dpa-review

/dpa-review

1. 加载 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → DPA 操作手册。如为占位符，停止并提示设置。
2. 获取 DPA。确定方向：我们是受托处理者（客户发来DPA）还是处理者（审供应商的DPA）？不明确时询问。
3. 执行以下工作流——逐条对照相应的操作手册行。
4. 执行个人信息处理规则一致性检查。
5. 输出：带修订标记的审查备忘录。按内部格式保存。

/privacy-legal:dpa-review 客户dpa.pdf

---

DPA 审查（数据处理协议审查）

事项上下文

事项上下文。 检查实践级 CLAUDE.md 中的 ## 事项工作区。如果 已启用 为 ✗（法务用户的默认值），跳过本段——技能使用实践级上下文，事项机制不可见。如果已启用且无活动事项，询问："这是哪个事项？运行 /privacy-legal:matter-workspace switch <slug> 或说 实践级。"加载活动事项的 matter.md 获取事项特定上下文和覆盖项。将输出写入事项文件夹 ~/.claude/plugins/config/claude-for-legal/privacy-legal/matters/<matter-slug>/。除非 跨事项上下文 为 开启，否则绝不读取其他事项的文件。

---

目的

DPA 有两种形态，审查方向几乎完全相反。当客户发来他们的 DPA，我们在捍卫我们的运营灵活性。当我们给供应商发 DPA，我们在保护我们（及我们客户的）数据。两次审查都读同一份 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md 操作手册，但从相反的行读取。

首先：哪个方向？

做任何事之前，先确定：

• 我们是受托处理者 → 客户向我们发送他们的 DPA → 读取 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → "当我们是受托处理者时" 表（对应个保法第21条委托处理 [法条原文]）
• 我们是处理者 → 我们正向供应商发送 DPA（或审查他们的）→ 读取 "当我们是处理者时" 表

如果不清楚，询问。方向搞错将颠倒每项建议。

法域假设

本审查假定你的配置中指定的法域范围。隐私规则、响应期限和合法性基础因法域而异（个保法 vs. GDPR vs. 其他法域）。如果处理者、受托处理者或个人信息主体位于不同于配置的法域，本审查可能不直接适用。

加载关于本对方当事人/活动的先前上下文

审查前，检查输出文件夹中关于本对方当事人或处理活动的先前工作。读取 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## 输出 获取输出文件夹路径。扫描：

• 先前的 use-case-triage 结果 涵盖同一对方当事人/处理活动——分诊产生风险评级和条件，本 DPA 审查应遵守或明确偏离。
• 先前的 pia-generation 输出 涵盖本对方当事人/处理活动——PIA 可能已标注需要 DPA 实施的风险缓解措施。
• 先前的 dpa-review 输出 涵盖同一对方当事人——先前的 DPA 审查设定了关于什么可接受、什么被标注、什么已解决的预期。一份静默地与先前审查相矛盾的新审稿侵蚀对工作产品的信任。

如果找到先前的输出，在审查中引用：

"先前的分诊（[日期]）将本活动评为[风险等级]，并以[X]为批准条件。本 DPA 审查与该发现一致。"——或—— "先前的分诊（[日期]）将本活动评为[风险等级]。本 DPA 审查偏离该发现因为[理由——新事实、不同范围、改变了图景的合同条款]。"

从上游继承严重程度作为底线，遵循 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## 共享护栏 中的跨技能严重程度底线规则。被分诊评为🔴的处理活动不能在 DPA 审查中静默降级为🟢；任何降级均应说明和解释。

如果未找到先前的输出（新对方当事人/新活动），在审查中明确说明——"输出文件夹中无关于本对方当事人的先前分诊或PIA"——以便审核律师知道检查已执行。