웹사이트 DPIA 및 자동화 준비 감사 (website-dpia-audit)
목적 및 범위 (웹사이트 전용 — 읽기 전용 및 평판 손상 방지)
이 스킬은 대상 웹사이트 URL 또는 로컬 HTML 빌드에 대해 실증적이고 읽기 전용이며 비침습적인 웹사이트 DPIA(데이터 보호 영향 평가) 및 자동화 준비 평가를 수행합니다. Claude (3.5/3.7/4 Sonnet & Opus), Google Gemini (2.5 Pro/Flash), DeepSeek (R1 & V3), Alibaba Qwen (Qwen-2.5/Qwen3/QwQ) 에서 결정론적으로 작동하도록 설계되었습니다.
불변 규칙 (절대 위반 금지)
-
법적 정밀성 (1계층 정식 출처만 사용) :
- DPDP Act, 2023 (Act No. 22 of 2023): 9개 장, 44개 섹션, 1개 일정.
- DPDP Rules, 2025 (G.S.R. 846(E), 2025년 11월 13일 고시): 23개 규칙, 7개 일정.
- 단계적 시행: 2025년 11월 13일 (규칙 1–2, 17–21); 2026년 11월 13일 (+1년: 규칙 4 동의 관리자 등록); 2027년 5월 13일 (+18개월: 규칙 3, 5–16, 22–23 운영 준수).
- 이의제기 해결 SLA: 최대 90일 (규칙 14(3)과 섹션 13 참조, DPDP 법정 상한선으로 30일 또는 7일을 인용하지 않음).
- 보안 및 액세스 로그 보존: 최소 1년 (규칙 8(3)과 제7일정 참조).
- DPIA 및 알고리즘 위험 평가 의무: 섹션 10(2)(c)(ii) 와 규칙 13(1)–(3) 참조 (중요 데이터 수탁자를 위한 연간 DPIA + 알고리즘 소프트웨어, AI 챗봇, 세션 리플레이, 자동 프로파일링이 데이터 원칙주의자의 권리에 위험을 초래하지 않는지 확인할 의무).
- 아동 데이터: 섹션 9(1)–(3) 와 규칙 10–11 및 제4일정 참조 (만 18세 미만 사용자에 대한 확인 가능한 부모 동의; 아동을 대상으로 하는 추적, 행동 모니터링, 타겟 광고 엄격히 금지).
-
평판 손상 방지, 건설적 자문 프레임 (명예 훼손 금지) :
- 모든 보고서는 검사 시점에 공개적으로 관찰 가능한 클라이언트 측 신호만을 기반으로 하는 "기밀 및 건설적 자문 DPIA 준비 평가" 로 제목과 프레임을 구성해야 합니다.
- 금지 단어:
불법,위법,법률 위반자,위반자,범죄자,유죄,처벌 대상,벌금 가능,고소,범법자,사기,사기 행위를 절대 사용하지 마십시오. - 필수 5부분 발견 구조:
observed_technical_signal(정확한 DOM/헤더/쿠키/네트워크 증거, 환각 금지)statutory_mapping(정확한 DPDP Act 2023 섹션 + DPDP Rules 2025 규칙)readiness_tier(준수|자문 개선|우선 준비 조치)reputation_safe_advisory_note(중립적이고 이사회에서 읽을 수 있는 설명)recommended_engineering_fix(구체적인 코드/헤더/CMP 구성 단계)
단계별 감사 워크플로
1단계: 실증적 웹사이트 텔레메트리 및 기본 DPIA 보고서 수집
대상 웹사이트 URL (또는 로컬 HTML 파일)에 대해 읽기 전용 텔레메트리 수집기를 실행합니다:
node products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs "<https://target-website.example>" \
--out "/tmp/dpia-telemetry-report.json" \
--model "<claude|gemini|deepseek|qwen|deterministic-telemetry-only>"
collect_website_dpia_telemetry.mjs가 읽기 전용 모드에서 자동으로 검사하는 항목:
- A. 사전 동의 저장소 및 쿠키: 사용자 상호 작용 이전에 설정된 자사 및 타사 쿠키 (
httpOnly,secure,sameSite, 만료),localStorage,sessionStorage,IndexedDB,ServiceWorker등록. - B. 웹사이트 자동화, AI 에이전트, 세션 리플레이 및 행동 프로파일링 (규칙 13(2) 및 섹션 6):
- 마케팅 및 CRM 자동화: HubSpot, Marketo, Pardot, ActiveCampaign, Klaviyo, Braze, MoEngage, WebEngage, CleverTap, Zoho PageSense/SalesIQ, Mailchimp, Customer.io, Drip, OmniSend.
