تحديد مواقع البيانات حسب الولايات القضائية

1) الغرض والمنطقة

ضمان الامتثال لمتطلبات تحديد مواقع البيانات/الإقامة في جميع الولايات القضائية المستهدفة مع الحفاظ على توافر المنتجات وأمنها وأدائها. التغطية: المنتج (الويب/الهاتف المحمول)، KYC/AML/RG، المدفوعات (PCI)، التسويق/إدارة علاقات العملاء، التحليلات/التسجيل، النسخ الاحتياطية/DR، مزودي/مجمعي الألعاب، الشركات التابعة، البائعين السحابيين.

2) المفاهيم الأساسية

البيانات الإقامة - حيث يتم تخزين البيانات فعليًا.
السيادة على البيانات: حق الدولة في تنظيم البيانات الموجودة على أراضيها أو المتصلة برعاياها.
الإرسال عبر الحدود: الوصول أو التكرار أو المعالجة خارج الولاية القضائية «المنزلية».
البيانات الشخصية (PII )/PII الحساسة: مستندات KYC، تفاصيل الدفع، حالات RG/SE، القياسات الحيوية.
الوحدات/الاسم المستعار/إخفاء الهوية: تكنولوجيا التقليل إلى أدنى حد من المخاطر في التحليلات والتبادل.

3) المبادئ

1. محلي أولاً: يتم تخزين البيانات الشخصية ومعالجتها في منطقة «منزل» اللاعب إذا كانت القواعد تتطلب ذلك.
2. التقليل والعزلة: تخزين الفصل الضروري والواضح للمستأجرين/المناطق فقط.
3. النقل المشروع: فقط باستخدام الآلية القانونية القائمة وتقييم المخاطر.
4. دعم التشفير: التشفير عند الراحة/أثناء العبور، إدارة المفاتيح على الجانب الإقليمي («أحضر/احتفظ بمفتاحك الخاص» إن أمكن).
5. قابلية الإثبات: خرائط البيانات، DPIA/TRA، سجلات الوصول وتأكيد موقع التخزين.
6. آمنة من الفشل: تتبع النسخ الاحتياطية و DR نفس قواعد الإقامة مثل بيانات القتال.

4) الأدوار و RACI

رئيس قسم الامتثال/إدارة شؤون الموظفين - السياسات، إدارة شؤون الإعلام، الآليات القانونية، مراجعة الحسابات. (أ)

Security/Infra Lead - البنية الإقليمية، المفاتيح/التشفير، التحكم في الدخول. (ص)

منصة البيانات/التحليلات - نماذج إخفاء الهوية/التسمية المستعارة، خطوط الأنابيب. (ص)

الهندسة/SRE - نشر المناطق، التكرار، DR/BCP. (ص)

الاتفاقات القانونية - عبر الحدود، والعقود المبرمة مع البائعين، وإدارة الشؤون السياسية/جنوب أفريقيا. (جيم)

المشتريات/البائع Mgmt - تقييم الموردين، مواقع مراكز البيانات. (ص)

المراجعة الداخلية للحسابات - أخذ العينات، مراقبة القطع الأثرية، CAPA. (جيم)

Product/CRM/BI - الامتثال للقيود في السمات/الحملات/التقارير. (ص)

5) تصنيف البيانات ورسم الخرائط

الفئات:

KUS/Age: المستندات، صور السيلفي، القياسات الحيوية، نتائج الاختبار.
المدفوعات/PCI: PAN/الرموز، 3DS/AR، معرفات PSP.
نشاط الألعاب: الجلسات، الرهانات، المكاسب/الخسائر، أحداث RG/SE/RC.
التسويق/إدارة علاقات العملاء: جهات الاتصال، التفضيلات، أعلام القمع.
السجلات/القياس عن بعد: أحداث التطبيق، الأخطاء، الآثار.
التحليلات/التقارير: المجاميع والمكعبات وميزات ML.

خريطة البيانات:

المصدر → النظام → منطقة التخزين → الوضع القانوني → المستهلكين → فترة الاحتفاظ → آلية الحذف.
وهناك حاجة إلى خريطة مرئية للتدفقات، بما في ذلك من/أين يتم تكرارها وبأي شكل (RAW/PII-free/unhymed).

