DSAR: طلبات المستخدمين للحصول على البيانات

1) الغرض والمنطقة

توفير عملية DSAR واحدة يمكن التنبؤ بها والتحقق منها عبر جميع القنوات والسلطات القضائية، مع مراعاة iGaming وقيود ترخيص AML/KYC ومتطلبات اللعب المسؤول (RG) وحماية البيانات المحلية. التغطية: الويب/الهاتف المحمول، الدعم/CS، CRM/التسويق، المنتج/المحفظة، مزودي الألعاب/PSP، التحليلات/DWH، السجلات/AWP، الشركات التابعة والبائعين الخارجيين.

2) أنواع DSAR (ما يمكن للمستخدم طلبه)

الوصول إلى البيانات الشخصية ونسخ البيانات.
تصحيح البيانات غير الدقيقة/غير الكاملة.
الحذف («الحق في النسيان») - رهنا بالاستثناءات.
تقييد المعالجة (وقفة للاستخدام).
إمكانية النقل (تصدير البيانات الأساسية المقروءة آليا).
الاعتراض على التسويق/التنميط على أساس ذلك.
التجهيز الآلي فقط (AADM) - المعلومات والمراجعة حسب الحاجة.

3) المبادئ

1. الشرعية وحسن النية. لا حواجز اصطناعية.
2. إثبات الهوية. تحقق KYC النسبي قبل تسجيل الخروج/الحذف.
3. التقليل والسلامة. نحن نصدر «بالقدر اللازم بالضبط» مع تحرير أطراف ثالثة وأسرار.
4. التوقيت والشفافية. تأكيد القبول والمركز والرد النهائي في الوقت المحدد ؛ يسمح بتمديد معقول.
5. القابلية للإثبات. مجموعة كاملة من القطع الأثرية لمراجعة الحسابات/المنظم.
6. نقطة تحكم واحدة. البوابة/قائمة الانتظار المركزية لنظام DSAR والتكامل مع جميع النظم.

4) الأدوار و RACI

DPO/رئيس الامتثال - مالك العملية، تفسير المعايير، القضايا المعقدة. (أ)

فريق عمليات الخصوصية/DSAR - المعالجة التشغيلية والاتصالات والجمع/الإصدار. (ص)

قانوني - استثناءات/قيود، تعليق قانوني، استئناف. (C/R)

الأمن/Infra - قنوات آمنة، التشفير، التحكم في الوصول. (ص)

منصة البيانات/التحليلات - استخراج البيانات، de-PII، قابلية النقل. (ص)

المنتج/الهندسة - واجهة برمجة التطبيقات/الموصلات بالأنظمة والأتمتة. (ص)

CS/Trust & Safety - القبول والتحقق الأوليين، نماذج الاستجابة. (ص)

المراجعة الداخلية للحسابات - الاختيارات وخطط العمل القطرية. (جيم)

5) قنوات الاستقبال وتحديد الهوية

القنوات: بوابة «الخصوصية»، البريد الإلكتروني الخصوصية @...، تذاكر CS، البريد.

• في الحساب: سمات التحكم 2FA + (جزء من الهاتف/البريد الإلكتروني، التشغيل الأخير).
• لا يوجد حساب/حساب مغلق: بشكل متناسب - اطلب مجموعة محدودة من التأكيدات (بدون وثائق زائدة).
• الممثل: التوكيل/الولاية ؛ نصلح الحالة والحجم.

مكافحة الاحتيال: الأعلام في حالة عدم تطابق السمات/الطلبات الجماعية من أحد شركاء التنفيذ/الوكيل.

6) جيش تحرير السودان والتوقيت

الاستلام: على الفور/في غضون 24 ساعة.
الجواب هو في الأساس: 1 غضون شهر تقويمي من تاريخ الاستلام (يُسمح في بعض الولايات القضائية بتمديد ما يصل إلى 2 أشهر أخرى مع التعقيد/الحجم).
التجديد: إخطار المستخدم مسبقًا مع التبرير.
الرفض/التقييد: رد مسبب يبين الأسباب والحق في تقديم شكوى.

7) الاستثناءات والقيود (الإطار)

تراخيص AML/KYC و iGaming: احتفظ بالمعاملات/السجلات لفترات محددة - لا ينطبق الحذف، ولكن التقييد/التقليل ينطبق.
الالتزامات القانونية والحيازة القانونية: في قضايا التحقيقات/المحاكم.
حقوق وحريات الأطراف الثالثة: التحرير/نزع الطابع الشخصي عند التقاطع.
الأسرار التجارية/الأمن التجاري: لا تكشف عن خوارزميات/مفاتيح/أسرار مكافحة الاحتيال ؛ معلومات وصفية.
من الواضح أن الطلبات غير المعقولة/المفرطة: يمكن دفع رسوم معقولة أو رفض معقول.

