legal-compliance

name	legal-compliance
description	SaaS/설치형 소프트웨어 법률 컴플라이언스 체크리스트 — GDPR, 개인정보보호법, 보안, 약관, 라이선스, 접근성, 결제/세금. 소송 방지 수준의 필수 이행 항목.
metadata	{"bashPattern":["legal","법률","컴플라이언스","GDPR","개인정보","약관","privacy","terms","license","보안감사"],"filePattern":["**/privacy*","**/terms*","**/LICENSE*","**/.env*"],"priority":10}

Legal Compliance Checklist (글로벌 SaaS/소프트웨어)

소송에 휘말리지 않을 정도의 최소 이행 기준. 완벽하지 않지만, 이것만 해도 대부분의 법적 리스크를 90% 이상 차단.

사용법

법률 에이전트에게 전달:

/legal-compliance check --project PROJECT_NAME

칸반 티켓으로 자동 생성:

kanban_ticket_create(team_id, title="[법률] 개인정보처리방침 작성", tags=["legal","privacy"])

---

1. 개인정보보호 (Privacy)

1.1 필수 문서

• 개인정보처리방침 (Privacy Policy) — 수집 항목, 이용 목적, 보유 기간, 제3자 제공, 파기 절차 명시
• 쿠키 정책 (Cookie Policy) — 쿠키 유형, 목적, 거부 방법
• GDPR 준수 선언 (EU 사용자 대상 시) — DPO 연락처, 데이터 이전 근거
• CCPA 준수 (캘리포니아 사용자 대상 시) — Do Not Sell 옵션

1.2 기술적 조치

• 동의 배너 (Consent Banner) — 쿠키/추적 동의 UI (opt-in, 거부 가능)
• 데이터 암호화 — 전송 중(TLS 1.2+), 저장 시(AES-256 또는 bcrypt)
• 비밀번호 해싱 — bcrypt/scrypt/argon2 사용 (MD5/SHA1 금지)
• 개인정보 최소 수집 — 서비스에 필수적인 정보만 수집
• 데이터 삭제 기능 — 사용자 요청 시 30일 내 완전 삭제
• 데이터 다운로드/이전 — 사용자 데이터 JSON/CSV 다운로드 기능
• 접근 로그 — 개인정보 접근 기록 (관리자 포함)
• 익명화/가명화 — 분석용 데이터는 비식별화 처리

1.3 한국법 특수

• 개인정보보호법 제15조(수집동의), 제17조(제3자 제공), 제21조(파기)
• 정보통신망법 제22조(이용자 동의) — 필수/선택 동의 분리
• 개인정보 처리위탁 계약 — 클라우드/SaaS 벤더 위탁 계약서
• 만 14세 미만 — 법정대리인 동의 절차 (해당 시)

---

2. 이용약관 (Terms of Service)

2.1 필수 조항

• 서비스 정의 — 제공 범위, 이용 자격
• 계정 규정 — 가입, 본인 확인, 계정 정지/삭제 기준
• 금지 행위 — 불법 사용, 남용, 스팸, 해킹 시도
• 지적재산권 — 콘텐츠 소유권, 라이선스 범위
• 면책 조항 (Disclaimer) — 서비스 중단, 데이터 손실에 대한 책임 한도
• 책임 제한 (Limitation of Liability) — 직접/간접 손해 배상 한도
• 분쟁 해결 — 준거법, 관할 법원 (또는 중재 조항)
• 약관 변경 절차 — 30일 전 고지, 이메일 통보
• 해지/환불 — 구독 해지 절차, 환불 정책 (7일/30일)

2.2 SaaS 특수

• SLA (Service Level Agreement) — 가용성 목표 (99.9% 등), 크레딧 정책
• 데이터 소유권 — 사용자 데이터는 사용자 소유, 서비스 종료 시 데이터 반환
• API 이용 약관 — Rate limit, 상업적 사용 조건
• 제3자 서비스 면책 — Stripe, AWS 등 외부 서비스 장애 면책

---

3. 보안 (Security)

3.1 인프라

• HTTPS 강제 — HTTP→HTTPS 리다이렉트, HSTS 헤더
• 방화벽/WAF — Vercel/Cloudflare 기본 보호 또는 별도 설정
• DDoS 보호 — CDN/클라우드 기본 보호 활성화
• 환경 변수 관리 — .env 파일 gitignore, 시크릿 매니저 사용
• API 키 보호 — 클라이언트 노출 금지, 서버사이드만 사용
• CORS 설정 — 허용 도메인 명시적 설정

