theus-cli 0.2.83 → 0.2.85

package/vendor/theus-arsenal/skills/cumplimiento-aduanero/SKILL.md

@@ -1,270 +0,0 @@
----
-name: cumplimiento-aduanero
-description: Experiencia codificada en documentación aduanera, clasificación arancelaria, optimización
-  de aranceles, cribado de partes restringidas y cumplimiento regulatorio en múltiples jurisdicciones.
-  Incluye lógica de clasificación HS, aplicación de Incoterms, aprovechamiento de TLC y mitigación de
-  sanciones. Úsala para despacho aduanero, clasificación arancelaria, cumplimiento comercial,
-  documentación de importación/exportación u optimización de aranceles.
----
-
-# Cumplimiento aduanero y comercial
-
-> **Aviso legal:** esta skill codifica conocimiento operativo de cumplimiento aduanero con fines de
-> apoyo y borrador. **No sustituye la asesoría de un agente de aduanas licenciado, un abogado de
-> comercio exterior ni la normativa vigente de cada jurisdicción.** Las clasificaciones, sanciones y
-> reglas de origen cambian con frecuencia; verifica siempre contra las fuentes oficiales antes de
-> presentar declaraciones o tomar decisiones con exposición legal.
-
-## Rol y contexto
-
-Actúas como especialista sénior en cumplimiento comercial con más de 15 años gestionando operaciones
-aduaneras en jurisdicciones de EE. UU., UE, Reino Unido y Asia-Pacífico. Te sitúas en la intersección
-de importadores, exportadores, agentes de aduana, transitarios, agencias gubernamentales y asesores
-legales. Tus sistemas incluyen ACE (Automated Commercial Environment), CHIEF/CDS (Reino Unido), ATLAS
-(Alemania), portales de agentes de aduana, plataformas de cribado de partes denegadas y módulos de
-gestión comercial en ERP. Tu trabajo es garantizar el movimiento legal y optimizado en costos de
-mercancías a través de fronteras, protegiendo a la organización de sanciones, incautaciones e
-inhabilitaciones.
-
-## Cuándo usarla
-
-- Clasificar mercancías bajo códigos arancelarios HS/HTS para importación o exportación
-- Preparar documentación aduanera (facturas comerciales, certificados de origen, presentaciones ISF)
-- Cribar partes contra listas de entidades denegadas/restringidas (SDN, Entity List, sanciones de la UE)
-- Evaluar la calificación bajo TLC y oportunidades de ahorro arancelario
-- Responder a auditorías aduaneras, solicitudes CF-28/CF-29 o notificaciones de sanción
-
-## Cómo funciona
-
-1. Clasifica los productos usando las reglas GRI y el análisis capítulo/partida/subpartida
-2. Determina tasas arancelarias aplicables, programas preferenciales (FTZ, drawback, TLC) y remedios comerciales
-3. Criba todas las partes de la transacción contra las listas consolidadas de partes denegadas antes del embarque
-4. Prepara y valida la documentación de entrada según los requisitos de cada jurisdicción
-5. Monitorea los cambios regulatorios (modificaciones arancelarias, nuevas sanciones, actualizaciones de acuerdos comerciales)
-6. Responde a las consultas gubernamentales con divulgación previa adecuada y estrategias de mitigación de sanciones
-
-## Ejemplos
-
-- **Disputa de clasificación HS**: CBP reclasifica tu componente electrónico de 8542 (circuitos integrados, 0 % de arancel) a 8543 (máquinas eléctricas, 2.6 %). Construye el argumento con GRI 1 y 3(a), especificaciones técnicas, resoluciones vinculantes y comentarios de las Notas Explicativas.
-- **Calificación TLC**: evalúa si un producto ensamblado en México califica para trato preferencial T-MEC. Traza los componentes de la lista de materiales para determinar el contenido de valor regional y la elegibilidad por salto arancelario.
-- **Coincidencia en cribado de partes denegadas**: el cribado automático marca a un cliente como posible coincidencia en la lista SDN de la OFAC. Recorre la resolución de falsos positivos, los procedimientos de escalamiento y los requisitos de documentación.
-
-## Conocimiento central
-
-### Clasificación arancelaria HS
-
-El Sistema Armonizado es una nomenclatura internacional de 6 dígitos mantenida por la OMA. Los primeros
-2 dígitos identifican el capítulo, 4 dígitos la partida, 6 dígitos la subpartida. Las extensiones
-nacionales añaden más dígitos: EE. UU. usa números HTS de 10 dígitos (Schedule B para exportaciones),
-la UE usa códigos TARIC de 10 dígitos, el Reino Unido usa códigos de mercancía de 10 dígitos vía el
-UK Global Tariff.
-
-La clasificación sigue las Reglas Generales de Interpretación (GRI) en orden estricto — nunca se
-invoca GRI 3 salvo que GRI 1 falle, nunca GRI 4 salvo que fallen 1-3:
-
-- **GRI 1:** la clasificación se determina por los términos de las partidas y las Notas de Sección/Capítulo. Resuelve ~90 % de las clasificaciones. Lee el texto de la partida literalmente y revisa cada Nota de Sección y Capítulo relevante antes de continuar.
-- **GRI 2(a):** los artículos incompletos o sin terminar se clasifican como el artículo completo si tienen el carácter esencial del artículo completo. Una carrocería sin motor sigue clasificándose como vehículo automotor.
-- **GRI 2(b):** mezclas y combinaciones de materiales. Un compuesto de acero y plástico se clasifica según el material que le confiere el carácter esencial.
-- **GRI 3(a):** cuando la mercancía es prima facie clasificable bajo dos o más partidas, prevalece la partida más específica. "Guantes quirúrgicos de caucho" es más específico que "artículos de caucho".
-- **GRI 3(b):** mercancías compuestas y surtidos — clasifica por el componente que confiere el carácter esencial. Un set de regalo con un perfume de $40 y un estuche de $5 se clasifica como perfume.
-- **GRI 3(c):** cuando 3(a) y 3(b) fallan, usa la partida que aparece en último lugar por orden numérico.
-- **GRI 4:** las mercancías que no pueden clasificarse con GRI 1-3 se clasifican en la partida de las mercancías más análogas.
-- **GRI 5:** los estuches, contenedores y materiales de embalaje siguen reglas específicas para clasificarse con o por separado de su contenido.
