GDPR / CCPA 数据隐私合规:6 个技能,30 分钟跑通第一遍检查
【免费下载链接】awesome-agent-skillsA curated collection of 1000+ agent skills from official dev teams and the community, compatible with Claude Code, Codex, Gemini CLI, Cursor, and more.项目地址: https://gitcode.com/GitHub_Trending/aweso/awesome-agent-skills
你的产品要进欧盟或加州市场,GDPR 和 CCPA 数据隐私合规检查绕不开,但不知从哪下手。读完这篇,你能在 Awesome Agent Skills 里挑出 6 个现成技能,30 分钟跑通第一遍合规检查。
先划清适用边界:GDPR 和 CCPA 各管什么
⚖️ 选技能之前,先确认你的产品落在谁的管辖范围内。
| 对比项 | GDPR | CCPA |
|---|---|---|
| 适用对象 | 欧盟用户的个人数据 | 加州居民的个人信息 |
| 典型义务 | 同意管理、响应数据主体权利 | 告知义务、删除与退出选项 |
| 开发侧动作 | 建处理记录、写隐私政策 | 列数据清单、做用户退出入口 |
表里的数据主体权利,指用户要求查看或删除自己数据的权利。 如果两边都涉及,多地区合规要各建一份清单,别共用一套条款。
合规技能推荐:三类能力,六个现成技能
📦 Awesome Agent Skills 收录了 1000+ 代理技能。 合规相关的能力可以归成三类:文档、检查、安全。 六个技能按这三类排好,直接对号入座:
| 技能 | 解决什么问题 | 关键能力 | 链接 |
|---|---|---|---|
| phuryn/privacy-policy | 隐私政策生成:政策没底稿、缺配套协议 | 按应用类型、数据处理方式、目标用户生成 GDPR 合规政策,附数据处理协议模板 | phuryn/pm-skills |
| lawvable/awesome-legal-skills | 法律文档要人工逐份过 | 合同起草、合规检查、条款分析、风险评估 | lawvable/awesome-legal-skills |
| trailofbits/spec-to-code-compliance | 规范写了,代码没照着做 | 把规范转成代码检查,输出合规报告;方法源于区块链审计 | trailofbits/spec-to-code-compliance |
| mukul975/Anthropic-Cybersecurity-Skills | 安全面太宽,查不过来 | 753 个技能、38 个领域,映射 MITRE ATT&CK 攻击图谱 | mukul975/Anthropic-Cybersecurity-Skills |
| prompt-security/clawsec | 技能被改动、审计流程漂移 | 漂移检测、自动安全审计、完整性验证、态势评估 | prompt-security/clawsec |
| BehiSecc/VibeSec-Skill | 代码埋着常见漏洞 | 拦截 IDOR、XSS、SQL 注入,SSRF 防护、弱认证检测 | BehiSecc/VibeSec-Skill |
两个术语先说清楚。数据处理协议(DPA):约定双方各自处理个人数据边界的合同模板。 MITRE ATT&CK:公开的攻击行为图谱,拿它当安全技能的对照坐标。
完整技能索引见 README.md,收录标准写在 CONTRIBUTING.md。
30 分钟跑通合规检查自动化:安装、验证、看产出
⏱️ 从最省事的隐私政策生成入手,分三步走。
- 安装:在终端跑一条命令,把技能装进 Claude Code。
claude skills install phuryn/privacy-policy- 验证:让 Claude Code 用 privacy-policy 技能,给当前应用起草一份隐私政策。
- 预期产出:一份按应用类型、数据处理方式、目标用户定制的政策草稿,外加数据处理协议模板。把草稿里的数据收集项和代码里实际存储的字段对一遍,能对上就算跑通。
把合规卡进开发、测试、发布三个节点
🔌 技能装好只是开始,卡进流程才算落地。
开发阶段:隐私政策生成先于代码
写用户数据功能前,先用 privacy-policy 出政策草稿和 DPA 模板。 再把政策关键条款交给 spec-to-code-compliance 转成代码检查。 每改一次数据相关代码就跑一次,偏离立刻能看到。
测试阶段:安全扫描和漏洞拦截
测试时让 vibesec 按漏洞猎手视角查 IDOR、XSS、SQL 注入, 并做 SSRF 防护和弱认证检测。 再跑 clawsec 做漂移检测与完整性验证,确认审计流程没被改坏。
发布阶段:出报告,交人工
发布前用 mukul975/Anthropic-Cybersecurity-Skills 按 MITRE ATT&CK 对照安全态势。 再用 lawvable/awesome-legal-skills 做一轮风险评估。 最后产出一份能直接交给法务的合规报告。
容易踩的三个坑
⚠️ 三个坑都来自真实项目,先记下来再动手。
- 自动化不等于免责。技能生成的是草稿和报告,法律责任还是你的。关键条款要留人工审查,这一步省不掉。
- 一次生成就收工。法规会更新,技能也要定期重跑。把合规检查排进例行任务,跟踪法规变化,出问题时手里有报告可查。
- 只盯一个法域。产品同时面向欧盟和加州时,多地区合规要两边各建清单。拿 GDPR 的政策直接当 CCPA 用,条款会缺位。
收尾:把合规检查固定成例行动作
六个技能分工已经排好:文档用 privacy-policy 和 lawvable,检查用 spec-to-code-compliance,安全用 clawsec、vibesec 和 Anthropic-Cybersecurity-Skills。 按"开发 → 测试 → 发布"卡进流程,合规就从一次性工程变成每次发布前都能重跑的检查。
技能产出的政策草稿和检查报告都不能替代法律意见。上线前请执业律师复核全部文档,责任边界最终以法律顾问的意见为准。
【免费下载链接】awesome-agent-skillsA curated collection of 1000+ agent skills from official dev teams and the community, compatible with Claude Code, Codex, Gemini CLI, Cursor, and more.项目地址: https://gitcode.com/GitHub_Trending/aweso/awesome-agent-skills
创作声明:本文部分内容由AI辅助生成(AIGC),仅供参考