מדיניות פרטיות ו ־ GDPR

1) מטרה והיקף

המטרה: להבטיח עיבוד חוקי, שקוף ומאובטח של נתונים אישיים (PII) של שחקנים, שותפים ועובדים בכל תחומי השיפוט של נוכחות המפעיל.
סיקור: יישומי אינטרנט/סלולרי, CRM/BI/DWH, אנטי-הונאה/AML/KYC, ספקי PSP/CUS/סנקציות, תמיכה, שיווק, שיוך, אולפנים חיים, אירוח וכריתת עצים.

2) תפקידים ואחריות (RACI)

קצין הגנת נתונים (DPO) - א. פיקוח ציות, ROPA, DPIA/DTIA, תגובות לרגולטורים.
ראש ציות א ': מדיניות, סיכון תיאבון, הסלמה ודיווח.
עילה חוקית, חוזי DPA/SCCs, כרזה והודעות טקסט.
אבטחה/SRE - R: אמצעים טכניים וארגוניים (TOMs), יומן גישה, תקריות.
נתונים/BI - R: ספריית נתונים, מזעור, מיסוך/פסאודונימיזציה.
שיווק/CRM - R: הסכמות, העדפות, אי ־ ציות, עוגיות.
מוצר/הנדסה - R: פרטיות לפי עיצוב/ברירת מחדל, שימור ואופי.
תמיכה/VIP - R: שאלות נושא (DSAR), אימות זהות.

3) בסיסים משפטיים

הסכמה - שיווק, עוגיות אנליטיות/פרסומיות, התאמה אישית לא חובה.
חוזה - רישום, עיבוד תעריפים/מסקנות, תמיכה.
התחייבות חוקית - KYC/AML/סנקציות, חשבונאות ודיווח.
אינטרסים חוקיים - אנטי-הונאה, ביטחון, שיפור מוצר (עם מבחן איזון ריבית - LIA).
אינטרס חיוני/ציבורי - מקרים נדירים של ר "ג/אבטחה, אם הם תקפים ומורשים על פי חוק.

4) זכויות של נבדקי נתונים (DSR/DSAR)

גישה (Art. 15), תיקון (Art. 16), מחיקה (Art. 17), קונסטרנט (Art. 18), סובלנות (Art. 20), התנגדות (Art. 21), לא להיות המטרה של פתרון אוטומטי בלעדי (Art. 22).
DSAR עיבוד SLA: אישור ל-7 ימים, הוצאה להורג ל-30 ימים (הארכה ל-60 נוספים אם קשה להודיע על כך).
אימות: רב-מערכתי; איסור גילוי מידע רגיש בערוצים הפתוחים.
יומנים: בקשת חנות, בדיקת זהות, חבילת נתונים מונפקת וזמן תגובה.

5) רישום פעולות עיבוד (ROPA)

שדות מינימליים: יעד, קטגוריות נושא/נתונים, בסיס משפטי, תקופות שימור, מדינות מקבלות/שלישיות, אמצעי אבטחה, מקור מידע, החלטות אוטומטיות/פרופיל, DPIA/DTIA, אם בכלל.

6) DPIA/DTIA: מתי וכיצד

DPIA - בסיכון גבוה: פרופיל בקנה מידה גדול, מודלים חדשים נגד הונאה, עיבוד גאודטה, מפעיל RG, תצפית שיטתית.
DTIA/TIA - עבור שידורים חוצי גבולות מחוץ ל-EEA/UK: הערכה של גישה מקומית על ידי סוכנויות ממשלתיות, אמצעים חוזים/טכניים.
Process: הערכת סיכונים ואמצעים * DPO/Legal Implication # יישום רישום ההנחות.

7) עוגיות, פיקסלים, SDK וכרזת הסכמה

קטגוריות: הכרחי לחלוטין, פונקציונלי, אנליטי, שיווק.

