تحديد مواقع البيانات حسب الولايات القضائية

1) الغرض والمنطقة

ضمان الامتثال لمتطلبات تحديد مواقع البيانات/الإقامة في جميع الولايات القضائية المستهدفة مع الحفاظ على توافر المنتجات وأمنها وأدائها. التغطية: المنتج (الويب/الهاتف المحمول)، KYC/AML/RG، المدفوعات (PCI)، التسويق/إدارة علاقات العملاء، التحليلات/التسجيل، النسخ الاحتياطية/DR، مزودي/مجمعي الألعاب، الشركات التابعة، البائعين السحابيين.

2) المفاهيم الأساسية

البيانات الإقامة - حيث يتم تخزين البيانات فعليًا.
السيادة على البيانات: حق الدولة في تنظيم البيانات الموجودة على أراضيها أو المتصلة برعاياها.
الإرسال عبر الحدود: الوصول أو التكرار أو المعالجة خارج الولاية القضائية «المنزلية».
البيانات الشخصية (PII )/PII الحساسة: مستندات KYC، تفاصيل الدفع، حالات RG/SE، القياسات الحيوية.
الوحدات/الاسم المستعار/إخفاء الهوية: تكنولوجيا التقليل إلى أدنى حد من المخاطر في التحليلات والتبادل.

3) المبادئ

1. محلي أولاً: يتم تخزين البيانات الشخصية ومعالجتها في منطقة «منزل» اللاعب إذا كانت القواعد تتطلب ذلك.
2. التقليل والعزلة: تخزين الفصل الضروري والواضح للمستأجرين/المناطق فقط.
3. النقل المشروع: فقط باستخدام الآلية القانونية القائمة وتقييم المخاطر.
4. دعم التشفير: التشفير عند الراحة/أثناء العبور، إدارة المفاتيح على الجانب الإقليمي («أحضر/احتفظ بمفتاحك الخاص» إن أمكن).
5. قابلية الإثبات: خرائط البيانات، DPIA/TRA، سجلات الوصول وتأكيد موقع التخزين.
6. آمنة من الفشل: تتبع النسخ الاحتياطية و DR نفس قواعد الإقامة مثل بيانات القتال.

4) الأدوار و RACI

رئيس قسم الامتثال/إدارة شؤون الموظفين - السياسات، إدارة شؤون الإعلام، الآليات القانونية، مراجعة الحسابات. (أ)

Security/Infra Lead - البنية الإقليمية، المفاتيح/التشفير، التحكم في الدخول. (ص)

منصة البيانات/التحليلات - نماذج إخفاء الهوية/التسمية المستعارة، خطوط الأنابيب. (ص)

الهندسة/SRE - نشر المناطق، التكرار، DR/BCP. (ص)

الاتفاقات القانونية - عبر الحدود، والعقود المبرمة مع البائعين، وإدارة الشؤون السياسية/جنوب أفريقيا. (جيم)

المشتريات/البائع Mgmt - تقييم الموردين، مواقع مراكز البيانات. (ص)

المراجعة الداخلية للحسابات - أخذ العينات، مراقبة القطع الأثرية، CAPA. (جيم)

Product/CRM/BI - الامتثال للقيود في السمات/الحملات/التقارير. (ص)

5) تصنيف البيانات ورسم الخرائط

• KUS/Age: المستندات، صور السيلفي، القياسات الحيوية، نتائج الاختبار.
• المدفوعات/PCI: PAN/الرموز، 3DS/AR، معرفات PSP.
• نشاط الألعاب: الجلسات، الرهانات، المكاسب/الخسائر، أحداث RG/SE/RC.
• التسويق/إدارة علاقات العملاء: جهات الاتصال، التفضيلات، أعلام القمع.
• السجلات/القياس عن بعد: أحداث التطبيق، الأخطاء، الآثار.
• التحليلات/التقارير: المجاميع والمكعبات وميزات ML.

• المصدر → النظام → منطقة التخزين → الوضع القانوني → المستهلكين → فترة الاحتفاظ → آلية الحذف.
• وهناك حاجة إلى خريطة مرئية للتدفقات، بما في ذلك من/أين يتم تكرارها وبأي شكل (RAW/PII-free/unhymed).

6) أنماط التوطين المعماري

الإيجار الإقليمي: مجموعات فردية (الاتحاد الأوروبي، المملكة المتحدة، TR، BR، CA، الاتحاد الأفريقي، إلخ) مع عزل DB/secret/key.
شحن البيانات حسب المنطقة/السوق: البادئة «المستأجر _ المنطقة» في المفاتيح، وطلبات التوجيه عبر Geo-Router/API Gateway.
Control Plane vs Data Plane: لوحة تحكم عالمية بدون PII ؛ PII - فقط في لوحات البيانات الإقليمية.
Edge cache بدون PII: تخزين مؤقت فقط للمحتوى العام/غير الشخصي.
التحليلات عن طريق خط الأنابيب De-PII: تصدير المجاميع/الأسماء المستعارة فقط إلى DWH ؛ «نظيف» PII - محظور خارج المنطقة.
DR داخل منطقة: نسخة طبق الأصل «ساخنة» داخل نفس الكتلة القطرية/الإقليمية (أو مسموح بها عبر المنطقة مع حماية مماثلة وجوراسيك. (.
BYOK/HYOK: مفاتيح التشفير تحت سيطرة المنطقة/الزبون ؛ KMS مع مراجعة من طرف إلى طرف.

