dpa-review

/dpa-review

1. 加载 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → DPA 操作手册。如果存在占位符，则停止并提示完成设置。
2. 获取 DPA。确定方向：我们是处理者（客户的 DPA）还是控制者（供应商的 DPA）？如果不明确，请询问。
3. 按照下面的工作流逐项对照相应的操作手册条目进行审查。
4. 检查与隐私政策的一致性。
5. 输出：附带修订痕迹的审查备忘录。按内部风格指南保存。

/privacy-legal:dpa-review customer-dpa.pdf

---

DPA 审查

事项背景

事项背景。 检查实践级 CLAUDE.md 中的 ## Matter workspaces。如果 Enabled 为 ✗（内部用户的默认值），请跳过本段其余内容——技能会使用实践级背景，事项管理机制不可见。如果已启用且没有当前事项，请询问：“这是哪个事项？运行 /privacy-legal:matter-workspace switch <slug>，或回复 practice-level。”加载当前事项的 matter.md，以获取事项专属背景和覆盖设置。将输出写入事项文件夹 ~/.claude/plugins/config/claude-for-legal/privacy-legal/matters/<matter-slug>/。除非 Cross-matter context 为 on，否则不得读取其他事项的文件。

---

用途

DPA 有两种类型，审查方式几乎完全相反。客户向我们发送 DPA 时，我们要维护自身运营灵活性。我们向供应商发送 DPA 时，则要保护我们及客户的数据。两种审查都参考同一份 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md 操作手册，但对应不同条目。

首先：属于哪种情形？

在进行任何操作之前，先确定：

• 我们是处理者 → 客户向我们发送 DPA → 查阅 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md 中的“我们是处理者时”表格
• 我们是控制者 → 我们向供应商发送 DPA（或审查供应商的 DPA）→ 查阅“我们是控制者时”表格

如果不明确，请询问。判断错误会导致所有建议完全相反。

管辖区假设

本审查假设适用的管辖区范围与配置中指定的一致。隐私规则、响应期限和合法依据会因管辖区而有显著差异（GDPR 与州消费者隐私法及行业法规之间存在差异）。如果控制者、处理者或数据主体所在的管辖区与配置不符，本审查可能无法按原样适用。

加载有关该交易对手方 / 处理活动的先前背景

审核前，请检查 outputs 文件夹中是否有该交易对手方或处理活动的既往工作。阅读 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## Outputs，获取 outputs 文件夹路径。搜索以下内容：

• 同一交易对手方 / 处理活动的既往 use-case-triage 结果 — 分类会给出风险评级和条件，本次 DPA 审核应遵循这些评级和条件，或明确说明偏离的理由。
• 涉及该交易对手方 / 处理活动的既往 pia-generation 输出 — PIA 可能已指出 DPA 需要落实的风险缓解措施。
• 同一交易对手方的既往 dpa-review 输出 — 先前的 DPA 审核确立了哪些内容可以接受、哪些问题被标记，以及哪些内容已达成一致。新审核若悄然与先前审核相矛盾，会削弱工作成果的可信度。

如果找到既往输出，请在审核中引用：

“先前的分类（[日期]）将此项评为[风险级别]，并以[X]为批准条件。本次 DPA 审核与该结论一致。”——或—— “先前的分类（[日期]）将此项评为[风险级别]。本次 DPA 审核偏离该结论，原因是[理由——新事实、范围不同或改变了情况的合同条款]。”

根据跨技能严重性下限规则，将上游输出的严重性作为下限，详见 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## Shared guardrails。分类评为 🔴 的处理活动，不能在 DPA 审核中悄然降为 🟢；如需下调，必须说明并解释。

如果未找到既往输出（新交易对手方 / 新活动），请在审核中明确说明：“outputs 文件夹中没有该交易对手方的既往分类或 PIA”，以便审核律师确认已执行此项检查。

加载操作手册

阅读 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## DPA playbook。还需阅读 ## Privacy policy commitments——DPA 不得与隐私政策中的承诺相矛盾。

联邦行业法规覆盖层（在逐条审查前先询问）

在逐条审查前，请先回答：本 DPA 中流转的数据是否包含任何受联邦法规监管的类别？ GDPR 和州消费者隐私法提供了一层保护；联邦行业法规往往还会提供另一层，而通用 DPA 审查方案中通常不会提及这一层。即使 DPA 已满足 GDPR 要求，也可能未考虑 GLBA、HIPAA 或 COPPA；金融科技／医疗科技／教育科技／儿童科技领域的交易对手会注意到这一点。

