ISO 27701: إدارة الخصوصية

1) ما هو ISO 27701 ولماذا هو مشغل iGaming

ISO 27701 هي إضافة إلى ISO 27001 و 27002 التي تمتد ISMS إلى PIMS (نظام إدارة معلومات الخصوصية).
بالنسبة إلى iGaming: الامتثال المثبت لمتطلبات الخصوصية (GDPR/UK GDPR/ePrivacy، وما إلى ذلك)، وتسريع العمل مع المنظمين/البنوك/KYC/PSP الشركاء، وتقليل مخاطر الغرامات وتبسيط إدارة البائعين.

2) نطاق PIMS وسياقه

• الأدوار والحدود: في أي عمليات أنت مراقب، أين المعالج ؛ ما هي العلامات التجارية/المناطق/العمليات المدرجة في النطاق.
• فئات البيانات: التسجيل، المدفوعات، KYC/AML/الجزاءات، الأحداث السلوكية، إشارات النمو الحقيقي، الدعم، التسويق/SDK.
• الالتزامات القانونية: قوانين الخصوصية المحلية، وشروط الترخيص، والاتفاقات مع الشركاء.

الناتج: وثيقة نطاق وسياق نظام الرصد الدولي + خريطة أصحاب المصلحة.

3) الأدوار والمسؤوليات الرئيسية

4) حزمة ISO 27701 ↔ ISO 27001

ISMS (27001/27002): القاعدة الأمنية (الأصول والمخاطر والضوابط).
PIMS (27701): يضيف سياسات الخصوصية، وشرعية المعالجة، وحقوق الأشخاص، ودورة حياة البيانات، والآليات التعاقدية وعبر الحدود.
SoA/بيان قابلية التطبيق: تم تمديده بواسطة ضوابط PIMS الخاصة.

5) سجل المعالجة (RoPA) وخريطة البيانات

لكل عملية: الغرض، والأساس القانوني، وفئات المواضيع/البيانات، وفترة الصلاحية، والمستفيدين/المعالجات الفرعية، والجغرافيا، وعلم إدارة شؤون الإعلام.

yaml process: account_registration controller_role: controller purpose: account creation and contract execution lawful_basis: contract data_categories: [PII_basic, contact, device_fingerprint]
recipients: [psp, kyc_provider]
retention: P + 5y # storage policy locations: [EU, UK]
toms: [mTLS, encryption_at_rest, RBAC+ABAC, MFA, masking]
dpia_required: false

6) الأساس الشرعي والموافقة

العقد/الالتزام القانوني: المدفوعات، شركة KYC/AML، منع الاحتيال.
المصلحة المشروعة: التحليلات/الأمن الأساسي (مع تسجيل الرصاص وإلغاء الاشتراك عند الاقتضاء).
الموافقة: التسويق، وملفات تعريف الارتباط/SDK لأغراض غير ضرورية تمامًا، وأنواع معينة من التنميط.
الفئات الخاصة: فقط مع وجود أسس واضحة وتدابير معززة.

CIW/إدارة الموافقة: تسجيل نسخة/لافتات السياسة العامة، والدقة حسب الغرض، وإثبات الاستدعاء.

7) DPIA/PIA - تقييم تأثير الخصوصية

الزمان: تكنولوجيا جديدة، معالجة واسعة النطاق، بيانات حساسة، تنميط منهجي، عبر الحدود.
المحتوى: وصف التجهيز، والضرورة والتناسب، والمخاطر على حقوق الأشخاص، وتدابير التخفيف.
الخروج: قرار (اذهب/أعد صياغة/رفض) + خطة CAPA والتحكم في التاريخ.

8) حقوق موضوع البيانات (DSAR)

الحقوق: الوصول، والتصحيح، والحذف، والتقييد، وإمكانية النقل، والاعتراض، ورفض التنميط/التسويق.
جيش تحرير السودان: تأكيد الطلب بسرعة وتنفيذه خلال الفترة المقررة.
تدفق التنفيذ: استلام → التحقق من الهوية → جمع البيانات → الاستجابة/التنفيذ → سجل.

حظر «التفريغ الأعمى»: فقط من خلال النوافذ ذات التمويه والسجلات ؛ عتبات الخصوصية.

