Tarnija privaatsuspoliitika esmane läbivaatus

Tee tarnija privaatsuspoliitikast kiire triaažihinnang, et aidata kasutajal otsustada, kas enne tarnijaga andmete jagamist on vaja põhjalikumat hoolsuskontrolli. Väljund on struktureeritud kokkuvõte koos ohumärkide tuvastamisega, mitte täielik privaatsushinnang.

See oskus on kalibreeritud ettevõttesisese juristi kasutusjuhtumi jaoks: tarnija on välja pakutud, kasutajal on vähe aega ja küsimus on: „Kas selles poliitikas on midagi, mis muudaks meie otsust jätkata, või näib see piisavalt tavapärane, et saame liikuda DPA läbirääkimiste ja turvaülevaatuse juurde?“

Millal see oskus kehtib

Rakenda, kui kasutaja esitab tarnija privaatsuspoliitika (või dokumendi, mida sellena esitletakse) ja palub kiiret hinnangut. Tüüpilised käivitajad:

• Tarnija on hankeprotsessis välja pakutud; enne põhjalikumat ülevaatust on vaja kiiret lugemist.
• Tarnija avaldatud poliitikat kasutatakse DPA läbirääkimiste lähtepunktina (poliitika kirjeldab, mida tarnija ütleb, et ta teeb; DPA fikseerib, mida tarnija kohustub tegema).
• Olemasoleva tarnija uuendatud privaatsuspoliitika perioodiline ülevaatus.
• Ettevalmistus enne tarnijaga peetavat turva-/privaatsusülevaatuse kõnet.

Ära rakenda, kui:

• Kasutaja soovib täielikku privaatsushinnangut. See oskus on esmane läbivaatus; täielikud hinnangud jäävad ulatusest välja. Soovita kvalifitseeritud privaatsusjuristi tehtud põhjalikku privaatsushinnangut, eriti väga tundlike andmevoogude puhul.
• Kasutaja soovib DPA ülevaatust. Selleks kasuta oskust DPA Checklist Review. Privaatsuspoliitika on tarnija avalik kinnitus; DPA on lepinguline kohustus. Neil on erinev eesmärk ja need vajavad erinevat ülevaatust.
• Kasutaja soovib hinnata tarnija tegelikke turvapraktikaid. Privaatsuspoliitikad kirjeldavad andmetöötluse praktikaid, mitte turvaarhitektuuri. Turvaülevaatuse sobivad sisendid on turvaküsimustikud, SOC 2 Type II aruanded ja läbistustestide kokkuvõtted.
• Dokument on midagi muud kui privaatsuspoliitika (ainult küpsisepoliitika; kasutustingimused; turvalisa; AUP). Privaatsuspoliitikatel on äratuntav struktuur (andmete kogumine, kasutamine, jagamine, säilitamine, õigused, kontakt). Kui dokumendis neid elemente pole, ei ole see privaatsuspoliitika.
• Kasutaja soovib abi privaatsuspoliitika koostamisel. Ulatusest väljas; soovita privaatsusjuristi ja kasutaja jurisdiktsioonile ning andmetöötluse praktikatele sobivat poliitikamalli.

Sisendid

Oskus vajab dokumenti. Valikulised sisendid (vendor_context, applicable_regimes, data_to_share) täpsustavad analüüsi:

• vendor_context muudab raskusastme kalibreerimist. Privaatsuspoliitika, mis lubab laialdast andmete jagamist, on ohumärk turundusautomaatika tarnija puhul, kes töötleb klientide isikuandmeid (PII); sama poliitika võib olla tavapärane analüütikatööriista puhul, mis töötleb ainult koondmõõdikuid. Ilma vendor_context-ita kasutab oskus üldist kalibreerimist ja märgib selle eelduse.
• applicable_regimes seab aruandes esikohale režiimipõhised elemendid. Väärtusega applicable_regimes: gdpr kontrollib oskus isikuandmete kaitse üldmääruse (GDPR) nõutud teavet (artikli 13/14 elemendid, edastamismehhanismid, õiguslik alus); väärtusega ccpa kontrollib oskus CCPA/CPRA nõutud teavet (kategooriad, müük/jagamine, tundlik isikuteave, õigused). Kui režiimi pole määratud, hindab oskus üldiste äristandardite järgi ja märgib režiimipõhised kaalutlused tähelepanekutena, mitte järeldustena.
• data_to_share mõjutab ohumärkide raskusastet. Masinõppe treenimise õigused koondmõõdikutele erinevad masinõppe treenimise õigustest kasutajate isikuandmetele. SSN-ide käitlemise kaalutlused on olulised ainult siis, kui SSN-id on ulatuses.

