gdpr-data-handling

Visão geral da skill gdpr-data-handling

O que a skill gdpr-data-handling faz

A gdpr-data-handling ajuda um agente a transformar exigências amplas do GDPR em orientações concretas de implementação para tratamento de dados, consentimento, direitos do titular, retenção e decisões de privacy by design. Ela é mais útil quando você precisa de algo além de um prompt genérico de “estar em conformidade com o GDPR” e quer uma forma estruturada de revisar um produto, fluxo de trabalho ou política à luz das obrigações mais comuns do GDPR.

Quem deve usar

Os perfis com melhor aderência são:

• equipes de produto e engenharia que lançam funcionalidades que tratam dados pessoais de pessoas na UE
• times de compliance, legal ops e segurança que fazem uma revisão inicial de lacunas
• fundadores ou operadores desenhando fluxos de consentimento, tratamento de DSR ou controles de retenção
• builders de IA que precisam de gdpr-data-handling for Compliance Review antes do lançamento

Se você já conhece o sistema que está avaliando, mas precisa de um checklist disciplinado e de uma estrutura clara de saída, essa skill é uma ótima opção.

Trabalho real que ela resolve

A maioria das pessoas não precisa de um resumo acadêmico sobre o GDPR. Precisa de ajuda para responder perguntas práticas, como:

• quais categorias de dados pessoais estão envolvidas
• qual base legal está sendo usada
• se o consentimento é realmente necessário
• quais direitos do titular precisam ser suportados
• onde retenção, exclusão e auditabilidade estão frágeis
• que ações corretivas devem acontecer antes da liberação

Esse é o valor central da gdpr-data-handling skill.

O que diferencia essa skill de um prompt genérico

Um prompt comum pode gerar orientações amplas sobre privacidade. Esta skill é mais útil quando você precisa que o modelo raciocine sobre dimensões específicas do GDPR, como:

• categorias de dados pessoais, incluindo dados sensíveis e dados de crianças
• bases legais nos termos do Artigo 6
• tratamento dos direitos do titular
• expectativas de privacy by design
• tarefas operacionais de conformidade, e não apenas texto de política

O diferencial está na estrutura: ela dá ao agente um enquadramento melhor para trabalhos de revisão de conformidade, especialmente quando sua entrada está incompleta ou desorganizada.

O que saber antes de instalar

Esta skill parece ser uma skill de orientação em arquivo único, centrada em SKILL.md, sem scripts extras nem pastas de referência. Isso torna a adoção simples, mas a qualidade da saída depende fortemente dos fatos que você fornece. Ela pode acelerar revisão e redação, mas não substitui assessoria jurídica, orientação específica por jurisdição nem a coleta de evidências dos seus sistemas reais.

Como usar a skill gdpr-data-handling

Contexto de instalação da gdpr-data-handling

Instale a skill a partir do repositório que a contém:

npx skills add https://github.com/wshobson/agents --skill gdpr-data-handling

Depois de instalar, invoque-a no seu ambiente de agente da mesma forma que usa outras skills no seu fluxo de trabalho. Como o repositório expõe apenas SKILL.md para esta skill, há pouca configuração além da instalação e da preparação do prompt.

Leia este arquivo primeiro

Comece por:

• plugins/hr-legal-compliance/skills/gdpr-data-handling/SKILL.md

Como não há references/, resources/ nem scripts de apoio visíveis aqui, praticamente toda a orientação útil está nesse arquivo. Leia-o antes de confiar na skill em uma revisão real, especialmente se você precisa entender com clareza os limites do escopo.

Melhores casos de uso na prática

Use gdpr-data-handling usage para tarefas como:

• revisar uma nova funcionalidade que coleta ou compartilha dados pessoais
• verificar se um fluxo de consentimento é realmente necessário e válido
• mapear um fluxo de produto para bases legais
• avaliar a prontidão de DSR para acesso, exclusão ou portabilidade
• redigir um memo de revisão de conformidade com riscos e ações corretivas
• testar a robustez de alegações de privacy by design antes do lançamento

Ela funciona melhor quando o agente recebe fatos concretos sobre o sistema, e não apenas intenções abstratas.

Quais entradas a skill precisa para funcionar bem

Forneça detalhes operacionais suficientes para que a skill consiga raciocinar sobre as obrigações. As entradas mais úteis são:

• o que o produto faz
• quais usuários estão no escopo, especialmente usuários da UE ou crianças
• quais campos de dados são coletados
• de onde os dados vêm e para onde vão
• se há dados sensíveis ou dados criminais envolvidos
• por que cada atividade de tratamento acontece
• fluxos atuais de consentimento e aviso de privacidade
• períodos de retenção
• processo de tratamento de DSR
• fornecedores, subprocessadores e contexto de transferências

Entrada fraca: “Revise nosso app para GDPR.”

