AB veri koruma yasaları (GDPR) ve müşteri gizliliği

1) Kısaca ana şey hakkında

GDPR, kişisel verilerin korunmasına ilişkin temel AB yasasıdır. Bu herkes için geçerli:

Operatör AB dışında olsa bile, AB/AEA'dan kişilerin verilerini işler;
Onlara hizmetler sunar (çevrimiçi casinolar dahil) veya davranışlarını izler.

İhlal için - 20 milyon €'ya veya küresel cironun %4'üne (daha fazlası) kadar para cezası, artı işlem yasakları ve itibar kayıpları.

2) Temel ilkeler (Madde 5 GDPR)

1. Yasallık, adalet, şeffaflık. Anlaşılır politikalar, dürüst bildirimler.

2. Hedef sınırlaması. Verileri yalnızca beyan edilen görevler için kullanın (KYC/AML, Sorumlu Kumar, ödemeler, destek, analitik vb.).

3. Küçültme. Yalnızca ihtiyacınız olanı toplayın (örneğin, yeterli 3-DS ve banka ekstresi varsa "kartlı bir selfie" saklamayın).

4. Doğruluk. Adres/belgeleri güncelleyin, kopyalardan kaçının.

5. Depolama kısıtlaması. Net saklama süreleri (finansal belgeler için genellikle 5-7 yıl; Kısacası - telemetri için).

6. Bütünlük ve gizlilik. Şifreleme, erişim kontrolü, kayıt.

7. Sorumluluk. Uygunluğu kanıtlayın (politikalar, DPIA, işleme kayıtları).

3) Yasal işlem gerekçeleri (Madde 6) - kumarhaneye uygun olan

Yasal zorunluluk: KYC/AML/yaptırım taraması, mali raporlama, ödeme kaydı.

Sözleşme: Bir oyun hesabının oluşturulması ve bakımı, ikmal/para çekme, destek.

Meşru menfaat: Dolandırıcılıkla mücadele, güvenlik, temel ürün analizi, Sorumlu Kumar sinyalleri (yerel düzenlemelere aykırı değilse).

Onay: e-posta/SMS pazarlama, reklam için çerezler, standart dışı profilleme.

Hayati çıkarlar/kamu görevi: nadir, kesin nokta.

Özel kategoriler (sağlık, din, vb.) iGaming'de neredeyse gereksizdir - bunları toplamaktan kaçının. Canlılık için biyometri kullanın - kesinlikle DPIA ile tanımlama ve minimizasyon olarak.

4) Roller ve sorumluluklar

denetleyici: casino operatörü - hedefleri/araçları belirler.

İşlemci: KYC sağlayıcıları, PSP, bulutlar, dolandırıcılık karşıtı, çevrimiçi analitik, pazarlama platformları.

Açık talimatlar, alt işlemciler, güvenlik önlemleri, denetim hakları ve ihlal bildirimleri içeren DPA'lara (işleme sözleşmeleri) ihtiyacımız var.

5) DPIA, DPO ve tedavi kayıtları

DPIA (Veri Koruma Etki Değerlendirmesi) yüksek risk altında zorunludur: CCM/biyometri, davranışsal izleme RG, büyük profil oluşturma, sınır ötesi yayınlar.

İşleme ölçeği büyükse veya sistematik izleme varsa bir DPO (Veri Koruma Görevlisi) atayın.

Processing Activity Register (RoPA): veri kategorileri, hedefler, yasal dayanaklar, saklama süreleri, alıcılar, güvenlik önlemleri.

6) Veri konusunun hakları ve SLA yanıtları

Oyuncunun hakkı vardır: erişim, düzeltme, kaldırma ("unutulma hakkı"), kısıtlamalar, taşınabilirlik, itirazlar ve otomatik kararlarda/profillemede açıklama (örneğin, dolandırıcılık karşıtı blok).

Yanıt süresi genellikle 1 aya kadardır (zorsa 2 ay daha uzatabilirsiniz).

Destek/CRM, talep edenin kimliğinin doğrulanması ve WORM çözüm günlüklerinde süreçlere ihtiyacımız var.

7) Çerezler, e-Gizlilik ve çevrimiçi pazarlama

Onay afişi: analitik/reklamcılık, ayrı anahtarlar, "eşit öneme sahip" düğmeler (kabul et/reddet) için açıkça onay verme.

Kesinlikle gerekli çerezler - rıza olmadan, ancak politikada bir açıklama ile.

E-posta/SMS pazarlaması: yalnızca rıza ile (veya bazı ülkelerdeki mevcut müşteriler için "yumuşak tercih") + kolay tercih dışı bırakma.

Yeniden pazarlama ve benzeri - yalnızca geçerli izinle; Dışlanan ve savunmasız grupların listelerini hariç tutun.

8) Uluslararası veri iletimi (bölüm V)

Aşağıdaki durumlarda EEZ olmayan iletim mümkündür:

Yeterlilik veya
SCC'ler (standart sözleşme hükümleri) + TIA (iletim etki değerlendirmesi) veya
Şirket grupları için Bağlayıcı Kurumsal Kurallar.
Bulutları kontrol edin, sahtekarlıkla mücadele, zincir içi analitik, yardım masası - verilerin fiziksel olarak depolandığı ve işlendiği yerler.

9) Güvenlik (M. 32) ve olaylar (M. 33/34)

Minimum "betonarme":

Şifreleme "dinlenmede've" aktarımda ", anahtar yönetimi.
RBAC/ABAC, yöneticiler için MFA, sıfır hesap paylaşımı.
Medya ayrımı, etkinlik günlüğü (yönetici/destek), anomali izleme.
Tokenization/Telemetri ve analitik için takma ad.
Olay Müdahale Planı, Drill, Bugbounty.