3.2 인증/인가

• 인증 시스템 — 안전한 세션/토큰 관리 (HttpOnly, Secure, SameSite)
• 비밀번호 정책 — 최소 8자, 복잡도 권장
• 2FA 지원 — OTP/TOTP 옵션 (필수 아님, 권장)
• Rate Limiting — 로그인 시도 제한 (5회/분)
• CSRF 보호 — 토큰 또는 SameSite 쿠키
• SQL Injection 방지 — 파라미터 바인딩 필수
• XSS 방지 — 출력 이스케이프, CSP 헤더

3.3 데이터 보안

• 백업 — 최소 일 1회, 30일 보관
• 로깅/감사 — 보안 이벤트 로그 (로그인, 권한 변경, 데이터 접근)
• 침해 사고 대응 계획 — 72시간 내 통보 절차 (GDPR 요구사항)
• 취약점 스캔 — 최소 분기 1회 (npm audit, pip audit)

---

4. 라이선스 (Open Source)

4.1 의존성 라이선스 감사

• 라이선스 호환성 검사 — GPL 오염 방지 (GPL 라이브러리 → SaaS 전체 GPL 위험)
• NOTICE 파일 — 사용 오픈소스 목록, 라이선스 표기
• copyleft 라이선스 분리 — AGPL/GPL 라이브러리는 별도 프로세스에서 실행
• 자체 라이선스 명시 — MIT/Apache 2.0/Proprietary 명확히

4.2 위험 라이선스

라이선스	SaaS 영향	조치
MIT/BSD/ISC	안전	NOTICE에 포함
Apache 2.0	안전	특허 조항 주의
LGPL	주의	동적 링크만 허용
GPL v2/v3	위험	SaaS는 해당 없을 수 있으나, 배포 시 소스 공개
AGPL	매우 위험	네트워크 사용도 소스 공개 의무
SSPL	사용 금지	MongoDB 등 — 경쟁 서비스 제한

---

5. 접근성 (Accessibility)

• WCAG 2.1 AA 준수 — 최소 기본 접근성 (색상 대비, 키보드 내비게이션)
• alt 속성 — 모든 이미지에 alt text
• 시맨틱 HTML — header, main, nav, footer 사용
• 스크린 리더 호환 — aria-label, role 속성

---

6. 결제/세금 (SaaS 과금 시)

• 결제 시스템 — PCI DSS 준수 결제 대행 (Stripe, TossPayments)
• 영수증/세금계산서 — 자동 발행 (전자세금계산서 의무)
• 환불 정책 — 명확한 환불 조건 및 기간
• 구독 해지 — 자동 갱신 고지, 쉬운 해지 UI
• 가격 변경 통보 — 30일 전 사전 고지
• VAT/부가세 — 국가별 세율 적용 (EU VAT, 한국 부가세)

---

7. 콘텐츠/AI 관련

• AI 생성 콘텐츠 표시 — AI로 만든 콘텐츠 명시 (EU AI Act)
• 저작권 침해 방지 — DMCA takedown 절차
• 사용자 생성 콘텐츠 면책 — UGC 관련 면책 조항 (통신품위법 Section 230 참조)
• AI 모델 데이터 — 학습 데이터 출처 명시, 개인정보 미포함 확인

---

8. 프로젝트별 적용 가이드

체크리스트 실행 방법

1. 스킬 호출: 각 프로젝트에서 /legal-compliance 실행
2. 법률 에이전트 배정: kanban_member_spawn(team_id, role="legal", display_name="legal-agent")
3. 항목별 티켓 자동 생성: 미이행 항목 → 칸반 티켓으로 변환
4. 산출물 등록: 작성된 문서 → kanban_artifact_create(artifact_type="docs")

우선순위 매핑

카테고리	우선순위	이유
개인정보보호	Critical	과태료 최대 매출 4% (GDPR), 3천만원 (한국)
이용약관	High	분쟁 시 법적 근거 부재
보안	Critical	해킹 시 형사 책임 가능
라이선스	High	GPL 오염 시 소스 공개 의무
접근성	Medium	소송 증가 추세 (미국)
결제/세금	High	탈세 → 형사 처벌
AI/콘텐츠	Medium	EU AI Act 2025 시행

---

9. 자동 검수 항목 (올라마 연동)

올라마 Supervisor가 Review 시 확인할 법률 체크포인트:

• privacy.html / privacy-policy 페이지 존재 여부
• terms.html / terms-of-service 페이지 존재 여부
• HTTPS 강제 설정 확인
• .env 파일 gitignore 포함 여부
• 비밀번호 해싱 방식 확인 (bcrypt/argon2)
• CORS 설정 확인
• 라이선스 파일 존재 여부