Saytın Gizlilik Siyasəti

1) Təyinatı və tətbiq sahəsi

• hansı şəxsi məlumatları toplayırsınız,
• onları hansı məqsədlər üçün və hansı hüquqi əsaslarla emal edirsiniz,
• məlumatları kimə və necə ötürürsünüz (prosessorlar, tərəfdaşlar, provayderlər),
• nə qədər saxlayırsınız, necə qoruyursunuz və məlumat subyektlərinin hüquqlarını necə həyata keçirirsiniz.

Kimə lazımdır: hər hansı bir sayt/proqram, xüsusilə iGaming və KYC/AML, ödəniş əməliyyatları, anti-frod analizi, analitika və marketinq ilə fintech xidmətləri.

2) Əsas təriflər

Şəxsi məlumatlar (PD): istifadəçini müəyyən etməyə imkan verən hər hansı bir məlumat (adı, e-mail, IP, cihaz identifikatorları, ödəniş rekvizitləri və s.).
Emal: PD ilə hər hansı bir əməliyyat (toplama, saxlama, dəyişdirmə, ötürmə, silmə).
Nəzarətçi/Operator: Məqsədləri və emal vasitələrini müəyyən edən şirkət.
Prosessor: nəzarətçinin tapşırığı ilə PDn emal edən şəxs/təşkilat.
Çerezlər və piksellər: saytın fəaliyyəti, analitika və marketinq üçün identifikatorların saxlanması və oxunması texnologiyaları.
Xüsusi məlumat kateqoriyaları: biometriya/tibbi və s. (iGaming adətən emal edilmir; istisna - KYC-biometriya üçüncü şəxslərdə ayrı razılıq/əsasla).

3) Adətən iGaming platformasında hansı məlumatları toplayırsınız

1. İdentifikasiya: adı, doğum tarixi, vətəndaşlığı, ünvanı, sənədi (pasport/ID), selfi/video təsdiqi (əgər KYC səlahiyyətli provayderdə olarsa).
2. Əlaqə: e-mail, telefon, messencer.
3. Hesablar: girişlər, şifrələr, hesab parametrləri, dil/valyuta üstünlükləri.
4. Ödəniş və əməliyyat: tokenləşdirilmiş kartlar, cüzdan rekvizitləri, ödəniş tarixi, nəticələr, chargeback/disputlar.
5. Texniki: IP, user-agent, cihaz identifikatorları, log qeydləri, sessiya hadisələri, cookie-ID.
6. Marketinq/analitik: trafik mənbələri, UTM, dönüşüm, seqmentlər, A/B test nəticələri.
7. Antifrod/AML: davranış nümunələri, risk skorları, geo/proxy siqnalları, sanksiya və PEP ekran nəticələri (lisenziyalı provayderlər vasitəsilə).

4) Emalın hüquqi əsasları (təxmini siyahısı)

Müqavilənin icrası (qeydiyyat, hesabın aparılması, dərəcələrin/ödənişlərin işlənməsi).
Hüquqi öhdəlik (KYC/AML, vergi/maliyyə hesabatları, təhlükəsizlik jurnalları).
Qanuni maraq (frod-prevention, təhlükəsizlik, xidmət yaxşılaşdırılması), maraq balans testi ilə.
Razılıq (marketinq poçt, isteğe bağlı cookie, KYC biometrikası, yerli hüquq tələb olunarsa, ayrı-ayrı provayderlərdə).
Hüquq və asayişin qorunması (mübahisələrin həlli, iddialardan qorunma).

5) Emal məqsədləri (tipik formulalar)

Hesabın yaradılması və idarə edilməsi, oyunlara/xidmətlərə çıxışın təmin edilməsi.
Ödənişlər və nəticələr, geri qaytarmalar, hesablama Net Deposits, maliyyə hesabatları.
KYC/AML/sanksiyalar/PEP yoxlamalar, saxtakarlıq və bonus sui-istifadə qarşısını almaq.
Müştəri dəstəyi və PD subyektlərinin sorğularının yerinə yetirilməsi.
Məhsulların analitikası və təkmilləşdirilməsi (dönüşüm, UX, performans).
Hüquqi əsaslar olduqda marketinq (e-mail, push, retargeting).
Tənzimləyicilərin tələblərinə riayət edilməsi və onların qanuni tələbləri üzrə məlumatların təqdim edilməsi.

