הילוך טורנט

חוקי הגנת המידע של האיחוד האירופי (GDPR) ופרטיות הלקוחות

1) בקצרה על העיקר

GDPR הוא החוק הבסיסי של האיחוד האירופי בנושא הגנה על נתונים אישיים. זה חל על כל מי ש:

מעבד את הנתונים של אנשים מהאיחוד האירופי/EEA, גם אם המפעיל הוא מחוץ לאיחוד האירופי;
מציע להם שירותים (כולל בתי קזינו מקוונים) או מנטר את התנהגותם.

על הפרה - קנס של עד 20 מיליון אירו או 4% מהתחלפות גלובלית (שזה יותר), בנוסף לאיסורים על עיבוד והפסדי מוניטין.

2) עקרונות מפתח (Art. 5 GDPR)

1. חוקיות, הגינות, שקיפות. מדיניות מובנת, הודעות כנות.

2. הגבלת מטרה. השתמש בנתונים רק למשימות מוצהרות (KYC/AML, הימורים אחראיים, תשלומים, תמיכה, אנליטיקה וכו ').

3. מזעור. אסוף רק את מה שאתה צריך (למשל, אל תאחסן ”סלפי עם כרטיס” אם יש מספיק 3-DS וחשבון בנק).

4. דיוק. עדכן כתובת/מסמכים, הימנע משכפולים.

5. הגבלת אחסון. תקופות שימור ברורות (בדרך כלל 5-7 שנים עבור מסמכים פיננסיים; בקיצור - טלמטריה).

6. יושרה וסודיות. הצפנה, בקרת גישה, רישום.

7. דין וחשבון. הוכח ציות (מדיניות, DPIA, רישומי עיבוד).

3) עילה חוקית לעיבוד (ארט 6) - מה מתאים לקזינו

התחייבות חוקית: KYC/AML/סנקציות סריקה, דיווח כספי, רישום תשלומים.

חוזה: יצירה ותחזוקה של חשבון משחק, חידוש/משיכה, תמיכה.

אינטרס לגיטימי: אנטי-הונאה, אבטחה, ניתוח מוצרים בסיסיים, אותות הימורים אחראיים (אם לא בניגוד לתקנות מקומיות).

הסכמה: שיווק דואר אלקטרוני/SMS, עוגיות לפרסום, פרופיל לא סטנדרטי.

אינטרסים חיוניים/משימה ציבורית: נדיר, נקודה.

💡 קטגוריות מיוחדות (בריאות, דת וכו ') הן כמעט מיותרות ב ־ iGaming - אל תאסוף אותן. השתמש בביומטריה ללביאה * רק כהזדהות עם DPIA ומזעור.

4) תפקידים ואחריות

מפעיל הקזינו קובע מטרות/אמצעים.

מעבד: ספקי KYC, PSP, עננים, אנטי-הונאה, אנליטיקה מקוונת, פלטפורמות שיווק.

אנחנו צריכים DPAs (חוזי עיבוד) עם הוראות ברורות, תת-מעבדים, אמצעי אבטחה, זכויות ביקורת והודעות על הפרות.

5) DPIA, DPO ורישומי טיפול

(DPIA (Data Protection Impact Assession היא חובה בסיכון גבוה: CCM/ביומטריה, ניטור התנהגותי של RG, פרופיל גדול, שידורים חוצי גבולות.

הקצאת DPO (קצין הגנת נתונים) אם היקף העיבוד גדול או קיים ניטור שיטתי.

לשמור על רשמת פעילות מעובדת (ROPA): קטגוריות מידע, יעדים, עילה משפטית, תקופות שימור, מקבלים, אמצעי ביטחון.

6) זכויות של נושא המידע ותגובות SLA

לשחקן הזכות: גישה, תיקון, הסרה (”זכות להישכח”), הגבלות, ניידות, התנגדויות, וכן הסבר בהחלטות אוטומטיות/פרופיל (למשל, חסימה נגד הונאה).

זמן התגובה הוא בדרך כלל עד חודש 1 (אתה יכול להאריך עבור 2 אחר אם קשה).

אנו זקוקים לתהליכים בתמיכה/CRM, אימות של זהות המבקש ויומני פתרון תולעת.

7) עוגיות, ePrivacy ושיווק מקוון

כרזת הסכמה: opt-in מפורשת עבור אנליטיקה/פרסום, מתגים נפרדים, ”שווה בחשיבותו” כפתורים (קבל/תדחה).

רק עוגיות הכרחיות - ללא הסכמה, אבל עם תיאור במדיניות.

שיווק דואר אלקטרוני/SMS: רק עם הסכמה (או ”אופט-אין רך” ללקוחות קיימים במדינות מסוימות) + opt-out-out קל.

יוצא דופן וכפיל - רק עם הסכמה תקפה; לא כולל רשימות של קבוצות פגיעות.

8) שידור נתונים בינלאומי (פרק V)

שידור ללא EEZ אפשרי כאשר:

התאמה, או
SCCs (הוראות חוזיות סטנדרטיות) + TIA (הערכת השפעה של שידור), או
חוקי תאגיד מחייבים לקבוצות של חברות.
בדוק עננים, אנטי-הונאה, אנליטיקה על-שרשרת, עזרה - שבו נתונים מאוחסנים מבחינה פיזית ומעובד.

9) אבטחה (Art. 32) ותקריות (Art. 33/34)

מינימום ”בטון מחוזק”:

הצפנה ”במנוחה” ו ”במעבר”, ניהול מפתחות.
RBAC/ABAC, MFA לניהול, אפס שיתוף חשבונות.
הפרדה מדיה, יומן פעילות (admin/support), ניטור אנומליה.
Tokenization/Pseudonimization לטלמטריה ואנליטיקה.
תכנית תגובת אירוע, מקדחה, חצוצרה.

