Cyarun/website-dpia-audit

Auditor de DPIA y Preparación para Automatización de Sitios Web (website-dpia-audit)

Propósito y Alcance (Solo Sitios Web — Solo Lectura y Seguro para la Reputación)

Esta habilidad realiza una Evaluación de Impacto de Protección de Datos (DPIA) y una Evaluación de Preparación para Automatización empírica, de solo lectura y no intrusiva, para cualquier URL de sitio web objetivo o compilación HTML local. Está diseñada para funcionar de manera determinista en Claude (3.5/3.7/4 Sonnet & Opus), Google Gemini (2.5 Pro/Flash), DeepSeek (R1 & V3) y Alibaba Qwen (Qwen-2.5/Qwen3/QwQ).

---

Invariantes Estrictos (Nunca Violar)

1. Precisión Legal (Solo Fuentes Canónicas de Nivel 1):

   • Ley DPDP, 2023 (Ley No. 22 de 2023): 9 Capítulos, 44 Secciones, 1 Anexo.
   • Reglas DPDP, 2025 (G.S.R. 846(E), notificadas el 13 de noviembre de 2025): 23 Reglas, 7 Anexos.
     • Inicio por Fases: 13 de noviembre de 2025 (Reglas 1–2, 17–21); 13 de noviembre de 2026 (+1 año: Regla 4, registro del gestor de consentimiento); 13 de mayo de 2027 (+18 meses: Reglas 3, 5–16, 22–23, cumplimiento operativo).
   • SLA de Atención de Quejas: Máximo 90 días según la Regla 14(3) en relación con la Sección 13 (nunca citar 30 o 7 días como el límite legal de la DPDP).
   • Retención de Registros de Seguridad y Acceso: Mínimo 1 año según la Regla 8(3) en relación con el Séptimo Anexo.
   • Mandato de DPIA y Evaluación de Riesgos Algorítmicos: Sección 10(2)(c)(ii) en relación con las Reglas 13(1)–(3) (DPIA anual para Fiduciarios de Datos Significativos + deber de verificar que el software algorítmico, los chatbots de IA, la repetición de sesiones y la elaboración de perfiles automatizada no representen un riesgo para los derechos de los Titulares de los Datos).
   • Datos de Menores: Sección 9(1)–(3) en relación con las Reglas 10–11 y el Cuarto Anexo (consentimiento parental verificable para usuarios menores de 18 años; prohibición estricta de seguimiento, monitoreo conductual y publicidad dirigida a menores).

2. Marco de Asesoramiento Constructivo y Seguro para la Reputación (Cero Difamación):

   • Cada informe DEBE titularse y enmarcarse como una "Evaluación Consultiva Confidencial y Constructiva de Preparación para DPIA" basada únicamente en señales observables públicamente del lado del cliente en el momento de la inspección.
   • Palabras Prohibidas: Nunca usar ilegal, antilegal, infractor, violador, criminal, culpable, penalizado, multable, demandado, estafador o fraude.
   • Estructura de Hallazgo Requerida de 5 Partes:
     1. señal_técnica_observada (evidencia exacta de DOM/encabezado/cookie/red; cero alucinación)
     2. mapeo_legal (Sección exacta de la Ley DPDP 2023 + Regla de las Reglas DPDP 2025)
     3. nivel_de_preparación (Alineado | Mejora de Asesoramiento | Acción de Preparación Prioritaria)
     4. nota_de_asesoramiento_segura_para_reputación (explicación neutral, lista para la junta directiva)
     5. corrección_de_ingeniería_recomendada (paso concreto de configuración de código/encabezado/CMP)

---

Flujo de Trabajo de Auditoría Paso a Paso

Paso 1: Recopilar Telemetría Empírica del Sitio Web e Informe de DPIA de Referencia

Ejecuta el recolector de telemetría de solo lectura contra la URL del sitio web objetivo (o archivo HTML local):

node products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs "<https://target-website.example>" \
  --out "/tmp/dpia-telemetry-report.json" \
  --model "<claude|gemini|deepseek|qwen|deterministic-telemetry-only>"

