Data Mapping LGPD

Inventário canônico de todas as atividades de tratamento de dados pessoais no projeto. Deve ser executado antes de lgpd-legal-basis (mapa preliminar → atribuição de base legal por atividade → mapa consolidado) e serve de insumo direto para ROPA (Art. 37), RIPD (Art. 38), retenção e DSAR.

Workflow de descoberta

Em projetos Greenfield (Pipeline A — F1)

1. Liste cada funcionalidade/jornada planejada que coleta, armazena, consulta, compartilha ou descarta dados relacionados a pessoa natural identificada ou identificável (Art. 5º, I).
2. Gere o mapa preliminar em .lgpd/data-map.md com finalidades concretas, atributos, agentes externos e seus papéis jurídicos; em seguida acione lgpd-legal-basis (F2) para preencher e validar as bases legais.

Em sistemas Legados ou Híbridos (Pipeline B — L2)

Faça engenharia reversa sistemática no repositório:

1. ** Persistência**: schemas Prisma/SQL/NoSQL, migrations, buckets de objetos (S3/GCS/R2), filas e caches (Redis).
2. Superfície de API e jobs: rotas REST/GraphQL/tRPC, Server Actions, webhooks, workers e rotinas cron.
3. Cookies, pixels e trackers web: leitura/escrita de cookies (httpOnly, sessão, atribuição, marketing), localStorage/sessionStorage, Google Tag Manager, Meta/TikTok/LinkedIn pixels, scripts de replay de sessão (Hotjar, PostHog, FullStory).
4. SDKs, eventos de produto e telemetria: chamadas identify/track (Segment, Mixpanel, Amplitude, Firebase Analytics), APMs e error trackers (Sentry, Datadog — verificar se capturam headers, body, IP ou e-mail em breadcrumbs/logs).
5. Coletas mobile (React Native / iOS / Android): permissões em app.json, Info.plist e AndroidManifest.xml, push tokens (Expo/FCM/APNs), identificadores de dispositivo/publicidade (IDFA/GAID), geolocalização, câmera/galeria, contatos, área de transferência (clipboard) e armazenamento local (AsyncStorage vs. SecureStore/Keychain).

O que registrar por atividade de tratamento