6) Cookie, trekinq və piksellər

• Ciddi zəruri: sessiyalar, təhlükəsizlik, hesabın funksionallığı.
• Funksional: dil, valyuta, interfeys üstünlükləri.
• Analitik: iştirak ölçüsü, çəngəl, UX-metrik.
• Marketinq: trafik atributları, retarqetinq, look-alike-seqmentlər.

Təcrübə: ayrı banner/razılıq idarəetmə paneli (CMP), istənilən vaxt seçimi dəyişdirmək imkanı. Həyat müddətlərini, məqsədlərini və provayderlərini göstərin.

7) Transsərhəd ötürmələr və lokalizasiya

Saxlama və emal coğrafiyasını təsvir edin (AB/EEA, Böyük Britaniya, Kanada, Braziliya, ABŞ və s.).
Mexanizmləri göstərin: standart müqavilə müddəaları (SCC), ekvivalent alətlər, yerli saxlama/güzgülər, lazım olduqda DPIA.
Xüsusi həssas axınlar üçün (KYC-biometriya) - ayrı-ayrı tədbirlər və minimuma endirmə.

8) Məlumat alıcıları (kateqoriyalar)

KYC/AML, sanksiya və PEP yoxlama provayderləri.
Ödəniş provayderləri, emitentlər, banklar, prosessinq şlyuzları.
Antifrod/Risk Scoring, Hosting/Buludlar, CDN, E-poçt/SMS xidmətləri.
Analitika/qəza hesabatı, marketinq platformaları (razılıq əsasında).
Auditorlar, hüquqşünaslar, tənzimləyicilər və digər orqanlar - qanuni əsaslarla.

9) Saxlama müddəti (minimuma endirmə prinsipi)

Hesab və əməliyyat məlumatları - müqavilə və normativ müddətlər qüvvədədir (çox vaxt maliyyə sənədləri/AML-loqlar üçün 5-10 il).
Marketinq profilləri - CMP ilə razılaşdırılmış müddətlərə və razılıq geri alınana qədər.
Təhlükəsizlik qeydləri - qanunla başqa bir şey tələb olunmasa, hədəflərə (məsələn, 12-24 ay).
Son tarixlər bitdikdən sonra - təhlükəsiz silinmə/anonimləşdirmə.

10) Təhlükəsizlik və təşkilati tədbirlər

dinc və transferi şifrələmə, ciddi şəbəkə siyasətləri, WAF/güvenlik duvarları.
Access Control (RBAC/ABAC), jurnallaşdırma, müntəzəm audit və pen testləri.
Sistemlərin seqmentasiyası, ən kiçik hüquqlar prinsipi, gizli idarəetmə.
Davamlı monitorinq, antifrod qaydaları, insidentlərə cavab planlarının sınaqdan keçirilməsi.
Risklərin qiymətləndirilməsi və yüksək riskli müalicələr üçün DPIA.

11) Istifadəçilərin hüquqları (məlumat subyektləri)

Məlumatlara giriş, düzəltmə, silmə, emal məhdudiyyətləri.
Dözümlülük (machine-readable format).
Emala etiraz (o cümlədən marketinq).
Məcburi funksiyaları pisləşdirmədən razılığın geri alınması.
Səlahiyyətli orqana şikayət (yurisdiksiya üzrə tənzimləyicinin əlaqələrini göstərmək).

12) Uşaqlar və yaş məhdudiyyətləri

iGaming xidmətləri yalnız yerli qanunlara uyğun olaraq yetkinlik yaşına çatanlar üçün nəzərdə tutulmuşdur. Yaşın yoxlanılması mexanizmlərini və səhv qeydiyyat zamanı yetkinlik yaşına çatmayanların məlumatlarının silinməsi qaydasını təsvir edin.

13) Avtomatlaşdırılmış həllər və profilləşdirmə

Antifrod/risk-hesab/marketinq üçün profilləşdirmə qısa təsvir.
Nəticənin hüquqi əhəmiyyətli qərarlara təsir edib-etmədiyini göstərin (dondurma, KYC sorğusu).
Mübahisəli hallarda «insan baxışı» hüququnu təmin etmək.

