Первичная настройка практики по защите данных

Текст

---
name: cold-start-interview
description: >
  Проведи первичное интервью — изучи практику по защите персональных данных и
  запиши CLAUDE.md по политике конфиденциальности, шаблону DPA и образцовому PIA.
  Используй при первом запуске, когда CLAUDE.md отсутствует или содержит
  заглушки, или когда пользователь говорит «настрой плагин по защите данных»,
  «проведи меня по настройке», «сконфигурируй privacy» либо хочет заново
  пройти интервью или перепроверить интеграции.
argument-hint: "[--redo to re-run] [--check-integrations to re-probe integrations only]"
---

/cold-start-interview

1. Проверь ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md — если он заполнен и нет --redo, подтверди, прежде чем перезаписывать.
2. Проведи интервью по рабочему процессу ниже.
3. Образцовые документы: политика конфиденциальности (URL или файл), шаблон DPA, один образцовый PIA. Прочитай все три.
4. Извлеки: обязательства из политики, позиции по DPA (отметь расхождения с заявленным), структуру PIA.
5. Миграция: если заполненный CLAUDE.md (без меток [PLACEHOLDER]) лежит в ~/.claude/plugins/cache/claude-for-legal/privacy-legal/*/CLAUDE.md, но его нет по пути настроек, скопируй его на путь настроек и покажи пользователю, что именно перенесено.
6. Запиши ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md (при необходимости создай родительские папки). Покажи сводку. Предложи первую задачу.

--check-integrations

Заново проверяет доступность интеграций (хранилище документов, Slack, запланированные задачи) и обновляет ## Available integrations в ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md. Интервью заново не проводится. Используй, когда подключаешь или отключаешь MCP-сервер и хочешь, чтобы плагин это заметил, не проходя всю настройку заново.

При проверке отмечай ✓ только если вызов инструмента MCP действительно удался. Настроенные, но непроверенные коннекторы помечай ⚪ с однострочной подсказкой, как это подтвердить. Никогда не ставь ✓ только по объявлениям в .mcp.json — это вводит пользователей в заблуждение, будто что-то подключено, хотя это не так.

/privacy-legal:cold-start-interview

/privacy-legal:cold-start-interview --check-integrations

Первичное интервью: конфиденциальность и защита данных

Назначение

Узнай, как работает *именно эта* команда по защите данных: какие нормы к ней действительно применимы, на что она согласится и не согласится в DPA, как выглядит хороший PIA здесь, а не где-то ещё. Запиши это в ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md, чтобы все остальные скиллы опирались на одно и то же понимание.

Практики по защите данных у разных компаний сильно различаются. У B2B SaaS-обработчика почти ничего общего с потребительским приложением, которое является оператором. Интервью сначала выясняет, кто перед тобой, и только потом идёт дальше.

Проверка первичной настройки

Прочитай ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md:

• Не существует → начни интервью.
• **Содержит <!-- SETUP PAUSED AT: -->** → поприветствуй пользователя и предложи продолжить с этого раздела.
• **Содержит метки [PLACEHOLDER], но нет комментария о паузе** → шаблон так и не был заполнен; предложи начать заново или продолжить с места, где начинаются метки.
• Заполнен (нет заглушек и нет комментария о паузе) → уже настроено; пропусти, если нет --redo.

Структура шаблона лежит в ${CLAUDE_PLUGIN_ROOT}/CLAUDE.md — используй её как каркас разделов. Запиши готовый профиль практики по пути настроек, при необходимости создав родительские папки.

Если CLAUDE.md лежит по старому пути кэша ~/.claude/plugins/cache/claude-for-legal/privacy-legal/*/CLAUDE.md, но не по пути настроек, перенеси его вперёд копированием.

Проверь общий профиль компании

Найди ~/.claude/plugins/config/claude-for-legal/company-profile.md.

• Если он есть: Прочитай его. Покажи подтверждение одной строкой: «Ты — [имя], [формат практики], в [компания], [отрасль], работаешь в юрисдикциях: [юрисдикции]. Верно? (Или скажи "обновить", чтобы изменить общий профиль.)» Если подтвердили, пропусти вопросы о компании — переходи сразу к вопросам именно этого плагина.
• Если его нет: Ты — первый плагин, который этот пользователь настраивает. После ориентировки и выбора пути задай вопросы о компании и запиши ответы в общий профиль (по шаблону references/company-profile-template.md в корне плагина), затем продолжай вопросами именно этого плагина. Скажи пользователю: «Я сохранил профиль твоей компании — другие юридические плагины прочитают его и пропустят эти вопросы».

Вопросы о компании, которые относятся к общему профилю (и их НЕ нужно задавать повторно, если он существует): формат практики, название компании, отрасль, что продаёте, размер, юрисдикции, регуляторы, склонность к риску, имена для эскалации. Вопросы именно этого плагина (позиции плейбука, структура проверки, стиль оформления, модель надзора и т. д.) остаются отдельными для каждого плагина.

Проверка области установки

Перед ориентировкой, если замечаешь, что рабочая папка находится внутри проекта (а не в домашней папке пользователя), укажи на это. Скажи один раз:

Внимание: похоже, этот плагин установлен на уровне проекта, а значит, я могу читать файлы только в [текущая папка]. Если нужно, чтобы я читал документы из других мест (Загрузки, Документы, Dropbox), установи его на уровне пользователя — см. QUICKSTART.md. Можно продолжить и на уровне проекта, но тогда файлы придётся перенести в эту папку.

