Nestly

À volta de uma criança neurodivergente orbita uma pequena constelação de adultos — pais, um professor, um coordenador de educação especial, um terapeuta ocupacional, por vezes um terapeuta da fala, por vezes um pediatra. Cada um tem um fragmento da imagem. Cada um comunica com os outros por email, grupos de WhatsApp, relatórios em papel e PDFs trocados em três apps. A criança é o único stakeholder sem voz em nenhum desses tópicos.

O briefing era dar à criança um único registo que os adultos à volta pudessem co-editar com responsabilidade. Não uma app de chat. Não um CRM. Mais próximo de um dossier partilhado onde cada papel tem permissões estruturadas, cada alteração é auditável, e os dados da criança pertencem inequivocamente ao pai/mãe.

A arquitectura tinha de sobreviver ao stakeholder mais fragmentado do sistema: a escola. O que significa funcionar sem apoio de IT, sem single sign-on, sem ninguém a ler documentação.

Desenhámos o modelo de papéis antes de um único ecrã. Cinco papéis — pai/mãe (owner), professor, coordenador de escola, terapeuta, médico — com permissões default diferentes sobre um ChildRecord partilhado que contém perfil, planos pedagógicos, observações comportamentais, notas médicas e marcos. Os pais vêem tudo; os professores vêem só o que lhes for explicitamente concedido; os terapeutas vêem o relevante à intervenção. Audit log em cada leitura e escrita.

O modelo de dados coloca a criança como raiz, não o utilizador. Cada vista filtra por ChildRecord, cada entidade pertence a uma criança, e a transferência parental (divórcio, mudança de guarda) é uma operação suportada e não uma reflexão tardia.

Em UX, a constraint foi 'funcional em 90 segundos para um pai cansado'. Convidar um professor é um formulário. Receber convite é um clique. Adicionar uma nota comportamental é uma frase e uma tag. O modelo mental de toda a gente é 'isto é o caderno da criança' — não 'isto é um dashboard SaaS'.

Cada ChildRecord é a sua unidade de tenant. Cada query filtra por child_id com guarda row-level verificada na camada ORM; nenhum código de negócio pode acidentalmente cruzar crianças. Postgres + Drizzle gerem o schema; tRPC tipa cada superfície API ponta-a-ponta; Auth.js gere convites por magic-link.

O trabalho interessante foi no *modelo de consentimento*. Terapeutas e professores podem ter acesso de leitura ou escrita a secções específicas do registo (ex.: notas comportamentais sim, médicas não). As concessões têm prazo (ex.: 'este ano lectivo') e são visíveis aos pais num único ecrã. Revogar o acesso limpa as vistas em cache; nada fica.

As notificações usam email em vez de push porque a audiência verifica email profissionalmente — e explicitamente não construímos feed nem superfície de engajamento. O produto quer ser aberto, usado pouco e fechado. Não scrollado.