9) التقليل إلى الحد الأدنى والإخفاء والاحتفاظ

تقليل البيانات: تخزين ما تحتاجه فقط لأغراضك ؛ تحذف/تغفل أسماء الحقول «الميتة» بانتظام.
الإخفاء/التسمية المستعارة: الافتراضي لمؤشر الاستثمار الدولي ؛ كشف القناع - JIT + «الغرض» + التدقيق.
مصفوفة الاحتفاظ: فترة الاحتفاظ لكل عملية/فئة، وعوامل التوقف (القانونية)، والحذف التلقائي/المحفوظات.

10) الإرسال عبر الحدود والمعالجات الفرعية

الترتيبات التعاقدية: إدارة الشؤون السياسية، شركة SCCs/IDTA، DTIA (تقييم الإحالة).
موقع البيانات/المفاتيح: حيث البيانات/المفاتيح المادية (KMS/HSM)، سياسة VUOK/المفاتيح الإقليمية.
سجل المعالجات الفرعية: الإخطار بالتغييرات، حق الاعتراض، مستوى TOMs لا يقل عن مستوى إعلاناتنا.

11) الخصوصية حسب التصميم/افتراضيًا

في مرحلة التصميم: متطلبات حماية البيانات في PRD، نموذج نمذجة التهديد مع التهديدات الخاصة.
تم التنفيذ: RLS/CLS، الترميز، التشفير، الحد الأدنى من نطاقات واجهة برمجة التطبيقات، القياس عن بعد بدون PII.
افتراضيًا: يتم تعطيل أجهزة التتبع الاختيارية، والمفاتيح/مساحات الأسماء الفردية لكل منطقة/مستأجر.

12) PIMS تسجيل وإثبات ومراجعة الحسابات

Логи (WORM+подпись): 'اقرأ _ PII'، 'EXPORT _ DATA'، 'PII _ UNMASK'، 'الموافقة _ التحديث'، 'DSAR _'، 'BREACH _'.
الإبلاغ: حالة RoPA، وحملات DPIA، و DSAR/SLA المتراكمة، وحذف الاحتفاظ، وتغيير البائعين، والانتهاكات/الحوادث.
مراجعة الحسابات: سنويًا (أو مع التغييرات)، التحقق من فعالية التصميم/التشغيل للضوابط الخاصة.

13) مقاييس PIMS (KPI/KRI)

• DSAR في الوقت المحدد ≥ 95٪
• أهمية RoPA ≥ 98٪
• تغطية DPIA حسب كيان المخاطر = 100٪
• نسبة عمليات الإزالة التلقائية عن طريق الاحتفاظ ≥ 95 في المائة
• مستوى إدراج CMP (سجلات الموافقة المسجلة) = 100٪

• الوصول PII بدون «غرض» = 0
• التصدير/النقل غير المأذون به = 0
• الحوادث/التسريبات متأخرة = 0
• DPA/SCCs المفقودة للإرسال النشط = 0

14) التكامل مع الضوابط الحالية

IGA/RBAC/ABAC/JIT/PAM: تقليل الحقوق إلى أدنى حد وشروط الوصول السياقي.
سياسة السجل ومسارات مراجعة الحسابات: إثبات الإجراءات مع مؤشر الاستثمار الدولي.
TPRM والعقود: DPA/SCCs/DTIA, Audit rights, SLA notications ≤ 72 h.
ISO 27001/ISMS: نموذج المخاطر العامة، SoA وعمليات المراجعة الداخلية.
الحوادث والتسريبات: خرق قواعد اللعبة، غرفة حرب مشتركة مع البائعين.

