Տվյալների փոխանցումը երկրների միջև

1) Նպատակը և տարածքը

Ստեղծել կառավարվող և ապացուցված անձնական տվյալների (PII) և վիրահատական հավաքածուներ (KYC/AML, վճարումներ, RG/SE, CRM/մարքեթինգի, խաղային հեռուստացույցի, լոգայի/ARM, վերլուծություն/SNH), հաշվի առնելով iGaming և օրենքների պահանջները։ տարբեր միգրացիաների տվյալները։ Փաստաթուղթը ավելացնում է հատվածները ՝ «Տվյալների տեղայնացումը», «Հեռացում և անանունացում», «GDPR: Համաձայնություն», «DSAR»։

2) Հիմնական հասկացությունները և սկզբունքները

Հիբրիդային փոխանցումը ցանկացած հասանելիություն/կրկնություն/վերամշակում է օբյեկտի/տվյալների սահմաններից դուրս։

Համարժեք/համարժեք 'կարգավորողի որոշումները ստացողի երկրի պաշտպանության բավարար մասին։

Պայմանագրային մեխանիզմները պայմանագրային դիրքեր են, տեղական անալոգներ, պայմանագրի դոցենտ։

TIA (Transfer Impact Assessance) - կոնկրետ փոխանցման իրավական/տեխնոլոգիական ռիսկերի գնահատում։

Ինքնիշխանություն/բնակություն - պահեստավորման և տեղական վերահսկողության իրավունք։

Սկզբունքները

1. Autal-first-ը, հնարավորության դեպքում մենք տեղական ենք մշակում։ դուրս, նվազագույն և կանոններով։

2. Նվազեցում '«ճիշտ այնքան, որքան անհրաժեշտ է»։ 24ագրեգատներ/կեղծանուններ։

3. Կրիպտոգրաֆիա և մեկուսացում 'ծածկագրում, բանալիներ տարածաշրջանում, dell/www.plane բաժանումը։

4. Ապացուցումը 'յուրաքանչյուր փոխանցման ամսագիր, TIA-ի արտեֆակտները և հիմքերը։

5. Fail-closed: Չկա հիմքեր կամ TIA-ներ, չկա փոխանցում։

3) Դերեր և RACI

DPO/Head of Compliance (Owner) - քաղաքականություն, ընդունիր, TIA, բացառություններ։ (A)

Legal-ը փոխանցման մեխանիզմի, պայմանագրերի, տեղական պահանջների ընտրությունն է։ (R)

Express/Infra - ծածկագրում, KFC/HSM, ցանցային պարամետրեր, աուդիտ։ (R)

Platform/Analytics-de-PII/անանուն, ֆեդեգրաֆիկ/կոհորտային հաշվետվություններ։ (R)

Interneering/MSE-ը միկրոօրգանիզացում, թունավորում, ածխաջրածինների վերահսկում է։ (R)

Vendor Express-ը սուզանավերի կոդն է, հաստատումը, որը պարունակում է boarding-ը։ (R)

Audit-ը արտեֆակտների նմուշն է, CAPA-ն։ (C)

4) Հոսքերի քարտեզը (Windows Transfer Map)

Ռուսական նշանակման աղբյուրը (երկիր/ամպ/վենդոր) նշված տվյալների կատեգորիան հաստատեց իրավական հիմքը ռուսական պաշտպանություն (այդ/105) փոխանցելու մեխանիզմը։

Գրաֆիկորեն գրված է 'աջակցություն/CS, վերլուծություն/հաշվետվություն, ֆրոդ/ռիսկային սկորներ, խաղերի պրովայդերներ և PFC, աֆֆիլատներ։

5) Իրավական մեխանիզմները (շրջանակը)

1. Հավասարության մասին որոշումը (եթե կիրառելի է) պարզեցված ճանապարհ է, բայց դեռ անհրաժեշտ է TIA արտեֆակտներ և վենդորի հետ պայմանագրեր։

2. Մոսկվան/ստանդարտ պայմանագրային դիրքերը և տեղական անալոգները 'ներառում են պարտադիր ծրագրեր (կատեգորիաներ, նպատակներ, միջոցներ)։

3. Binding/ավելացված պայմանագրերը 'հաշվարկում են ենթահամակարգերի պարտականությունները, տեղեկությունները պետական մարմինների պահանջների մասին։

4. Օրենքի բացառությունները 'կետային և հազվագյուտ (կյանքի հետաքրքրությունները, պայմանագրի պահանջը) ռուսական էքսպորտի համար չեն։

5. Ներգաղթի կանոնները 'հոլդինգների համար կորպորատիվ գործիքներ են, որոնք վերահսկում են։

6) Transfer Impact Assessment (TIA)

