Usuwanie i anonimizacja danych

1) Cel i obszar

Zapewnienie legalnego, bezpiecznego i możliwego do udowodnienia usunięcia/anonimizacji danych gracza, transakcji i dzienników operacyjnych we wszystkich systemach (produkt/portfel, KYC/AML, RG, marketing/CRM, analytics/DWH, logs/AWP), w tym dostawców/dostawców i kopii zapasowych, z uwzględnieniem lokalizacja według jurysdykcji.

2) Zasady

1. Polityka przed praktyką. Przed pobraniem identyfikuje się miejsca przechowywania, cele i miejsca składowania.
2. Minimalizacja i separacja. Oddzielne skarbce do PII, tokenizacja w zdarzeniach.
3. Usunięcie = zdarzenie z dowodami. Każde usunięcie jest potwierdzone artefaktem.
4. Nieudane zamknięcie. Nieznany status/region → Operacje PII nie są dozwolone.
5. Świadomi kopii zapasowych. Kopie zapasowe są zgodne z tymi samymi zasadami co dane walki.
6. "Anonimizacja zamiast trwałego przechowywania. "Jeśli prawo nie wymaga PII, przenosimy go na agregaty.

3) Role i RACI

DPO/Compliance (Owner) - polityka zatrzymywania/usuwania, wyjątki, audyt. A)

Bezpieczeństwo/Infra - szyfrowanie, klucze, skasowanie krypto, kopie zapasowe/DR. (R)

Platforma Danych/Analityka - rurociągi de-PII, kruszywa, DWH/DL. (R)

Produkt/Inżynieria/SRE - API usuwania, kaskady, testy, obserwowalność. (R)

Prawne - lokalne warunki i ograniczenia (AML/licencjonowane). (C)

Prywatność Ops/DSAR Team - niestandardowe usunięcia/poprawki. (R)

Menedżer dostawcy - obowiązki sprzedawców, potwierdzenie wykonania. (R)

Audyt wewnętrzny - próbki, CAPA. (C)

4) Taksonomia danych i standard zatrzymywania danych

5) Metody techniczne

5. 1 Usunięcie

Kaskadowe logiczne/fizyczne: delete → zadanie do fizycznego usunięcia.
Crypto-shredding: zniszczenie segmentu/klucza szyfrowania najemcy; dotyczy kopii zapasowych/archiwów.
Cofnięcie żetonów: wycofanie żetonów płatniczych/trackerów od dostawców.
Nullify/Maska dla pól wymagających zapisu formalnego (na przykład księgowości).

5. 2 Pseudonimizacja

zastąpienie identyfikatorów pierwotnych tokenami; tabela mapowania jest przechowywana oddzielnie z oddzielnym KMS.

5. 3 Anonimizacja

Agregacja/kohortacja, k-anonimnost/α -diversity, bining, rzadkie wycinanie wartości, prywatność różnicowa w raportach.

5. 4 Maskowanie kłód

Agent edytuje PII w montażu (np. e-mail → hash/partial), zakaz „surowych” identyfikatorów w APM.

6) Cykl życia usuwania

1. Wyzwalacz: okres przechowywania, usunięcie DSAR, zamknięcie konta, cofnięcie zgody, wykonanie umowy/celu.
2. Czy istnieją bloki prawne? (AML/legal-hold/licencja).
3. Orkiestra: pakiet usuwania jest tworzony przez systemy/sprzedawców.
4. Wykonanie: kaskady, cofnąć żetony, kryptowaluty do archiwów.
5. Walidacja: uzgodnienie zapisów, kontrola pozostałości (dane osierocone).
6. Artefakt: Zgłoś z hashami partii/klucza, czasu i objętości.
7. Raport: deska rozdzielcza KPI, dziennik audytu/regulatora.

7) Specjalne obszary uwagi

7. 1 Kopie zapasowe/Archiwum/DR

Kopie zapasowe w tym samym regionie, szyfrowanie i katalogowanie kluczy.
Realistyczne: fizyczne usunięcie z immutable-backup jest trudne → używamy segmentu crypto-rozdrabniania po osiągnięciu terminu.

7. 2 Kłody i telemetria

domyślnie wolne od PII; jeśli PII jest nieuniknione - lokalne dzienniki, krótkie terminy, maskowanie agenta.

7. 3 DWH/analityka

Tylko dane de-PII; w razie potrzeby, historycy - anonimizować i zerwać połączenie z oryginalnym PII.

7. 4 Sprzedawcy i dostawcy

Umowy DPA/umowy dodatkowe: terminy, mechanizmy usuwania, świadectwo zniszczenia/usunięcie dowodów.

