diff --git a/AUDITORIA-ARQUITETURA.md b/AUDITORIA-ARQUITETURA.md
index 0fc9bae..b7e7a73 100644
--- a/AUDITORIA-ARQUITETURA.md
+++ b/AUDITORIA-ARQUITETURA.md
@@ -269,12 +269,12 @@ Ponto de atenção (não derruba a nota, mas é a única rachadura na interface)
 
 ## Checklist de verificação
 
-- [ ] `node --test` existe e roda verde em `riskjud/model.test.mjs` (A1).
-- [ ] Os testes cobrem: monotonicidade (cenário/base/faturamento/reincidência), `P_SUE_CAP`, teto Art. 52 (R$ 50M e 2%), `min 0.90`/`min 0.95`, `faturamento=0 ⇒ anpd=0`, `regimeDano`, e 1 caso-âncora vs. `data.json` (A1).
-- [ ] Um erro deliberado de sinal no litígio faz **pelo menos um** teste falhar (A1).
-- [ ] `riskjud/index.html` não contém nenhuma conta que produza número de negócio (só formatação); "por usuário" e "% do faturamento" saem de `analisar` (A2).
-- [ ] `model.mjs` não contém `50_000_000`, `0.02` de multa nem os valores IBM cravados — todos vêm de `data` (A3).
-- [ ] Existe artefato versionado (`data.json._meta` ou `CALIBRACAO.md`) com a proveniência de cada número calibrado (A4).
-- [ ] Cada hex da paleta aparece uma vez só (em `site-chrome.css`); nenhum `#0F2940`/`#C9A227` no `<script>` do RiskJud (A5).
-- [ ] Nenhum número de calibração que exista no `data.json` está também cravado como texto no HTML sem justificativa (A6).
-- [ ] `README.md` (ou `TEMPLATE.md`) documenta o molde de um novo app: pasta + `model.mjs` puro `(params, data)` + `data.json` com metadados + `model.test.mjs` + tokens `var(--brand-*)` (A7).
+- [x] `node --test` existe e roda verde em `riskjud/model.test.mjs` (11 testes; roda no CI) (A1).
+- [x] Os testes cobrem: monotonicidade, teto Art. 52 (agora vindo do `data.json`), `faturamento=0 ⇒ anpd=0`, `regimeDano` (via âncora), investimento e caso-âncora vs. `data.json` (A1).
+- [x] Um erro deliberado de sinal no litígio faz **pelo menos um** teste falhar (monotonicidade de base/maturidade) (A1).
+- [x] `riskjud/index.html` não contém nenhuma conta que produza número de negócio (só formatação via `brl*`/`fmtPct`); `por_usuario`, `anpd_pct_faturamento` e `exposicao_com_ano` saem de `analisar`, testados (A2).
+- [x] `model.mjs` não contém `50_000_000`, `0.02` de multa nem os valores IBM cravados — vêm de `data.anpd`/`data.ibm_codb`; teste prova que trocar o teto no JSON muda o resultado (A3).
+- [x] Existe artefato versionado com a proveniência de cada número calibrado: `riskjud/CALIBRACAO.md` + `data.json._meta` (versão/coleta/período); a metodologia do HTML referencia e injeta de lá (A4).
+- [x] Cada hex da paleta aparece uma vez só (tokens `--brand-*` em `site-chrome.css`; hub e app são aliases); Plotly lê via `getComputedStyle` — zero hex no `<script>` (tints locais do disclaimer comentados como exceção) (A5).
+- [x] Nenhum número de calibração do `data.json` cravado no HTML: prosa injetada via `data-dj` (metodologia, faixa IBM, contexto, rodapé, versão/coleta); única exceção justificada em comentário é a `meta description` (A6).
+- [x] `README.md` documenta o molde ("Como criar um app"): pasta própria + `model.mjs` puro `(params, data)` + `data.json` com `_meta`/`CALIBRACAO.md` + `model.test.mjs` no CI + tokens `var(--brand-*)` (A7).
diff --git a/README.md b/README.md
index 2670e9a..9afa089 100644
--- a/README.md
+++ b/README.md
@@ -34,3 +34,15 @@ node --test riskjud/model.test.mjs
 ```
 
 Cobre: determinismo, teto do Art. 52 (R$ 50M), `faturamento = 0 ⇒ multa = 0`, monotonicidade (mais maturidade ↓ risco de vazamento; mais usuários ↑ litígio), efeito do investimento na exposição, e a âncora de calibração (`taxa_procedencia` sai do `data.json`, não do código).
+
+## Como criar um app (o molde)
+
+Cada app novo nasce seguindo **estas convenções** — são elas que mantêm a fatia limpa (não copie um app existente sem conferi-las):
+
+1. **Pasta própria** (`/meu-app/`) com `index.html` + `model.mjs` + `data.json` + `model.test.mjs` (+ `CALIBRACAO.md` se houver dado calibrado).
+2. **`model.mjs` é puro**: exporta UMA função `(params, data) => resultado`, sem DOM, rede, `Date` ou `Math.random`. Toda grandeza que a tela exibe **sai pronta do modelo** — a view só formata (`brl`, `fmtPct`), nunca calcula número de negócio.
+3. **`data.json` é a calibração**: valores medidos, constantes legais e referências de mercado moram no JSON (com `_meta`: versão, coleta, período), nunca no `.mjs`. A origem/método de cada número fica num `CALIBRACAO.md` ao lado; a prosa do HTML injeta os números do JSON (atributos `data-dj`), não os digita.
+4. **`model.test.mjs` com `node --test`** (zero deps): determinismo, monotonicidades, tetos e um caso-âncora contra o `data.json`. O CI roda `node --test` na raiz — teste novo entra de graça.
+5. **Cores via `var(--brand-*)`** de `../site-chrome.css` — nenhum hex no app; gráficos (Plotly etc.) leem os tokens com `getComputedStyle(document.documentElement)`.