Պատճառն այն է, որ նոր գենդորը/երկիրը, նոր նպատակը, նոր կատեգորիաները (կենսաչափություն, RG/SE), միգրանտների ռեժիմի փոփոխությունը կամ երթուղիները։

Բովանդակություն

Փոխանցման նկարագրությունը (տվյալները/ծավալը/հաճախականությունը/մասնակիցները)։

Ստացողի երկրի իրավական միջավայրը (պետական օրգանների հասանելիության ռիսկերը, սուբյեկտների պաշտպանության իրավական միջոցները)։

Տեխնոլոգիական միջոցները 'կոդավորումը, բանալիները (BYOK/HYOK), կեղծանունացումը, split-processing։

Կազմակերպական միջոցներ ՝ NDA, ուսուցում, «need-to-know», ամսագրեր, հարցումների արձագանք։

Հիբրիդային ռիսկ/լուծում 'լուծել/փոխել/արգելել; վերանայման ժամկետը։

TIA: Տե՛ ս 3515C։

7) Տեխնիկական և կազմակերպական միջոցներ

7. 1 Կրիպտոգրաֆիա և բանալիներ

At rest: AES-256-GCM; in transit: TLS 1. 2+/mTLS; PFS.

KFC: BYOK (բանալիներ), HYOK (բանալիները մնում են տարածաշրջանում); շուկայի/տենանտների հատվածներ; վիրահատությունների անփոփոխ աուդիտ։

Crypto-shredding: Բեքապների և արխիվների համար ժամանակի ընթացքում։

7. 2 Նվազեցում և դե նույնականացում

Կեղծանունականացումը նախքան վերանորոգումը (token gateway), մապինգի պահեստավորումը առանձին տարածաշրջանում։

Ագրեգատները, k-անունությունը/binning date և geo, հազվադեպ կատեգորիաների ճնշումը։

PII-free logs/ARM և server-side tagging-ը, առանց համաձայնության։

7. 3 Ինքնաթիռների մեկուսացում

Համաշխարհային www.l-plane առանց PII; 107-plane PII-ից տեղական։

PII-ի հասանելիությունը տեղեկատվական շերտի միջոցով, որը հիմնավորում է հարցումը և ամսագիրը։

7. 4 Պետական մարմինների հարցումները

Ռեակցիայի իրականացումը 'միգրացիայի ստուգումը, վիճարկումը, ծավալի նվազեցումը, ծանուցումը (եթե թույլատրվում է), գրառումը հարցումների խմբագրման մեջ։

8) Տվյալների կատեգորիաները և փոխանցման կանոնները

9) Վենդորներն ու ենթահամակարգերը

Իսպանիան ՝ յուրը։ , երկրի դեմքը, ենթահամակարգերը, սերտիֆիկացումը, փոխանցման մեխանիզմները, փոխանցման ռեժիմը։

Պայմանագրեր ՝ DPA + SCC/անալոգներ, հաղորդագրությունների/ենթահամակարգերի փոփոխության մասին ծանուցումներ 30 օր, ծառայության/հարցազրույցի իրավունք, beaps, SLA 112 և DSAR-ի պարտավորություններ։

Onbording/revew: TIA, պենտեստ/հավաստագրում, «sample transfer» թեստ։

Diboarding: էքսպորտը/հեռացումը/crypto-shred + հաստատումը (evidence)։

10) Բեքապներ, լոգներ և վերլուծություններ

Բեքապներ 'նույն տարածաշրջանում; էքսպորտը միայն ծածկագրված տեսքով + HYOK; ժամկետի ընթացքում 'crypto-shred։

Լոգա/ARM: PII-free լռելյայն; եթե ոչ, տեղական պահեստ, կարճ հոսանք։

Վերլուծություն/MSH 'գլոբալ հաշվետվությունները միայն ագրեգատներ/կոհորտներ; արգելում է հում ցուցանիշները տարածաշրջանից դուրս։

11) Գործընթացներ և իրադարձություններ

Այս գործընթացն այն է, որ ռուսական շուկայի ստուգումը հաստատվում է TIA-ի մեխանիզմի ընտրությամբ, որը հաստատվում է տեխնիկական միջոցների համակարգման միջոցով։

Իրադարձությունները (նվազագույն)

`xborder_transfer_requested/approved/denied`

«transfer _ executed» (ծավալ/ժամանակ/վենդոր)

`key_accessed_for_transfer` (KMS audit)

`gov_request_received/responded`

`vendor_location_changed`

`transfer_review_due`

12) Տվյալները և արտեֆակտները (մոդել)

transfer_record {
id, market_from, market_to, vendor, purpose, lawful_basis,
mechanism{adequacy    scc    local_clause    exception}, tia_id,
data_classes[], pii{yes/no}, deidentification{pseudo    anon    none},
encryption{at_rest, in_transit, keys{scope: BYOK    HYOK, kms_region}},
executed_at_utc, volume{rows, mb}, retention_days, backups{region, crypto_shred:true},
approvals{legal, dpo, security}, status, evidence_uri(WORM)
}

tia {
id, date, countries_involved[], legal_risk_summary, gov_access_risk,
technical_measures[], organizational_measures[], residual_risk{low    med    high},
decision{allow    modify    deny}, review_at
}