基于活动的联邦法规覆盖层——先询问：

此处理活动是否涉及：

• 消费者的金融账户数据或“非公开个人信息”（GLBA / Reg P）？如果是，DPA 需要包含：(a) 符合 15 U.S.C. § 6802(a)-(c) 和 Reg P 的 NPI 共享限制（未经选择退出／选择加入，不得向非关联第三方共享数据用于营销）；(b) 符合 Safeguards Rule（16 C.F.R. Part 314）的保障措施条款；(c) 在适用情况下，满足 FTC／OCC 时限的事件通知；(d) 明确的例外条款，确保 CCPA § 1798.145(e) 项下的豁免不会意外免除 GLBA 级别的义务。
• 由受监管实体或业务伙伴持有的受保护健康信息（HIPAA Privacy / Security Rules）？如果是，DPA 需要包含：根据 45 C.F.R. § 164.504(e)，与 DPA 配套或整合的业务伙伴协议（BAA）；符合 HITECH 要求的违规通知时限（60 天内通知 CE；CE 在 60 天内通知 HHS；媒体通知门槛为 500 人以上）；允许用途条款；向下传递给分包商的 BAA 义务。商业 DPA 未规定 PHI 的 BAA 向下传递义务，属于缺陷。
• 由学校或代表学校行事的服务提供商持有的教育记录（FERPA）？如果是，DPA 需要包含：符合 34 C.F.R. § 99.31 的“校方官员”／目录信息框架；家长同意的传递机制；对州学生隐私法类似规定的处理（NY Ed Law 2-d、CA SOPIPA、IL SOPPA）。
• 由面向 13 岁以下儿童的在线服务运营者收集，或运营者实际知情收集的儿童数据（COPPA）？如果是，DPA 需要包含：可验证家长同意的传递机制；保留期限限制；应要求删除的机制；未经 VPC，不得进行行为广告。
• 其他联邦行业监管制度（针对视频观看记录的 VPPA、针对运营商数据的 CPNI、针对 DMV 记录的 DPPA、针对通话／短信的 TCPA / Shaken-Stir、针对经纪交易商的 GLBA Reg S-P、针对敏感数据相关不公平／欺骗行为的 §5 FTC Act）？

只要任一项为“是”：联邦法规覆盖层通常会提供实质性限制，而不仅仅是州消费者隐私法项下的豁免。请检索当前有效的条款并引用。若 DPA 因适用 GLBA 而根据 § 1798.145(e)“豁免”于 CCPA，仍须遵守 GLBA 限制——CCPA 豁免只是转移适用的监管框架，并不会消除相关义务。请将行业法规方面的缺口与 GDPR／州隐私法方面的缺口一并列入交易否决事项清单。

如果没有适用的行业法规覆盖层，请明确注明：“未发现受联邦法规监管的数据类别；行业法规覆盖层不适用”，以便审查律师知道已进行这项核查，而不是疑惑是否遗漏。

逐条审查

核心条款（审查每份 DPA）

逐条、逐款审查每份 DPA 是否包含以下条款。具体的数字和实质性立场（通知期限、违规处理时限、可接受／不可接受的底线）见 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## DPA playbook。每份 DPA 必须满足的监管底线来自原始法律——请针对每项适用的监管制度，检索当前有效的规则，并在说明底线前引用原始来源。

不得默默补充。 如果向已配置的法律研究工具提交研究查询后，针对某项制度的违约通知时限、传输机制要求、子处理方变更规则或任何其他底线要求返回的结果很少或没有，请报告已找到的内容并停止。未经询问，切勿通过网络搜索或模型知识填补空缺。请说：“该工具 [tool] 返回了 [N] 条结果。关于 [regime / topic] 的资料似乎不足。可选方案：(1) 扩大搜索查询范围，(2) 尝试其他研究工具，(3) 搜索网络——结果将标记为 [web search — verify]，依赖前应对照一手来源核查，或 (4) 标记为未经核实并停止。您希望怎么做？” 是否接受可信度较低的来源，由律师决定。

来源归属分级。 在审查中为每条引文标注来源，包括监管底线、SCC 版本、充分性决定、监管机构指引和判例。对于来自模型知识的引文，不要一概标注“核实”，而应使用以下三个等级之一：

• [settled] — 稳定且广为人知、不太可能发生变化的法律和监管引用（例如，GDPR 第 28 条、第 33 条的 72 小时违规通知要求，以及编号为 2021/914 的 SCC 决定）。提交前仍须核实，但优先级较低。
• [verify] — 确实存在、但应当核实的模型知识引文：具体实施法规、监管机构指引、判决要旨、充分性决定、SCC 模块及版本、UK Addendum / IDTA 的状态、门槛、生效日期。
• [verify-pinpoint] — 精确定位的引文（具体款项字母、SCC 条款编号、段落编号、卷号／页码）伪造风险最高，必须始终对照一手来源核实。

