---
name: saas-compliance-br
description: >
  Mapeia o ambiente regulatório do setor do SaaS e gera conteúdo de conformidade
  pronto para inserir na LP (seção "Seguro e Legal"), no checkout (texto abaixo do botão)
  e nos Termos de Uso B2B. Essencial para SaaS em saúde (CFM/CFP/LGPD sensitivo),
  imóveis (CRECI), veterinário (CRMV), jurídico (OAB), educação (LGPD menores)
  e qualquer produto que toque dado sensível ou opere em setor regulado.
  Use quando disser "compliance", "regulação", "LGPD", "termos de uso",
  "política de privacidade", "setor regulado", "conformidade legal",
  "posso vender para clínica?", "o produto precisa de homologação?".
  Integra com: /saas-context-doc (lê setor), /saas-landing-blueprint (insere seção 11.5),
  /saas-checkout-blueprint (insere texto de compliance), /saas-success-metrics (métricas de compliance).
---

## FASE 0 — Leitura do Contexto do Projeto (OBRIGATÓRIO)

> **ANTES DE QUALQUER OUTRA AÇÃO:** leia os arquivos do projeto na pasta `.saas/`.

**Arquivos a ler:**

1. `.saas/SAAS-CONTEXT.md` — briefing-mãe do projeto
   → Use: SETOR, REGULAÇÃO, TICKET, MODELO
   → Se não existe: pare e instrua rodar `/saas-context-doc` primeiro

2. `.saas/SAAS-S1-PROBLEMA.md` — output do /saas-problem-fit-canvas (opcional)
   → Use: PERSONA-DECISOR (para identificar se é profissional regulado), FILTRO-4-IA (risco de IA em dados sensíveis)
   → Se não existe: skill pode rodar sem ele, mas o mapeamento de risco será menos preciso

**Regra anti-repetição:** qualquer campo presente nesses arquivos = dado confirmado. NÃO faça a mesma pergunta.

**Campos que esta skill NÃO precisa perguntar se os arquivos existem:**
- Setor → SAAS-CONTEXT.md campo SETOR
- Regulação já conhecida → SAAS-CONTEXT.md campo REGULAÇÃO
- Perfil do decisor (profissional regulado?) → SAAS-S1-PROBLEMA.md campo PERSONA-DECISOR

---

# SaaS Compliance BR

> "Em setores regulados, conformidade não é diferencial. É o preço de entrada."

## Por que existe

Em saúde, imóveis, jurídico e educação, o decisor da compra pergunta antes de ver a demo:

- "Meu prontuário fica onde? Quem tem acesso?"
- "O sistema tem homologação do CFM?"
- "Se meu cliente assinar a proposta pelo sistema, tem validade legal?"
- "Onde ficam os dados dos meus compradores? Posso ter problema com LGPD?"

SaaS sem resposta imediata e visível para essas perguntas não passa da primeira conversa. A compra é vetada antes de qualquer análise de ROI.

Esta skill gera os conteúdos que respondem essas perguntas antes de serem feitas.

---

## MODOS DE OPERAÇÃO

- **`/saas-compliance-br`** — diagnóstico completo + gera todos os 4 outputs
- **`/saas-compliance-br saúde`** — diagnóstico específico CFM/CFP/LGPD sensitivo
- **`/saas-compliance-br imóveis`** — diagnóstico CRECI + LGPD dados de compradores
- **`/saas-compliance-br lgpd`** — foco LGPD: base legal, DPO, checklist, política de privacidade
- **`/saas-compliance-br termos`** — gera apenas Termos de Uso B2B + Política de Privacidade

---

## FASE 1 — IDENTIFICAÇÃO DO AMBIENTE REGULATÓRIO

Leia o SAAS-CONTEXT.md do projeto (campos SETOR e REGULAÇÃO).
Se o arquivo não existir, perguntar:

1. "Qual é o setor do seu SaaS?" → selecionar da lista abaixo
2. "O produto toca dados de saúde, dados financeiros ou dados de menores de 18 anos?" → sim/não
3. "Os usuários do produto são profissionais regulamentados (médicos, advogados, corretores)?" → sim/não

