اللائحة العامة لحماية البيانات ومعالجة البيانات الشخصية

1) ما الذي ينظم اللائحة العامة لحماية البيانات ومن هو الموضوع

• يتم تثبيتك في الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية أو المستخدمين المستهدفين في الاتحاد الأوروبي (السلع/الخدمات، مراقبة السلوك) ؛
• أنت وحدة تحكم (حدد أهداف/وسائل المعالجة) أو معالج (معالجة PD نيابة عن وحدة التحكم).

• المراقب المالي: صاحب الأهداف/الوسائل، المسؤول عن الشرعية والشفافية.
• المعالج: يعمل بناء على تعليمات موثقة من وحدة التحكم، ويختتم DPA.
• موظف لشؤون حماية البيانات: الإشراف المستقل، إدارة شؤون الإعلام/إدارة شؤون السلامة والأمن، التشاور، الاتصال بالرقابة.

2) مبادئ التجهيز (المادة 5)

1. الشرعية والإنصاف والشفافية.
2. تحديد الهدف. موصوفة بوضوح، أهداف متوافقة.
3. تقليل البيانات. ضروري فقط.
4. دقة. التحديث والتصحيح.
5. قيود التخزين. الاحتفاظ بها وإزالتها/إخفاء الهوية.
6. النزاهة والسرية. الأمن الافتراضي.
7. المساءلة. إمكانية إثبات الامتثال (السياسات، الجذوع، إدارة شؤون الإعلام).

3) الأسس القانونية (st.6) - مصفوفة iGaming/fintech

4) الفئات الخاصة والقياسات الحيوية (المادة 9)

يحظر تجهيز الفئات الخاصة (الصحة والمعتقدات وما إلى ذلك) ما لم يكن هناك سبب منفصل.
تتطلب القياسات الحيوية لتحديد الهوية الفريدة (على سبيل المثال، نموذج الوجه للحيوية/تطابق الوجه) موافقة مباشرة أو إطار قانوني ضيق آخر (حسب البلد). أنماط التخزين بدلاً من الصور «الخام» حيثما أمكن ذلك.

5) تحديد الملامح والحلول الآلية (المادة 22)

• والإفصاح الشفاف عن المنطق (في حدود معقولة) وأهميته وعواقبه ؛
• والحق في التدخل الإنساني والطعن في القرار ؛
• إدارة شؤون الإعلام مع احتمال كبير لخطر الحقوق/الحريات (التنميط على نطاق واسع).
• التوصيات: تخزين رموز الأسباب، نماذج/قواعد الإصدار، إجراء عمليات تدقيق التحيز.

6) DPIA/DTIA: عندما تكون إلزامية

إجراء DPIA إذا كان الخطر مرتفعًا: التنميط على نطاق واسع، والقياسات الحيوية، و «المراقبة المنهجية»، ومصادر البيانات الجديدة.
نموذج إدارة شؤون الإعلام: الغرض من المعالجة ووصفها → الأسس القانونية → مخاطر الأشخاص → تدابير التخفيف → خطة → المخاطر المتبقية.
DTIA (تقييم الإرسال عبر الحدود): البيئة القانونية للبلد المتلقي + التدابير التعاقدية/تلك (SCC/المكافئ، التشفير، فصل المفاتيح).

7) الإرسال عبر الحدود (Ch. V)

الآليات: SCC، BCR، قرارات الكفاية، النظائر المحلية.
التدابير التقنية: التشفير من طرف إلى طرف، فصل المفتاح، تقليل المجال، تسمية مستعارة قبل الإرسال.
توثيق سجل النقل ونتائج DTIA ؛ استعراض المخاطر بانتظام.

8) حقوق الأشخاص (DSR)

حق الوصول والتصحيح والحذف والتقييد وإمكانية النقل والاعتراض وعدم التسويق.
المواعيد النهائية: عادةً ما تصل إلى 30 يومًا (يمكنك التمديد لمدة 60 يومًا أخرى إذا كانت صعبة، مع الإشعار).
التحقق من هوية مقدم الطلب (دون الإفصاح عن الكثير).
الاستثناءات: التخزين بسبب رسوم مكافحة غسل الأموال/الضرائب، وما إلى ذلك.

9) ملف تعريف الارتباط/SDK والتسويق

تصنيف ملفات تعريف الارتباط على أنها إلزامية/وظيفية/تحليلية/تسويق.
بالنسبة لتحليلات/تسويق الاتحاد الأوروبي/المنطقة الاقتصادية الخالصة - اختيار الانضمام (الاختيار الحقيقي)، سجل الموافقة، الأوصاف التفصيلية.
الاحترام لا تتبع/إلغاء الاشتراك ؛ استخدام تحليلات جانب الخادم وتقليل البيانات.
تسويق البريد الإلكتروني/الرسائل القصيرة - موافقة منفصلة ؛ احتفظ بإثبات الموافقة والطوابع الزمنية.

10) الأمن و «الخصوصية حسب التصميم/الافتراضي»

التشفير أثناء العبور وأثناء الراحة، وترميز تفاصيل الدفع، وعزل مناطق البيانات (تحليلات ↔ PII).
RBAC/ABAC access control, MFA, JIT accesses, activity log, WORM archive.
مراقبة DLP للتحميلات والتبادلات ؛ حظر النسخ غير المأذون بها من بيانات الإنتاج في مرحلة التطوير.
تقليل الحقول وتجميعها وإخفاء هويتها إلى الحد الأدنى حيثما لا تكون هناك حاجة إلى تحديد الهوية.