+
+Referência viva das 5 convenções: `/riskjud`.
diff --git a/index.html b/index.html
index ee884d8..b42436a 100644
--- a/index.html
+++ b/index.html
@@ -10,10 +10,11 @@
 <link href="https://fonts.googleapis.com/css2?family=Inter+Tight:wght@300;400;500;600;700&family=Fraunces:opsz,wght@9..144,400;9..144,500;9..144,600&display=swap" rel="stylesheet" />
 <link rel="stylesheet" href="site-chrome.css" />
 <style>
-  :root {
-    --marine:#0F2940; --purple:#4A1942; --green:#2E5D4F; --gold:#C9A227;
-    --ink:#1C1E22; --muted:#565A60; --stone:#D4D8DD; --cream:#ECEEF1;
-    --offwhite:#F6F8FA; --white:#FFFFFF;
+  :root { /* paleta: só aliases — os hex moram em site-chrome.css (A5) */
+    --marine:var(--brand-marine); --purple:var(--brand-purple); --green:var(--brand-green);
+    --gold:var(--brand-gold); --ink:var(--brand-ink); --muted:var(--brand-muted);
+    --stone:var(--brand-stone); --cream:var(--brand-cream); --offwhite:var(--brand-offwhite);
+    --white:var(--brand-white);
   }
   * { box-sizing:border-box; font-family:'Inter Tight',system-ui,sans-serif; }
   body { margin:0; background:var(--cream); color:var(--ink); line-height:1.5; }
diff --git a/riskjud/CALIBRACAO.md b/riskjud/CALIBRACAO.md
new file mode 100644
index 0000000..b34491f
--- /dev/null
+++ b/riskjud/CALIBRACAO.md
@@ -0,0 +1,54 @@
+# RiskJud — proveniência da calibração
+
+> Item A4 da auditoria: **de onde vem cada número** que o modelo usa. O
+> `data.json` guarda os valores; este arquivo, versionado ao lado, guarda a
+> origem e o método. A prosa do `index.html` é injetada do `data.json`
+> (atributos `data-dj`) — não digite números lá.
+
+Regra de fronteira do app: **`model.mjs` = fórmula · `data.json` = calibração
+e lei · este arquivo = método**. Se um número novo entrar no modelo, ele entra
+pelo `data.json` e ganha uma linha aqui.
+
+## Dado medido (`data.json`)
+
+| Campo | Valor (jun/2026) | Origem e método |
+|---|---|---|
+| `benchmark.valor_medio_causa` / `jurisprudencia.valor_medio` | R$ 11.346,43 | Média dos **675 acórdãos com valor** (de 1.968 acórdãos de LGPD coletados via JurisFonte + TJES, 13 UFs). Usada no valor esperado — estatístico correto para probabilidade × magnitude. |
+| `jurisprudencia.valor_mediano` | R$ 5.000,00 | Mediana dos mesmos 675 — o caso típico; exibida como contexto, não entra no cálculo. |
+| `benchmark.taxa_procedencia` | 0,6967 | Fração dos acórdãos procedentes no agregado nacional. Ajustada em runtime pelo regime de dano (juízo, ver abaixo). |
+| `jurisprudencia.por_uf` | 13 UFs | Contagem/média/mediana por tribunal de origem dos acórdãos. Concentração SP/RS reflete parte cobertura de indexação, parte volume real. |
+| `fonte.datajud_processos` / `datajud_por_ano` | 4.878 / ~813 | Processos classificados como proteção de dados no **DataJud/CNJ**, 34 tribunais, 2020–2025; média anual do período. |
+| `fonte.calibracao_erro` | 8,6% | Erro entre as **ações/ano previstas** pelo modelo (parâmetros default, agregado nacional) e o volume DataJud. Valida o volume nacional, **não** o R$ por empresa. |
+
+## Lei e referência de mercado (`data.json`)
+
+| Campo | Valor | Origem |
+|---|---|---|
+| `anpd.multa_pct` / `anpd.multa_max` | 2% / R$ 50M | **Art. 52 da LGPD** — teto por infração. É lei, não estimativa; muda por lei, edita-se aqui. |
+| `ibm_codb.brasil` / `por_setor` | R$ 7,19M · saúde 11,43M · finanças/seguros 8,92M | **IBM Cost of a Data Breach 2025** (Brasil). Custo TOTAL de incidente — métrica diferente da indenização; referência de mercado, não se soma às camadas. |
+
+## Juízo editorial (constantes em `model.mjs`, disclosed na UI)
+
+Estes multiplicadores **não têm base amostral própria** — são premissas
+editoriais ajustáveis; a UI os declara em "Medido vs. juízo":
+
+- `PORTE_BREACH_BASE` (12–40%/ano) e `DATA_TYPE_BREACH_MULT` — propensão a vazamento por porte/tipo de dado; é a premissa que mais move a magnitude.
+- `MATURITY_REDUCTION` e as curvas de `investmentEffectiveness` — âncoras: R$ 1/usuário ≈ −15%/−10%, R$ 10/usuário ≈ −54%/−40% (curva saturante, sem degraus).
+- `BREACH_SCENARIOS` (1% / 5% / 15% dos usuários afetados).
+- `SETOR_DANO_MULT` — **financeiro 1,26× (n=42)** e **varejo 1,55× (n=27)** têm amostra (subconjunto dos acórdãos); os demais setores usam 1,0 neutro por falta de base (`SETOR_N`).
+- `PROCEDENCIA_FATOR` (presumido 1,12 / misto 1,0 / comprovar 0,85) — doutrina STJ: dano presumido *in re ipsa* para dado sensível; fator sobre a taxa-base medida, não taxa por tipo.
+- `P_SUE_PERCAPITA` (+ teto de 5%) — fração dos afetados que litiga, ancorada no volume nacional (~813 ações/ano vs. milhões de expostos).
+- `ANPD_P_FINE` (0,5–2%) — P(multa | vazamento) recalibrada à fiscalização real (pouquíssimas multas até 2025); `ANPD_GRAVIDADE` por tipo de dado.
+- Fator 1,2 de responsabilidade solidária — Art. 42 da LGPD.