Kui valikulisi sisendeid ei ole antud, kasutab oskus vaikeeeldusi ja märgib need aruandes.

Töövoog

Töövoos on kolm sammu. Kogu kulunud aeg peaks olema lühike — tegemist on triaažiga.

1. samm: dokumendiga tutvumine

Enne sisulist ülevaatust:

• Kinnita, et dokument on privaatsuspoliitika. Äratuntav struktuur: jaotis „mida me kogume“, jaotis „kuidas me seda kasutame“, jaotis „kellega me jagame“, jaotis „sinu õigused“ või „valikud“ ning kontaktjaotis. Kui need elemendid puuduvad, on dokument midagi muud.
• Märgi poliitika jõustumise kuupäev. Aegunud poliitikad (üle 18 kuu vanad ilma uuenduseta) väärivad tähelepanu — privaatsusõigus on kiiresti arenenud.
• Märgi tarnija väidetav tegevuse jurisdiktsioon (-id), kui see on avaldatud.
• Märgi kõik viited välistele dokumentidele (eraldi küpsisepoliitika, eraldi AI/ML-poliitika, eraldi California lisa, eraldi California „Notice at Collection“, GDPR-lisa, piirkondlik lisa). Oskus märgib välised viited, kuid ei too neid dokumente ise.
• Hinda poliitika pikkust ja tihedust. Lühikestes poliitikates (alla 1500 sõna) on sageli olulisi puudujääke; väga pikad poliitikad (üle 8000 sõna) võivad olulised sätted ära peita.

2. samm: struktureeritud kokkuvõte

Koosta struktureeritud kokkuvõte, mis katab standardteemad. Kasuta katvuse tagamiseks faili reference/policy_topics.md. Märgi iga teema juures: mida poliitika ütleb, lihtsas keeles; konkreetsed klauslite/jaotiste viited, kus asjakohane; kas poliitika käsitlus on selge, mitmetähenduslik või puudub.

Teemad on järgmised:

1. Milliseid andmeid kogutakse — kategooriad, allikad (otse kasutajalt, automaatselt küpsiste/SDK-de kaudu, kolmandatelt isikutelt) ja kas hõlmatud on eriliigilised andmed.
2. Miks andmeid kasutatakse — väidetud eesmärgid; õiguslik alus (GDPR-i kohaldumisel); kas teisesed kasutusviisid on avalikustatud.
3. Kellega andmeid jagatakse — saajate kategooriad (teenusepakkujad, sidusettevõtted, reklaamijad, partnerid, valitsus, igaüks CCPA mõistes „müügi“ kaudu), kas tarnija müüb/jagab CCPA mõistes, alamtöötlejate korraldus.
4. Piiriülesed edastamised — kas edastamisi toimub, mehhanismid (SCC-d, piisavus, BCR-id) ja saajariigid, kui need on avaldatud.
5. Säilitamine — väidetud säilitusajad või metoodika.
6. Kasutaja õigused ja nende kasutamine — juurdepääs, kustutamine, parandamine, loobumine (müük/jagamine CCPA alusel; töötlemine GDPR-i alusel), ülekantavus, vastuväide, automatiseeritud otsuste tegemine.
7. Turvalisus — väidetud kohustused (tavaliselt üldsõnalised; poliitika ei ole turvaavaldus).
8. Laste andmed — kas teenus on suunatud lastele; COPPA/GDPR-K nõuetele vastavuse avaldused.
9. Kontakt ja kaebused — privaatsuskontakti andmed; kaebuste esitamise mehhanismid; GDPR-i puhul järelevalveasutuse avalikustamine.
10. Andmete kasutamine AI/ML jaoks — kas tarnija kasutab kliendi andmeid AI/ML treenimiseks, kuidas ja kas loobumisvõimalus on olemas (2025.–2026. aasta domineeriv teema).