---

## FASE 2 — MAPA REGULATÓRIO POR SETOR

### 🏥 SAÚDE (CFM, CFP, CRM estaduais, COREN, CFO, CRBM)

**CFM Resolução 2.299/2021 — Telemedicina e Prontuário Eletrônico:**
- O prontuário eletrônico deve garantir: identificação do paciente, autoria do profissional, inalterabilidade após assinatura
- Assinatura digital: ICP-Brasil para documentos com validade legal máxima
- Tempo de guarda: prontuário adulto = 20 anos / prontuário de menor = 20 anos após maioridade

**CFP Resolução 11/2018 — Psicologia e Confidencialidade:**
- Dados psicológicos são dado sensível máximo
- O sistema não pode permitir que outros profissionais (mesmo da mesma clínica) leiam prontuário de outro profissional
- Compartilhamento com convênios: apenas dados administrativos (nome, CID geral) — nunca conteúdo da sessão

**LGPD Art. 11 — Dados de Saúde São Dados Sensíveis:**
- Base legal específica: consentimento do paciente (Art. 11, I) OU tutela da saúde (Art. 11, II, f)
- NÃO usar "execução de contrato" como base legal para dados de saúde
- DPO (Encarregado de Dados): obrigatório para clínicas com volume relevante de dados sensíveis

**Implicações para o SaaS:**
- Separação de dados por profissional (não basta separar por clínica)
- Log de acesso auditável (quem acessou o quê e quando)
- Exportação de dados em formato aberto (o dado é do paciente, não da clínica)
- Servidores: AWS São Paulo (sa-east-1) ou Google South America East 1 para atender regulação brasileira

---

### 🏠 IMÓVEIS (CRECI, COFECI)

**Lei 6.530/1978 — Atividade de Corretagem:**
- Corretores precisam de CRECI para intermediar compra/venda/aluguel
- O SaaS NÃO precisa de CRECI — mas a PROPOSTA gerada pelo SaaS não pode ser confundida com "corretagem automatizada"
- Framing correto: "o sistema gera a proposta para o corretor revisar e assinar" — não "o sistema fecha a negociação"

**LGPD — Dados de Compradores/Locatários:**
- Base legal: execução de contrato (Art. 7º, V) — o comprador está em processo de compra
- Dados financeiros (renda, score): dado sensível? Não formalmente, mas boa prática tratá-los como tal
- Tempo de guarda: duração do processo + 5 anos (prescrição de ação civil)

**Validade Legal da Proposta:**
- Proposta gerada por IA + assinada digitalmente pelo corretor tem validade legal
- Assinatura do comprador: ClickSign ou DocuSign tem validade pelo Marco Civil da Internet
- ICP-Brasil: não obrigatório para proposta, mas pode ser exigido em financiamento bancário

**Implicações para o SaaS:**
- A proposta é "gerada para revisão" — não "aprovada automaticamente"
- Armazenar histórico de versões da proposta (quem editou, quando)
- Exportar proposta em PDF assinado com carimbo de data/hora

---

### 🐾 VETERINÁRIO (CRMV, CFMV)

**CFMV Resolução 1.306/2020 — Prontuário Veterinário:**
- Prontuário veterinário é obrigatório (assim como o médico)
- Tempo de guarda: 5 anos para espécies de vida curta, 20 anos para equinos e grandes animais
- Assinatura do médico veterinário responsável obrigatória

**LGPD — Dados do Tutor vs. Dados do Animal:**
- Dados do tutor (dono do animal): são dados pessoais — LGPD aplica
- Dados do animal: não são dados pessoais — mas identificam o tutor indiretamente
- Base legal: execução de contrato (o tutor contratou os serviços veterinários)

**Implicações para o SaaS:**
- Separar campos: dados do tutor (LGPD) vs. dados do animal (não LGPD, mas boa prática)
- Exportação dos dados pelo tutor deve ser possível
- Compartilhamento com laboratórios: apenas com consentimento ou necessidade de diagnóstico

