@fontdata/ai-harness 2.0.0

package/templates/skills/lgpd-checker/references/lgpd-artigos.md

@@ -0,0 +1,178 @@
+# Artigos Relevantes da LGPD — Lei nº 13.709/2018
+
+> Referência rápida dos artigos mais importantes para análise técnica de software.
+> Texto resumido para fins de análise; consulte a lei oficial em https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm
+
+---
+
+## Art. 5 — Definições
+
+- **Dado pessoal**: informação relacionada a pessoa natural identificada ou identificável.
+- **Dado pessoal sensível**: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
+- **Dado anonimizado**: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.
+- **Banco de dados**: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.
+- **Titular**: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
+- **Controlador**: pessoa natural ou jurídica que toma as decisões referentes ao tratamento de dados pessoais.
+- **Operador**: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.
+- **Encarregado (DPO)**: pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
+- **Tratamento**: toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração).
+- **Consentimento**: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
+- **RIPD**: relatório de impacto à proteção de dados pessoais — documentação que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais.
+
+---
+
+## Art. 6 — Princípios do Tratamento
+
+O tratamento de dados pessoais deverá observar os seguintes princípios:
+
+| Princípio | Descrição |
+|---|---|
+| **Finalidade** | Realização para propósitos legítimos, específicos, explícitos e informados ao titular |
+| **Adequação** | Compatibilidade com as finalidades informadas ao titular |
+| **Necessidade** | Limitação ao mínimo necessário para as finalidades (minimização) |
+| **Livre acesso** | Garantia de consulta gratuita sobre forma, duração e integralidade do tratamento |
+| **Qualidade dos dados** | Garantia de exatidão, clareza, relevância e atualização |
+| **Transparência** | Informações claras, precisas e acessíveis ao titular |
+| **Segurança** | Medidas técnicas e administrativas para proteger os dados |
+| **Prevenção** | Adoção de medidas para prevenir danos |
+| **Não discriminação** | Impossibilidade de tratamento para fins discriminatórios ilícitos |
+| **Responsabilização** | Demonstração de adoção de medidas eficazes de conformidade |
+
+---
+
+## Art. 7 — Hipóteses de Tratamento (Bases Legais)
+
+O tratamento de dados pessoais somente poderá ser realizado quando:
+
+1. Mediante o **fornecimento de consentimento** pelo titular
+2. Para o **cumprimento de obrigação legal** ou regulatória pelo controlador
+3. Para a execução de **políticas públicas**
+4. Para a realização de **estudos por órgão de pesquisa**
+5. Para a **execução de contrato** ou procedimentos preliminares
+6. Para o exercício regular de **direitos em processo judicial, administrativo ou arbitral**
+7. Para a **proteção da vida** ou incolumidade física do titular ou de terceiro
+8. Para a tutela da **saúde** (profissionais e serviços de saúde)
+9. Quando necessário para atender aos **interesses legítimos** do controlador ou de terceiro
+10. Para a **proteção do crédito**
+
+---
+
+## Art. 8 — Consentimento
+
+- O consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
+- É nulo o consentimento dado de forma genérica — a finalidade deve ser específica.
+- O ônus da prova do consentimento recai sobre o controlador.
+- O consentimento pode ser revogado a qualquer momento.
+- O titular deve ser informado das consequências da revogação do consentimento.
+
+---
+
+## Art. 9 — Transparência
+
+O titular tem direito a ser informado de forma clara e adequada sobre:
+- A finalidade específica do tratamento
+- A forma e a duração do tratamento
+- A identificação do controlador e contato do DPO
+- Informações acerca do uso compartilhado de dados
+- Responsabilidades dos agentes que realizarão o tratamento
+- Direitos do titular
+
+---
+
+## Art. 11 — Dados Sensíveis
+
+O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
+- Mediante consentimento do titular, de forma específica e destacada, para finalidades específicas
+- Sem consentimento: para cumprimento de obrigação legal, políticas públicas de saúde, estudos por órgão de pesquisa, exercício de direitos, proteção da vida, prevenção à fraude ou à segurança do titular
+
+**Proibição**: é vedado o tratamento de dados sensíveis para prática de discriminação ilícita ou abusiva.
