Torrent Gear

Деректерді қорғау туралы ЕО заңдары (GDPR) және клиенттердің құпиялылығы

1) Ең бастысы туралы қысқаша

GDPR - ЕО-ның дербес деректерді қорғау туралы базалық заңы. Ол мыналардың барлығына қолданылады:

егер оператор ЕО-дан тыс болса да ЕО/ЕЭА-дан адамдардың деректерін өңдейді;
оларға қызметтер (оның ішінде онлайн-казино) ұсынады немесе олардың мінез-құлқын қадағалайды.

Тәртіп бұзғаны үшін - 20 млн € немесе 4% дейін (бұл көп), оған қоса өңдеуге тыйым салу және беделін жоғалту.

2) Түйінді қағидаттар (5-бап GDPR)

1. Заңдылық, әділдік, ашықтық. Түсінікті саясаткерлер, адал хабарламалар.

2. Мақсаттарды шектеу. Деректерді тек мәлімделген тапсырмалар үшін пайдалану (KYC/AML, Responsible Gambling, төлемдер, қолдау, талдау және т.б.).

3. Ең аз. Тек қажет нәрсені жинау (мысалы, егер 3-DS және банктік үзінді-көшірме жеткілікті болса, «картамен селфи» сақтамау).

4. Дәлдік. Мекенжайды/құжаттарды жаңарту, көшірмелерден аулақ болу.

5. Сақтауды шектеу. Ретенцияның нақты мерзімі (әдетте қаржылық құжаттар үшін 5-7 жыл; қысқасы - телеметрия үшін).

6. Тұтастық және құпиялылық. Шифрлау, кіруді бақылау, журналдау.

7. Есеп беру. Сәйкестігін дәлелдеу (саясат, DPIA, өңдеу жазбалары).

3) Өңдеудің құқықтық негіздері (6-бап) - казино үшін не қолайлы

Құқықтық міндеті: KYC/AML/санкциялық скрининг, фискалдық есептілік, төлем журналдарын жүргізу.

Шарт: ойын шотын құру және қызмет көрсету, толықтыру/шығару, саппорт.

Заңды қызығушылық: антифрод, қауіпсіздік, өнімнің базалық талдауы, Responsible Gambling-сигналдары (егер жергілікті нормаларға қайшы келмесе).

Келісім: e-mail/SMS-маркетинг, жарнамаға арналған cookies, стандартты емес профильдер.

Өмірлік маңызы бар мүдделер/жария міндет: сирек, нүктелі.

💡 iGaming-те арнайы санаттар (денсаулық, дін және т.б.) қажет емес - оларды жинаудан аулақ болыңыз. liveness → үшін биометрияны қатаң DPIA және минимизациямен сәйкестендіру ретінде пайдаланыңыз.

4) Жауапкершіліктің рөлі мен шектері

Бақылаушы (controller): казино операторы - мақсаттарды/құралдарды анықтайды.

Өңдеуші (processor): KYC-провайдерлер, PSP, бұлттар, антифрод, ончейн-аналитика, маркетингтік платформалар.

Нақты нұсқаулары, субпроцессорлары, қауіпсіздік шаралары, аудит құқықтары және бұзушылықтар туралы хабарламалары бар DPA (өңдеу шарттары) қажет.

5) DPIA, DPO және өңдеу жазбалары

DPIA (деректерді қорғауға әсерді бағалау) жоғары тәуекелділік кезінде міндетті: АКҚ/биометрия, RG мінез-құлық мониторингі, ірі профилизация, трансшекаралық берілімдер.

Егер өңдеу ауқымы үлкен болса немесе жүйелі мониторинг болса, DPO (деректерді қорғау жөніндегі офицер) тағайындаңыз.

Өңдеу операцияларының тізілімін (RoPA) жүргізіңіз: деректер санаттары, мақсаттары, құқықтық негіздері, сақтау мерзімдері, алушылар, қауіпсіздік шаралары.