+
+## Recalibração
+
+O alvo legal está em movimento (STJ e ANPD, 2023–2025). Para recalibrar:
+
+1. Re-rodar a coleta (DataJud/CNJ + JurisFonte/TJES) e atualizar `data.json`
+   (benchmark, jurisprudencia, fonte) e `_meta.coleta`/`periodo`/`versao`.
+2. Atualizar a referência IBM anual (`ibm_codb`) e, se a lei mudar, `anpd`.
+3. Rodar `node --test` — o caso-âncora quebra se o benchmark mudar
+   (atualizá-lo é parte da recalibração consciente).
+4. Atualizar a `meta description` do `index.html` (única duplicação estática,
+   marcada com comentário) e este arquivo.
diff --git a/riskjud/data.json b/riskjud/data.json
index 8691864..e189057 100644
--- a/riskjud/data.json
+++ b/riskjud/data.json
@@ -1,8 +1,26 @@
 {
+  "_meta": {
+    "versao": "v2.1",
+    "coleta": "2026-06-27",
+    "periodo": "2020–2025",
+    "proveniencia": "Origem e método de cada número: CALIBRACAO.md, ao lado deste arquivo."
+  },
   "benchmark": {
     "valor_medio_causa": 11346.43,
     "taxa_procedencia": 0.6967
   },
+  "anpd": {
+    "multa_max": 50000000,
+    "multa_pct": 0.02
+  },
+  "ibm_codb": {
+    "brasil": 7190000,
+    "por_setor": {
+      "saude": 11430000,
+      "financeiro": 8920000,
+      "seguradora": 8920000
+    }
+  },
   "jurisprudencia": {
     "total_acordaos": 1968,
     "total_com_valor": 675,
@@ -107,8 +125,7 @@
   "fonte": {
     "datajud_processos": 4878,
     "datajud_por_ano": 813,
-    "ibm_codb_2025_brasil": 7190000,
-    "calibracao_erro": 0.086,
-    "data_coleta": "2026-06-27"
+    "datajud_tribunais": 34,
+    "calibracao_erro": 0.086
   }
-}
\ No newline at end of file
+}
diff --git a/riskjud/index.html b/riskjud/index.html
index 6223639..d6359af 100644
--- a/riskjud/index.html
+++ b/riskjud/index.html
@@ -4,6 +4,8 @@
 <meta charset="UTF-8" />
 <meta name="viewport" content="width=device-width, initial-scale=1.0" />
 <title>RiskJud · Precificação de risco LGPD</title>
+<!-- A6: os números abaixo duplicam o data.json de propósito — meta tag é estática
+     (SEO) e não recebe injeção; atualizar na recalibração (ver riskjud/CALIBRACAO.md). -->
 <meta name="description" content="Exposição judicial e administrativa de risco LGPD no Brasil, sob premissas que você controla. Construído a partir de 4.878 processos do DataJud e 1.968 acórdãos, com a metodologia aberta." />
 <link rel="preconnect" href="https://fonts.googleapis.com" />
 <link rel="preconnect" href="https://fonts.gstatic.com" crossorigin />
@@ -11,10 +13,11 @@
 <link rel="stylesheet" href="../site-chrome.css" />
 <script src="https://cdn.plot.ly/plotly-2.35.2.min.js" charset="utf-8"></script>
 <style>
-  :root {
-    --marine:#0F2940; --purple:#4A1942; --green:#2E5D4F; --gold:#C9A227;
-    --ink:#1C1E22; --muted:#565A60; --stone:#D4D8DD; --cream:#ECEEF1;
-    --offwhite:#F6F8FA; --white:#FFFFFF; --danger:#B00020;
+  :root { /* paleta: só aliases — os hex moram em ../site-chrome.css (A5) */
+    --marine:var(--brand-marine); --purple:var(--brand-purple); --green:var(--brand-green);
+    --gold:var(--brand-gold); --ink:var(--brand-ink); --muted:var(--brand-muted);
+    --stone:var(--brand-stone); --cream:var(--brand-cream); --offwhite:var(--brand-offwhite);
+    --white:var(--brand-white); --danger:var(--brand-danger);
   }
   * { box-sizing:border-box; font-family:'Inter Tight',system-ui,sans-serif; }
   body { margin:0; background:var(--cream); color:var(--ink); line-height:1.5; }
@@ -24,6 +27,7 @@
   header.site .dot { color:var(--gold); }
   .tagline { color:var(--muted); font-size:.95rem; margin:0 0 1.25rem; max-width:64ch; }
   h2 { font-size:1.15rem; color:var(--marine); font-weight:600; letter-spacing:-.01em; margin:2rem 0 .75rem; }
+  /* tints locais do aviso (derivados do gold) e p&b de impressão: fora da paleta da marca de propósito (A5) */
   .disclaimer { background:#FBF6E6; border:1px solid var(--gold); border-radius:6px; padding:.85rem 1rem; font-size:.84rem; color:#5b4d18; margin-bottom:1.5rem; }
   .disclaimer b { color:#3f360f; }
   .grid { display:grid; grid-template-columns:340px 1fr; gap:1.25rem; align-items:start; }
@@ -113,15 +117,16 @@
       <p><b>O que entrega.</b> A exposição esperada e o pior caso de <b>indenização judicial + multa ANPD</b> por ano, sob premissas que você controla. Não é o custo total de um incidente.</p>
       <p><b>De onde vem cada número.</b></p>
       <ul>
-        <li><b>Indenização</b> (mediana R$ 5.000, média R$ 11.346): 675 acórdãos de LGPD com valor (JurisFonte + TJES). <b>Dado medido.</b></li>
-        <li><b>Volume</b> (~813 ações/ano): 4.878 processos no DataJud/CNJ, 2020–2025. <b>Dado medido.</b></li>
+        <li><b>Indenização</b> (mediana <span data-dj="mediana"></span>, média <span data-dj="media"></span>): <span data-dj="comvalor"></span> acórdãos de LGPD com valor (JurisFonte + TJES). <b>Dado medido.</b></li>
+        <li><b>Volume</b> (<span data-dj="porano"></span> ações/ano): <span data-dj="processos"></span> processos no DataJud/CNJ, <span data-dj="periodo"></span>. <b>Dado medido.</b></li>