7) عمليات النقل عبر الحدود: آليات قانونية (إطار)

• الأحكام التعاقدية الموحدة/المعادلات المحلية (SCC/IDTA/ext. (.
• اتفاقات نقل إضافية مع أطراف ثالثة (DPA، SSA، تقييمات مخاطر متوافقة مع Schrems).
• تقييمات المخاطر: تقييم المخاطر في مجال التجارة/تقييم المخاطر في البلدان الثالثة.
• التدابير التقنية: التشفير، فصل الأدوار، الترميز، التقليل.
• Orgmers: سياسة الوصول إلى المعرفة، وقطع الأشجار، والتدريب.

8) الملامح الإقليمية (نموذج)

Jurisdiction: ______
Residency requirements: (mandatory/recommended/not)
Cross-border bans: (full/conditional/no)
Permitted transfer mechanisms: (SCC/IDTA/local agreement)
Special categories: (biometrics/finance/RG)
Backups/DR: (where, frequency, encryption)
Logs/telemetry: (is it possible to withdraw abroad, in what form)
Retention periods: (KYC, payments, gaming, RG/SE)
Delete/DSAR: (SLA, confirmations)
Vendors/Clouds: (Permitted Regions)

9) توطين النسخ الاحتياطية والسجلات والمحللين

النسخ الاحتياطية: مشفرة، في نفس المنطقة، دليل الموقع (معرف المزود/باكاب وولث/الاحتفاظ).
السجلات/المسارات: خالية من PII افتراضيًا ؛ إذا كان PII أمرًا لا مفر منه - متاجر السجلات المحلية، مع التحرير/الإخفاء.
التحليلات/DWH: مفاتيح مستعارة فقط ؛ المجاميع مع عدم الكشف عن هويتها ؛ حظر تفريغ الأحداث «الخام» خارج المنطقة دون سبب.

10) البائعون والسحب

تسجيل البائعين في المجالات التالية: بلد التسجيل، مناطق مراكز البيانات، الشهادات (ISO/PCI/SOC)، توقيعات DPA/SCC/IDTA، نمط المفاتيح، المعالجات الفرعية.
إجراءات ما قبل الرحلة: التقييم القضائي، إدارة شؤون الإعلام/تقييم التسلح، اختبار المرونة على نطاق المنطقة، البيانات عند التحقق من منطقة الراحة.
شروط العقد: الإخطار بتغيير المعالج/الموقع من الباطن، وحقوق مراجعة الحسابات، والمواعيد النهائية للإلغاء، والغرامات.

11) الإزالة والاحتفاظ بها و DSAR

سياسة التخزين: CUS/finance/game/logs - مصطلحات منفصلة (غالبًا 5-7 سنوات للامتثال ؛ في مجال التسويق - باختصار).
الحذف القسري تقنيا (المحو): حذف الوظائف المتتالية مع التقارير ؛ يحذف التشفير (يحذف المفتاح) بالنسبة للمحفوظات.
DSAR/الحقوق الموضوعية: معالجة طلبات الوصول/الإصلاح/الحذف فقط في المحيط الإقليمي ؛ القطع الأثرية للاستجابة - في WORM المحلية.

12) إجراءات الرقابة ومراجعة الحسابات

نسب البيانات: أصل الحقول، مسار التدفقات عبر الحدود، توقيع هاش التصدير.
استعراضات الدخول: استعراضات فصلية لحقوق الوصول، وتقارير عن الطلبات عبر الأقاليم.
سجلات النقل: من/ماذا/متى/أين/الأساس/نوع البيانات/قناع PII/النتيجة.
استعراض البائعين: التقارير السنوية واختبارات/تقييمات الاختراق.
CAPA: تصحيحات للاكتشافات والمواعيد النهائية والمسؤولية.

13) متطلبات المنتج وواجهة برمجة التطبيقات

Geo-router: يحل «player _ region» ويوجه الطلبات إلى مجموعة «المنزل».
واجهات برمجة التطبيقات الواعية بالسياسة: тег 'data _ class = {PII' PCI 'ANON}', 'region _ scope = {local' global _ anon} ',' transfer _ basis _ id'.