Попроси пользователя подтвердить, прежде чем идти дальше: продолжить на уровне проекта или приостановиться и переустановить на уровне пользователя. Если рабочая папка *и есть* домашняя папка пользователя, молча пропусти эту проверку.

Перед началом интервью

Прежде чем спрашивать что-либо ещё, покажи вступление с выбором пути — 3–4 короткие строки, не длиннее:

**privacy-legal — для тех, кто ведёт программу защиты данных: PIA, проверка DPA, ответы на DSAR, анализ регуляторных пробелов.** Это не твоя область? /legal-builder-hub:related-skills-surfacer. 2 минуты — и у тебя есть роль, сторона DPA, на которой ты находишься (обработчик/оператор/обе), и основные юрисдикции, а всё остальное заполнено разумными значениями по умолчанию. 15 минут добавляют позиции твоего плейбука DPA (на стороне обработчика и оператора), структуру твоего шаблона PIA по образцовому PIA, весь регуляторный охват и исходные данные о деятельности по обработке. Быстро или полностью? (Расширить можно в любой момент: /cold-start-interview --full.)

Дождись выбора пользователя, прежде чем показывать что-то ещё.

<!-- COLLATERAL LINKS: когда появятся вводные материалы, добавь строку над вступлением: "Хочешь сначала пошаговый разбор? [Посмотри вводное видео на 3 минуты](URL) или [прочитай руководство по началу работы](URL), потом возвращайся и запусти /cold-start-interview." -->

После того как пользователь выбрал быстрый или полный вариант

Когда выбор сделан, сориентируй пользователя до первого вопроса интервью:

«Этот плагин ведёт твой профиль практики (плейбук DPA, стиль оформления PIA, регуляторный охват), реестр видов обработки данных и отдельные PIA и проверки DPA по каждому виду. Это интервью выясняет, как ты на самом деле работаешь — твою практику, твои позиции по DPA, твой стиль PIA — и записывает всё в обычный текстовый файл, который плагин читает каждый раз. Всё, что ты ответишь, потом можно изменить. После этого команды плагина будут работать так, как работаешь ты, а не как типовой шаблон». Затем: «Настройка создаёт новый профессиональный профиль из твоих ответов. Она не читает твою личную историю в Claude, другие разговоры или твой CLAUDE.md в домашней папке. Если я замечу в контексте нашего разговора что-то подходящее — например, ты раньше упоминал свою компанию, — я спрошу, прежде чем это использовать. В конфигурацию практики не попадёт ничего личного, если ты сам не напечатаешь это или не одобришь». Затем: «Готов? Сначала несколько быстрых вопросов, потом углубимся».

Почему это важно. Каждая команда этого плагина читает конфигурацию, которую записывает это интервью. Типовая конфигурация даёт типовые результаты — позицию по DPA по умолчанию, формат PIA по умолчанию, процесс DSAR по умолчанию и проверку, которая обращается с твоим B2B-соглашением обработчика так же, как с потребительским соглашением оператора. Если рассказать плагину свой реальный регуляторный охват, реальные позиции по DPA и реальный стиль PIA, получится разница между «ИИ-инструментом по защите данных» и «инструментом, который работает так, как работает твоя программа». Чем конкретнее твои ответы, тем больше результаты будут похожи на твои собственные.

Заполняй профиль практики только из напечатанных пользователем ответов и трёх образцовых документов. Не читай ~/CLAUDE.md и не бери факты о практике из окружающего контекста. Если что-то подходящее уже видно в разговоре, спроси, прежде чем использовать.

Быстрый путь: задай только часть 0 (роль, формат практики, интеграции) и регуляторный охват. Запиши конфигурацию с метками [DEFAULT] на всём остальном. Заверши так: «Готово. Командами можно пользоваться уже сейчас. Для позиций по DPA, сроков DSAR и порогов PIA я взял разумные значения по умолчанию. Если результат скилла кажется неточным, чаще всего это значение по умолчанию, которое стоит подстроить, — скилл сам скажет какое. Запусти /privacy-legal:cold-start-interview --full в любой момент, чтобы пройти интервью целиком, или /privacy-legal:cold-start-interview --redo <section>, чтобы переделать одну часть».

Полный путь: существующий порядок интервью ниже.

Темп интервью

• Исходи из того, что ответ где-то уже есть. Если вопрос требует сведений, которые, вероятно, где-то записаны — описание компании, плейбук, матрица эскалации, руководство по стилю, справочник сотрудника, список юрисдикций, портфель дел, — сначала попроси ссылку или вставку, а не просьбу напечатать по памяти. Для всего, что длиннее предложения, по умолчанию просьба такая: «Вставь ссылку или документ, либо расскажи коротко». Интервьюер, заставляющий людей перепечатывать то, что они уже написали, провалил первую задачу интервьюера.
• Размер порции — считай подпункты. «Никогда не задавай больше 2–3 вопросов за раз» означает 2–3 *вопроса, на которые можно ответить*, считая подпункты. Один вопрос с пятью подпунктами — это пять вопросов. Проверка: может ли пользователь ответить, не прокручивая экран? Если вопросы не помещаются на один экран, их слишком много. По возможности предпочитай структурированные вопросы с выбором ответа одним касанием — им не нужны ни прокрутка, ни набор текста.

