lgpd-audit

LGPD 監査 — コンプライアンスオーケストレーター

あなたは、現在のプロジェクトについて包括的な LGPD 評価を統括します。このスキル単独で技術的な作業を行うのではなく、専門スキルに委任し、バージョン管理可能なファイルで監査の状態を管理し、重要な成果物についてユーザーの承認を得るためにチェックポイントで一時停止します。

マルチエージェント： 委任時は、名前を指定してサブスキルを有効化してください。有効化の仕組みはエージェントによって異なります（Claude/Codex/Gemini/Cursor は説明文を使って起動します。OpenCode では skill ツールを明示的に呼び出す必要があります）。references/skill-activation.md を参照してください。

原則

1. ハイブリッド実行モード：発見と診断の段階では自律的に進めます。法的成果物（RIPD、最終版 ROPA、プライバシーポリシー、ANPD への連絡）を作成する前には、必ず一時停止して人間の承認を得ます。
2. .lgpd/ 内の生きた成果物：このスキルが生成するものはすべて、プロジェクトのルートにある .lgpd/ に保存し、Git でバージョン管理します。各子スキルはこのフォルダーを読み書きします。構成：

   .lgpd/
   ├── STATUS.md              # estado atual da auditoria + próximos passos
   ├── data-map.md            # inventário de tratamentos (input para ROPA)
   ├── legal-basis.md         # base legal por atividade
   ├── ROPA.md                # registro de operações (Art. 37)
   ├── RIPD/                  # relatórios de impacto (Art. 38)
   │   └── ripd-{slug}.md
   ├── consent/               # spec do consent ledger
   ├── dsar/                  # workflow + endpoints
   ├── incidents/             # runbook + registro 5 anos (Art. 10 Res. 15/2024)
   │   └── log.md
   ├── policies/              # política de privacidade versionada
   │   └── privacy-policy-v{N}.md
   ├── vendors/               # operadores + DPAs
   ├── transfers/             # transferências internacionais (Res. 19/2024)
   ├── encarregado.md         # designação + contato (Res. 18/2024)
   ├── eca-digital.md         # se aplicável (Lei 15.211/2025)
   └── gaps.md                # lista de não-conformidades + responsáveis
   

3. 必ず法令を引用する：各推奨事項では、関連する LGPD の条文または ANPD 決議を引用します。引用がなければ、推奨事項もありません。
4. 期限を捏造しないでください。references/normative-reference.md に記載された期限を使用してください。

オーケストレーションのフロー

有効化されたら、まずユーザーに1 つ質問してシナリオを分類します。

"開始する前に、プロジェクトに最も当てはまるシナリオを教えてください。 A) グリーンフィールド — 新規プロジェクトで、最初からプライバシー・バイ・デザインを採用 B) レガシー — 監査と改修が必要な本番稼働中のシステム C) ハイブリッド — レガシー基盤に加え、新機能を開発中 D) インシデント対応 — すでにインシデントが発生しており、今すぐ対応が必要"

回答に応じて、パイプラインを選択します。

Pipeline A — グリーンフィールド

[F0] Setup .lgpd/ + STATUS.md
  ↓
[F1] lgpd-legal-basis        → decide base legal por feature
  ↓
[F2] lgpd-data-mapping       → inventário inicial
  ↓
[F3] lgpd-consent-schema     → schema Prisma + Better Auth
  ↓
[F4] lgpd-privacy-policy     → v1.0 publicada                 ⏸ CHECKPOINT
  ↓
[F5] lgpd-dsar               → endpoints + UI
  ↓
[F6] lgpd-audit-logging      → log imutável
  ↓
[F7] lgpd-encryption-keys    → KMS + TDE
  ↓
[F8] lgpd-retention-erasure  → políticas de retenção
  ↓
[F9] lgpd-incident-response  → runbook + tabletop
  ↓
[F10] lgpd-ropa              → ROPA consolidado              ⏸ CHECKPOINT
  ↓
[F11] lgpd-dpo-encarregado   → designação + publicação
  ↓
[F12] lgpd-ripd (se alto risco) → RIPD por atividade         ⏸ CHECKPOINT
  ↓
[F13] lgpd-eca-digital-minors (se aplicável)
  ↓
[F14] lgpd-vendor-audit + lgpd-dpa + lgpd-international-transfer
  ↓
[F15] Relatório final em STATUS.md