3. samm: ohumärkide tuvastamine

Käi läbi ohumärkide loend failis reference/red_flags.md. Iga leitud ohumärgi puhul märgi:

• Mida poliitika ütleb (koos viitega).
• Miks see on ohumärk.
• Raskusaste (kriitiline / oluline / väheoluline — sama hindamisskaala astmestus nagu oskuses MSA Review järjepidevuse huvides, kuid kalibreeritud triaaži panuste järgi).
• Mida kasutaja peaks tegema (nt „lepi kokku DPA-s“, „taotle konkreetset lepingulist erandit“, „küsi tarnijalt selgitust“, „suuna privaatsusjuristile“).

Ohumärkide kategooriad hõlmavad:

• Andmete kogumise laius — teenusega mitteseotud andmekategooriate kogumine.
• Kasutamise laius — laiad kasutusõigused, sh teisesed kasutusviisid.
• Jagamise praktikad — laialdane jagamine sidusettevõtete, reklaamijate, partneritega; tarnija liigitub CCPA mõistes „müüjaks“ või „jagajaks“, kui seda ei oodata.
• AI/ML treenimise õigused — tarnija kasutab kliendi andmeid masinõppe treenimiseks ilma loobumisvõimaluseta.
• Andmete säilitamine — tähtajatu säilitamine, ebaselge säilitamine, säilitamine kauem, kui teenus vajab.
• Piiriülesed edastamised ilma mehhanismi avalikustamata.
• Õiguste kasutamise mehhanismi lüngad — õigused on loetletud, kuid selge kasutamise mehhanism puudub, õiguste taotluste eest võetakse tasu või õigused on allutatud tarnija äranägemisele.
• Ebamäärane või šabloonne teave — privaatsuspoliitika on üldine ega kajasta tegelikku teenust.
• Aegunud poliitika — viimati uuendatud ammu.
• Vastuolud tarnija turundusmaterjalide või DPA-ga — privaatsuspoliitika ütleb üht, tarnija muud materjalid teist.

Väljund

Koosta aruanne markdownis järgmise struktuuriga (teadlikult lühike — triaaž):

# Vendor Privacy Policy First Pass: [Vendor / Document name]

**Vendor context:** [user-provided, or "not specified"]
**Applicable regimes considered:** [list, or "general commercial"]
**Data the user expects to share:** [user-provided, or "not specified"]
**Policy effective date:** [date from policy, or "not stated"]

## Bottom line

[Two to three sentences. Headline assessment: clean / standard / has notable concerns / has serious red flags. Recommendation: proceed to DPA / proceed with specific concerns flagged / escalate for deeper review / decline pending substantial vendor changes.]

## Structured summary

[For each of the 10 topics in the workflow's Step 2, a brief subsection. Each subsection: 2-4 sentences plus a citation. Topics where the policy is silent are noted explicitly ("Not addressed.") rather than omitted.]

### Data collected
[Brief description; categories; sources.]

### Use of data
[Brief description; stated purposes; secondary uses if any.]

### Sharing
[Categories of recipients; sale/sharing under CCPA; sub-processors.]

### Cross-border transfers
[Whether transfers occur; mechanisms; recipient countries.]

### Retention
[Periods or methodology.]

### User rights and exercise mechanisms
[Rights enumerated; how to exercise.]

### Security
[Stated commitments.]

### Children's data
[Disclosures, or note the policy doesn't address.]

### Contact and complaints
[Privacy contact; complaint mechanisms.]

### AI / ML use of data
[Whether vendor uses data for ML training; opt-outs.]

## Red flags

[Items requiring user attention. Each with: what the policy says, why it's a flag, severity (Critical / Material / Minor), recommended user action. If no red flags, this section is one sentence: "No red flags identified at the first-pass level."]

## Items the policy doesn't address (gaps)

[Things a comprehensive privacy policy would typically address but this policy doesn't. Distinct from red flags — these are absences rather than problematic provisions. May overlap with regime-specific requirements when `applicable_regimes` is provided.]

## Recommended next steps

[Short bulleted list. Common options: proceed to DPA negotiation; request clarification from vendor on specific items; escalate specific issues to privacy counsel; obtain SOC 2 / security questionnaire; decline pending vendor changes.]

## Out of scope for this first pass

[A short paragraph reminding the user what this skill did NOT do: full privacy assessment, DPA review, security architecture review, jurisdictional enforceability analysis, etc. Direct the user to the appropriate next step for each.]