---

### ⚖️ JURÍDICO (OAB, Estatuto da Advocacia)

**Estatuto da OAB — Sigilo Profissional:**
- Advogado tem dever de sigilo de tudo que sabe em razão da profissão
- SaaS que toca dados de clientes de escritório precisa de confidencialidade contratual explícita
- O SaaS não pode usar dados de clientes do escritório para treinar modelos de IA sem consentimento

**LGPD — Dados Processuais:**
- Dados processuais são dados pessoais (nome, CPF, endereço das partes)
- Base legal: execução de contrato (o advogado presta serviço ao cliente) + legítimo interesse (defesa judicial)
- Dados sensíveis em processo: saúde, orientação sexual, religião — base legal específica

**Implicações para o SaaS:**
- Cláusula de confidencialidade nos Termos de Uso é obrigatória para escritórios
- Dados de IA: explicitar que os dados NÃO são usados para treinar modelos
- DPA (Data Processing Agreement): obrigatório para escritórios grandes

---

### 🎓 EDUCAÇÃO (MEC, INEP, LGPD Especial Menores)

**LGPD Art. 14 — Dados de Menores de 18 Anos:**
- Tratamento de dados de menores exige consentimento específico dos pais/responsáveis
- Não basta o menor consentir — o responsável legal deve concordar
- Marketing direto para menores é proibido

**INEP — Dados de Estudantes:**
- Dados do Censo Escolar têm regulação específica
- Compartilhamento com terceiros: requer autorização do INEP

**Implicações para o SaaS:**
- Formulário de cadastro com campo "Você é menor de 18 anos?" → se sim, redirecionar para fluxo de consentimento dos pais
- Marketing por email para base de estudantes: verificar faixa etária antes de qualquer envio

---

### 🏢 GERAL (LGPD apenas — todos os setores)

**Base Legal mais comum:**
- Execução de contrato (Art. 7º, V): quando o dado é necessário para entregar o serviço contratado
- Legítimo interesse (Art. 7º, IX): quando o tratamento é necessário e o titular não tem razão para se opor
- Consentimento (Art. 7º, I): quando não se encaixa em nenhuma outra base — requer opt-in explícito

**Dados Sensíveis (Art. 11) — base legal diferente:**
- Saúde, biometria, religião, opinião política, orientação sexual, origem racial
- Bases legais: consentimento específico OU uma das exceções do Art. 11, II

---

## FASE 3 — CHECKLIST LGPD PARA SaaS

```
□ Política de Privacidade publicada e linkada no rodapé da LP e no checkout?
□ Aviso de cookies implementado com opt-in para cookies não essenciais?
□ A base legal para cada tipo de dado está documentada internamente?
□ O usuário pode exportar seus dados em formato aberto (CSV, JSON)?
□ O usuário pode solicitar exclusão dos seus dados?
□ DPO (Encarregado de Dados) nomeado? (obrigatório para dados sensíveis em escala)
□ Contratos com subprocessadores (Stripe, SendGrid, AWS, OpenAI) têm DPA?
□ Os dados ficam em servidor com adequação (AWS São Paulo, Google sa-east-1)?
□ Logs de acesso auditáveis estão implementados?
□ Tempo de retenção de dados está definido por tipo de dado?
□ Processo de resposta a solicitações do titular está documentado? (prazo: 15 dias)
□ Incidente de segurança: processo de notificação à ANPD em 72h está definido?
```