14) Əlaqə və DPO

Subyektlərin sorğuları üçün e-mail/əlaqə formasını, şirkətin poçt ünvanını göstərin. DPO təyin edildikdə - ad/əlaqə. Cavab müddəti (məsələn, 30 günə qədər, qanunla icazə verildiyi təqdirdə mümkün uzadılması ilə).

15) Siyasət yeniləmələri

Qüvvəyə minmə və yoxlama tarixini qeyd edin.
Əhəmiyyətli dəyişikliklər barədə şəffaf bildiriş (banner/məktub/daxili bildiriş).

16) Yurisdiksiya qeydləri (təxmini matris)

EU/EEA (GDPR): əsaslar, DPIA, prosessorlu DPA, transsərhəd ötürmələr üçün SCC, maraqların qeydiyyatı, müalicə reyestri.
Böyük Britaniya (UK GDPR): yerli orqanlar nəzərə alınmaqla, oxşar.
Braziliya (LGPD): hüquqi əsaslar, LGPD ombudsmanı, yerli şərtlər.
Kaliforniya (CCPA/CPRA): «satış/mübadilə», «Do Not Sell or Share», fərdi məlumat kateqoriyasından imtina hüququ.
Kanada (PIPEDA/əyalətlər): razılıq və hədəf məhdudiyyət.
Avstraliya (Privacy Act): APPs, transsərhəd açıqlamalar.
Çalışdığınız ölkələr üçün yerli bölmələr əlavə edin.

17) Dərc etməzdən əvvəl praktiki yoxlama siyahısı

• Məlumat xəritəsi (nə, harada, niyə, nə qədər uzun, kimə giriş var).
• Əsas prosessorlarla emal və DPA reyestri.
• Vaxt və məqsədlər ilə CMP və cookies cədvəli.
• Subyektlərin sorğularına cavab proseduru (SLA, məktub şablonları).
• Hadisə xəbərdarlığı proseduru (kimə, nə zaman, necə).
• Siyasət versiyası və dəyişiklik jurnalı.

18) Bitmiş Siyasət Şablonu (kopyalayın və uyğunlaşdırın)

Gizlilik Siyasəti

Qüvvəyə minmə: [tarix] Versiyası: [vX. Y]

1. Biz kimik

[Şirkətin tam adı], [hüquqi ünvan], [qeydiyyat məlumatları].

Əlaqə: [support @домен], [poçt ünvanı].

2. Tətbiq olunma

Bu Siyasət [domenlər/tətbiqlər] saytına və tətbiqlərinə, həmçinin əlaqəli dəstək xidmətlərinə tətbiq olunur.

3. Emal etdiyimiz məlumatlar

Şəxsiyyət və əlaqə (ad, doğum tarixi, e-mail, telefon, ünvan).
Hesablar (giriş, şifrə hash, parametrlər).
Ödəniş/əməliyyat (kart tokenləri, əməliyyatların tarixi).
Texniki (IP, cihaz, log, cookie ID).
Antifrod/AML (davranış siqnalları, provayderlərdən yoxlama nəticələri).
Marketinq/analitik (UTM, konversiyalar) - tələb olunarsa razılıq olduqda.

4. Məqsədlər və hüquqi əsaslar

Verilənləri emal edirik: xidmət, ödənişlər və nəticələr, KYC/AML, təhlükəsizlik və antifrod, dəstək, analitika, marketinq (razılaşdırıldıqda), qanuna riayət etmək. Əsaslar: müqavilənin icrası, hüquqi öhdəlik, qanuni maraq, razılıq.

5. Cookie və oxşar texnologiyalar

• ciddi zəruri (sessiyalar, təhlükəsizlik),
• funksional (parametrlər),
• analitik,
• marketinq.
• Nəzarət [razılıq paneli/SMR-link] vasitəsilə mövcuddur. Çerez cədvəli üçün A əlavəsinə baxın.

6. Məlumatları kiminlə bölüşürük

Alıcı kateqoriyaları: KYC/AML provayderləri, ödəniş təşkilatları, hostinq/CDN, antifrod və analitika, dəstək (e-mail/SMS), auditorlar, qanunla tənzimləyicilər. Transfer - müqavilələr və təhlükəsizlik tədbirləri əsasında.

7. Beynəlxalq verilişlər

Məlumatlar ölkənizdən kənarda emal edilə bilər. Biz qorunmaq üçün hüquqi mexanizmlər (məsələn, standart müqavilə müddəaları) və texniki/təşkilati tədbirlər tətbiq edirik.

