網站DPIA與自動化準備度審計員 (website-dpia-audit) 是做什麼的？
目的與範圍（僅限網站 — 唯讀且聲譽安全）
此技能對任何目標網站URL或本地HTML建置執行以實證為基礎、唯讀、非侵入式的網站DPIA（資料保護影響評估）與自動化準備度評估。它經過設計，可在Claude（3.5/3.7/4 Sonnet & Opus）、Google Gemini（2.5 Pro/Flash）、**DeepSeek（R1 & V3）以及阿里巴巴Qwen（Qwen-2.5/Qwen3/QwQ）**上確定性地運作。
硬性不變規則（絕不違反）
-
法定精確性（僅限第一級權威來源）：
- DPDP Act, 2023（2023年第22號法案）：9章，44條，1個附表。
- DPDP Rules, 2025（G.S.R. 846(E)，於2025年11月13日公告）：23條規則，7個附表。
- 分階段生效日期：2025年11月13日（第1–2條、第17–21條）；2026年11月13日（+1年：第4條同意管理員註冊）；2027年5月13日（+18個月：第3條、第5–16條、第22–23條營運合規）。
- 申訴救濟SLA：根據第14(3)條併同第13條，最長90天（切勿引用30或7天作為DPDP法定上限）。
- 安全與存取日誌保留：根據第8(3)條併同第七附表，至少1年。
- DPIA與演算法風險評估義務：第10(2)(c)(ii)條併同第13(1)–(3)條（重要資料受託人須進行年度DPIA + 驗證演算法軟體、AI聊天機器人、工作階段重播及自動化輪廓分析是否對資料主體權利構成風險的義務）。
- 兒童資料：第9(1)–(3)條併同第10–11條規則及第四附表（未滿18歲使用者需可驗證的父母同意；嚴格禁止針對兒童的追蹤、行為監控及目標式廣告）。
-
聲譽安全、建設性的顧問框架（零誹謗）：
- 每份報告必須以**「機密且具建設性的顧問DPIA準備度評估」**為標題和框架，且僅基於檢查時間點公開可觀察到的客戶端訊號。
- 禁止用語：切勿使用
illegal、unlawful、lawbreaker、violator、criminal、guilty、penalized、fineable、sued、offender、scam或fraud。 - 必備的五部分發現結構：
observed_technical_signal（確切的DOM/標頭/Cookie/網路證據；零幻覺）statutory_mapping（確切的DPDP Act 2023條款 + DPDP Rules 2025規則）readiness_tier（Aligned|Advisory Enhancement|Priority Readiness Action）reputation_safe_advisory_note（中立、董事會可讀的解釋）recommended_engineering_fix（具體的程式碼/標頭/CMP配置步驟）
逐步審計工作流程
步驟 1：收集實證網站遙測資料與基準DPIA報告
針對目標網站URL（或本地HTML檔案）執行唯讀遙測收集器：
node products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs "<https://target-website.example>" \
--out "/tmp/dpia-telemetry-report.json" \
--model "<claude|gemini|deepseek|qwen|deterministic-telemetry-only>"
collect_website_dpia_telemetry.mjs 在唯讀模式下自動檢查的項目：
- A. 同意前儲存與Cookie：在沒有任何使用者互動前設定的第一方及第三方Cookie（
httpOnly、secure、sameSite、有效期）、localStorage、sessionStorage、IndexedDB以及ServiceWorker註冊。 - B. 網站自動化、AI代理、工作階段重播與行為輪廓分析（第13(2)條規則及第6條）：
- 行銷與CRM自動化：HubSpot、Marketo、Pardot、ActiveCampaign、Klaviyo、Braze、MoEngage、WebEngage、CleverTap、Zoho PageSense/SalesIQ、Mailchimp、Customer.io、Drip、OmniSend。
- CDP與事件路由器：Segment（
analytics.js）、Google Tag Manager（gtm.js）、RudderStack、mParticle、Snowplow、Tealium、Adobe Launch。 - 工作階段重播與行為熱圖：Microsoft Clarity、Hotjar、FullStory、LogRocket、Smartlook、PostHog、Mouseflow、CrazyEgg、Contentsquare、LuckyOrange。
- AI聊天機器人與支援小工具：Intercom、Drift、Crisp、Freshchat、Zendesk、Tidio、LiveChat、Botpress、Voiceflow、Ada、Yellow.ai、Haptik、Verloop、Gupshup、Wati / WhatsApp Business浮動小工具。
- 廣告像素與自動進階配對：Meta Pixel（
fbevents.js、fbq）、Google Ads/Analytics（gtag.js）、LinkedIn Insight（lintrk）、X/Twitter、Snap、TikTok、Criteo、Taboola、Outbrain。 - 表單監聽器與暗黑模式：預先勾選的核取方塊（
input[type="checkbox"][checked]）、捆綁同意、不安全的http://表單動作、提交前欄位捕獲監聽器、載入時網頁推送提示（Notification.requestPermission）以及Canvas/音訊指紋辨識訊號。
- C. 法定控制支柱：
- 第5條 / 第3條規則：隱私權通知連結存在性及第八附表印度語言可用性訊號。
- 第6條 / 第3–4條規則：CMP存在性（OneTrust、Cookiebot、CookieYes、Osano、TrustArc、Securiti、Didomi、Klaro/自訂）以及「接受」與「拒絕/僅必要」控制項之間的視覺對稱性 + 撤回同意連結。
- 第8(5)條 / 第6條規則 / 第8(3)條規則：HTTPS、HSTS、CSP、
X-Content-Type-Options、Referrer-Policy、Permissions-Policy、外部腳本的子資源完整性（integrity=）以及1年日誌保留的建議。 - 第9條 / 第10–11條規則：兒童受眾訊號 vs. 活躍的行為/廣告追蹤器。
- 第13條 / 第14(3)條規則：DPO / 申訴官員聯絡詳細資訊以及90天法定SLA驗證。
- 第16條 / 第15條規則：跨境次處理者網域清單。
步驟 2：綜合分析並驗證多模型結構
- 從
products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md載入通用提示包。 - 依據
products/dpia-audit-skill/schema/dpia-website-report.schema.json驗證輸出JSON。 - 向使用者呈現結構化的JSON報告以及執行摘要的Markdown表格，並保留機密且具建設性的顧問DPIA準備度評估免責聲明。
參考成品
- 遙測收集器與報告建置器：
products/dpia-audit-skill/scripts/collect_website_dpia_telemetry.mjs - 多模型提示包（Claude / Gemini / DeepSeek / Qwen）：
products/dpia-audit-skill/prompts/universal-dpia-system-prompt.md - JSON結構合約：
products/dpia-audit-skill/schema/dpia-website-report.schema.json