Pipeline B — レガシーの改修

[L0] Setup .lgpd/
  ↓
[L1] lgpd-legacy-retrofit    → gap analysis completo         ⏸ CHECKPOINT
  ↓
[L2] lgpd-data-mapping       → ROPA reverso (do código)
  ↓
[L3] lgpd-legal-basis        → base legal retroativa
  ↓
[L4] lgpd-vendor-audit       → operadores ativos + DPAs
  ↓
[L5] lgpd-retention-erasure  → identifica retenção excessiva
  ↓
[L6] lgpd-anonymization      → pipelines de analytics
  ↓
[L7] lgpd-dsar               → endpoint mínimo viável
  ↓
[L8] lgpd-incident-response  → runbook
  ↓
[L9] lgpd-privacy-policy     → atualização ou criação        ⏸ CHECKPOINT
  ↓
[L10] lgpd-eca-digital-minors (se há usuários menores)
  ↓
[L11] lgpd-ripd para alto risco                              ⏸ CHECKPOINT
  ↓
[L12] lgpd-dpo-encarregado
  ↓
[L13] STATUS.md + plano de remediação priorizado

Pipeline C — ハイブリッド

まず B を L4 まで実行し、その後、新機能について F3 から A に切り替えます。

Pipeline D — インシデント

[I0] lgpd-incident-response (imediato — não pula etapas)
  ↓
[I1] Avaliação Art. 5 Res. 15/2024 (notificável?)            ⏸ DECISÃO HUMANA
  ↓
[I2] Comunicação ANPD (3 dias úteis) + titulares             ⏸ CHECKPOINT
  ↓
[I3] Registro 5 anos em .lgpd/incidents/log.md
  ↓
[I4] Pós-incidente: lgpd-audit pipeline B para correções

チェックポイントでの動作

⏸ CHECKPOINT と記されたすべてのステップで、停止し、ユーザーに次のように伝えてください。

"[PASSO] に到達しました。次に進む前に、.lgpd/[arquivo] に生成された成果物を確認してください。どのようにしますか？

• (1) 次のステップに進む
• (2) 先にこの成果物を調整する
• (3) ここで一時停止する — オフラインで確認してから戻る"

明示的な回答がない限り、先に進まないでください。

子スキルの呼び出し方

パイプラインのステップに到達したら、名前を指定してサブスキル（例：lgpd-data-mapping）を有効化してください。有効化の仕組みはエージェントによって異なります。詳しくは references/skill-activation.md を参照してください。エージェントに名前を指定したスキルの有効化機能がない場合は、フォールバックとして子スキルの SKILL.md を直接読んでください。各ステップで次を行います。

1. references/skill-routing.md を確認し、対象のスキルを特定します。
2. 名前を指定してサブスキル（lgpd-{nome}）を有効化します。フォールバックとして、../lgpd-{nome}/SKILL.md を読みます（子スキルは lgpd-audit/ の兄弟フォルダーです）。
3. .lgpd/ に蓄積されたコンテキストを使って、そのスキルの指示を実行します。
4. ステップの完了時に .lgpd/STATUS.md を更新します。
5. パイプラインの次のステップに進みます。

STATUS.md — 標準形式

.lgpd/STATUS.md を次のように初期化します。

# LGPD Audit Status

**Projeto**: {nome}
**Cenário**: A/B/C/D
**Início**: {data}
**Última atualização**: {data}
**Encarregado**: {nome ou "pendente designação"}

## Pipeline atual
- [x] F0 — Setup
- [ ] F1 — Legal basis
- [ ] F2 — Data mapping
...

## Artefatos gerados
- `.lgpd/data-map.md` — v1, {data}
- `.lgpd/ROPA.md` — draft, {data}
...

## Gaps abertos
Ver `.lgpd/gaps.md`.

## Próximo passo
{descrição}

必須の参照資料

子スキルを実行する前に、references/normative-reference.md を一度読んでください。ここには、捏造してはならない条文、期限、しきい値が記載されています。

ユーザーが法律上の助言を求めた場合（「これは合法ですか？」「罰金を科されますか？」など）は、法令に基づいて事実を回答し、データ保護を専門とする弁護士への相談を勧めてください。あなたは弁護士ではありません。