用途
dpa-review 是 claude-for-legal 隐私法务技能集中的一个技能，用于依据用户自己的 DPA playbook 审查数据处理协议（Data Processing Agreement，DPA）。DPA 有两种方向，审查逻辑几乎相反：当客户把他们的 DPA 发给我们时，我们是在防守自身的运营灵活性；当我们把 DPA 发给供应商时，我们是在保护自己（以及客户）的数据。两种审查读取同一份 playbook，但使用相反的行。
主要能力
- 方向判定：先确定本方是处理者（processor，客户发来其 DPA）还是控制者（controller，我们向供应商发送或审查其 DPA）。若不清楚则询问用户，因为方向判断错误会颠倒所有建议。
- 加载 playbook：读取配置中的 DPA playbook 与隐私政策承诺，确保 DPA 不与隐私政策相矛盾。
- 既往上下文检查：在审查前扫描输出文件夹，查找同一交易对手或处理活动的既往 triage 结果、PIA 输出、历史 dpa-review 输出，并在本次审查中引用或说明偏离原因。上游输出的严重级别作为下限，triage 评为 🔴 的处理活动不能在 DPA 审查中被悄悄降为 🟢。
- 联邦行业法叠加检查：在逐条审查前，先询问数据是否涉及受联邦监管的类别，包括 GLBA/Reg P（金融账户数据）、HIPAA（受保护健康信息，需 BAA）、FERPA（教育记录）、COPPA（13 岁以下儿童数据）以及其他行业制度（VPPA、CPNI、DPPA、TCPA 等）。若适用，需研究当前生效条款并引用一手来源；若不适用，也需明确记录该检查已执行。
- 逐条审查：对每份 DPA 逐条走查核心条款，包括角色、处理范围、子处理者、安全措施、违约通知、审计权、国际传输、删除/返还、责任。具体数值与实质立场来自配置中的 playbook，监管下限来自一手法律研究。
- 处理者侧防御性审查：针对客户 DPA 中常见的过度要求（子处理者否决权、短通知现场审计、激进违约通知窗口、硬性数据驻留、无上限处理者责任、开放式“指令”、极短删除期限）逐项对照 playbook 立场。
- 控制者侧保护性审查：针对供应商 DPA 的常见缺口（无子处理者清单、“行业标准安全”空话、无违约通知时限、无审计权、供应商可将数据用于“服务改进”、无国际传输机制、无删除承诺）逐项对照 playbook。
- 隐私政策一致性检查：核对 DPA 承诺的处理目的、是否构成 CCPA 下的“出售”、子处理者类别是否与隐私政策一致，并标记不一致之处。
- 红线粒度控制：默认采用最小编辑粒度（先改词、再改短语、再改子条款、再改句子、最后才整条替换），整条替换时需在传输说明中解释原因。
- 来源分级标注：对每条引用标注来源，模型知识引用分为 [settled]、[verify]、[verify-pinpoint] 三级；工具检索引用保留工具标签；网络搜索引用标为 [web search — verify]；用户提供引用标为 [user provided]。不得剥离或合并标签。
- 无静默补充：若法律研究工具返回结果稀少或为空，需报告发现并停止，不得未经询问就用网络搜索或模型知识填补空白。
使用方式
调用形式为 /dpa-review 或 /privacy-legal:dpa-review customer-dpa.pdf。技能会加载 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md 中的 DPA playbook；若存在占位符则停止并提示设置。随后获取 DPA、确定方向、逐条对照相应 playbook 行运行工作流、执行隐私政策一致性检查，最终输出带红线的审查备忘录，并按内部风格保存。
若启用了 matter 工作区且没有活动 matter，会询问属于哪个 matter，或运行 /privacy-legal:matter-workspace switch <slug> 或说明为实践级。输出写入 matter 文件夹 ~/.claude/plugins/config/claude-for-legal/privacy-legal/matters/<matter-slug>/。除非开启跨 matter 上下文，否则不读取其他 matter 的文件。
适用场景
适用于隐私法务团队审查客户发来的 DPA（处理者侧）或供应商 DPA（控制者侧），尤其适合需要与既往 triage、PIA 结果保持一致、并需覆盖联邦行业法叠加的合规审查场景。
限制
- 审查假设的管辖范围由用户配置指定；若控制者、处理者或数据主体位于与配置不同的司法管辖区，审查可能不适用。
- 具体数值与实质立场依赖用户配置的 playbook；监管下限需通过法律研究工具获取并引用一手来源。
- 模型知识引用存在虚构风险，pinpoint 引用必须对照一手来源验证。
- 研究工具覆盖不足时不得静默补充，需由律师决定是否接受低置信度来源。
- 关于收费、价格、平台支持情况等事实，资料中暂未提供。