قوانین حفاظت از اطلاعات اتحادیه اروپا (GDPR) و حفظ حریم خصوصی مشتری

1) به طور خلاصه در مورد اصلی

GDPR قانون اساسی اتحادیه اروپا در مورد حفاظت از اطلاعات شخصی است. این برای هر کسی که:

پردازش داده های مردم از اتحادیه اروپا/EEA، حتی اگر اپراتور خارج از اتحادیه اروپا باشد ؛
به آنها خدمات ارائه می دهد (از جمله کازینو های آنلاین) یا رفتار آنها را نظارت می کند.

برای تخلف - جریمه تا 20 میلیون یورو یا 4٪ از گردش مالی جهانی (که بیشتر است)، به علاوه ممنوعیت پردازش و زیان های اعتباری.

2) اصول کلیدی (ماده 5 GDPR)

1. قانون، انصاف، شفافیت. سیاست های قابل فهم، اطلاعیه های صادقانه.

2. محدودیت هدف از داده ها فقط برای وظایف اعلام شده (KYC/AML، قمار مسئول، پرداخت، پشتیبانی، تجزیه و تحلیل و غیره) استفاده کنید.

3. به حداقل رساندن فقط آنچه را که نیاز دارید جمع آوری کنید (به عنوان مثال، یک «سلفی با یک کارت» ذخیره نکنید، اگر 3-DS کافی و یک بیانیه بانکی وجود داشته باشد).

4. دقت. به روز رسانی آدرس/اسناد، جلوگیری از تکراری.

5. محدودیت ذخیره سازی دوره نگهداری روشن (معمولا 5-7 سال برای اسناد مالی ؛ به طور خلاصه - برای تله متری).

6. صداقت و محرمانه بودن رمزگذاری، کنترل دسترسی، ورود به سیستم.

7. مسئولیت پذیری اثبات انطباق (سیاست ها، DPIA، پرونده های پردازش).

3) زمینه های قانونی پردازش (ماده 6) - چه مناسب کازینو

تعهد قانونی: KYC/AML/نمایش تحریم ها، گزارش مالی، ورود به سیستم پرداخت.

قرارداد: ایجاد و نگهداری یک حساب بازی، دوباره پر کردن/برداشت، پشتیبانی.

منافع مشروع: ضد تقلب، امنیت، تجزیه و تحلیل محصول اساسی، سیگنال های قمار مسئول (اگر نه بر خلاف مقررات محلی).

رضایت: ایمیل/بازاریابی SMS، کوکی ها برای تبلیغات، پروفایل غیر استاندارد.

منافع حیاتی/وظیفه عمومی: نادر، دقیق.

دسته بندی های خاص (سلامت، مذهب، و غیره) در iGaming تقریبا غیر ضروری است - اجتناب از جمع آوری آنها. استفاده از بیومتریک برای زنده ماندن → به شدت به عنوان شناسایی با DPIA و به حداقل رساندن.

4) نقش ها و مسئولیت ها

کنترل کننده: اپراتور کازینو - اهداف/معنی را تعیین می کند.

پردازنده: ارائه دهندگان KYC، PSP، ابرها، ضد تقلب، تجزیه و تحلیل آنلاین، سیستم عامل های بازاریابی.

ما به DPA ها (قراردادهای پردازش) با دستورالعمل های روشن، زیر پردازنده ها، اقدامات امنیتی، حقوق حسابرسی و اطلاعیه های نقض نیاز داریم.

5) DPIA، DPO و سوابق درمان

DPIA (ارزیابی تاثیر حفاظت از داده ها) در معرض خطر بالا است: CCM/بیومتریک، نظارت بر رفتار RG، پروفایل های بزرگ، انتقال مرزی.

یک DPO (افسر حفاظت از داده ها) را تعیین کنید اگر مقیاس پردازش بزرگ باشد یا نظارت سیستماتیک وجود داشته باشد.

ثبت فعالیت پردازش (RoPA) را حفظ کنید: دسته بندی داده ها، اهداف، زمینه های قانونی، دوره های نگهداری، گیرندگان، اقدامات امنیتی.