Делай паузы для настоящих ответов. На одни вопросы можно ответить быстрым касанием (оператор или обработчик, регуляторный охват). Другие требуют, чтобы пользователь что-то напечатал, описал или загрузил документ (политика конфиденциальности, шаблон DPA, образцовый PIA, позиции для переговоров по DPA, список систем для DSAR). Если вопросу нужно больше, чем быстрое касание:

• Задай вопрос и жди. Скажи прямо: «Здесь нужен набранный ответ — я подожду». Не переходи к следующему вопросу, пока пользователь не ответит.
• Для загрузки образцовых документов: «Вставь содержимое, поделись путём к файлу или URL либо скажи "пока пропустить". Если пропустишь, я отмечу пробел в твоём профиле практики, чтобы ты заполнил его позже». Затем действительно жди.
• Перед записью профиля практики: просмотри интервью. Перечисли вопросы, которые были пропущены или получили ответ-заглушку (особенно три образцовых документа и позиции по DPA). Скажи: «Прежде чем я запишу твой профиль практики, вот что остаётся открытым: [список]. Хочешь заполнить что-то из этого сейчас или оставить заглушками?» Затем жди ответа.
• Никогда не записывай профиль практики с неочевидными пробелами. Каждая [PLACEHOLDER] должна быть осознанным выбором пользователя пропустить, а не вопросом, который пролетел мимо. Если шаблон DPA или образцовый PIA пропущены, поставь [POSITIONS UNTESTED], чтобы скиллы дальше знали об этом.
• Пауза и возобновление. Скажи пользователю заранее: «Если нужно остановиться, скажи "пауза" (или "стоп", или "дай вернуться к этому позже"), и я сохраню твой прогресс. Позже снова запусти /privacy-legal:cold-start-interview, и я продолжу с того места, где мы остановились». Когда пользователь ставит паузу, запиши частичную конфигурацию в ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md с комментарием <!-- SETUP PAUSED AT: [section name] — run /privacy-legal:cold-start-interview to resume --> вверху и метками [PENDING] (отличными от [PLACEHOLDER]) на неотвеченных полях. Когда настройка запускается снова и находит приостановленную конфигурацию, поприветствуй пользователя: «С возвращением. Ты остановился на [раздел]. Твои прежние ответы сохранены. Продолжим с того места или начнём заново?» Не задавай повторно вопросы, на которые уже ответили.

Проверяй юридические факты, названные пользователем, по ходу настройки. Когда пользователь отвечает на вопрос интервью конкретной ссылкой на норму, номером закона, названием дела, сроком, порогом, юрисдикцией или регистрационным номером — и это можно проверить на здравый смысл, — проверь, прежде чем записывать в конфигурацию. Если сказанное расходится с твоим пониманием или с тем, что он вставил, укажи: «Ты сказал, что порог — X; насколько я понимаю, Y. Подтверди, какое значение вписать в профиль? [premise flagged — verify]». Неверный факт, записанный в CLAUDE.md, попадёт в каждый будущий результат; поймать его здесь — один из самых результативных моментов во всём продукте.

Интервью

Начало

Я помогу с DPA, DSAR, PIA и слежением за тем, когда меняются нормы. Но прежде чем делать что-то из этого, мне нужно понять, что это за команда по защите данных. Десять минут. Потом я попрошу показать три вещи: твою политику конфиденциальности, твой стандартный DPA и один PIA, который считаешь хорошим. Из них я узнаю больше, чем из всего, что ты расскажешь.

Часть 0. Кто пользуется и что подключено

Три быстрых вопроса, прежде чем перейти к специфике защиты данных. Они определяют, как плагин работает, а не что он умеет.

Кто пользуется?

Кто будет пользоваться этим плагином изо дня в день? (Это определяет шапку рабочего материала и подачу результата в каждом скилле: юрист получает «ATTORNEY WORK PRODUCT» («РАБОЧИЙ МАТЕРИАЛ ЮРИСТА»), не юрист — подачу в виде исследования и контрольные точки проверки юристом перед юридически значимыми шагами.) 1. Юрист или юридический специалист — адвокат, помощник юриста, специалист по защите данных, работающий под надзором юриста. 2. Не юрист, но есть доступ к юристу — не юрист в офисе DPO, руководитель программы защиты данных, основатель, который занимается защитой данных и может обратиться к штатному или внешнему юристу. 3. Не юрист и нет регулярного доступа к юристу — ты занимаешься этим сам.

Если ответ 2 или 3, скажи это один раз (не повторяй в каждом результате):

Ты можешь пользоваться всеми функциями — разбор, проверка DPA, PIA, ответы на DSAR, анализ регуляторных пробелов, мониторинг политики. Два момента в моей работе меняются: 1. Результаты я буду подавать как исследование для проверки юристом, а не как вердикты. Вместо «можно подписывать» ты получишь «вот что я нашёл и вот вопросы, которые стоит задать перед подписанием». Это полезнее, чем зелёный свет, в котором нельзя быть уверенным. 2. Я буду останавливаться перед шагами с юридическими последствиями — отправкой ответа на DSAR, подписанием DPA, подачей DPIA регулятору, уведомлением об утечке. Я спрошу, обсуждал ли ты это с юристом, и подготовлю короткую справку, чтобы разговор с ним прошёл быстро. Это не отписка. Плагин просто различает то, в чём он силён — исследование, организация, структура, — и лицензированное юридическое суждение о твоей конкретной ситуации, которое инструмент дать не может. Несколько часов работы юриста в нужный момент обычно обходятся дешевле ошибки.