8. Saxlama müddəti

Qanunla müəyyən edilmiş məqsədlər və müddətlər üçün lazım olan qədər saxlayırıq (məsələn, maliyyə/AML qeydləri - ən azı [X] il). Sonra - silmə/anonimləşdirmə.

9. Təhlükəsizlik

Şifrələmə, giriş nəzarəti, monitorinq, seqmentasiya, audit, pen testləri. Tədbirlərə baxmayaraq, mütləq təhlükəsizlik təmin edilmir; biz tətbiq olunan hadisə xəbərdarlığı qaydalarına uyğun hərəkət edirik.

10. Sizin hüquqlarınız

Siz daxil olmaq, düzəltmək, silmək, məhdudlaşdırmaq, dözümlülük, etiraz tələb edə və razılığı geri götürə bilərsiniz (razılıq ilə işləmək üçün). Sorğular üçün əlaqə: [privacy @домен]. Siz də [nəzarət orqanının adı/yurisdiksiya] şikayət etmək hüququna maliksiniz.

11. Avtomatlaşdırılmış həllər və profilləşdirmə

Antifrod və risk qiymətləndirilməsi üçün avtomatlaşdırılmış sistemlərdən istifadə edirik. Əhəmiyyətli bir qərar olduqda, bir insanın iştirakı ilə yenidən baxılmasını tələb edə bilərsiniz.

12. Uşaqlar

Xidmət [18 +] və ya daha yaşlı şəxslər üçün nəzərdə tutulmuşdur. Yetkinlik yaşına çatmayan şəxsin hesabı aşkar edildikdə - məlumatların bloklanması və silinməsi.

13. DPO/məsul əlaqə

[DPO adı/vəzifəsi], e-mail: [dpo @домен], ünvan: [ünvan].

14. Bu siyasətin yenilənməsi

Biz Siyasəti vaxtaşırı yeniləyirik. Əhəmiyyətli dəyişikliklər sayt/bildiriş vasitəsilə çatdırılacaq. Mövcud versiya həmişə [link] ünvanında mövcuddur.

A əlavəsi. Cookies cədvəli (nümunə)

Əlavə B. kontragentlər (kateqoriyalar)

KYC/AML provayderləri: [adı/yurisdiksiyası/rolu].
Ödəniş prosessorları/banklar: [kateqoriyalar].
Hosting/buludlar/CDN: [kateqoriyalar].
Marketinq/poçt/analitik: [kateqoriyalar].
Dəstək (biletlər/SMS/e-mail): [kateqoriyalar].

(Dəqiq adlar DPA/emal reyestrində, Siyasətdə isə kateqoriyalarda açıqlana bilər.)

C. əlavə hüquqi şərtlər (şablon)

EU/EEA (GDPR): hüquqlar, ötürmə mexanizmləri, nəzarət orqanının əlaqələri: [istinad/ad].
Kaliforniya (CCPA/CPRA): «Do Not Sell or Share My Personal Information» linki, kateqoriyalar və istehlakçı hüquqlarının təsviri.
Braziliya (LGPD): əlaqə məsul, hüquq titulares.
Böyük Britaniya: UK GDPR və ICO.
Kanada/Avstraliya: yerli hüquqlar və tənzimləyici əlaqə.

19) Aktuallığı qorumaq üçün məsləhətlər

Rübdə bir dəfə Siyasəti real data flow və DPIA ilə müqayisə edin.
Yeni provayder/SDK əlavə edərkən, emal reyestrini və CMP-ni yeniləyin.
Subyektlərin sorğularına cavabları (SLA, şablonlar, metriklər) loginq və sənədləşdirin.
qısa changelog ilə versiya jurnalı edin.

Bu məqalədən necə istifadə etmək olar

1. Çek siyahısına daxil olun və məlumatlarınız və axınlarınız haqqında faktları toplayın.
2. Şablonu kopyalayın və rekvizitlərinizi/şərtlərinizi/yurisdiksiyalarınızı yapışdırın.
3. Vəkil və DPO ilə razılaşın, sonra saytda yerləşdirin və CMP-yə qoşulun.
4. Məlumat subyektlərinin sorğularının qəbulu prosesini konfiqurasiya edin və dəyişikliklər zamanı Siyasəti yeniləyin.