prompt inicial do projeto completo

docs/07-REQUISITOS-DE-CAMPO.md

@@ -22,6 +22,7 @@ Um condomínio só entra em produção com todos os itens verificados **em campo
 - [ ] **Wi-Fi aberto de visitante** com cobertura medida em cada portaria
 - [ ] SSID óbvio: `Portaria-<NomeDoCondominio>`
 - [ ] **Captive portal** que abre direto a página do visitante
+- [ ] **Portal instrui a abrir no navegador padrão** — o mini-navegador do captive portal (CNA do iOS, e vários Androids) **bloqueia câmera e geolocalização**, as duas permissões de que o fluxo depende. O portal exibe botão/instrução "abrir no Safari/Chrome", e o teste de ativação percorre o fluxo completo **a partir do portal**, não de um navegador já aberto
 - [ ] Rede **isolada** da rede administrativa (VLAN separada, sem acesso à LAN interna)
 - [ ] Banda mínima 5 Mbps simétricos reservados para o visitante
 - [ ] Teste de sinal ≥ -70 dBm no ponto exato onde o visitante fica
@@ -47,6 +48,8 @@ A rede de visitante isolada não é detalhe: uma rede aberta com acesso à LAN d
 
 O botão físico é o que atende quem não tem celular, está sem bateria ou não consegue usar o QR. **Sem ele, o produto exclui uma parcela real de visitantes** — e cria a situação em que alguém legítimo simplesmente não consegue entrar.
 
+**Na v1, o botão é deliberadamente um interfone direto (GSM/4G ou SIP) para o responsável/central — fora da plataforma.** É proposital: ele precisa continuar funcionando exatamente quando a plataforma cai, então não pode depender dela. Integrá-lo como dispositivo da plataforma (disparando o fluxo de visita com operador) é v2, atrás de `AccessControlDevice`.
+
 ### 2.4 Aviso legal — obrigatório
 
 - [ ] **Placa física** com o aviso de tratamento de dados, visível antes da coleta