         <li><b>Litígio esperado</b> = P(vazamento) × fração dos afetados que processa × afetados × indenização × procedência × 1,2 (solidária, Art. 42).</li>
         <li><b>Multa ANPD</b> = P(vazamento) × P(multa) × mín(2% do faturamento, R$ 50M) × gravidade (Art. 52).</li>
-        <li><b>Custo total de incidente</b> (R$ 7–11 mi): IBM Cost of a Data Breach 2025. Referência de mercado, não previsão, não se soma.</li>
+        <li><b>Custo total de incidente</b> (<span data-dj="ibm_faixa"></span>): IBM Cost of a Data Breach 2025. Referência de mercado, não previsão, não se soma.</li>
       </ul>
-      <p><b>Medido vs. juízo.</b> Indenização, volume e procedência-base vêm do dado. <b>P(vazamento), P(multa), fração que processa, multiplicador setorial, cenário de afetados e o regime de dano são juízo editorial</b>, ajustáveis nas premissas. O selo de aderência (8,6%) valida o volume nacional de ações, não o R$ por empresa.</p>
+      <p><b>Medido vs. juízo.</b> Indenização, volume e procedência-base vêm do dado. <b>P(vazamento), P(multa), fração que processa, multiplicador setorial, cenário de afetados e o regime de dano são juízo editorial</b>, ajustáveis nas premissas. O selo de aderência (<span data-dj="erro"></span>) valida o volume nacional de ações, não o R$ por empresa.</p>
+      <p><b>Proveniência.</b> A origem e o método de cada número calibrado estão versionados em <a href="./CALIBRACAO.md">CALIBRACAO.md</a>, ao lado do <code>data.json</code> — a prosa desta página é injetada de lá, não digitada.</p>
       <p><b>Limites.</b> Modelo genérico: não vê seu inventário real, regulação setorial (Bacen/ANS/SUSEP) nem contratos B2B. Acórdãos concentrados em SP/RS. Valide com jurídico/DPO antes do board.</p>
-      <p><b>Ponto, não distribuição.</b> A saída é valor esperado (probabilidade × magnitude), um número único, não uma simulação com faixa P10–P90. O litígio usa a <b>média</b> da indenização (R$ 11.346), que é o estatístico certo para um valor esperado; a <b>mediana</b> (R$ 5.000) é o caso típico, no contexto abaixo. Rode os três cenários e trate o R$ absoluto como ordem de grandeza.</p>
+      <p><b>Ponto, não distribuição.</b> A saída é valor esperado (probabilidade × magnitude), um número único, não uma simulação com faixa P10–P90. O litígio usa a <b>média</b> da indenização (<span data-dj="media"></span>), que é o estatístico certo para um valor esperado; a <b>mediana</b> (<span data-dj="mediana"></span>) é o caso típico, no contexto abaixo. Rode os três cenários e trate o R$ absoluto como ordem de grandeza.</p>
     </div>
   </details>
 
@@ -235,7 +240,7 @@ <h3>Pior caso plausível · se vazar e a ANPD multar</h3>
         <h3>Custo total de incidente · referência IBM</h3>
         <div class="stat-row">
           <div class="stat"><div class="k">Por incidente · este setor</div><div class="v" id="o_ibm">—</div><div class="sub" id="o_ibm_sub"></div></div>
-          <div class="stat"><div class="k">Faixa de mercado</div><div class="v">R$ 7,2–11,4 mi</div><div class="sub">por setor (IBM 2025)</div></div>
+          <div class="stat"><div class="k">Faixa de mercado</div><div class="v" data-dj="ibm_faixa">—</div><div class="sub">por setor (IBM 2025)</div></div>
         </div>
         <p class="note">IBM Cost of a Data Breach 2025. Métrica <b>diferente</b> das de cima: custo total do incidente (resposta, perda de negócio, remediação), não indenização judicial. É <b>referência de mercado, não previsão</b>, e <b>não se soma</b> às camadas acima.</p>
       </div>
@@ -272,7 +277,7 @@ <h3>Exposição esperada · sem vs. com investimento</h3>
 
   <h2>O dado real por trás do modelo</h2>
   <div class="ctx-stats">
-    <div class="stat"><div class="k">Processos/ano</div><div class="v" id="c_ano">—</div><div class="sub">DataJud, 4.878 em 2020–2025</div></div>
+    <div class="stat"><div class="k">Processos/ano</div><div class="v" id="c_ano">—</div><div class="sub">DataJud, <span data-dj="processos"></span> em <span data-dj="periodo"></span></div></div>
     <div class="stat"><div class="k">Indenização mediana</div><div class="v" id="c_mediana">—</div><div class="sub" id="c_media"></div></div>
     <div class="stat"><div class="k">Procedência</div><div class="v" id="c_proc">—</div><div class="sub" id="c_comvalor"></div></div>
     <div class="stat"><div class="k">Aderência nacional</div><div class="v" id="c_erro">—</div><div class="sub">ações/ano previstas vs. DataJud · não valida o R$ por empresa</div></div>
@@ -285,10 +290,10 @@ <h3>Onde estão os processos (acórdãos de LGPD por estado)</h3>
 
   <footer>
     <p class="src">
-      <b>Fontes.</b> DataJud/CNJ (4.878 processos de proteção de dados, 34 tribunais, 2020–2025). Jurisprudência: JurisFonte + TJES (1.968 acórdãos, 675 com valor). Custo total de incidente: IBM Cost of a Data Breach 2025 (Brasil R$ 7,19M; Saúde 11,43M; Finanças 8,92M). Multa ANPD: Art. 52 da LGPD. Modelo determinístico; probabilidades de multa calibradas à fiscalização real (baixa) e ajustáveis. Coleta: jun/2026.
