سیاست حفظ حریم خصوصی سایت

1) هدف و محدوده

• چه اطلاعات شخصی شما جمع آوری می کنید،
• برای چه اهداف و بر چه اساس قانونی آنها را پردازش می کنید،
• به چه کسی و چگونه داده ها را انتقال می دهید (پردازنده ها، شرکا، ارائه دهندگان)،
• چه مدت شما را حفظ می کنید، چگونه از شما محافظت می کنید و چگونه از حقوق افراد داده استفاده می کنید.

چه کسی نیاز دارد: هر سایت/برنامه، به ویژه iGaming و خدمات fintech با KYC/AML، عملیات پرداخت، تجزیه و تحلیل ضد تقلب، تجزیه و تحلیل و بازاریابی.

2) تعاریف کلیدی

اطلاعات شخصی (PD): هر گونه اطلاعاتی که به شما امکان می دهد کاربر را شناسایی کنید (نام، ایمیل، IP، شناسه دستگاه، جزئیات پرداخت و غیره).
پردازش: هر گونه عملیات با اطلاعات شخصی (جمع آوری، ذخیره سازی، اصلاح، انتقال، حذف).
کنترل کننده/اپراتور: شرکتی که اهداف و ابزار پردازش را تعریف می کند.
پردازنده: یک فرد/سازمان پردازش اطلاعات شخصی از طرف کنترل کننده.
کوکی ها و پیکسل ها: فن آوری هایی برای ذخیره و خواندن شناسه ها برای عملکرد سایت، تجزیه و تحلیل و بازاریابی.
دسته بندی های خاص از داده ها: بیومتریک/پزشکی، و غیره (معمولا در iGaming پردازش نمی شود ؛ استثنا - بیومتریک KYC از اشخاص ثالث با رضایت/اساس جداگانه).

3) چه اطلاعاتی را معمولا در پلت فرم iGaming جمع آوری می کنید

1. شناسایی: نام، تاریخ تولد، شهروندی، آدرس، سند (گذرنامه/شناسه)، تأیید سلفی/ویدیو (اگر KYC با ارائه دهنده مجاز باشد).
2. تماس: ایمیل، تلفن، پیام های فوری.
3. حساب ها: ورود، هش رمز عبور، تنظیمات حساب، تنظیمات زبان/ارز.
4. پرداخت و معامله: کارت های نشانه گذاری شده، جزئیات کیف پول، تاریخ پرداخت، نتیجه گیری، بازپرداخت/اختلافات.
5. فنی: IP، عامل کاربر، شناسه دستگاه، سوابق ورود، رویدادهای جلسه، شناسه کوکی.
6. بازاریابی/تحلیلی: منابع ترافیک، UTM، تبدیل، بخش ها، نتایج آزمون A/B.
7. Antifraud/AML: الگوهای رفتاری، امتیاز دهی خطر، سیگنال های جغرافیایی/پروکسی، نتیجه تحریم ها و صفحه نمایش PEP (از طریق ارائه دهندگان مجوز).

4) زمینه های قانونی برای پردازش (لیست تقریبی)

اجرای قرارداد (ثبت نام، نگهداری حساب، پردازش نرخ/پرداخت).
وظیفه قانونی (KYC/AML، گزارش مالیاتی/مالی، سیاهههای مربوط به امنیت).
منافع مشروع (تقلب، امنیت، بهبود خدمات)، با تست تعادل منافع.
رضایت (نامه های بازاریابی، کوکی های اختیاری، بیومتریک KYC از ارائه دهندگان فردی، در صورت لزوم توسط قانون محلی).
حفاظت از حقوق و قانون و نظم (حل اختلافات، حفاظت در برابر ادعاها).

5) اهداف پردازش (جمله بندی معمولی)

ایجاد و مدیریت یک حساب کاربری، دسترسی به بازی ها/خدمات.
پرداخت و برداشت، بازده، حل و فصل سپرده خالص، صورتهای مالی.

بررسیهای KYC/AML/Sanctions/PEP برای جلوگیری از کلاهبرداری و سوءاستفاده

پشتیبانی از مشتریان و انجام درخواست های افراد اطلاعات شخصی.
تجزیه و تحلیل و بهبود محصول (تبدیل، UX، عملکرد).
بازاریابی (ایمیل، فشار، retargeting) اگر یک مبنای قانونی وجود دارد.
انطباق با الزامات قانونی و ارائه اطلاعات در مورد درخواست های قانونی آنها.