6) أنماط التوطين المعماري

الإيجار الإقليمي: مجموعات فردية (الاتحاد الأوروبي، المملكة المتحدة، TR، BR، CA، الاتحاد الأفريقي، إلخ) مع عزل DB/secret/key.
شحن البيانات حسب المنطقة/السوق: البادئة «المستأجر _ المنطقة» في المفاتيح، وطلبات التوجيه عبر Geo-Router/API Gateway.
Control Plane vs Data Plane: لوحة تحكم عالمية بدون PII ؛ PII - فقط في لوحات البيانات الإقليمية.
Edge cache بدون PII: تخزين مؤقت فقط للمحتوى العام/غير الشخصي.
التحليلات عن طريق خط الأنابيب De-PII: تصدير المجاميع/الأسماء المستعارة فقط إلى DWH ؛ «نظيف» PII - محظور خارج المنطقة.
DR داخل منطقة: نسخة طبق الأصل «ساخنة» داخل نفس الكتلة القطرية/الإقليمية (أو مسموح بها عبر المنطقة مع حماية مماثلة وجوراسيك. (.
BYOK/HYOK: مفاتيح التشفير تحت سيطرة المنطقة/الزبون ؛ KMS مع مراجعة من طرف إلى طرف.

7) عمليات النقل عبر الحدود: آليات قانونية (إطار)

التعاقدية:

الأحكام التعاقدية الموحدة/المعادلات المحلية (SCC/IDTA/ext. (.
اتفاقات نقل إضافية مع أطراف ثالثة (DPA، SSA، تقييمات مخاطر متوافقة مع Schrems).
تقييمات المخاطر: تقييم المخاطر في مجال التجارة/تقييم المخاطر في البلدان الثالثة.
التدابير التقنية: التشفير، فصل الأدوار، الترميز، التقليل.
Orgmers: سياسة الوصول إلى المعرفة، وقطع الأشجار، والتدريب.

💡 في المنتج: أي وصول إلى البيانات «خارج المنطقة» عن طريق الدعم أو BI أو المطور يمر بطبقة بدائية تقوم بما يلي: (أ) تنظيف PII، (ب) تطبيق أساس الوصول، (ج) قطع أثرية سجلات.

8) الملامح الإقليمية (نموذج)

لكل سوق، ادعم البطاقة:


Юрисдикция: ______
Требования к резидентности: (обязательная/рекомендуемая/нет)
Запреты на трансграничность: (полный/условный/нет)
Разрешенные механизмы передачи: (SCC/IDTA/локальное соглашение)
Особые категории: (биометрия/финансы/RG)
Бэкапы/DR: (где, частота, шифрование)
Логи/телеметрия: (можно ли выводить за рубеж, в каком виде)
Сроки хранения: (KYC, платежи, игровые, RG/SE)
Удаление/DSAR: (SLA, подтверждения)
Вендоры/облака: (разрешенные регионы)

9) توطين النسخ الاحتياطية والسجلات والمحللين

النسخ الاحتياطية: مشفرة، في نفس المنطقة، دليل الموقع (معرف المزود/باكاب وولث/الاحتفاظ).
السجلات/المسارات: خالية من PII افتراضيًا ؛ إذا كان PII أمرًا لا مفر منه - متاجر السجلات المحلية، مع التحرير/الإخفاء.
التحليلات/DWH: مفاتيح مستعارة فقط ؛ المجاميع مع عدم الكشف عن هويتها ؛ حظر تفريغ الأحداث «الخام» خارج المنطقة دون سبب.

10) البائعون والسحب

تسجيل البائعين في المجالات التالية: بلد التسجيل، مناطق مراكز البيانات، الشهادات (ISO/PCI/SOC)، توقيعات DPA/SCC/IDTA، نمط المفاتيح، المعالجات الفرعية.
إجراءات ما قبل الرحلة: التقييم القضائي، إدارة شؤون الإعلام/تقييم التسلح، اختبار المرونة على نطاق المنطقة، البيانات عند التحقق من منطقة الراحة.
شروط العقد: الإخطار بتغيير المعالج/الموقع من الباطن، وحقوق مراجعة الحسابات، والمواعيد النهائية للإلغاء، والغرامات.

