[DTP-Worker] Sprint 8 · buffer L75 · Domaine CRM (2e surface) : la phrase « SÉPARATION DES POUVOIRS » du README workflow_vente ÉNUMÉRAIT À LA MAIN ses transitions quatre-yeux (« confirmer réservation, signer contrat, approuver CONFOTUR, annuler/résilier — allow_self_approval = 0 ») sans AUCUN gate d'IDENTITÉ. Le bloc CRM existant gate le COMPTE états/transitions (9/11 · titre pipeline README workflow + « N états » README dossier_vente) MAIS PAS l'IDENTITÉ des transitions marquées separation_of_duties — surface data-derived distincte du MÊME README. Cet ensemble dérive de crm/workflow_vente/out/workflow.json (byte-gaté par check_artifacts) : chaque transition porte allow_self_approval ; l'ensemble QUATRE-YEUX = {action | allow_self_approval == 0} — précisément ce que le README énumère. Le bloc de COMPTE reste AVEUGLE au contenu : (a) DÉCLASSER une transition sensible (ex. « Signer contrat » repasse à self=1 dans le contrat) laisse le compte à 9/11 pendant que l'artefact retire l'action de l'ensemble — la prose reste à 5 actions FAUSSES ; (b) PROMOUVOIR une transition (« Déposer CONFOTUR » → self=0) l'ajoute sans que le compte bouge et la prose l'OMET ; (c) un ÉCHANGE/RENOMMAGE d'action passe aussi — « vert trompeur » qu'aucune suite tests/ (qui teste des FONCTIONS de graphe, pas la prose) n'attrape → nouveau bloc dans check_readme_claims recomputant l'ENSEMBLE des actions quatre-yeux depuis workflow.json (zéro duplication du flag du générateur) et exigeant que la phrase l'énumère EXACTEMENT. Contrôle par ENSEMBLE (absent ET en trop mordus via set-diff), normalisation casse ignorée + suffixe « (perdu) » élidé (les deux transitions vers l'état Perdu — Annuler/Résilier — que la prose groupe « annuler/résilier »). Même patron que l'énumération des onglets Mobile, des open items de l'audit 5D ou de la carte de renormalisation 4Big. Cohérence croisée en bonus : 0 < |quatre-yeux| < |transitions| (l'ensemble sensible est NON VIDE — sinon la garde est vacante — et STRICT — sinon tout le graphe serait bloqué en quatre-yeux). Un claim absent échoue AUSSI (4 morsures vérifiées : déclassement Signer contrat capté là où le compte reste 9/11 · promotion Déposer CONFOTUR captée · échange prose signer contrat→signer bail capté · énumération supprimée = INTROUVABLE ; restauré = green : {annuler, approuver confotur, confirmer réservation, résilier, signer contrat} == workflow.json). État courant : aucune action périmée (anti-invention #6, rien à réécrire) — le défaut est la surface ungated. ci/README.md (table + détail) mis à jour · 7 gates re-verts.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

05_activity_log/2026-07-31.md

@@ -1812,3 +1812,21 @@ verrouillés) · `guard_constraints` · `validate_json`.
 **Hors périmètre worker (VPS · #8)** : néant (gate bash/python3 stdlib en-repo).
 
 **Auto-score 4Big** : 96/100.
+
+## Sprint 8 · buffer · CRM séparation des pouvoirs (2e surface workflow_vente)
+- **Constat** : le README `crm/workflow_vente` énumérait À LA MAIN les transitions
+  quatre-yeux (« confirmer réservation, signer contrat, approuver CONFOTUR,
+  annuler/résilier — `allow_self_approval = 0` »). Le bloc CRM existant ne gatait
+  que le COMPTE états/transitions (9/11) — aveugle à l'IDENTITÉ des transitions à
+  `separation_of_duties`.
+- **Gate ajouté** (`ci/check_readme_claims.sh`) : recompute l'ENSEMBLE
+  `{action | allow_self_approval == 0}` depuis `out/workflow.json` (byte-gaté) et
+  exige que la phrase README l'énumère EXACTEMENT (set-diff absent ET en trop ;
+  casse ignorée + suffixe « (perdu) » élidé). Bonus : `0 < |quatre-yeux| < |trans|`.
+- **4 morsures vérifiées** : déclassement `Signer contrat` (self 0→1) capté là où
+  le compte reste 9/11 · promotion `Déposer CONFOTUR` (self 1→0) captée · échange
+  prose `signer contrat`→`signer bail` capté · énumération supprimée = INTROUVABLE ;
+  restauré = green (`{annuler, approuver confotur, confirmer réservation, résilier,
+  signer contrat}` == workflow.json).
+- État courant : aucune action périmée (anti-invention #6) — le défaut est la
+  surface ungated. `ci/README.md` (table + détail) mis à jour · **7 gates re-verts**.