• עד ההסכמה - אנחנו לטעון רק אלה הכרחיים בלבד.
• הסכם גרנולרי וסירוב נפרד; יומן של גרסאות וחותמות זמן.
• CMP עם IAB TCF (אם ישים); מעדכן אוטומטית את הבאנר בעת שינוי מטרות/ספקים.
• קל לבטל את הבחירה בכל עת.

8) מפעילים ומעבדים משנה

DPA עם כל ספק: נושא, מטרות, קטגוריות נתונים, מועדים, TOMS, תת-מעבדים, ביקורת.
רישום ציבורי של תת-מעבדים (versioning); הודעה על שינויים וזכות התנגדות.
בדיקות: בדיקת נאותות (ISO/SOC2), תקריות מבחן, דוחות מפוארים על בקשה, תוכנית פרישה.

9) העברות חוצות גבולות

SCCs/IDTA + DTIA; אמצעים נוספים: E2EE, הצפנת לקוחות, קוואזי-אנונימיזציה, מפתחות באיחוד האירופי.
אנחנו מתקנים את המנגנון המשפטי, מדינות ומקבלים במדיניות/רישום.

10) שימור ומחיקה

מדיניות מחיקה: משימות אוטומטיות (עבודה) ב DWH/קמרונות; מחיקה בגיבויים על ידי רישום מחזור. זיהוי זר עבור אנליטיקה.

11) אבטחה (טומס)

טכנית: בהצפנת Rest/Transit, קטעי רשת, מזעור זכויות, סיבוב KMS/key, DLP, EDR/IDS/WAF, SSO/MFA, מנהל סודי, רישום תולעת.
ארגוני: מדיניות גישה, הכשרה, NDA, שולחן נקי, אימות ספק, ניהול אירוע (SANS/NIST).
Privacy by Design/Default: הערכה בתהליכי שינוי, מינימום ברירת מחדל, בדיקת נתונים ללא PII.

12) הדלפות והודעות תקרית

הערכה: אישור של עובדה, נפח וסיכון.
דד-ליין (מדדים): לרשות המפקחת לפי הנתונים - עד 72 שעות תוך סיכון זכויות/חירויות; משתמשים - ללא עיכוב מיותר.
תוכן ההודעה: תיאור אירוע, קטגוריות ומספר מוערך של רשומות, קשר DPO, השלכות, צעדים שננקטו, המלצות לנבדקים.
יומנים: ציר זמן, פתרונות, תבניות מכתב/תגובה, CAPA.

13) שיווק ותקשורת

הפרדת הודעות (ללא הסכמה) והודעות שיווק (רק בהסכמה).
ניהול העדפות: מרכז הגדרות, מנויים על ידי נושא/ערוץ, double-opt-in (היכן שנדרש).
מגבלות חוזיות על איסוף/העברה של מח "ש, איסור על העברת מזהים ללא סיבה והסכמה.

14) מדיניות פרטיות ציבורית - מבנה

1. מי אנחנו ואנשי הקשר שלנו.
2. אילו נתונים אנו אוספים (בקטגוריה ובמקור).
3. מטרות/נימוקים משפטיים (table ”product _ path data # base aght ment”).
4. עוגיות/SDK וניהול הסכמה.
5. מקבלים והעברות מעבר גבול (מנגנונים ואמצעים).
6. זכויות של נושאים ואיך ליישם אותם.
7. אבטחת מידע (טומס ברמה גבוהה).
8. תקופות שימור וקריטריונים.
9. פתרונות אוטומטיים/פרופיל ולוגיקה במונחים כלליים.
10. שינויי מדיניות וכיצד אנו מודיעים.
11. מגעים לתלונות (DPA לפי תחום השיפוט, אם נדרש).

