用途
该技能面向为受监管行业构建软件的开发者，帮助理解合规要求对技术栈的具体含义。它不提供法律建议，而是将法规翻译为可执行的技术决策，覆盖医疗、金融、教育、房地产、法律等行业，以及 GDPR、CCPA/CPRA 等通用隐私法规。
主要能力
- 按行业梳理合规要求：HIPAA（医疗）、PCI-DSS 与 SOC 2（金融）、FERPA（教育）、房地产相关法规、法律行业特权与数据驻留、GDPR 与 CCPA/CPRA（通用）。
- 将每项要求映射到具体技术措施，例如：静态数据加密、传输加密、基于角色的访问控制、审计日志、BAA 协议、数据导出与删除、Cookie 同意、泄露通知等。
- 提供启动前合规检查清单，区分“任何 SaaS 的最低要求”与“受监管行业需额外添加”的项目。
- 说明何时需要专业帮助：启动前、首批付费客户、$10K+ MRR 或企业客户、处理高度敏感数据等阶段。
- 列出常见错误及修复方式，例如在数据库中存储卡号、使用不支持 BAA 的托管商处理医疗数据、将敏感数据写入日志或分析工具等。
使用方式
该技能通过提示词引导 AI 输出合规分析。示例提示包括：
- 描述产品行业、数据类型、用户所在地区，询问适用的合规要求，并要求逐项说明：是什么、是否需在启动前具备、对技术栈的具体要求、是否需要认证/审计。
- 针对具体行业设置技术栈，例如医疗 SaaS 的 HIPAA 合规配置（数据库加密与 BAA、托管 BAA、基于角色的访问与审计日志、审计日志表、API 认证、避免 PHI 出现在 URL/日志/错误信息中）。
- 针对教育产品设置 FERPA 合规数据处理（角色访问、同意跟踪、审计日志、数据导出与删除、分析/日志/错误跟踪中不含学生数据）。
- 为应用添加 GDPR 合规功能（Cookie 同意横幅、数据下载、账户删除、隐私政策页面、数据处理记录）。
适用场景
- 为医疗、金融、教育、房地产、法律等受监管行业构建 SaaS 产品。
- 需要判断哪些法规适用、何时需要认证或审计、如何选择支持合规的托管与数据库服务。
- 需要在早期做出不阻碍后续认证的技术选择，避免后期高成本改造。
限制
- 该技能覆盖常见合规模式，不构成法律建议；处理敏感数据前应咨询合规专家。
- 不涉及安全控制的具体实现（应使用 secure 技能）、法律文档撰写（应使用 legal 技能）、支付处理与 PCI（应使用 payments 技能）。
- 资料中未提供该技能的具体安装命令、收费模式、平台支持范围或效果数据。