6) Деректер субъектісінің және SLA жауаптарының құқықтары

Ойыншының: қол жеткізуге, түзетуге, жоюға («right to be forgotten»), шектеулерге, төзімділікке, қарсылықтарға, сондай-ақ автоматтандырылған шешімдер/бейіндеу кезінде түсіндіруге (мысалы, антифрод-блок) құқығы бар.

Жауап беру мерзімі - әдетте 1 айға дейін (қиындықта тағы 2 айға ұзартуға болады).

Саппорттағы/CRM процестері, сұрау салушының жеке басын тексеру және WORM-шешімдер журналы қажет.

7) Cookies, ePrivacy және онлайн маркетинг

Келісім баннері: талдау/жарнама үшін айқын opt-in, жекелеген ауыстырып қосқыштар, «маңыздылығы бойынша тең» батырмалар (қабылдау/қабылдамау).

Қатаң қажетті cookies - келісімсіз, бірақ саясатта сипатталған.

E-mail/SMS-маркетинг: тек келісімімен (немесе кейбір елдерде бар клиенттер үшін «жұмсақ opt-in») + жеңіл opt-out.

Ремаркетинг және look-alike - валидті келісім кезінде ғана; өздігінен жойылған және осал топтардың тізімдерін болдырмаңыз.

8) Халықаралық деректер беру (V тарау)

БЕА-дан тыс беру:

Adequacy (ел барабар деп танылған), немесе
SCCs (стандартты шарттық ережелер) + TIA (беру әсерін бағалау), немесе
Компаниялар топтары үшін Binding Corporate Rules.
Бұлттарды, anti-fraud, on-chain аналитикасын, helpdesk - деректердің физикалық сақталатын және өңделетін жерін тексеріңіз.

9) Қауіпсіздік (32-бап) және тосын оқиғалар (33/34-бап)

«Темір бетонның» минимумы:

«Тыныштықта» және «транзитте» шифрлау, кілттерді басқару.
RBAC/ABAC, әкімшілер үшін MFA, нөлдік есепшоттар.
Орталарды сегрегациялау, әрекеттер журналы (әкімшілік/қолдау), аномалиялар мониторингі.
Телеметрия және талдау үшін Tokenization/Pseudonymization.
Оқыс оқиғаларға, оқу-жаттығуларға, багбаунтиге ден қою жоспары.

Қауіпсіздікті бұзу: қадағалау органын 72 сағат ішінде, ал егер зиян қаупі жоғары болса, субъектілерді хабардар ету. Инциденттер тізілімін жүргізу.

10) iGaming жіңішке жерлері және оларды қалай жабу керек

1. Биометрия және liveness. DPIA, шаблондарды жергілікті сақтау (немесе верификациядан кейін олардың болмауы), жою мерзімдерінің мөлдірлігі.

2. Ончейн-деректер. Егер біз адаммен байланысатын болсақ, крипто-мекенжай жеке деректерге айналуы мүмкін - TIA жүргізу, ойыншының мекенжайын жарияламау, есептерді барынша азайтып сақтау.

3. Responsible Gambling және профильдеу. Түсінікті модельдер (XAI), қатал шараларға арналған «human-in-the-loop», дауласу құқығы.

4. VIP и SoF/SoW. Тек қажеттіні жинау, мерзімі бойынша жою, банктік үзінділерді қорғау.

5. Аффилиаттар мен пикселдер. Бірлескен бақылау? Шарттарда бекіту, өздігінен алынып тасталған келісімдерді заңды түрде жинауды қамтамасыз ету.

6. Реттегіш/LEA сұраулары. Құжатталған ашу рәсімдері, барынша азайту, құқықтық база (6 (1) (с )/( е) бап).

11) Ретенция: «ақылды» мерзімдерді қалай белгілеу керек

АҚК/қаржы құжаттары: 5-7 жыл (ұлттық қаржы нормалары).

Сессия/құрылғы логтары: 12-24 ай (идентификаторсыз - ұзақ).

RG-сигналдар мен кейстер: әзірге шектеу + аудит мерзімі қолданылады.