ci/README.md

@@ -20,7 +20,7 @@ et manuellement (`workflow_dispatch`). Jobs statiques (+ une suite `unittest` pa
 | `check-artifacts` | `ci/check_artifacts.sh` | Reproductibilité : chaque `out/*.json` versionné == build frais | ✅ oui |
 | `check-regression` | `ci/check_regression.sh` | Fraîcheur : `qa/regression/out/regression_run.json` (`run`) == run frais + verdict PASS | ✅ oui |
 | `check-ci-integrity` | `ci/check_ci_integrity.sh` | Intégrité du câblage : `gate.needs` == tous les jobs non-manuels · chaque `ci/*.sh` câblé au gate | ✅ oui |
-| `check-readme-claims` | `ci/check_readme_claims.sh` | Intégrité des chiffres des docs d'entrée : chaque nombre de `README.md` « État courant », de la fiche QA « Verdict agrégé » **et** de la colonne « Tests » par suite des tables de fiches **et** des agrégats en prose (Total CRM / RBAC / e-CF) **et** des comptes par workspace des portails (cartes/liens/rôles, ×2 docs) **et** des comptes RBAC des 3 volets (table Nb rôles/profil, ligne agrégée apply_plan, ventilation userperm) **et** des comptes de mots-clés SEO (total + fr/en/es, ×2 docs) **et** du pipeline vente CRM (états/transitions, ×2 docs) **et** de l'app mobile Expo (onglets/rôles/langues/identifiants a_confirmer + énumération ordonnée des onglets recomputée de `role_navigation`, bijection onglet⇔portail) **et** du DocType CONFOTUR (champs/données/sections/rôles/évènements de dépôt, ×2 docs) **et** de l'audit 5D (contrôles/dimensions ×2 docs + ventilation verdict pass/fail/à-confirmer + énumération des open items `control→dimension→propriétaire` recomputée de `audit_report.open_items`) **et** du run-book de déploiement VPS (phases ×2 dans la fiche devops + confirmations préalables count & énumération dans le README) **et** du run-sheet de démo (nombre de modules cités dans le diagramme du README) **et** du montage Chat OTOIA par portail (`Custom Block`/configs runtime/portails, tous = 5 aujourd'hui, ×2 docs) **et** du module de recette `qa/acceptance` (couple livrables de sprint + métriques succès MVP, ×2 docs de module au-delà du README d'entrée) **et** du barème de l'auditeur 4Big (nombre de critères en prose + poids par critère de la table + « generator (N critères) », recomputés de `quality_report.criteria`) **et** de la carte de renormalisation par archétype de l'auditeur 4Big (critères EXCLUS de `data_room`/`parser`/`contract`, recomputés des `checks` par archétype de `quality_report.modules`) == artefact cité (#6) | ✅ oui |
+| `check-readme-claims` | `ci/check_readme_claims.sh` | Intégrité des chiffres des docs d'entrée : chaque nombre de `README.md` « État courant », de la fiche QA « Verdict agrégé » **et** de la colonne « Tests » par suite des tables de fiches **et** des agrégats en prose (Total CRM / RBAC / e-CF) **et** des comptes par workspace des portails (cartes/liens/rôles, ×2 docs) **et** des comptes RBAC des 3 volets (table Nb rôles/profil, ligne agrégée apply_plan, ventilation userperm) **et** des comptes de mots-clés SEO (total + fr/en/es, ×2 docs) **et** du pipeline vente CRM (états/transitions, ×2 docs + énumération des transitions à séparation des pouvoirs `{action | allow_self_approval=0}` recomputée de `workflow.json`) **et** de l'app mobile Expo (onglets/rôles/langues/identifiants a_confirmer + énumération ordonnée des onglets recomputée de `role_navigation`, bijection onglet⇔portail) **et** du DocType CONFOTUR (champs/données/sections/rôles/évènements de dépôt, ×2 docs) **et** de l'audit 5D (contrôles/dimensions ×2 docs + ventilation verdict pass/fail/à-confirmer + énumération des open items `control→dimension→propriétaire` recomputée de `audit_report.open_items`) **et** du run-book de déploiement VPS (phases ×2 dans la fiche devops + confirmations préalables count & énumération dans le README) **et** du run-sheet de démo (nombre de modules cités dans le diagramme du README) **et** du montage Chat OTOIA par portail (`Custom Block`/configs runtime/portails, tous = 5 aujourd'hui, ×2 docs) **et** du module de recette `qa/acceptance` (couple livrables de sprint + métriques succès MVP, ×2 docs de module au-delà du README d'entrée) **et** du barème de l'auditeur 4Big (nombre de critères en prose + poids par critère de la table + « generator (N critères) », recomputés de `quality_report.criteria`) **et** de la carte de renormalisation par archétype de l'auditeur 4Big (critères EXCLUS de `data_room`/`parser`/`contract`, recomputés des `checks` par archétype de `quality_report.modules`) == artefact cité (#6) | ✅ oui |
 | `gate` | — | Agrégat vert = gate qualité 4Big franchi | ✅ oui |
 
