feat: bootstrap PolicyWeave privacy policy workspace

.github/workflows/ci.yml

@@ -0,0 +1,22 @@
+name: CI
+on:
+  pull_request:
+  push:
+    branches: [main, develop]
+permissions:
+  contents: read
+jobs:
+  verify:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+        with:
+          persist-credentials: false
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
+        with:
+          node-version: 22
+          cache: npm
+      - run: npm ci
+      - run: npm run lint
+      - run: npm test
+      - run: npm run build

.gitignore

@@ -0,0 +1,6 @@
+node_modules
+dist
+.env
+coverage
+playwright-report
+*.tsbuildinfo

AGENTS.md

@@ -0,0 +1,19 @@
+# AGENTS.md
+
+## Product responsibility
+PolicyWeave is a local-first privacy-policy fact-authoring workspace. It structures facts supplied by a service operator, detects missing or contradictory inputs, and renders a review draft. It does not provide legal advice, certify compliance, or infer facts that the operator has not established.
+
+## Development contract
+- Treat structured policy facts as the source of truth; rendered policy prose is a deterministic projection.
+- Preserve the seven authoring steps in `docs/PRD.md`: service information, collection items, purposes, retention, third-party transfer, international transfer, and privacy contact.
+- Behavior changes require regression or edge-case tests first. Do not resolve a review finding until the exact current head proves the finding obsolete or fixed.
+- Re-fetch the PR head before every commit/push. Never force-push or weaken branch/ruleset protections to merge.
+- Keep `ARCHITECTURE.md`, `docs/TRD.md`, ADRs, `docs/research-traceability.md`, `CHANGELOG.md`, and `docs/product-technical-gap-baseline.md` aligned with implementation.
+- Do not encode legal conclusions from memory. Every legal/rule/template decision needs an authoritative source, effective date, source revision, and implementation/test trace.
+- Do not commit identifying customer, individual, or real operational-organization data in tests, examples, fixtures, or product documentation. Publicly documented legal authorities, official document titles, standards bodies, source publishers, and the repository owner may be named when required for accurate provenance and citation. Production must not consume synthetic demo data.
+- Keep persistence objects semantically named with at least two words and `snake_case` unless a framework contract requires another convention. Avoid generic named persistence objects such as a standalone `id` table/collection.
+- Hosted persistence/publication must be introduced only behind explicit tenant, authorization, audit, encryption, immutable revision, and supersession contracts.
+- GitHub Actions dependencies stay SHA pinned and checkout credentials must not persist.
+
+## Verification
+The minimum exact-head gate is `npm run lint`, `npm test`, and `npm run build`, plus every live organization-required workflow, independent approval, and resolved review thread. Queued, skipped, predecessor-head, or stale results are not passing evidence.

