개인 정보 보호 정책 및 GDPR

1) 목적과 범위

목적: 운영자의 존재하는 모든 관할 구역에서 플레이어, 파트너 및 직원의 개인 데이터 (PII) 를 합법적이고 투명하며 안전하게 처리합니다.
적용 범위: 웹/모바일 애플리케이션, CRM/BI/DWH, 사기 방지/AML/KYC, PSP/CUS/제재 제공 업체, 지원, 마케팅, 계열사, 라이브 스튜디오, 호스팅 및 로깅.

2) 역할 및 책임 (RACI)

데이터 보호 책임자 (DPO) -A: 규제 기관에 대한 규정 준수 감독, RoPA, DPIA/DTIA 대응.
준수 책임자-A: 정책, 위험 식욕, 에스컬레이션 및보고.
법적-C: 법적 근거, DPA/SCC 계약, 배너 및 통지 텍스트.
보안/SRE-R: 기술 및 조직 조치 (TOM), 액세스 로그, 사고.
데이터/BI - R: 데이터 디렉토리, 최소화, 마스킹/가명.
마케팅/CRM-R: 동의, 환경 설정, 구독하지 않음, 쿠키.
제품/엔지니어링-R: 설계/기본, 보존 및 처분에 의한 개인 정보 보호.
지원/VIP-R: 주제 문의 (DSAR), 신원 확인.

3) 법적 기초

동의-마케팅, 분석/광고 쿠키, 필수 개인화.
계약-등록, 요율/결론 처리, 지원.
법적 의무-KYC/AML/제재, 회계 및보고.
합법적 인 관심사-사기 방지, 보안, 제품 개선 (이자 균형 테스트-LIA).
중요한/공익-법률에 의해 허용되고 허용되는 경우 드문 RG 사례/보안.

4) 데이터 주제의 권리 (DSR/DSAR)

액세스 (Art 15), 수정 (Art 16), 삭제 (Art. 17), Constraint (Art 18), Tolerability (Art 20), 거부 (Art 21) 는 독점적으로 자동화 된 솔루션의 대상이 아닙니다 (Art. 22).
DSAR 처리 SLA: 확인은 7 일, 실행은 30 일 (피험자에게 알리기 어려운 경우 다른 60 일 연장) 입니다.
검증: 다 인성; 공개 채널을 통한 민감한 데이터 공개 금지.
로그: 저장 요청, 신원 확인, 발행 된 데이터 패키지 및 응답 시간.

5) 처리 운영 등록 (RoPA)

최소 필드: 대상, 주제/데이터 범주, 법적 근거, 유지 기간, 수령인/제 3 국, 보안 조치, 데이터 소스, 자동 결정/프로파일 링, DPIA/DTIA

6) DPIA/DTIA: 언제 어떻게

DPIA-대규모 프로파일 링, 새로운 사기 방지 모델, 지오 데이터 처리, RG 트리거, 체계적인 관찰.
DTIA/TIA-EEA/UK 이외의 국경 간 전송을위한: 정부 기관의 지역 접근 평가, 계약/기술 조치.
프로세스: 위험 및 측정에 대한 선별 → 평가 → DPO/법적 승인 → 제어 → 가정 로그의 구현.

7) 쿠키, 픽셀, SDK 및 동의 배너

카테고리: 엄격히 필요한 기능, 분석, 마케팅.

• 동의 할 때까지-우리는 엄격히 필요한 것만로드합니
• 입상 계약 및 별도의 거부; 버전과 타임 스탬프 로그.
• IAB TCF를 사용한 CMP (해당되는 경우); 대상/공급자를 변경할 때 배너를 자동 업데이트합니다.
• 언제든지 쉽게 탈퇴/선택 변경.

8) 핸들러 및 하위 프로세서

주제, 목표, 데이터 범주, 마감일, TOM, 서브 프로세서, 감사 등 각 제공 업체와의 DPA.
서브 프로세서의 공개 등록 (버전); 변경 사항과 이의 제기 권리에 대한 통지.
점검: 실사 (ISO/SOC2), 테스트 사건, 요청에 대한 가장 적절한 보고서, 오프 보드 계획.

9) 국경 간 이동

SCC/IDTA + DTIA; 필요한 경우-추가 조치: E2EE, 클라이언트 암호화, 준 익명화, EU 키.
우리는 정책/등록부의 법적 메커니즘, 국가 및 수령인을 수정합니다.

10) 유지 및 삭제

삭제 정책: DWH/보관소의 자동 작업 (작업); 사이클 로깅에 의한 백업 삭제. 분석을 위해 ID 할당.

11) 보안 (TOM)

기술: 휴식/대중 교통 암호화, 네트워크 세분화, 권리 최소화, KMS/키 회전, DLP, EDR/IDS/WAF, SSO/MFA, 비밀 관리자, WORM 로깅.
조직: 액세스 정책, 교육, NDA, 클린 데스크, 공급 업체 검증, 사고 관리 (SANS/NIST).

설계/기본값으로 개인 정보 보호: 변경 프로세스 평가, 최소 기본 데이터 세트, PII가없는 테스트 데이터

12) 누출 및 사건 알림

평가: 사실, 양과 위험 확인.
마감일 (벤치 마크): 데이터에 따른 감독 당국에-권리/자유의 위험에 따라 최대 72 시간; 사용자-과도한 지연없이.
알림의 내용: 사건 설명, 범주 및 추정 된 기록 수, DPO 연락처, 결과, 취한 조치, 주제에 대한 권장 사항.
로그: 타임 라인, 솔루션, 문자/응답 템플릿, CAPA.