6) کوکی ها، ردیابی و پیکسل ها

• به شدت لازم: جلسات، امنیت، قابلیت حساب.
• کاربردی: زبان، ارز، تنظیمات رابط.
• تحلیلی: اندازه گیری حضور و غیاب، قیف، UX-متریک.
• بازاریابی: تخصیص ترافیک، retargeting، بخش های مشابه به نظر می رسد.

تمرین: یک کنترل پنل بنر/رضایت جداگانه (CMP)، توانایی تغییر انتخاب در هر زمان. طول عمر، اهداف و ارائه دهندگان را مشخص کنید.

7) انتقال و محلی سازی مرزی

جغرافیای ذخیره سازی و پردازش (اتحادیه اروپا/EEA، انگلستان، کانادا، برزیل، ایالات متحده آمریکا، و غیره) را توصیف کنید.
مکانیسم ها را مشخص کنید: مقررات قراردادی استاندارد (SCC)، ابزارهای معادل، ذخیره سازی/آینه های محلی، DPIA در صورت لزوم.
برای جریانهای بسیار حساس (بیومتریک KYC) - اقدامات جداگانه و به حداقل رساندن.

8) اهداف توزیع (دسته بندی)

ارائه دهندگان KYC/AML، تحریم ها و چک های PEP.
ارائه دهندگان پرداخت، صادرکنندگان، بانک ها، دروازه های پردازش.
Antifraud/خطر به ثمر رساند ارائه دهندگان، میزبانی وب/ابرها، CDN، خدمات پست الکترونیکی/اس ام اس.
تجزیه و تحلیل/تصادف گزارش، سیستم عامل بازاریابی (با رضایت).
حسابرسان، وکلا، تنظیم کننده ها و سایر نهادها - از نظر قانونی.

9) عمر مفید (اصل به حداقل رساندن)

حساب و داده های عملیاتی - در حالی که قرارداد و مهلت قانونی در حال اجرا هستند (اغلب 5-10 سال برای اسناد مالی/سیاهههای مربوط AML).
پروفایل های بازاریابی - با توجه به مهلت های توافق شده با CMP و قبل از خروج رضایت.
سیاهههای مربوط به امنیت - چند هدف (به عنوان مثال، 12-24 ماه)، مگر اینکه در غیر این صورت توسط قانون مورد نیاز است.
در پایان مدت - حذف ایمن/ناشناس.

10) اقدامات ایمنی و سازمانی

رمزگذاری در حالت استراحت و در طول انتقال، سیاست های شبکه سخت، WAF/فایروال.
کنترل دسترسی (RBAC/ABAC)، ورود به سیستم، ممیزی منظم و تست قلم.
تقسیم بندی سیستم ها، اصل حداقل حقوق، مدیریت مخفی.
نظارت مستمر، قوانین ضد تقلب، آزمایش برنامه های پاسخ حادثه.

ارزیابی ریسک و DPIAs برای درمان های پر خطر

11) حقوق کاربران (افراد داده)

دسترسی به داده ها، اصلاح، حذف، محدودیت پردازش.
قابلیت حمل (فرمت قابل خواندن ماشین).
اعتراض به پردازش (از جمله بازاریابی).
انصراف از رضایت بدون اختلال در عملکرد اجباری.
شکایت به بدن مجاز (نشان می دهد تماس با تنظیم کننده توسط صلاحیت).

12) کودکان و محدودیت های سنی

خدمات iGaming فقط برای بزرگسالان با توجه به قوانین محلی در نظر گرفته شده. توضیح مکانیسم برای تایید سن و روش برای حذف اطلاعات نوجوانان در صورت ثبت نام اشتباه.

13) راه حل های خودکار و پروفایل

به طور خلاصه پروفایل را برای ضد تقلب/نمره ریسک/بازاریابی توصیف کنید.
مشخص کنید که آیا نتیجه بر تصمیمات مهم قانونی تأثیر می گذارد (فریز، درخواست KYC).
فراهم آوردن حق «بررسی انسانی» در موارد بحث برانگیز.