6) حقوق موضوع داده ها و پاسخ های SLA

بازیکن حق دارد: دسترسی، اصلاح، حذف («حق فراموش شدن»)، محدودیت ها، قابلیت حمل، اعتراضات، و همچنین توضیح در تصمیم گیری های خودکار/پروفایل (به عنوان مثال، بلوک ضد تقلب).

زمان پاسخ معمولاً تا 1 ماه است (در صورت مشکل می توانید 2 ماه دیگر تمدید کنید).

ما نیاز به فرآیندهای پشتیبانی/CRM، تأیید هویت درخواست کننده و سیاهههای مربوط به راه حل WORM داریم.

7) کوکی ها، ePrivacy و بازاریابی آنلاین

بنر رضایت: انتخاب صریح برای تجزیه و تحلیل/تبلیغات، سوئیچ های جداگانه، دکمه های «برابر در اهمیت» (قبول/رد).

کوکی ها به شدت لازم - بدون رضایت, اما با شرح در سیاست.

بازاریابی ایمیل/SMS: فقط با رضایت (یا «انتخاب نرم افزاری» برای مشتریان موجود در برخی از کشورها) + انتخاب آسان.

بازاریابی مجدد و نگاه به طور یکسان - فقط با رضایت معتبر ؛ لیست گروه های خود محروم و آسیب پذیر را حذف کنید.

8) انتقال داده های بین المللی (فصل V)

انتقال غیر EEZ ممکن است زمانی که:

کفایت، یا
SCC ها (مقررات قراردادی استاندارد) + TIA (ارزیابی تاثیر انتقال)، یا
الزام آور قوانین شرکت برای گروه های شرکت.
ابرها، ضد تقلب، تجزیه و تحلیل زنجیره ای، Helpdesk را بررسی کنید - جایی که داده ها به صورت فیزیکی ذخیره و پردازش می شوند.

9) امنیت (ماده 32) و حوادث (ماده 33/34)

حداقل «بتن مسلح»:

رمزگذاری «در حالت استراحت» و «در حال انتقال»، مدیریت کلید.
RBAC/ABAC، MFA برای مدیران، اشتراک حساب صفر.
تفکیک رسانه ها، ورود به سیستم فعالیت (مدیر/پشتیبانی)، نظارت بر ناهنجاری.
نشانه گذاری/Pseudonymization برای تله متری و تجزیه و تحلیل.
طرح پاسخ حادثه، مته، باگبانتی.

نقض ایمنی: در عرض 72 ساعت به سرپرست و افراد اطلاع دهید - اگر خطر آسیب بالا باشد. ثبت حوادث را ثبت کنید.

10) iGaming مکان های نازک و نحوه بستن آنها

1. بیومتریک و زنده بودن DPIA، ذخیره سازی محلی قالب ها (یا عدم وجود آنها پس از تأیید)، مهلت های شفاف برای حذف.

2. داده های درون زنجیره ای یک آدرس رمزنگاری می تواند تبدیل به اطلاعات شخصی اگر ما با یک فرد ارتباط برقرار - انجام یک TIA, آدرس بازیکن را منتشر نمی, فروشگاه گزارش با حداقل.

3. قمار مسئولانه و پروفایل. مدل های قابل توضیح (XAI)، «انسان در حلقه» برای اقدامات سخت، حق به چالش کشیدن.

4. VIP и SoF/SoW. جمع آوری تنها آنچه شما نیاز دارید، حذف مهلت، حفاظت از اظهارات بانکی.

5. وابسته و پیکسل. کنترل مشترک ؟ رفع در قراردادها، اطمینان از ممنوعیت هماهنگ از خود محروم، جمع آوری قانونی از رضایت.

6. درخواست های نظارتی/LEA روش افشای مستند، به حداقل رساندن، چارچوب قانونی (ماده 6 (1) (ج )/( e)).

11) Retension: چگونه می توان مهلت های هوشمند را تعیین کرد

CCM/اسناد مالی: 5-7 سال (استانداردهای مالی ملی).

سیاهههای مربوط به جلسه/دستگاه: 12-24 ماه (طولانی تر بدون شناسه).

سیگنال های RG و موارد: در حالی که دوره محدود + حسابرسی در حال اجرا است.