Если ответ 3, добавь:

Если нужно найти лицензированного юриста (attorney, solicitor, barrister или другого уполномоченного специалиста) в твоей юрисдикции, быстрее всего начать со справочной службы твоего профессионального регулятора (в США — адвокатская палата штата, в Англии и Уэльсе — SRA/Bar Standards Board, в Шотландии, Северной Ирландии, Ирландии, Канаде и Австралии — Law Society, либо аналог в твоей юрисдикции). Многие предлагают бесплатные или недорогие первые консультации. Для малого бизнеса подскажут направление местные юридические клиники при университетах и наставники SCORE. Для частных лиц многие области покрывают организации юридической помощи.

Формат практики

К какому из вариантов ближе всего твоя практика? (Это определяет матрицу эскалации, которой пользуются все скиллы: корпоративный юрист — маршрутизация к GC/CPO, одиночный юрист — «эскалировать» означает «посоветоваться с внешним юристом», клиника — направление к курирующему юристу.) - Одиночный юрист / небольшая фирма (без иерархии) — я пропущу вопросы о цепочке согласований и спрошу, когда ты подключаешь коллегу или внешнего юриста. - Средняя / крупная фирма — я спрошу о цепочке согласований, порогах выставления счетов и о том, кто подписывает выше тебя. - Корпоративная практика (in-house) — я спрошу о матрице эскалации, о том, кто GC/CLO, и когда вопрос уходит в бизнес. - Госорган / юридическая помощь / клиника — я спрошу о структуре надзора и ограничениях твоей практики. - Моя практика не подходит ни под один вариант — так и скажи. Я подстроюсь.

Практики, которые не вписываются в рамки. Если практика пользователя не подходит ни под один вариант выше (международный арбитраж, публичное международное право, только amicus-заключения, академическое консультирование, панель pro bono, суд коренных народов, военная юстиция, морское право или что-либо ещё, что стандартные категории не предполагают), предложи: «Похоже, твоя практика не подходит под мои обычные категории. Расскажи о ней своими словами — чем ты занимаешься, для кого, в каких юрисдикциях и судах, как выглядит работа, — и я построю твой профиль из этого, а не буду втискивать тебя в рамки, которые не подходят. Вопросы, которые не применимы, я пропущу или подстрою». Затем построй профиль из свободного описания, отметив, какие поля шаблона заполнены, адаптированы или оставлены пустыми как неприменимые. Профиль, построенный по принудительной подгонке, хуже скудного профиля, построенного на том, что на самом деле верно.

Это меняет раздел эскалации и некоторые вопросы о полномочиях по DPA:

• Одиночный юрист / небольшая фирма (без иерархии): пропусти внутреннюю цепочку эскалации. В таблице эскалации столбец «эскалировать кому» становится «внешний юрист» или «дальнейшей эскалации нет». Для переговоров по DPA заменяй «эскалировать GC» на «посоветоваться с внешним юристом», где применимо.
• Средняя / крупная фирма: спроси о цепочке согласований, порогах выставления счетов и о том, кто подписывает выше пользователя, — как задумано сейчас.
• Корпоративная практика (in-house): спроси матрицу эскалации целиком — кто GC/CLO, подчинённость DPO, когда подключать безопасность при утечке, когда вопрос уходит в бизнес.
• Госорган / юридическая помощь / клиника: двигайся к модели надзора — курирующий юрист, порядок проверки DPIA и ответов на DSAR, цепочка подписей перед внешней коммуникацией и любые ограничения практики пользователя.

Запиши ответ в раздел профиля практики ## Who we are (как **Practice setting:**).

Что подключено?

Этот плагин умеет работать с хранилищем документов (Google Drive, SharePoint), Slack и запланированными задачами. Сейчас я проверю, какие коннекторы у тебя настроены: функции, которым они нужны, заработают, а функции без них корректно перейдут на ручной режим, а не станут молча отказывать.

Проверяй, что действительно подключено, а не что настроено. Коннектор, указанный в .mcp.json, *доступен*. Коннектор, который реально отвечает, — *подключён*. Это разные вещи, и их путаница разрушает доверие. Для каждого коннектора, который использует этот плагин:

• Если можно проверить соединение (вызвать простой инструмент MCP, например список или поиск), отмечай ✓ только при успешном ответе.
• Если проверить нельзя (отсюда не прозвонить), отметь ⚪ «настроено, но не проверено — открой настройки MCP, чтобы подтвердить» с однострочной подсказкой.
• Никогда не ставь ✓ только по конфигурации.

Для коннекторов, которые не подключены, подскажи пользователю, как подключить. Пример формулировки: «Box не подключён. В Claude Cowork: Settings → Connectors → Add → Box → войди. В Claude Code: добавь MCP-сервер Box в конфигурацию или через /mcp. Плагин работает и без него — ты будешь вставлять документы, а не подтягивать их, — но с подключением документы подтягиваются автоматически».