工具检索到的引文保留其来源标签（[Westlaw]、[Commission / regulator site] 或 MCP 工具名称）；网络搜索引文仍标记为 [web search — verify]；用户提供的引文仍标记为 [user provided]。分级能凸显真正需要核实的内容——读者若把所有内容都核实，就等于什么也没核实。切勿删除或合并这些标签。

术语	要查找的内容	操作手册字段	常见争议
角色	明确指定控制者／处理者；与实际情况相符	—	交易对手以与实际情况不符的方式标注双方关系（例如“联合控制者”）
处理范围	仅限于书面指示；目的明确	—	范围无限扩大的表述（“及相关目的”）
子处理方	披露当前名单，明确变更机制	子处理方变更	一揽子批准、否决权或仅通知
安全措施	附件列明具体控制措施或标准	安全标准	仅写“适当的技术和组织措施”而无附件，等于空头承诺
违规通知	明确触发条件（“发现”还是“确认”），明确时限	违规通知	时限是否过紧；计时起点；“无不当延迟”含糊不清
审计权	方式（报告还是现场审计）、频率、通知期限、费用分摊	审计权	通知期限过短的现场审计
国际传输	明确传输机制、补充措施、传输影响评估引用	传输	传输机制已过时或缺失
删除／返还	终止后的时限、证明、备份例外	终止时删除	“商业上合理”的删除 = ？？？
责任	是否纳入 MSA 责任上限或单独规定；例外情形	数据责任	数据泄露责任不设上限 = 关乎存亡

我们作为处理方时：防御性审查

客户的 DPA 试图把运营负担转嫁给我们。对于以下每项条款，请对照客户的要求和操作手册。如果客户的要求超出操作手册范围，请根据团队的标准立场（来自配置中的 CLAUDE.md）提出异议，并准备退让到可接受的立场。

条款	风险	调研／操作手册查询
子处理方审批权（否决权）	未经逐一获得客户批准，无法新增基础设施	按照操作手册中关于子处理方变更的立场处理
提前很短时间通知的现场审计	无法大规模执行	按照操作手册中关于审计权的立场处理
严苛的违规通知期限	通常要求我们在了解事件详情之前就发出通知	调研各适用制度的监管底线（引用一手来源）；并与操作手册中的立场对照
严格的数据驻留要求（单一国家／数据中心）	可能与架构不符	按照操作手册中关于数据位置的立场处理；确认我们实际能够承诺的内容
处理方责任不设上限	可能导致公司倾覆	按照操作手册中关于数据责任的立场处理
客户可发出具有约束力的“指示”	不受限制的运营控制	将指示定义为“在协议中载明或以书面形式达成一致”
要求在极短时间内删除	由于备份和日志保留，无法做到	按照操作手册中关于终止时删除数据的立场处理；记录备份轮换的例外条款

我们作为控制方时：保护性审查

供应商的 DPA 试图不给我们任何保障。对于以下每项条款，请对照控制方的操作手册。

条款	缺口	调研／操作手册查询
未提供子处理方名单	不知道谁会接触我们的数据	按照操作手册要求提供当前公开名单并提前通知
“行业标准安全措施”	毫无具体含义	要求附上列明具体控制措施的附件，或引用具名标准（例如 SOC 2、ISO 27001）
未规定违规通知期限	他们想什么时候通知我们都可以	调研适用的监管底线；要求符合操作手册中的立场
完全没有审计权	无法验证任何事项	至少按照操作手册要求提供独立审计报告
供应商可将数据用于“改进服务”	可能会使用我们的数据训练模型	删除该条；处理数据仅限于向我们提供服务
未规定国际传输机制	缺少合法的数据传输机制	调研相关传输路线目前有效的传输机制（来源地／目的地司法管辖区、适用制度、是否存在充分性决定，以及任何补充措施）。引用一手来源并核实其时效性。
未承诺删除数据	数据会永久留存	按照操作手册要求承诺删除数据，并应要求提供证明

一致性检查：隐私政策

你签署的 DPA 不能承诺隐私政策未涵盖的事项，反之亦然。

• 如果 DPA 承诺仅为 X、Y、Z 目的处理数据，隐私政策是否列出了这些目的？
• 如果隐私政策称“我们绝不出售数据”，是否有任何 DPA 条款可能构成 CCPA 所指的出售？
• 如果隐私政策列明了具体的子处理方类别，DPA 中的子处理方名单是否一致？

标记不一致之处。问题通常出在隐私政策过时，而不是 DPA 有误，但总得有人修正其中一份文件。

修订粒度

以尽可能小的粒度进行修改。 修订稿是谈判文件，不是重写。整段替换条款会传达出“我们把你们的起草内容全盘推翻了”——这很强硬，会迫使对方重新阅读整条款，也会舍弃其中原本没有问题的部分。精准修订——删除一个词、插入一个短语、重构一个子条款——传达的是“我们有具体诉求”，也更便于阅读、理解和接受。

