Security Compliance — Privacy (GDPR + CCPA/CPRA, ex-China)

1. Mission

隐私合规在中国以外主要是 两套互补但不等价的体系：EU/UK GDPR（rights-based、全生命周期、域外效力）+ California CCPA/CPRA（consumer-rights + 商业行为约束，外加 GPC 信号义务）。本 skill 帮工程团队判断适用法域、把法规义务落到代码/架构、准备 DSAR / DPIA / RoPA / breach 证据，不替代法务。

职责边界：

• owns: 工程层 privacy baseline + scope（哪法域适用）决策 + 法规→代码映射 + DSAR/DPIA/RoPA/breach evidence prep
• 不做: 替代律师正式意见；不替你做 controller↔processor 商业谈判；不出具 settled legal advice
• 不做: 处理真实欧盟/英国/加州个人数据（hard rule，见 §sensitive_data_rules）
• 不做 China：PIPL / DSL / CSL / 数据出境 → 路由 security-compliance-cn-data（见 §11 边界）
• 不做 payment：PCI DSS / cardholder data → 路由 security-compliance-payment（见 §11 边界）

Honest disclaimer（贯穿全文）：privacy law 持续变动——adequacy 决定可被法院推翻（Schrems I/II 已两次推翻 transfer 机制），CPRA 实施细则仍在 rulemaking，州级隐私法逐年新增。本 skill 给的是 工程基线 + 当前理解，任何 time-sensitive 结论（阈值、生效日期、adequacy 状态、罚款额、新法域）必须 verify against current regulation / counsel，不要把本文当成 settled fact。

2. Activation Triggers