הפרת בטיחות: הודע למפקח בתוך 72 שעות, ונבדקים - אם הסיכון לנזק גבוה. לשמור על רישום של תקריות.

10) מקומות דקים לאיימינג ואיך לסגור אותם

1. ביומטריה ולביאה. DPIA, אחסון מקומי של תבניות (או היעדרן לאחר אימות), מועדים שקופים למחיקה.

2. נתוני און צ 'יין. כתובת קריפטו יכולה להפוך לנתונים אישיים אם אנחנו מתחברים עם אדם - מנהלים TIA, לא מפרסמים את כתובות השחקן, דוחות אחסון עם מזעור.

3. הימורים אחראיים ופרופיל. מודלים ניתנים להסבר (XAI), ”אדם בלולאה” עבור אמצעים קשים, הזכות לאתגר.

4. VIP SOF/SOW. לאסוף רק את מה שאתה צריך, למחוק על ידי תאריך יעד, להגן על דוחות בנק.

5. קשרים ופיקסלים. שליטה משותפת? תיקון בחוזים, להבטיח איסור מסונכרן של אוסף עצמי, חוקי של הסכמים.

6. בקשות רגולטוריות/LEA. תיעוד הליכי גילוי, מזעור, מסגרת משפטית (Art. 6 (1) (c )/( e).

11) חזרה: כיצד לקבוע מועדים חכמים

מסמכי CCM/מסמכים פיננסיים: 5-7 שנים (סטנדרטים כספיים לאומיים).

יומני הפעלה/התקן: 12-24 חודשים (ארוכים יותר ללא מזהים).

אותות RG ומקרים: בעוד שהגבול + תקופת הביקורת היא בתוקף.

נתוני שיווק: לפני משיכת הסכמה או 24 חודשים ללא פעילות.

ביומטריה: להסיר מיד לאחר אימות, אלא אם כן נדרש על פי חוק.

12) רשימת היענות מעשית (קצר)

בסיס משפטי ותיעוד

[ מדיניות הפרטיות ] ועוגיות, שפה פשוטה.

[ טיפול ] (ROPA), DPIA על KYC/ביומטריה/RG/onchain.

[ ] DPO שהוקצה/במיקור חוץ, איש קשר פורסם.

[ ] DPA עם כל המעבדים, רשימה של תת-מעבדים.

זכויות הנושאים

[ נהלים ] ו-SLAs (1 חודשים), תבניות תגובה, אימות זהות.

[ ] Easy out-out/למחוק/לתקן מנגנונים.

טכנולוגיה וביטחון

[ הצפנה ], MFA, הפרדה גזעית, יומני תולעת.

[ ] ניתוח זהות, צמצום היצוא ל-BI.

[ תכנית תקרית ], ”72 שעות” תרגיל.

שיווק/פרטיות

[ כרזה ] הסכמה עם מתגים אישיים; כתב העת מסכים.

[ ] שיווק נפרד ובסיסי משתמש בהדרה עצמית.

העברות נתונים

[ ] SCCs/BCR/TIA לכל הזרמים מעבר לגבול.

מפת נתונים על ידי ספק (KYC, PSP, ענן, אנטי הונאה).

13) טעויות תכופות וכיצד להימנע מהן

לאסוף "במילואים. "מסמכים/צילומי מסך מיותרים". "הסיכון לדליפה. פתרון: מזעור + וויטליסט של חפצים מקובלים.

דגל עוגיות עם "דפוסים כהים. ”הכן כפתורים שקולים קבל/דחוי”

מחסור ב-DPIA וב-DPA. בלעדיהם, קשה להצדיק פרופיל והעברת נתונים לשותפים.

גישה יחידה "סופר אדמין. "לשתף תפקידים, לחבר גישה JIT.

אין טי-איי-איי על ידי ענן/אנליטיקה. להעריך את המיקום של השרתים ואת היישום של חוק צד שלישי.

14) מיני ־ FAQ

אנחנו לא באיחוד האירופי. האם אנחנו מכוסים על ידי GDPR?

כן, אם אתה מציע שירותים לאנשים מהאיחוד האירופי/EEA או מפקח על התנהגותם (עוגיות/אנליטיקה).

אתה תמיד צריך הסכמה על אנטי-הונאה ואר-ג 'י?

לא תמיד: בדרך כלל אינטרס לגיטימי/חובה חוקית. אבל דורש יכולת DPIA ושקיפות + התנגדות אם היא מתאימה.

האם ניתן לאחסן מסמכי KYC ללא הגבלת זמן?

לא, זה לא הקלט מועדים סבירים ומחק/אנונימי כאשר הם פגים.

האם יחידת הפלט האוטומטית היא ”קבלת החלטות אוטומטית”?

כן, באופן פוטנציאלי. להבטיח ”אדם-בלולאה”, הסבר וזכות לשקול מחדש.

כתובת ארנק - נתונים אישיים?

יכול להיות כזה אם מתרועעים עם אדם מזוהה. תתייחס כמו מח "ש בעלייה למטוס.

15) השורה התחתונה

GDPR אינו דורש ”תקתוק נייר”, אלא מערכות ניהול נתונים: מטרות ברורות וקרקעות משפטיות, מזעור, ארכיטקטורה בטוחה, שליטה על ספקים וכבוד לזכויות השחקנים. מרכזייה הבונה פרטיות על ידי תכנון ושומרת על אחריות (ROPA, DPIA, DPA, DPO, DPO, תוכנית-תקרית) מפחיתה סיכונים משפטיים ותשלומים, מאיצה את הביקורות ומגבירה את ביטחון הלקוחות - מה שאומר שהיא מנצחת לטווח ארוך.