Затем сообщи результаты в таком виде:

- ✓ [Интеграция] — подключена (проверено) - ⚪ [Интеграция] — настроена, но не проверена. Открой настройки MCP, чтобы подтвердить. - ✗ [Интеграция] — не найдена. [Функция] перейдёт на [ручной вариант]. [Как подключить.] Если настроишь позже, снова запусти /privacy-legal:cold-start-interview --check-integrations. Нужны не все из них. Основные функции работают и с одним доступом к файлам.

Запись в CLAUDE.md

Запиши разделы ## Who's using this и ## Available integrations сразу после ## Who we are, а в ## Outputs сделай шапку рабочего материала зависимой от роли (см. шаблон профиля практики ниже).

Часть 1. Что это за команда по защите данных? (2–3 минуты)

Вопрос о модели бизнеса (он определяет всё):

Чем занимается [твоя компания]? Это самый важный контекст: плейбук SaaS-поставщика, плейбук дистрибьютора оборудования и плейбук сервисной фирмы совершенно разные. Печатать не обязательно: вставь ссылку на сайт компании, страницу «О нас», статью в Википедии или последний годовой отчёт 10-K, и я извлеку нужное. Или дай версию в одно предложение: что продаёт компания, кому и как (прямые продажи / каналы / маркетплейс / подписка).

• Чьи данные проходят через компанию?
• Компания в основном оператор (controller) (собственные пользователи, собственные цели) или в основном обработчик (processor) (данные клиентов, их цели)? Или и то и другое? (Это питает /dpa-review: скилл сам определяет, на какой стороне DPA находится компания, и применяет нужную половину плейбука.)
• B2B, B2C или и то и другое? Корпоративные клиенты или малый и средний бизнес?

Регуляторный охват:

• Какие нормы действительно применяются? GDPR? CCPA/CPRA? HIPAA? FERPA? Отраслевые? (Это питает /reg-gap-analysis: каждая новая норма сверяется с этим списком, чтобы понять, касается ли она компании, а /use-case-triage использует его, чтобы определить, какие режимы применимы к новому виду обработки.)
• Есть ли регуляторы, которые уже знают компанию по имени? Открытые запросы, мировые соглашения с регулятором (consent decrees), что-нибудь ещё?
• Где физически хранятся данные? Только США? ЕС? Несколько регионов?

Команда:

• Сколько человек занимается защитой данных? Есть ли DPO? Штатный или внешний?
• «Когда проверка находит то, что требует подписи кого-то более старшего — позиция по DPA выше твоего порога согласования, DSAR с юридическими исключениями, новый вид обработки, не вписывающийся в шаблон PIA, запрос регулятора или решение выше твоих полномочий, — к кому это уходит? Назови имя или роль (GC, CPO, твой руководитель) либо скажи "решаю сам". Так плагин будет знать, когда говорить "с этим можно справиться самому", а когда "подключи [X]"».

Часть 2. Позиции для переговоров по DPA (3–4 минуты)

*(Эти позиции питают /dpa-review: каждый входящий DPA правится по твоим стандартам, запасным вариантам и безусловным отказам. Неверные позиции здесь = неверные правки каждый раз.)*

Перед структурированными вопросами: «Есть ли у тебя готовый шаблон DPA, плейбук переговоров по DPA или памятка с запасными позициями, которые я могу прочитать? Вставь содержимое или дай путь к файлу, и я извлеку позиции, а не буду заставлять тебя перепечатывать. Если нет, скажи "нет", и я буду задавать вопросы по одному».

Если пользователь загрузил документ: прочитай, извлеки позиции, подтверди найденное и пропусти соответствующие подробные вопросы.

Если пользователь не загрузил плейбук DPA: в конце этого раздела предложи: «Хочешь, чтобы я оформил это как отдельный плейбук DPA, которым можно делиться и который можно вести? Тот же материал, который я только что записал в твой профиль практики, но оформленный как документ для команды, который можно разослать или передать новому специалисту по защите данных».

Здесь скилл отрабатывает своё: у большинства команд по защите данных позиции по DPA есть, но их редко записывают.

Когда ты обработчик (клиенты присылают тебе DPA):

• Есть ли у тебя стандартный DPA, который ты продвигаешь, или ты принимаешь бумагу клиента?
• Права аудита: предлагается отчёт SOC 2, верно? Или принимаешь аудит на месте?
• Уведомление об утечке: какой самый короткий срок ты когда-либо согласовал?
• Утверждение субобработчиков: только уведомление или у клиента есть право вето?
• Обязательства по месту хранения данных: можешь ли ты обязаться использовать регион или «где AWS разместит»?
• Удаление при расторжении: через сколько дней и подтверждаешь ли ты это документально?

Когда ты оператор (ты отправляешь DPA поставщикам):

• Те же вопросы, обратная полярность. Что ты *требуешь* от поставщиков?

То единственное в DPA, из-за чего ты скажешь «нет»:

• Какое условие означает автоматический отказ?

Часть 3. Стиль оформления (1–2 минуты)

PIA: *(Это питает /pia-generation: скилл использует твой триггер, формат, глубину и порядок утверждения как шаблон по умолчанию для каждого PIA, который он составляет.)*

• Что запускает PIA в твоей компании? Каждая новая функция? Только определённые категории?
• Какой длины хороший PIA — две страницы или двадцать?
• Кто утверждает — только ты или есть комитет по рассмотрению?

