AB Məlumatların Mühafizəsi Qanunları (GDPR) və Müştərilərin Məxfiliyi

1) əsas haqqında qısa

GDPR - Aİ-nin şəxsi məlumatların qorunması haqqında əsas qanunudur. Bu hər kəsə tətbiq olunur:

operator AB-dən kənarda olsa belə, AB/EEA-dan insanların məlumatlarını emal edir;
onlara xidmətlər (o cümlədən onlayn kazinolar) təklif edir və ya davranışlarını izləyir.

Pozuntuya görə - 20 milyon € və ya qlobal dövriyyənin 4% -nə qədər cərimə (daha çox), üstəgəl emal qadağaları və reputasiya itkiləri.

2) Əsas prinsiplər (Maddə 5 GDPR)

1. Qanunilik, ədalət, şəffaflıq. Aydın siyasətlər, dürüst bildirişlər.

2. Hədəflərin məhdudlaşdırılması. Məlumatlardan yalnız elan edilmiş tapşırıqlar üçün istifadə edin (KYC/AML, Responsible Gambling, ödənişlər, dəstək, analitika və s.).

3. Minimallaşdırma. Yalnız lazım olanı toplayın (məsələn, kifayət qədər 3-DS və bank hesabatı varsa, «kartla selfi» saxlamayın).

4. Dəqiqlik. Ünvan/sənədləri yeniləyin, dublikatlardan çəkinin.

5. Saxlama məhdudiyyəti. Dəqiq retensiya müddəti (adətən maliyyə sənədləri üçün 5-7 il; qısaca - telemetriya üçün).

6. Bütövlük və məxfilik. Şifrələmə, giriş nəzarəti, jurnallaşdırma.

7. Hesabat. Uyğunluğu sübut edin (siyasət, DPIA, müalicə qeydləri).

3) Hüquqi emal əsasları (Maddə 6) - Casino uyğun

Hüquqi vəzifə: KYC/AML/sanksiya skrininqi, maliyyə hesabatı, ödəniş jurnallarının aparılması.

Müqavilə: oyun hesabının yaradılması və saxlanılması, doldurulması/çıxarılması, sapport.

Qanuni maraq: antifrod, təhlükəsizlik, məhsulun əsas analitikası, Responsible Gambling siqnalları (yerli normalara zidd deyilsə).

Razılıq: e-mail/SMS marketinq, reklam üçün cookies, qeyri-standart profil.

Həyati maraqlar/ictimai vəzifə: nadir, nöqtəli.

💡 iGaming-də xüsusi kateqoriyalara (sağlamlıq, din və s.) demək olar ki, ehtiyac yoxdur - onları toplamaqdan çəkinin. liveness → üçün biometrik DPIA və minimallaşdırma ilə ciddi identifikasiya kimi istifadə edin.

4) Məsuliyyətin rolları və sərhədləri

Nəzarətçi (controller): casino operatoru - hədəfləri/vasitələri müəyyənləşdirir.

Prosessor: KYC provayderləri, PSP, buludlar, antifrod, onchain analitikası, marketinq platformaları.

Dəqiq təlimatlar, sub-prosessorlar, təhlükəsizlik tədbirləri, audit hüquqları və pozuntu bildirişləri olan DPA (emal müqavilələri) lazımdır.

5) DPIA, DPO və müalicə qeydləri

DPIA (məlumatların qorunmasına təsirin qiymətləndirilməsi) yüksək riskli olduqda məcburidir: KS/biometriya, RG davranış monitorinqi, böyük profil, transsərhəd ötürmələr.

Emal miqyası böyükdürsə və ya sistematik monitorinq varsa, DPO təyin edin.

Emal əməliyyatlarının reyestrini (RoPA) saxlayın: məlumat kateqoriyaları, məqsədlər, hüquqi əsaslar, saxlama müddəti, alıcılar, təhlükəsizlik tədbirləri.

