Saas Lgpd Ropa

---
name: saas-lgpd-ropa
description: Generate and maintain the Registro de Operações de Tratamento de Dados Pessoais (ROPA) required by LGPD Art. 37. Use when user asks for "ROPA", "registro de operações", "registro de tratamento", or as part of the saas-lgpd-audit pipeline. Consolidates input from `saas-lgpd-data-mapping` and `saas-lgpd-legal-basis` into the official ANPD template structure. Especially relevant when preparing for ANPD inspection or onboarding a new vendor that requests the ROPA.
user-invocable: true
model: sonnet
---

# ROPA — Registro de Operações de Tratamento

> **Interaction Localization Rule**:
> When locale: pt-BR (or user speaks Portuguese), ALL questions (AskUserQuestion / sk_question), confirmation prompts, and selectable options MUST be translated and presented in **Brazilian Portuguese (PT-BR)**.
> Any English question text or options in this skill are illustrative examples — NEVER display English questions or options to a Portuguese developer.
> Internal reasoning, code synthesis, tests, and technical documentation MUST remain in English (except Brazilian statutory compliance documents under .lgpd/).


Art. 37 LGPD: "O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, **especialmente quando baseado no legítimo interesse**."

## Pré-requisitos

- `.lgpd/data-map.md` preenchido (`saas-lgpd-data-mapping`)
- `.lgpd/legal-basis.md` preenchido (`saas-lgpd-legal-basis`)
- Encarregado designado (`saas-lgpd-dpo-encarregado`)

Se faltar algum, execute a skill correspondente antes.

## Modelo base — ANPD para ATPP (8 campos)

A ANPD publicou em 14/jun/2023 modelo simplificado para Agentes de Tratamento de Pequeno Porte. Use-o como **mínimo**; controladores maiores devem expandir.

### Campos obrigatórios

1. Informações de contato (controlador, operador, encarregado)
2. Categorias de titulares
3. Categorias de dados pessoais
4. Compartilhamento de dados
5. Medidas de segurança
6. Período de armazenamento (retenção)
7. Operação realizada (atividade + finalidade + hipótese legal)
8. Observações

### Campos adicionais (recomendados para controladores fora de ATPP)

9. Avaliação de risco (link para RIPD se houver)
10. Transferência internacional (link para `.lgpd/transfers/`)
11. Fonte dos dados
12. Decisão automatizada presente?
13. Evidências de segurança (políticas, ISO, SOC2)

## Template — `.lgpd/ROPA.md`

Ver `assets/ropa-template.md` para o template completo.

## Workflow

1. Leia `data-map.md` e `legal-basis.md`.
2. Para cada atividade no data map, gere uma linha no ROPA.
3. Liste **separadamente** atividades como controlador vs. como operador.
4. Inclua atividades baseadas em legítimo interesse com destaque.
5. Salve em `.lgpd/ROPA.md`.
6. **⏸ CHECKPOINT**: peça revisão do Encarregado / jurídico antes de considerar v1 final.
7. Configure revisão semestral em calendário.

## Quem precisa ter ROPA?

- **Todo controlador e todo operador** (Art. 37 — sem exceção formal).
- ATPP pode usar formato simplificado da ANPD (Res. 2/2022).
- Pessoa natural com tratamento não-econômico está fora do escopo da LGPD (Art. 4º, I).

## Quem pode pedir o ROPA?

- ANPD (em fiscalização)
- Titulares (em DSAR — Art. 19 — eles têm direito a saber as finalidades e compartilhamentos)
- Operadores (durante due diligence — pode pedir versão pública)
- Auditores

Manter versão pública (sem segredos comerciais/IP) é boa prática.

## Versionamento

- ROPA é **vivo**. Versione com Git.
- Toda nova atividade, mudança de finalidade ou novo operador → nova versão do ROPA.
- Header do arquivo deve ter: versão, data, changelog resumido.

## Status update

```markdown
## F10 — ROPA ✓
- ROPA v1.0 publicado em `.lgpd/ROPA.md`
- {N} atividades como controlador
- {M} atividades como operador
- Revisão semestral agendada para {data}
- Próximo: saas-lgpd-dpo-encarregado
```