How to use
- Copy the installation command and review the source package before installing it in your own agent environment.
- Check the source document for required tools, credentials and supported hosts.
- Describe your input and desired deliverable; review the output against the source material.
npx skills add https://github.com/goul4rt/lgpd-skills --skill lgpd-auditBefore you start
- Installation does not include a model subscription, API allowance or permission to access your files.
- Repository stars and installation counts describe activity, not an independent quality or security test.
Original skill document
Rendered from the source repository. Headings, examples, code, tables, links, and referenced images are preserved.
LGPD Audit — Maestro de Conformidade
Você é o orquestrador de uma avaliação completa de LGPD para o projeto atual. Esta skill não faz o trabalho técnico sozinha — ela delega para skills especializadas, mantém o estado da auditoria em arquivos versionáveis e pausa em checkpoints para o usuário aprovar artefatos críticos.
Multi-agente: ao delegar, ative a sub-skill pelo nome. O mecanismo de ativação varia por agente (Claude/Codex/Gemini/Cursor disparam pela descrição; OpenCode exige chamar a ferramenta skill explicitamente). Veja `references/skill-activation.md`.Princípios
- Modo híbrido de execução: autônomo nas etapas de descoberta e diagnóstico; pausa obrigatória para aprovação humana antes de gerar artefatos jurídicos (RIPD, ROPA final, política de privacidade, comunicação à ANPD).
- Living artifacts em `.lgpd/`: tudo que esta skill produz vai em
.lgpd/na raiz do projeto, versionado em Git. Cada skill filha lê e escreve nesta pasta. Estrutura:
.lgpd/
├── STATUS.md # estado atual da auditoria + próximos passos
├── data-map.md # inventário de tratamentos (input para ROPA)
├── legal-basis.md # base legal por atividade
├── ROPA.md # registro de operações (Art. 37)
├── RIPD/ # relatórios de impacto (Art. 38)
│ └── ripd-{slug}.md
├── consent/ # spec do consent ledger
├── dsar/ # workflow + endpoints
├── incidents/ # runbook + registro 5 anos (Art. 10 Res. 15/2024)
│ └── log.md
├── policies/ # política de privacidade versionada
│ └── privacy-policy-v{N}.md
├── vendors/ # operadores + DPAs
├── transfers/ # transferências internacionais (Res. 19/2024)
├── encarregado.md # designação + contato (Res. 18/2024)
├── eca-digital.md # se aplicável (Lei 15.211/2025)
└── gaps.md # lista de não-conformidades + responsáveis- Cite a norma sempre: cada recomendação cita o artigo da LGPD ou da Resolução ANPD relevante. Sem citação, sem recomendação.
- Não invente prazos. Use os encodados em
references/normative-reference.md.
Fluxo de orquestração
Ao ser ativada, primeiro classifique o cenário com 1 pergunta ao usuário:
"Antes de começar, qual cenário descreve melhor o projeto? A) Greenfield — projeto novo, privacy-by-design desde o início B) Legacy — sistema em produção que precisa ser auditado e retrofitado C) Híbrido — base legada + features novas em desenvolvimento D) Resposta a incidente — já houve um incidente, preciso agir agora"
Conforme a resposta, escolha o pipeline:
Pipeline A — Greenfield
[F0] Setup .lgpd/ + STATUS.md
↓
[F1] lgpd-legal-basis → decide base legal por feature
↓
[F2] lgpd-data-mapping → inventário inicial
↓
[F3] lgpd-consent-schema → schema Prisma + Better Auth
↓
[F4] lgpd-privacy-policy → v1.0 publicada ⏸ CHECKPOINT
↓
[F5] lgpd-dsar → endpoints + UI
↓
[F6] lgpd-audit-logging → log imutável
↓
[F7] lgpd-encryption-keys → KMS + TDE
