Continuidade com zero perda de dados.
RPO zero não é slogan. É uma promessa contratual sobre cenários nomeados, com critérios de aceite e ensaios periódicos. Fora desses cenários, dizemos exatamente o que esperar.
O que RPO realmente significa para o negócio.
RPO (Recovery Point Objective) é o volume de transações que o negócio aceita perder em um evento adverso. RPO zero significa: nenhuma transação confirmada ao usuário pode desaparecer.
Foto periódica do estado. Útil para recuperação histórica, mas implica perder o que aconteceu entre fotos.
Cópia próxima do tempo real. Reduz a perda, mas não a elimina e não cobre cenários de corrupção lógica.
Combinação de garantias técnicas e contratuais sobre cenários nomeados, com prova periódica de que o RPO contratado é honrado.
Princípios que sustentam o RPO zero homologado.
- 01Persistência síncrona em domínios independentes
A transação só é confirmada ao usuário quando está durável em mais de um domínio cuja falha é descorrelacionada.
- 02Idempotência em escrita crítica
Tentativas repetidas após falha não produzem duplicidade nem perda silenciosa de transação.
- 03Imutabilidade do log de transações
Mesmo sob corrupção lógica do estado principal, o histórico autoritativo continua íntegro e reconstrutível.
- 04Separação entre dado e operação
Ninguém com permissão para operar o sistema tem permissão isolada para destruir o histórico do dado.
- 05Ensaios periódicos de recuperação
Não basta poder recuperar. Recuperamos em janelas combinadas e registramos evidência para auditoria.
- 06Janela de retenção declarada
Quanto tempo o sistema pode regredir, com que granularidade e a que custo é parte do contrato, não decisão de runtime.
O que está coberto e o que não está.
- Falha de instância de processamento
Queda de nó, região ou zona homologada não causa perda de transação confirmada.
- Falha de armazenamento primário
Corrupção ou indisponibilidade do armazenamento principal mantém o histórico autoritativo intacto e reconstrutível.
- Erro de aplicação dentro do escopo
Bugs em fluxos cobertos não levam a perda silenciosa: a transação é rejeitada ou registrada, nunca esquecida.
- Ensaio de recuperação anual
Demonstração periódica, com relatório, de que a promessa de RPO continua válida ao longo do tempo.
- Erros do operador do cliente
Comandos administrativos legítimos executados pelo cliente fora do escopo homologado podem destruir dado por desenho.
- Infraestrutura fornecida por terceiros não cobertos
Provedores ou integrações fora do anexo técnico não entram na promessa de continuidade.
- Eventos sistêmicos não homologados
Cenários explicitamente listados como fora do escopo, como falha simultânea de múltiplas regiões geográficas.
- Decisões deliberadas de retenção
Exclusões executadas dentro do contrato, por exigência legal ou solicitação documentada do controlador.
A promessa só vale se for medida.
Definimos com o cliente, em anexo técnico, quais cenários precisam preservar RPO zero e qual evidência os comprova.
Ensaios de recuperação executados em frequência acordada, com relatório formal entregue à governança do cliente.
Discrepâncias entre histórico autoritativo e estado de operação geram alerta antes do dano se consolidar.
Toda mudança que possa afetar a promessa de RPO passa por revisão conjunta antes de produção.