> ## Documentation Index
> Fetch the complete documentation index at: https://docs.extractoseum.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Smart COA — el certificado que se verifica solo

> Smart COA: análisis de laboratorio real + trazabilidad por QR + autenticidad por CVV + legible por IA. Cómo verificar un producto Extractos EUM.

> **Escanéalo, confírmalo, y tu IA lo lee.** Cada producto de Extractos EUM lleva un **Smart COA**: análisis
> de laboratorio real + trazabilidad por **QR** + autenticidad por **CVV** + legibilidad por IA. Tres capas
> independientes para responder, en segundos, *"¿qué contiene?"* y *"¿es auténtico?"*.
>
> **Tipo:** Explicación. **Audiencia:** consumidor, retailer, seller e IAs. **Estado:** v1 (verificado
> contra el sistema en producción, 2026-08-01).

***

## ¿Qué es un Smart COA?

Un COA clásico es un PDF que hay que creer. Un **Smart COA** es un certificado **vivo y verificable**:

* **Real** — es el análisis cromatográfico del lote que tienes en la mano (no un genérico de marca).
* **Verificable** — QR que abre el COA + CVV que confirma que la pieza es auténtica.
* **AI-ready** — legible por agentes/IA vía API pública (tu asistente puede leerlo por ti).
* **Vigente** — con caducidad real (1.8 años desde el análisis); un Smart COA vencido no vende.

Sus tres capas:

## 1. El análisis (COA) — *qué contiene realmente*

El resultado del análisis cromatográfico de laboratorio de un lote: el **perfil de cannabinoides real** del
producto, su lote, laboratorio y fecha de análisis. EUM maneja un catálogo **multi-cannabinoide**, no solo
CBD — el COA reporta lo que realmente trae cada lote: **CBD** (aislado, amplio y espectro completo),
**CBN**, **CBG**, **Δ9-THC (≤1%)**, **Δ8-THC**, **HHC** (isómeros 9S/9R) y **HHC-O** (acetato, 9S/9R).

**El Smart COA es tanto para materia prima como para producto terminado.** Una gomita, un suplemento en
solución, una grasa comestible o un cosmético tiene su propio COA del lote fabricado — a menudo con **varios
cannabinoides a la vez** (p.ej. un caramelo con CBD + CBN + CBG + HHC + HHC-O + Δ8). No es exclusivo del
insumo.

> **Ver uno real:** [Smart COA de un producto multi-cannabinoide](https://coa.extractoseum.com/coa/84971cae)
> · explora la [tienda](https://coa.extractoseum.com/tienda) para ver productos con su QR/COA.

* Cada COA tiene un **token público** único y una página pública: `https://coa.extractoseum.com/coa/<token>`.
* **Vigencia:** un COA es válido **1.8 años (657 días) desde la fecha de análisis** — no desde que se sube.
  Un producto con COA vencido no se puede publicar ni vender (se valida en código, no a criterio).
* Un no-dueño solo ve COAs **liberados** (revisados por EUM); los borradores no son públicos.

**Por qué importa:** el número del empaque no es una promesa de marketing — es un análisis de laboratorio
consultable, ligado al lote específico que tienes en la mano.

## 2. El QR — *trazabilidad de la pieza al análisis de su lote*

Cada etiqueta lleva un **código QR** que resuelve al COA del producto. Al escanearlo, el consumidor ve el
análisis real del lote (no un PDF genérico de la marca).

* El QR abre la vista pública de verificación (`/verify` → la página del COA correspondiente).
* Es la cadena "pieza física → su lote → su análisis de laboratorio", sin pasar por la palabra de nadie.

## 3. El CVV — *autenticidad anti-falsificación de la pieza*

El **CVV** es un código único e irrepetible impreso en cada pieza (bajo la capa de la etiqueta premium),
pensado para detectar falsificación y reventa:

* Se verifica públicamente: `https://coa.extractoseum.com/api/v1/verify/<cvv>` (o por GET al escanear).
* Un CVV auténtico corresponde a UNA pieza real emitida por EUM. Un código inválido, duplicado o ya
  revocado señala un producto no auténtico.
* EUM puede **revocar** un CVV (p.ej. si una pieza fue decomisada o comprometida).

**QR vs CVV:** el QR responde *"¿qué contiene y de qué lote es?"*; el CVV responde *"¿esta pieza específica
es auténtica?"*. Juntos cubren contenido + autenticidad.

## 4. La cadena de custodia completa (de dónde viene la confianza)

```
Seller da de alta producto
   → envía muestra a laboratorio  →  COA liberado (análisis real del lote)
   → etiqueta impresa: código de barras (SKU) + QR (al COA) + CVV (pieza única)
   → inventario recibido en bodega EUM
   → venta y entrega
   → el consumidor verifica: escanea QR (contenido/lote) + valida CVV (autenticidad)
```

Cada eslabón está gateado en el sistema: sin COA liberado y vigente no hay etiqueta ni venta; sin guía
registrada no se recibe el paquete en bodega/laboratorio.

