SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场uganda-dppa-compliance

uganda-dppa-compliance

安全与审计

查看项目

更新于 10-16 06:03

技能介绍

用途

该技能用于为任何收集个人数据的乌干达本地软件系统生成完整的《乌干达 2019 年数据保护与隐私法》（DPPA 2019）合规附录。输出为独立的 SRS 章节或独立合规文档，覆盖 DPPA 2019 及《2021 年数据保护与隐私条例》所要求的全部系统行为。

适用场景包括：作为任何在乌干达系统内收集个人数据的 SRS 章节附录；在识别出 DPIA 触发条件时作为 dpia-generator 的输入；在语义审计（Skill 08）中作为跨领域合规检查。

主要能力

技能按十个步骤组织工作流：

  1. PII 清单：读取上下文文件，识别系统收集的每个数据字段，并分级为 S（特殊个人数据，含财务信息、健康、医疗、宗教/政治信仰、性生活）、P（可识别个人数据，如 NIN、姓名、照片、GPS、联系方式）、N（非个人数据）。产出字段名、来源模块、层级、理由、保留期限的清单表。特别提示：根据 DPPA 2019 第 9 条，财务信息属于特殊个人数据，包括移动支付号码、薪资、银行账户、代理佣金、员工贷款余额、支付历史等，这是与 GDPR 的关键差异。
  2. 合法依据映射：为每个 S 和 P 字段从第 7 条中确定适用合法依据（同意、法律授权或要求、公共机构履行公共职责、国家安全、预防/侦查/调查/起诉犯罪、履行合同、医疗目的、遵守法律义务）。
  3. 同意要求：为以同意为依据的字段生成功能需求，涵盖收集时同意捕获、同意记录存储（数据主体 ID、目的、数据类别、时间戳、收集者 ID）、撤回机制（与给予同意同样简便，第 7(3) 条）、收集时通知（目的、访问/更正权，第 13 条），以及儿童数据的年龄验证与父母/监护人同意（第 8 条 + 条例 11）。
  4. 数据主体权利：为第 14–16 条的四项权利生成功能需求：访问权（第 14 条）、反对权（第 15 条）、更正/删除权（第 16 条，30 天响应窗口，无法遵从时书面说明理由），以及向第三方通知（第 28(4) 条）。同时生成数据主体权利请求日志模式。
  5. 安全与技术措施：为第 20 条要求生成非功能需求，包括 S 层字段静态加密 AES-256-GCM、P 层字段静态加密 AES-128+、传输中数据 TLS 1.3、访问控制（S 层字段限指定角色并记录每次访问）、风险识别与保障更新周期，以及数据处理者合同条款（第 21 条）。
  6. 保留与销毁：为每类数据生成可配置保留期限（按数据类型而非硬编码）、向 DPO 的自动到期提醒、销毁方式（优先去标识化或防止可理解形式重建的销毁，第 18(4)-(5) 条），以及历史/统计/研究保留的例外。
  7. 泄露通知流程：为第 23 条 + 条例 33 生成功能需求，包括触发条件（检测到未经授权的访问或获取）、立即向 DPO 仪表板标记、通知内容（泄露性质、涉及数据类别、大致数据主体数量、可能后果、已采取和拟采取的补救措施、DPO 联系方式）、时间线为立即（乌干达法案无 GDPR 式 72 小时窗口）、先通知 PDPO 并由 PDPO 决定是否及如何通知数据主体（挂号信、电子邮件、网站或大众媒体），DPO 从 PDPO 获得处理指导。与 GDPR 的区别：控制者不独立决定是否通知数据主体。
  8. DPIA 触发评估：根据条例 12 评估是否触发强制 DPIA（大规模处理特殊个人数据、系统性监控个人、使用影响权利与自由的新技术），触发时以 [DPIA-REQUIRED: <reason>] 标记并建议调用 dpia-generator 技能。
  9. DPO 与 PDPO 注册要求：生成系统需求，存储 DPO 指定信息（姓名、角色、邮箱、电话，第 6 条 + 条例 47）、PDPO 注册号（条例 15-16）、DPO 仪表板（逾期超过 30 天的权利请求、同意记录、泄露事件、保留到期提醒），以及在输入 PDPO 注册号前显示系统配置警告。
  10. 跨境传输控制：若系统在乌干达境外存储或处理数据，需配置记录确认目的地国家充分性，或为每次传输记录数据主体明确同意（第 19 条 + 条例 30）；对于仅限乌干达本地部署，确认数据不离开乌干达并记录。

使用方式

调用前需阅读：_context/vision.md（系统范围与用户群体）、_context/features.md（模块列表）、_context/personas.md（提供个人数据的用户类型）、_context/glossary.md（确认 DPPA、PDPO、DPO、NIN、特殊个人数据已定义）、domains/uganda/references/dppa-pii-classification.md（PII 分类矩阵）。工作流要求先阅读 SKILL.md，再按需加载引用的深入文件，应用有序指导、检查清单和决策规则，产出时明确假设、风险和后续工作。

输出结构

生成以下章节：X.1 PII 清单与分类；X.2 特殊个人数据警报；X.3 同意要求；X.4 数据主体权利实现；X.5 安全与技术措施；X.6 保留与销毁计划；X.7 数据泄露通知程序；X.8 DPIA 评估；X.9 DPO 与 PDPO 注册；X.10 跨境传输控制；X.11 人工审查门。

校验与失败标签

完成前需确认：每个收集数据的模块在 PII 清单中至少有一个字段；每个 S 层字段在 X.5 中指定 AES-256-GCM 加密；每个移动支付号码归类为 S 层；泄露通知标注为立即（非 72 小时）；数据主体权利响应 SLA 为 30 个日历日；由 PDPO 而非数据控制者决定是否通知数据主体；DPIA 评估明确；生成 DPO 记录与 PDPO 注册要求；若任何用户可能未满 18 岁则生成儿童数据保障。失败标签包括 [DPPA-FAIL: S-tier field not encrypted]、[DPPA-FAIL: no consent mechanism]、[DPPA-FAIL: breach notification > immediate]、[DPPA-FAIL: no data subject rights FR]、[DPIA-REQUIRED: <reason>]、[CONTEXT-GAP: GAP-004]。

限制

该技能面向乌干达 DPPA 2019 合规场景，不适用于无关任务或仅需简单回答的请求。输出依赖所提供的项目上下文，上下文不足时需明确假设与未解决缺口。技能本身不提供法律意见，GAP-004 类事项的法律审查状态需人工确认。具体收费、价格、平台支持等信息暂未提供。