8) نظم المصدر والتغطية

الحساب/الملف الشخصي: بيانات التسجيل، وحالات النمو الحقيقي/النمو الاجتماعي، والعمر، والموافقة.
KUS/Documents: ID, selfie/liveliness (articles, where legal).
المدفوعات/PSP: الودائع/عمليات السحب، رموز البطاقات (بدون PAN)، استرداد التكاليف.
نشاط الألعاب: الجلسات، الرهانات، المكاسب، المكافآت/المهرج.
CRM/التسويق: موافقة القناة، النشرة الإخبارية/تاريخ الحملة.
Logs/Security: مدخلات، أجهزة، أحداث مهمة (بدون PII «الخام»، إذا كانت هذه سياسة سجل).
الشركات التابعة: انقر فوق المصادر (بدون بيانات شخصية لأطراف ثالثة).
البائعون: السجلات الواردة منهم/المنقولة إليهم (مع بيان الأسباب القانونية).

9) العملية (من البداية إلى النهاية)

1. الاستقبال والتسجيل: إنشاء القضية ('dsar _ case _ id')، نوع الطلب، الموعد النهائي.
2. التحقق من هوية شركة KYC: التحقق من الهوية، تثبيت الطريقة/النتيجة.
3. الفرز: تحديد التغطية والاستثناءات وما إذا كانت هناك حاجة إلى تعليق قانوني.
4. جمع البيانات: الاسترجاع التلقائي من النظم + الطلبات الموجهة إلى البائعين.
5. التنظيف/التنقيح: تحذف الزائدة عن الحاجة، وتخفي الأطراف الثالثة/الأسرار، وتترجم البيانات التقنية إلى شكل مفهوم.
6. إعداد الرد: مجموعة البيانات + مذكرة تفسيرية (الأهداف، المواعيد النهائية، المصادر، المستفيدون، الحقوق).
7. التسليم: بوابة آمنة/محفوظات آمنة ؛ التشفير والرموز لمرة واحدة.
8. الإغلاق: تسجيل القطع الأثرية، ومراقبة الجودة، ومسح الرضا.
9. CAPA للحوادث والشكاوى.

10) الأشكال وقابلية التحمل

الوصول/النسخة: ملفات قابلة للقراءة آليا (CSV/JSON/Parquet) + PDF-vault قابلة للقراءة.
قابلية النقل: الملامح/المعاملات الأساسية في شكل منظم واسع الاستخدام ؛ الرسوم البيانية مرفقة.
تصحيح: نجري تغييرات ونؤكد للمستخدم.
الحذف: اللكمات المتتالية، حذف المحفوظات بالتشفير، تأكيد نطاقات النظام/التاريخ.

11) التسليم الآمن

بوابة مع وصلات لمرة واحدة مع وزارة الخارجية ؛ ربط العمر ≤ 7 أيام.
أرشيف بكلمة مرور، نقل كلمة مرور عبر قناة منفصلة.
تنزيل/عرض السجلات ؛ الحد من عدد النسخ.

12) نموذج البيانات (الحد الأدنى)

dsar_case {
case_id, subject_id_hash, market, type{access    rectify    erase    restrict    port    object    aadm},
received_at_utc, acknowledged_at_utc, due_at_utc, extended_to_utc, status,
id_verification{method, result, evidence_id, verified_at_utc},
scope{systems[], date_range, include_vendors{true    false}},
legal_basis_notes, exemptions[], legal_hold{yes/no, reason},
data_packages[{system, format, size_mb, records_count, redactions[]}],
delivery{channel, url, password_hint, expires_at_utc, downloaded_at_utc},
communications[], owner, approvers{dpo, legal}, closed_at_utc, outcome,
audit_artifacts[]
}

13) KPI/KRI ولوحة القيادة

DSAR SLA (متوسط، 95 في المائة) حسب نوع الطلب.
معدل التجديد وأسباب تجديده.
معدل فشل التحقق.
معدل خطأ التنقيح.
معدل نجاح قابلية النقل (صلاحية الشكل، شكاوى القراءة).
معدل الشكوى/الاستئناف والنتائج التنظيمية.
تغطية وقت التسليم والاستخراج التلقائي من طرف إلى طرف.