-- **GRI 6:** la clasificación a nivel de subpartida sigue los mismos principios, aplicados dentro de la partida correspondiente. Las notas de subpartida prevalecen a este nivel.
-
-**Errores de clasificación habituales:** dispositivos multifunción (clasifica por la función principal según GRI 3(b), no por el componente más caro). Preparaciones alimenticias vs. ingredientes (Capítulo 21 vs. Capítulos 7-12 — comprueba si el producto fue "preparado" más allá de la simple conservación). Compuestos textiles (el porcentaje en peso de las fibras determina la clasificación, no la superficie). Partes vs. accesorios (la Nota 2 de la Sección XVI determina si una parte se clasifica con la máquina o por separado). Software en soporte físico (el soporte, no el software, determina la clasificación en la mayoría de aranceles).
-
-### Requisitos documentales
-
-**Factura comercial:** debe incluir nombres y direcciones de vendedor y comprador, descripción de la mercancía suficiente para clasificar, cantidad, precio unitario, valor total, moneda, Incoterms, país de origen y condiciones de pago. CBP (EE. UU.) exige que la factura cumpla 19 CFR § 141.86. La subvaluación acarrea sanciones bajo 19 USC § 1592.
-
-**Lista de empaque:** peso y dimensiones por bulto, marcas y números coincidentes con el BL, conteo de piezas. Las discrepancias entre la lista de empaque y el conteo físico disparan inspecciones.
-
-**Certificado de origen:** varía según el TLC. El T-MEC usa una certificación (sin formato prescrito) que debe incluir nueve elementos de datos según el Artículo 5.2. Certificados de circulación EUR.1 para el comercio preferencial de la UE. Formato A para reclamaciones SGP. El Reino Unido usa "declaraciones de origen" en factura para reclamaciones bajo el TCA UK-UE.
-
-**Conocimiento de embarque / guía aérea:** el BL marítimo sirve como título de la mercancía, contrato de transporte y recibo. La guía aérea no es negociable. Ambos deben coincidir con la factura comercial — las anotaciones del transportista ("said to contain", "shipper's load and count") limitan su responsabilidad y afectan la puntuación de riesgo aduanero.
-
-**ISF 10+2 (EE. UU.):** el Importer Security Filing debe presentarse 24 horas antes de la carga del buque en el puerto extranjero. Diez elementos de datos del importador (fabricante, vendedor, comprador, destinatario, país de origen, HS-6, lugar de llenado del contenedor, consolidador, número de importador registrado, número de consignatario). Dos del transportista. Un ISF tardío o inexacto genera daños liquidados de $5,000 por infracción. CBP usa los datos del ISF para focalización — los errores aumentan la probabilidad de inspección.
-
-**Resumen de entrada (CBP 7501):** se presenta dentro de los 10 días hábiles de la entrada. Contiene clasificación, valor, tasa arancelaria, país de origen y reclamaciones de programas preferenciales. Es la declaración legal — los errores aquí crean exposición a sanciones bajo 19 USC § 1592.
-
-### Incoterms 2020
-
-Los Incoterms definen la transferencia de costos, riesgo y responsabilidad entre comprador y vendedor. No son ley — son términos contractuales que deben incorporarse explícitamente. Implicaciones críticas de cumplimiento:
-
-- **EXW (Ex Works):** obligación mínima del vendedor. El comprador organiza todo. Problema: el comprador es el exportador registrado en el país del vendedor, lo que crea obligaciones de cumplimiento de exportación que quizás no pueda gestionar. Rara vez apropiado en comercio internacional.
-- **FCA (Free Carrier):** el vendedor entrega al transportista en el lugar acordado y gestiona el despacho de exportación. La revisión 2020 permite que el comprador instruya a su transportista para emitir un BL a bordo al vendedor — crítico en operaciones con carta de crédito.
-- **CPT/CIP (Carriage Paid To / Carriage & Insurance Paid To):** el riesgo se transfiere en el primer transportista, pero el vendedor paga el flete hasta destino. CIP ahora exige Institute Cargo Clauses (A) — cobertura todo riesgo, un cambio significativo respecto de Incoterms 2010.
-- **DAP (Delivered at Place):** el vendedor asume todo el riesgo y costo hasta el destino, excluyendo el despacho de importación y los aranceles. El vendedor no despacha aduanas en el país de destino.
-- **DDP (Delivered Duty Paid):** el vendedor asume todo, incluidos aranceles e impuestos de importación. Debe estar registrado como importador o usar un esquema de importador no residente. La valoración aduanera se basa en el precio DDP menos aranceles (método deductivo) — si el vendedor incluye el arancel en el precio de factura, se crea un problema de valoración circular.
-- **Impacto en la valoración:** los Incoterms afectan la estructura de la factura, pero la valoración aduanera sigue las reglas del régimen importador. En EE. UU., el valor de transacción de CBP generalmente excluye flete y seguro internacionales; en la UE, el valor en aduana generalmente incluye transporte y seguro hasta el lugar de entrada en la Unión. Equivocarse aquí cambia el cálculo del arancel aunque el término comercial sea claro.
-- **Malentendidos frecuentes:** los Incoterms no transfieren la propiedad de la mercancía — eso lo rige el contrato de compraventa y la ley aplicable. No aplican a transacciones domésticas por defecto — deben invocarse explícitamente. Usar FOB para carga marítima contenedorizada es técnicamente incorrecto (se prefiere FCA), porque el riesgo se transfiere en la borda del buque bajo FOB pero en el patio de contenedores bajo FCA.
-
-### Optimización de aranceles
-
-**Aprovechamiento de TLC:** cada acuerdo comercial preferencial tiene reglas de origen específicas que la mercancía debe satisfacer. El T-MEC exige reglas por producto (Anexo 4-B) incluidos salto arancelario, contenido de valor regional (VCR) y método de costo neto. El TCA UE-UK usa reglas de "totalmente obtenido" y "elaboración suficiente" con reglas de lista por producto en el Anexo ORIG-2. RCEP tiene reglas uniformes para 15 naciones de Asia-Pacífico con acumulación. AfCFTA permite 60 % de acumulación entre estados miembros.
-
-**El cálculo del VCR importa:** el T-MEC ofrece dos métodos — valor de transacción (VT): VCR = ((VT - VMN) / VT) × 100, y costo neto (CN): VCR = ((CN - VMN) / CN) × 100. El método de costo neto excluye promoción de ventas, regalías y costos de envío del denominador, y suele arrojar un VCR más alto cuando los márgenes son estrechos.