Entrada forte: “Revise nossa plataforma de recrutamento para GDPR. Coletamos nome, email, CV, notas de entrevista, detalhes opcionais sobre acomodação por deficiência e avaliações de recrutadores. Candidatos da UE podem criar contas, enviar documentos e solicitar exclusão. Os dados são armazenados em AWS EU-West, compartilhados com um fornecedor de email nos EUA e um provedor de analytics. Hoje usamos consentimento para emails de marketing e necessidade contratual para o processamento de candidaturas.”

Como transformar um objetivo vago em um prompt forte

Um bom prompt de gdpr-data-handling guide normalmente tem quatro partes:

1. descrição do sistema
2. inventário de dados
3. premissas jurídicas/de compliance
4. formato de saída desejado

Exemplo de prompt:
“Use the gdpr-data-handling skill to perform a compliance review of our employee wellness app. Identify personal data categories, likely legal bases, where explicit consent is required, DSR obligations, retention risks, and privacy-by-design gaps. Then produce a prioritized remediation list with high/medium/low severity and note assumptions where facts are missing.”

Esse prompt é melhor porque pede classificação, análise e priorização, em vez de orientação genérica sobre GDPR.

Um fluxo prático que economiza tempo

Um fluxo confiável é:

1. descrever o sistema e os usuários
2. listar categorias de dados e finalidades de tratamento
3. pedir ao agente para mapear cada atividade a uma base legal
4. pedir implicações para direitos, consentimento, retenção e transferências
5. solicitar uma lista de lacunas com severidade e próximos passos
6. revisar com fatos faltantes depois da primeira rodada

Essa abordagem em etapas funciona melhor do que pedir de imediato uma política final ou uma conclusão jurídica definitiva.

Quais saídas pedir

Para trabalho de implementação, peça saídas sobre as quais você possa agir:

• tabela de atividades de tratamento
• mapa de bases legais
• matriz de decisão sobre consentimento
• checklist de suporte a DSR
• requisitos de retenção e exclusão
• recomendações de privacy by design
• bloqueadores de lançamento vs. itens não bloqueadores
• questões em aberto para revisão jurídica

Esses formatos tornam a gdpr-data-handling skill mais útil para times de engenharia e compliance do que um texto corrido em formato de ensaio.

Onde a skill tende a ajudar mais

Essa skill agrega mais valor quando sua equipe precisa de uma revisão estruturada inicial, mas ainda não tem um playbook maduro de privacidade. Ela é especialmente útil para expor premissas ausentes: muitas equipes sabem o que coletam, mas não sabem de fato em qual base legal estão se apoiando ou como cumpririam, de ponta a ponta, uma solicitação de acesso ou exclusão.

Restrições e tradeoffs

Como a skill é orientada por documentação e não traz automação embutida, ela não vai inspecionar sozinha seus bancos de dados, logs, contratos com fornecedores ou configurações de produção. Ela consegue raciocinar com base nos fatos fornecidos e gerar artefatos fortes de revisão, mas não consegue verificar evidências de implementação. Trate-a como uma camada guiada de análise de conformidade, não como um sistema de auditoria.

Quando um prompt comum já basta

Se você precisa apenas de uma explicação curta sobre conceitos do GDPR, um prompt geral pode ser suficiente. Instale gdpr-data-handling quando quiser uma estrutura repetível para revisão de implementação, especialmente em torno de escolha de base legal, tratamento de direitos e decisões de design que precisam virar tarefas de engenharia.

FAQ da skill gdpr-data-handling

A gdpr-data-handling é boa para iniciantes?

Sim, desde que você já entenda o seu produto. A skill ajuda iniciantes ao organizar a revisão em torno de conceitos práticos do GDPR, como bases legais e direitos. Ela ajuda menos se você ainda não mapeou seus fluxos de dados, porque o modelo terá que supor coisas demais.

Posso usar gdpr-data-handling for Compliance Review?

Sim. Esse é um dos melhores motivos para usá-la. A skill é bem adequada para uma revisão inicial de conformidade de uma funcionalidade, produto ou fluxo, especialmente quando você quer uma lista de lacunas e um plano de remediação, e não uma explicação genérica do regulamento.

Ela substitui um advogado ou DPO?

Não. A gdpr-data-handling skill pode ajudar a identificar obrigações prováveis, riscos e controles ausentes, mas não produz aconselhamento jurídico nem valida que sua interpretação resistirá em uma disputa com reguladores. Use-a para melhorar a preparação e reduzir pontos cegos antes da revisão jurídica.

