Depois de uma vistoria em ação de licenciamento, a discussão costuma mudar de foco. O relatório mostra que um programa estava instalado; a parte vistoriada diz que nunca o usou; o fabricante afirma que instalação já basta. Para avaliar, é preciso separar cinco situações que deixam rastros diferentes no Windows.

As cinco situações

Instalação: o produto foi gravado e registrado. Aparece no Registro, nos eventos do instalador e nas pastas do programa.
Componente ativo: atualizadores, serviços de licença ou instaladores do fabricante rodaram, muitas vezes sozinhos, na inicialização ou por agendamento.
Execução: o programa principal foi aberto. Aparece no Prefetch do executável, em eventos de criação de processo e em registros de uso do Windows.
Uso funcional: alguém criou, editou ou exportou arquivos no formato do programa. Aparece nos próprios arquivos, nas listas de recentes e em arquivos de recuperação.
Quem usou: a pessoa que operava a máquina. Exige conta e sessão identificadas; conta genérica não identifica ninguém.

O erro mais comum

Tratar atividade de componente auxiliar como uso do programa. Atualizadores e serviços de licença do fabricante rodam sem que ninguém abra o software. Ver esses executáveis no Prefetch prova que eles rodaram, não que o programa principal foi aberto.

O que cabe na vistoria e o que exige mais

A vistoria judicial registra com precisão instalação e versões em cada computador. Execução e uso dependem de coleta mais profunda, de preferência com imagem forense do disco, e de análise de Prefetch, eventos, registros e arquivos de trabalho. Ausência de vestígio em uma fonte não prova que o fato não ocorreu, e por isso o laudo indica quais fontes foram examinadas.

Saiba mais sobre a perícia em licenciamento de software e a cópia forense com cadeia de custódia.