-
-**Zonas Francas (FTZ, EE. UU.):** las mercancías admitidas en una FTZ no están en territorio aduanero de EE. UU. Beneficios: diferimiento de aranceles hasta que la mercancía entre al comercio, alivio de arancel invertido (pagar el arancel del producto terminado si es menor que el de los componentes), sin arancel sobre mermas/desechos, sin arancel sobre reexportaciones. Las transferencias zona a zona conservan el estatus extranjero privilegiado.
-
-**Importaciones temporales (TIB):** Cuaderno ATA para equipo profesional, muestras y bienes de exhibición — entrada libre de aranceles en 78+ países. La importación temporal bajo fianza (TIB) en EE. UU. según 19 USC § 1202, Capítulo 98 — la mercancía debe exportarse en 1 año (prorrogable a 3). No exportar dispara la liquidación al arancel completo más la prima de la fianza.
-
-**Drawback:** devolución del 99 % de los aranceles pagados sobre mercancías importadas que luego se exportan. Tres tipos: drawback de manufactura (materiales importados usados en exportaciones fabricadas en EE. UU.), drawback de mercancía no usada (bienes importados exportados en la misma condición) y drawback por sustitución (bienes comercialmente intercambiables). Las reclamaciones deben presentarse dentro de los 5 años de la importación. TFTEA simplificó significativamente el drawback — ya no exige emparejar entradas de importación específicas con exportaciones específicas en reclamaciones por sustitución.
-
-### Cribado de partes restringidas
-
-**Listas obligatorias (EE. UU.):** SDN (OFAC — Specially Designated Nationals), Entity List (BIS — control de exportaciones), Denied Persons List (BIS — privilegio de exportación denegado), Unverified List (BIS — uso final no verificable), Military End User List (BIS), sanciones Non-SDN Menu-Based (OFAC). El cribado debe cubrir a todas las partes de la transacción: comprador, vendedor, consignatario, usuario final, transitario, bancos y consignatarios intermedios.
-
-**Listas UE/UK:** Lista Consolidada de Sanciones de la UE, Lista Consolidada OFSI del Reino Unido, Export Control Joint Unit del Reino Unido.
-
-**Señales de alerta que exigen diligencia reforzada:** cliente reacio a dar información de uso final. Rutas inusuales (bienes de alto valor por puertos francos). Cliente dispuesto a pagar en efectivo artículos caros. Entrega a un transitario o comercializadora sin usuario final claro. Capacidades del producto que exceden la aplicación declarada. Cliente sin trayectoria en el tipo de producto. Patrones de pedido inconsistentes con el negocio del cliente.
-
-**Gestión de falsos positivos:** ~95 % de las coincidencias de cribado son falsos positivos. La adjudicación requiere: coincidencia exacta vs. parcial de nombre, correlación de dirección, fecha de nacimiento (personas), nexo de país, análisis de alias. Documenta la justificación de la adjudicación de cada coincidencia — los reguladores la pedirán en las auditorías.
-
-### Especialidades regionales
-
-**CBP (EE. UU.):** los Centers of Excellence and Expertise (CEE) se especializan por industria. Programas de operador confiable: C-TPAT (seguridad) y Trusted Trader (C-TPAT + ISA). ACE es la ventanilla única de datos de importación/exportación. Las auditorías Focused Assessment apuntan a áreas de cumplimiento específicas — la divulgación previa antes de que empiece una FA es crítica.
-
-**Unión Aduanera de la UE:** el Arancel Externo Común (AEC) aplica de forma uniforme. El Operador Económico Autorizado (OEA) ofrece AEOC (simplificaciones aduaneras) y AEOS (seguridad). La Información Arancelaria Vinculante (IAV/BTI) da certeza de clasificación por 3 años. El Código Aduanero de la Unión (CAU) rige desde 2016.
-
-**Reino Unido pos-Brexit:** el UK Global Tariff reemplazó al AEC. El Protocolo de Irlanda del Norte / Marco de Windsor crea mercancías de doble estatus. El Customs Declaration Service (CDS) reemplazó a CHIEF. El TCA UK-UE exige cumplir Reglas de Origen para el trato arancel cero — "originario" requiere ser totalmente obtenido en UK/UE o elaboración suficiente.
-
-**China:** la certificación CCC (China Compulsory Certification) es obligatoria para categorías listadas antes de importar. China usa códigos HS de 13 dígitos. El comercio electrónico transfronterizo tiene canales de despacho propios (modos 9610, 9710, 9810). La reciente Unreliable Entity List crea nuevas obligaciones de cribado.
-
-### Sanciones y cumplimiento
-
-**Marco sancionador de EE. UU. bajo 19 USC § 1592:**
-- **Negligencia:** 2× los aranceles impagados o 20 % del valor gravable en la primera infracción. Reducible a 1× o 10 % con mitigación. Es la sanción más común.
-- **Negligencia grave:** 4× los aranceles impagados o 40 % del valor gravable. Más difícil de mitigar — requiere demostrar medidas de cumplimiento sistémicas.
-- **Fraude:** valor doméstico completo de la mercancía. Posible remisión penal. Sin mitigación salvo cooperación extraordinaria.
-
-**Divulgación previa (19 CFR § 162.74):** presentar una divulgación previa antes de que CBP inicie una investigación limita las sanciones al interés sobre los aranceles impagados en negligencia, y a 1× los aranceles en negligencia grave. Es la herramienta más poderosa de mitigación. Requisitos: identificar la infracción, aportar la información correcta y consignar los aranceles impagados. Debe presentarse antes de que CBP emita un aviso previo de sanción o inicie una investigación formal.
-
-**Conservación de registros:** 19 USC § 1508 exige retener 5 años todos los registros de entrada. La UE exige 3 años (algunos estados miembros, 10). No producir registros durante una auditoría genera una inferencia adversa — CBP puede reconstruir el valor o la clasificación de forma desfavorable.
-
-## Marcos de decisión
-
-### Lógica de decisión de clasificación
-
-Al clasificar un producto, sigue esta secuencia sin atajos. Conviértela en un árbol de decisión interno antes de automatizar cualquier flujo de clasificación arancelaria.
-
-1. **Identifica la mercancía con precisión.** Consigue la especificación técnica completa — composición de materiales, función, dimensiones y uso previsto. Nunca clasifiques solo por el nombre del producto.
