feat(entitlements,campaigns): plans/quotas + campanhas, leads, lista de bloqueio

Fecha duas fases: Plans/Entitlements (agente.md secao 56-62), que tinha
ficado pra trás desde o inicio, e Campanhas/Leads/Lista de Bloqueio (secao
63-71).

## Plans/Entitlements

A ordem de implementacao da propria especificacao (secao 232) coloca
Plans/Entitlements logo depois de PostgreSQL RLS, bem antes de FreeSWITCH
— mas o build seguiu direto sem essa peca, e toda fase desde entao
documentou "quota depende de Plans/Entitlements" como pendencia
(EXTENSIONS.md, TRUNKS.md, AGENTS.md, QUEUES.md, agora todas atualizadas).
Fechado agora porque Campanhas precisa de max_campaigns e o proximo CPS
Limiter vai precisar de max_cps/max_concurrent_calls.

- plans: catalogo compartilhado entre tenants (sem RLS, nao e' tenant-
  scoped) com todos os campos de entitlement da secao 56. Campo de limite
  null = "sem limite", nunca "sem plano" — tenants.plan_id e' obrigatorio,
  nunca null (secao 56: nao espalhar `if plan == PRO` pelo codigo).
- Migration hand-escrita: cria plans, insere seed "trial", faz backfill de
  plan_id pros tenants ja existentes, so' depois torna NOT NULL (Postgres
  nao deixa NOT NULL sem default em tabela nao-vazia).
- packages/entitlements (pacote novo): assertQuota/assertFeatureEnabled,
  erros mapeados pra 403 no DomainExceptionFilter.
- Retrofit em Extensions/Trunks/Agents/Queues: contam linhas ativas e
  checam quota antes de criar.

## Campanhas, Leads, Lista de Bloqueio

Deliberadamente so' o modelo/CRUD/maquina de estados — o motor que de fato
origina chamadas (PredictiveDialerEngine, secao 72-86: dados em tempo
real, EWMA, CPS distribuido, reserva atomica de lead, lock de campanha,
bgapi originate, controle de abandono, retry) e' um sistema grande o
suficiente pra merecer fase propria (secao 72: "nao e' so' `for lead ->
originate`").

- campaigns/leads/suppression_entries (tenant-scoped, RLS).
- Maquina de estados da campanha (secao 64-66): start/pause/drain/stop com
  tabela de transicoes validas — transicao invalida retorna 400, nunca
  ignora silenciosamente. Apagar bloqueado enquanto RUNNING/DRAINING.
- packages/shared/src/phone.ts (secao 70): normalizacao dedicada,
  preparada pra E.164 completo, so' BR implementado.
- Importacao CSV em batches de 1000 (secao 69): detecta duplicado (dentro
  do CSV + contra leads existentes), checa lista de bloqueio (importa como
  DO_NOT_CALL, nao descarta), retorna {total, valid, invalid, duplicates,
  imported, suppressed}.
- Lista de bloqueio (secao 71): CRUD tenant-scoped.

Verificado ponta a ponta: campanha com queueId/trunkId invalido e
pacingMin > pacingMax rejeitados; CSV de 5 linhas (1 invalida, 1
duplicada, 1 bloqueada) importado corretamente; start->pause->drain->stop
e transicoes invalidas todas corretas; 3a campanha rejeitada por quota
(max_campaigns=2 do plano trial); 6a extensao rejeitada por quota
(max_extensions=5). Suites de teste existentes (tenant-isolation, auth)
atualizadas pro novo Tenant.planId obrigatorio e passando.

typecheck do workspace inteiro limpo.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01X1HxY46WGU4G1zmVDNKcWw

TODO.md

@@ -272,8 +272,57 @@
 - [ ] TME/TMA/Service Level/Abandon Rate — dependem de CDR (fase futura)
 - [ ] Snapshot/reconciliação ao reconectar o WebSocket
 
