PolicyForge

Servidor MCP PolicyForge

Gere políticas legais — políticas de privacidade, termos de serviço, políticas de cookies, políticas de reembolso, EULAs, avisos legais e Contratos de Associado de Negócios HIPAA — diretamente das suas ferramentas de codificação com IA (Claude Code, Cursor, Windsurf, Claude Desktop) via o Model Context Protocol.

Peça ao seu agente "gere uma política de privacidade GDPR + CCPA para este aplicativo" e ele preenche os detalhes a partir do seu código, chama o PolicyForge e coloca a política direto no seu projeto.

Experimente grátis: auditorias de conformidade (audit_compliance), verificações de desvio (check_policy_freshness) e a rubrica de varredura (get_disclosure_checklist) são ilimitadas e nunca afetam sua cota — comece com "audite nossa conformidade — a política de privacidade cobre tudo o que este código realmente faz?". E na primeira vez que sua conta se conectar via MCP, você ganha 3 gerações de políticas bônus além das 2 gratuitas por mês — o suficiente para gerar políticas de privacidade, termos e cookies para um novo projeto em uma única conversa.

Conectar

Escolha a linha que corresponde ao seu cliente. Se não tiver certeza, comece com A.

	Como você faz login	Melhor para
A. Remoto + OAuth	Login no navegador, sem chave para copiar	Clientes que suportam OAuth (Claude, ChatGPT)
B. Remoto + chave de API	Cabeçalho Authorization	Qualquer cliente que possa enviar um cabeçalho
C. Local (npx)	Variável de ambiente POLICYFORGE_API_KEY	Executar o servidor como um processo local

Todos os três expõem as mesmas ferramentas. A e B não precisam de nada instalado.

A. Remoto com OAuth (mais fácil)

Sem chave para copiar, sem arquivo de configuração para editar. Você precisará de uma conta PolicyForge primeiro — https://policyforge.co, grátis, sem cartão.

1. Adicione o servidor. O -s user o disponibiliza em todos os projetos, em vez de apenas no diretório onde você executou este comando:

claude mcp add -s user --transport http policyforge https://policyforge.co/api/mcp

Observe que não há --header. Omiti-lo é o que faz o cliente usar OAuth.

2. Reinicie seu cliente. A configuração do MCP é lida na inicialização, então uma sessão que já estava em execução não verá o novo servidor.

3. Autentique-se. Execute /mcp, selecione policyforge e pressione Enter:

policyforge · △ needs authentication

Seu navegador abre, você faz login e aprova, e o cliente armazena o token ele mesmo. Você deve voltar para /mcp mostrando ✔ connected · 15 tools.

Para confirmar do outro lado, uma chave chamada MCP · <your client> aparece em https://policyforge.co/api-dashboard — essa é a concessão, e excluí-la revoga o acesso.

Outros clientes diferem no passo 3: alguns solicitam no primeiro uso da ferramenta em vez de oferecer uma ação explícita de autenticação.

B. Remoto com uma chave de API

Para clientes que ainda não fazem OAuth. Crie uma chave em https://policyforge.co/api-dashboard, depois:

claude mcp add --transport http policyforge https://policyforge.co/api/mcp \
  --header "Authorization: Bearer pf_your_key_here"

Para clientes com configuração MCP baseada em URL (Cursor, Windsurf e outros):

{
  "mcpServers": {
    "policyforge": {
      "url": "https://policyforge.co/api/mcp",
      "headers": { "Authorization": "Bearer pf_your_key_here" }
    }
  }
}

C. Local (npx)

Prefere um processo local? O servidor roda via npx — nada para instalar globalmente. Usa uma chave de API do ambiente, que é o que a especificação MCP recomenda para transportes stdio.