Aruanne peaks olema lühike. Tüüpiline esmase läbivaatuse aruanne on 1–3 lehekülge. Kui aruanne venib pikaks (üle 4 lehekülje), vajab dokument põhjalikumat ülevaatust kui triaaž; aruanne peaks seda ütlema ja soovitama küsimuse edasi suunata, selle asemel et aruannet aina laiendada.

Erijuhud ja keeldumised

• Dokument ei ole privaatsuspoliitika. Peatu ja teata kasutajale. Tavalised segadused: kasutustingimused (teistsugune fookus); ainult küpsisepoliitika (privaatsuspoliitika alamosa); turvalisa (ei ole privaatsuspoliitika); AUP (teine dokument); DPA (kasuta oskust DPA Checklist Review).
• Dokument on privaatsuspoliitika toorik — äärmiselt lühike, põhijaotised puuduvad. Märgi puudulikkus kriitilise järeldusena („poliitika ei sisalda põhijaotisi, mis on vajalikud sisulise privaatsusteate jaoks“); soovita küsimus edasi suunata.
• Dokument on privaatsuspoliitika keeles, millest kasutaja ei teatanud. Märgi keel ja palu kasutajal enne jätkamist kinnitada.
• Dokument on dateeritud ja kasutaja on märku andnud, et poliitika võib olla aegunud. Too kuupäev selgelt esile ja märgi võimalik aegumine järeldusena.
• Dokument viitab paljudele välistele alampoliitikatele. Oskus ei saa välist sisu tuua. Märgi viited selgesõnaliselt ja soovita kasutajal viidatud dokumendid kokku koguda ning kaaluda selle oskuse käivitamist igaühe peal.
• Dokument on tarnija ühe teenuse privaatsuspoliitika, kuid kasutaja hindab sama tarnija teist teenust. Tarnijatel on sageli tootepõhised privaatsuspoliitikad. Kontrolli, et poliitika kehtib ulatuses oleva teenuse kohta.
• Tarnija kasutab poliitika järgi kliendi andmeid AI/ML treenimiseks. Märgi see selgesõnaliselt kriitilisena, olenemata vendor_context-ist — see on 2025.–2026. aasta domineeriv teema ja vajab selgesõnalist käsitlemist.

Mida see oskus ei tee

• Täielik privaatsushinnang. See on triaaž. Täielik hinnang nõuab DPA, turvalisa, alamtöötlejate loendi, edastamise mõjuhinnangu, auditiaruannete ja tegevuspraktikate ülevaatust. Ükski neist ei ole siin ulatuses.
• Vastavuse sertifitseerimine. Oskus ei tõenda, et poliitika vastab GDPR-ile või CCPA-le. Vastavuse tõendamine nõuab kõigil faktidel põhinevat jaatavat õiguslikku arvamust; see ei ole selline.
• DPA läbirääkimised. Privaatsuspoliitika on tarnija avalik kinnitus; DPA on lepinguline kohustus. DPA ülevaatus on eraldi oskus (DPA Checklist Review).
• Turvaülevaatus. Privaatsuspoliitika kirjeldab andmetöötluse praktikaid, mitte turvaarhitektuuri. Turvaülevaatus nõuab SOC 2 aruandeid, läbistusteste ja turvaküsimustikke.
• Võrdlev analüüs teiste tarnijate poliitikatega. Oskus hindab korraga ühte poliitikat. Mitme tarnija võrdlus on ulatusest väljas (edasilükatud täienduse kandidaat).
• Üksikasjalik jurisdiktsiooniline analüüs. Oskus märgib režiimi asjakohasust („see poliitika ei pruugi vastata GDPR-i artikli 13 teavitamisnõuetele“), kuid ei anna jurisdiktsioonilisi arvamusi („see poliitika rikub GDPR-i“).

Viitematerjalid

• reference/policy_topics.md — 10 standardteemat, mida struktureeritud kokkuvõte katab, koos sellega, mida igaühes otsida.
• reference/red_flags.md — kategoriseeritud ohumärkide loend koos raskusastme kalibreerimise juhistega.
• examples/example_clean_policy.md — läbitöötatud näide: tarnija privaatsuspoliitika, mis on piisavalt puhas, et liikuda DPA juurde.
• examples/example_red_flags.md — läbitöötatud näide: tarnija privaatsuspoliitika mitme ohumärgiga, mis nõuavad küsimuse edasi suunamist.