+
+---
+
+## Art. 15 — Término do Tratamento
+
+O tratamento de dados pessoais será encerrado quando:
+- A finalidade for alcançada ou os dados deixarem de ser necessários
+- O período de tratamento for encerrado
+- Comunicação do titular, inclusive por revogação de consentimento
+- Por determinação da ANPD
+
+---
+
+## Art. 16 — Eliminação dos Dados
+
+Após o término do tratamento, os dados devem ser **eliminados** (salvo exceções: obrigação legal, transferência a terceiro, uso exclusivo do controlador, dados anonimizados).
+
+---
+
+## Art. 18 — Direitos do Titular
+
+O titular dos dados pessoais tem o direito de obter do controlador, a qualquer momento:
+
+| Direito | Descrição |
+|---|---|
+| **I — Confirmação** | Confirmação da existência de tratamento |
+| **II — Acesso** | Acesso aos dados |
+| **III — Correção** | Correção de dados incompletos, inexatos ou desatualizados |
+| **IV — Anonimização/Bloqueio/Eliminação** | De dados desnecessários, excessivos ou tratados em desconformidade |
+| **V — Portabilidade** | Portabilidade dos dados a outro fornecedor de serviço ou produto |
+| **VI — Eliminação** | Eliminação dos dados pessoais tratados com o consentimento do titular |
+| **VII — Informação** | Informação sobre entidades com as quais o controlador compartilhou dados |
+| **VIII — Informação** | Informação sobre a possibilidade de não fornecer consentimento e as consequências |
+| **IX — Revogação** | Revogação do consentimento |
+
+---
+
+## Art. 33–36 — Transferência Internacional
+
+A transferência internacional de dados pessoais somente é permitida para países que proporcionem grau de proteção adequado, ou mediante salvaguardas específicas (cláusulas contratuais, normas corporativas, consentimento específico, etc.).
+
+---
+
+## Art. 37 — Registro das Operações
+
+O controlador e o operador devem manter **registro das operações de tratamento** realizadas, especialmente quando baseado no legítimo interesse.
+
+---
+
+## Art. 38 — RIPD (Relatório de Impacto)
+
+A autoridade nacional poderá determinar que o controlador elabore relatório de impacto à proteção de dados pessoais, especialmente quando o tratamento tiver como fundamento o legítimo interesse ou quando envolver:
+- Tratamento em larga escala de dados sensíveis
+- Monitoramento sistemático de áreas públicas
+- Decisões automatizadas com efeitos significativos sobre os titulares
+
+---
+
+## Art. 41 — Encarregado (DPO)
+
+O controlador deverá indicar encarregado pelo tratamento de dados pessoais. As atividades do encarregado incluem:
+- Aceitar reclamações e comunicações dos titulares
+- Prestar esclarecimentos e adotar providências
+- Receber comunicações da ANPD e adotar providências
+- Orientar os funcionários e contratados sobre práticas de proteção de dados
+
+---
+
+## Art. 46 — Segurança e Sigilo
+
+Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
+
+**§2** — As medidas de segurança deverão ser observadas **desde a fase de concepção do produto ou serviço** até a sua execução (**Privacy by Design**).
+
+---
+
+## Art. 48 — Comunicação de Incidentes
+
+O controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável (72 horas é a prática recomendada pela ANPD).
+
+---
+
+## Sanções (Art. 52)
+
+- Advertência
+- Multa simples de até **2% do faturamento**, limitada a **R$ 50 milhões por infração**
+- Multa diária
+- Publicização da infração
+- Bloqueio dos dados pessoais até regularização
+- Eliminação dos dados pessoais relacionados à infração

package/templates/skills/lgpd-checker/references/report-template.md

@@ -0,0 +1,117 @@
+# Template de Relatório LGPD
+
+Use este template para formatar o relatório de conformidade gerado pelo skill.