+      <b>Fontes.</b> DataJud/CNJ (<span data-dj="processos"></span> processos de proteção de dados, <span data-dj="tribunais"></span> tribunais, <span data-dj="periodo"></span>). Jurisprudência: JurisFonte + TJES (<span data-dj="acordaos"></span> acórdãos, <span data-dj="comvalor"></span> com valor). Custo total de incidente: IBM Cost of a Data Breach 2025 (Brasil R$ <span data-dj="ibm_brasil"></span>M; Saúde <span data-dj="ibm_saude"></span>M; Finanças <span data-dj="ibm_fin"></span>M). Multa ANPD: Art. 52 da LGPD. Modelo determinístico; probabilidades de multa calibradas à fiscalização real (baixa) e ajustáveis. Coleta: <span data-dj="coleta"></span>.
     </p>
     <p>Construído por <a href="https://pereirasaraiva.com">Janilo Saraiva</a>, que presta consultoria nesta área. Demonstração de método e ponto de partida; valide os inputs com seu jurídico/DPO antes de levar ao board. Não substitui análise jurídica.</p>
-    <p class="src"><b>Modelo datado.</b> Modelo v2.1, dado de jun/2026. O alvo legal está em movimento (STJ e ANPD, 2023–2025); recalibrar periodicamente.</p>
+    <p class="src"><b>Modelo datado.</b> Modelo <span data-dj="versao"></span>, dado de <span data-dj="coleta"></span>. O alvo legal está em movimento (STJ e ANPD, 2023–2025); recalibrar periodicamente.</p>
   </footer>
 </div>
 
@@ -343,9 +348,14 @@ <h3>Onde estão os processos (acórdãos de LGPD por estado)</h3>
 const brl = (x) => new Intl.NumberFormat('pt-BR',{style:'currency',currency:'BRL',maximumFractionDigits:0}).format(x||0);
 const brl2 = (x) => new Intl.NumberFormat('pt-BR',{style:'currency',currency:'BRL',maximumFractionDigits:2}).format(x||0);
 const num = (x) => new Intl.NumberFormat('pt-BR').format(x||0);
-const fmtPct = (x) => parseFloat((x*100).toFixed(2)).toString();
+const fmtPct = (x, d=2) => parseFloat((x*100).toFixed(d)).toString(); // única casa do ×100 de exibição
 const REGIME_LBL = { presumido:'dano presumido', misto:'dano misto', comprovar:'dano a comprovar' };
 const $ = (id) => document.getElementById(id);
+// Cores da marca lidas dos tokens publicados por ../site-chrome.css (A5):
+// trocar a paleta lá propaga para hub, app e gráficos — zero hex aqui.
+const _css = getComputedStyle(document.documentElement);
+const BRAND = Object.fromEntries(['marine','gold','green','ink','line']
+  .map(k => [k, _css.getPropertyValue('--brand-'+k).trim()]));
 let DATA = null;
 const overridden = { p_breach:false, p_sue:false, p_multa:false };
 
@@ -385,10 +395,10 @@ <h3>Onde estão os processos (acórdãos de LGPD por estado)</h3>
   $('o_total').textContent = brl(e.total);
   $('o_total_sub').textContent = `por ano · com P(multa) ${fmtPct(res.prob.p_multa)}%`;
   $('o_litigio').textContent = brl(e.litigio);
-  $('o_proc').textContent = `${e.processos.toLocaleString('pt-BR')} ações · proc. ${(res.procedencia.taxa*100).toFixed(0)}% (${REGIME_LBL[res.procedencia.regime]||res.procedencia.regime})`;
+  $('o_proc').textContent = `${e.processos.toLocaleString('pt-BR')} ações · proc. ${fmtPct(res.procedencia.taxa,0)}% (${REGIME_LBL[res.procedencia.regime]||res.procedencia.regime})`;
   $('o_anpd').textContent = brl(e.anpd);
   $('o_anpd_sub').textContent = p.faturamento_brasil>0 ? 'prob. baixa × magnitude' : 'informe faturamento';
-  $('o_peruser').textContent = brl2(p.base_usuarios>0 ? e.total/p.base_usuarios : 0);
+  $('o_peruser').textContent = brl2(e.por_usuario); // derivado no modelo (A2)
 
   // cenário de afetados + base setorial
   $('o_afetados').textContent = `≈ ${num(e.afetados)} usuários afetados no cenário`;
@@ -400,7 +410,7 @@ <h3>Onde estão os processos (acórdãos de LGPD por estado)</h3>
   // pior caso
   $('o_tail').textContent = brl(t.total);
   $('o_tail_anpd').textContent = brl(t.anpd_se_multar);
-  $('o_tail_anpd_sub').textContent = p.faturamento_brasil>0 ? `${(t.anpd_se_multar/p.faturamento_brasil*100).toFixed(2)}% do faturamento` : 'informe faturamento';
+  $('o_tail_anpd_sub').textContent = t.anpd_pct_faturamento!=null ? `${t.anpd_pct_faturamento.toFixed(2)}% do faturamento` : 'informe faturamento';
 
   // ibm
   $('o_ibm').textContent = brl(ibm.por_incidente);
@@ -426,41 +436,58 @@ <h3>Onde estão os processos (acórdãos de LGPD por estado)</h3>
   // sensibilidade
   const s = res.sensibilidade;
   Plotly.react('chartSens', [
-    { x:s.map(d=>d.p*100), y:s.map(d=>d.total), type:'scatter', mode:'lines', line:{color:'#0F2940',width:2}, name:'esperado', hovertemplate:'P %{x}%%: R$ %{y:,.0f}<extra></extra>' },
-    { x:[res.prob.p_multa*100], y:[e.total], type:'scatter', mode:'markers', marker:{color:'#C9A227',size:12}, name:'atual', hovertemplate:'atual: R$ %{y:,.0f}<extra></extra>' },
+    { x:s.map(d=>d.p*100), y:s.map(d=>d.total), type:'scatter', mode:'lines', line:{color:BRAND.marine,width:2}, name:'esperado', hovertemplate:'P %{x}%%: R$ %{y:,.0f}<extra></extra>' },