داده های بازاریابی: قبل از خروج از رضایت و یا 24 ماه بدون فعالیت.

بیومتریک: بلافاصله پس از تأیید حذف می شود، مگر اینکه توسط قانون مورد نیاز باشد.

12) چک لیست عملی (کوتاه)

مبنای حقوقی و مستندات

سیاست حفظ حریم خصوصی و کوکی ها، زبان ساده.
ثبت درمان (RoPA)، DPIA در KYC/بیومتریک/RG/onchain.
DPO اختصاص داده شده/برون سپاری، تماس منتشر شده است.
DPA با تمام پردازنده ها، لیست زیر پردازنده ها.

حقوق موضوعات

روش ها و SLA ها (≤1 ماه)، قالب های پاسخ، تأیید هویت.
آسان انتخاب کردن/حذف/مکانیسم ثابت.

تکنولوژی و امنیت

رمزگذاری، MFA، تفکیک، سیاهههای مربوط WORM.
Aliasing تجزیه و تحلیل، به حداقل رساندن صادرات به BI.
طرح حادثه، «72 ساعت»، تمرین.

بازاریابی/حریم خصوصی

بنر رضایت با سوئیچ ضامن فردی ؛ روزنامه موافقت کرد.
بازاریابی جداگانه و پایگاه های کاربر در خود حذفی.

انتقال داده ها

SCCs/BCR/TIA برای همه جریان های مرزی.
نقشه داده توسط ارائه دهنده (KYC، PSP، ابر، ضد تقلب).

13) اشتباهات مکرر و چگونگی اجتناب از آنها

جمع آوری "در رزرو. "اسناد/تصاویر غیر ضروری → خطر نشت. راه حل: به حداقل رساندن + لیست سفید از مصنوعات قابل قبول است.

بنر کوکی با "الگوهای تاریک. "دکمه های معادل "Accept/Reject" را ایجاد کنید

عدم وجود DPIA و DPA بدون آنها، توجیه پروفایل و انتقال داده ها به شرکا دشوار است.

دسترسی تنها "superadmin. نقش ها را به اشتراک بگذارید، دسترسی JIT را متصل کنید.

بدون TIA توسط ابر/تجزیه و تحلیل. ارزیابی محل سرور و کاربرد قانون شخص ثالث.

14) مینی سوالات متداول

ما در اروپا نیستیم. آیا ما تحت پوشش GDPR هستیم ؟

بله، اگر شما خدماتی را برای افراد اتحادیه اروپا/EEA ارائه می دهید یا رفتار آنها را نظارت می کنید (کوکی ها/تجزیه و تحلیل).

آیا شما همیشه نیاز به رضایت برای ضد تقلب و RG?

همیشه نه: معمولا منافع مشروع/وظیفه قانونی است. اما نیاز به DPIA و شفافیت + قابلیت اعتراض در صورت وجود.

آیا اسناد KYC را می توان به طور نامحدود ذخیره کرد ؟

نه، اينطور نيست مهلت های معقول را ضبط کنید و زمانی که منقضی می شوند حذف/ناشناس شوید.

آیا واحد خروجی اتوماتیک «تصمیم گیری خودکار» است ؟

بله، به طور بالقوه. اطمینان از «انسان در حلقه»، توضیح و حق تجدید نظر.

آدرس کیف پول - اطلاعات شخصی ؟

می تواند تبدیل به چنین اگر در ارتباط با یک فرد شناخته شده است. هنگام سوار شدن مانند PII رفتار کنید.

15) خط پایین

GDPR نیازی به «تیک کاغذ» ندارد، اما سیستم های مدیریت داده: اهداف روشن و زمینه های قانونی، به حداقل رساندن، معماری امن، کنترل فروشنده و احترام به حقوق بازیکنان. اپراتوری که حریم خصوصی را با طراحی ایجاد می کند و پاسخگویی را حفظ می کند (RoPA، DPIA، DPA، DPO، برنامه حادثه) خطرات قانونی و پرداخت را کاهش می دهد، ممیزی ها را سرعت می بخشد و اعتماد مشتری را افزایش می دهد - این بدان معنی است که در بلند مدت برنده می شود.