アプリコンプライアンス
すべてのアプリは実際のユーザーにリリースされる前に、これらのゲートを通過し、変更があっても通過し続けなければなりません。 ゲートとは、1つのルール、構築すべきもの、そして完了条件を備えた1つの義務です。 各ゲートのステータスはプロジェクトのコンプライアンスレコードに記録されるため、記憶や善意だけに依存することはありません。
これは調査された法律に対するエンジニアリングであり、法的アドバイスではありません。
ルールは、research/にある注釈付きのノートから得られており、日付は2026-10-31です：プライバシーと同意、商取引とクレーム、アクセシビリティ、知的財産、AI。
実行時にノートが6ヶ月以上経過している場合は、依存しているセクションで引用されている一次ソースを（リサーチスキルがあればそれを使って）再確認してから、その日付としきい値を現在のものとして扱ってください。
原則
- すべての人に1つのビルド。 国ごとに分岐するのではなく、すべてのユーザーに対して最も厳格な共通基準（プライバシーはGDPR、サブスクリプションと価格はカリフォルニア州法、アクセシビリティはWCAG 2.2 AA）に従って構築します。
- データマップが真実。 法的ページ、同意プロンプト、ベンダーリストは、コードを読み、トラフィックをキャプチャすることで実際にコードとライブアプリが行っていることを記述します。テンプレートの想定ではありません。 アプリが変更された場合、同じコミット内でページも変更されます。
- 証拠か無か。 アプリ内のすべてのクレーム、バッジ、ロゴ、レビュー、数字は、レコード内の証拠エントリを指し示しています。
- 所有者が決定し、エージェントがドラフト作成。 エージェントはページ、コード、テストを作成します。署名、登録、許可、法的判断は所有者のアクションであり、エージェントは所有者に代わってこれらを完了とマークすることはありません。
手順
- データをマッピングする。 コードとライブ実行からコンプライアンスレコードにデータマップを構築します。すべての個人データを含むフォームフィールドとAPI入力、それを保持するすべてのデータベース列またはストア、すべてのクッキーと
localStorage/sessionStorage/IndexedDBキー、アプリが呼び出すすべてのドメイン（すべてのルートのPlaywright HARと、新しいモバイルインストールのmitmproxyなどのプロキシキャプチャを取得）、依存関係ツリー内のすべてのSDK、アプリが送信するすべてのメール。 各項目について：目的、法的根拠、保存場所、保持期間、受信するベンダー。 コード検索とHARでマップに欠落がない場合に完了です。 - スコープを設定する。 レコード内で回答します。ユーザーは誰か（消費者、企業、子供の可能性あり）？場所はどこか（米国、EU/英国、その他）？事業規模はどれくらいか（スタッフ数、売上高）？支払いまたはサブスクリプションを受け付けているか？マーケティングメールを送信しているか？ユーザーが提供するコンテンツ（投稿、コメント、ファイル、プロフィール、アバター）を保存しているか？AI出力またはAIチャットを表示しているか？健康、金融、生体認証、正確な位置情報データを扱っているか？ センシティブデータまたは子供に関する「はい」は、所有者のアクションに弁護士レビューを追加します。
- すべてのゲートを実行する。 以下の各ゲートファイルを読み、各ゲートに1つのステータスを割り当てます：
pass（合格）、fail（不合格）、n/a（該当なし、その理由となるスコープ回答を添える）、またはowner（所有者のアクション待ち）。gates/privacy.md：プライバシー通知、最小化、保持、アクセス/削除リクエスト、子供、ユーザーデータのAIトレーニング、ベンダー、DPAおよびサブプロセッサー（PRIV）。gates/consent-and-tracking.md：クッキーバナー、同意前のトラッカーブロック、オプトアウトシグナル、マーケティング同意の分離（CONSENT）。gates/terms-and-payments.md：利用規約の同意とその記録、完全な価格表示、返金、自動更新、解約、EUの撤回権（TERMS, PAY）。gates/marketing-and-claims.md：クレーム、セキュリティバッジ、レビュー、ロゴ、稼働時間、緊急性、ダークパターン、事業者情報、マーケティングメール（CLAIM, UX, BIZ, EMAIL）。gates/accessibility.md：WCAG 2.2 AAスキャン、コントラスト、代替テキスト、キーボード操作、フォーカス、タイミングとターゲット、EUアクセシビリティステートメント（A11Y）。gates/licenses-and-content.md：コード、フォント、画像、アイコンのライセンス、ユーザーコンテンツの報告と削除（LIC, UGC）。gates/ai.md：AIチャットの開示、生成コンテンツのラベリングとマーキング（AI）。
- 修正して証明する。 各
failが必要とするものを構築し、その完了条件を実行します。自動チェックはプロジェクトのテストスイートとして継続的に実行できるようにし、手動チェックは日付と結果を記録します。 すべてのゲートがpass、n/a、またはownerであり、failが残っていない場合に完了です。 - 引き継ぐ。 所有者アクションリストをレコードの先頭に書き、セッション内で所有者に伝えます。各行について、何をすべきか、なぜか、どこでか。
後続の変更時には、影響を受けるゲートファイルについて手順1および3〜5を繰り返し、同じコミット内でレコードを更新します。
コンプライアンスレコード
各アプリは、そのリポジトリ内にdocs/compliance.mdという1つのレコードを保持し、インプレースで更新され、record-template.mdから構築されます。
これには、スコープ回答、データマップ、各ゲートのステータスと証拠、証拠エントリ、アセットレジスタ、所有者アクションが含まれます。
アプリは、レコードにfailがなく、所有者が各未処理の所有者アクションをクリアするか明示的に承認した場合にのみローンチできます。