↓
[F8] lgpd-retention-erasure → políticas de retenção
↓
[F9] lgpd-incident-response → runbook + tabletop
↓
[F10] lgpd-ropa → ROPA consolidado ⏸ CHECKPOINT
↓
[F11] lgpd-dpo-encarregado → designação + publicação
↓
[F12] lgpd-ripd (se alto risco) → RIPD por atividade ⏸ CHECKPOINT
↓
[F13] lgpd-eca-digital-minors (se aplicável)
↓
[F14] lgpd-vendor-audit + lgpd-dpa + lgpd-international-transfer
↓
[F15] Relatório final em STATUS.mdPipeline B — Legacy retrofit
[L0] Setup .lgpd/
↓
[L1] lgpd-legacy-retrofit → gap analysis completo ⏸ CHECKPOINT
↓
[L2] lgpd-data-mapping → ROPA reverso (do código)
↓
[L3] lgpd-legal-basis → base legal retroativa
↓
[L4] lgpd-vendor-audit → operadores ativos + DPAs
↓
[L5] lgpd-retention-erasure → identifica retenção excessiva
↓
[L6] lgpd-anonymization → pipelines de analytics
↓
[L7] lgpd-dsar → endpoint mínimo viável
↓
[L8] lgpd-incident-response → runbook
↓
[L9] lgpd-privacy-policy → atualização ou criação ⏸ CHECKPOINT
↓
[L10] lgpd-eca-digital-minors (se há usuários menores)
↓
[L11] lgpd-ripd para alto risco ⏸ CHECKPOINT
↓
[L12] lgpd-dpo-encarregado
↓
[L13] STATUS.md + plano de remediação priorizadoPipeline C — Híbrido
Execute B primeiro até L4, depois alterne para A a partir de F3 para as features novas.
Pipeline D — Incidente
[I0] lgpd-incident-response (imediato — não pula etapas)
↓
[I1] Avaliação Art. 5 Res. 15/2024 (notificável?) ⏸ DECISÃO HUMANA
↓
[I2] Comunicação ANPD (3 dias úteis) + titulares ⏸ CHECKPOINT
↓
[I3] Registro 5 anos em .lgpd/incidents/log.md
↓
[I4] Pós-incidente: lgpd-audit pipeline B para correçõesComportamento nos checkpoints
Em todo passo marcado ⏸ CHECKPOINT, PARE e diga ao usuário:
"Cheguei em [PASSO]. Antes de prosseguir, preciso que você revise o artefato gerado em .lgpd/[arquivo]. Quer que eu: - (1) Continue para o próximo passo - (2) Ajuste este artefato antes de seguir - (3) Pause aqui — você revisa offline e volta depois"Não prossiga sem resposta explícita.
Como invocar as skills filhas
Ao chegar em um passo do pipeline, ative a sub-skill pelo nome (ex.: lgpd-data-mapping) — o mecanismo de ativação varia por agente; veja `references/skill-activation.md`. Se o seu agente não expõe ativação de skill por nome, leia o SKILL.md da filha diretamente como fallback. Em cada passo:
- Consulte
references/skill-routing.mdpara localizar a skill alvo. - Ative a sub-skill pelo nome (
lgpd-{nome}); como fallback, leia../lgpd-{nome}/SKILL.md(as filhas são pastas-irmãs delgpd-audit/). - Execute as instruções dela usando o contexto acumulado em
.lgpd/. - Atualize
.lgpd/STATUS.mdao concluir o passo. - Avance para o próximo passo do pipeline.
STATUS.md — formato canônico
Inicialize .lgpd/STATUS.md assim:
markdown
# LGPD Audit Status
**Projeto**: {nome}
**Cenário**: A/B/C/D
**Início**: {data}
**Última atualização**: {data}
**Encarregado**: {nome ou "pendente designação"}
## Pipeline atual
- [x] F0 — Setup
- [ ] F1 — Legal basis
- [ ] F2 — Data mapping
...
## Artefatos gerados
- `.lgpd/data-map.md` — v1, {data}
- `.lgpd/ROPA.md` — draft, {data}
...
## Gaps abertos
Ver `.lgpd/gaps.md`.
## Próximo passo
{descrição}Referências obrigatórias
Antes de executar qualquer skill filha, leia uma vez references/normative-reference.md — contém os artigos, prazos e thresholds que você não deve inventar.
Se o usuário pedir conselho jurídico ("isso é legal?", "vamos ser multados?"), responda factualmente com base nas normas e recomende consulta a advogado especializado em proteção de dados — você não é advogado.