Güvenlik ihlali: Zarar riski yüksekse, 72 saat içinde amirine ve deneklere haber verin. Olayların kaydını tutun.

10) iGaming ince yerler ve nasıl kapatılacağı

1. Biyometri ve canlılık. DPIA, şablonların yerel depolanması (veya doğrulamadan sonra yokluğu), silme için şeffaf son tarihler.

2. Onchain verileri. Bir kripto adresi, bir kişiyle bağlantı kurarsak kişisel veri haline gelebilir - bir TIA yürütün, oyuncunun adreslerini yayınlamayın, raporları en aza indirerek saklayın.

3. Sorumlu Kumar ve profil oluşturma. Açıklanabilir modeller (XAI), zorlu önlemler için "döngüde insan", meydan okuma hakkı.

4. VIP и SoF/SoW. Sadece ihtiyacınız olanı toplayın, son tarihe kadar silin, banka ekstrelerini koruyun.

5. İştirakler ve pikseller. Ortak kontrol mü? Sözleşmelerde düzeltme, kendinden dışlanmış, yasal izinlerin toplanması için senkronize bir yasak sağlamak.

6. Düzenleyici/LEA talepleri. Belgelendirilmiş açıklama prosedürleri, minimizasyon, yasal çerçeve (Madde 6 (1) (c )/( e)).

11) Retension: akıllı son tarihler nasıl belirlenir

CCM/finansal belgeler: 5-7 yıl (ulusal finansal standartlar).

Oturum/cihaz günlükleri: 12-24 ay (tanımlayıcılar olmadan daha uzun).

RG sinyalleri ve durumları: limit + denetim süresi yürürlükteyken.

Pazarlama verileri: onayın geri çekilmesinden önce veya etkinlik olmadan 24 ay.

Biyometri: Yasalarca aksi belirtilmedikçe, doğrulamadan hemen sonra kaldırın.

12) Pratik uyumluluk kontrol listesi (kısa)

Yasal dayanak ve belgeler

Gizlilik politikası ve çerezler, düz dil.
Tedavi Kayıt (RoPA), KYC/biyometri/RG/onchain üzerinde DPIA.
DPO atanmış/dış kaynaklı, iletişim yayınlandı.
Tüm işlemcilerle DPA, alt işlemcilerin listesi.

Konuların hakları

Prosedürler ve SLA'lar (≤1 ay), yanıt şablonları, kimlik doğrulama.
Kolay devre dışı bırakma/silme/düzeltme mekanizmaları.

Teknoloji ve Güvenlik

Şifreleme, MFA, ayrışma, WORM günlükleri.
Analitiği aliasing, BI'ya ihracatı en aza indirme.
Olay planı, "72 saat", tatbikat.

Pazarlama/ePrivacy

Bireysel geçiş anahtarları ile onay afişi; Günlük onayları.
Kendi kendini dışlamada ayrı pazarlama ve kullanıcı tabanları.

Veri aktarımları

Tüm sınır ötesi akışlar için SCC'ler/BCR/TIA.
Sağlayıcıya göre veri haritası (KYC, PSP, bulut, sahtekarlık karşıtı).

13) Sık yapılan hatalar ve bunlardan nasıl kaçınılacağı

Toplayın "yedekte. Gereksiz belgeler/ekran görüntüleri - sızıntı riski. Çözüm: Minimizasyon + kabul edilebilir eserlerin beyaz listesi.

"Koyu desenli" kurabiye afişi. "Make equivalent buttons "Kabul Et/Reddet"

DPIA ve DPA eksikliği. Bunlar olmadan, profillemeyi ve verileri ortaklara aktarmayı haklı çıkarmak zordur.

Tek erişim "superadmin. "Rolleri paylaşın, JIT erişimini bağlayın.

Bulut/analitik tarafından TIA yok. Sunucuların konumunu ve üçüncü taraf yasalarının uygulanabilirliğini değerlendirin.

14) Mini-SSS

Biz Avrupa Birliği'nde değiliz. GDPR kapsamında mıyız?

Evet, AB/AEA'dan kişilere hizmet sunuyorsanız veya davranışlarını izliyorsanız (çerezler/analizler).

Anti-dolandırıcılık ve RG için her zaman onaya ihtiyacınız var mı?

Her zaman değil: genellikle meşru bir çıkar/yasal görev. Ancak, varsa DPIA ve şeffaflık + itiraz yeteneği gerektirir.

KYC belgeleri süresiz olarak saklanabilir mi?

Hayır. Makul süreleri kaydedin ve süreleri dolduğunda silin/anonim hale getirin.

Otomatik çıkış birimi "otomatik karar verme'mi?

Evet, potansiyel olarak. "Döngüdeki insan", açıklama ve yeniden düşünme hakkını sağlayın.

Cüzdan adresi - kişisel veriler?

Tanımlanmış bir kişiyle ilişkilendirilirse böyle olabilir. Onboarding yaparken bir PII gibi davranın.

15) Alt satır

GDPR bir "kağıt kene" gerektirmez, ancak veri yönetim sistemleri: açık hedefler ve yasal zeminler, minimizasyon, güvenli mimari, satıcı kontrolü ve oyuncuların haklarına saygı. Tasarım gereği gizlilik oluşturan ve hesap verebilirliği (RoPA, DPIA, DPA, DPO, olay planı) koruyan bir operatör, yasal ve ödeme risklerini azaltır, denetimleri hızlandırır ve müşteri güvenini artırır - bu da uzun vadeli kazanacağı anlamına gelir.