• «data _ residency _ asserved»،
• 'xborder _ export _ request/approved/densed',
• «backup _ fulled _ local»،
• «dsar _ fulved _ local».
• الفشل المغلق: عندما تكون المنطقة غير محددة، احظر العمليات مع PII.

14) مصفوفة «ماذا تخزن» (مثال)

15) لوحة متابعة للامتثال لمؤشر الأداء العالمي/التوطين

تغطية الإقامة:٪ من الموضوعات التي يقع PII في المنطقة الصحيحة.
معدل الطلب عبر الحدود: حصة طلبات الوصول عبر الحدود (حسب الدور/الشعبة).
حصة التصدير المجهولة: نسبة الصادرات إلى DWH العالمي التي تجاوزت De-PII.
احتياطي محلي SLA: تم تأكيد٪ من النسخ الاحتياطية في المنطقة المحلية.
منطقة البائع الانجراف: حوادث تغيير الموقع/المعالج الفرعي.
DSAR SLA: متوسط التنفيذ في المحيط الإقليمي.
نتائج مراجعة الحسابات (تكرار): أوجه عدم الاتساق المتكررة.

16) القوائم المرجعية

قبل دخول ولاية قضائية جديدة

• خريطة البيانات وتصنيفها.
• بطاقة الاختصاص (المتطلبات والنسخ الاحتياطية والسجلات وفترات الاحتفاظ).
• الخطة المعمارية للمنطقة (VPC/cluster/DB/KMS).
• DPIA/TIA، العقود (DPA/SCC/النظراء المحليون).
• تقييم البائعين (مواقع البلدان النامية، المعالجات الفرعية).
• مجموعة سياسات الوصول/الحذف/التصدير.

في العمليات

• التصديق اليومي على «تأكيدات الإقامة» مقابل السجلات الجديدة.
• رصد الاستفسارات والانحرافات عبر المناطق.
• تحقق من موقع النسخ الاحتياطية/السجلات.
• طابور DSAR داخل المنطقة.

التدقيق/التحسين

• تنقيح فصلي للبائعين/المناطق.
• اختبار DR في كل منطقة (1/ربع).
• CAPA عن الانتهاكات (المواعيد النهائية/الأشخاص المسؤولون).

17) قوالب (إدخالات سريعة)

ألف) البند المتعلق بالبائع (تحديد مواقع البيانات)

باء) سياسة التصدير (التطبيق الداخلي)

C) نص في SLA مع الأعمال

18) الأخطاء المتكررة والوقاية

النسخ الاحتياطية في منطقة مجاورة «ملائمة». → حظر ؛ فقط النسخ الاحتياطية المحلية.
تطير السجلات مع PII إلى APM العالمية. → إخفاء على مستوى الوكيل، كدمات محلية.
التقارير العالمية ذات الهوية الأولية → المجاميع/الأسماء المستعارة فقط.
خلط طائرات التحكم/البيانات. → طائرة التحكم العالمية - بدون PII.
نقص أدلة الإقامة. → القطع الأثرية للمخزن: مصادر الهوية، لقطات التكوين، تقارير المزود.

19) خطة تنفيذ مدتها 30 يومًا

الأسبوع 1

1. الموافقة على سياسة التوطين ونموذج تصنيف البيانات.
2. بناء خريطة تدفق أولية للأسواق الحالية.
3. تحديد خدمات الحدود الإقليمية والمتطلبات الرئيسية (BYOK/HYOK).

الأسبوع 2

4. نشر المجموعات الإقليمية ذات الأولوية رقم 1 (EU/UK/...) ؛ مكّن Geo-Router.
5. قم بتمكين خطوط أنابيب De-PII في DWH، وضبط السجلات المحلية/AWS.
6. توقيع/تحديث DPA/SCC/IDTA مع البائعين الرئيسيين.

الأسبوع 3

7. والانتقال إلى قواعد البيانات الإقليمية ؛ النسخ الاحتياطية المحلية وخطة DR.
8. استحداث عملية لتطبيقات التصدير عبر الحدود (بوابة + مجلة).
9. أوامر القطار (Prod/BI/CS/Legal) وفقًا للقواعد الجديدة.

الأسبوع 4

10. إجراء اختبار DR وتدقيق الإقامة العشوائي.
11. مكّن لوحة القيادة KPI (تغطية الإقامة، Backup Locality SLA).
12. CAPA للاختلافات وجدت الخطة v1. 1 (الأسواق التالية).

20) الأقسام المترابطة

إجراءات KYC ومستويات التحقق/التحقق من العمر

سياسة مكافحة غسل الأموال ومراقبة المعاملات

اللعب المسؤول والحدود/SE/Reality Checks

التقارير التنظيمية وأشكال البيانات

لوحة متابعة الامتثال والرصد

المراجعة الداخلية/الخارجية للحسابات وقوائم مراجعة الحسابات

BCP/DRP و «At Rest/In Transit Encryption»