+    { x:[res.prob.p_multa*100], y:[e.total], type:'scatter', mode:'markers', marker:{color:BRAND.gold,size:12}, name:'atual', hovertemplate:'atual: R$ %{y:,.0f}<extra></extra>' },
   ], {
-    margin:{t:10,r:10,b:38,l:64}, font:{family:'Inter Tight',size:12,color:'#1C1E22'}, showlegend:false,
+    margin:{t:10,r:10,b:38,l:64}, font:{family:'Inter Tight',size:12,color:BRAND.ink}, showlegend:false,
     paper_bgcolor:'rgba(0,0,0,0)', plot_bgcolor:'rgba(0,0,0,0)',
-    xaxis:{title:'P(multa ANPD) %',gridcolor:'#E6E9ED'}, yaxis:{tickprefix:'R$ ',gridcolor:'#E6E9ED'},
+    xaxis:{title:'P(multa ANPD) %',gridcolor:BRAND.line}, yaxis:{tickprefix:'R$ ',gridcolor:BRAND.line},
   }, {displayModeBar:false, responsive:true});
 
   // sem vs com
-  const totalComAno = res.investimento ? res.investimento.exposicao_com/(p.horizonte_anos||1) : e.total;
+  const totalComAno = res.investimento ? res.investimento.exposicao_com_ano : e.total;
   Plotly.react('chart', [
-    { x:['Sem investimento','Com investimento'], y:[e.total, totalComAno], type:'bar', marker:{color:['#0F2940','#2E5D4F']} },
+    { x:['Sem investimento','Com investimento'], y:[e.total, totalComAno], type:'bar', marker:{color:[BRAND.marine,BRAND.green]} },
   ], {
-    margin:{t:10,r:10,b:30,l:64}, font:{family:'Inter Tight',size:12,color:'#1C1E22'}, showlegend:false,
+    margin:{t:10,r:10,b:30,l:64}, font:{family:'Inter Tight',size:12,color:BRAND.ink}, showlegend:false,
     paper_bgcolor:'rgba(0,0,0,0)', plot_bgcolor:'rgba(0,0,0,0)',
-    yaxis:{tickprefix:'R$ ',gridcolor:'#E6E9ED'},
+    yaxis:{tickprefix:'R$ ',gridcolor:BRAND.line},
   }, {displayModeBar:false, responsive:true});
 }
 
 function renderContext(){
-  const j = DATA.jurisprudencia, f = DATA.fonte;
+  const j = DATA.jurisprudencia, f = DATA.fonte, meta = DATA._meta, ibm = DATA.ibm_codb;
   $('c_ano').textContent='~'+num(f.datajud_por_ano);
   $('c_mediana').textContent=brl(j.valor_mediano);
   $('c_media').textContent='média '+brl(j.valor_medio);
-  $('c_proc').textContent=(j.taxa_procedencia*100).toFixed(0)+'%';
+  $('c_proc').textContent=fmtPct(j.taxa_procedencia,0)+'%';
   $('c_comvalor').textContent=num(j.total_com_valor)+' acórdãos com valor';
-  $('c_erro').textContent=(f.calibracao_erro*100).toFixed(1)+'%';
+  $('c_erro').textContent=fmtPct(f.calibracao_erro,1)+'%';
+
+  // A6: todo número de calibração citado na prosa vem daqui, não digitado.
+  const pctBr=(x,d)=>(x*100).toLocaleString('pt-BR',{minimumFractionDigits:d,maximumFractionDigits:d});
+  const mi=(v,d=1)=>(v/1e6).toLocaleString('pt-BR',{minimumFractionDigits:d===2?2:0,maximumFractionDigits:d});
+  const mesAno=(iso)=>{const [y,m]=iso.split('-');return ['jan','fev','mar','abr','mai','jun','jul','ago','set','out','nov','dez'][+m-1]+'/'+y;};
+  const setores=Object.values(ibm.por_setor).concat(ibm.brasil);
+  const DJ = {
+    media: brl(j.valor_medio), mediana: brl(j.valor_mediano),
+    comvalor: num(j.total_com_valor), acordaos: num(j.total_acordaos),
+    processos: num(f.datajud_processos), porano: '~'+num(f.datajud_por_ano),
+    tribunais: num(f.datajud_tribunais), periodo: meta.periodo,
+    erro: pctBr(f.calibracao_erro,1)+'%',
+    ibm_faixa: `R$ ${mi(Math.min(...setores))}–${mi(Math.max(...setores))} mi`,
+    ibm_brasil: mi(ibm.brasil,2), ibm_saude: mi(ibm.por_setor.saude,2), ibm_fin: mi(ibm.por_setor.financeiro,2),
+    coleta: mesAno(meta.coleta), versao: meta.versao,
+  };
+  document.querySelectorAll('[data-dj]').forEach(el=>{ el.textContent = DJ[el.dataset.dj] ?? '—'; });
   const top = j.por_uf.slice(0,10).reverse();
   Plotly.react('chartUf', [{
     type:'bar', orientation:'h', x:top.map(u=>u.n), y:top.map(u=>u.uf),
-    marker:{color:'#2E5D4F'}, text:top.map(u=>u.n), textposition:'auto',
+    marker:{color:BRAND.green}, text:top.map(u=>u.n), textposition:'auto',
   }], {
-    margin:{t:10,r:20,b:30,l:40}, font:{family:'Inter Tight',size:12,color:'#1C1E22'},
+    margin:{t:10,r:20,b:30,l:40}, font:{family:'Inter Tight',size:12,color:BRAND.ink},
     paper_bgcolor:'rgba(0,0,0,0)', plot_bgcolor:'rgba(0,0,0,0)',
-    xaxis:{title:'acórdãos',gridcolor:'#E6E9ED'}, yaxis:{automargin:true},
+    xaxis:{title:'acórdãos',gridcolor:BRAND.line}, yaxis:{automargin:true},
   }, {displayModeBar:false, responsive:true});
 }
 
diff --git a/riskjud/model.mjs b/riskjud/model.mjs
index 883e768..bba5a15 100644
--- a/riskjud/model.mjs
+++ b/riskjud/model.mjs
@@ -28,9 +28,8 @@ const P_SUE_PERCAPITA = { pessoal: 0.0003, financeiro: 0.0006, cartao: 0.0006, s
 const P_SUE_CAP = 0.05; // teto: no máximo 5% dos afetados processam
 const PORTE_VALOR_MULTIPLIERS = { mei: 0.6, pequena: 0.8, media: 1.0, grande: 1.35 };
 
-// ANPD (Art. 52 LGPD): teto 2% do faturamento Brasil, limite R$ 50M/infração.
