Legacy Retrofit — LGPD Gap Analysis

Interaction Localization Rule: When locale: pt-BR (or user speaks Portuguese), ALL questions (AskUserQuestion / sk_question), confirmation prompts, and selectable options MUST be translated and presented in Brazilian Portuguese (PT-BR). Any English question text or options in this skill are illustrative examples — NEVER display English questions or options to a Portuguese developer. Internal reasoning, code synthesis, tests, and technical documentation MUST remain in English (except Brazilian statutory compliance documents under .lgpd/).

Skill de entrada para auditar e remediar sistemas legados. Não tenta resolver tudo de uma vez — produz plano priorizado.

Workflow (em uma sessão)

Fase 1: Discovery (1-2h)

Investigue o código existente:

1. Schema do banco — prisma/schema.prisma, migrations
2. APIs — rotas, controllers, GraphQL schemas
3. SDKs de terceiros — package.json, env vars
4. Endpoints expostos — OpenAPI, docs
5. Cookies e tracking — frontend code, GTM, pixels
6. Mobile — permissions no AndroidManifest/Info.plist
7. Política de privacidade existente — site, app, ToS
8. Encarregado existente — sítio público
9. Incidentes anteriores — registros, post-mortems
10. Operadores ativos — billing, integrações

Salve resultados em .lgpd/discovery.md.

Fase 2: Gap analysis sistemático

Para cada item, marque GREEN/YELLOW/RED:

Item	Status	Evidência	Severidade
Base legal documentada por atividade	RED	nenhuma	crítica
ROPA existe	RED	nenhum	crítica
Política de privacidade publicada	YELLOW	existe v desatualizada	alta
Encarregado designado	YELLOW	em DPA, sem div. pública	alta
Canal DSAR	RED	só e-mail genérico	alta
Endpoint de eliminação	RED	nenhum	alta
Audit log de acesso a PII	YELLOW	log básico, sem chain	média
Criptografia em repouso	GREEN	RDS TDE	-
Criptografia em trânsito	GREEN	TLS 1.3	-
Runbook de incidente	RED	nenhum	crítica
DPA com operadores	RED	nenhum assinado	alta
Cláusulas-padrão intl	RED	nenhuma	alta
Coleta excessiva	YELLOW	telefone obrigatório sem necessidade	média
Retenção definida	RED	"indefinido" em tudo	alta
Treinamento equipe	RED	nunca	média
ECA Digital (se aplicável)	varia

Fase 3: Priorização

Use matriz:

Severidade × Esforço:
- Crítica + Baixo = FAZER JÁ (sprint atual)
- Crítica + Alto = Planejar próximas 2-4 semanas
- Alta + Baixo = Próximas 2 semanas
- Alta + Alto = Próximo trimestre
- Média = Backlog priorizado
- Baixa = Backlog

Fase 4: Plano de remediação

Salve em .lgpd/gaps.md:

# Gap Analysis e Plano de Remediação — {data}

## Resumo
- {N} gaps críticos
- {M} gaps altos
- {X} gaps médios
- {Y} gaps baixos

## Ações imediatas (próxima semana)
1. **Designar Encarregado e publicar contato** — {responsável}, prazo {data}
   - Skill a executar: saas-lgpd-dpo-encarregado
2. **Publicar política de privacidade v1** — {responsável}, prazo {data}
   - Skill: saas-lgpd-privacy-policy
3. **Implementar canal DSAR mínimo** — formulário + e-mail dedicado, {responsável}, prazo {data}
   - Skill: saas-lgpd-dsar
4. **Publicar runbook de incidente** — {responsável}, prazo {data}
   - Skill: saas-lgpd-incident-response

## Próximas 2-4 semanas
5. Inventário de dados completo (ROPA) — saas-lgpd-data-mapping + saas-lgpd-ropa
6. Inventário e DPA com operadores ativos — saas-lgpd-vendor-audit + saas-lgpd-dpa
7. Cláusulas-padrão para operadores intl — saas-lgpd-international-transfer

## Próximo trimestre
8. Audit log encadeado — saas-lgpd-audit-logging
9. Retenção e eliminação automatizadas — saas-lgpd-retention-erasure
10. RIPD para atividades de alto risco — saas-lgpd-ripd
11. Avaliação ECA Digital (se aplicável) — saas-lgpd-eca-digital-minors

## Backlog
12. Treinamento equipe (anual)
13. Pentest e revisão de segurança
14. Programa de governança em privacidade (Art. 50)

Fase 5: Comunicação

Apresente ao usuário:

• Resumo executivo (3 bullets do estado atual)
• Top 3 ações imediatas
• ⏸ CHECKPOINT — confirme antes de seguir para próxima skill do pipeline

Status update

## L1 — Legacy retrofit ✓
- Discovery completo
- {N} gaps identificados
- Plano em `.lgpd/gaps.md`
- ⏸ Aguardando aprovação para iniciar L2 (saas-lgpd-data-mapping)