6) Data subyektinin hüquqları və SLA cavabları

Oyunçu: giriş, düzəlişlər, silinmə («right to be forgotten»), məhdudiyyətlər, dözümlülük, etirazlar, həmçinin avtomatlaşdırılmış həllər/profil (məsələn, antifrod bloku) ilə izah etmək hüququna malikdir.

Cavab müddəti - adətən 1 aya qədər (çətinlik olduqda daha 2 ay uzadıla bilər).

Sapport/CRM prosesləri, sorğu edən şəxsin şəxsiyyətinin yoxlanılması və WORM-jurnal həlləri lazımdır.

7) Cookies, ePrivacy və onlayn marketinq

Razılıq banneri: analitika/reklam üçün açıq opt-in, ayrı-ayrı açarlar, «mənaca bərabər» düymələri (qəbul/rədd).

Cookies - razılığı olmadan, lakin siyasətdə təsviri ilə.

E-mail/SMS marketinq: yalnız razılığı ilə (və ya bəzi ölkələrdə mövcud müştərilər üçün «yumşaq opt-in») + yüngül opt-out.

Remarketinq və look-alike - yalnız etibarlı razılıq ilə; özünü istisna edən və həssas qrupların siyahılarını istisna edin.

8) Beynəlxalq məlumat ötürmələri (V hissə)

EEZ xaricində köçürmə aşağıdakı hallarda mümkündür:

Adequacy (ölkə adekvat hesab olunur), və ya
SCCs (standart müqavilə müddəaları) + TIA (ötürmə təsirinin qiymətləndirilməsi), və ya
Binding Corporate Rules şirkətlər qrupları üçün.
Buludları yoxlayın, anti-fraud, on-chain analitikası, helpdesk - harada fiziki olaraq saxlanılır və emal olunur.

9) Təhlükəsizlik (maddə 32) və insidentlər (maddə 33/34)

Minimum «dəmir-beton»:

Şifrələmə «sakit» və «tranzit», açarları idarə.
RBAC/ABAC, administratorlar üçün MFA, hesabların sıfıra endirilməsi.
Mühit seqreqasiyası, fəaliyyət jurnalı (admin/dəstək), anomaliyaların monitorinqi.
Telemetriya və analitika üçün Tokenization/Pseudonymization.
Hadisələrə cavab planı, təlimlər, bağbaunti.

Təhlükəsizlik pozuntusu: 72 saat ərzində nəzarət orqanına, yüksək zərər riski olduqda isə subyektlərə bildirin. Hadisələrin reyestrini aparın.

10) İnce yerlər iGaming və onları necə bağlamaq olar

1. Biometriya və liveness. DPIA, yerli saxlama şablonları (və ya yoxlanıldıqdan sonra onların olmaması), şəffaf silinmə müddəti.

2. Onchain-data. Kriptovalyutası şəxsi məlumatlara çevrilə bilər, əgər bir şəxslə əlaqə saxlasaq - TIA keçirmək, oyunçunun ünvanlarını dərc etməmək, hesabatları minimuma endirməklə saxlamaq.

3. Responsible Gambling və profil. Izah edilə bilən modellər (XAI), sərt tədbirlər üçün «human-in-the-loop», mübahisə hüququ.

4. VIP и SoF/SoW. Yalnız lazım olanları yığın, vaxtında silin, bank hesabatlarını qoruyun.

5. Affiliates və piksellər. Birgə nəzarət? Müqavilələrdə təsbit etmək, özünü istisna edən sinxronlaşdırılmış qadağan təmin etmək, qanuni razılıq toplamaq.

6. Tənzimləyicilər/LEA sorğuları. Sənədləşdirilmiş açıqlama prosedurları, minimallaşdırma, hüquqi baza (maddə 6 (1) (c )/( e)).

11) Retence: «ağıllı» vaxt təyin etmək üçün necə

KOS/maliyyə sənədləri: 5-7 il (milli maliyyə normaları).

Seans/cihaz qeydləri: 12-24 ay (identifikator olmadan - daha uzun).

RG siqnalları və halları: hələlik məhdudiyyət + audit müddəti qüvvədədir.