15) أنماط القطع الأثرية (شظايا)

15. 1 سياسة الخصوصية (مقتطف داخلي)

yaml privacy_policy:
principles: [lawfulness, fairness, transparency, minimization, accuracy, storage_limitation, integrity_confidentiality, accountability]
roles: {controller: true, processor: true}
data_subject_rights: enabled consent_management: CMP_v2 retention_policy: matrix_ref:v1. 4

15. 2 سياسة كشف القناع

yaml pii_unmask:
allowed_roles: [aml_officer, dpo, fraud_analyst_jit]
approvals: [data_owner, privacy]
ttl_minutes: 30 logging: [PII_UNMASK, READ_PII]

15. 3 عملية DSAR

yaml dsar:
intake_channels: [portal, email]
verification: kyc_level>=2 sla_days: 30 export_mechanism: curated_vitrines_only audit_events: [DSAR_OPEN, DSAR_VERIFY, DSAR_FULFILL, DSAR_CLOSE]

15. 4 مصفوفة الاحتفاظ (شظية)

yaml retention:
registration_logs: {basis: legal, period: "P5Y"}
marketing_events: {basis: consent, period: "P12M", on_withdraw: "delete"}
kyc_documents:   {basis: legal, period: "P5Y", storage: "vault_encrypted"}

16) SOP (الإجراءات)

16. 1 تحديث RoPA

1. Product/Owner → Process Card → Legal/Privacy Review → Security TOMs → Publication and Version.

16. 2 DPIA

1. فحص المخاطر → نموذج إدارة شؤون الإعلام → مشاورة إدارة شؤون الإعلام → الهيئة → القرار والتوقيت

16. 3 DSAR

1. قبول → التحقق → جمعها وتصفيتها من خلال العروض → الاستجابة/التنفيذ → وقطع الأشجار والإغلاق.

16. 4 بائعين/تحويلات

1. بذل العناية الواجبة → سجل المعالجات الفرعية → DPA/SCCs/DTIA → ورصد التغيير → والنقل إلى الخارج وتأكيد الحذف.

17) RACI (موسع)

18) خارطة طريق التنفيذ (8-10 أسابيع)

الأسابيع 1-2: النطاق/السياق، الأدوار و RACI، جرد العمليات/البيانات، مشروع RoPA ومصفوفات الاحتفاظ.
الأسابيع 3-4: سياسة الخصوصية، CMP/تدفق الموافقة، عملية DSAR، نماذج DPIA، DPA/SCCs/DTIA التحديث مع البائعين.
الأسابيع 5-6: تنفيذ TOMs (القناع، RLS/CLS، JIT/PAM)، معارض لـ DSAR، سجلات WORM، تقارير KPI/KRI.
الأسابيع 7-8: إدارة شؤون الإعلام المعنية بالمخاطر العالية، وإغلاق CAPA، والمراجعة الداخلية لحسابات نظام الرصد الدولي، والاستعراض الإداري.
الأسابيع 9-10: التعديلات، بدء الإبلاغ المنتظم، التحضير للتقييم الخارجي (إذا لزم الأمر).

19) الأخطاء المتكررة وكيفية تجنبها

RoPA «للعرض»: ربط كل مدخل بالأهداف والأسس والاحتفاظ ؛ احتفظ بنسخة حية.
DSAR من خلال قواعد البيانات «الخام»: فقط من خلال العروض/الصادرات مع القناع والسجلات.
لا توجد DTIA عند عبور الحدود: إصدار مسبقًا، تحديد موقع البيانات/المفاتيح.
التسويق غير CMP SDKs: الحظر حتى يتم تضمين CMP و TOMs التعاقدية.
لا Pbd/PbD: تضمين متطلبات الخصوصية في PRD وتعريف Done.

20) تشغيل PIMS

شهريًا: تقارير KPI/KRI، ومراجعة تغيير RoPA، ومراقبة المعالج الفرعي، و DSAR SLAs.
كل ثلاثة أشهر: استعراض عمليات الاحتفاظ/الحذف، عمليات التحقق المواضيعية (التسويق، SDK، KYC).
سنوي: المراجعة الداخلية للحسابات في نظام الرصد الدولي، السياق/تحديث المخاطر، تدريب الموظفين، الاستعراض الإداري.

TL; د

ISO 27701 = PIMS over ISMS: RoPA + الأسباب القانونية/الموافقات + DPIA/DSAR + التقليل/الاحتفاظ + المعالجات عبر الحدود والمعالجات الفرعية + TOMs القابلة للإثبات. نحن نبني السجلات و TPRM في RBAC/ABAC/JIT/الحالية ونحصل على خصوصية قابلة للقياس ومدارة وجاهزة للفحوصات الداخلية والخارجية.