15) תבניות ונוסחאות לדוגמה

15. 1 מטרות/בסיסים שולחן (שבר):

15. 2 כרזת עוגיות (מינימום):

"אנחנו משתמשים בעוגיות. על ידי לחיצה על ”קבל את הכל”, אתה מסכים לאחסון של עוגיות אנליטיות ושיווקיות. באפשרותך לשנות את הבחירה לפי קטגוריה. "לדחות אופציונלי" - רק עוגיות נדרשות בלבד"

15. 3 פרופיל סעיף (דוגמה):

”אנו משתמשים בפרופיל כדי למנוע הונאה ולשחק אותה אחראים (ר” ג). זה הכרחי לבטיחות ובהתאם לאינטרסים הלגיטימיים שלנו. אתה יכול להתנגד אלא אם כן רשום אחרת בחוק (למשל. AML) "

16) תהליכי SOPS

SOP-1: עדכון מדיניות

מפעיל: מטרות חדשות/ספקים/SDKs/תחום שיפוט.
שלבים: מלאי = LIA/DPIA = עדכון טקסט = localization # עדכון CMP * תקשורת למשתמשים * גרסה/תאריך כניסה.

SOP-2: DSAR

מבקש ערוץ אימות זהויות * access image _ data volume essociation = איסוף חבילות (ייצוא ממערכות) * ביקורת משפטית * גיליון/סירוב עם רישום הצדקה.

SOP-3: מעבד משנה חדש

בדיקת נאותות * DPA/SCCs * DTIA # בדיקת תקרית # public registry intelligence # הודעת משתמש (אם נדרש).

17) אימונים וביקורת

אימון פרטיות שנתי לכל; הכשרה נוספת לתמיכה/שיווק/הנדסה.
ביקורת פנימית פעם בשנה: ROPA, היענות לשמירה, אימות DSAR סלקטיבי, סקירת CIW/עוגיות, יישומי בדיקה, בדיקת חדירה/רישום גישה לזיהוי פלילי.
KPI:% מהעובדים מאומנים; SLA DSAR; פרופורציה של מערכות עם ניכור מאופשר הושלם CAPAs.

18) לוקליזציה וריבוי סמכות שיפוטית

GDPR/UK GDPR כסטנדרט בסיסי; שקול את EPrivacy/PECR לתקשורת ועוגיות.
ניואנסים מקומיים (דוגמה): גיל ההסכמה לעיבוד מידע על ילדים, תקופות שימור KYC, טופסי הודעה, דרישות לשפת מסמך.
שמור על מטריצת אי התאמה על ידי מדינה והפניות לקודים/רישיונות מתאימים.

19) מימוש מפת דרכים (דוגמה)

שבועות 1-2: נתונים/מערכות מלאי, ROPA, מפת זרימה, טיוטת מדיניות.
שבועות 3-4: CIW/באנר, רישום תת-מעבד, DPA/SCCs, DPIA לתהליכים בסיכון גבוה.
חודש 2: השקת מרכז ההעדפות, אוטומציה של מחיקה/אנונימיות, הכשרת עובדים.
חודש 3 +: ביקורת תקופתית, בדיקות DSAR, עדכוני לוקליזציה ורישום.

20) רשימת מוכנות קצרה

[ ] DPO שהוקצה, אנשי קשר פורסמו

[ ] ROPA עדכני ומפת זרימת נתונים

[ מדיניות ] פורסמה, מקומית,

[ ] CMP עם רישומי opt-in/opt-out

[ ] DPA/SCCs ורישום תת-מעבד ציבורי

[ ] DPIA/DTIA הושלם לתהליכי סיכון

[ ] עבודות שמירה והליכי מחיקה/אנונימיות

[ ] SOP על DSAR ותקריות, בעלים מאומנים

[ ] מטריצות/KPIs וביקורת פרטיות שנתית

TL; DR

מדיניות חזקה = מטרות ברורות ורציונל + מלאי ו-ROPA + קונסנטים/עוגיות תחת שליטה + העברות חוצה גבולות מאובטחות + רישום תת-מעבד + שמירה ברורה ומחיקה + אימון DSAR/תקריות. זה מפחית סיכונים משפטיים ומוניטין ובונה אמון שחקנים.