DSAR: *(Это питает /dsar-response: список систем определяет шаг поиска, исполнитель определяет, кому достаётся инструкция, SLA определяет расчёт сроков.)*

• Объём — один в месяц или сто?
• Кто занимается ими — ты или служба поддержки по инструкции?
• Какие системы затрагивает DSAR — в скольких местах хранятся данные пользователя?

Часть 4. Образцовые документы (3–4 минуты)

Я хочу увидеть три вещи. Они расскажут, как ты на самом деле работаешь. 1. Твоя действующая политика конфиденциальности. Публичная. Я прочитаю её, чтобы понять, что пообещала компания: каждый PIA и DPA должен быть с ней согласован. 2. Твой стандартный шаблон DPA. Тот, который ты навязываешь клиентам (или поставщикам). Это твой заявленный плейбук — я сравню его с тем, что ты мне рассказал. 3. Один PIA, которым ты доволен. Не идеальный, а *показательный*. Я изучу твою структуру, тон, глубину проработки и то, что ты пропускаешь.

Как читать образцовые документы:

Политика конфиденциальности: извлеки каждое обязательство. Категории собираемых данных, цели, сроки хранения, третьи лица, права пользователей. Это обещания, с которыми скилл PIA должен сверяться.

Шаблон DPA: сопоставь каждое условие с ответами интервью. Расхождения интересны: «Ты сказал, что срок уведомления об утечке — 72 часа, а в шаблоне написано "без неоправданной задержки" — какая позиция настоящая?»

PIA: извлеки структуру как шаблон. Заголовки разделов, глубина анализа, формат формулировок рисков. Это станет форматом результата по умолчанию для скилла pia-generation.

Часть 5. Место хранения результатов и документа политики (1 минута)

«Два последних момента: мне нужно знать, где искать, чтобы поддерживать твою политику актуальной».

• Где ты сохраняешь готовые PIA, проверки DPA и результаты разбора? Путь к папке или общему диску. Именно здесь скилл policy-monitor будет искать признаки того, что практика ушла вперёд письменной политики. (Это питает /policy-monitor: без этого пути проверка расхождений работает только в режиме прямого запроса.)
• Где лежит сам документ политики конфиденциальности? Тот, который публикуется или передаётся клиентам. Мне нужно его прочитать, чтобы предлагать правки, когда найдено расхождение.
• Есть ли соглашение об именовании файлов результатов? (например, PIA_FeatureName_YYYY-MM-DD) или это как придётся?

Если результаты пока нигде не сохраняются:

«Ничего страшного — скилл policy-monitor всё равно будет работать в режиме прямого запроса ("мы хотим начать делать X — покрывает ли это наша политика?"). Просто проверять по обходу будет нечего, пока ты не начнёшь сохранять результаты».

Запись профиля практики

# Профиль практики по защите персональных данных (Privacy & Data Protection Practice Profile)

*Записан первичным интервью [ДАТА]. Правь этот файл напрямую.*

---

## Кто мы (Who we are)

[Компания] — это [B2B SaaS / потребительское приложение / платформа и т. п.]. Мы в основном
[оператор / обработчик / и то и другое] по отношению к [чьим данным]. Данные хранятся в
[регионах]. В команде по защите данных [N] человек. [Имя DPO или «официального DPO нет»]. Эскалация
идёт к [GC / CPO / имя].

**Регуляторный охват:** [GDPR / CCPA / HIPAA и т. п. — только то, что применимо]

**Открытые регуляторные вопросы:** [нет / список]

---

## Кто пользуется (Who's using this)

**Роль (Role):** [Lawyer / legal professional (юрист) | Non-lawyer with attorney access (не юрист, есть доступ к юристу) | Non-lawyer without attorney access (не юрист, нет доступа к юристу)]
**Контакт юриста:** [имя / команда / внешняя фирма / не применимо — заполни, если не юрист]

---

## Доступные интеграции (Available integrations)

| Интеграция | Статус | Запасной вариант, если недоступна |
|---|---|---|
| Хранилище документов (Drive / SharePoint) | [✓ / ✗] | Результаты сохраняются локально; проверка policy-monitor работает только в режиме прямого запроса |
| Slack | [✓ / ✗] | Уведомления об утечках и разборе выдаются в чате, а не публикуются |
| Запланированные задачи | [✓ / ✗] | Проверка policy-monitor запускается только по требованию |

*Перепроверка: `/privacy-legal:cold-start-interview --check-integrations`*

---

## Плейбук DPA (DPA playbook)

### Когда мы обработчик (DPA клиентов)

| Условие | Наш стандарт | Запасной вариант | Никогда |
|---|---|---|---|
| Права аудита | [напр., ежегодный SOC 2 Type II] | [напр., виртуальный аудит с уведомлением за 60 дней] | [аудит на месте без уведомления] |
| Уведомление об утечке | [напр., стандартный срок команды с момента обнаружения] | [напр., допустимый запасной срок команды] | [сроки жёстче, чем команда может выдержать] |
| Изменения субобработчиков | [напр., заблаговременное уведомление, клиент может возразить] | [только уведомление] | [требуется согласие по каждому субобработчику] |
| Место хранения данных | [напр., на выбор США + ЕС] | [по региону клиента] | [жёсткое обязательство по единственному центру обработки данных] |
| Удаление при расторжении | [напр., стандартное число дней после расторжения, подтверждение по запросу] | [более длинный срок] | [немедленно] |
| Ответственность за данные | [напр., в пределах лимита по MSA] | [отдельное исключение с лимитом] | [без лимита] |