Lo que collect_website_dpia_telemetry.mjs inspecciona automáticamente en modo de solo lectura:

• A. Almacenamiento y Cookies Previos al Consentimiento: Cookies de primera y tercera parte establecidas antes de cualquier interacción del usuario (httpOnly, secure, sameSite, caducidad), localStorage, sessionStorage, IndexedDB y registros de ServiceWorker.
• B. Automatizaciones del Sitio Web, Agentes de IA, Repetición de Sesiones y Perfilado de Comportamiento (Regla 13(2) y Sección 6):
  • Automatizaciones de Marketing y CRM: HubSpot, Marketo, Pardot, ActiveCampaign, Klaviyo, Braze, MoEngage, WebEngage, CleverTap, Zoho PageSense/SalesIQ, Mailchimp, Customer.io, Drip, OmniSend.
  • CDP y Enrutadores de Eventos: Segment (analytics.js), Google Tag Manager (gtm.js), RudderStack, mParticle, Snowplow, Tealium, Adobe Launch.
  • Repetición de Sesiones y Mapas de Calor de Comportamiento: Microsoft Clarity, Hotjar, FullStory, LogRocket, Smartlook, PostHog, Mouseflow, CrazyEgg, Contentsquare, LuckyOrange.
  • Chatbots de IA y Widgets de Soporte: Intercom, Drift, Crisp, Freshchat, Zendesk, Tidio, LiveChat, Botpress, Voiceflow, Ada, Yellow.ai, Haptik, Verloop, Gupshup, Wati / WhatsApp Business (widgets flotantes).
  • Píxeles de Anuncios y Coincidencia Automatizada Avanzada: Meta Pixel (fbevents.js, fbq), Google Ads/Analytics (gtag.js), LinkedIn Insight (lintrk), X/Twitter, Snap, TikTok, Criteo, Taboola, Outbrain.
  • Oyentes de Formularios y Patrones Oscuros: Casillas de verificación pre-seleccionadas (input[type="checkbox"][checked]), consentimiento agrupado, acciones de formulario inseguras http://, oyentes de captura de campos previa al envío, avisos de Web Push al cargar (Notification.requestPermission) y señales de huellas dactilares de Canvas/Audio.
• C. Pilares de Control Legal:
  • Sec 5 / Regla 3: Presencia del enlace de aviso de privacidad y señales de disponibilidad en idiomas indios del Octavo Anexo.
  • Sec 6 / Reglas 3–4: Presencia de CMP (OneTrust, Cookiebot, CookieYes, Osano, TrustArc, Securiti, Didomi, Klaro/personalizado) y simetría visual entre los controles de Aceptar y Rechazar / Solo Esenciales + enlace de retirada del consentimiento.
  • Sec 8(5) / Regla 6 / Regla 8(3): HTTPS, HSTS, CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Integridad de Subrecursos (integrity=) en scripts externos y asesoramiento de retención de registros de 1 año.
  • Sec 9 / Reglas 10–11: Señales de audiencia infantil vs. rastreadores de comportamiento/anuncios activos.
  • Sec 13 / Regla 14(3): Datos de contacto del DPO/Oficial de Quejas y verificación del SLA legal de 90 días.
  • Sec 16 / Regla 15: Inventario de dominios de subprocesadores transfronterizos.

Paso 2: Sintetizar y Validar Contra el Esquema Multimodelo

1. Carga el paquete de avisos universal desde products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md.
2. Valida el JSON de salida contra products/dpia-audit-skill/schema/dpia-website-report.schema.json.
3. Presenta tanto el informe JSON estructurado como una tabla resumen ejecutiva en Markdown para el usuario, preservando el descargo de responsabilidad de la Evaluación Consultiva Confidencial y Constructiva de Preparación para DPIA.

---

Artefactos de Referencia

• Recolector de Telemetría y Constructor de Informes: products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs
• Paquete de Avisos Multimodelo (Claude / Gemini / DeepSeek / Qwen): products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md
• Contrato de Esquema JSON: products/dpia-audit-skill/schema/dpia-website-report.schema.json