Isso serve só para gestão de consentimento?

Não. Consentimento é apenas uma das bases legais, e muitas equipes o usam em excesso. A skill também ajuda com necessidade contratual, interesse legítimo, obrigação legal, privacy by design, tratamento de DSR e classificação de dados. Esse enquadramento mais amplo é uma das razões para preferi-la a um checklist estreito focado apenas em consentimento.

Quando não devo usar esta skill?

Evite usar se:

• sua tarefa é puramente de privacidade fora da UE, sem relação com GDPR
• você precisa de coleta automatizada de evidências dos sistemas
• você quer orientação jurídica específica de uma jurisdição além do escopo da skill
• você ainda não sabe que dados o seu sistema processa

Nesses casos, primeiro faça descoberta de dados ou envolva um especialista.

Em que ela difere de um prompt simples sobre GDPR?

Um prompt simples muitas vezes devolve linguagem genérica de conformidade. gdpr-data-handling usage é melhor quando você precisa que o modelo avalie de forma consistente categorias de dados, base legal, direitos e implicações de implementação em uma única passada. A estrutura reduz omissões, especialmente em revisões de funcionalidades.

Como melhorar a skill gdpr-data-handling

Dê à skill um inventário de tratamento, não um slogan

O maior salto de qualidade vem de trocar pedidos vagos por um inventário compacto de tratamento. Inclua:

• ator: cliente, funcionário, candidato, criança, paciente
• dados: campos coletados
• finalidade: por que são tratados
• base: sua premissa atual
• movimentação: armazenamento, compartilhamento, transferências
• ciclo de vida: retenção e exclusão

Isso permite que gdpr-data-handling produza análise em vez de especulação.

Sinalize cedo as categorias de alto risco

Destaque logo no início do prompt dados sensíveis, dados criminais, dados de crianças, monitoramento em larga escala ou transferências internacionais. Esses fatos mudam materialmente a análise de conformidade e muitas vezes determinam se são necessárias salvaguardas adicionais ou uma revisão mais profunda.

Peça que as premissas sejam separadas das conclusões

Um modo comum de falha é a falsa certeza. Melhore a saída pedindo ao agente que rotule:

• fatos confirmados
• premissas
• obrigações prováveis
• questões jurídicas não resolvidas

Essa separação torna o resultado mais seguro para circulação interna.

Peça remediação em linguagem de implementação

Não pare em “identifique riscos de GDPR”. Peça:

• controles necessários
• sugestões de responsáveis
• nível de prioridade
• evidências a coletar
• mudanças propostas no produto ou no processo

Isso transforma o gdpr-data-handling guide em uma ferramenta de execução para equipes de engenharia e compliance.

Compare o estado atual com o estado-alvo

Para resultados melhores, informe o que já existe:

• banner de consentimento ou fluxo de conta
• resumo do aviso de privacidade
• regras de retenção
• processo de exclusão
• lista de fornecedores
• controles de segurança

Depois, peça à skill para comparar o estado atual com as expectativas-alvo do GDPR. Análise de lacunas é muito mais acionável do que um checklist genérico.

Itere depois da primeira saída

Use a primeira execução para revelar fatos que faltam. Depois, faça prompts de continuação como:

• “Reassess legal bases now that analytics is optional and disabled by default for EU users.”
• “Update the review assuming disability information is processed only when candidates request accommodations.”
• “Prioritize remediation items that block launch in the next 30 days.”

É nessa segunda rodada que a gdpr-data-handling skill muitas vezes passa a ser realmente útil para tomada de decisão.

Fique atento a estes modos de falha comuns

Resultados fracos geralmente vêm de:

• categorias de dados pouco claras
• nenhuma distinção entre os papéis de controller e processor
• presumir que consentimento é sempre obrigatório
• ignorar operações de retenção e exclusão
• esquecer compartilhamento com fornecedores ou transferências internacionais
• pedir uma resposta jurídica final sem fatos suficientes

Corrija essas entradas antes de culpar a skill.

Combine com contexto específico do repositório

Se você estiver revisando uma codebase ou produto real, cole no prompt notas de arquitetura, campos de API, fluxos de cadastro e documentação de fornecedores. A skill em si é uma orientação geral; o contexto do seu sistema é o que a transforma em uma revisão significativa.

Use gdpr-data-handling como camada de revisão, não como checklist

A melhor forma de melhorar os resultados com gdpr-data-handling é usá-la como parte de um fluxo vivo: revisão de design, revisão pré-lançamento, checagens de prontidão para DSR e reavaliação após mudanças. As equipes extraem mais valor quando revisitarem a análise depois de alterações no produto, em vez de tratar a primeira saída como definitiva.