-2. **Determina la Sección y el Capítulo.** Usa las Notas de Sección y Capítulo para confirmar o excluir. Las notas de capítulo prevalecen sobre el texto de la partida.
-3. **Aplica GRI 1.** Lee los términos de la partida literalmente. Si solo una partida cubre la mercancía, la clasificación queda decidida.
-4. **Si GRI 1 arroja varias partidas candidatas,** aplica GRI 2 y luego GRI 3 en secuencia. Para mercancías compuestas, determina el carácter esencial por función, valor, volumen o el factor más relevante para el bien concreto.
-5. **Valida a nivel de subpartida.** Aplica GRI 6. Revisa las notas de subpartida. Confirma que la línea arancelaria nacional (8/10 dígitos) sea coherente con la determinación de 6 dígitos.
-6. **Busca resoluciones vinculantes.** Consulta la base CROSS de CBP, la base BTI de la UE u opiniones de clasificación de la OMA para productos iguales o análogos. Las resoluciones existentes son persuasivas aunque no sean directamente vinculantes.
-7. **Documenta la justificación.** Registra la GRI aplicada, las partidas consideradas y rechazadas y el factor determinante. Esa documentación es tu defensa en una auditoría.
-
-### Análisis de calificación TLC
-
-1. **Identifica los TLC aplicables** según los países de origen y destino.
-2. **Determina la regla de origen por producto.** Busca la partida HS en el anexo del TLC correspondiente. Las reglas varían por producto — algunas exigen salto arancelario, otras VCR mínimo, otras ambos.
-3. **Traza todos los materiales no originarios** en la lista de materiales. Cada insumo debe clasificarse para determinar si hubo salto arancelario.
-4. **Calcula el VCR si se requiere.** Elige el método que dé el resultado más favorable (cuando el TLC lo permite). Verifica todos los datos de costo con el proveedor.
-5. **Aplica las reglas de acumulación.** El T-MEC permite acumulación entre EE. UU., México y Canadá. El TCA UE-UK permite acumulación bilateral. RCEP permite acumulación diagonal entre las 15 partes.
-6. **Prepara la certificación.** Las certificaciones T-MEC deben incluir nueve elementos de datos prescritos. El EUR.1 requiere endoso de cámara de comercio o autoridad aduanera. Retén la documentación de respaldo 5 años (T-MEC) o 4 años (UE).
-
-### Selección del método de valoración
-
-La valoración aduanera sigue el Acuerdo de Valoración en Aduana de la OMC (basado en el Artículo VII del GATT). Los métodos se aplican en orden jerárquico — solo se pasa al siguiente cuando el anterior no puede aplicarse:
-
-1. **Valor de transacción (Método 1):** el precio realmente pagado o por pagar, ajustado con adiciones (asistencias, regalías, comisiones, embalaje) y deducciones (costos posimportación, aranceles). Se usa en ~90 % de las entradas. Falla cuando: transacción entre partes vinculadas donde la relación influyó en el precio, no hay venta (consignación, arriendos, bienes gratuitos) o venta condicional con condiciones no cuantificables.
-2. **Valor de transacción de mercancías idénticas (Método 2):** mismos bienes, mismo país de origen, mismo nivel comercial. Rara vez disponible porque "idéntico" se define estrictamente.
-3. **Valor de transacción de mercancías similares (Método 3):** bienes comercialmente intercambiables. Más amplio que el Método 2, pero sigue exigiendo el mismo país de origen.
-4. **Valor deductivo (Método 4):** parte del precio de reventa en el país importador y deduce margen de utilidad, transporte, aranceles y cualquier costo de procesamiento posimportación.
-5. **Valor reconstruido (Método 5):** se construye desde el costo de materiales, fabricación, utilidad y gastos generales en el país de exportación. Solo disponible si el exportador coopera con los datos de costo.
-6. **Método del último recurso (Método 6):** aplicación flexible de los Métodos 1-5 con ajustes razonables. No puede basarse en valores arbitrarios, valores mínimos ni en el precio de los bienes en el mercado interno del país exportador.
-
-### Evaluación de coincidencias de cribado
-
-Cuando una herramienta de cribado de partes restringidas devuelve una coincidencia, no bloquees la transacción automáticamente ni la liberes sin investigar. Sigue este protocolo:
-
-1. **Evalúa la calidad de la coincidencia:** porcentaje de coincidencia del nombre, correlación de dirección, nexo de país, análisis de alias, fecha de nacimiento (personas). Coincidencias por debajo del 85 % de similitud de nombre sin correlación de dirección o país son probables falsos positivos — documenta y libera.
-2. **Verifica la identidad de la entidad:** contrasta con registros mercantiles, números D&B, verificación de sitio web e historial de transacciones. Un cliente legítimo con años de historial limpio y coincidencia parcial de nombre con una entrada SDN es casi con certeza un falso positivo.
-3. **Revisa las particularidades de la lista:** las coincidencias SDN requieren licencia de la OFAC para proceder. Las de la Entity List requieren licencia del BIS con presunción de denegación. Las de la Denied Persons List son prohibiciones absolutas — no hay licencia disponible.
-4. **Escala los positivos verdaderos y los casos ambiguos** al asesor de cumplimiento de inmediato. Nunca procedas con una transacción mientras una coincidencia de cribado esté sin resolver.
-5. **Documenta todo.** Registra la herramienta usada, la fecha, los detalles de la coincidencia, la justificación de la adjudicación y la disposición. Retén mínimo 5 años.
-
-## Casos límite clave
-
-Situaciones donde el enfoque obvio es incorrecto. Se incluyen resúmenes breves para que puedas expandirlos en playbooks específicos del proyecto.
-
-1. **Explotación del umbral de minimis:** un proveedor reestructura envíos para quedar bajo el umbral de minimis de $800 de EE. UU. y evitar aranceles. CBP puede agregar múltiples envíos del mismo día al mismo consignatario. La entrada bajo Section 321 no elimina cuotas, AD/CVD ni requisitos de otras agencias — solo exime el arancel.
-
-2. **Triangulación para eludir órdenes AD/CVD:** mercancía fabricada en China pero ruteada por Vietnam con procesamiento mínimo para reclamar origen vietnamita. CBP usa investigaciones de evasión (EAPA) con poder de citación. El test de "transformación sustancial" exige un nuevo artículo de comercio con nombre, carácter y uso distintos.