7. 5 Lokalizacja według jurysdykcji

Usuwanie odbywa się na obwodzie regionalnym, wywóz PII poza nim jest zabroniony; Raporty globalne - tylko agregaty

8) API/Wydarzenia i model danych

• 'retention _ due _ detected', 'erasure _ job _ started', 'erasure _ job _ completed', 'crypto _ shred _ done', 'vendor _ erasure _ ack _ received', 'erase _ validation _ failed', 'dsar _ erase _ linked', 'audit _ artifact _ saved'.

erasure_job {
id, subject_id_hash    scope{cohort    partition}, trigger{retention    dsar    contract_end    consent_withdrawn},
market, region, systems[], vendors[],
started_at_utc, completed_at_utc, status{ok    partial    failed},
method{cascade    crypto_shred    nullify    token_revoke},
counts{records, tables, bytes}, checksum{before, after},
keys_destroyed[{kms_key_id, destroyed_at_utc, evidence_id}],
validation{orphan_scan:passed    failed, sample_checks[]},
linked_cases{dsar_case_id?}, owner, approvers{dpo, security}, audit_artifacts[]
}

9) Kontrola i obserwowalność

Erasure Coverage - odsetek systemów objętych automatycznym usuwaniem.
Czas do usunięcia - mediana czasu od uruchomienia do zakończenia.
Osierocony wskaźnik danych - wykryte „osierocone” rekordy.
Backup Crypto-Shred SLA - klucze zniszczone na czas.
Sprzedawca Ack Rate - udział potwierdzeń usunięć od sprzedawców na czas.
DSAR Erase SLA - Meet deadlines for user-defined deletions.
Auditability Score - obecność artefaktów przez próbki.

10) Listy kontrolne

A) Polityka i projektowanie

• Kategoria/rejestr kwalifikacji rynkowych zatwierdzony przez Legal/DPO.
• Mapa systemu/dostawcy pokazująca PII/regiony/klucze.
• Zdefiniowane metody: kaskada/kryptowaluta/de-PII dla analiz.
• DPA/umowy zaktualizowane (skreślenie SLA, potwierdzenia).

B) Technika i operacje

• Kasowanie API i orkiestra pracy są włączone.
• Wolne od PII dzienniki/agenci maskują pola wrażliwe.
• Kopie zapasowe są szyfrowane, klucze są segmentowane przez rynek.
• Autotests: DSAR-erase, retencje kronów, skan sierocy.
• Deska rozdzielcza KPI/Alert.

C) Audyt i ulepszenia

• Kwartalne próbki systemu/dostawcy z artefaktami usuwania.
• DR/Test odzysku z segmentami zdalnymi.
• CAPA według stwierdzonych sald/naruszeń.

11) Szablony (szybkie wkładki)

A) Klauzula wobec sprzedawcy (skreślenie/zatrzymanie)

B) Roztwór anonimizacji (forma wewnętrzna)

C) Odpowiedź dla użytkownika (DSAR-erase complete)

12) Częste błędy i zapobieganie

Usunięcie z bazy danych walki, ale nie z kopii zapasowych. → Crypto-rozdrabniania i rejestru kluczy.
PII w logach/AWP. → Maskowanie na agencie, krótka retencja.
Rekordy sierocych (cross-services). → Skany sierocych i kaskady kontraktowe.
DWH z ogonami PII. → Rurociągi De-PII przed wywozem, zakaz surowych identyfikatorów.
Brak artefaktów. → Obowiązkowe generowanie raportów i przechowywanie WORM.
Sprzedawca nie został usunięty. → SLA i kary/wstrzymać płatności przed potwierdzeniem.

13) 30-dniowy plan realizacji

Tydzień 1

1. Zatwierdza rejestr retencji i metody matrycy (kaskada/krypta/de-PII).
2. Zrób mapę systemów/dostawców/kluczy, zaznaczyć regionalne obwody.
3. Określić model artefaktów i deski rozdzielczej KPI.

Tydzień 2

4) wdrożyć orkiestrę usuwania, API i wydarzenia; połączyć linki DSAR.
5) Włącz maskowanie dziennika i domyślnie zasady „PII-free”.
6) Konfiguracja krypto-shred dla kopii zapasowych, segmentacja KMS według rynku.

Tydzień 3

7) Rurociąg De-PII do DWH (kohorty/k-anonimowość/bining).
8) skreślenia pilotażowe: 20 przypadków DSAR + 2 strony zatrzymujące; Zamknij CAPA.
9) Aktualizacja DPA z kluczowymi dostawcami (SLA/potwierdzenia).

Tydzień 4

10) Pełne zwolnienie; uruchom deskę rozdzielczą i wpisy (Time-to-Erase, Vendor Ack).
11) test DR z segmentem klucza zdalnego.
12) Plan v1. 1: diff. prywatność w raportach, zaplanowane skanowanie auto-sierot.

14) Sekcje wzajemnie powiązane

RODO: zarządzanie zgodą użytkownika

Pliki cookie i polityka systemu CMP

Prywatność według projektu: zasady projektowania

Lokalizacja danych według jurysdykcji

DSAR: żądanie danych przez użytkownika

W czasie odpoczynku/tranzytu, szyfrowanie KMS/BYOK/HYOK

Zgodność Deska rozdzielcza i monitorowanie/audyt wewnętrzny i zewnętrzny