ISO 27701: gestão da privacidade

1) O que é o ISO 27701 e por que ele é um operador iGaming

O ISO 27701 é um complemento para ISO 27001 e 27002 que amplia o ISMS para PIMS (sistema de gestão de informações de privacidade).
Para iGaming: conformidade comprovada com os requisitos de privacidade (GDPR/UK GDPR/ePrivacy e etc.), trabalho mais rápido com reguladores/bancos/parceiros KYC/PSP, redução do risco de multas e simplificação da gestão de vendas.

2) Área e contexto PIMS

• Papéis e limites: em que processos você é o Controlador, onde é o Processor; quais marcas/regiões/processos estão no Scope.
• Categorias de dados: registro, pagamentos, KYC/AML/sanções, eventos comportamentais, sinais RG, safort, marketing/SDK.
• Obrigações legais: leis locais de privacidade, condições de licenciamento, contratos com parceiros.

Resultado: PIMS Scope & Context + mapa de interessados.

3) Principais papéis e responsabilidades

4) Ligação ISO 27701 ↔ ISO 27001

ISMS (27001/27002): base de segurança (ativos, riscos, controles).
PIMS (27701): Adiciona políticas de privacidade, legalidade do processamento, direitos das entidades, ciclo de vida dos dados, mecanismos contratuais e de fronteiras.
SoA/Statement de Aplicabilidade: Expandido por controladores PIMS privados.

5) Registro de processamento (RoPA) e mapa de dados

Para cada processo: alvo, base legal, categorias de sujeitos/dados, prazo de armazenamento, destinatários/subprocessadores, geografia, TOMs, bandeira DPIA.

yaml process: account_registration controller_role: controller purpose: account creation and contract execution lawful_basis: contract data_categories: [PII_basic, contact, device_fingerprint]
recipients: [psp, kyc_provider]
retention: P + 5y # storage policy locations: [EU, UK]
toms: [mTLS, encryption_at_rest, RBAC+ABAC, MFA, masking]
dpia_required: false

6) Fundamentos e consentimentos legítimos (Lawful Basis & Consent)

Contract/Legal Obligation: pagamentos, KYC/AML, prevenção de fraudes.
Legitimate Interest: analista básico/segurança (com avaliação de interesses e opt-out, onde necessário).
Consent: Marketing, cookies/SDK para os objetivos necessários, determinados tipos de perfis.
Categorias especiais: somente com bases claras e medidas reforçadas.

RMP/gerenciamento de concordâncias: gravação de políticas/banners, granularidade de metas, comprovação de revogação.

7) DPIA/PIA - avaliação do impacto sobre a privacidade

Quando: Tecnologia nova, processamento em larga escala, dados sensíveis, perfilação sistemática, bissonteiriça.
Conteúdo: descrição do processamento, necessidade e proporcionalidade, riscos para os direitos das entidades, medidas de redução.
Saída: decisão (ir/melhorar/rejeitar) + plano CAPA e controle de datas.

8) Direitos das entidades de dados (DSAR)

Direitos: acesso, correção, remoção, limitação, portabilidade, objeção, rejeição de perfis/marketing.
SLA: confirmação rápida do pedido e execução dentro do prazo regulamentar.
Fluxo de execução: obtenção → verificação de identidade → coleta de dados → resposta/execução → registro.

Proibição de «descarga cega»: apenas através de vitrines com camuflagem e logs; limitação de pequenas amostras (private thresholds).

9) Minimização, camuflagem e retenções

Data Minimization: armazenar apenas o necessário para fins; remover e anónimo os campos mortos regularmente.
Camuflagem/pseudônimo: padrão para PII; desmascarado - JIT + 'purpose' + auditoria.
Matriz de Retensas: prazo de armazenamento per processo/categoria, fatores paros (legais), auto-remoção/arquivo.

10) Transferências e subprocessadores

Mecanismos contratuais: DPA, SCCS/IDTA, DTIA (avaliação de transferência).
Localização de dados/chaves: onde estão os dados/chaves fisicamente (KMS/HSM), política VUOC/chaves regionais.
Registro de subprocessadores: notificação de alterações, direito de objeção, nível de TOMs não inferior ao nosso.

11) Privacy by Design / by Default

Em fase de projeto: Data Protecção Recreents em PRD, modelo threat modeling com ameaças privadas.
Em implementação: RLS/CLS, toquenização, criptografia, API mínima, telemetry sem PII.
Por padrão, os localizadores opcionais, chaves individuais/neimspacs por região/tenante foram desligados.

12) Regulação, comprovabilidade e auditoria de PIMS

Логи (WORM+подпись): `READ_PII`, `EXPORT_DATA`, `PII_UNMASK`, `CONSENT_UPDATE`, `DSAR_`, `BREACH_`.
Relatórios: status de RoPA, campanhas DPIA, DSAR SLA/backlogs, remoções de retenções, mudanças de venda, violações/incidentes.
Auditoria: todos os anos (ou quando as alterações acontecem), verificação do Design/Operating Effectiveness de controladores privados.

