compliance-privacidade

Conduz o tratamento de relato recebido no canal de ética — triagem, classificação, decisão de investigar, plano de apuração, proteção contra retaliação, e o registro que sustenta a decisão depois. Inclui o cuidado com dado pessoal do relato sob a LGPD e o encaminhamento quando o caso envolve agente público ou assédio. Use quando o pedido envolver "canal de denúncia", "recebi um relato", "denúncia anônima", "canal de ética", "compliance recebeu", "triagem de denúncia", "apuração interna", "retaliação", ou quando alguém trouxer um relato sem saber o que fazer com ele.

Conduz due diligence de integridade de terceiro no Brasil — fornecedor, parceiro, intermediário, patrocinado — com consulta a CEIS, CNEP, CEPIM, listas de sanções, identificação de pessoa exposta politicamente e mídia adversa, classificação de risco por exposição real e recomendação de mitigação. Use quando o pedido envolver "due diligence", "background check de fornecedor", "verificação de integridade", "consulta CEIS CNEP", "esse fornecedor é confiável", "risco de terceiro", "PEP", "sanções", "onboarding de parceiro", "Lei Anticorrupção", "Lei 12.846", ou antes de contratar quem vai representar a empresa diante do poder público.

Avalia e registra risco de integridade em interação com agente público no Brasil — reunião com prefeitura ou secretaria, participação em licitação, pedido de licença ou autorização, fiscalização, cortesia, evento, patrocínio, doação e uso de intermediário — sob a Lei 12.846/2013. Use quando o pedido envolver "reunião com a prefeitura", "posso oferecer", "brinde para agente público", "convite para evento", "patrocínio", "doação eleitoral", "fiscalização", "despachante", "lobista", "posso pagar essa taxa", "pedido de licença", ou qualquer dúvida sobre o que pode e o que não pode diante do poder público.

Monta o inventário corporativo de emissões de gases de efeito estufa por escopo e prepara o relato conforme o padrão adotado, com atenção especial ao caso que mais expõe uma empresa de mobilidade: emissão evitada por substituição modal, que é ativo narrativo do negócio e por isso exige método defensável em vez de estimativa solta. Use quando o pedido envolver "inventário de emissões", "pegada de carbono", "GEE", "escopo 1 2 3", "ESG", "relato de sustentabilidade", "emissão evitada", "quanto de CO2 deixamos de emitir", "IFRS S1 S2", "CVM 193", "GRI" ou "relatório de sustentabilidade".

Redige e revisa acordo de tratamento de dados (DPA) com operador sob a LGPD, arts. 39 e 42, com checagem de direção — somos controlador ou operador? —, análise cláusula a cláusula com o que procurar e a briga mais comum de cada uma, e Resolução ANPD 19/2024 para transferência internacional. Use quando alguém mencionar "DPA", "contrato com operador", "cláusulas de LGPD", "adendo de proteção de dados", ao contratar fornecedor que vai tratar dado pessoal (nuvem, analytics, pagamento, e-mail, SMS, observabilidade, RH), ou ao responder a um DPA que um cliente mandou para assinarmos.

Implement endpoints and workflow for data subject access requests (direitos do titular) under LGPD Art. 18. Use when user asks for "DSAR", "direitos do titular", "exportar dados do usuário", "portabilidade LGPD", "exclusão de conta LGPD", "right to be forgotten", or as part of audit pipeline. Covers all 9 rights (confirmação, acesso, correção, anonimização, portabilidade, eliminação, info compartilhamento, info não-consentir, revogação). The 15-day deadline (Art. 19, II) is non-negotiable — encoded in this skill. Outputs `.lgpd/dsar/workflow.md` + endpoint specs.

Produz o Relatório de Impacto à Proteção de Dados (RIPD) do art. 38 da LGPD para tratamento de alto risco, com o teste cumulativo da Resolução ANPD 2/2022, as treze seções exigidas, padrão de qualidade para o enunciado de risco, conferência contra a política de privacidade declarada e trava antes de qualquer envio à ANPD. Use quando alguém pedir "RIPD", "DPIA", "relatório de impacto", "avaliação de impacto de LGPD", ao lançar tratamento novo que envolva dado sensível, criança, idoso, biometria, perfilamento ou decisão automatizada, ou quando o mapeamento de dados marcar uma atividade como alto risco.

Generate and maintain the Registro de Operações de Tratamento de Dados Pessoais (ROPA) required by LGPD Art. 37. Use when user asks for "ROPA", "registro de operações", "registro de tratamento", or as part of the lgpd-audit pipeline. Consolidates input from `lgpd-data-mapping` and `lgpd-legal-basis` into the official ANPD template structure. Especially relevant when preparing for ANPD inspection or onboarding a new vendor that requests the ROPA.