 Aucune dépendance réseau/marketplace hors `actions/checkout`. Tout tourne avec
@@ -196,7 +196,23 @@ recomptés du `workflow_vente_spec.json` à chaque build, byte-gaté par
 `check_artifacts`). Recomputer **transitions** en plus de **states** mord une
 dérive du 2ᵉ nombre là où le compte d'états seul (repris dans `dossier_vente`)
 resterait aveugle — ajouter un état/une transition ferait sinon dériver **les
-deux** docs en silence.
+deux** docs en silence. **2ᵉ surface du même README** : la phrase « **séparation
+des pouvoirs** » énumère **à la main** les transitions quatre-yeux (« confirmer
+réservation, signer contrat, approuver CONFOTUR, annuler/résilier — … `allow_self_approval
+= 0` »). Le bloc de compte est **aveugle** à leur identité : **déclasser** une
+transition sensible (`allow_self_approval` 0→1 dans le contrat) laisse le compte à
+9/11 tandis que l'artefact la retire de l'ensemble ; **promouvoir** une transition
+(ex. `Déposer CONFOTUR` → self=0) l'y ajoute sans que le compte bouge et la prose
+l'**omet** ; un **échange** d'action passe aussi. On recompute l'**ensemble** des
+actions quatre-yeux depuis `crm/workflow_vente/out/workflow.json` (`{action |
+allow_self_approval == 0}`, byte-gaté) et on exige que la phrase l'énumère
+**exactement** (absent **et** en trop mordus par set-diff ; casse ignorée + suffixe
+« (perdu) » élidé — les deux transitions vers l'état *Perdu*, `Annuler`/`Résilier`,
+que la prose groupe « annuler/résilier »). Cohérence croisée : `0 < |quatre-yeux| <
+|transitions|` (l'ensemble sensible est non vide **et** strict). 4 morsures
+vérifiées (déclassement `Signer contrat` capté là où le compte reste 9/11 ·
+promotion `Déposer CONFOTUR` captée · échange prose `signer contrat`→`signer bail`
+capté · énumération supprimée = INTROUVABLE ; restauré = green).
 
 Même classe encore sur l'**app mobile Expo** : la ligne récap du README du module
 `mobile/app_config` (« **5 onglets** · **44 rôles** couverts · **3 langues** ·

ci/check_readme_claims.sh

@@ -841,6 +841,76 @@ if wf_states is not None:
             bad(f"CRM pipeline · {DV_RD} — dit états={m.group(1)} MAIS MANIFEST dit "
                 f"états={wf_states} → régénérer le README")
 