---

## FASE 4 — SEÇÃO DE CONFORMIDADE PARA A LP

Gerar texto pronto para inserir na **Seção 11.5** da LP (/saas-landing-blueprint):

```
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🔒 SEGURO, LEGAL E EM CONFORMIDADE

[Para saúde:]
Os dados clínicos ficam em servidores brasileiros (AWS São Paulo), 
com criptografia AES-256 em trânsito e em repouso. O [Nome SaaS] opera 
em conformidade com a CFM Resolução 2.299/21 (prontuário eletrônico) 
e a LGPD Art. 11 (dados sensíveis de saúde). Separação de dados por 
profissional garantida. Você pode exportar todos os dados a qualquer momento.

[Para imóveis:]
Propostas geradas pelo [Nome SaaS] são documentos para revisão e 
assinatura do corretor habilitado — não substituem a atividade de 
corretagem regulamentada (Lei 6.530/78). Dados de compradores e 
locatários são tratados com base em execução de contrato (LGPD Art. 7º, V).

[Para veterinário:]
Prontuários gerados pelo [Nome SaaS] atendem os requisitos da CFMV 
Resolução 1.306/20. Dados dos tutores são tratados conforme a LGPD. 
Exportação completa disponível a qualquer momento.

[Para jurídico:]
O [Nome SaaS] assina Acordo de Confidencialidade (DPA) com cada escritório. 
Dados de clientes e processos NÃO são usados para treinar modelos de IA. 
Sigilo profissional garantido por contrato.

[Para geral:]
Seus dados ficam em servidores brasileiros com criptografia de ponta a ponta.
Você pode exportar ou solicitar exclusão dos seus dados a qualquer momento.

Política de Privacidade · Termos de Uso
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
```

---

## FASE 5 — TEXTO DE COMPLIANCE PARA CHECKOUT

Texto para inserir abaixo do botão de pagamento (/saas-checkout-blueprint):

```
[Versão geral:]
Ao contratar, você concorda com nossos Termos de Uso e Política de Privacidade.
Seus dados são tratados com base em execução de contrato (LGPD Art. 7º, V).

[Versão saúde:]
Ao contratar, você concorda com nossos Termos de Uso e Política de Privacidade.
O [Nome SaaS] processa dados de saúde com base legal específica (LGPD Art. 11, II, f — tutela da saúde).
Dados de pacientes ficam isolados por profissional e não são compartilhados.

[Versão imóveis:]
Ao contratar, você concorda com nossos Termos de Uso e Política de Privacidade.
Dados de compradores e locatários são processados com base em execução de contrato.
O [Nome SaaS] não realiza atividade de corretagem — é uma ferramenta de apoio ao corretor.
```

---

## FASE 6 — CLÁUSULAS DE TERMOS DE USO B2B

Estrutura das 8 seções obrigatórias (gerar texto completo por setor):

**1. OBJETO E PARTES**
Identifica: o SaaS (prestador), o contratante (empresa/CNPJ), os usuários finais (profissionais da empresa).
Define: licença de uso não exclusiva, não transferível, por prazo determinado.

**2. LICENÇA DE USO**
O que o contratante pode fazer: acessar, usar, treinar usuários próprios.
O que não pode: revender, sublicenciar, fazer engenharia reversa, compartilhar credenciais.

**3. RESPONSABILIDADES DO CONTRATANTE**
O contratante é responsável por:
- Dados inseridos no sistema (precisão, licitude, consentimento dos titulares)
- Credenciais de acesso dos usuários finais
- Uso em conformidade com a regulação do seu setor (CFM, OAB, CRECI, etc.)

**4. CONFIDENCIALIDADE E SIGILO**
Ambas as partes se obrigam a manter em sigilo informações confidenciais trocadas.
Para jurídico: cláusula específica de que o SaaS não divulga dados de clientes do escritório.
Prazo de confidencialidade: durante a vigência + 5 anos após o encerramento.

**5. PROTEÇÃO DE DADOS (LGPD) E DPA**
O SaaS atua como Operador dos dados pessoais (o Controlador é o contratante).
Obrigações do SaaS como Operador: Art. 37-39 da LGPD.
O DPA (Data Processing Agreement) pode ser solicitado por contratantes enterprise.
Subprocessadores: listar (AWS, SendGrid, Stripe, OpenAI se usado) com link para os DPAs deles.

**6. SLA E DISPONIBILIDADE**
Disponibilidade comprometida: [X]% ao mês (ex: 99,5% = ~3,6h de downtime/mês).
Janela de manutenção: [dia/horário] com aviso prévio de [X] horas.
Incidente: notificação em [X] horas, resolução em [X] horas (por nível de severidade).

**7. CANCELAMENTO E EXPORTAÇÃO DE DADOS**
O contratante pode cancelar a qualquer momento (mensal) ou no fim do período (anual).
Após cancelamento: dados ficam disponíveis por [30] dias para exportação.
Após [30] dias: dados são anonimizados ou excluídos permanentemente.
Exportação: formato CSV/JSON aberto (não proprietário).