14) اطلاعات تماس و DPO

مشخص ایمیل/فرم تماس برای درخواست افراد، آدرس پستی شرکت. اگر یک DPO اختصاص داده شده است - نام/اطلاعات تماس. زمان پاسخگویی (به عنوان مثال تا 30 روز، با امکان تمدید در صورت مجاز بودن توسط قانون).

15) به روز رسانی سیاست

تعیین تاریخ موثر و تجدید نظر.
اطلاع رسانی شفاف از تغییرات قابل توجه (بنر/نامه/اطلاع رسانی داخلی).

16) یادداشت های قضایی (ماتریس نمونه)

اتحادیه اروپا/EEA (GDPR): زمینه، DPIA، DPA با پردازنده، SCC برای انتقال مرزی، ثبت منافع، ثبت پردازش.
UK (UK GDPR): به طور مشابه، با توجه به مقامات محلی.
برزیل (LGPD): زمینه های قانونی، بازرس LGPD، مهلت های محلی.
کالیفرنیا (CCPA/CPRA): حق انتخاب کردن از «فروش/به اشتراک گذاری» داده ها، «فروش و یا به اشتراک گذاری»، دسته بندی اطلاعات شخصی.
کانادا (PIPEDA/استانها): رضایت و محدودیت هدف.
استرالیا (قانون حریم خصوصی): برنامه ها، افشای بین المللی.
پارتیشن های محلی را برای کشورهایی که در آن کار می کنید اضافه کنید.

17) چک لیست عملی قبل از انتشار

• نقشه داده (چه، کجا، چرا، برای چه مدت، چه کسی دسترسی دارد).
• ثبت نام پردازش و DPA با پردازنده های کلیدی.
• CMP و جدول کوکی با تاریخ و اهداف.
• روش برای پاسخ به درخواست موضوع (SLAs، قالب نامه).
• روش اطلاع رسانی حادثه (به چه کسی، چه زمانی، چگونه).
• نسخه بندی سیاست و تغییر ورود به سیستم.

18) قالب سیاست آماده (کپی و انطباق)

اطلاعیه حریم خصوصی

موثر: [تاریخ] نسخه: [vX. و)

1. ما که هستیم

[نام کامل شرکت]، [دفتر ثبت نام]، [جزئیات ثبت نام].

مخاطبین: [support @ domain], [mailing address].

2. کاربرد پذیری

این سیاست به سایت (ها) و برنامه های کاربردی اعمال می شود: [دامنه/برنامه های کاربردی]، و همچنین خدمات پشتیبانی مرتبط.

3. داده هایی که پردازش می کنیم

شناسایی و تماس (نام، تاریخ تولد، ایمیل، شماره تلفن، آدرس).
اعتبار (ورود، هش رمز عبور، تنظیمات).
پرداخت/معامله (نشانه های کارت، تاریخ معامله).
فنی (IP، دستگاه ها، سیاهههای مربوط، کوکی ID).
Antifraud/AML (سیگنال های رفتاری، نتایج چک در ارائه دهندگان).
بازاریابی/تحلیلی (UTM، تبدیل) - در صورت موافقت، در صورت لزوم.

4. اهداف و دلایل قانونی

ما داده ها را برای: ارائه خدمات، پرداخت و نتیجه گیری، KYC/AML، امنیت و ضد تقلب، پشتیبانی، تجزیه و تحلیل، بازاریابی (با رضایت)، انطباق با قانون پردازش می کنیم. زمینه ها: اجرای قرارداد، تعهد قانونی، منافع قانونی، رضایت.

5. کوکی و تکنولوژی های مشابه

• به شدت لازم (جلسات، امنیت)،
• کاربردی (تنظیمات)،
• تحلیلی،
• بازاریابی.
• کنترل از طریق [پانل رضایت/لینک CIW] در دسترس است. ضمیمه A را برای جدول کوکی مشاهده کنید.

6. داده ها را با چه کسی به اشتراک می گذاریم

دسته بندی گیرندگان: ارائه دهندگان KYC/AML، سازمان های پرداخت، میزبانی/CDN، ضد تقلب و تجزیه و تحلیل، پشتیبانی (ایمیل/SMS)، حسابرسان، تنظیم کننده ها توسط قانون. انتقال - بر اساس قراردادها و اقدامات امنیتی.