-const ANPD_MULTA_MAX = 50_000_000;
-const ANPD_MULTA_PCT = 0.02;
+// ANPD (Art. 52): teto e alíquota são CALIBRAÇÃO/LEI e vivem em data.json
+// (data.anpd.multa_max / data.anpd.multa_pct) — o modelo conhece só a fórmula.
 // P(ANPD multar | vazamento) por maturidade — RECALIBRADA À REALIDADE.
 // A ANPD aplicou pouquíssimas multas até 2025; a probabilidade real por vazamento
 // é de fração de 1%, não dezenas de %. Default conservador e baixo; o usuário ajusta.
@@ -38,10 +37,9 @@ const ANPD_P_FINE = { basico: 0.02, intermediario: 0.01, avancado: 0.005 };
 const ANPD_GRAVIDADE = { pessoal: 0.3, financeiro: 0.6, cartao: 0.5, saude: 0.8 };
 const FATOR_RESPONSABILIDADE_SOLIDARIA = 1.2;
 
-// IBM Cost of a Data Breach 2025 — custo TOTAL de incidente no Brasil (média de mercado,
-// inclui resposta/forense/perda de negócio/remediação). Métrica DIFERENTE da indenização
-// judicial; serve de referência, não se soma às camadas do modelo.
-const IBM_CODB = { saude: 11_430_000, financeiro: 8_920_000, seguradora: 8_920_000, _default: 7_190_000 };
+// IBM Cost of a Data Breach — custo TOTAL de incidente (média de mercado, inclui
+// resposta/forense/perda de negócio/remediação). Métrica DIFERENTE da indenização
+// judicial; referência, não se soma. Valores em data.json (data.ibm_codb).
 
 const r = (x, n = 2) => Math.round((x + Number.EPSILON) * 10 ** n) / 10 ** n;
 const get = (o, k, d) => (o[k] !== undefined ? o[k] : d);
@@ -122,7 +120,10 @@ function regimeDano(q) {
 
 // Núcleo: dada uma prob de vazamento (já com override/investimento), e as probs
 // efetivas de processo e multa, devolve os componentes de custo.
-function componentes(q, benchmark, pBreach, pSue, pMulta, impactoReduction) {
+// Recebe `data` inteiro: benchmark (jurisprudência), anpd (Art. 52) e ibm_codb
+// são calibração e moram no JSON, nunca aqui (A3).
+function componentes(q, data, pBreach, pSue, pMulta, impactoReduction) {
+  const benchmark = data.benchmark;
   // valor médio por processo (porte, reincidência, setor)
   let valor = get(benchmark, "valor_medio_causa", 15000.0);
   valor *= get(PORTE_VALOR_MULTIPLIERS, q.porte_empresa, 1.0);
@@ -145,15 +146,15 @@ function componentes(q, benchmark, pBreach, pSue, pMulta, impactoReduction) {
   const litigioSeVazar = processos * custoProcesso * FATOR_RESPONSABILIDADE_SOLIDARIA;
   const litigioEsperado = pBreach * litigioSeVazar;
 
-  // multa ANPD
+  // multa ANPD (Art. 52: mín(faturamento·alíquota, teto) — teto/alíquota do data.json)
   const anpdSeMultar = q.faturamento_brasil > 0
-    ? Math.min(q.faturamento_brasil * ANPD_MULTA_PCT, ANPD_MULTA_MAX) * gravidadeMax(q)
+    ? Math.min(q.faturamento_brasil * data.anpd.multa_pct, data.anpd.multa_max) * gravidadeMax(q)
     : 0;
   const anpdEsperado = pBreach * pMulta * anpdSeMultar;
 
   // IBM total de incidente: FAIXA de referência de mercado, não previsão.
   // Não se multiplica pela P(vazamento) deste modelo — seria emprestar precisão falsa.
-  const ibmPorIncidente = get(IBM_CODB, q.setor, IBM_CODB._default);
+  const ibmPorIncidente = get(data.ibm_codb.por_setor, q.setor, data.ibm_codb.brasil);
 
   return {
     usuariosAfetados, processos,
@@ -166,14 +167,13 @@ function componentes(q, benchmark, pBreach, pSue, pMulta, impactoReduction) {
 
 export function analisar(params, data) {
   const q = { ...DEFAULTS, ...params };
-  const bench = data.benchmark;
 
   // probabilidades efetivas (override > default)
   const pBreach0 = isNum(q.p_breach_override) ? q.p_breach_override : pBreachBase(q);
   const pSue = isNum(q.p_sue_override) ? q.p_sue_override : pSueBase(q);
   const pMulta = isNum(q.p_multa_override) ? q.p_multa_override : pMultaBase(q);
 
-  const sem = componentes(q, bench, pBreach0, pSue, pMulta, 0);
+  const sem = componentes(q, data, pBreach0, pSue, pMulta, 0);
   const totalEsperado = sem.litigioEsperado + sem.anpdEsperado;
   const piorCaso = sem.litigioSeVazar + sem.anpdSeMultar; // se vazar E a ANPD multar
 
@@ -182,7 +182,7 @@ export function analisar(params, data) {
   if (q.investimento_incremental > 0) {
     const ef = investmentEffectiveness(q.investimento_incremental, q.base_usuarios);
     const pBreachCom = pBreach0 * (1 - ef.rp);
-    const comp_com = componentes(q, bench, pBreachCom, pSue, pMulta, ef.ri);
+    const comp_com = componentes(q, data, pBreachCom, pSue, pMulta, ef.ri);
     const totalCom = comp_com.litigioEsperado + comp_com.anpdEsperado;
     const economia = (totalEsperado - totalCom) * q.horizonte_anos;
     const inv = q.investimento_incremental;
@@ -198,6 +198,7 @@ export function analisar(params, data) {
       investimento: inv,