-
-3. **Bienes de doble uso en la frontera EAR/ITAR:** un componente con aplicaciones comerciales y militares. ITAR controla según el artículo; EAR según el artículo más el uso y el usuario finales. Cuando la clasificación es ambigua se requiere una determinación de jurisdicción (solicitud CJ). Declarar bajo el régimen equivocado es una infracción de ambos.
-
-4. **Ajustes posimportación:** ajustes de precios de transferencia entre partes vinculadas después de liquidada la entrada. CBP exige entradas de reconciliación (CF 7501 con indicador de reconciliación) cuando el precio final no se conoce en la entrada. No reconciliar crea exposición por la diferencia impagada más sanciones.
-
-5. **Valoración de primera venta entre partes vinculadas:** usar el precio pagado por el intermediario (primera venta) en lugar del pagado por el importador (última venta) como valor en aduana. CBP lo permite bajo la "first sale rule" (Nissho Iwai), pero exige demostrar que la primera venta es una transacción genuina a valor de mercado. La UE y la mayoría de jurisdicciones no reconocen la primera venta — valoran sobre la última venta antes de la importación.
-
-6. **Reclamaciones TLC retroactivas:** descubrir 18 meses después de la importación que la mercancía calificaba para trato preferencial. EE. UU. permite reclamaciones posimportación vía PSC (Post Summary Correction) dentro del periodo de liquidación. La UE exige que el certificado de origen fuera válido al momento de la importación. Los plazos y la documentación varían por TLC y jurisdicción.
-
-7. **Clasificación de kits vs. componentes:** un kit de venta minorista con artículos de distintos capítulos HS (p. ej., un kit de camping con carpa, hornilla y utensilios). GRI 3(b) clasifica por carácter esencial — pero si ningún componente lo confiere, aplica GRI 3(c) (última partida en orden numérico). Los kits "acondicionados para la venta al por menor" tienen reglas específicas bajo GRI 3(b) distintas de los surtidos industriales.
-
-8. **Importaciones temporales que se vuelven permanentes:** equipo importado bajo Cuaderno ATA o TIB que el importador decide conservar. El cuaderno/fianza debe descargarse pagando el arancel completo más las sanciones aplicables. Si el periodo temporal expiró sin exportación ni pago, se ejecuta la garantía del cuaderno, creando responsabilidad para la cámara de comercio garante.
-
-## Patrones de comunicación
-
-### Calibración del tono
-
-Ajusta el tono al interlocutor, el contexto regulatorio y el nivel de riesgo:
-
-- **Agente de aduanas (rutina):** colaborativo y preciso. Entrega documentación completa, señala ítems inusuales, confirma la clasificación por adelantado. "HS 8471.30 confirmado — nuestro análisis GRI 1 y la resolución HQ H298456 de CBP (2019) respaldan la clasificación. Adjuntos 3 de 4 documentos requeridos, el C/O sigue antes del fin del día."
-- **Agente de aduanas (retención/inspección urgente):** directo, factual, con sentido de urgencia. "Embarque retenido en LA/LB — CBP pide documentación del fabricante. Envío verificación MID y registros de producción ahora. Necesito tu presentación en 2 horas para evitar demoras."
-- **Autoridad regulatoria (solicitud de resolución):** formal, exhaustivamente documentado, jurídicamente preciso. Sigue exactamente el formato prescrito por la agencia. Aporta muestras si se solicitan. Nunca sobreafirmes la certeza — usa "es nuestra posición que" en lugar de "este producto se clasifica como".
-- **Autoridad regulatoria (respuesta a sanción):** mesurado, cooperativo, factual. Reconoce el error si existe. Presenta los factores de mitigación de forma sistemática. Nunca admitas fraude cuando los hechos sustentan negligencia.
-- **Aviso interno de cumplimiento:** impacto de negocio claro, acciones concretas, fecha límite. Traduce los requisitos regulatorios a lenguaje operativo. "Desde el 1 de marzo, toda importación de baterías de litio requiere resúmenes de prueba UN 38.3 en la entrada. Operaciones debe recolectarlos de los proveedores antes de reservar. Incumplimiento: multas de $10K+ por embarque y retenciones de carga."
-- **Cuestionario a proveedores:** específico, estructurado, explicando por qué necesitas la información. Los proveedores que entienden el ahorro arancelario de un TLC cooperan más con los datos de origen.
-
-### Plantillas clave
-
-Plantillas breves a continuación. Adáptalas a tu agente de aduanas, tu asesoría legal y tus flujos regulatorios antes de usarlas en producción.
-
-**Instrucciones al agente de aduanas:** asunto: `Instrucciones de entrada — {PO/ref_embarque} — {origen} a {destino}`. Incluye: clasificación con justificación GRI, valor declarado con Incoterms, reclamación TLC con referencia a la documentación de respaldo y cualquier requisito de otras agencias (aviso previo FDA, certificación TSCA de EPA, declaración FCC).
-
-**Presentación de divulgación previa:** debe dirigirse al director del puerto de CBP o a la oficina de Fines, Penalties and Forfeitures con jurisdicción. Incluye: números de entrada, fechas, infracciones específicas, información correcta, aranceles adeudados y consignación del monto impagado.
-
-**Alerta interna de cumplimiento:** asunto: `ACCIÓN DE CUMPLIMIENTO REQUERIDA: {tema} — Vigente {fecha}`. Encabeza con el impacto de negocio, luego la base regulatoria, luego la acción requerida y, por último, el plazo y las consecuencias del incumplimiento.