14) القوائم المرجعية

ألف - القبول/التحقق

• الطلب المسجل، النوع/السوق المحدد.
• الإيصال المرسل، الموعد النهائي المحدد.
• إجراء/طلب فحص شركة KYC بما يتناسب مع المخاطر.
• التحقق من حالة الممثل (عند الاقتضاء).

باء) جمع/إعداد

• تغطي جميع النظم/البائعين ذوي الصلة.
• AML/الاستثناءات القانونية المطبقة.
• الطرف الثالث/التنقيحات السرية كاملة.
• التنسيقات قابلة للقراءة، والمخططات مرفقة.

C) التسليم/الإغلاق

• يتم تحميل العبوة في قناة آمنة، ويتم إرسال كلمة المرور بشكل منفصل.
• تم إرسال رسالة توضيحية مع الحقوق والاتصالات.
• تنزيل السجلات والتأكيد للمستخدم.
• القطع الأثرية المخزنة في WORM، KPIs المحدثة.

15) نماذج (شظايا) الاتصالات

استلام

طلب تأكيد الهوية (KYC-light)

إشعار التمديد

التنازل/التقييد مع الأساس

الإنجاز (إصدار الحزمة)

المفتاح> بياناتك جاهزة. المرجع: {URL}. صالحة حتى {التاريخ}. سيتم إرسال كلمة المرور كرسالة منفصلة. تتضمن الرسالة تفسيرات: المصادر، وأغراض المعالجة، وفترات الاحتفاظ، والحقوق، والاتصالات مع DPO.

16) الأتمتة والتكامل

منسق DSAR: قائمة انتظار واحدة، مؤقتات SLA، خطافات ويب للأنظمة.
الاستخراج التلقائي: موصلات إلى الملف الشخصي والمحفظة و CRM و DWH والسجلات (خالية من PII).
نموذج التحرير: أقنعة طرف ثالث/سرية، حذف EXIF.
قابلية النقل: مولد الدائرة (مخطط JSON) والمثبت قبل الإصدار.
التسليم الآمن: وصلات لمرة واحدة، والتحكم في التنزيل، وحالات الإغلاق التلقائي.

17) الأخطاء المتكررة والوقاية

إصدار «جبن» مع بيانات من أطراف ثالثة. → إصدار صارم ومراجعة مزدوجة.
→ توقيت جيش تحرير السودان، والتجديدات المبكرة، وتحديد الأولويات.
فحص KYC الزائد. → التناسب والتقليل.
عدم اتساق الأشكال - → مخططات/معتمدات مشتركة.

المصادر المجهولة (البائعون/المنتسبون) → سجل النظم والمراجعات المنتظمة

تسرب عند التسليم → فقط بوابة آمنة، تشفير، قناة كلمة مرور منفصلة

18) خطة تنفيذ لمدة 30 يومًا

الأسبوع 1

1. الموافقة على سياسة DSAR و RACI و SLA ونماذج الرسائل.
2. تجميع النظام/سجل البائعين وخريطة البيانات.
3. ابدأ بوابة DSAR (MVP) وطابور المهام.

الأسبوع 2

4) تنفيذ سجلات الضوء والتحف KYC (WORM).
5) ربط الاستخراج التلقائي (الملف الشخصي/المحفظة/CRM/DWH).
6) تخصيص أشكال التحرير والتصدير القياسية.

الأسبوع 3

7) الطلبات التجريبية 10-20 (الاصطناعية + الحقيقية) ؛ قياس نوعية/جيش تحرير السودان.
8) تمكين التسليم الآمن (وصلات لمرة واحدة وكلمة مرور بشكل منفصل).
9) تدريب CS/Privacy Ops (نصوص، تصعيدات).

الأسبوع 4

10) الإفراج الكامل ؛ لوحة القيادة KPI/KRI، التنبيهات المتأخرة.
11) خطة مراجعة الحسابات/أخذ العينات ربع السنوية و CAPA.
12) الخطة v1. 1: موصل بالسجلات (خالية من PII)، قابلية النقل التلقائي، قوالب متعددة اللغات.

19) الأقسام ذات الصلة

اللائحة العامة لحماية البيانات: إدارة موافقة المستخدم/ملفات تعريف الارتباط وسياسة CMP

تحديد مواقع البيانات حسب الولايات القضائية

الخصوصية حسب التصميم: مبادئ التصميم

التحقق من العمر والفلاتر العمرية

علاجات AML/KYC والاحتفاظ بها

لوحة متابعة الامتثال وتقارير الرصد/التنظيم

المراجعة الداخلية والخارجية للحسابات/قوائم مراجعة الحسابات