Claude Code

claude mcp add policyforge \
  --env POLICYFORGE_API_KEY=your_key_here \
  -- npx -y @policyforge/mcp@latest

Cursor / Claude Desktop / Windsurf

Adicione à sua configuração MCP (.cursor/mcp.json, claude_desktop_config.json, etc.):

{
  "mcpServers": {
    "policyforge": {
      "command": "npx",
      "args": ["-y", "@policyforge/mcp@latest"],
      "env": {
        "POLICYFORGE_API_KEY": "your_key_here"
      }
    }
  }
}

No Windows, alguns clientes precisam que o comando seja encapsulado: defina "command": "cmd" e "args": ["/c", "npx", "-y", "@policyforge/mcp@latest"].

Veja https://policyforge.co/mcp para instalações com um clique (Cursor/VS Code) e instruções por cliente — com sua chave de API pré-preenchida quando estiver conectado.

Solução de problemas

• 401 — se você conectou com OAuth, a autorização foi revogada ou expirou: reconecte e aprove novamente. Se você usou uma chave de API, ela foi excluída, desabilitada ou digitada incorretamente (as chaves começam com pf_) — gire ou crie uma em https://policyforge.co/api-dashboard e reinicie o cliente.
• 402 — cota de geração esgotada. Plano gratuito: 2 gerações por mês calendário, mais um bônus único de 3 gerações extras na primeira conexão MCP. Apenas generate_policy/regenerate_policy consomem cota — auditorias e verificações de desvio são gratuitas; peça ao seu agente para executar get_usage para ver o que resta.
• 429 — limite de taxa de solicitação (plano gratuito: 10/minuto, 100/dia); a resposta inclui retry_after.
• Servidor não listado em /mcp — ou a sessão começou antes de você adicioná-lo (reinicie o cliente; a configuração é lida na inicialização), ou foi adicionado a um escopo de projeto diferente. claude mcp add -s user … o disponibiliza em todos os lugares.
• Ferramentas ausentes — reinicie o cliente após alterações de configuração; no Windows use o wrapper cmd acima.
• "O URI de redirecionamento não está registrado para este aplicativo" — o cliente está usando um URL de retorno que não vimos. Callbacks de loopback funcionam em qualquer porta (conforme RFC 8252), então isso deve ser raro; relate o URI exato e ele pode ser suportado.

Mais detalhes: https://policyforge.co/mcp#troubleshooting

Ferramentas

Ferramenta	O que faz
generate_policy	Gera uma política e retorna seu conteúdo em Markdown + URL hospedada. Consome uma política da sua cota.
generate_baa	Gera um Contrato de Associado de Negócios HIPAA entre uma entidade coberta e um fornecedor que lida com PHI. Construído a partir das cláusulas exigidas por 45 CFR 164.504(e) e validado cláusula por cláusula. Plano Pro; nunca hospedado publicamente. Consome uma política da sua cota.
regenerate_policy	Reexecuta o mecanismo de IA com contexto de negócios alterado — mesmo ID e URL hospedada, conteúdo anterior salvo como uma versão.
update_policy	Edita manualmente uma política no lugar — mesmo ID e URL hospedada, para que os links publicados continuem funcionando.
audit_compliance	Análise de lacunas: compara o que o código faz (seu manifesto verificado) com o que uma política divulga.
check_policy_freshness	Detecção de desvio: compara a varredura atual do código com o manifesto armazenado no momento da geração.
list_policy_versions	Histórico de versões — um snapshot é salvo antes de cada atualização, regeneração ou restauração.
restore_policy_version	Reverte uma política para qualquer versão anterior (ela própria reversível).
list_policies	Lista políticas na sua conta (filtre por tipo/status, pagine).
get_policy	Busca uma única política por ID, incluindo conteúdo completo.
delete_policy	Exclui permanentemente uma política (sua URL hospedada para de funcionar).
get_usage	Verifica seu nível e cota de geração restante antes de gerar.
get_disclosure_checklist	A rubrica de varredura do código: quais SDKs/padrões exigem divulgação e como os achados mapeiam para os campos generate_policy.
get_integration_guide	Instruções de incorporação/links copiáveis para Next.js, React, HTML simples ou WordPress.
list_policy_types	Lista tipos de política suportados, tipos de negócio e jurisdições.

