Casos: o desenho por trás de cada recuperação

O ponto delicado desse desenho não é o backup, é a cadeia de WAL: se um único segmento se perde, a recuperação para naquele ponto e todo o resto da série vira arquivo inútil. Por isso o teste mensal aqui não restaura só o full — ele reconstrói a partir de um instante sorteado dentro do período, o que é a única forma de provar que a cadeia está íntegra de ponta a ponta.

A pergunta que separa um plano que funciona de um que só parece funcionar é simples: quem consegue apagar a última cópia? Se a resposta incluir qualquer credencial que também exista na produção, o plano tem um ponto único de falha que nenhum volume de backup compensa. Nesse desenho, a resposta é ninguém sozinho — nem o cliente, nem nós.

BYOK muda a natureza da relação e é por isso que vale o trabalho extra de configurar. Sem ele, a instituição precisa confiar que o fornecedor não vai ler o prontuário — uma promessa. Com ele, a instituição não precisa confiar: a leitura é tecnicamente impossível sem uma chave que nunca sai do controle dela. Promessa e impossibilidade não são a mesma garantia.

A economia quase nunca está no preço do gigabyte — está em parar de guardar tudo na camada mais cara pelo prazo mais longo. Retenção é decisão de negócio disfarçada de configuração técnica: quanto tempo cada tipo de dado precisa voltar em segundos, e a partir de quando voltar em horas é aceitável. Respondida essa pergunta, a conta cai sozinha.

Backup que degrada a produção acaba desligado — em geral por alguém apressado, na véspera do dia mais importante do ano, e ninguém religa depois. Por isso o desenho aqui trata a janela como restrição de primeira ordem, no mesmo nível do RPO. Proteção que o time tem motivo para desligar não é proteção.