法律工具包

技能文档

---
name: legal-kit
title: 法律工具包
category: 通用技能
description: 为交易构建完整的法律文件包，包括服务协议、数据处理协议、SLA附件及条款谈判地图。当用户需要准备法律文件包、起草服务协议、数据处理协议、SLA附件、合同谈判准备时触发。触发词：法律文件包、服务协议、数据处理协议、SLA附件。
---

# 法律工具包

交易流程的第6环节。法律文件是交易中最不能拖延的部分。任务：预先打包合同 + 数据协议 + SLA附件，根据客户所在司法管辖区和数据敏感度进行校准，并准备内部条款谈判地图。

## 使用场景

- 采购环节（第5环节）已完成 — 进入法律审查阶段。
- 负责人说"准备合同 + DPA"或"这个交易中患者数据怎么处理"。
- 客户的法务部门发来了 MSA 或模板，我们需要回复。

**不适用于**安全问卷（使用 `security-kit`）、采购供应商表格（使用 `procurement-kit`）或非商业协议。

## 输入

- **必填：** 客户名称 + 司法管辖区（CO、MX、US、EU 等）+ 处理的数据类型（临床 PHI、PII、非临床敏感数据、非敏感数据）。
- **可选：** 客户 MSA 模板、历史谈判记录、第4环节中商定的特殊条件。

## 技能工作流

### 步骤1：确定所需法律文件组合

| 组合 | 所需文件 |
|---|---|
| CO + 敏感数据（PHI、PII） | MSA + 哥伦比亚数据保护法（Ley 1581 / Decreto 1377）+ SLA附件 |
| CO + 非敏感数据 | MSA + MSA中的数据保护条款 + SLA附件 |
| EU + 任何个人数据 | MSA + GDPR DPA + 国际传输SCCs（如适用）+ SLA附件 |
| US + 医疗PHI | MSA + HIPAA BAA + 安全附件 + SLA附件 |
| US + 非医疗 | MSA + DPA + SLA附件 |
| LATAM（MX、CL、PE、AR） | MSA + 当地DPA + SLA附件 |

如组合不在上表中，暂停并咨询法务团队。不可自行决定。

### 步骤2：构建 MSA / 服务协议

- 当事人、标的、期限（默认12个月自动续期）、付款。
- 服务范围（引用第4环节验证的 SOW / 提案）。
- 服务水平（引用SLA附件）。
- 责任限制：通常以过去12个月已付金额为上限。
- 双向保密、知识产权（我方保留产品知识产权，客户保留其数据）。
- 终止：因违约终止设30天补救期，便利终止设60天通知期。
- 适用法律及争议解决方式根据司法管辖区确定。

### 步骤3：构建 DPA / 数据保护协议 / BAA

- **CO（数据保护法）：** 处理目的、数据主体类别、国际传输、留存期限、数据主体权利、技术安全措施。
- **EU（GDPR DPA）：** 角色（controller / processor）、第28条、子处理者、72小时泄露通知、DPIA支持、数据离开EEE时的SCCs。
- **US医疗（HIPAA BAA）：** 允许用途、保障措施（行政/物理/技术）、泄露通知、分包商、终止时PHI的归还/销毁。
- 子处理者列表（Vercel、Supabase、OpenAI、Anthropic、Google等）及所在国家和用途。

### 步骤4：构建 SLA 附件

- 可用性：标准月度99.5%正常运行时间；如客户要求高级版则为99.9%。
- 响应时间：L1在4个工作小时内，L2在24小时内，L3/热修复按具体SLA。
- 计划维护：明确窗口 + 提前通知。
- 惩罚措施：按标准公式计算服务积分（非现金折扣）。
- 排除项：外部原因、客户修改、不可抗力。

