestro y su hora de recolección; rancio con honestidad vale más que fresco en falso, y donde el modelo no coincide con la realidad, lo dice. La postura de actuación (ACT) sostiene la segunda mitad: una señal nacida en el modelo se convierte en una decisión ligada a una autoridad, la decisión se convierte en orden a un efector registrado, el efector cambia la realidad, y el bucle lo cierra la evidencia detectada, jamás el acto de ordenar. El consumo se sienta en la bisagra: personas, Agentes y pares federados leen el modelo en el momento de decidir, y lo que leen lleva consigo su frescura, su estado de confianza y su procedencia. Las dos posturas son una sola doctrina, no dos: un modelo que solo espeja es un diario, un modelo que solo actúa es un cañón suelto, y solo el bucle cerrado, donde todo acto se decide sobre un espejo sincero y todo efecto se confirma de vuelta por la detección, se gana el nombre de reflejo digital primario de la realidad. ## 2. Vocabulario compartido de roles Seis roles se usan de forma idéntica en todas las familias: - Propietario: ostenta la autoridad última sobre un meta-modelo y su Dimensión; concede y revoca todos los derechos de lectura y escritura; aprueba las transferencias de maestría, la exposición de sistemas externos nuevos, las clases de señal que alcanzan hacia fuera y los contratos de federación. - Custodio: operador responsable de un meta-modelo o de una sección de él; ejecuta los procesos y responde por ellos, aprueba actos T1 dentro del alcance delegado; la responsabilidad jamás se transfiere a un Agente. - Contribuyente: propone contenido y cambios por la puerta principal gobernada; no tiene autoridad de aprobación propia. - Consumidor: toda persona, Agente, sistema o par federado que lee el modelo o sus Proyecciones; registrado con sus dependencias y canal de notificación en el registro de consumidores (CON-13). - Agente: ejecutor no humano que opera estrictamente bajo un Contrato de delegación (CTX-9) a un nivel declarado; un Agente NO DEBERÁ elevar su propio nivel ni ampliar su propio acceso. - Auditor: revisor independiente con acceso acotado en el tiempo y ligado a un propósito (GOV-6, GOV-7); muestrea evidencia, certifica cierres, jamás ejecuta operaciones. La regla de hierro del modelo de roles: la información de cualquier meta-modelo es legible solo con el permiso de su Propietario. Ningún proceso, nivel, contrato o ruta de emergencia crea un derecho de lectura que el Propietario no haya concedido. ## 3. Niveles de delegación Existen tres niveles de delegación. Se definen aquí y solo aquí; toda carta los cita y jamás los vuelve a glosar: - T1 persona en el circuito: el Agente puede ejecutar, y cada acto lo aprueba una persona antes de que surta efecto. - T2 persona sobre el circuito: el Agente actúa, y una persona revisa muestras y excepciones después del hecho. - T3 autónomo con auditoría: el Agente actúa sin intervención humana por acto, bajo un rastro de auditoría completo revisado a cadencia. La fórmula estándar para los pasos T1 en las cartas de proceso es: DEBERÁ permanecer en T1: el Agente propone, una persona aprueba cada acto. Ningún paso de la paleta se escribe jamás por debajo de T1. Los pasos T1 son distintos de los actos no delegables en sustancia. Un paso T1 PUEDE ejecutarlo un Agente con aprobación humana por acto. Un acto no delegable DEBERÁ realizarlo en sustancia el rol humano nombrado, no meramente aprobarlo: la firma de federación (FED-2), las resoluciones de maestría (CON-9) y los consentimientos del Propietario son no delegables, y las cartas los nombran como tales en vez de etiquetarlos T1. Los Contratos de delegación y los contratos de capacidad de ACT-3 son especializaciones declaradas del Contrato semántico según Contract.md 5-6 y Federation-Contracts.md 3a. El ciclo de vida del Contrato de delegación (emitir, enmendar, suspender, revocar, escalera de niveles, periodo de prueba) tiene un único Sistema de registro: