Regolamento sulla privacy del sito

1) Assegnazione e ambito di applicazione

• quali dati personali raccogli,
• per quali scopi e per quali motivi legali li trattate,
• a chi e come trasmettere i dati (processori, partner, provider),
• per quanto tempo conservare, proteggere e realizzare i diritti dei soggetti.

Chi vuole: qualsiasi sito/applicazione, specialmente i servizi di iGaming e fintech con KYC/AML, transazioni di pagamento, antifrode, analisi e marketing.

2) Definizioni chiave

Dati personali (PDN): tutte le informazioni che consentono di identificare l'utente (nome, e-mail, IP, ID dispositivo, informazioni di pagamento, ecc.).
Elaborazione: tutte le operazioni con PDN (raccolta, conservazione, modifica, trasferimento, eliminazione).
Controllore/Operatore: società che definisce obiettivi e strumenti di elaborazione.
Processore: persona/organizzazione che gestisce il PDN su incarico del controllore.
Cookie e pixel: tecnologie di conservazione e lettura degli ID per il funzionamento del sito, l'analisi e il marketing.
Categorie di dati speciali: biometria/medicina, ecc. (non sono generalmente trattati nel iGaming; l'eccezione è la biometria KYC di terzi per consenso/base).

3) Quali dati si raccolgono normalmente sulla piattaforma iGaming

1. Identificativi: nome, data di nascita, cittadinanza, indirizzo, documento (passaporto/ID), selfie/video-operazione (se KYC è in possesso di un provider autorizzato).
2. E-mail, telefono, messaggistica.
3. Account: login, hashtag password, impostazioni account, preferenze lingua/valuta.
4. Pagamenti e transazioni: schede tornizzate, dettagli dei portafogli, cronologia dei pagamenti, conclusioni, marceback/display.
5. Tecnico: IP, user-agente, ID dispositivo, logs-record, eventi di sessione, cookie-ID.
6. Marketing/analisi: fonti di traffico, UTM, conversioni, segmenti, risultati dei test A/B.
7. Antifrod/AML: pattern comportamentali, schizzi di rischio, geo/proxy-segnali, risultato di screen di sanzioni e PEP (tramite provider autorizzati).

4) Basi legali di elaborazione (elenco approssimativo)

Esecuzione del contratto (registrazione, gestione dei conti, elaborazione delle rate/pagamenti).
Obbligo legale (KYC/AML, rapporti fiscali/finanziari, registri di sicurezza).
Legittimo interesse (prevaricazione, sicurezza, miglioramento del servizio), con test di equilibrio di interessi.
Consenso (mailing mailing, cookie facoltativi, biometria KYC nei singoli provider, se richiesto dal diritto locale).
Tutela dei diritti e dell'ordine pubblico (risoluzione delle controversie, protezione contro le rivendicazioni).

5) Obiettivi di lavorazione (formulazioni tipiche)

Creazione e amministrazione di un account, accesso a giochi/servizi.
Pagamenti e conclusioni, rimborsi, calcolo Net Deposits, rapporti finanziari.
Controlli KYC/AML/sanzioni/PEP, prevenzione frodi e bonus abusivi.
Supporto dei client e esecuzione delle richieste dei soggetti PDN.
Analisi e miglioramento dei prodotti (conversione, UX, performance).
Marketing (e-mail, push, retargeting) con base giuridica.
Conformità ai regolatori e alle richieste legali.

6) Cookie, tracking e pixel

• Strettamente necessario: sessioni, sicurezza, funzionalità dell'account.
• Funzionali: lingua, valuta, preferenze interfaccia.
• Analisi: misurazione della frequenza, corvi, metriche UX.
• Marketing: attribuzione del traffico, retargeting, look-alike segmenti.

Pratica: un singolo banner/pannello di controllo dei consensi (CMP), la possibilità di modificare la scelta in qualsiasi momento. Indicare i tempi di vita, gli obiettivi e i provider.

7) Trasferimenti e localizzazione transfrontalieri

Descrivere la geografia di conservazione e lavorazione (UE/EEA, Regno Unito, Canada, Brasile, Stati Uniti, ecc.).
Specificare i meccanismi: clausole convenzionali standard (SCC), strumenti equivalenti, memorizzazione locale/mirror, DPIA, se necessario.
Per i flussi particolarmente sensibili (la biometria KYC), misure separate e minimizzazione.