**8. LIMITAÇÃO DE RESPONSABILIDADE**
O SaaS não é responsável por:
- Decisões tomadas com base no output da IA (o profissional é responsável pela revisão)
- Perda de dados por erro do contratante (deletar dados acidentalmente)
- Indisponibilidade causada por terceiros (AWS, operadora de internet do contratante)
Limitação de valor: indenização máxima = valor pago nos últimos [12] meses.

---

## FASE 7 — POLÍTICA DE PRIVACIDADE

**Versão curta (para rodapé da LP — máx. 5 linhas):**
```
Seus dados são usados apenas para fornecer o serviço contratado. 
Não compartilhamos com terceiros sem sua autorização, exceto para 
operar o serviço (AWS, Stripe). Você pode exportar ou solicitar 
exclusão a qualquer momento. Tratamos dados com base em [base legal]. 
Para detalhes: [link para política completa].
```

**Versão completa:** estrutura da política com seções: dados coletados / finalidade / base legal / compartilhamento / direitos do titular / DPO / alterações / contato.

---

## ANTI-ERROS

- **Nunca dizer "em conformidade com a LGPD"** sem especificar a base legal de cada tipo de dado. "Conformidade com a LGPD" não é base legal — é consequência de ter uma base legal.
- **Dados de saúde têm base legal diferente** de dados comerciais — não usar "execução de contrato" para prontuário.
- **Menor de 18 anos: consentimento dos pais** — não do menor. Criar fluxo específico.
- **OpenAI/Claude como subprocessador**: se o SaaS usa API de IA de terceiros, os dados do cliente passam por essa API. Isso precisa estar no DPA. Verificar se o provedor de IA tem DPA disponível (Anthropic e OpenAI têm).
- **"LGPD ready" não existe como certificação** — é prática, não selo. Não usar esse termo no marketing.

---

## INTEGRAÇÕES

- `/saas-context-doc` — lê os campos SETOR e REGULAÇÃO
- `/saas-landing-blueprint` — Fase 4 → inserir na Seção 11.5 da LP
- `/saas-checkout-blueprint` — Fase 5 → inserir abaixo do botão de pagamento
- `/saas-success-metrics` — adicionar M-compliance: auditorias realizadas, solicitações de titulares atendidas no prazo, incidentes reportados à ANPD

---

---
## SALVAR OUTPUT (fazer ao finalizar esta skill)

Ao concluir, salve o resultado como `.saas/SAAS-S15-COMPLIANCE.md`:

```markdown
# SAAS-S15-COMPLIANCE.md
> Gerado: [data] | via /saas-compliance-br

SETOR: [confirmado]
REGULACAO-APLICAVEL: [lista de regulações identificadas]
LGPD-BASE-LEGAL: [base legal escolhida + artigo]

SECAO-LP-CONFORMIDADE:
[texto pronto para inserir na Seção 11.5 da LP — copiável diretamente]

TEXTO-CHECKOUT:
[texto pronto para inserir abaixo do botão de pagamento — copiável]

CLAUSULAS-TERMOS-USO-B2B:
[cláusulas relevantes para contrato B2B — copiáveis]

POLITICA-PRIVACIDADE-SIMPLIFICADA:
[versão simplificada em linguagem acessível — copiável]

CHECKLIST-AUDITORIA:
□ [item verificado]
□ [item verificado]

ALERTAS: [riscos específicos identificados — ou "nenhum"]
```

Após salvar: confirme "`.saas/SAAS-S15-COMPLIANCE.md` salvo ✓" e então mostre o OUTPUT PARA PRÓXIMA SKILL.

---

## OUTPUT PARA PRÓXIMA SKILL

---
**Próxima skill recomendada:** /saas-success-metrics
**Passe como input:**
- Regulação confirmada: [aqui — informar thresholds específicos de S14]
- Seção de conformidade da LP: [aqui — inserir em /saas-landing-blueprint seção 11.5]
- Texto de checkout: [aqui — inserir em /saas-checkout-blueprint abaixo do CTA]
- Subprocessadores identificados: [lista — verificar DPA de cada um]
---