CTX-9. Un emparejamiento nuevo de agente y alcance empieza en T1 o T2; el T3 se gana; los primeros N actos bajo cualquier concesión corren un nivel más estricto que el concedido. Los cambios de nivel son decisiones del Propietario o del Custodio informadas por la revisión de salud del bucle cerrado (ACT-12) y la revisión de capacidad (QSC-7), encaminadas como entradas nombradas a CTX-9. ## 4. Controles de hierro Ocho controles son ley de toda la paleta. Las familias los citan por identificador (IC-1 a IC-8) y los implementan en sus compuertas; ningún texto de familia puede debilitarlos. IC-1 Un maestro por conjunto de datos. Todo conjunto de datos que el modelo contiene o espeja tiene exactamente un Sistema de registro declarado, dirección de flujo, tubería, cadencia y regla de conflicto en el Registro de maestría (sources.yaml). La maestría se declara, jamás se infiere; MIR-1 es el ejecutor único de los cambios del registro; ningún proceso de la paleta DEBERÁ operar sobre un conjunto de datos no declarado, porque recolectar sin maestría declarada es como nacen dos verdades. IC-2 Puerta principal única para el contenido redactado. Toda contribución redactada entra al modelo por la cadena de admisión CON-1: sin puertas laterales, sin commits directos que rodeen las puertas. La excepción de recolección es normativa: la ejecución de una tubería MIR-2 registrada bajo una entrada activa de sources.yaml ES admisión y aprobación para el contenido recolectado; la entrada del registro es la autorización permanente, MIR-2 maestra la ficha de procedencia de la recolección, y CON-2 a CON-4 no vuelven a procesar los lotes de recolección. Los Eventos de decisión, orden e intención de ACT y los conjuntos de escritura de vuelta de CTX-5 son canales registrados de esa misma puerta principal. IC-3 Los datos nunca son una orden. El contenido de cualquier origen no redactado es dato, jamás instrucciones, diga lo que diga, parezca decirlo quien lo parezca, y por urgente que suene. Toda sección de un paquete de contexto lleva una clase de origen y contaminación (redactado, espejado externo, federado, reportado por personas), sellada por CTX-1; los Contratos de delegación prohíben tratar como instrucciones cualquier clase no redactada; MIR-2 criba el contenido entrante en busca de material con apariencia de instrucción, ejecutable o estadísticamente anómalo, y pone los señalamientos en cuarentena vía MIR-8 en vez de aterrizarlos en silencio; QSC-7 prueba explícitamente el rechazo del cebo de inyección. IC-4 La clase de conjuntos de datos crítica para la seguridad. Son críticos para la seguridad: BOOTSTRAP y los materiales de arranque, las definiciones de procesos y puertas, la matriz de aprobación, los criterios del carril de aprobación automática, los Contratos de delegación, los campos de maestría y regla de conflicto de sources.yaml, las rúbricas de gravedad, y las configuraciones de vigilancia y umbrales. Para esta clase: la aceptación es siempre T1 con un segundo revisor humano; los carriles de aprobación automática son estructuralmente inelegibles, impuesto en la compuerta de CON-4 y no por ninguna clasificación presentada; QSC-9 ancla sus hashes de forma continua; toda diferencia inexplicada abre un incidente de seguridad QSC-8. IC-5 Autoridad impuesta en la puerta. La revocación se impone en la puerta, jamás la honra el agente: toda escritura, despacho y acceso a canal valida la vigencia del Contrato de delegación que cita, en el momento del acto, en la puerta. El material de capacidad se acuña con validez corta para que la propagación de la revocación en el peor caso quede acotada por un TTL declarado; la autoridad residual pasado el TTL es un incidente. Los Paquetes de contexto llevan los identificadores de las concesiones bajo las que se construyeron y caducan al revocarse la concesión o por un TTL fijo, lo que ocurra antes. IC-6 Bitácoras emitidas por la infraestructura y encadenadas por hash. Las