8) Destinatari (categorie)

Provider di controllo KYC/AML, sanzioni e PEP.
Provider di pagamenti, emittenti, banche, gateway di processo.
Fornitori di antifrode/rischio-screening, hosting/cloud, CDN, servizi di posta/SMS.
Analisi/crash-reportage, piattaforme di marketing (per consenso).
I revisori, gli avvocati, i regolatori e altre autorità sono legittimi.

9) Conservazione (principio di minimizzazione)

Account e dati operativi - per ora in vigore contratto e tempi regolamentari (spesso 5-10 anni per Findocum/AML-Logs).
Profili di marketing in base ai tempi concordati con il CMP e prima della revoca del consenso.
I loghi di sicurezza sono multipli di obiettivi (ad esempio, 12-24 mes), a meno che la legge non lo richieda diversamente.
Al termine, cancellazione/anonimizzazione sicura.

10) Sicurezza e misure organizzative

Crittografia a riposo e durante la trasmissione, regole di rete rigorose, WAF/firewall.
Controllo delle disponibilità (RBAC/ABAC), registrazioni, verifiche regolari e test pen.
Segmentazione dei sistemi, il principio dei diritti minimi, il segreto-gestione.
Monitoraggio continuo, regole antifrode, test dei piani di risposta agli incidenti.
Valutazioni dei rischi e DPIA per i guadagni ad alto rischio.

11) Diritti utente (entità dati)

Accesso ai dati, correzione, eliminazione, restrizione dell'elaborazione.
Portabilità (formato machine-readable).
Obiezione all'elaborazione (ad esempio al marketing).
Revoca il consenso senza peggiorare le funzioni obbligatorie.
Denuncia all'autorità competente (indicare i contatti del regolatore di giurisdizione).

12) Bambini e limiti di età

I servizi iGaming sono riservati ai maggiorenni secondo le leggi locali. Descrivere i meccanismi di controllo dell'età e le modalità di rimozione dei dati dei minori in caso di registrazione errata.

13) Soluzioni automatizzate e profilassi

Descrivere brevemente la profilassi per antifrode/rischio-screening/marketing.
Specifica se il risultato influisce su soluzioni giuridicamente rilevanti (congelamento, richiesta KYC).
Prevedere il diritto alla «revisione umana» in caso di contenzioso.

14) Contatti e DPO

Specifica l'e-mail/modulo di comunicazione per le richieste dei soggetti, l'indirizzo di posta elettronica aziendale. Se è stato assegnato un DPO - Nome/contatti. Tempi di risposta (ad esempio, fino a 30 giorni, con proroga possibile, se consentito dalla legge).

15) Aggiornamenti criteri

Fissa data di entrata in vigore e revisione.
Notifica in modo trasparente le modifiche significative (striscione/lettera/notifica interna).

16) Note giurisdizionali (matrice approssimativa)

UE/EEA (GDPR) - Basi, DPIA, DPA con processori, SCC per trasferimenti transfrontalieri, registrazione degli interessi, registro dei guadagni.
Regno Unito (UK GDPR) - Simile a quello degli enti locali.
Brasile (WOLFPD) - Fondamenti legali, Mediatore, data di scadenza locale.
California (CCPA/CPRA) - Diritto di rifiutare la vendita/scambio di dati, «Do Not Sell or Share», categoria dati personali.
Canada (PIPEDA/Province) - Consenso e vincolo di destinazione.
Australia (Privacy Act) - APPs, scoperte transfrontaliere.
Aggiungere sezioni locali ai paesi in cui si lavora.

17) Foglio di assegno pratico prima della pubblicazione

• Mappa dei dati (cosa, dove, perché, per quanto tempo, chi ha accesso).
• Registro dei guadagni e DPA con processori chiave.
• CMP e cookie con scadenze e obiettivi.
• Procedura di risposta alle richieste dei soggetti (SLA, modelli di posta elettronica).
• Procedura di notifica degli incidenti (a, quando, come).
• Versioning dei criteri e registro delle modifiche.

18) Modello Criteri completato (copiare e adattare)

Informativa sulla privacy

Entrata in vigore [data] Versione: [vX. Y]

1. Chi siamo

[Nome completo della società], [indirizzo legale], [dati di registrazione].

Contatti: [support @ dominio], [indirizzo di posta].

2. Effettività

Questo Criterio si applica al sito (s) e alle applicazioni [domini/applicazioni] e ai servizi di supporto correlati.

3. Dati che stiamo elaborando

Identificazione e contatto (nome, data di nascita, e-mail, telefono, indirizzo).
Credenziali (login, password hash, impostazioni).
Pagamenti/transazioni (token card, cronologia delle transazioni).
Tecnico (IP, dispositivi, loghi, cookie-ID).
Antifrode/AML (segnali comportamentali, risultati dei controlli nei provider).
Marketing/Analisi (UTM, Conversioni) - Se necessario, in caso di consenso.