7. انتقال بین المللی

داده ها می توانند در خارج از کشور شما پردازش شوند. ما از مکانیسم های قانونی استفاده می کنیم (به عنوان مثال مقررات قراردادی استاندارد) و اقدامات فنی/سازمانی برای حفاظت.

8. عمر مفید

تا زمانی که لازم است برای اهداف و در محدوده زمانی تعیین شده توسط قانون (به عنوان مثال، سوابق مالی/AML - حداقل [X] سال) نگه دارید. پس از - حذف/ناشناس.

9. امنیت و ایمنی

رمزگذاری، کنترل دسترسی، نظارت، تقسیم بندی، ممیزی، تست قلم. با وجود اقدامات، ایمنی مطلق تضمین نشده است ؛ ما مطابق با مقررات اطلاع رسانی حادثه قابل اجرا عمل می کنیم.

10. حقوق شما

شما می توانید دسترسی درخواست, اصلاح, حذف, محدودیت, قابل حمل, اعتراض, و رضایت برداشت (برای پردازش در رضایت). اطلاعات تماس برای درخواست: [privacy @ domain]. شما همچنین می توانید یک شکایت با [نام قدرت/صلاحیت] ارسال کنید.

11. راه حل های خودکار و پروفایل

ما از سیستم های خودکار برای ضد تقلب و ارزیابی ریسک استفاده می کنیم. در صورت تصمیم گیری معنی دار، می توانید یک بررسی انسانی را درخواست کنید.

12. کودکان و نوجوانان

این سرویس برای افراد [18 +] و یا مسن تر با توجه به قوانین محلی در نظر گرفته شده. هنگامی که یک حساب کاربری کوچک شناسایی می شود، داده ها مسدود شده و حذف می شوند.

13. اطلاعات تماس DPO/مالک

[نام DPO/موقعیت]، ایمیل: [dpo @ domain]، آدرس: [آدرس].

14. به روز رسانی این سیاست

ما این سیاست را به طور مرتب به روز می کنیم. تغییرات مهم از طریق سایت/اطلاعیه اطلاع داده خواهد شد. نسخه فعلی همیشه در دسترس است [link].

ضمیمه A - جدول کوکی (به عنوان مثال)

ضمیمه B. پیمانکاران (دسته بندی ها)

ارائه دهندگان KYC/AML: [نام/صلاحیت/نقش].
پردازنده های پرداخت/بانک ها: [دسته بندی ها].
میزبانی/ابرها/CDN: [دسته بندی].
بازاریابی/پستها/تجزیه و تحلیل: [categories].
پشتیبانی (بلیط/SMS/ایمیل): [دسته بندی].

(نام دقیق را می توان در DPA/درمان رجیستری و دسته در سیاست افشا.)

ضمیمه C. شرایط اضافی قضایی (الگو)

EU/EEA (GDPR): حقوق، مکانیسم های انتقال، تماس با مقامات نظارتی: [link/title].
کالیفرنیا (CCPA/CPRA): «اطلاعات شخصی من را به فروش نرسانید یا به اشتراک نگذارید»، شرح دسته ها و حقوق مصرف کننده.
برزیل (LGPD): تماس مسئول، حقوق عنوان.
UK: انگلستان GDPR و ICO.
کانادا/استرالیا: حقوق محلی و ارتباطات قانونی.

19) نکاتی برای مرتبط ماندن

یک بار یک چهارم، سیاست را با جریان داده واقعی و DPIA بررسی کنید.
هنگام اضافه کردن یک ارائه دهنده جدید/SDK، رجیستری پردازش و CMP را به روز کنید.
پاسخ های ورود و سند به درخواست های موضوع (SLA ها، قالب ها، معیارها).
یک گزارش نسخه با یک changelog کوتاه نگه دارید.

نحوه استفاده از این مقاله

1. از طریق چک لیست بروید و حقایق مربوط به داده ها و جریان های خود را جمع آوری کنید.
2. الگو را کپی کنید و جزئیات/مهلت/حوزه های قضایی خود را وارد کنید.
3. با وکیل و DPO موافقت کنید، سپس در سایت منتشر کنید و CMP را وصل کنید.
4. پیکربندی روند برای پذیرش درخواست موضوع داده ها و به روز رسانی سیاست زمانی که تغییرات رخ می دهد.