ARCHITECTURE.md

@@ -0,0 +1,36 @@
+# Architecture
+
+## Product boundary
+PolicyWeave owns the authoring and review of structured privacy-processing facts and the deterministic generation of a review draft. It does not own legal advice, identity-provider data, payment processing, or a customer's source systems. Hosted publication and durable storage are future supporting capabilities, not authority to invent or reinterpret processing facts.
+
+## Domain-driven design
+The core subdomain is **Policy Fact Authoring**. Supporting subdomains are **Review & Publication** and **Legal Source Registry**. Browser/storage frameworks, authentication infrastructure, observability, and deployment are generic subdomains.
+
+### Bounded contexts
+- **Policy Fact Authoring**: captures `service_profile`, `collection_item`, `processing_purpose`, `retention_rule`, `third_party_transfer`, `international_transfer`, and `privacy_contact` facts.
+- **Review & Publication**: derives `review_finding`, controls `policy_revision` review state, and will create immutable `publication_revision` artifacts only after explicit authorization.
+- **Legal Source Registry**: versions authoritative sources, effective dates, rule/template revisions, and citations. It is an anti-corruption layer between changing external law/guidance and already-published revisions.
+
+### Context map
+`Policy Fact Authoring -> Review & Publication` is a customer/supplier relationship through a versioned policy-fact contract. `Legal Source Registry -> Review & Publication` supplies versioned rule evidence; source updates cannot silently mutate historical policy revisions. External customer systems remain behind adapters and must not be queried or mutated through hidden coupling.
+
+## Ubiquitous language and model
+A future `policy_revision` is the minimal aggregate root and transaction boundary. `collection_item`, `processing_purpose`, `retention_rule`, `third_party_transfer`, `international_transfer`, and `privacy_contact` are revision-owned facts/value objects unless later evidence requires independent lifecycles. `review_finding` is derived evidence. `publication_revision` is an immutable release receipt, not a mutable policy row. Rendered prose is a projection and never the source of truth.
+
+Core invariants:
+1. A selected collection item cannot pass review without a non-empty processing purpose.
+2. Review findings navigate to the fact that caused them.
+3. Publication must never upgrade an unreviewed or incomplete draft to a reviewed/authoritative state.
+4. A published revision remains reproducible from its policy facts plus rule/template/source versions.
+5. External legal-source updates produce explicit re-evaluation, not silent rewriting.
+
+## Current implementation
+The active MVP is a React/Vite browser workspace. State is in memory and there is no production persistence or publication backend. The seven PRD steps are routed to distinct editing surfaces. `src/policy.ts` owns the current collection-item review rule; `src/App.tsx` owns browser orchestration and deterministic preview rendering.
+
+## Persistence boundary (planned, not implemented)
+Use relational 3NF by default. Named database/schema/persistence objects use at least two semantic words and `snake_case`, for example `policy_revision`, `collection_item`, `processing_purpose`, `review_finding`, `publication_revision`, and `legal_source_revision`. Item-level UPSERTs must declare their natural/idempotency key and conflict behavior. Publication is append-only/immutable with explicit supersession; writes across unrelated aggregates must not share a transaction merely for convenience.
+
+Separate write-side draft commands from read-side rendered/review projections once hosted traffic justifies it. Account for revision hot spots and optimistic/constrained writes before adding collaborative editing. Keep source/customer integrations behind ACLs; do not form a shared kernel with unrelated ContextualWisdomLab products without demonstrated reuse.
+
+## Deployment and operability direction
+The browser-only MVP needs no service mesh. A hosted backend should be compose-deployable across Docker/Podman/Colima before Kubernetes migration, expose asynchronous/non-blocking request handling, and add realistic k6 evidence for network surfaces before latency claims. No code may depend on an optional `close_connection` instance attribute existing unless the adapter contract guarantees it.

CHANGELOG.md

@@ -0,0 +1,23 @@
+# Changelog
+
+All notable product changes are recorded here. PolicyWeave is pre-release; entries describe the active commercialization branch and do not imply a published compliance product.
+
+## Unreleased
+
+### Added
+- Seven-step authoring workflow with distinct editing surfaces for service information, collection items, processing purposes, retention, third-party transfer, international transfer, and privacy contact.
+- Warning-to-source navigation for missing processing purposes.
+- Regression coverage for all seven step routes, warning navigation, clearing the publication blocker after a missing purpose is supplied, whitespace-only purposes, and collection-path/purpose step separation.
+- Product/technical gap ledger, architecture, technical requirements, security baseline, and legal-source traceability.
+
+### Changed
+- Collection-path editing now remains available for every selected item in the collection step, while processing-purpose editing stays in its dedicated purpose step.
+- Review preview now reflects verified authoring facts instead of presenting the collection step as the entire workflow.
+- Responsive review behavior and mobile publication feedback were repaired during PR review.
+- GitHub Actions checkout dependencies are SHA pinned and credentials are not persisted in the working tree.
+
+### Not yet shipped
+- Durable versioned policy persistence and audit history.
+- Authenticated immutable publication revisions and public URL lifecycle.
+- Browser-matrix/accessibility evidence and hosted endpoint load testing.
+- Legal/rule engine backed by versioned authoritative requirements.