-
-## Protocolos de escalamiento
-
-### Disparadores de escalamiento automático
-
-| Disparador | Acción | Plazo |
-|---|---|---|
-| Retención o incautación por CBP | Notificar a VP y asesoría legal | Dentro de 1 hora |
-| Positivo verdadero en cribado de partes restringidas | Detener la transacción, notificar al oficial de cumplimiento y a legal | Inmediato |
-| Exposición potencial a sanciones > $50,000 | Notificar a VP de Cumplimiento Comercial y al Consejero General | Dentro de 2 horas |
-| Inspección aduanera con discrepancia hallada | Asignar especialista dedicado, notificar al agente | Dentro de 4 horas |
-| Coincidencia confirmada en lista denegada / SDN | Detención total de todas las transacciones con la entidad a nivel global | Inmediato |
-| Recepción de investigación de evasión AD/CVD | Contratar asesoría externa de comercio | Dentro de 24 horas |
-| Auditoría de origen TLC de una aduana extranjera | Notificar a todos los proveedores afectados, iniciar revisión documental | Dentro de 48 horas |
-| Decisión de autodivulgación voluntaria | Aprobación de asesoría legal antes de presentar | Antes de la presentación |
-
-### Cadena de escalamiento
-
-Nivel 1 (Analista) → Nivel 2 (Gerente de Cumplimiento Comercial, 4 horas) → Nivel 3 (Director de Cumplimiento, 24 horas) → Nivel 4 (VP de Cumplimiento Comercial, 48 horas) → Nivel 5 (Consejero General / C-suite, inmediato ante incautaciones, coincidencias SDN o exposición a sanciones > $100K)
-
-## Indicadores de desempeño
-
-Mide estos indicadores cada mes y su tendencia cada trimestre:
-
-| Métrica | Objetivo | Señal de alerta |
-|---|---|---|
-| Precisión de clasificación (posauditoría) | > 98 % | < 95 % |
-| Tasa de utilización de TLC (embarques elegibles) | > 90 % | < 70 % |
-| Tasa de rechazo de entradas | < 2 % | > 5 % |
-| Frecuencia de divulgaciones previas | < 2 por año | > 4 por año |
-| Tiempo de adjudicación de falsos positivos de cribado | < 4 horas | > 24 horas |
-| Ahorro arancelario capturado (TLC + FTZ + drawback) | Seguir tendencia | Descenso trimestre a trimestre |
-| Tasa de inspección de CBP | < 3 % | > 7 % |
-| Exposición a sanciones (anual) | $0 | Cualquier sanción material impuesta |
-
-## Recursos adicionales
-
-- Combina esta skill con un registro interno de clasificaciones HS, una matriz de escalamiento con tu agente de aduanas y la lista de jurisdicciones donde tu equipo tiene cobertura de importador no residente o FTZ.
-- Registra los supuestos de valoración que usa tu organización en las rutas de EE. UU., UE y APAC para mantener consistentes los cálculos de aranceles entre equipos.

package/vendor/theus-arsenal/skills/cumplimiento-hipaa/SKILL.md

@@ -1,78 +0,0 @@
----
-name: cumplimiento-hipaa
-description: Punto de entrada específico de HIPAA para trabajo de privacidad y seguridad en salud. Úsala cuando la tarea se enmarque explícitamente en HIPAA, manejo de PHI, entidades cubiertas, BAAs, postura ante brechas o requisitos de cumplimiento sanitario de EE. UU.
----
-
-# Cumplimiento HIPAA
-
-Usa esta skill como punto de entrada específico de HIPAA cuando la tarea trate claramente de cumplimiento sanitario de EE. UU. Esta skill se mantiene deliberadamente delgada y canónica:
-
-- `datos-sensibles-salud` sigue siendo la skill principal de implementación para manejo de PHI/PII, clasificación de datos, registro de auditoría, cifrado y prevención de fugas.
-- `revisor-software-clinico` sigue siendo el agente revisor especializado cuando el código, la arquitectura o el comportamiento del producto necesitan una segunda mirada con criterio sanitario.
-- `revision-seguridad` sigue aplicando para el endurecimiento general de autenticación, manejo de entradas, secretos, API y despliegue.
-
-> **Aviso:** esta skill es una guía de ingeniería y no sustituye la asesoría legal ni de cumplimiento regulatorio de profesionales cualificados.
-
-## Cuándo usarla
-
-- La petición menciona explícitamente HIPAA, PHI, entidades cubiertas, asociados de negocio (business associates) o BAAs.
-- Al construir o revisar software de salud de EE. UU. que almacena, procesa, exporta o transmite PHI.
-- Al evaluar si el logging, la analítica, los prompts a modelos de IA, el almacenamiento o los flujos de soporte crean exposición HIPAA.
-- Al diseñar sistemas orientados a pacientes o a clínicos donde importan el acceso mínimo necesario y la auditabilidad.
-
-## Cómo funciona
-
-Trata HIPAA como una capa superpuesta a la skill general de privacidad en salud:
-
-1. Empieza por `datos-sensibles-salud` para las reglas concretas de implementación.
-2. Aplica las puertas de decisión específicas de HIPAA:
-   - ¿Este dato es PHI?
-   - ¿Este actor es una entidad cubierta o un asociado de negocio?
-   - ¿Algún proveedor externo (incluidos proveedores de modelos de IA) requiere un BAA antes de tocar los datos?
-   - ¿El acceso está limitado al alcance mínimo necesario?
-   - ¿Los eventos de lectura/escritura/exportación son auditables?
-3. Escala al agente `revisor-software-clinico` si la tarea afecta la seguridad del paciente, los flujos clínicos o arquitectura regulada en producción.
-
-## Salvaguardas específicas de HIPAA
-
-- Nunca coloques PHI en logs, eventos de analítica, informes de fallos, prompts a modelos ni cadenas de error visibles al cliente.
-- Nunca expongas PHI en URLs, almacenamiento del navegador, capturas de pantalla ni payloads de ejemplo copiados.
-- Exige acceso autenticado, autorización con alcance acotado y trazas de auditoría para lecturas y escrituras de PHI.
-- Trata el SaaS de terceros, la observabilidad, las herramientas de soporte y los proveedores de modelos como bloqueados por defecto hasta que el estado del BAA y los límites de los datos estén claros.
-- Aplica el acceso mínimo necesario: cada usuario solo debe ver la porción más pequeña de PHI que su tarea requiere.
-- Prefiere identificadores internos opacos frente a nombres, MRNs, teléfonos, direcciones u otros identificadores.
-
-## Ejemplos
-
-### Ejemplo 1: petición de producto enmarcada en HIPAA
-
-Petición del usuario:
-
-> Añade resúmenes de visita generados con IA a nuestro panel para clínicos. Atendemos clínicas de EE. UU. y necesitamos mantenernos en cumplimiento HIPAA.
-
-Patrón de respuesta:
-
-- Activar `cumplimiento-hipaa`.
-- Usar `datos-sensibles-salud` para revisar el movimiento de PHI, el logging, el almacenamiento y los límites de los prompts.
-- Verificar si el proveedor de resúmenes está cubierto por un BAA antes de enviarle cualquier PHI.
-- Escalar a `revisor-software-clinico` si los resúmenes influyen en decisiones clínicas.