-## PHASE 14+ — ver `agente.md` seções 56 em diante (Predictive Dialer,
-Recordings, AI, Billing, Frontend, Reports, Security, Tests)
+## PHASE 14 — Plans/Entitlements (agente.md secao 56-62)
+- [x] Fase que tinha ficado pra trás: a ordem de implementação (secao 232)
+      coloca Plans/Entitlements logo depois de PostgreSQL RLS, bem antes de
+      FreeSWITCH — mas o build seguiu direto sem essa peça. Toda fase desde
+      então documentou "quota depende de Plans/Entitlements" como
+      pendência. Fechado agora, antes de Campanhas (que dependem de
+      `max_campaigns`) e do CPS Limiter (que vai depender de `max_cps`)
+- [x] `plans` (catálogo compartilhado, sem RLS — não é tenant-scoped) +
+      `tenants.plan_id` obrigatório (nunca null: campo de limite null =
+      "sem limite", nunca "sem plano", agente.md secao 56)
+- [x] Migration hand-escrita: cria `plans`, insere seed "trial", faz
+      backfill de `plan_id` pros tenants existentes, só depois `NOT NULL`
+      (Postgres não deixa `NOT NULL` sem default em tabela não-vazia)
+- [x] `packages/entitlements` (pacote novo): `assertQuota`/
+      `assertFeatureEnabled`, erros mapeados pra 403 no
+      `DomainExceptionFilter`
+- [x] Retrofit nos controllers existentes: Extensions/Trunks/Agents/Queues
+      agora contam linhas ativas e checam quota antes de criar
+- [x] Testado ponta a ponta: 5 extensões OK (limite do trial), 6a rejeitada
+      com 403 "Quota excedida: maxExtensions (limite do plano: 5)"
+
+## PHASE 15 — Campanhas, Leads, Lista de Bloqueio (agente.md secao 63-71)
+- [x] `campaigns`/`leads`/`suppression_entries` (tenant-scoped, RLS) — só
+      modelo/CRUD/máquina de estados; o motor que origina chamadas de
+      verdade (PredictiveDialerEngine) é uma fase à parte, deliberadamente
+      não implementada aqui (agente.md secao 72: "não é só `for lead ->
+      originate`")
+- [x] Máquina de estados da campanha (secao 64-66): start/pause/drain/stop
+      com tabela de transições válidas — tentar uma transição inválida
+      (ex.: pause numa DRAFT) retorna 400, nunca ignora silenciosamente
+- [x] `packages/shared/src/phone.ts` (secao 70): normalização dedicada,
+      preparada pra E.164 completo, só BR implementado por enquanto
+- [x] Importação CSV em batches de 1000 (secao 69): detecta duplicado
+      (dentro do CSV + contra leads já existentes), checa lista de
+      bloqueio (importa como DO_NOT_CALL, não descarta), retorna resumo
+      {total, valid, invalid, duplicates, imported, suppressed}
+- [x] Lista de bloqueio (secao 71): CRUD tenant-scoped
+- [x] Testado ponta a ponta: campanha com queueId/trunkId inválido
+      rejeitada, pacingMin > pacingMax rejeitado, CSV de 5 linhas (1
+      inválida, 1 duplicada, 1 bloqueada) importado corretamente,
+      start->pause->drain->stop e transições inválidas todas corretas,
+      3a campanha rejeitada por quota (max_campaigns=2 do plano trial)
+- [ ] `PredictiveDialerEngine` (secao 72-86) — dados em tempo real, EWMA,
+      CPS distribuído, reserva atômica de lead, lock de campanha,
+      originate via bgapi, state machine da chamada, controle de abandono,
+      retry — fase própria, não iniciada
+- [ ] Wizard visual de importação (upload de arquivo) — fase Frontend
+- [ ] Relatório de campanha (secao 160) — depende de CDR
+
+## PHASE 16+ — ver `agente.md` seções 72 em diante (Predictive Dialer Engine,
+CDR, Recordings, AI, Billing, Frontend, Reports, Security, Tests)
 
 ---