jesubohr/skills

法的コンプライアンス

プロジェクトを法的にローンチ可能な状態にします：法的文書、同意取得、同意の証拠、クッキー処理、返金ルール、データ最小化、メディア権利、地域法チェック。

出力はレビュー用のドラフトであり、変更が適用されることはありません。開発者がドラフトを読み、承認し、その後エージェントが実装します。これにより、すべての法的判断とコード変更が可視化され、元に戻すことが可能になります。

重要な制限

あなたは弁護士ではなく、法律は変更されます。毎回の実行で以下のことを行ってください：

• ウェブ検索を行い、引用する各法律の現状を確認してください。ソースのURLと確認日を記録してください。このスキルの参照ファイルは古くなっている可能性があります。
• 確信が持てない法的主張には(verify)のマークを付けてください。
• ユーザーに対して、特に規制対象セクター（医療、金融、未成年、ギャンブル、暗号通貨、人に関するAI判断）では、ローンチ前に地元の弁護士が書類をレビューする必要があることを伝えてください。
• 「完全な保護」を決して約束しないでください。目標は、一般的で高額なギャップを取り除くことです。

ワークフロー

ステップ1：まずプロジェクトを検査する

質問をする前に、コードから既に何がわかるかを調べてください。これにより、ユーザーだけが答えられる質問に絞り込めます。以下のものを探してください：

• 技術スタック、フロントエンドとバックエンド、モバイルかウェブか、データベースの場所。
• 既存の法的ページ（「terms」、「privacy」、「cookies」、「refund」、「legal」、「términos」、「privacidad」を検索）。
• 登録とログインフロー、および個人データを収集するすべてのフォーム。各フィールドをリスト化。
• サードパーティのスクリプトとSDK：分析、広告、ピクセル、セッションリプレイ、チャットウィジェット、マップ、埋め込み動画、CDNからのフォント、エラー追跡、A/Bテスト。
• アプリが設定するクッキーとローカルストレージ。
• 支払い：プロバイダー、一括かサブスクリプションか、デジタルか物理的な商品か。
• メールとSMS：トランザクション用とマーケティング用。
• リポジトリ内またはURLから読み込まれる画像、動画、フォント、アイコン、音声。
• ホスティングとデータの保存場所（クラウドリージョン）。
• ユーザーデータを処理するAI機能。

まだコードがない場合は、このステップをスキップして、ステップ2でより多くの質問をしてください。

ステップ2：ユーザーにインタビューする

references/intake-questionnaire.mdを読んでください。ステップ1で答えが出なかった質問のみをしてください。少人数のグループ（一度に5〜8問）で質問し、最も重要なグループ（法的実体と国）を最初にしてください。ユーザーが素早く答えられるように、可能な場合は妥当なデフォルトの回答を提示してください。

ビジネスに関する事実を推測しないでください。法的文書に誤った会社名、国、データ利用が記載されることは、記載がないことよりも悪い結果を招きます。ユーザーが答えを知らない場合は、明確な[TODO: ...]プレースホルダーを記述し、未解決質問リストに追加してください。

ステップ3：適用される法律を見つける

法律は、ビジネスが設立されている場所とそのユーザーがいる場所の両方に基づいて適用されます。メキシコと米国に販売するコロンビアのスタートアップは、両方の一部に従う必要があります。

1. インタビューから国（および米国の州）のリストを作成します。
2. references/jurisdictions/にある該当するファイルを読みます：
   • コロンビア、メキシコ、ブラジル、アルゼンチン、チリ、ペルー、および一般ラテンアメリカのメモについてはlatam.md。
   • 連邦法および州法についてはunited-states.md。
   • その他の国についてはother.md（EUと英国の短いメモ、および未知の国を調査する方法を含む）。
3. ウェブ検索を行い、各法律がまだ有効であることを確認し、参照日以降の変更を見つけてください。
4. ルールが競合し、単一のグローバルフローの方が簡単な場合は、最も厳格な該当ルールを使用してください。例えば、最長の法定最低期間を満たす単一の返金期間は、国ごとに設定するよりも簡単です。この選択をした場合、その内容とユーザーにとってのコストを伝えてください。

