# Validador: Compliance LGPD

**Bloqueia:** sim (legal)
**Escopo:** blocos `input_email`, `input_phone`, `input_text` (quando coleta CPF/RG/dado pessoal), `webhook` (quando envia dado pessoal)

## O que valida

Bot que coleta dado pessoal SEM consentimento explicito viola LGPD. Risco real (multa ANPD).

## Regras

### Antes do PRIMEIRO `input_email` ou `input_phone`, deve haver mencao a consentimento

Pode ser:
1. **Inline curto** — bloco `text` precedente avisa: "Vou coletar seu email pra te enviar X. Pode ser?"
2. **Link pra politica** — `text` precedente menciona "ao continuar voce concorda com [politica de privacidade]"
3. **Checkbox de consentimento** — bloco `choice` com "Topo" / "Prefiro nao" + caminho de saida

### Bot tem que ter PROPOSITO da coleta declarado

```
RUIM:  prompt: "Seu email:"
BOM:   prompt: "Pra te enviar o resultado, qual seu email?"
```
Proposito explicito = LGPD ok.

### Webhook que envia dado pessoal pra terceiro
Verifica se URL do webhook e dominio confiavel. Se for genERICO (`webhook.site`, `requestbin`), warning.

### Coleta de CPF/RG
Bloqueia. Bot conversacional generico nao deve coletar CPF/RG. Se mentorada insiste (ex: emissao de NF), regenera com:
- bloco de consentimento explicito antes
- mensagem de seguranca ("seu CPF e usado SO pra emitir nota fiscal e nao e armazenado em banco proprio")

### Dados sensiveis (saude, sexualidade, religiao, politica, raca)
Bloqueia ABSOLUTAMENTE. LGPD art. 11.

Excecao: arquetipo `terapeuta` pode perguntar sobre saude — mas SO se houver consentimento explicito e termo profissional registrado.

### Marketing direto futuro
Se bot coleta email/telefone e mentorada vai usar pra marketing/disparo, precisa de consentimento explicito pra ESSE uso.

```
BOM:
b003 [text]   "Vou te enviar o resultado por email. As vezes tambem mando dicas — pode ser?"
b004 [choice] "Posso te enviar por email?"
              options: ["Pode mandar", "Prefiro so o resultado dessa vez"]
```

## Texto de consentimento sugerido

Skill gera adaptado ao tom da mentorada:

> "Pra te enviar [proposito], vou guardar seu email/whatsapp. Uso so pra isso e nao compartilho com ninguem. Topa?"

Mais formal:

> "Ao continuar, voce autoriza o uso dos seus dados pra [proposito]. Politica completa em [link]."

## Sinais de falha

- `input_email` ou `input_phone` SEM `text` ou `choice` precedente mencionando consentimento
- Webhook com URL `webhook.site/*`, `requestbin/*`, `pipedream/*` (testing endpoints)
- Coleta de CPF/RG sem bloco de seguranca explicito
- Coleta de dado sensivel (saude/etc)

## Output do validador

```json
{
  "passed": false,
  "level": "error",
  "issues": [
    {
      "block_id": "b003",
      "message": "input_email sem consentimento LGPD precedente",
      "suggestion": "Adicionar bloco text antes explicando proposito da coleta"
    }
  ],
  "score": 50
}
```

## Quando regenerar

Por gate de captura quebrado. Insere `text` de consentimento no slot anterior. Se mentorada nao quer (legitimamente), salva exception em `flow.meta.validator_overrides` com justificativa.