CLAUDE.md

@@ -0,0 +1,7 @@
+# CLAUDE.md
+
+Follow `AGENTS.md` as the repository-wide operating contract.
+
+Before changing code, read `docs/PRD.md`, `ARCHITECTURE.md`, the applicable ADRs, `docs/TRD.md`, `docs/research-traceability.md`, and `docs/product-technical-gap-baseline.md`. Preserve PolicyWeave's boundary: verified operator facts in, deterministic reviewable policy projection out; no legal-advice or compliance-guarantee claims.
+
+For behavior changes, add or strengthen tests before production code. Reconcile documentation and the product-gap ledger on the same branch. Use the exact current PR head for reviews, checks, and merge decisions, and never bypass governance to compensate for a failing or unassigned check.

LICENSE

@@ -0,0 +1,9 @@
+MIT License
+
+Copyright (c) 2026 ContextualWisdomLab
+
+Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

README.md

@@ -1,25 +1,118 @@
 # PolicyWeave
 
-웹·앱 운영자가 실제 개인정보 처리 흐름을 입력하면, 누락과 모순을 표시하면서 개인정보처리방침 검토본을 만드는 로컬 우선 웹 앱입니다.
+[![Ask DeepWiki](https://deepwiki.com/badge.svg)](https://deepwiki.com/ContextualWisdomLab/PolicyWeave)
 
-> 생성 결과는 법률 자문이나 준법 보장이 아닙니다. 공개 전 개인정보보호책임자 또는 법률 전문가의 검토가 필요합니다.
+**실제 개인정보 처리 사실을 구조화해, 누락과 모순을 찾고 검토 가능한 개인정보처리방침 초안을 만드는 로컬 우선 워크스페이스입니다.**
 
-## 실행
+PolicyWeave는 범용 법률 문구를 임의로 채우는 생성기가 아닙니다. 운영자가 확인한 서비스 사실을 단계별로 입력하면 수집 항목, 처리 목적, 보유 기간, 제3자 제공, 국외 이전과 담당자 정보를 서로 연결하고, 공개 전에 다시 확인해야 할 지점을 보여 줍니다.
+
+> PolicyWeave의 출력은 법률 자문, 준법 보장 또는 인증이 아닙니다. 공개 전 개인정보보호책임자 또는 적절한 법률 전문가의 검토가 필요합니다.
+
+## 누구를 위한 제품인가
+
+| 사용자 | PolicyWeave가 돕는 일 |
+| --- | --- |
+| 웹·앱 운영자 | 실제 서비스의 개인정보 처리 흐름을 빠짐없이 정리하고 검토본을 만든다. |
+| 개인정보보호 책임자 | 입력 사실, 누락 경고와 검토 필요 항목을 한 흐름에서 확인한다. |
+| 제품·개발 팀 | 정책 문구보다 먼저 구조화된 처리 사실과 책임 경계를 합의한다. |
+| 통합·유지보수 담당자 | 정책 데이터 모델, 제품 요구사항과 결정 기록을 저장소에서 추적한다. |
+
+## 현재 할 수 있는 일
+
+현재 소스는 다음 7단계 작성 흐름을 구현합니다.
+
+1. 서비스 정보
+2. 수집 항목
+3. 처리 목적
+4. 보유 기간
+5. 제3자 제공
+6. 국외 이전
+7. 개인정보 보호 담당자
+
+선택한 수집 항목에는 수집 경로와 처리 목적을 별도로 기록할 수 있습니다. 필수 사실이 없거나 처리 목적이 비어 있으면 검토본이 이를 숨기지 않고 차단 또는 검토 경고로 드러내며, 경고에서 원인이 있는 입력 단계로 돌아갈 수 있습니다. 작성 내용은 실시간 검토본에 반영되고 모바일·키보드 사용도 고려합니다.
+
+## 빠른 시작
+
+현재 제품은 저장소에서 실행하는 초기 개발 버전입니다. 패키지 메타데이터는 `0.1.0`이지만 GitHub에 게시된 릴리스는 아직 없습니다.
 
 ```bash
-npm install
+npm ci
 npm run dev
 ```
 