13) Métricas (KPI/KRI) PIMS

• DSAR on-time ≥ 95%
• Relevância RoPA ≥ 98%
• Cobertura DPIA por objeto de risco = 100%
• Taxa de remoções automáticas por retenções ≥ 95%
• Nível de inclusão CMP (entradas de concordância gravadas) = 100%

• Acesso ao PII sem 'purpose' = 0
• Exportação/Transferência não autorizada = 0
• Incidentes/fugas notificados depois do prazo = 0
• DPA/SCCs ausentes para transferência ativa = 0

14) Integração com os controles existentes

IGA/RBAC/ABAC/JIT/PAM: Minimização de direitos e condições contextuais de acesso.
Políticas de logs e registros de auditoria: comprovabilidade de ação com PII.
TPRM e contratos: DPA/SCCS/DTIA, direitos de auditoria, SLA notificações ≤ 72 h.
ISO 27001/ISMS: modelo de risco comum, SoA e auditorias internas.
Incidentes e fugas: playbook breach, war-room colaborativo com vendedores.

15) Modelos de artefatos (fragmentos)

15. 1 Política de privacidade (extrato interno)

yaml privacy_policy:
principles: [lawfulness, fairness, transparency, minimization, accuracy, storage_limitation, integrity_confidentiality, accountability]
roles: {controller: true, processor: true}
data_subject_rights: enabled consent_management: CMP_v2 retention_policy: matrix_ref:v1. 4

15. 2 Políticas de Desmascaração

yaml pii_unmask:
allowed_roles: [aml_officer, dpo, fraud_analyst_jit]
approvals: [data_owner, privacy]
ttl_minutes: 30 logging: [PII_UNMASK, READ_PII]

15. Processo DSAR 3

yaml dsar:
intake_channels: [portal, email]
verification: kyc_level>=2 sla_days: 30 export_mechanism: curated_vitrines_only audit_events: [DSAR_OPEN, DSAR_VERIFY, DSAR_FULFILL, DSAR_CLOSE]

15. 4 Matriz de Retensshn (fatia)

yaml retention:
registration_logs: {basis: legal, period: "P5Y"}
marketing_events: {basis: consent, period: "P12M", on_withdraw: "delete"}
kyc_documents:   {basis: legal, period: "P5Y", storage: "vault_encrypted"}

16) SOP (procedimentos)

16. 1 Atualização de RoPA

1. O Iniciador de alterações (Product/Owner) → o cartão de processo → Legal/Private com o revezamento → Security TOMs → publicação e versão.

16. 2 Realização de DPIA

1. Screening de risco DPIA consultoria DPO CAPA solução e controle de prazos.

16. 3 DSAR

1. Aceitar → crer → recolher e filtrar através de vitrines → resposta/execução → logar e fechar.

16. 4 Vendedores/transmissões

1. Due diligence → DPA/SCCs/DTIA → o registro de subprocessadores → monitorar alterações → offboarding e confirmar a remoção.

17) RASI (acentuado)

18) Mapa de trânsito de implementação (8-10 semanas)

Semanas 1-2: Scope/contexto, papéis e RACI, inventário de processos/dados, rascunho de RoPA e matriz de retenção.
Semanas 3-4: política de privacidade, CMP/consent-flow, processo DSAR, modelos DPIA, atualização DPA/SCCS/DTIA com vendedores.
Semanas 5-6: implementação de TOMs (camuflagem, RLS/CLS, JIT/PAM), vitrines para DSAR, logs WORM, relatórios KPI/KRI.
Semanas 7-8: realizar DPIA por high-risk, encerrar CAPA, auditoria interna PIMS, Gestão Review (PIMS).
Semanas 9-10: ajustes, lançamento de relatórios regulares, preparação para avaliação externa (se necessário).

19) Erros frequentes e como evitá-los

RoPA «para a caixa»: vincule cada gravação aos objetivos, motivos e retalhos; mantenha a versão viva.
DSAR através de «crus» BD: apenas através de vitrines/exportação com camuflagem e logs.
Não há DTIA quando você está fora da fronteira: preencha com antecedência, verifique a localização de dados/chaves.
SDK de marketing sem CMP: proibição até a inclusão de CMP e TOMs contratados.
Sem Pbd/PbD: inclua os requisitos de privacidade em PRD e Definition de Done.

20) Manutenção da conformidade (Run PIMS)

Mensalmente: relatórios KPI/KRI, auditoria de alterações de RoPA, monitoramento de subprocessadores, DSAR SLA.
Trimestralmente: retalhos/remoções, verificações temáticas (marketing, SDK, KYC).
Todos os anos: Auditoria interna PIMS, Atualização de Contexto/Risco, Treinamento de Pessoal, Gestão Review.

TL; DR

ISO 27701 = PIMS acima de ISMS: RoPA + fundamentos legítimos/consentimento + DPIA/DSAR + Minimização/Retensiação + Contábil e subprocessadores + TOMs comprovados. Incorporamos RBAC/ABAC/JIT/logs e TPRM existentes - e obtemos privacidade controlada e mensurável, pronta para verificações internas e externas.