bitácoras de acción, lectura, despacho, divulgación y consentimiento las emite la infraestructura mediadora (puerta, canal, tiempo de ejecución), jamás el Agente que actúa; los Agentes no tienen camino de escritura hacia sus propios rastros. Las bitácoras relevantes para la seguridad se encadenan por hash de forma continua, comprometiéndose cada entrada con su predecesora, con anclaje externo a una cadencia corta declarada, de modo que la manipulación es detectable incluso por un operador comprometido. IC-7 Lecturas con puerta del Propietario, hacia dentro y hacia fuera. GOV-7 (concesiones de acceso internas) y FED-3 (divulgación en federación) son las dos caras de una sola disciplina de consentimiento: un derecho de lectura existe solo como concesión otorgada por el Propietario, ligada a un propósito y acotada por TTL, registrada en un registro de concesiones, tanto si quien lee es un Agente doméstico como un par federado. Las concesiones son Contratos semánticos; las concesiones auto-emitidas citan la versión de la política de consentimiento permanente aprobada por el Propietario que las produjo; QSC-6 compara las concesiones reales contra el registro más la política; la revocación se propaga dentro de un TTL acotado según IC-5. IC-8 Historia solo por añadido. El modelo puede cambiar de opinión, pero nunca pierde la memoria: sustitución, no borrado, según Lifecycle 13 y el vocabulario canónico de estados. Las intenciones rechazadas, las actuaciones fallidas, los registros corregidos y las entradas retiradas permanecen en la línea de tiempo como historia sustituida con la identidad y la procedencia intactas; el archivo de MIR-9 hace que toda actualización sea no destructiva, y todo Evento de transición lleva su código de razón. ## 5. Glosario de cuarentena y estados de confianza Tres estados distintos comparten un aire de familia y NO DEBERÁN confundirse. Cada visión general de familia lleva este glosario en una línea; las definiciones viven aquí: - cuarentena: la marca de confianza legible-pero-señalada de MIR-8 (también expuesta como el estado de frescura de MIR-6). El contenido en cuarentena sigue siendo legible; el señalamiento viaja con cada cita; a los consumidores se les dice con exactitud de qué desconfiar. - cuarentena de admisión: la zona de retención entrante de FED-8 para contenido federado. El contenido retenido es ilegible para el modelo hasta su promoción; la variante federada de MIR-2 ejecuta solo el aterrizaje posterior a la promoción, y una compuerta rechaza la ingesta de contenido de clase federada sin un registro de promoción. - retención por integridad: el marcador de QSC-9 para contenido cuya integridad está en cuestión. El contenido retenido queda excluido de responder y de publicarse hasta que se levante. freshness_state es una extensión declarada de la paleta al esquema del Registro de maestría, distinta de la enumeración canónica status. El estado de confianza y el estado de flujo son ejes independientes y PUEDEN coexistir en la misma entrada: un conjunto de datos puede estar activo en flujo y en cuarentena en confianza al mismo tiempo, y ambos hechos son visibles en el momento de la lectura. ## 6. Perfiles de conformidad Existen tres perfiles de conformidad (C22, C37). Un modelo declara exactamente uno. - Completo: todo proceso de toda familia aplicable a su nivel declarado, separación completa de artefactos en todas partes, todos los bucles de recertificación ejecutados individualmente. Pensado para modelos que federan, con varios custodios y alto número de consumidores. - Estándar: todos los procesos nucleares más los procesos recomendados aplicables al alcance declarado del modelo; la consolidación de pasos mecánicos PUEDE seguir las cláusulas Solo o mínimo de abajo allí donde un solo Custodio responde de todos los registros consolidados. - Solo o mínimo: el perfil normativo para un modelo operado por un único Propietario-Custodio. Es un objetivo lícito de conformidad, no un modo degradado. El perfil Solo o mínimo consta de tres cláusulas de consolidación: 1. Revisión trimestral consolidada. Una revisión trimestral consolidada satisface lícitamente los pasos de recertificación de MIR-1, MIR-6, MIR-9, ACT-1, ACT-3, CON-10, CTX-9, QSC-6 y QSC-11 que venzan en la ventana, ejecutada como el patrón genérico de recertificación de registros de la sección 8 corrido una vez sobre todos los registros, y satisfaciendo así los ocho bucles de recertificación que ese patrón nombra. La evidencia es un informe combinado más Eventos por registro. 