Კრიპტო კაზინო
Torrent Gear
Ევროკავშირის კანონები მონაცემთა დაცვის შესახებ (GDPR) და კაზინო
კაზინოები ამუშავებენ ერთ-ერთ ყველაზე მგრძნობიარე მონაცემს: გადახდა, KYC დოკუმენტები, თამაშის ისტორია, ქცევითი ანალიტიკა, Responsible Gaming (RG) მოთხოვნები. ევროკავშირსა და EEZ- ში ასეთი დამუშავება რეგულირდება GDPR (General Data Protection Regulation). ოპერატორისთვის ეს არის მკაფიო პასუხისმგებლობები და ჯარიმები; მოთამაშისთვის - უფლებებისა და გამჭვირვალეობის ძლიერი ნაკრები.
ვინ არის ვინმე: როლები და პასუხისმგებლობა
მაკონტროლებელი (კონტროლერი): ყველაზე ხშირად კაზინოს B2C ოპერატორი. იგი განსაზღვრავს დამუშავების მიზნებსა და საშუალებებს, აკისრებს მთავარ პასუხისმგებლობას.
პროცესორი (processor): KYC პროვაიდერი, PSP, ღრუბლოვანი ჰოსტინგი, ანტიფროდი, ელექტრონული ფოსტის მომსახურება - მოქმედებს მაკონტროლებლის სახელით დამუშავების ხელშეკრულებით (DPA).
ერთობლივი მაკონტროლებლები: შესაძლებელია საერთო მიზნებისათვის (მაგალითად, პარტნიორთან ერთობლივი მოქმედება) - საჭიროა როლების გამჭვირვალე განაწილება და მოთამაშეთა ინფორმირება.
დამუშავების სამართლებრივი საფუძვლები (არტ. 6 GDPR)
1. ხელშეკრულება (კონტრაქტი): ანგარიშის შექმნა, განაკვეთების/გადახდების ჩატარება, მხარდაჭერა.
2. იურიდიული ვალდებულება: KYC/AML, ბუღალტრული აღრიცხვა, RG მოთხოვნები, საგადასახადო წესები.
3. ლეგიტიმური ინტერესი: ძირითადი ანტიფროდიული ანალიტიკა, უსაფრთხოება, ბოროტად გამოყენების წინააღმდეგ ბრძოლა - ინტერესების (LIA) და მოთამაშეთა უფლებების სავალდებულო შეფასებით.
4. თანხმობა (თანხმობა): ელექტრონული ფოსტის/SMS მარკეტინგი, არჩევითი ქუქი-ფაილები, პერსონალიზებული რეკლამირების ზოგიერთი ტიპი და ქცევითი პროფილირება.
5. სასიცოცხლო ინტერესები/სოციალური ამოცანა იშვიათად გამოიყენება.
სპეციალური კატეგორიები და მგრძნობიარე კონტექსტები
სპეციალური კათოლიკეები (9): ჯანმრთელობა, ბიომეტრია და ა.შ. - ჩვეულებრივ, არ არის საჭირო. თუ ბიომეტრია გამოიყენება „ცხოვრებისთვის“, იგი უნდა დამუშავდეს მინიმალური და მკაცრი საფუძველზე/პროცედურებით.
არასრულწლოვნების მონაცემები: მკაცრი ასაკობრივი კონტროლი; ბავშვებისთვის მარკეტინგი აკრძალულია.
RG/affordability: პრობლემური თამაშის სიგნალის დამუშავება მოითხოვს მინიმუმამდე შემცირებას, გამჭვირვალეობას და DPIA- ს.
მოთამაშის უფლებები (მონაცემთა საგანი)
წვდომა (არტ. 15): მონაცემთა ასლი და დამუშავების აღწერა.
კორექტირება (არტ. 16) და მოცილება (არტ. 17) სადაც ეს შესაძლებელია და არ ეწინააღმდეგება AML/სააღრიცხვო ვადებს.
შეზღუდვა (არტ. 18) და წინააღმდეგობა (არტ. 21) - მაგალითად, „ლეგიტიმური ინტერესის“ მარკეტინგის წინააღმდეგ.
ტოლერანტობა (არტ. 20): სპეციალიზირებული მონაცემები მანქანაში წაკითხული ფორმით.
არ იყოს მხოლოდ ავტომატური დამუშავების საფუძველზე მიღებული გადაწყვეტილების ობიექტი (არტ. 22): თუ არსებობს იურიდიული შედეგები, საჭიროა ახსნა-განმარტებები და ადამიანის ჩარევის უფლება.
ოპერატორი ვალდებულია უზრუნველყოს მარტივი DSAR მოთხოვნის არხი და უპასუხოს დაუსაბუთებელი შეფერხებების გარეშე (ჩვეულებრივ, 1 თვემდე).
კუკი, ვაჭრობა და მარკეტინგი
მკაცრად აუცილებელი ქუქი-ფაილები: თანხმობის გარეშე.
ანალიტიკა/რეკლამა/პერსონალიზაცია: თანხმობით (ბანერი/პრეფერენციების მართვის პანელი; „ჩართვა/გამორთვა“ კატეგორიებად).