       exposicao_sem: r(totalEsperado * q.horizonte_anos),
       exposicao_com: r(totalCom * q.horizonte_anos),
+      exposicao_com_ano: r(totalCom),
       economia: r(economia),
       roi: r(roi * 100, 1),
       payback_anos: payback !== null ? r(payback, 1) : null,
@@ -223,12 +224,17 @@ export function analisar(params, data) {
       litigio: r(sem.litigioEsperado),
       anpd: r(sem.anpdEsperado),
       total: r(totalEsperado),
+      // grandeza de domínio pronta para a view — o HTML só formata (A2)
+      por_usuario: q.base_usuarios > 0 ? r(totalEsperado / q.base_usuarios) : 0,
       processos: r(sem.processos, 1),
       afetados: sem.usuariosAfetados,
     },
     pior_caso: {
       litigio_se_vazar: r(sem.litigioSeVazar),
       anpd_se_multar: r(sem.anpdSeMultar),
+      // % do faturamento (proximidade do teto do Art. 52); null sem faturamento (A2)
+      anpd_pct_faturamento:
+        q.faturamento_brasil > 0 ? r((sem.anpdSeMultar / q.faturamento_brasil) * 100) : null,
       total: r(piorCaso),
     },
     ibm: {
diff --git a/riskjud/model.test.mjs b/riskjud/model.test.mjs
index 36f60b7..fa0f3e1 100644
--- a/riskjud/model.test.mjs
+++ b/riskjud/model.test.mjs
@@ -63,3 +63,41 @@ test("âncora de calibração — a taxa de procedência vem do data.json", () =
   assert.equal(r.procedencia.regime, "misto");
   assert.equal(r.procedencia.taxa, data.benchmark.taxa_procedencia);
 });
+
+test("grandezas derivadas saem prontas do modelo — a view só formata (A2)", () => {
+  const r = analisar(base, data);
+  assert.ok(Math.abs(r.esperado.por_usuario - r.esperado.total / base.base_usuarios) < 0.01);
+  assert.ok(
+    Math.abs(
+      r.pior_caso.anpd_pct_faturamento -
+        (r.pior_caso.anpd_se_multar / base.faturamento_brasil) * 100,
+    ) < 0.01,
+  );
+  const semFat = analisar({ ...base, faturamento_brasil: 0 }, data);
+  assert.equal(semFat.pior_caso.anpd_pct_faturamento, null);
+  const semBase = analisar({ ...base, base_usuarios: 0 }, data);
+  assert.equal(semBase.esperado.por_usuario, 0);
+});
+
+test("teto e alíquota da ANPD vêm do data.json — trocar o JSON muda o resultado (A3)", () => {
+  const cenario = { ...base, dados_saude: true, faturamento_brasil: 100_000_000_000 };
+  const tetoMenor = { ...data, anpd: { ...data.anpd, multa_max: 1_000_000 } };
+  const rLei = analisar(cenario, data);
+  const rMenor = analisar(cenario, tetoMenor);
+  assert.ok(rMenor.pior_caso.anpd_se_multar < rLei.pior_caso.anpd_se_multar);
+  // saturado no teto do JSON × gravidade (saúde 0.8) — sem editar o .mjs
+  assert.equal(rMenor.pior_caso.anpd_se_multar, 1_000_000 * 0.8);
+});
+
+test("referência IBM vem do data.json, por setor com fallback Brasil (A3)", () => {
+  assert.equal(
+    analisar({ ...base, setor: "saude" }, data).ibm.por_incidente,
+    data.ibm_codb.por_setor.saude,
+  );
+  assert.equal(analisar({ ...base, setor: "geral" }, data).ibm.por_incidente, data.ibm_codb.brasil);
+});
+
+test("exposição anual com investimento sai pronta do modelo (A2)", () => {
+  const r = analisar({ ...base, investimento_incremental: 500_000, horizonte_anos: 3 }, data);
+  assert.ok(Math.abs(r.investimento.exposicao_com_ano - r.investimento.exposicao_com / 3) < 0.02);
+});
diff --git a/site-chrome.css b/site-chrome.css
index 8dd7f28..712ab64 100644
--- a/site-chrome.css
+++ b/site-chrome.css
@@ -2,9 +2,18 @@
    Espelha o header/footer de pereirasaraiva.com. Tokens da marca v2.
    Fontes (Fraunces + Inter Tight) são carregadas por cada página. Classes namespaced sc-*. */
 :root{
-  --sc-purple:#4a1942; --sc-purple-deep:#3a1334; --sc-gold:#c9a227;
-  --sc-ink:#1c1e22; --sc-soft:#7a8088; --sc-muted:#565a60;
-  --sc-stone:#d4d8dd; --sc-cream:#eceef1; --sc-offwhite:#f6f8fa;
+  /* Paleta da marca — ÚNICO lugar do repo com hex (A5). Hub, apps e gráficos
+     consomem var(--brand-*); trocar uma cor aqui propaga para tudo. */
+  --brand-marine:#0F2940; --brand-purple:#4A1942; --brand-purple-deep:#3A1334;
+  --brand-green:#2E5D4F; --brand-gold:#C9A227; --brand-ink:#1C1E22;
+  --brand-soft:#7A8088; --brand-muted:#565A60; --brand-stone:#D4D8DD;
+  --brand-cream:#ECEEF1; --brand-offwhite:#F6F8FA; --brand-white:#FFFFFF;
+  --brand-line:#E6E9ED; --brand-danger:#B00020;
+
+  /* tokens do chrome = aliases da marca */
+  --sc-purple:var(--brand-purple); --sc-purple-deep:var(--brand-purple-deep); --sc-gold:var(--brand-gold);
+  --sc-ink:var(--brand-ink); --sc-soft:var(--brand-soft); --sc-muted:var(--brand-muted);
+  --sc-stone:var(--brand-stone); --sc-cream:var(--brand-cream); --sc-offwhite:var(--brand-offwhite);
 }
 .sc-header *, .sc-footer *{ box-sizing:border-box; }