Marketinq məlumatları: razılıq geri alınana qədər və ya 24 ay fəaliyyət göstərmədən.

Biometrik: qanunla başqa bir şey tələb olunmasa, yoxlamadan dərhal sonra çıxarın.

12) Praktik uyğunluq çek siyahısı (qısa)

Hüquqi əsaslar və sənədləşmə

Gizlilik siyasəti və cookies, sadə dil.
Müalicə reyestri (RoPA), KYC/biometrik/RG/onchain üçün DPIA.
DPO təyin/autsors, əlaqə dərc edilmişdir.
Bütün prosessorlar ilə DPA, alt prosessorların siyahısı.

Subyektlərin hüquqları

Prosedurlar və SLA (≤ 1 ay), cavab şablonları, şəxsiyyət təsdiqi.
Yüngül opt-out/silmə/düzəltmə mexanizmləri.

Texnologiya və Təhlükəsizlik

Şifrələmə, MFA, seqreqasiya, WORM qeydləri.
Analitikanın təxəllüsləşdirilməsi, BI-yə ixracın minimuma endirilməsi.
Hadisə planı, «72 saat», təlimlər.

Marketinq/ePrivacy

Ayrı-ayrı tumblers ilə razılıq banner; consents jurnalı.
Ayrı marketinq bazaları və istifadəçilər özünü istisna edir.

Verilənlərin ötürülməsi

Bütün transsərhəd axınlar üçün SCCs/BCR/TIA.
Provayderlərin məlumat xəritəsi (KYC, PSP, buludlar, antifrod).

13) Tez-tez səhvlər və onlardan necə qaçmaq olar

«Ehtiyatda» toplamaq. Əlavə sənədlər/ekran görüntüləri → sızma riski. Həll: minimallaşdırma + icazə verilən artefaktların ağ siyahısı.

«Qara naxışlı» cookie banner. Ekvivalent «Qəbul et/rədd et» düymələrini edin.

DPIA və DPA yoxdur. Onsuz profilləşdirmə və tərəfdaşlara məlumat ötürülməsini əsaslandırmaq çətindir.

Vahid giriş «superadmin». Rolları paylaşın, JIT girişini birləşdirin.

Heç bir TIA bulud/analitik. Serverlərin yerini və üçüncü ölkələrin hüquqlarının tətbiqini qiymətləndirin.

14) Mini-FAQ

Biz AB-də deyilik. Bizə GDPR aiddir?

Bəli, AB/EEA-dan olan insanlara xidmət təklif edirsinizsə və ya davranışlarını izləyirsinizsə (cookies/analitika).

Antifrod və RG üçün həmişə razılıq lazımdırmı?

Həmişə deyil: adətən qanuni maraq/hüquqi öhdəlik. Lakin DPIA və şəffaflıq tələb olunur + mümkünsə etiraz etmək imkanı.

KYC sənədlərini müddətsiz saxlamaq mümkündürmü?

Yox. Əsaslandırılmış tarixləri qeyd edin və sonra silin/anonimləşdirin.

Avtomatik çıxış bloku «avtomatik qərar qəbul edir»?

Bəli, potensial. «human-in-the-loop», izahat və yenidən baxmaq hüququ təmin edin.

Cüzdan ünvanı - şəxsi məlumatlar?

Müəyyən edilmiş bir şəxslə əlaqəli olduqda belə ola bilər. Onbordinq zamanı PII kimi davranın.

15) Yekun

GDPR «kağız işarəsi» deyil, məlumatların idarə edilməsi sistemlərini tələb edir: aydın məqsədlər və hüquqi əsaslar, minimallaşdırma, təhlükəsiz memarlıq, satıcılara nəzarət və oyunçuların hüquqlarına hörmət. privacy-by-design quran və hesabat verən (RoPA, DPIA, DPA, DPO, insident-plan) operator hüquqi və ödəniş risklərini azaldır, auditi sürətləndirir və müştərilərin etibarını artırır - yəni uzun müddətdə qalib gəlir.