-
-### Ejemplo 2: decisión sobre un proveedor o herramienta
-
-Petición del usuario:
-
-> ¿Podemos enviar las transcripciones de soporte y los mensajes de pacientes a nuestro stack de analítica?
-
-Patrón de respuesta:
-
-- Asumir que esos mensajes pueden contener PHI.
-- Bloquear el diseño salvo que el proveedor de analítica esté aprobado para cargas sujetas a HIPAA y la ruta de datos esté minimizada.
-- Exigir redacción/anonimización o un modelo de eventos sin PHI cuando sea posible.
-
-## Skills relacionadas
-
-- `datos-sensibles-salud`
-- `patrones-emr-clinico`
-- `harness-eval-clinico`
-- `revision-seguridad`
-- Agente: `revisor-software-clinico`

package/vendor/theus-arsenal/skills/datos-sensibles-salud/SKILL.md

@@ -1,149 +0,0 @@
----
-name: datos-sensibles-salud
-description: Patrones de cumplimiento para Información de Salud Protegida (PHI) y datos personales (PII) en aplicaciones de salud. Cubre clasificación de datos, control de acceso, trazas de auditoría, cifrado y vectores comunes de fuga.
----
-
-# Cumplimiento PHI/PII en aplicaciones de salud
-
-Patrones para proteger datos de pacientes, datos del personal clínico y datos financieros en aplicaciones de salud. Aplicable a HIPAA (EE. UU.), DISHA (India), GDPR (UE) y a la protección de datos de salud en general.
-
-## Cuándo usarla
-
-- Al construir cualquier funcionalidad que toque historias clínicas o registros de pacientes.
-- Al implementar control de acceso o autenticación para sistemas clínicos.
-- Al diseñar esquemas de base de datos para datos de salud.
-- Al construir APIs que devuelven datos de pacientes o de personal clínico.
-- Al implementar trazas de auditoría o logging.
-- Al revisar código en busca de vulnerabilidades de exposición de datos.
-- Al configurar Row-Level Security (RLS) para sistemas de salud multi-tenant.
-
-## Cómo funciona
-
-La protección de datos de salud opera en tres capas: **clasificación** (qué es sensible), **control de acceso** (quién puede verlo) y **auditoría** (quién lo vio).
-
-### Clasificación de datos
-
-**PHI (Información de Salud Protegida)** — cualquier dato que pueda identificar a un paciente Y se relacione con su salud: nombre del paciente, fecha de nacimiento, dirección, teléfono, correo, números de identificación nacional (SSN, Aadhaar, número NHS, DNI), números de historia clínica, diagnósticos, medicación, resultados de laboratorio, imágenes médicas, detalles de pólizas y reclamos de seguros, registros de citas y admisiones, o cualquier combinación de lo anterior.
-
-**PII (datos sensibles no relacionados con pacientes)** en sistemas de salud: datos personales del personal clínico y administrativo, estructuras de honorarios y pagos a médicos, salarios y datos bancarios de empleados, información de pagos a proveedores.
-
-### Control de acceso: Row-Level Security
-
-```sql
-ALTER TABLE patients ENABLE ROW LEVEL SECURITY;
-
--- Limitar el acceso por centro/sede
-CREATE POLICY "staff_read_own_facility"
-  ON patients FOR SELECT TO authenticated
-  USING (facility_id IN (
-    SELECT facility_id FROM staff_assignments
-    WHERE user_id = auth.uid() AND role IN ('doctor','nurse','lab_tech','admin')
-  ));
-
--- Log de auditoría: solo inserción (a prueba de manipulación)
-CREATE POLICY "audit_insert_only" ON audit_log FOR INSERT
-  TO authenticated WITH CHECK (user_id = auth.uid());
-CREATE POLICY "audit_no_modify" ON audit_log FOR UPDATE USING (false);
-CREATE POLICY "audit_no_delete" ON audit_log FOR DELETE USING (false);
-```
-
-### Traza de auditoría
-
-Todo acceso o modificación de PHI debe quedar registrado:
-
-```typescript
-interface AuditEntry {
-  timestamp: string;
-  user_id: string;
-  patient_id: string;
-  action: 'create' | 'read' | 'update' | 'delete' | 'print' | 'export';
-  resource_type: string;
-  resource_id: string;
-  changes?: { before: object; after: object };
-  ip_address: string;
-  session_id: string;
-}
-```
-
-### Vectores comunes de fuga
-
-**Mensajes de error:** nunca incluyas datos identificables del paciente en errores devueltos al cliente. Registra los detalles solo en el servidor.
-
-**Salida de consola:** nunca registres objetos de paciente completos. Usa identificadores internos opacos (UUIDs) — no números de historia clínica, identificaciones nacionales ni nombres.
-
-**Parámetros de URL:** nunca pongas datos identificables del paciente en query strings ni en segmentos de ruta que puedan aparecer en logs o en el historial del navegador. Usa solo UUIDs opacos.
-
-**Almacenamiento del navegador:** nunca guardes PHI en localStorage ni sessionStorage. Mantén el PHI solo en memoria y recupéralo bajo demanda.
-
-**Claves de rol de servicio:** nunca uses la clave `service_role` en código del lado del cliente. Usa siempre la clave anónima/publicable y deja que RLS aplique el control de acceso.
-
-**Logs y monitoreo:** nunca registres historias clínicas completas. Usa solo identificadores opacos (no números de historia clínica). Sanitiza los stack traces antes de enviarlos a servicios de seguimiento de errores.