-검증은 `npm run lint`, `npm test`, `npm run build`로 수행합니다.
+프로덕션 번들 및 검증:
+
+```bash
+npm run lint
+npm test
+npm run build
+```
+
+`npm ci`는 체크인된 `package-lock.json`을 사용합니다. 이 저장소는 `private: true` 패키지이므로 npm 배포물을 제품 릴리스로 간주하지 않습니다.
+
+## 제품 경계
+
+PolicyWeave가 책임지는 것은 **운영자가 입력한 개인정보 처리 사실의 구조화, 검토 지원, 결정적인 검토본 생성**입니다.
+
+PolicyWeave는 다음을 권위 있게 판단하지 않습니다.
+
+- 실제 서비스가 어떤 SDK·쿠키·데이터를 사용하는지 자동 추측
+- 특정 처리의 법적 적법성에 대한 최종 판단
+- 동의가 필요한지 여부를 모든 상황에 동일하게 결정
+- 법률 자문, 규제기관 판단, 인증 또는 감사 의견 대체
+- 아직 구현되지 않은 정적 공개 URL·호스팅 백엔드를 현재 기능처럼 표시
+
+향후 공개·버전 이력·영속화가 추가되더라도, 사람이 확인한 처리 사실과 책임자 검토가 자동 생성 문구보다 우선합니다.
+
+## 동작 방식
+
+```text
+운영자가 확인한 처리 사실
+        │
+        ▼
+7단계 구조화 편집
+        │
+        ├── 필수 사실/관계 검증
+        ├── 차단 오류와 검토 경고
+        └── 원인 단계로 이동
+        │
+        ▼
+실시간 개인정보처리방침 검토본
+        │
+        ▼
+책임자·법률 검토 후 별도 공개 결정
+```
+
+현재 브라우저 애플리케이션은 작성과 검토 경험에 집중합니다. PRD에 기록된 정적 공개 URL, 버전 영속화와 배포 계약은 후속 제품 작업이며 현재 구현으로 과장하지 않습니다.
+
+## 개인정보와 보안 관점
+
+PolicyWeave는 개인정보처리방침을 만들기 위해 불필요한 실제 개인정보를 수집하도록 설계하지 않습니다. 정책 작성에는 서비스의 **처리 범주와 운영 사실**을 입력하고, 사람·고객의 실제 민감 값을 데모나 문서에 복사하지 않는 것이 기본 원칙입니다.
+
+보안 및 신뢰 경계는 [`SECURITY.md`](SECURITY.md)와 기술 문서에서 관리합니다. 새 저장·호스팅·외부 연동 기능은 별도의 인증·권한·감사·tenant 경계를 갖추기 전까지 현재 기능으로 취급하지 않습니다.
+
+## 문서
+
+- [제품 요구사항](docs/PRD.md) — 사용자 문제, MVP, 비목표와 성공 기준
+- [기술 요구사항](docs/TRD.md) — 구현 및 품질 계약
+- [아키텍처](ARCHITECTURE.md) — 제품 책임과 기술 경계
+- [ADR-0001: Policy as Data](docs/ADR-0001-policy-as-data.md) — 핵심 설계 결정
+- [제품·기술 Gap baseline](docs/product-technical-gap-baseline.md) — 아직 닫히지 않은 상용화 Gap과 완료 증거
+- [공개 문서 홈](docs/index.md) — 저장소 문서 탐색 시작점
+- [변경 이력](CHANGELOG.md)
+
+## 기여와 검증
+
+동작을 바꾸는 변경은 해당 사용자 흐름의 회귀 테스트와 문서 계약을 함께 갱신해야 합니다. 작업 전 [`AGENTS.md`](AGENTS.md)와 [`CLAUDE.md`](CLAUDE.md)를 읽고, 최소한 다음 검증이 동일한 head에서 통과하는지 확인합니다.
+
+```bash
+npm run lint
+npm test
+npm run build
+```
 