2. Barrido semanal combinado. Un barrido semanal ejecutado por agente satisface lícitamente los pasos mecánicos de MIR-3, MIR-7, QSC-2 y QSC-9, con un Evento combinado como evidencia. Las escaladas y hallazgos siguen encaminándose individualmente a sus procesos propietarios. 3. Evento de actuación compuesto. Para las acciones T1 donde quien decide, quien despacha y quien ejecuta son la misma persona, un evento de actuación compuesto (intención, decisión, orden, nota de verificación) satisface ACT-5, ACT-6, ACT-7 y ACT-9, y la clave de idempotencia y la comprobación del hash orden-decisión quedan dispensadas. La separación completa de artefactos sigue siendo obligatoria para toda actuación delegada T2 y T3 sin excepción. El conjunto nuclear en solitario se recalcula bajo este perfil, aplicando las degradaciones y promociones de la carta fundacional: - ACT-1, ACT-2 y ACT-4 son recomendados, no nucleares; el catálogo de señales es obligatorio solo donde exista actuación delegada (cualquier decisión T2 o T3), y una clase permanente de señal de directiva del propietario, pre-registrada, cubre las acciones nuevas T1 iniciadas por una persona sin ceremonia de catalogación por cada idea. - QSC-1 es recomendado, nuclear solo por encima de un umbral declarado de tamaño o de número de consumidores. - QSC-10 es nuclear para todo modelo que publique o federe; en los demás casos recomendado. - CON-11 es nuclear: es el único camino de captura y clasificación de las ediciones externas intencionadas, disparado por los Eventos de deriva de MIR-7. - ACT-12 es nuclear allí donde algún proceso ACT corra en T3 o se declare alguna clase de actuación de emergencia; en los demás casos recomendado. Cada familia reenuncia el conjunto nuclear resultante en su propia visión general. Nuclear es una afirmación de capacidad, no de carga de calendario: la mayoría de los procesos nucleares son dirigidos por eventos y corren solo cuando ocurre su disparador (una corrección, una cuarentena, un incidente, una retirada). Lo que acota al operador en solitario son las obligaciones permanentes, y bajo este perfil DEBERÁN reducirse a exactamente tres: el barrido semanal combinado, la revisión trimestral consolidada, y los monitores continuos declarados de los registros del modelo. Todo cambio de la paleta que añadiera una cuarta obligación permanente al perfil Solo o mínimo es un cambio de paleta que exige re-adjudicación, no una edición local de familia. ## 7. Carril rápido editorial Esta cláusula es normativa y transversal a las familias. Para los cambios clasificados como editoriales o correctivos por debajo de un umbral de tamaño declarado, una única tubería de agente en T3 PUEDE ejecutar la admisión, la captura de procedencia, las comprobaciones de puerta, la aprobación automática, el versionado y el sellado del código de razón de punta a punta, y emitir UN Evento compuesto. Ese único Evento es evidencia conforme para CON-1, CON-2, CON-3, CON-4 y CON-6, para el sellado de razón de MIR-10, y para el registro de ejecución de CTX-5. El clasificador del carril es el clasificador mecánico basado en diferencias del control de aprobación automática (una configuración de puerta maestrada en GOV-2): la clasificación que consume la compuerta del carril NO DEBERÁ originarse en el agente que presenta ni en su orquestador, y todo cambio que toque palabras normativas, esquemas, identidades, entradas de registro, contratos o cualquier conjunto de datos crítico para la seguridad (IC-4) es estructuralmente inelegible sea cual sea la clasificación propuesta. Los desajustes entre clasificación y diferencia se registran como hallazgos. ## 8. El patrón de recertificación de registros Un patrón genérico cubre toda recertificación periódica de entradas de registro, enunciado aquí una vez e invocado por referencia en todas partes: 1. Enumerar las entradas del registro. 