### 步骤5：预判可能的条款谈判

- 责任限制：企业客户会要求在特定情况下不设上限（如因我方过失导致的数据泄露）。立场：12个月上限，故意违约或重大过失导致的数据泄露除外。
- 第三方知识产权赔偿：接受但设上限。
- 审计权：接受，需提前通知，费用由客户承担，每年不超过1次。
- 子处理者：变更前30天通知，客户有权反对。
- 数据驻留：如客户要求仅限LATAM，可能需要额外配置。
- 便利终止：接受，需通知 + 按比例付款。

### 步骤6：输出结构

```markdown
# 法律工具包 — <企业名称> · 司法管辖区: <CO / EU / US>

## 适用法律文件组合
<根据司法管辖区 + 数据类型列出所需文件>

## 1. MSA
<引用模板 + 交易变量>

## 2. DPA / 数据保护协议 / BAA
<引用模板 + 子处理者列表>

## 3. SLA附件
<可用性、响应时间、惩罚措施、排除项>

## 4. 预判条款谈判
- <条款 → 我方立场 → 谈判空间>
- 至少列出6项预判谈判点

## 5. 需要升级审批的事项
- <需要法务批准后方可签署的事项>

## 6. 下一步
<谁发送什么给谁，目标日期>
```

### 步骤7：更新 CRM

- 附上法律文件包。
- 记录发送日期。
- 当客户法务确认批准或谈判点可控时，`pipeline_stage = 7.security`。

## 常见陷阱

- **症状：** 交易不涉及PHI却签署了HIPAA BAA。**原因：** 复制了之前的法律工具包。**修正：** 根据司法管辖区 **+ 数据类型** 映射文件组合，而非仅根据国家。
- **症状：** 未经升级即接受无上限责任。**原因：** 业务方想推进交易。**修正：** 无上限责任必须升级至CEO/CFO审批。
- **症状：** SLA承诺99.99%但架构不支持。**原因：** 迎合客户要求。**修正：** 99.5%为标准；99.9%需工程验证；>99.9%需升级审批。
- **症状：** 子处理者列表不完整。**原因：** 遗漏了某个处理者。**修正：** 列表必须包含所有有数据访问权限的供应商。
- **症状：** 预判谈判点与客户实际要求不符。**原因：** 映射过于笼统。**修正：** 参考行业历史谈判记录进行校准。

## 验证

- 法律文件组合与步骤1表格中的司法管辖区 + 数据类型匹配。
- 子处理者列表完整且反映实际技术栈。
- SLA方案在架构支持范围内。
- 预判谈判点针对客户所在行业/规模，非泛泛而谈。
- 需升级审批的事项已明确标注。

## 参考资料

- [`sales-pipeline`](../sales-pipeline/) — 完整销售流程。
- [`procurement-kit`](../procurement-kit/) — 前一环节。
- [`security-kit`](../security-kit/) — 下一环节。
- [`postcall-recap`](../postcall-recap/) — 记录谈判中商定的条款。

使用说明

# 法律工具包

为交易构建完整法律文件包的通用技能。

## 功能简介

根据客户所在司法管辖区和数据敏感度，预先打包服务协议（MSA）、数据处理协议（DPA/BAA）、SLA附件，并生成条款谈判地图，预判对方可能提出的谈判要点。

## 使用示例

- "准备CO客户的合同 + DPA"
- "为EU交易构建法律文件包"
- "这个交易中患者数据怎么处理"
- "预判客户可能的条款谈判要点"

## 工作原理

1. **确定文件组合** — 根据司法管辖区 + 数据类型映射所需法律文件
2. **构建MSA** — 当事人、期限、责任限制、保密、知识产权等
3. **构建DPA/BAA** — 根据管辖区选择适用的数据保护框架
4. **构建SLA附件** — 可用性、响应时间、惩罚措施
5. **预判谈判点** — 至少6项基于行业和客户的条款谈判预判
6. **输出完整文件包** — 含升级审批事项和下一步计划

如何安装此技能？

访问技能市场，点击「安装」按钮，按提示将技能包放入 AI 编程助手的 skills 目录即可。