-## 현재 범위
+통과한 로컬 명령이나 PR branch 자체는 배포·인증·규제 준수 또는 게시 릴리스의 증거가 아닙니다.
 
-- 7단계 작성 흐름과 진행 상태
-- 개인정보 수집 항목 선택 및 필수/선택 구분
-- 조건부 상세 입력
-- 실시간 검토본과 법적 근거 표시
-- 차단 오류와 권장 검토 항목 구분
-- 반응형 작성/미리보기 전환
+## 라이선스
 
-제품 요구사항과 결정 기록은 [`docs/PRD.md`](docs/PRD.md), [`docs/ADR-0001-policy-as-data.md`](docs/ADR-0001-policy-as-data.md)에 있습니다.
+PolicyWeave의 ContextualWisdomLab 원저작 소스와 문서는 [MIT License](LICENSE)로 제공됩니다. npm 의존성, 표준 문서, 외부 서비스·자산은 각각의 라이선스와 이용 조건을 유지하며 이 저장소의 MIT grant가 이를 재라이선스하지 않습니다. 상업적 사용과 배포에 적합하지 않은 inbound 소프트웨어·자산은 제품 의존성으로 반입하지 않습니다.

docs/ADR-0001-policy-as-data.md

@@ -0,0 +1,15 @@
+# ADR-0001: 정책 문서보다 정책 데이터를 원본으로 둔다
+
+상태: 채택
+
+## 결정
+
+수집 항목, 목적, 보유 기간, 제공 대상, 이전 국가와 연락처를 구조화된 정책 데이터로 저장한다. 화면의 문서는 이 데이터에서 결정적으로 렌더링한다.
+
+## 이유
+
+문자열 문서를 직접 편집하면 동일 항목이 표·본문·요약에서 불일치할 수 있다. 구조화된 원본은 검증 규칙, 변경 이력, 다국어 렌더러와 공개 API를 같은 계약 위에 올릴 수 있다.
+
+## 결과
+
+자유 문구가 필요한 예외에는 출처와 검토 상태를 함께 저장해야 한다. 법령 변경은 템플릿 버전과 규칙 세트 버전으로 추적한다.

docs/ADR-0002-seven-step-authoring-workflow.md

@@ -0,0 +1,18 @@
+# ADR-0002: Seven-step authoring is an explicit domain workflow
+
+Status: Accepted
+Date: 2026-09-01
+
+## Context
+The PRD defines seven authoring stages, but an early implementation changed only the step rail while always rendering the collection-item editor. This made the buyer-facing workflow appear complete while most facts were not editable and review findings could not lead the operator to the responsible input.
+
+## Decision
+Each PRD stage is an explicit editable state of the Policy Fact Authoring context: service information, collection items, processing purposes, retention, third-party transfer, international transfer, and privacy contact. The UI router must render a corresponding editor for the selected stage. Review findings carry enough domain context to navigate to the responsible stage.
+
+The workflow is not a legal state machine. Completion of a UI step does not mean legal sufficiency. Legal/rule completeness is determined separately by deterministic review rules bound to versioned authoritative source evidence.
+
+## Consequences
+- Navigation and review-to-source behavior are regression-tested.
+- The preview remains a projection over structured facts and cannot become an independent source of truth.
+- Future persistence stores facts and revision/review state rather than serialized page prose.
+- Additional legal validations can grow without redefining the seven buyer-facing authoring responsibilities.