ウェブサイトDPIA & 自動化対応監査ツール（website-dpia-audit）
目的と範囲（ウェブサイト専用 — 読み取り専用・レピュテーションセーフ）
このスキルは、対象のウェブサイトURLまたはローカルHTMLビルドに対し、実証的かつ読み取り専用、非侵入型の Website DPIA（データ保護影響評価）および自動化対応評価を実施します。Claude（3.5/3.7/4 Sonnet & Opus）、Google Gemini（2.5 Pro/Flash）、DeepSeek（R1 & V3）、Alibaba Qwen（Qwen-2.5/Qwen3/QwQ） 上で確定的に動作するよう設計されています。
絶対不変条件（絶対に違反してはならない）
-
法令の正確性（Tier-1 正規ソースのみ）:
- DPDP法、2023年（2023年法律第22号）: 9章、44条、1別表。
- DPDP規則、2025年（G.S.R. 846(E)、2025年11月13日官報通知）: 23規則、7別表。
- 段階的施行: 2025年11月13日（規則1–2、17–21）; 2026年11月13日（＋1年：規則4 同意管理事業者の登録）; 2027年5月13日（＋18ヶ月：規則3、5–16、22–23 業務遵守）。
- 苦情処理SLA: 最大90日（規則14(3)、第13条と併せて解釈。DPDP法定上限として30日や7日を引用しないこと）。
- セキュリティおよびアクセスログの保存期間: 最低1年（規則8(3)、第七別表と併せて解釈）。
- DPIAおよびアルゴリズムリスク評価の義務: 第10条第2項(c)(ii)、規則13(1)–(3)と併せて解釈（重要データ管理者は年次DPIAを実施し、アルゴリズムソフトウェア、AIチャットボット、セッションリプレイ、自動プロファイリングがデータ主体の権利にリスクを及ぼさないことを確認する義務）。
- 児童データ: 第9条第1項–第3項、規則10–11および第四別表と併せて解釈（18歳未満のユーザーには検証可能な親の同意が必要。児童を対象とした追跡、行動監視、ターゲット広告は厳格に禁止）。
-
レピュテーションセーフで建設的な助言としての枠組み（名誉毀損ゼロ）:
- すべてのレポートは、「機密かつ建設的な助言としてのDPIA対応状況評価」 というタイトルと枠組みで、調査時点で公に観測可能なクライアントサイドシグナルのみに基づいて作成しなければなりません。
- 禁止用語:
違法、違法行為、法律違反者、違反者、犯罪者、有罪、罰則対象、過料対象、訴訟中、違反事業者、詐欺、不正は絶対に使用しないでください。 - 必須の5部構成の発見事項構造:
observed_technical_signal（正確なDOM/ヘッダー/Cookie/ネットワークの証拠。幻覚出力は絶対に禁止）statutory_mapping（該当するDPDP法2023年の条項＋DPDP規則2025年の規則）readiness_tier（対応済み|改善推奨|優先的対応アクション）reputation_safe_advisory_note（中立で取締役会に提示可能な説明）recommended_engineering_fix（具体的なコード/ヘッダー/CMP設定手順）
段階的な監査ワークフロー
ステップ1: 実証的ウェブサイトテレメトリーとベースラインDPIAレポートの収集
対象のウェブサイトURL（またはローカルHTMLファイル）に対して、読み取り専用のテレメトリーコレクターを実行します。
node products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs "<https://target-website.example>" \
--out "/tmp/dpia-telemetry-report.json" \
--model "<claude|gemini|deepseek|qwen|deterministic-telemetry-only>"
collect_website_dpia_telemetry.mjsが読み取り専用モードで自動的に検査する内容:
- A. 同意前のストレージとCookie: ユーザー操作前に設定されるファーストパーティおよびサードパーティCookie（
httpOnly、secure、sameSite、有効期限）、localStorage、sessionStorage、IndexedDB、ServiceWorker登録。 - B. ウェブサイトの自動化、AIエージェント、セッションリプレイ、行動プロファイリング（規則13(2)および第6条）:
- マーケティング・CRM自動化: HubSpot、Marketo、Pardot、ActiveCampaign、Klaviyo、Braze、MoEngage、WebEngage、CleverTap、Zoho PageSense/SalesIQ、Mailchimp、Customer.io、Drip、OmniSend。
- CDPおよびイベントルーター: Segment（
analytics.js）、Google Tag Manager（gtm.js）、RudderStack、mParticle、Snowplow、Tealium、Adobe Launch。 - セッションリプレイおよび行動ヒートマップ: Microsoft Clarity、Hotjar、FullStory、LogRocket、Smartlook、PostHog、Mouseflow、CrazyEgg、Contentsquare、LuckyOrange。
- AIチャットボットおよびサポートウィジェット: Intercom、Drift、Crisp、Freshchat、Zendesk、Tidio、LiveChat、Botpress、Voiceflow、Ada、Yellow.ai、Haptik、Verloop、Gupshup、Wati / WhatsApp Business フローティングウィジェット。
- 広告ピクセルおよび自動拡張マッチング: Meta Pixel（
fbevents.js、fbq）、Google Ads/Analytics（gtag.js）、LinkedIn Insight（lintrk）、X/Twitter、Snap、TikTok、Criteo、Taboola、Outbrain。 - フォームリスナーおよびダークパターン: 事前チェックされたチェックボックス（
input[type="checkbox"][checked]）、バンドル同意、安全でないhttp://フォームアクション、送信前フィールドキャプチャリスナー、ページロード時のWeb Pushプロンプト（Notification.requestPermission）、Canvas/Audioフィンガープリンティングシグナル。
- C. 法定管理の基盤:
- 第5条 / 規則3: プライバシー通知リンクの存在、第八別表に基づくインド言語での提供状況のシグナル。
- 第6条 / 規則3–4: CMPの存在（OneTrust、Cookiebot、CookieYes、Osano、TrustArc、Securiti、Didomi、Klaro/カスタム）、「同意する」と「拒否/必須のみ」ボタンの視覚的対称性、同意撤回リンク。
- 第8条第5項 / 規則6 / 規則8(3): HTTPS、HSTS、CSP、
X-Content-Type-Options、Referrer-Policy、Permissions-Policy、外部スクリプトのサブリソース完全性（integrity=）、1年間のログ保存に関する助言。 - 第9条 / 規則10–11: 児童オーディエンスシグナル vs. アクティブな行動/広告トラッカーの有無。
- 第13条 / 規則14(3): DPO / 苦情処理担当者の連絡先詳細、90日間の法定SLA 確認。
- 第16条 / 規則15: 越境サブプロセッサーのドメインインベントリ。
ステップ2: マルチモデルスキーマに基づく統合と検証
products/dpia-audit-skill/prompts/universal-dpia-system-prompt.mdからユニバーサルプロンプトパックをロードします。- 出力JSONを
products/dpia-audit-skill/schema/dpia-website-report.schema.jsonに対して検証します。 - 構造化JSONレポートとエグゼクティブ向けMarkdownサマリーテーブルの両方をユーザーに提示し、「機密かつ建設的な助言としてのDPIA対応状況評価」 という免責事項を保持します。
参照成果物
- テレメトリーコレクターおよびレポートビルダー:
products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs - マルチモデルプロンプトパック（Claude / Gemini / DeepSeek / Qwen）:
products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md - JSONスキーマ契約:
products/dpia-audit-skill/schema/dpia-website-report.schema.json