O fluxo de trabalho ciente do código

Seu agente pode ler seu projeto — então as políticas vêm do que o código realmente faz, não do que você lembra que ele faz:

1. get_disclosure_checklist → o agente verifica dependências, tags de script, gravações de cookies e hosts de saída contra a rubrica, e constrói um manifesto de stack do que encontrou
2. generate_policy com o contexto detectado + stack_manifest (armazenado no servidor para detecção de desvio)
3. get_integration_guide → o agente conecta a política hospedada ao seu rodapé
4. Depois, quando o stack mudar: check_policy_freshness relata o desvio, audit_compliance mostra as lacunas concretas, e regenerate_policy corrige — mesma URL hospedada, sem links quebrados, versão anterior restaurável

Entradas de generate_policy

Obrigatórias: type, business_type, jurisdiction, company_name, contact_email

• type — privacy_policy · terms_of_service · cookie_policy · refund_policy · eula · disclaimer
• business_type — e-commerce · saas · healthcare · education · financial · fintech · real-estate · non-profit · consulting · media · mobile_app · other
• jurisdiction — um ou mais de gdpr ccpa pipeda lgpd us eu ca uk au br global (separe por vírgula para combinar, ex.: gdpr,ccpa)

Contexto opcional (melhora a saída): website_url, service_description, data_collection[], third_party_integrations[], data_retention, user_accounts, payments, marketing, analytics, cookies, children_data, sells_data, target_audience[], security_measures[], governing_law, physical_address, dpo_email, consent_tracking, hosting_enabled.

Entradas de generate_baa

Um Contrato de Associado de Negócios é um contrato entre duas partes nomeadas, não uma política publicada, então ele usa sua própria ferramenta e seus próprios campos. Plano Pro.

Obrigatórias: acknowledge_contract (deve ser true), baa_direction, company_name, contact_email, os nomes legais e endereços de ambas as partes, baa_effective_date (YYYY-MM-DD), baa_services_description, baa_phi_types[], baa_permitted_uses[], baa_governing_law_state.

• baa_direction — covered_entity_to_vendor (você é o consultório emitindo o contrato) ou business_associate_to_client (você é o fornecedor oferecendo-o a um cliente de saúde)
• baa_phi_types[] — categorias de PHI envolvidas. Incluir "Substance use treatment records (42 CFR Part 2)" adiciona um adendo da Parte 2
• baa_permitted_uses[] — qualquer coisa não listada aqui não é permitida pelo contrato (45 CFR 164.504(e)(2)(i))

Opcionais: baa_electronic_phi (padrão true), baa_uses_subcontractors (padrão false), baa_term_type, baa_term_end_date, baa_breach_notification_days (1–60, padrão 30), baa_return_or_destroy, baa_include_indemnification, baa_include_insurance, baa_insurance_amount.

Cada contrato gerado é verificado contra as 15 cláusulas que 45 CFR 164.504(e) exige antes de ser retornado; um rascunho incompleto é recusado em vez de entregue. O resultado ainda é um rascunho para revisão do advogado, e nunca é publicado em uma URL pública.

Configuração

Necessária apenas para o transporte local (npx). Conexões remotas autenticam via OAuth ou um cabeçalho Authorization.

Variável de ambiente	Obrigatória	Padrão	Finalidade
POLICYFORGE_API_KEY	sim (apenas local)	—	Sua chave de API PolicyForge.
POLICYFORGE_API_URL	não	https://policyforge.co	Substitui a URL base da API (auto-hospedagem/testes).

Como funciona

Este servidor é um wrapper fino sobre a API REST pública do PolicyForge (/api/v1). Cada ferramenta mapeia para uma solicitação HTTP autenticada, então cota, limite de taxa e geração de políticas permanecem autoritativos no servidor PolicyForge — a camada MCP não guarda segredos além da sua chave de API e não tem lógica de negócio própria.

Licença

MIT