13) KPI/KRI և dashbord

X-Border Transfer Rate (նպատակներով/վենդերներ/երկրներին)։

TIA Coverage (տոկոսը համապատասխանում է TIA-ի հետ)։

BYOK/HYOK Coverage (մասնաբաժինը ռուսական բեկորների հետ)։

Anonymized Express-ը (ածխաջրածինների տոկոսը ագրեգատներում/կեղծանուններում)։

Vendor Corporation Drift (միգրացիայի փոփոխության դեպքեր)։

Gov Request Count-ը և պատասխանի միջին ժամանակը։

Auditability Score (ձայնագրությունների տոկոսը արտեֆակտների ամբողջական փաթեթով)։

14) Չեկ թերթերը

A) Նախքան ծրագրի սկիզբը

• Նշանակումը և օրինական նպատակը հաստատված են։
• Ընտրվել է մեխանիզմը (համարժեք/պայմանագիրը/անալոգը), TIA-ն ավարտվել է։
• Կեղծանունացում/անանուն տրամադրություն; ծավալը նվազագույն է։
• KFC/բանալիներ ՝ BYOK/HYOK, ամսագիրը միացված է։
• Պայմանագիրը գենդորի հետ 'DPA + SCC/անալոգը, DC/ենթահամակարգերի փոփոխության մասին ծանուցումները։
• Բեքապների և crypto-shred նստավայրը պլանում։

B) Վիրահատություններում

• Direct 'vendor _ changed _ changed "և ալտերտերը։
• TIA-ի և մեխանիզմների պարբերական իրականացումը։
• DSAR/2019 ճիշտ օգտագործվում է ստացողի պարագծում (կամ անանանունացման միջոցով)։
• Logs and KMS-աուդիտը հասանելի է։

C) Աուդիտ/բարելավում

• Տարրական նմուշները 'transfer _ record' ամբողջությամբ։
• CAPA միջադեպերի/բողոքների/կարգավորող գտածոների մասին։
• «Revoke Management» թեստը գենդորի + ապացույց ունի։

15) Ձևանմուշներ (արագ շարժիչներ)

A) Կլաուզա «հիբրիդային փոխանցում»

B) Ծանուցում Պետական մարմինների պահանջի մասին

C) Հակիրճ TIA (one-pager)

16) 30-օրյա իրականացման պլանը

Շաբաթը 1

1. Հաստատել հիբրիդային պարամետրերի քաղաքականությունը, RACI-ը և TIA/DPA մոդելները։

2. Կառուցել ներկա հոսքերի քարտեզը և ռուսական գողերը/միգրացիաները/2019։

3. Տեղադրեք KHL շուկաներում (BYOK/HYOK), միացրեք կայունացված աուդիտը։

Շաբաթ 2

4) Միացրեք կեղծանունները նախքան և PII-free logs/ARM-ը։

5) Գործարկել wwww.ransfer _ record '/' tia "(WORM-արտեֆակտներ)։

6) Թարմացնել պայմանագրերը կրիտիկական գենդերների հետ 'տեղեր, ծանուցումներ, կոդավորման ընթացակարգեր։

Շաբաթ 3

7) Օդաչուն 2-3 հոսքեր (CS, CPH հաշվետվությունները) 'չափել Anonymized Express Express, BYOK Coverage-ը։

8) Սովորեցնել Cort/CS/BI/Legal-ը պետական օրգանների և էսկալացիաների հարցումների ընթացակարգերում։

9) Միացրեք ալերտները 'vendor _ contation _ changed "։

Շաբաթ 4

10) Ամբողջական թողարկումը; dashbord KPI/KRI և Evekvartal TIA-revew.

11) CAPA գտածոներով; v1 պլանը։ 1 - ֆեդեգրաֆիկ վերլուծություն/2019։ գաղտնիությունը զեկույցներում։

12) Մեկ գողի փորձարկումը 'հեռացում/crypto-shred, հաստատում։

17) Փոխկապակցված հատվածներ

Տվյալների տեղայնացումը միգրացիաների վրա

Տվյալների հեռացում և անունացում/Պահեստավորման գրաֆիկա և ստանդարտ

GDPR 'համաձայն/Cookies և CBS քաղաքականություն

Privacy by Design / DSAR

At Rest/In Transit, KFC/BYOK/HYOK

Dashbord complaens և www.ru/Ներքին և արտաքին աուդիտ