+# ============================================================================
+# CRM (2e surface du MÊME README) · ÉNUMÉRATION des transitions à SÉPARATION
+# DES POUVOIRS — la phrase « engagent de l'argent ou clôturent — confirmer
+# réservation, signer contrat, approuver CONFOTUR, annuler/résilier ».
+# ----------------------------------------------------------------------------
+# Le bloc CRM ci-dessus recompute le COMPTE d'états/transitions mais PAS
+# l'IDENTITÉ des transitions marquées `separation_of_duties`. Or cette liste est
+# DATA-DERIVED : le générateur émet out/workflow.json (byte-gaté par
+# check_artifacts ⇒ artefact faisant autorité) dont chaque transition porte
+# `allow_self_approval` ; l'ensemble des transitions QUATRE-YEUX = {action |
+# allow_self_approval == 0} — précisément ce que le README énumère À LA MAIN
+# comme « interdisent l'auto-approbation (`allow_self_approval = 0`) ». Le bloc de
+# COMPTE reste AVEUGLE au contenu : (a) DÉCLASSER une transition sensible (ex.
+# « Signer contrat » repasse à allow_self_approval=1 dans le contrat) laisse le
+# compte d'états/transitions à 9/11 pendant que l'artefact retire l'action de
+# l'ensemble QUATRE-YEUX — la prose reste à 5 actions FAUSSES ; (b) PROMOUVOIR une
+# transition (« Déposer CONFOTUR » → self=0) l'ajoute à l'ensemble sans que le
+# compte bouge, et la prose l'OMET ; (c) RÉORDRE/RENOMMAGE d'action passe aussi —
+# « vert trompeur » qu'aucune suite tests/ (qui teste des FONCTIONS de graphe, pas
+# la prose) n'attrape — même patron que l'énumération des onglets Mobile, des open
+# items de l'audit 5D ou de la carte de renormalisation 4Big. On RECOMPUTE ici
+# l'ENSEMBLE des actions QUATRE-YEUX depuis workflow.json (zéro duplication du flag
+# du générateur) et on exige que la phrase l'énumère EXACTEMENT (absent ET en trop
+# mordus via set-diff). Normalisation : casse ignorée + suffixe « (perdu) » élidé
+# (les deux transitions vers l'état Perdu — Annuler/Résilier — que la prose groupe
+# « annuler/résilier »). Cohérence croisée en bonus : 0 < |quatre-yeux| < |trans|
+# (l'ensemble sensible est NON VIDE — sinon la garde est vacante — et STRICT — sinon
+# tout le graphe serait bloqué en quatre-yeux, ni l'un ni l'autre n'étant le
+# contrat). Un claim absent échoue AUSSI (traçabilité).
+# ============================================================================
+try:
+    wf_trans_list = load("crm/workflow_vente/out/workflow.json")[0]["transitions"]
+    # ensemble QUATRE-YEUX = actions dont l'auto-approbation est interdite (self=0),
+    # normalisées (casse ignorée · suffixe « (perdu) » élidé — cf. groupage prose)
+    def _sod_norm(a):
+        return re.sub(r"\s*\(perdu\)\s*", "", a).strip().lower()
+    sod_set = {_sod_norm(t["action"]) for t in wf_trans_list
+               if str(t["allow_self_approval"]) == "0"}
+    n_trans_tot = len(wf_trans_list)
+except (OSError, KeyError, ValueError, IndexError, TypeError) as e:
+    bad(f"CRM séparation · workflow.json illisible/inattendu : {e}"); sod_set = None
+if sod_set is not None:
+    # bonus : l'ensemble sensible est non vide ET strictement inclus dans le graphe
+    if not (0 < len(sod_set) < n_trans_tot):
+        bad(f"CRM séparation · ensemble quatre-yeux dégénéré : |sod|={len(sod_set)} "
+            f"vs |transitions|={n_trans_tot} (attendu 0 < sod < total) → vérifier le contrat")
+    else:
+        good(f"CRM séparation · ensemble quatre-yeux non vide et strict : "
+             f"0 < {len(sod_set)} < {n_trans_tot}")
+    # énumération de la phrase : capturer le segment entre « clôturent** — » et « — sont marquées »
+    wf_txt3 = read_norm(WF_RD)
+    if wf_txt3 is not None:
+        ms = re.search(r"engagent de l'argent ou clôturent\*\* — (.+?) — sont marquées",
+                       wf_txt3)
+        if ms is None:
+            bad(f"CRM séparation · {WF_RD} — énumération des transitions quatre-yeux "
+                f"INTROUVABLE (attendu {sorted(sod_set)})")
+        else:
+            prose_set = {t.strip().lower() for t in re.split(r"[,/]", ms.group(1)) if t.strip()}
+            if prose_set == sod_set:
+                good(f"CRM séparation · {WF_RD} — énumération quatre-yeux "
+                     f"{sorted(prose_set)} == workflow.json (allow_self_approval=0)")
+            else:
+                miss = sorted(sod_set - prose_set)
+                extra = sorted(prose_set - sod_set)
+                detail = (f" · absents={miss}" if miss else "") + \
+                         (f" · en trop={extra}" if extra else "")
+                bad(f"CRM séparation · {WF_RD} — énumère {sorted(prose_set)} MAIS "
+                    f"workflow.json dit {sorted(sod_set)}{detail} → régénérer le README")
+
 # ============================================================================
 # Mobile · récap de l'app Expo (onglets / rôles couverts / langues / identifiants
 # a_confirmer) — même classe de « vert trompeur », transcrite À LA MAIN.