+
+---
+
+```markdown
+# 📋 Relatório de Conformidade LGPD
+**Projeto:** [Nome do Projeto]
+**Data da Análise:** [Data]
+**Versão da Lei:** Lei nº 13.709/2018 (LGPD)
+
+---
+
+## 🎯 Resultado Geral
+
+| Status | Score | Itens Críticos | Itens Altos | Itens Médios | Itens Baixos |
+|--------|-------|----------------|-------------|--------------|--------------|
+| [✅ CONFORME / ⚠️ PARCIALMENTE CONFORME / ❌ NÃO CONFORME] | X/100 | N | N | N | N |
+
+> **Resumo executivo:** [2-3 frases descrevendo o estado geral do projeto e os principais riscos identificados.]
+
+---
+
+## 🚨 Itens Críticos (Ação Imediata Necessária)
+
+> Itens críticos representam violações diretas da lei ou riscos imediatos de segurança que devem ser resolvidos antes de qualquer deploy em produção.
+
+### 🔴 [ID-001] [Título do Problema]
+- **Categoria:** CAT-X — [Nome da Categoria]
+- **Artigo LGPD:** Art. XX
+- **Arquivo(s):** `src/arquivo.js:45`, `models/User.js:12`
+- **Descrição:** [Descrição clara do problema encontrado no código]
+- **Risco:** [Explicação do risco para o titular de dados e para a empresa]
+- **Recomendação:**
+  ```
+  [Exemplo de código corrigido ou passos concretos para resolver]
+  ```
+
+### 🔴 [ID-002] [Título do Problema]
+[...]
+
+---
+
+## 🟠 Itens de Alta Prioridade
+
+### 🟠 [ID-003] [Título do Problema]
+- **Categoria:** CAT-X — [Nome da Categoria]
+- **Artigo LGPD:** Art. XX
+- **Arquivo(s):** [...]
+- **Descrição:** [...]
+- **Recomendação:** [...]
+
+[...]
+
+---
+
+## 🟡 Itens de Média Prioridade
+
+### 🟡 [ID-00X] [Título do Problema]
+[...]
+
+---
+
+## 🟢 Itens de Baixa Prioridade / Melhorias
+
+### 🟢 [ID-00X] [Título do Problema]
+[...]
+
+---
+
+## ✅ Pontos Positivos (Conformidades Encontradas)
+
+> O que o projeto já faz corretamente em relação à LGPD.
+
+- ✅ **[CAT-X]** [Descrição do que está correto] — `arquivo.js:10`
+- ✅ **[CAT-X]** [Descrição do que está correto]
+[...]
+
+---
+
+## ⚠️ Categorias Não Avaliadas
+
+| Categoria | Motivo |
+|-----------|--------|
+| CAT-X — [Nome] | Arquivos de [tipo] não encontrados no projeto |
+[...]
+
+---
+
+## 🗺️ Plano de Ação Prioritizado
+
+Ordem recomendada de resolução para atingir conformidade com a LGPD:
+
+### Fase 1 — Imediato (antes do próximo deploy)
+1. **[ID-00X]** [Título] — [Tempo estimado: Xh]
+2. **[ID-00X]** [Título] — [Tempo estimado: Xh]
+
+### Fase 2 — Curto prazo (próximas 2 semanas)
+3. **[ID-00X]** [Título] — [Tempo estimado: Xh]
+4. **[ID-00X]** [Título] — [Tempo estimado: Xh]
+
+### Fase 3 — Médio prazo (próximo mês)
+5. **[ID-00X]** [Título] — [Tempo estimado: Xh]
+[...]
+
+---
+
+## 📚 Recursos Adicionais
+
+- [Lei nº 13.709/2018 — Texto completo](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm)
+- [ANPD — Autoridade Nacional de Proteção de Dados](https://www.gov.br/anpd)
+- [Guia de Boas Práticas da ANPD](https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-guia-de-boas-praticas-e-governanca-em-protecao-de-dados-pessoais)
+
+---
+*Relatório gerado pelo LGPD Checker Skill — para uso como orientação técnica, não substitui assessoria jurídica especializada.*
+```