11) الإزالة والاحتفاظ بها و DSAR

سياسة التخزين: CUS/finance/game/logs - مصطلحات منفصلة (غالبًا 5-7 سنوات للامتثال ؛ في مجال التسويق - باختصار).
الحذف القسري تقنيا (المحو): حذف الوظائف المتتالية مع التقارير ؛ يحذف التشفير (يحذف المفتاح) بالنسبة للمحفوظات.
DSAR/الحقوق الموضوعية: معالجة طلبات الوصول/الإصلاح/الحذف فقط في المحيط الإقليمي ؛ القطع الأثرية للاستجابة - في WORM المحلية.

12) إجراءات الرقابة ومراجعة الحسابات

نسب البيانات: أصل الحقول، مسار التدفقات عبر الحدود، توقيع هاش التصدير.
استعراضات الدخول: استعراضات فصلية لحقوق الوصول، وتقارير عن الطلبات عبر الأقاليم.
سجلات النقل: من/ماذا/متى/أين/الأساس/نوع البيانات/قناع PII/النتيجة.
استعراض البائعين: التقارير السنوية واختبارات/تقييمات الاختراق.
CAPA: تصحيحات للاكتشافات والمواعيد النهائية والمسؤولية.

13) متطلبات المنتج وواجهة برمجة التطبيقات

Geo-router: يحل «player _ region» ويوجه الطلبات إلى مجموعة «المنزل».

واجهات برمجة التطبيقات الواعية بالسياسات: тег 'data _ class = {PIIs	PCI	ANON} ',' region _ scope = {local	global_anon}', 'transfer _ basis _ id'.
الأحداث:
«data _ residency _ asserved»،
'xborder _ export _ request/approved/densed',
«backup _ fulled _ local»،
«dsar _ fulved _ local».
الفشل المغلق: عندما تكون المنطقة غير محددة، احظر العمليات مع PII.

14) مصفوفة «ماذا تخزن» (مثال)

الفئة	موقع التخزين	هل يمكنني التكرار في الخارج	الشروط والأحكام
وثائق KYC/القياسات الحيوية	المنطقة المحلية	لا ، ليس كذلك	فقط المجاميع/الأحكام «تمر/تفشل»
رموز الدفع	المنطقة + منطقة PCI	بشروط	الترميز، نطاق PCI، عقد PSP
أحداث اللعبة (الخام)	المنطقة	بشروط	Alias → Aggregates to Global DWH
حالة RG/SE	المنطقة	لا ، ليس كذلك	يُسمح فقط بالأعلام «المجهولة» على الأنظمة العالمية
اتصالات إدارة العلاقة مع العملاء	المنطقة	بشروط	مع القرار واتفاق سلام دارفور ؛ أعلام القمع محليًا
جذوع الأشجار/المسارات	المنطقة	خالية من PII فقط	إخفاء PII/إزالة على جامع

15) لوحة متابعة للامتثال لمؤشر الأداء العالمي/التوطين

تغطية الإقامة:٪ من الموضوعات التي يقع PII في المنطقة الصحيحة.
معدل الطلب عبر الحدود: حصة طلبات الوصول عبر الحدود (حسب الدور/الشعبة).
حصة التصدير المجهولة: نسبة الصادرات إلى DWH العالمي التي تجاوزت De-PII.
احتياطي محلي SLA: تم تأكيد٪ من النسخ الاحتياطية في المنطقة المحلية.
منطقة البائع الانجراف: حوادث تغيير الموقع/المعالج الفرعي.
DSAR SLA: متوسط التنفيذ في المحيط الإقليمي.
نتائج مراجعة الحسابات (تكرار): أوجه عدم الاتساق المتكررة.

16) القوائم المرجعية

قبل دخول ولاية قضائية جديدة

خريطة البيانات وتصنيفها.
بطاقة الاختصاص (المتطلبات والنسخ الاحتياطية والسجلات وفترات الاحتفاظ).
الخطة المعمارية للمنطقة (VPC/cluster/DB/KMS).
DPIA/TIA، العقود (DPA/SCC/النظراء المحليون).
تقييم البائعين (مواقع البلدان النامية، المعالجات الفرعية).
مجموعة سياسات الوصول/الحذف/التصدير.