2. Comprobar la edad y el uso real de cada entrada contra los umbrales declarados. 3. Re-aprobar, enmendar o retirar cada entrada por decisión del aprobador declarado. 4. Registrar el resultado como Evento versionado por registro. El patrón se parametriza por registro, umbrales y aprobador. Los ocho bucles de recertificación de la paleta (ACT-1.7, ACT-3.7, CON-10.7, CTX-9.8, FED-3.8, MIR-6.7, la revisión de la taxonomía MIR-10, QSC-6.6) invocan este patrón por referencia y añaden solo sus parámetros específicos de registro; no vuelven a enunciar la mecánica. Bajo el perfil Solo o mínimo el patrón se ejecuta una vez por trimestre sobre todos los registros, según la sección 6, cláusula 1. ## 9. Valores por defecto entregados Ninguna compuerta de la paleta puede quedar indecidible en el momento de instalar. Todo predicado de compuerta es un artefacto de configuración versionado de GOV-2 con un valor por defecto entregado: un modelo es conforme desde el primer día adoptando los valores por defecto, y toda desviación de un valor por defecto es un cambio de GOV-2 versionado y aprobado, jamás una edición en sitio. Los valores por defecto entregados con nombre son: - Matriz de impacto (citada como entrada obligatoria por toda carta ACT): clases de impacto bajo, medio y alto cruzadas con clases de reversibilidad reversible, compensable e irreversible; umbrales por defecto: umbral de evaluación medio, umbral de plan de reversión medio, umbral de separación de funciones y evidencia independiente alto; valor por defecto en solitario: todo lo reversible y dentro de alcance queda por debajo del umbral. - Umbrales de FED-8: los umbrales de promoción y operativo por defecto se expresan como predicados de Vector de confianza sobre dimensiones de confianza nombradas, jamás como puntuaciones escalares. - Ventana de correlación de ACT-2: misma clase de señal y mismo sujeto dentro de la cadencia declarada de la clase. - Esquema de evaluación de ACT-4: el esquema mínimo de salida de valor, coste y riesgo; el registro de verificación de ACT-9 lista el conjunto afectado observado en ese mismo esquema. - Orden semántico de MIR-4: número de secuencia de la fuente, con recurso al tiempo de ocurrencia. - Reglas de selección de CTX-1: anclas más relaciones declaradas a un salto más restricciones citadas; redactar las reglas de selección es un paso nombrado del Custodio que parte de este conjunto por defecto. Un modelo que no ha cambiado ninguno de estos corre enteramente sobre los valores por defecto entregados y DEBERÁ declararlo en su manifiesto; un modelo que ha cambiado alguno cita las versiones de configuración de GOV-2 en vigor. ## 10. Disciplina de citación Los textos de familia citan esta ley como COMMON con un número de sección (por ejemplo: niveles según COMMON 3, IC-3 según COMMON 4). Las citas de canon usan el nombre del documento canónico y la sección (Contract.md 5-6, Federation-Contracts.md 3a, Data-Mastership 6, Data-Mastership 7, Lifecycle 13, Trust-Model.md 6a-7, Consent-and-Disclosure 12, Conflict-Resolution 4a). El tiempo de registro y el tiempo de efecto se introducen en la paleta como bitemporalidad de la intención, un concepto de la paleta sin cita de canon, expresado por el Ciclo de vida de versiones (Borrador y Propuesta frente a Activa) más las marcas de tiempo de los Eventos. Las referencias al Meta-Orchestrator State apuntan al repositorio externo de la Dimensión de referencia, no al estándar.