11) سجل العمليات (RoPA) والاحتفاظ بها

الحفاظ على RoPA: الغرض، والأسباب، وفئات البيانات والموضوعات، والمستفيدين، وفترات الاحتفاظ، والتدابير الأمنية، وعمليات النقل إلى الخارج.
مصفوفة الاحتفاظ: لكل فئة من فئات PD - مصطلح (على سبيل المثال، AML/KYC بعد ≥5 سنوات من انتهاء العلاقة)، طريقة الحذف/إخفاء الهوية، المالك المسؤول.

12) التسريبات والإخطارات (Art.33/34)

تقييم الخطر على الحقوق والحريات: إذا كان الضرر محتملاً، قم بإخطار المشرف في غضون 72 ساعة، وإذا كان الخطر مرتفعاً، قم بإخطار الأشخاص دون تأخير غير معقول.
خطة الاستجابة: العزل، والطب الشرعي، والتصحيح، والاتصالات، وما بعد البحر ؛ تخزين القطع الأثرية والحلول.

13) المعالجات وإدارة الشؤون السياسية وإدارة البائعين

مع كل معالج، اختتم DPA: الموضوع، فئات PD، المعالجات الفرعية، الأمن، DSR/المساعدة في الحوادث، التدقيق، حذف البيانات/الإقرارات.
بذل العناية الواجبة: الموقع، الشهادات (ISO/SOC)، الحوادث، التدابير الأمنية، المعالجات الفرعية.
إعادة التقييم سنويا وفي حالة التغييرات (الجزاءات، عمليات الاندماج والاستحواذ، الجغرافيا).

14) مصفوفة «الأهداف → الأسس → العمر الافتراضي»

15) توثيق ويكي (الهياكل العظمية)

1. سياسة الخصوصية (طبقات): إصدار قصير + كامل.
2. سياسة إدارة ملفات تعريف الارتباط/توافق الآراء.
3. سجل المعالجة.
4. نموذج DPIA/DTIA + معايير التشغيل.
5. سياسة إصلاح قطاع الخدمات (اتفاقيات/إجراءات/نماذج).
6. سياسة الاحتفاظ والحذف + خط أنابيب الوظائف.
7. سياسة الحوادث والإخطار (استمارات RACI).
8. نموذج إدارة الشؤون السياسية والقائمة المرجعية للبائعين الذين يبذلون العناية الواجبة.
9. قواعد التوصيف والحلول الآلية (قابلية التفسير والاستئناف).

16) المقاييس والتحكم

تم إغلاق معدل طلب DSR SLA ≤30 أيام.
تغطية الموافقة: نسبة الأحداث ذات الاختيار الصالح/إلغاء الاشتراك.
مؤشر تقليل البيانات - متوسط عدد نقاط البيانات لكل ميزة.
انتهاكات الوصول/الصادرات: حوادث الوصول والتنزيل، الاتجاه.
تغطية التشفير:% من الجداول/الدلاء/النسخ الاحتياطية في التشفير.
حادثة MTTR/MTTD وقابلية التكرار.
معدل امتثال البائعين ونتائج مراجعة الحسابات.
RoPA اكتمال الالتزام بالاحتفاظ и.

17) القوائم المرجعية

• تأكد أساس شرعية إدارة شؤون الإعلام/إدارة شؤون الإعلام.
• يتم إدراج الأهداف/القواعد/الاحتفاظ بها في RoPA.
• تقليل مناطق البيانات إلى أدنى حد/تعريفها/عزلها.
• تم تكوين فئتي Consence Banner وملفات تعريف الارتباط.
• وافقت إدارة الشؤون السياسية/البائعون على قائمة المعالجين الفرعيين.
• الجذوع والتنبيهات ومراجعة الحسابات والحذف/إخفاء الهوية - ممكنة.

• مراجعة الوصول (RBAC/ABAC)، تذكر الزائد.
• اختبار الاسترداد الاحتياطي.
• تنقيح DTIA/SCC وقائمة المعالجات الفرعية.
• مراجعة حسابات الاحتفاظ (محذوفة حسب الموعد النهائي) وسجل حقوق السحب الخاصة.
• تخطيط IR التدريب وتحديث قواعد اللعبة.

• التحقق من مقدم الطلب.
• جمع البيانات من الأنظمة عبر RoPA.
• الرد في الوقت المحدد مع تحديد أسباب الاستثناءات.
• تحديث السجلات وإخطار الأطراف (إذا كانت محمولة).

18) خارطة طريق التنفيذ

1. جرد النظم وتدفقات PD ؛ تشكيل RoPA.
2. تعيين DPO والموافقة على السياسة و RACI.
3. إطلاق دائرة DPIA/DTIA وتأسيس الإدارة.
4. فصل منطقة البيانات، التشفير، DLP، سجلات وأرشيف WORM.
5. خط أنابيب الاحتفاظ والإزالة/إخفاء الهوية.
6. استعراض البائعين، إدارة الشؤون السياسية، سجل المعالجات الفرعية.
7. التنميط: رموز الأسباب، الاستئناف، القابلية للتفسير.
8. المقاييس العادية، وتقرير المجلس، ودورات المراجعة الخارجية/الداخلية للحسابات.

النتيجة

الامتثال للائحة العامة لحماية البيانات ليس فقط سياسة على الموقع، ولكن نظام إدارة دورة حياة PD: الأسباب الصحيحة، والتقليل من الأمن بشكل افتراضي، DPIA/DTIA، احترام حقوق الأشخاص، البائعين الخاضعين للرقابة والمقاييس القابلة للقياس. من خلال بناء الخصوصية في الهندسة المعمارية والعمليات، فإنك تحتفظ بالتراخيص والشراكات وثقة اللاعب - دون التضحية بسرعة المنتج وتحويله.