13) 마케팅 및 커뮤니케이션

거래 메시지 분리 (동의없이) 및 마케팅 메시지 (동의없이).
선호 관리: 설정 센터, 주제/채널 별 구독, 이중 옵트 인 (필요한 경우).
제휴 및 추적: PII 수집/이전에 대한 계약 제한, 이유 및 동의없이 식별자 이전 금지.

14) 공공 개인 정보 보호 정책-구조

1. 우리와 DPO 연락처는 누구입니까?

2. 카테고리 및 소스별로 수집하는 데이터

3. 목표/법적 근거 (표 "목적 → 데이터 → 기본 → 용어").
4. 쿠키/SDK 및 동의 관리.
5. 수신자 및 국경 간 전송 (메커니즘 및 측정).
6. 주제의 권리와이를 구현하는 방법.
7. 데이터 보안 (고급 TOM).
8. 보존 기간 및 기준.
9. 일반적인 용어로 자동화 된 솔루션/프로파일 링 및 논리.
10. 정책 변경 (버전) 및 알리는 방법.
11. 불만 신청 연락처 (필요한 경우 관할권 별 DPA).

15) 템플릿 및 샘플 제형

15. 1 개의 목표/염기 테이블 (조각):

15. 쿠키 배너 2 개 (최소):

"우리는 쿠키를 사용합니다 "Accept All" 을 클릭하면 분석 및 마케팅 쿠키 저장에 동의합니다. 카테고리별로 선택을 변경할 수 있습니다. "옵션 거부" -엄격히 필요한 쿠키 만 "

15. 3 프로파일 링 섹션 (예):

"우리는 프로파일 링을 사용하여 사기를 방지하고 책임 (RG) 을 수행합니다. 이것은 안전과 합법적 인 이익에 따라 필요합니다. 법에 의해 달리 규정되지 않는 한 이의를 제기 할 수 있습 AML) "

16) 프로세스 SOP

SOP-1: 정책 업데이트

방아쇠: 새로운 대상/공급 업체/SDK/관할 구역.
단계: 재고 → LIA/DPIA → 텍스트 업데이트 → 현지화 → CMP 업데이트 → 사용자와의 통신 → 버전/입력 날짜.

SOP-2: DSAR

요청 채널 → 신원 확인 → 데이터 볼륨 추정 → 패키지 수집 (시스템에서 내보내기) → 법적 감사 → 정당화 → 로그를 사용한 발행/거부.

SOP-3: 새로운 서브 프로세서

실사 → DPA/SCC → DTIA → 사건 테스트 → 공개 레지스트리 포함 → 사용자 알림 (필요한 경우).

17) 훈련 및 감사

모두를위한 온 보딩 + 연간 개인 정보 보호 교육; 지원/마케팅/엔지니어링을위한 추가 교육.
1 년에 한 번 내부 감사: RoPA, 보존 준수, 선택적 DSAR 검증, CIW/쿠키 검토, 테스트 응용 프로그램, 침투 테스트/액세스 로그 법의학.
KPI: 교육받은 직원의%; SLA DSAR; 앨리어싱이 완료된 CAPA가있는 시스템 비율.

18) 현지화 및 다중 관할권

기본 표준으로서의 GDPR/UK GDPR; 통신 및 쿠키는 ePrivacy/PECR을 고려하십시오.
지역 뉘앙스 (예): 아동 데이터 처리에 대한 동의 연령, KYC 보유 기간, 알림 양식, 문서 언어 요구 사항.
국가 별 불일치 행렬을 유지하고 해당 코드/라이센스에 대한 참조를 유지합니다.

19) 구현 로드맵 (예)

1-2 주: 데이터/시스템 인벤토리, RoPA, 흐름지도, 정책 초안.
3-4 주: 고위험 프로세스를위한 CIW/배너, 서브 프로세서 레지스트리, DPA/SCC, DPIA.
2 월: 선호 센터 출시, 삭제/익명화 자동화, 직원 교육.
3 개월 이상: 정기 감사, DSAR 테스트, 현지화 및 레지스트리 업데이트.

20) 짧은 준비 점검표

• DPO 할당, 연락처 게시
• 최신 RoPA 및 데이터 흐름 맵
• 게시 된 정책, 현지화, 버전
• 옵트 인/옵트 아웃 로그가있는 CMP
• DPA/SCC 및 공공 하위 프로세서 레지스트리
• 위험 프로세스에 대한 DPIA/DTIA 완료
• 유지 작업 및 삭제/익명화 절차
• DSAR 및 사건에 대한 SOP, 훈련 된 소유자
• 메트릭/KPI 및 연간 개인 정보 보호 감사

TL; DR

강력한 정책 = 제어중인 명확한 목표 및 이론적 + 인벤토리 및 RoPA + 동의/쿠키 + 보안 국경 간 전송 + 서브 프로세서 레지스트리 + 명확한 보존 및 삭제 + 훈련 DSAR/사건. 이것은 법적 및 평판 위험을 줄이고 플레이어의 신뢰를 구축합니다.