dextsamu/gdpr-sentinel

Questa skill parte dal codice, dalla configurazione e dai documenti, e porta a titolare, DPO e legale fatti e domande già scritte, non verdetti. Nata per Claude, provata anche su Codex e Antigravity: vedi docs/ALTRI-AGENTI.md.
> 🌍 English: short guide in README.en.md and command card. I comandi funzionano anche in inglese (quick, refute, close…).
> 🗒️ Subito operativo: la scheda comandi in una pagina.
> 🤝 Skill gemella: per la parte di sicurezza (codice, API, infrastruttura, dipendenze) usa appsec-sentinel. Insieme producono un unico report PDF: vedi Con appsec-sentinel.
Perché · Come funziona · Controlli A–N · Esempio · Installazione · Limiti · FAQ
## Perché esiste
La conformità non coincide con il banner dei cookie, con la cifratura o con una pagina privacy ben scritta: dipende da cosa il sistema fa realmente con i dati e da decisioni che spettano al titolare.
gdpr-sentinel confronta ciò che l'organizzazione dichiara con ciò che il sistema fa. Il risultato non è un parere, ma una base di fatti solida su cui un DPO o un legale possono decidere.
| | Principio | Cosa cambia per te |
| 🔍 | Trattamento reale, non dichiarato | Funzionalità, SDK e integrazioni assenti dall'informativa saltano fuori |
| ⚖️ | Mai «conforme» | Quattro stati ammessi, nessun giudizio finale |
| ❓ | Ogni dubbio ha la sua domanda | Un punto non verificabile diventa una domanda formulata, con il materiale necessario |
| 🧠 | Giuridicamente prudente | Non rende universali obblighi che dipendono da presupposti, scala o rischio; non inventa basi giuridiche al posto del titolare |
## Cosa ottieni
| Output | Contenuto |
| 🗂️ Mappa dei trattamenti | Una riga per trattamento: finalità, dati, interessati, destinatari, ruoli, retention; i campi non dimostrabili restano «non verificato» |
| 🧮 Matrice GDPR/ePrivacy A–N | Per ogni controllo: evidenza tecnica o documentale, stato, gap, rischio per gli interessati |
| 📨 Domande aperte | Per titolare, DPO, legale e fornitori, già pronte, con il materiale necessario |
| 🛠️ Piano di intervento | Priorità guidate dal rischio per gli interessati, non da scadenze arbitrarie, più il piano di retest |
| 🤖 Prove e bozze automatiche | Scansione di cookie e tracker prima del consenso, bozza del registro art. 30 e dei fornitori, evidenze di retention |
| 📄 Report PDF | Completo, versione breve per la direzione, in inglese, con confronto tra audit |
| 🧾 Elenco dei limiti | Che cosa non è stato verificato e perché |
I dati sono in Markdown e CSV, in una cartella riservata fuori dai repository pubblici.
## Come funziona
1. Intake breve: titolare e ruoli noti, ambienti autorizzati, documenti disponibili (informativa, registro, DPA, DPIA), eventuale audit di sicurezza in corso.
2. Mappa dei trattamenti (controllo A) in processing-map.csv.
3. Controlli B–N pertinenti, con la checklist di references/controls.md e i trabocchetti giuridici da evitare.
4. Matrice in gdpr-matrix.csv, verificata da checkmatrix.py.
5. Domande con questions-template.md.
6. Piano di intervento e di retest.
> [!IMPORTANT]
> Senza autorizzazione ai test attivi, la skill fa analisi statica e documentale e prepara senza eseguire i test del browser e delle richieste dei diritti.