Маркетингтiк деректер: келiсiмдi қайтарып алғанға дейiн немесе белсендiлiксiз 24 ай.

Биометрия: егер заңмен өзгеше талап етілмесе, тексеруден кейін бірден алып тастау.

12) Практикалық сәйкестік чек-парағы (қысқаша)

Құқықтық негіздер және құжаттама

Құпиялылық саясаты және cookies, қарапайым тілмен.
Өңдеу тізілімі (RoPA), KYC/биометрияға DPIA/RG/ончейн.
DPO аутсорс/тағайындалған, контакт жарияланған.
Барлық процессорлары бар DPA, субпроцессорлар тізімі.

Субъектілердің құқықтары

Процедуралар және SLA (1 айға ≤), жауап үлгілері, жеке басын тексеру.
Жеңіл механизмдер opt-out/жою/түзету.

Технология және қауіпсіздік

Шифрлау, MFA, сегрегация, WORM логтары.
Аналитиканы псевдонимизациялау, BI-ға экспортты азайту.
Оқыс оқиғалар жоспары, «72 сағат», оқу-жаттығулар.

Маркетинг/ePrivacy

Жекелеген тумблерлермен келісім баннері; consents журналы.
Маркетингтің және пайдаланушылардың жеке базалары өздігінен алынып тасталады.

Деректерді беру

Барлық трансшекаралық ағындар үшін SCCs/BCR/TIA.
Провайдерлер бойынша деректер картасы (KYC, PSP, бұлттар, антифрод).

13) Жиі қателер және оларды болдырмау

«Қор туралы» жинау. Артық құжаттар/скриншоттар → ағып кету қаупі. Шешім: барынша азайту + рұқсат етілген артефактілердің ақ тізімі.

«Қара үлгілер» бар cookie баннері. «Қабылдау/Қабылдамау» дегенге тең батырмалар жасаңыз.

DPIA және DPA болмауы. Оларсыз профильдеуді және деректерді серіктестерге беруді ақтау қиын.

Бірыңғай қатынау «суперадмин». Рөлдерді бөлісіңіз, JIT қатынасын қосыңыз.

Бұлттар/талдау бойынша TIA жоқ. Серверлердің орналасқан жерін және үшінші елдердің құқықтарының қолданылуын бағалаңыз.

14) Шағын FAQ

Біз ЕО-да емеспіз. Бізге GDPR тарала ма?

Иә, егер сіз ЕО/ЕЭА адамдарына қызмет ұсынсаңыз немесе олардың мінез-құлқын қадағаласаңыз (cookies/талдау).

Антифрод пен RG үшін әрқашан келісім қажет пе?

Әрдайым емес: әдетте заңды мүдде/құқықтық міндет. Бірақ DPIA және ашықтық + егер қолданылса, қарсылық білдіру мүмкіндігі талап етіледі.

KYC құжаттарын мерзімсіз сақтауға бола ма?

Жоқ. Негізделген мерзімдерді белгілеңіз және олар аяқталғаннан кейін жойыңыз/анонимдеңіз.

Автоматты шығару блогы - «шешімдерді автоматты түрде қабылдау» ма?

Иә, әлбетте. «human-in-the-loop» түсініктемесін және қайта қарау құқығын қамтамасыз етіңіз.

Әмиян мекенжайы - жеке деректер?

Егер сәйкестендірілген адаммен байланысты болса, осындай болуы мүмкін. Онбординг кезінде PII ретінде қараңыз.

15) Қорытынды

GDPR «қағаз белгісін» емес, деректерді басқару жүйесін талап етеді: айқын мақсаттар мен құқықтық негіздер, барынша азайту, қауіпсіз сәулет, вендорларды бақылау және ойыншылардың құқықтарын құрметтеу. privacy-by-design құратын және есеп беретін оператор (RoPA, DPIA, DPA, DPO, инцидент-жоспар) заңдық және төлем тәуекелдерін төмендетеді, аудитті жеделдетеді және клиенттердің сенімін арттырады, демек ол ұзақ мерзімде жеңеді.