4. Obiettivi e fondamenti legali

Elaboriamo i dati per: servizi, pagamenti e conclusioni, KYC/AML, sicurezza e antifrode, supporto, analisi, marketing (con il consenso), rispetto della legge. Motivi: esecuzione del contratto, obbligo legale, legittimo interesse, consenso.

5. Cookie e tecnologie simili

• rigorosamente necessario (sessioni, sicurezza),
• funzionali (impostazioni),
• analitiche,
• di marketing.
• Il controllo è disponibile tramite [Pannello Consoni/Collegamento CMR]. Per la tabella dei cookie, vedere Allegato A.

6. Con chi condividiamo i dati

Le categorie di destinatari sono KYC/AML provider, enti di pagamento, hosting/CDN, antifrode e analisi, supporto (e-mail/SMS), revisori, regolatori di legge. Il trasferimento è basato su contratti e misure di sicurezza.

7. Trasferimenti internazionali

I dati possono essere elaborati al di fuori del paese. Applichiamo meccanismi legali (ad esempio, disposizioni convenzionali standard) e misure tecniche/organizzative per la protezione.

8. Tempo di conservazione

Conserviamo quanto necessario per i fini e nei tempi previsti dalla legge (ad esempio, record finanziari/AML - almeno [X] anni). Al termine, rimozione/anonimato.

9. Sicurezza

Crittografia, controllo delle disponibilità, monitoraggio, segmentazione, verifica, test di penna. Nonostante le misure, la sicurezza assoluta non è garantita; Noi agiamo secondo le norme applicabili per la notifica degli incidenti.

10. I tuoi diritti

È possibile richiedere l'accesso, la correzione, la rimozione, la limitazione, la portabilità, l'obiezione e revocare il consenso (per l'elaborazione sul consenso). I contatti per le query sono [privacy @ dominio]. Ha anche il diritto di presentare un reclamo al [nome dell'autorità di vigilanza/giurisdizione].

11. Soluzioni automatizzate e profilassi

Usiamo sistemi automatizzati per antifrode e valutazione dei rischi. In caso di decisione rilevante, è possibile richiedere una revisione che coinvolga una persona.

12. Bambini

Il servizio è destinato a persone [18 +] o più vecchie secondo il diritto locale. Se si trova un account minore, i dati vengono bloccati e eliminati.

13. Contatti DPO/responsabile

[DPO FIO/postazione], e-mail: [dpo @ dominio], indirizzo [indirizzo].

14. Aggiornamenti a questo Criterio

Aggiorniamo periodicamente la Politica. I cambiamenti significativi saranno riportati tramite il sito/notifica. La versione corrente è sempre disponibile all'indirizzo [link].

Applicazione A. Cookie (esempio)

Allegato B. Controparti (categorie)

Provider KYC/AML: [nome/giurisdizione/ruolo].
Processori/banche: [categorie].
Hosting/cloud/CDN: [categorie].
Marketing/mailing/analista: [categorie].
Supporto (ticket/SMS/e-mail): [categorie].
(I nomi precisi possono essere visualizzati nella DPA/Registro dei guadagni e le categorie nel Criterio).

Applicazione C. Condizioni giurisdizionali (modello)

UE/EEA (GDPR) - diritti, meccanismi di trasmissione, contatti dell'autorità di vigilanza: [riferimento/nome].
California (CCPA/CPRA) - Il link «Do Not Sell or Share My Personal Information» è una descrizione delle categorie e dei diritti dei consumatori.
Brasile (TGPD) - Contatto responsabile, diritti titulares.
Regno Unito: UK GDPR e ICO.
Canada/Australia - diritti locali e contatti dei regolatori.

19) Consigli per mantenere l'attualità

Una volta al trimestre, controllare la Politica con il vero data flow e DPIA.
Se aggiungi un nuovo provider/SDK, aggiorna il registro dei guadagni e il CMP.
Riepilogare e documentare le risposte alle richieste dei soggetti (SLA, modelli, metriche).
Fare il registro delle versioni con changelog breve.

Come utilizzare questo articolo

1. Seguire il foglio di lavoro e raccogliere i dati relativi ai dati e ai flussi.
2. Copiare il modello e inserire le tue informazioni/date/giurisdizione.
3. Concordare con l'avvocato e il DPO, quindi pubblicare sul sito e collegare il CMP.
4. Configurare il processo di accettazione delle richieste dei soggetti e aggiornare i Criteri di modifica.