ელექტრონული ფოსტის/SMS მარკეტინგი: თანხმობა (opt-in) + ხელმოწერის შესაძლებლობა თითოეულ შეტყობინებაში.
Retageting და look-alike აუდიტორია: ისინი მოითხოვენ აშკარა შეტყობინებას და ჩვეულებრივ თანხმობას.
Self-exclusion/RG: არ არსებობს პრომო გამორთული და თვითგამორკვეული ანგარიშებისთვის.
შენახვის ვადა
შეინახეთ „არა უმეტეს საჭირო“ მიზნებისათვის:- KYC/AML: წლები (კანონის თანახმად, იურისდიქციიდან გამომდინარე).
- თამაშის ლოგოები და გარიგებები: ლიცენზირებული წესებისა და აუდიტის შესაბამისად.
- მარკეტინგის პროფილები: თანხმობის გაუქმებამდე ან საქმიანობის ვადის გასვლამდე; გაწვევისას - შეწყვიტეთ დამუშავება და ამოღება/ანონიმიზაცია.
ჩვენ გვჭირდება რეტენციული პოლიტიკოსები, ავტომატური ამოცანები წაშლა/ანონიმიზაცია და ოპერაციების რეესტრი (RoPA).
მონაცემთა საერთაშორისო გადაცემები
თუ მონაცემები სცილდება EEZ- ს:- გამოიყენება SCC (სტანდარტული სახელშეკრულებო დებულებები) და ხორციელდება Transfer Impact Assessment (TIA); შემოწმებულია მიმღების ქვეყნის კანონები და ტექნიკური ზომები (დაშიფვრა, ფსევდონიზაცია).
- ალტერნატივა: მიმღები ქვეყნის ადეკვატურობა, Binding Corporate Rules და ა.შ.
- ოპერატორი ვალდებულია გამჭვირვალედ აცნობოს მოთამაშეს, ვინ იღებს მონაცემებს და რა საფუძველზე.
დამუშავების უსაფრთხოება (არტ. 32)
TLS/HTTPS ყველგან, დაშიფვრა „დისკზე“ (at rest), გადახდის ტოქსიკაცია, წვდომის სეგრეგაცია, ჟურნალები (audit trail), DLP.
ინციდენტის მენეჯმენტი: მონიტორინგი, რეაგირების გეგმები, რეგულარული ტესტები.
გავლენის შეფასება (DPIA): მაღალი რისკის სცენარებისთვის (მაგალითად, დიდი ქცევითი ანალიტიკა, ახალი ბიომეტრიული შემოწმებები).
მონაცემთა დაცვის ოფიცერი (DPO): სავალდებულოა, თუ ამას მოითხოვს მასშტაბის/ტიპის დამუშავება (ხშირად - დიახ ლიცენზირებული ოპერატორისთვის).
დარღვევები და შეტყობინებები
გაჟონვის ან უსაფრთხოების ინციდენტის დროს, ოპერატორი:1. აფასებს რისკს უფლებებისა და თავისუფლებებისთვის, 2. აცნობებს ზედამხედველს 72 საათის განმავლობაში, 3. მაღალი რისკით - აცნობებს მოთამაშეებს გასაგები ენით, 4. აკეთებს ყველაფერს დოკუმენტაციას და ახორციელებს რემედიაციის ზომებს.
პრაქტიკული მაგალითები
KYC и AML:- საფუძვლები: იურიდიული მოვალეობა + COM/FT- ისთვის საინტერესო ამოცანა.
- მინიმიზაცია: არ შეინახოთ CVV; დოკუმენტები - მხოლოდ დაცულ საცავში, როლებზე წვდომა.
- ვადები: კანონით; მათი შემდეგ - მოცილება/ანონიმიზაცია.
- საფუძველი: ლეგიტიმური ინტერესი ან/და იურიდიული მოვალეობა; LIA + DPIA გაფართოებული პროფილირების დროს.
- გამჭვირვალობა: აღწერეთ სიგნალების ტიპები (velocity, მოწყობილობები, დასკვნების გაუქმება), ჩარევის ლოგიკა და მოთამაშის უფლებები.
- მხოლოდ თანხმობით; პრეფერენციების დეტალური ცენტრი; მყისიერი პასუხი; თვითდასაქმებულთა გამორიცხვა/VIP შეზღუდვებით.
ოპერატორების ტიპიური შეცდომები
იურიდიული საფუძვლები აირია (მაგალითად, მარკეტინგი „ლეგიტიმური ინტერესის“ ქვეშ, LIA- ს გარეშე).
მათ აქვთ მონაცემები „სამუდამოდ“, არ არსებობს რეპეტიციის პოლიტიკა.
„ყრუ“ ქუქი-ბანერი რეალური უარის თქმის გარეშე.
არა RoPA, DPIA, DPO ან ისინი „შოუსთვის“ არიან.
გადაცემები EEZ- ს გარეთ TIA- ს და ტექნიკური ზომების გარეშე.
მოთამაშეები ვერ პოულობენ სად უნდა გაგზავნონ DSAR, პასუხები შეფერხებულია.