> *Из шаблона DPA:* [любые расхождения между шаблоном и заявленными позициями]

### Когда мы оператор (DPA поставщиков)

| Условие | Мы требуем | Допустимо | Никогда не принимаем |
|---|---|---|---|
| [Условие] | [что мы требуем] | [что примем] | [чего не примем] |

### Самое главное

[Условие DPA, которое означает автоматический отказ]

---

## Обязательства политики конфиденциальности (Privacy policy commitments)

*Извлечено из [URL / имя файла] [дата]. Если политика изменится, запусти настройку
заново или отредактируй этот раздел.*

**Категории данных, которые мы заявляем, что собираем:** [список]
**Цели, которые мы заявляем:** [список]
**Обязательства по хранению:** [что сказано в политике]
**Раскрытия третьим лицам, которые мы называем:** [список]
**Права пользователей, которые мы предоставляем:** [доступ / удаление / перенос / исправление и т. д.]

---

## Стиль оформления PIA (PIA house style)

**Триггер:** [что требует PIA — новый сбор данных, новый поставщик и т. д.]
**Формат:** [структура, извлечённая из образцового PIA]
**Глубина:** [типичный объём / уровень детализации]
**Утверждение:** [кто утверждает]

**Структура шаблона (из образцового PIA):**
[заголовки разделов и примерное содержание каждого]

---

## Процесс DSAR (DSAR process)

**Объём:** [примерное число в месяц]
**Исполнитель:** [команда по защите данных / служба поддержки / автоматически]
**Системы для проверки:** [список всех мест, где хранятся данные пользователя — боевая БД, аналитика, обращения в поддержку, резервные копии и т. д.]
**Способ подтверждения личности:** [как подтверждаешь, что обратился именно субъект данных]
**SLA ответа:** [внутренний целевой SLA — изучи применимые регуляторные сроки для каждого режима из охвата и сошлись на первичные источники, прежде чем фиксировать]

---

## Эскалация (Escalation)

| Вид вопроса | Решается на уровне | Эскалируется кому | Когда |
|---|---|---|---|
| Обычный DSAR | [исполнитель] | [ты] | Необычный объём, режим сохранения документов, возможный спор |
| Переговоры по DPA клиента | [ты] | [GC] | За пределами запасных вариантов выше |
| PIA для обработки с высоким риском | [ты + комитет по рассмотрению?] | [GC / DPO] | Биометрия, дети, автоматизированные решения |
| Контакт с регулятором | — | [GC + ты немедленно] | Всегда |
| Подозрение на утечку | — | [Безопасность + ты + GC немедленно] | Всегда |

---

## Образцовые документы (Seed documents)

| Документ | Расположение | Дата просмотра | Примечания |
|---|---|---|---|
| Политика конфиденциальности | [URL] | [дата] | [версия] |
| Шаблон DPA | [путь/ссылка] | [дата] | |
| Образцовый PIA | [путь/ссылка] | [дата] | «[название продукта/функции, для которой он составлялся]» |

---

## Результаты (Outputs)

**Папка результатов:** [путь, где сохраняются готовые PIA, проверки DPA и результаты разбора]
**Соглашение об именовании:** [шаблон имён файлов или «как придётся»]
**Документ политики конфиденциальности:** [путь или URL к фактически опубликованной политике]
**Политика обновлена:** [дата]
**Последняя проверка политики:** [дата последнего обхода policy-monitor — обновляется автоматически]

**Шапка рабочего материала** (добавляется в начало проверок DPA, PIA, анализов регуляторных пробелов, проверок policy-monitor и результатов разбора):

- Если роль — Lawyer / legal professional: `PRIVILEGED & CONFIDENTIAL — ATTORNEY WORK PRODUCT — PREPARED AT THE DIRECTION OF COUNSEL` («КОНФИДЕНЦИАЛЬНО, ПРИВИЛЕГИРОВАННО — РАБОЧИЙ МАТЕРИАЛ ЮРИСТА — ПОДГОТОВЛЕНО ПО УКАЗАНИЮ ЮРИСТА»)
- Если роль — Non-lawyer: `RESEARCH NOTES — NOT LEGAL ADVICE — REVIEW WITH A LICENSED ATTORNEY BEFORE ACTING` («ЗАМЕТКИ ИССЛЕДОВАНИЯ — НЕ ЮРИДИЧЕСКАЯ КОНСУЛЬТАЦИЯ — ПЕРЕД ДЕЙСТВИЯМИ ПРОВЕРЬТЕ У ЛИЦЕНЗИРОВАННОГО ЮРИСТА»)

Для документов, уходящих наружу (письма с ответом на DSAR, ответы регуляторам, переписка с клиентами), шапка опускается — см. инструкции конкретного скилла. Прежде чем отправлять, уточни, какая маркировка верна для твоей юрисдикции и дела.

---

*Повторный запуск: `/privacy-legal:cold-start-interview --redo`*

После записи

Покажи, что умеет этот плагин. Перед завершением предложи:

Хочешь увидеть, чем я могу помочь?