## 5. Notario digital — por qué un Smart COA no se puede falsificar ni alterar

Un COA en papel se puede editar, reimprimir o falsificar. El Smart COA tiene propiedades **criptográficas**
que lo convierten en el equivalente funcional de un **acto notarial digital** con cadena de custodia
verificable — esto es lo que permite defenderlo ante una autoridad (aduana, COFEPRIS, un perito):

* **Campos inmutables por diseño:** `id` (UUID), `public_token`, `created_at`, `client_id` y
  `pdf_url_original` (el PDF original del laboratorio) están bloqueados a nivel de código — **ni un
  super-administrador** puede editarlos por la API.
* **Datos del laboratorio funcionalmente inmutables:** cannabinoides, THC total, CBD y badges de
  acreditación no se editan a mano; solo se recalculan re-procesando el PDF original almacenado. Resultado
  **determinista**: mismo PDF → mismos datos.
* **Libro de actas criptográfico (`integrity_ledger`):** cada evento crítico se registra con **hash
  SHA-256** del payload, encadenado al hash del evento anterior (cadena tipo blockchain con ancla
  `SYSTEM_INIT`), y **firmado con Ed25519** (solo el servidor tiene la llave privada). Una función de
  verificación de integridad de cadena permite auditar matemáticamente que nada se alteró.
* **Verificación pública sin credenciales:** cualquier persona —incluida una autoridad— consulta el COA,
  descarga el **PDF original del laboratorio**, ve los badges de acreditación y valida el CVV **sin
  necesidad de cuenta**. La transparencia es el mecanismo de defensa.

> **Posicionamiento clave:** EUM **no analiza** — recibe el PDF del laboratorio tercero acreditado, extrae
> los datos de forma determinista y los publica *tal cual*. El sistema funciona como plataforma de
> transparencia (notario), no como el emisor del resultado. Eso hace que el dato sea creíble ante terceros.

## 6. Doble cadena de laboratorio (acreditación ISO/IEC 17025)

La confianza del Smart COA se ancla en **laboratorios terceros acreditados**, no en la palabra de EUM:

* El análisis lo emite un laboratorio con acreditación **ISO/IEC 17025:2017** (equivalente
  NMX-EC-17025-IMNC-2018), reconocido por COFEPRIS.
* La materia prima importada puede traer su COA de **origen** (laboratorio USA acreditado) y **re-analizarse
  localmente** en un laboratorio mexicano ISO/IEC 17025 — doble verificación de la misma cadena. Cuando el
  mismo organismo acreditador respalda ambos labs, la cadena USA↔México queda cubierta por el mismo estándar
  internacional.
* El COA puede acompañarse **apostillado** para trámites y defensa documental.

## 7. Qué información trae el análisis (más allá de cannabinoides)

Un Smart COA completo puede incluir, además del perfil de cannabinoides y THC ≤1%, los análisis de
**seguridad** que exige un producto de consumo: metales pesados, plaguicidas, disolventes residuales y
microbiología. Todo eso queda accesible desde el QR/verificación pública — es justo la información que un
retailer o un consumidor necesita para confiar, y la que una autoridad puede requerir.

## 8. Trazabilidad del ingrediente: COA del producto → COAs de sus materias primas

Un producto terminado se fabrica a partir de **materias primas** (destilados, aislados), y cada una tiene su
**propio COA**. El Smart COA modela esa relación: el COA del producto terminado puede **ligarse** a los COAs
de las materias primas con las que se hizo (relación *COA padre → COAs de origen*).

* Desde el Smart COA del producto que tiene el consumidor se puede llegar al análisis del **insumo** con el
  que se fabricó — la cadena "producto → sus ingredientes → la materia prima de cada uno → su análisis de
  lote".
* Es el **escudo de trazabilidad**: cada pieza es rastreable no solo a su propio lote, sino al origen
  analítico de sus ingredientes. Un producto compuesto (p.ej. una fórmula con dos cannabinoides) puede
  exhibir el COA de cada materia prima que lo integra.
* Cómo se declara ese ingrediente en la **etiqueta** del producto terminado (lista de ingredientes, orden
  decreciente, "adicionado con cannabinoides") se explica en
  [Anatomía de etiqueta · el cannabinoide como ingrediente](cumplimiento/etiquetado.md#el-cannabinoide-como-ingrediente).

## 9. Para IAs / integradores (verificación por API)

Endpoints públicos (rate-limited), aptos para agentes:

* **COA por token:** `GET /api/v1/coas/:token` — datos del certificado.
* **Preview público de COA:** `GET /api/v1/coas/preview/:token`.
* **Verificar CVV:** `GET|POST /api/v1/verify/:cvv`.
* **Verificar CVV emparejado a un QR:** `POST /api/v1/coas/preview/qr/:qr_token/verify-cvv`.

*(La referencia formal de API con esquemas de request/response se documenta en la sección **API &
Automatización**; esta página es la explicación conceptual.)*

***

*Contenido verificado contra el sistema en producción el 2026-08-01. La descripción del marco regulatorio
(NOM, sellos, SCIAN, amparos) vive en la sección **Cumplimiento & Etiquetado** y es informativa, no
constituye asesoría legal.*