ステップ4：各項目を監査および設計する

以下の各項目について作業します。各項目について、それが参照するファイルを読んでください。

項目	参照先
利用規約	references/documents.md
プライバシーポリシー	references/documents.md
クッキーポリシーと同意の決定	references/cookies.md
リンク付きの登録フォームチェックボックス	references/consent-records.md
トレーサブルな同意記録	references/consent-records.md
返金ポリシー	references/documents.md（返金セクション）および管轄ファイル
データ最小化	references/data-minimization.md
画像とメディアの権利	references/media-rights.md
地域法チェックリスト	管轄ファイル

返金期間のルール：ユーザーのデフォルトは購入から5日後です。このデフォルトと、該当する各国の法定最低期間のうち、長い方を使用してください。法律が営業日か暦日かを、またどのイベント（購入日、配達日、または契約日）から計算されるかに注意してください。

ステップ5：ドラフトを作成する

プロジェクトにドラフトフォルダを作成します。デフォルトのパス：docs/legal-compliance/。assets/draft-structure.mdの構造を使用します。簡単に言うと：

docs/legal-compliance/
├── README.md                  # サマリー、ビジネスプロファイル、法律、チェックリスト、未解決質問
├── documents/
│   ├── terms-and-conditions.md
│   ├── privacy-policy.md
│   ├── cookies-policy.md
│   └── refund-policy.md
├── data-inventory.md          # 各データフィールド、その目的、法的根拠、保持期間
├── media-inventory.md         # 各メディアアセット、ソース、ライセンス、ステータス
└── implementation-plan.md     # プロジェクトのスタックで行うコード変更、ステップバイステップ

法的文書は、対象ユーザーの言語で作成してください。インタビューからの実際のビジネスデータを使用してください。平易な言葉で書いてください：短い文、明確な見出し。平易な言葉はユーザーが理解しやすく、多くの法律（例えばブラジル、メキシコ、カリフォルニアなど）は明確でアクセスしやすい通知を要求しています。

implementation-plan.mdは、プロジェクトの実際のスタックに合わせて、ファイルパスとコードスケッチを含めて記述し、エージェントが追加の設計作業なしで実装できるようにしてください。コードがない場合は、スタックに依存しない用語（データモデル、UI動作、API動作）で変更を説明してください。

ステップ6：提示して承認を待つ

ユーザーに短いサマリーを提示します：

• 適用される法律とその理由。
• チェックリストとステータス：完了、未完了、または決定が必要。
• リスクの高いギャップを最初に（例：同意前に読み込まれるトラッカー、同意の証拠がない、ライセンスのないメディア）。
• 未解決の質問と[TODO]項目。
• 弁護士がレビューする必要がある項目。

その後、停止します。ユーザーが計画を承認するまで、アプリケーションコードを変更しないでください。承認されたら、implementation-plan.mdをステップバイステップで実装し、項目が完了するにつれてREADME.mdのチェックリストを更新してください。

ユーザーに伝えるべき継続的義務

コンプライアンスは一度きりのタスクではありません。これらをREADMEに追加してください：

• 製品、データ利用、サードパーティ、または法律が変更されたときに文書を更新してください。バージョン番号を上げ、古いバージョンを保持し、重要な変更があった場合はユーザーに再度同意を求めてください。
• 法律で要求される期間、同意記録を保持してください（references/consent-records.mdを参照）。
• データ主体の要求（アクセス、訂正、削除、オプトアウト）に法定の期限内に回答してください。
• 各国の期限を考慮したデータ漏洩対応計画を策定してください。
• 新しい国に参入するか、新しいデータ利用を追加する前に、再度確認してください。