في العمليات

التصديق اليومي على «تأكيدات الإقامة» مقابل السجلات الجديدة.
رصد الاستفسارات والانحرافات عبر المناطق.
تحقق من موقع النسخ الاحتياطية/السجلات.
طابور DSAR داخل المنطقة.

مراجعة الحسابات/التحسينات

تنقيح فصلي للبائعين/المناطق.
اختبار DR في كل منطقة (1/ربع).
CAPA عن الانتهاكات (المواعيد النهائية/الأشخاص المسؤولون).

17) قوالب (إدخالات سريعة)

ألف) البند المتعلق بالبائع (تحديد مواقع البيانات)

💡 يضمن المورد تخزين ومعالجة البيانات المخصصة للفئات {PII/RG/KYC} حصريًا في المنطقة {...}. ولا يسمح بأي نقل عبر الحدود إلا إذا كانت هناك آليات قانونية قائمة واتفاق مكتوب. تغيير الموقع - مع الإخطار ≥ 30 يومًا.

باء - سياسة التصدير (التطبيق الداخلي)

💡 أطلب تصدير المجاميع حسب السوق {...} للفترة {...}. فئة البيانات: (ANON). السبب: {تقرير/مراجعة حسابات}. تقييم المخاطر، لا PII. المسؤول: {...}. فترة حذف التحميل: {...}.

جيم) النص في اتفاق جنوب السودان مع الأعمال التجارية

💡 وقت الاستجابة لـ DSAR - حتى أيام X، الحذف - التتابع، التأكيد - قطعة أثرية من تخزين WORM الإقليمي.

18) الأخطاء المتكررة والوقاية

النسخ الاحتياطية في منطقة مجاورة «ملائمة». → حظر ؛ فقط النسخ الاحتياطية المحلية.
تطير السجلات مع PII إلى APM العالمية. → إخفاء على مستوى الوكيل، كدمات محلية.
التقارير العالمية ذات الهوية الأولية → المجاميع/الأسماء المستعارة فقط.
خلط طائرات التحكم/البيانات. → طائرة التحكم العالمية - بدون PII.
نقص أدلة الإقامة. → القطع الأثرية للمخزن: مصادر الهوية، لقطات التكوين، تقارير المزود.

19) خطة تنفيذ مدتها 30 يومًا

الأسبوع 1

1. الموافقة على سياسة التوطين ونموذج تصنيف البيانات.
2. بناء خريطة تدفق أولية للأسواق الحالية.
3. تحديد خدمات الحدود الإقليمية والمتطلبات الرئيسية (BYOK/HYOK).

الأسبوع 2

4. نشر المجموعات الإقليمية ذات الأولوية رقم 1 (EU/UK/...) ؛ مكّن Geo-Router.
5. قم بتمكين خطوط أنابيب De-PII في DWH، وضبط السجلات المحلية/AWS.
6. توقيع/تحديث DPA/SCC/IDTA مع البائعين الرئيسيين.

الأسبوع 3

7. والانتقال إلى قواعد البيانات الإقليمية ؛ النسخ الاحتياطية المحلية وخطة DR.
8. استحداث عملية لتطبيقات التصدير عبر الحدود (بوابة + مجلة).
9. أوامر القطار (Prod/BI/CS/Legal) وفقًا للقواعد الجديدة.

الأسبوع 4

10. إجراء اختبار DR وتدقيق الإقامة العشوائي.
11. مكّن لوحة القيادة KPI (تغطية الإقامة، Backup Locality SLA).
12. CAPA للاختلافات وجدت الخطة v1. 1 (الأسواق التالية).

20) الأقسام المترابطة

إجراءات KYC ومستويات التحقق/التحقق من العمر

سياسة مكافحة غسل الأموال ومراقبة المعاملات

اللعب المسؤول والحدود/SE/Reality Checks

التقارير التنظيمية وأشكال البيانات

لوحة متابعة الامتثال والرصد

المراجعة الداخلية/الخارجية للحسابات وقوائم مراجعة الحسابات

BCP/DRP و «At Rest/In Transit Encryption»