Cyarun/网站DPIA与自动化就绪审计

网站DPIA与自动化就绪审计师（website-dpia-audit）

目的与范围（仅限网站——只读且声誉安全）

此技能对任何目标网站URL或本地HTML构建执行经验性、只读、非侵入式网站DPIA（数据保护影响评估）与自动化就绪评估。它被设计为在Claude (3.5/3.7/4 Sonnet & Opus)、Google Gemini (2.5 Pro/Flash)、DeepSeek (R1 & V3) 和阿里巴巴 Qwen (Qwen-2.5/Qwen3/QwQ) 上确定性运行。

---

硬性不变规则（绝不违反）

1. 法规精确性（仅限一级规范来源）：

   • 《2023年DPDP法》（2023年第22号法案）：9章，44条，1个附表。
   • 《2025年DPDP规则》（G.S.R. 846(E)，于2025年11月13日通知）：23条规则，7个附表。
     • 分阶段生效：2025年11月13日（规则1-2、17-21）；2026年11月13日（+1年：规则4同意管理器注册）；2027年5月13日（+18个月：规则3、5-16、22-23运营合规）。
   • 申诉补救SLA：根据规则14(3) 结合第13条，最长90天（切勿引用30天或7天作为DPDP法定上限）。
   • 安全与访问日志保留：根据规则8(3) 结合第七附表，至少1年。
   • DPIA与算法风险评估强制要求：第10(2)(c)(ii)条 结合规则13(1)-(3)（重要数据受托人每年进行DPIA + 有义务验证算法软件、AI聊天机器人、会话回放和自动画像是否对数据主体的权利构成风险）。
   • 儿童数据：第9(1)-(3)条 结合规则10-11以及第四附表（18岁以下用户需获得可验证的父母同意；严格禁止针对儿童的追踪、行为监控和定向广告）。

2. 声誉安全、建设性咨询框架（零诽谤）：

   • 每份报告必须标题并构建为基于检查时间戳公开可观察的客户端信号的 “保密且建设性的咨询性DPIA就绪评估”。
   • 禁止使用的词汇：切勿使用 illegal、unlawful、lawbreaker、violator、criminal、guilty、penalized、fineable、sued、offender、scam 或 fraud。
   • 所需五部分发现结构：
     1. observed_technical_signal（精确的DOM/标头/Cookie/网络证据；零幻觉）
     2. statutory_mapping（精确的DPDP法案2023年第X条 + DPDP规则2025年第X条）
     3. readiness_tier（Aligned | Advisory Enhancement | Priority Readiness Action）
     4. reputation_safe_advisory_note（中立、董事会就绪的解释）
     5. recommended_engineering_fix（具体的代码/标头/CMP配置步骤）

---

逐步审计工作流程

步骤1：收集经验性网站遥测数据与基线DPIA报告

针对目标网站URL（或本地HTML文件）运行只读遥测收集器：

node products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs "<https://target-website.example>" \
  --out "/tmp/dpia-telemetry-report.json" \
  --model "<claude|gemini|deepseek|qwen|deterministic-telemetry-only>"

collect_website_dpia_telemetry.mjs 以只读模式自动检查的内容：

• A. 同意前存储与Cookie：在与用户交互前设置的第一方和第三方Cookie（httpOnly、secure、sameSite、有效期），localStorage、sessionStorage、IndexedDB 和 ServiceWorker 注册。
• B. 网站自动化、AI代理、会话回放与行为画像（规则13(2) 与 第6条）：
  • 营销与CRM自动化：HubSpot、Marketo、Pardot、ActiveCampaign、Klaviyo、Braze、MoEngage、WebEngage、CleverTap、Zoho PageSense/SalesIQ、Mailchimp、Customer.io、Drip、OmniSend。
  • CDP与事件路由器：Segment (analytics.js)、Google Tag Manager (gtm.js)、RudderStack、mParticle、Snowplow、Tealium、Adobe Launch。
  • 会话回放与行为热力图：Microsoft Clarity、Hotjar、FullStory、LogRocket、Smartlook、PostHog、Mouseflow、CrazyEgg、Contentsquare、LuckyOrange。
  • AI聊天机器人与支持小组件：Intercom、Drift、Crisp、Freshchat、Zendesk、Tidio、LiveChat、Botpress、Voiceflow、Ada、Yellow.ai、Haptik、Verloop、Gupshup、Wati / WhatsApp Business浮动组件。
  • 广告像素与自动增强匹配：Meta Pixel (fbevents.js, fbq)、Google Ads/Analytics (gtag.js)、LinkedIn Insight (lintrk)、X/Twitter、Snap、TikTok、Criteo、Taboola、Outbrain。
  • 表单监听器与暗模式：预选复选框（input[type="checkbox"][checked]）、捆绑同意、不安全的 http:// 表单操作、提交前字段捕获监听器、加载时Web推送提示（Notification.requestPermission）以及Canvas/音频指纹识别信号。
• C. 法定控制支柱：
  • 第5条 / 规则3：隐私通知链接存在性及第八附表印度语言可用性信号。
  • 第6条 / 规则3-4：CMP存在性（OneTrust、Cookiebot、CookieYes、Osano、TrustArc、Securiti、Didomi、Klaro/自定义）及 接受 与 拒绝/仅必需 控件之间的视觉对称性 + 同意撤回链接。
  • 第8(5)条 / 规则6 / 规则8(3)：HTTPS、HSTS、CSP、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、外部脚本的子资源完整性（integrity=）及1年日志保留建议。
  • 第9条 / 规则10-11：儿童受众信号与活跃的行为/广告追踪器对比。
  • 第13条 / 规则14(3)：DPO / 申诉官联系方式及90天法定SLA验证。
  • 第16条 / 规则15：跨境子处理器域名清单。

步骤2：综合并验证多模型模式

1. 从 products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md 加载通用提示包。
2. 针对 products/dpia-audit-skill/schema/dpia-website-report.schema.json 验证输出JSON。
3. 为用户呈现结构化JSON报告和执行的Markdown摘要表，并保留保密且建设性的咨询性DPIA就绪评估免责声明。

---

参考工件

• 遥测收集器与报告构建器：products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs
• 多模型提示包（Claude / Gemini / DeepSeek / Qwen）：products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md
• JSON模式合约：products/dpia-audit-skill/schema/dpia-website-report.schema.json