默认采用能够实现操作手册立场的最小修改：

• 优先替换单词，而非短语。（“twelve (12)” → “twenty-four (24)”）
• 优先替换短语，而非句子。（“paid by the Buyer” → “paid and payable by the Buyer”）
• 优先重构子条款，而非替换句子。（添加“(a)”和“(b)”以拆分复合条件。）
• 优先替换句子，而非替换条款。
• 只有在对方的版本与我方立场相差甚远，以致精准修订不如重新起草易读时，才替换整条条款；若确需如此，请在随附函中说明：“我们替换了 §8.2，而未直接修订，因为修改幅度较大。很乐意为你们说明差异。”

有疑问时，选择更小的改动。收到精准修订稿的客户会相信你认真审阅了文件。收到整条替换稿的客户则会怀疑你是否真的读过文件。

输出

在开头添加来自 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md ## Outputs 的工作成果标题（因用户角色而异，参见 ## Who's using this）。

[WORK-PRODUCT HEADER — per plugin config ## Outputs]

# DPA Review: [Counterparty]

**Direction:** [We are processor / We are controller]
**Reviewed:** [date]
**Attached to:** [MSA / standalone]

---

## Bottom line

[Two sentences. Can we sign? What has to change?]

**Issues:** [N]🟢 [N]🟡 [N]🟠 [N]🔴

---

## Term-by-term

[For each core term, use a standard deviation-memo format: what the
counterparty's DPA says, what our playbook says, the gap, the risk, and the
proposed redline language. Keep each term to a short self-contained block so a
reviewer can skim.]

---

## Privacy policy consistency

[🟢 Consistent | 🟡 Flags: list]

---

## Recommended redlines

[Consolidated — ready to send back]

---

## If they won't move

[For each issue: the fallback from the config CLAUDE.md, or escalation routing if no
fallback exists]

国际传输说明

如果 DPA 涉及跨境数据传输，请研究适用传输路径目前有效的传输机制要求。针对每一组来源地／目的地，明确：适用的制度；是否有有效的充分性决定；需要或可用的传输机制（例如，标准合同条款及其适用版本／模块、UK Addendum 或 IDTA、BCR、例外情形）；是否需要传输影响评估或同等评估；以及可能需要哪些补充措施。引用一手资料（法规、委员会决定、监管机构指引、具有约束力的判例），并附上精确引注，核实信息是否为最新——充分性决定、SCC 版本和所需的补充措施会随新的委员会决定、法院裁决和监管机构指引而变化。对于不确定之处，请标记并交由律师核实。

如果存在国际传输但缺少传输机制，即为 🔴——这意味着没有合法的传输机制。

签署 DPA 的关卡

审查 DPA 属于研究工作。签署 DPA，或指示他人代表我们会签，则属于具有重大影响的行为。

在签署或会签 DPA 之前（包括返还已签署版本、同意在对方平台上自动签署，或指示签署人签署）： 请阅读 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md 中的 ## Who's using this。如果角色为 Non-lawyer：

签署 DPA 属于法律行为——它会使公司承担具体的数据保护义务，而这些义务也会影响监管机构和数据主体。你是否已与律师审阅过此事？如果是，请继续。如果否，请准备以下简报交由律师审阅：

[生成一页摘要：对方、角色方向（我方为处理者／控制者）、偏离操作手册的条款及其解决方式、尚未决定的备选方案，以及签署前要向律师咨询的三件事。]

如需在你所在司法管辖区寻找持牌律师、事务律师、出庭律师或其他获授权的法律专业人士，最快的起点是联系专业监管机构的转介服务（美国的州律师协会、英格兰和威尔士的 SRA／Bar Standards Board、苏格兰／北爱尔兰／爱尔兰／加拿大／澳大利亚的 Law Society，或你所在司法管辖区的同等机构）。

未经明确肯定答复，不得越过此关卡。

以“下一步决策树”收尾

按照 CLAUDE.md ## Outputs 中的要求，以“下一步决策树”收尾。根据此技能刚刚生成的内容定制选项——五个默认分支（起草 X、升级处理、获取更多事实、观察并等待、其他事项）只是起点，并非固定选项。决策树就是输出；由律师做出选择。

此技能不会做什么

• 它不会从头起草 DPA。如果答案是“使用我们的模板”，请从配置 CLAUDE.md 中的 seed docs 路径获取模板。
• 它不会自行开展 Transfer Impact Assessment——只会标出何时需要进行评估。
• 它不会决定是否接受回退选项之外的条款。此类事项会按照升级处理表转交。