-
-### Etiquetado del esquema de base de datos
-
-Marca las columnas PHI/PII a nivel de esquema:
-
-```sql
-COMMENT ON COLUMN patients.name IS 'PHI: nombre_paciente';
-COMMENT ON COLUMN patients.dob IS 'PHI: fecha_nacimiento';
-COMMENT ON COLUMN patients.aadhaar IS 'PHI: identificacion_nacional';
-COMMENT ON COLUMN doctor_payouts.amount IS 'PII: financiero';
-```
-
-### Lista de verificación previa al despliegue
-
-Antes de cada despliegue:
-- Sin PHI en mensajes de error ni stack traces
-- Sin PHI en console.log/console.error
-- Sin PHI en parámetros de URL
-- Sin PHI en el almacenamiento del navegador
-- Sin clave `service_role` en código de cliente
-- RLS habilitado en todas las tablas con PHI/PII
-- Traza de auditoría para toda modificación de datos
-- Timeout de sesión configurado
-- Autenticación de API en todos los endpoints con PHI
-- Aislamiento de datos entre centros verificado
-
-## Ejemplos
-
-### Ejemplo 1: manejo de errores seguro vs inseguro
-
-```typescript
-// MAL — filtra PHI en el error
-throw new Error(`Paciente ${patient.name} no encontrado en ${patient.facility}`);
-
-// BIEN — error genérico; los detalles se registran en el servidor solo con IDs opacos
-logger.error('Fallo en la búsqueda de paciente', { recordId: patient.id, facilityId });
-throw new Error('Registro no encontrado');
-```
-
-### Ejemplo 2: política RLS para aislamiento entre centros
-
-```sql
--- Un médico del Centro A no puede ver pacientes del Centro B
-CREATE POLICY "facility_isolation"
-  ON patients FOR SELECT TO authenticated
-  USING (facility_id IN (
-    SELECT facility_id FROM staff_assignments WHERE user_id = auth.uid()
-  ));
-
--- Prueba: inicia sesión como médico del centro A y consulta pacientes del centro B
--- Resultado esperado: 0 filas devueltas
-```
-
-### Ejemplo 3: logging seguro
-
-```typescript
-// MAL — registra datos identificables del paciente
-console.log('Procesando paciente:', patient);
-
-// BIEN — registra solo el identificador interno opaco
-console.log('Procesando registro:', patient.id);
-// Nota: incluso patient.id debe ser un UUID opaco, no un número de historia clínica
-```
-
-## Skills relacionadas
-
-- `revision-seguridad`
-- `migraciones-bd`
-- `patrones-postgres`

package/vendor/theus-arsenal/skills/decimales-tokens-evm/SKILL.md

@@ -1,128 +0,0 @@
----
-name: decimales-tokens-evm
-description: Previene errores silenciosos por desajuste de decimales entre cadenas EVM. Cubre consulta de decimales en tiempo de ejecución, caché por cadena, deriva de precisión en tokens puenteados y normalización segura para bots, dashboards y herramientas DeFi.
----
-
-# Decimales de tokens EVM
-
-Los desajustes silenciosos de decimales son una de las formas más fáciles de publicar saldos o valores en USD desviados por órdenes de magnitud sin que se lance ningún error.
-
-## Cuándo usarla
-
-- Al leer saldos ERC-20 en Python, TypeScript o Solidity
-- Al calcular valores fiat a partir de saldos on-chain
-- Al comparar cantidades de tokens entre varias cadenas EVM
-- Al manejar activos puenteados (bridged)
-- Al construir trackers de portafolio, bots o agregadores
-
-## Cómo funciona
-
-Nunca asumas que las stablecoins usan los mismos decimales en todas partes. Consulta `decimals()` en tiempo de ejecución, cachea por `(chain_id, token_address)` y usa aritmética decimal exacta para los cálculos de valor.
-
-## Ejemplos
-
-### Consultar los decimales en tiempo de ejecución
-
-```python
-from decimal import Decimal
-from web3 import Web3
-
-ERC20_ABI = [
-    {"name": "decimals", "type": "function", "inputs": [],
-     "outputs": [{"type": "uint8"}], "stateMutability": "view"},
-    {"name": "balanceOf", "type": "function",
-     "inputs": [{"name": "account", "type": "address"}],
-     "outputs": [{"type": "uint256"}], "stateMutability": "view"},
-]
-
-def get_token_balance(w3: Web3, token_address: str, wallet: str) -> Decimal:
-    contract = w3.eth.contract(
-        address=Web3.to_checksum_address(token_address),
-        abi=ERC20_ABI,
-    )
-    decimals = contract.functions.decimals().call()
-    raw = contract.functions.balanceOf(Web3.to_checksum_address(wallet)).call()
-    return Decimal(raw) / Decimal(10 ** decimals)
-```
-
-No codifiques `1_000_000` a mano solo porque un símbolo suele tener 6 decimales en otra cadena.
-
-### Cachear por cadena y token
-
-```python
-from functools import lru_cache
-
-@lru_cache(maxsize=512)
-def get_decimals(chain_id: int, token_address: str) -> int:
-    w3 = get_web3_for_chain(chain_id)
-    contract = w3.eth.contract(
-        address=Web3.to_checksum_address(token_address),
-        abi=ERC20_ABI,
-    )
-    return contract.functions.decimals().call()
-```
-
-### Manejar tokens atípicos de forma defensiva
-
-```python
-try:
-    decimals = contract.functions.decimals().call()
-except Exception:
-    logging.warning(
-        "decimals() revirtió en %s (cadena %s); se usa 18 por defecto",
-        token_address,
-        chain_id,
-    )
-    decimals = 18
-```
-
-Registra el fallback y mantenlo visible. Los tokens antiguos o no estándar siguen existiendo.
-
-### Normalizar a WAD de 18 decimales en Solidity
-
-```solidity
-interface IERC20Metadata {
-    function decimals() external view returns (uint8);
-}
-
-function normalizeToWad(address token, uint256 amount) internal view returns (uint256) {
-    uint8 d = IERC20Metadata(token).decimals();
-    if (d == 18) return amount;
-    if (d < 18) return amount * 10 ** (18 - d);
-    return amount / 10 ** (d - 18);
-}
-```
-
-### TypeScript con ethers
-
-```typescript
-import { Contract, formatUnits } from 'ethers';
-
-const ERC20_ABI = [
-  'function decimals() view returns (uint8)',
-  'function balanceOf(address) view returns (uint256)',
-];
-
-async function getBalance(provider: any, tokenAddress: string, wallet: string): Promise<string> {
-  const token = new Contract(tokenAddress, ERC20_ABI, provider);
-  const [decimals, raw] = await Promise.all([
-    token.decimals(),
-    token.balanceOf(wallet),
-  ]);
-  return formatUnits(raw, decimals);
-}
-```
-
-### Verificación rápida on-chain
-
-```bash
-cast call <token_address> "decimals()(uint8)" --rpc-url <rpc>
-```
-
-## Reglas
-
-- Consulta siempre `decimals()` en tiempo de ejecución
-- Cachea por cadena más dirección del token, nunca por símbolo
-- Usa `Decimal`, `BigInt` o aritmética exacta equivalente, nunca float
-- Vuelve a consultar los decimales después de un puente o un cambio de wrapper
-- Normaliza la contabilidad interna de forma consistente antes de comparar o valorizar