vipink1203/compliance-do-app

Compliance do aplicativo

Todo aplicativo passa por estes portões antes de atingir usuários reais, e continua passando por eles à medida que muda. Um portão é uma obrigação com uma regra, o que construir e uma verificação de pronto quando. O status de cada portão é registrado no registro de compliance do projeto, para que nada dependa de memória ou boas intenções.

Isto é engenharia baseada em lei pesquisada, não aconselhamento jurídico. As regras vêm das notas com fontes em research/, datadas de 2026-10-31: 01 privacidade e consentimento, 02 comércio e alegações e 03 acessibilidade, PI e IA. Quando uma nota tiver mais de 6 meses no momento da execução, verifique novamente as fontes primárias citadas nas seções que você está usando (com uma skill de pesquisa, se tiver uma) antes de tratar suas datas e limites como atuais.

Princípios

• Uma versão para todos. Construa para o padrão comum mais rigoroso (GDPR para privacidade, Califórnia para assinaturas e preços, WCAG 2.2 AA para acessibilidade) para cada usuário, em vez de ramificar por país.
• O mapa de dados é a verdade. As páginas legais, os prompts de consentimento e a lista de fornecedores descrevem o que o código e o aplicativo ao vivo realmente fazem, encontrados lendo o código e capturando tráfego, nunca o que um modelo assume. Quando o aplicativo muda, as páginas mudam no mesmo commit.
• Evidência ou nada. Cada alegação, selo, logotipo, avaliação e número no aplicativo aponta para uma entrada de evidência no registro.
• Proprietário decide, agente rascunha. O agente escreve páginas, código e testes; assinaturas, registros, permissões e julgamento legal são ações do proprietário, e o agente nunca marca uma como concluída em nome do proprietário.

Etapas

1. Mapeie os dados. Construa o mapa de dados no registro de compliance a partir do código e de uma execução ao vivo: todo campo de formulário e entrada de API com dados pessoais, toda coluna de banco de dados ou armazenamento que os contenha, toda chave de cookie e localStorage/sessionStorage/IndexedDB, todo domínio que o aplicativo chama (capture um HAR do Playwright de cada rota e uma captura de proxy como mitmproxy de uma instalação móvel nova), todo SDK na árvore de dependências e todo e-mail que o aplicativo envia. Para cada item: finalidade, base legal, onde é armazenado, período de retenção e qual fornecedor o recebe. Pronto quando a busca no código e o HAR não mostrarem nada ausente do mapa.
2. Defina o escopo. Responda no registro: Quem são os usuários (consumidores, empresas, crianças possível)? Onde (EUA, UE/Reino Unido, outro lugar)? Qual o tamanho do negócio (funcionários, faturamento)? Aceita pagamentos ou assinaturas? Envia e-mail de marketing? Armazena conteúdo fornecido por usuários (postagens, comentários, arquivos, perfis, avatares)? Mostra saída de IA ou um chat de IA? Lida com dados de saúde, financeiros, biométricos ou de localização precisa? Um "sim" para dados sensíveis ou crianças adiciona uma revisão de advogado às ações do proprietário.
3. Percorra cada portão. Leia cada arquivo de portão abaixo e atribua a cada portão um status: pass, fail, n/a (com a resposta de escopo que o exclui) ou owner (aguardando uma ação do proprietário).
   • gates/privacy.md: aviso de privacidade, minimização, retenção, solicitações de acesso e exclusão, crianças, treinamento de IA em dados de usuário, fornecedores, DPAs e subprocessadores (PRIV).
   • gates/consent-and-tracking.md: banner de cookies, bloqueio de rastreadores antes do consentimento, sinais de opt-out, consentimento de marketing separado (CONSENT).
   • gates/terms-and-payments.md: aceitação de termos e seu registro, preços completos, reembolsos, renovação automática, cancelamento, desistência na UE (TERMS, PAY).
   • gates/marketing-and-claims.md: alegações, selos de segurança, avaliações, logotipos, uptime, urgência, padrões escuros, detalhes do negócio, e-mail de marketing (CLAIM, UX, BIZ, EMAIL).
   • gates/accessibility.md: varredura WCAG 2.2 AA, contraste, texto alternativo, teclado, foco, tempo e alvos, declaração de acessibilidade da UE (A11Y).
   • gates/licenses-and-content.md: licenças de código, fonte, imagem e ícone, relatar e remover conteúdo de usuário (LIC, UGC).
   • gates/ai.md: divulgação de chat de IA, rotulagem e marcação de conteúdo gerado (AI).
4. Corrija e prove. Construa o que cada fail precisa, então execute sua verificação de pronto quando: verificações automatizadas como testes no conjunto de testes do projeto para que continuem sendo executados, verificações manuais registradas com data e resultado. Pronto quando todo portão estiver como pass, n/a ou owner, sem nenhum fail restante.
5. Passe o bastão. Escreva a lista de ações do proprietário no topo do registro e informe o proprietário na sessão, uma linha cada: o que fazer, por que e onde.

Em uma alteração posterior, repita as etapas 1 e 3 a 5 para os arquivos de portão que a alteração toca e atualize o registro no mesmo commit.

O registro de compliance

Cada aplicativo mantém um registro em docs/compliance.md em seu repositório, atualizado no local, construído a partir de record-template.md. Ele contém as respostas de escopo, o mapa de dados, o status e a prova de cada portão, as entradas de evidência, o registro de ativos e as ações do proprietário. Um aplicativo é lançado apenas quando seu registro não mostra nenhum fail e o proprietário aprovou ou aceitou explicitamente cada ação de proprietário em aberto.