რა არის მნიშვნელოვანი იცოდეს მოთამაშემ (უფლებები პრაქტიკაში)
თქვენ შეგიძლიათ მოითხოვოთ თქვენი მონაცემების ასლი და დამუშავების ისტორია.
თქვენ შეგიძლიათ დაუპირისპირდეთ მარკეტინგს და თანხმობა გაიტანოთ - პრომო უნდა შეჩერდეს.
თქვენ შეგიძლიათ გამოსწორდეთ უზუსტობები, მოითხოვოთ მოცილება (თუ არ არსებობს იურიდიული ვალდებულებები შენახვის).
მაღალი რისკის მქონე გაჟონვისას, თქვენ უნდა აცნობოთ გასაგები გზით.
მოძებნეთ საიტზე: კონფიდენციალურობის პოლიტიკა, DPO კონტაქტები, ქუქი-პარამეტრების ცენტრი.
ოპერატორის ჩეკების სია (მოკლედ)
იურიდიული და დოკუმენტაცია
- RoPA (ოპერაციების რეესტრი), LIA, DPIA, DPA პროცესორებით.
- დაინიშნა DPO; DSAR არხები მუშაობს და დოკუმენტირებულია (SLA).
- გამჭვირვალე კონფიდენციალურობის პოლიტიკა, RG/AML დასაბუთების ცალკეული გვერდი.
პროცესები და უსაფრთხოება
- TLS 1. 2/1. 3, დაშიფვრა at rest, PAN ტოქსიკაცია, როლების დაშვება, ჟურნალები.
- retention პოლიტიკოსები და ავტომატური მოცილება/ანონიმიზაცია.
- ინციდენტების გეგმები, ტესტები, 72 საათიანი შეტყობინება.
კუკი/მარკეტინგი
- ნამდვილი CMP: თანხმობა/უარყოფა კატეგორიებში, opt-out ლოგიკა ხორციელდება.
- Opt-in ელექტრონულ ფოსტაზე/SMS, მყისიერი პასუხი; თვითდასაქმებულთა გამონაკლისი.
საერთაშორისო გადაცემები
- SCC + TIA, ტექნიკური ზომები; მესამე ქვეყნების რეესტრი და პროცესორები.
მოთამაშის ჩეკის სია
- წავიკითხე კონფიდენციალურობის პოლიტიკა; მესმის რა მონაცემები, რატომ და რამდენს ინახავს.
- ჩამოაყალიბა cookie პრეფერენციები, დაიშალა ზედმეტი მარკეტინგი.
- მე ვიცი, თუ როგორ უნდა მივაწოდოთ DSAR და დაუკავშირდით DPO.
- ჩართულია 2FA/Passkeys და შეყვანის/ცვლილებების შეტყობინებები (ანგარიშის დაცვა ასევე მონაცემთა დაცვაა).
- ვიყენებ მხოლოდ https ://ოფიციალურ დომენზე; KYC დოკუმენტების ჩამოტვირთვა ჩაშენებული პორტალით.
FAQ (მოკლედ)
შეუძლია ოპერატორს უარი თქვას მონაცემების წაშლაზე?
დიახ, თუ არსებობს იურიდიული ვალდებულება შეინახოს (მაგალითად, AML/ბუღალტრული აღრიცხვა). ვადის გასვლის შემდეგ - მოცილება/ანონიმიზაცია სავალდებულოა.
საჭიროა ცალკეული კონსენსენტი ძირითადი ანტიფროდიული ანალიტიკოსებისთვის?
ჩვეულებრივ - არა (ლეგიტიმური ინტერესი/უსაფრთხოების ვალდებულება), მაგრამ საჭიროა LIA, გამჭვირვალეობა და წინააღმდეგობის გაწევა, თუ ეს არ ძირს უთხრის უსაფრთხოებას.
ელექტრონული ფოსტის მარკეტინგი თანხმობის გარეშე - შესაძლებელია?
ევროკავშირში, როგორც წესი, საჭიროა opt-in (არსებობს მომხმარებლებისთვის „რბილი“ opt-in ნიუანსი - იმოქმედეთ ადგილობრივი კანონის შესაბამისად და პროპორციული პრაქტიკა).
სად ჩივიან, თუ უფლებები ირღვევა?
DPO- ს მხარდასაჭერად/DPO, შემდეგ - მონაცემთა დაცვის ეროვნული ზედამხედველობის ორგანოში (DPA).
GDPR ჰემბლინგში არ არის ქაღალდის ფორმალობა. ეს ეხება მოთამაშეთა მინიმუმამდე შემცირებას, გამჭვირვალობას, უსაფრთხოებას, შენახვის ვადას და უფლებებს. ოპერატორმა, რომელმაც სწორად შეიმუშავა სამართლებრივი საფუძვლები, ააშენა პროცესები (DPIA, DPO, DSAR, TIA) და ტექნიკურად იცავს მონაცემებს, იღებს სტაბილურ ლიცენზიას და გადახდის პარტნიორების ნდობას. მოთამაშე - აკონტროლებს თავის მონაცემებს და იღებს პროგნოზირებულ, უსაფრთხო გამოცდილებას.