- CDP 및 이벤트 라우터: Segment (
analytics.js), Google Tag Manager (gtm.js), RudderStack, mParticle, Snowplow, Tealium, Adobe Launch. - 세션 리플레이 및 행동 히트맵: Microsoft Clarity, Hotjar, FullStory, LogRocket, Smartlook, PostHog, Mouseflow, CrazyEgg, Contentsquare, LuckyOrange.
- AI 챗봇 및 지원 위젯: Intercom, Drift, Crisp, Freshchat, Zendesk, Tidio, LiveChat, Botpress, Voiceflow, Ada, Yellow.ai, Haptik, Verloop, Gupshup, Wati / WhatsApp Business 플로팅 위젯.
- 광고 픽셀 및 자동 고급 매칭: Meta Pixel (
fbevents.js,fbq), Google Ads/Analytics (gtag.js), LinkedIn Insight (lintrk), X/Twitter, Snap, TikTok, Criteo, Taboola, Outbrain. - 양식 리스너 및 다크 패턴: 사전 체크된 체크박스 (
input[type="checkbox"][checked]), 번들 동의, 안전하지 않은http://양식 작업, 사전 제출 필드 캡처 리스너, 온로드 웹 푸시 프롬프트 (Notification.requestPermission), Canvas/Audio 지문 인식 신호.
- C. 법적 통제 핵심 요소:
- 섹션 5 / 규칙 3: 개인정보 보호 정책 링크 존재 및 제8일정 인도 언어 가용성 신호.
- 섹션 6 / 규칙 3–4: CMP 존재 (OneTrust, Cookiebot, CookieYes, Osano, TrustArc, Securiti, Didomi, Klaro/사용자 정의) 및
수락과거부 / 필수만컨트롤 간 시각적 대칭성 + 동의 철회 링크. - 섹션 8(5) / 규칙 6 / 규칙 8(3): HTTPS, HSTS, CSP,
X-Content-Type-Options,Referrer-Policy,Permissions-Policy, 외부 스크립트의 하위 리소스 무결성 (integrity=) 및 1년 로그 보존 자문. - 섹션 9 / 규칙 10–11: 아동 대상 신호와 활성 행동/광고 추적기 비교.
- 섹션 13 / 규칙 14(3): DPO / 이의제기 담당자 연락처 및 90일 법적 SLA 확인.
- 섹션 16 / 규칙 15: 국경 간 하위 처리자 도메인 인벤토리.
2단계: 다중 모델 스키마에 대한 합성 및 검증
products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md에서 범용 프롬프트 팩을 로드합니다.products/dpia-audit-skill/schema/dpia-website-report.schema.json에 대해 출력 JSON의 유효성을 검증합니다.- 구조화된 JSON 보고서와 사용자를 위한 임원 요약 마크다운 테이블을 기밀 및 건설적 자문 DPIA 준비 평가 고지 사항과 함께 제공합니다.
참조 아티팩트
- 텔레메트리 수집기 및 보고서 빌더:
products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs - 다중 모델 프롬프트 팩 (Claude / Gemini / DeepSeek / Qwen):
products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md - JSON 스키마 계약:
products/dpia-audit-skill/schema/dpia-website-report.schema.json