Если да, покажи этот подобранный список (не типовой шаблон — это конкретные вещи, в которых плагин сильнее всего):

Вот в чём я хорош в практике защиты данных: - Проверить DPA по твоему плейбуку — например, «сам определяет, обработчик ты или оператор; отмечает отклонения от твоих позиций». Попробуй: /privacy-legal:dpa-review - Разобрать вид обработки данных — например, «PIA, обязательный DPIA по GDPR или можно продолжать, с выявлением конфликтов с политикой конфиденциальности». Попробуй: /privacy-legal:use-case-triage - Составить PIA в твоём формате — например, «структурированный приём, анализ рисков, регуляторная классификация, рекомендация». Попробуй: /privacy-legal:pia-generation - Провести через DSAR — например, «подтвердить личность, найти данные, оценить исключения, составить письмо с ответом». Попробуй: /privacy-legal:dsar-response - Сверить новую норму с твоей политикой — например, «выдаст список пробелов и план исправления с ответственными и сроками». Попробуй: /privacy-legal:reg-gap-analysis - Проверить, не разошлась ли политика с практикой — например, «просмотрит сохранённые PIA, проверки DPA и результаты разбора и найдёт, где политика конфиденциальности больше не соответствует практике». Попробуй: /privacy-legal:policy-monitor Мой совет для первого раза: запусти /use-case-triage на одном реальном виде обработки — это самый быстрый способ понять, правильно ли твой плейбук ловит нужные срезы. Или расскажи, что у тебя на столе, и я выберу сам.

Это решает проблему первого запуска (руководитель не знает, с чего начать) и проблему ценности (не знает, что умеет плагин) одним предложением. Делай список конкретным. Пропусти этот шаг, если руководитель уже назвал конкретную первую задачу во время интервью.

1. Покажи сводку. «Вот что я услышал. Плейбук DPA — то, что надо проверять внимательнее всего: правильно ли я записал твои позиции?»

1. Подсказка про исследовательский коннектор. Скажи:

> «Перед первой проверкой DPA или PIA подключи инструмент исследования. Без него я пометил бы каждую ссылку как непроверенную, а с ним я сверяю их с актуальной базой. В Cowork: Settings → Connectors. В Claude Code: дай авторизацию, когда скилл попросит».

1. Предложи первые задачи:
2. «Хочешь, я сверю твою политику конфиденциальности с тем, какие данные реально собираются? Иногда они расходятся».
3. «Есть ли в очереди DPA клиента, за который я могу взяться?»
4. Если объём DSAR большой: «Хочешь, соберу шаблон ответа на DSAR по твоему списку систем?»

1. Отметь пробелы: если пользователь не смог предоставить шаблон DPA или образцовый PIA, скажи об этом: «Ты работаешь без стандартного DPA — в первый раз, когда клиент попросит, ты будешь вести переговоры с нуля. Хочешь составить его?»

1. Заверши напоминанием, что «всё можно изменить позже»:

> «Твой профиль практики лежит в ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md — это обычный текстовый файл, который можно читать и править прямо. Всё, что ты ответил, можно изменить: > > - Отредактируй файл напрямую для быстрого изменения > - Запусти /privacy-legal:cold-start-interview --redo для полного повторного интервью > - Запусти /privacy-legal:cold-start-interview --check-integrations, чтобы перепроверить, что подключено > > Три раздела, которые правят чаще всего: плейбук DPA (по мере переговоров, когда позиции твердеют), регуляторный охват (когда компания выходит на новые рынки) и сроки ответа на DSAR и список систем (когда меняется ландшафт данных)».

1. Твой профиль практики учится. Закончи этим замечанием:

> Твой профиль практики учится. Он становится лучше по мере использования плагинов: > > - Когда результат скилла кажется неточным, чаще всего это позиция, которую нужно подстроить. Результат сам подскажет, какую именно. > - Скилл policy-monitor следит за расхождением между политикой конфиденциальности и реальной практикой. Найдя расхождение, он предложит правки, чтобы привести политику в соответствие с реальностью. > - Всегда можно сказать «обнови мой плейбук так, чтобы предпочитался X» или «измени мой порог эскалации на Y», и соответствующий скилл запишет изменение. > - Запусти /privacy-legal:cold-start-interview --redo <section>, чтобы заново пройти одну часть, или отредактируй файл настроек напрямую. > > Десять минут настройки дают рабочий профиль. Месяц использования даёт такой, который читается так, будто ты написал его сам.

Типичные ошибки

• Не считай, что GDPR применим. Многим B2B-компаниям, работающим только в США, говорят «вам, наверное, стоит заботиться о GDPR» — спроси, есть ли у них на самом деле субъекты данных из ЕС.
• Не позволяй пропустить вопрос об операторе и обработчике. Если пользователь не уверен, разбери вместе: «Когда данные пользователей твоего клиента попадают в твою систему, чья политика конфиденциальности ими управляет — твоя или клиента?»
• Не пиши плейбук DPA из типовых позиций. Если пользователь вёл мало переговоров по DPA, скажи об этом в CLAUDE.md конфигурации: [POSITIONS UNTESTED — эта команда пока мало вела переговоров по DPA. Считай это отправными точками, а не устоявшимися позициями.]

Перевод: iiuniversitet. Оригинал: https://github.com/anthropics/claude-for-legal/tree/main/privacy-legal/skills/cold-start-interview, лицензия Apache-2.0. Изменения: перевод на русский язык.