Политика конфиденциальности и GDPR

1) Назначение и область действия

Цель: обеспечить законную, прозрачную и безопасную обработку персональных данных (PII) игроков, партнеров и сотрудников во всех юрисдикциях присутствия оператора.
Охват: веб/мобильные приложения, CRM/BI/DWH, антифрод/AML/KYC, PSP/провайдеры KYC/санкций, саппорт, маркетинг, аффилиаты, live-студии, хостинг и логирование.

2) Роли и ответственность (RACI)

Data Protection Officer (DPO) — A: надзор за соответствием, RoPA, DPIA/DTIA, ответы регуляторам.
Head of Compliance — A: политика, риск-аппетит, эскалации и отчетность.
Legal — C: правовые основания, договоры DPA/SCCs, тексты баннеров и уведомлений.
Security/SRE — R: технические и организационные меры (TOMs), журнал доступа, инциденты.
Data/BI — R: каталог данных, минимизация, маскирование/псевдонимизация.
Marketing/CRM — R: согласия, предпочтения, отписки, куки.
Product/Engineering — R: Privacy by Design/Default, хранение и удаление.
Support/VIP — R: запросы субъектов (DSAR), верификация личности.

3) Правовые основания обработки (Lawful Bases)

Consent (Согласие) — маркетинг, аналитические/рекламные куки, не-обязательные персонализации.
Contract (Договор) — регистрация, обработка ставок/выводов, саппорт.
Legal Obligation — KYC/AML/санкции, бухгалтерия и отчетность.
Legitimate Interests — антифрод, безопасность, улучшение продукта (с тестом балансировки интересов — LIA).
Vital/Public Interest — редкие кейсы RG/безопасность, если применимо и дозволено законом.

4) Права субъектов данных (DSR/DSAR)

Доступ (Art. 15), Исправление (Art. 16), Удаление (Art. 17), Ограничение (Art. 18), Переносимость (Art. 20), Возражение (Art. 21), не быть объектом исключительно автоматизированного решения (Art. 22).
SLA обработки DSAR: подтверждение ≤ 7 дней, исполнение ≤ 30 дней (пролонгация еще на 60 при сложности с уведомлением субъекта).
Верификация: многофакторная; запрет раскрытия чувствительных данных по открытым каналам.
Логи: хранить запрос, проверку личности, выданный пакет данных и срок ответа.

5) Реестр операций обработки (RoPA)

Минимальные поля: цель, категории субъектов/данных, правовое основание, сроки хранения, получатели/третьи страны, меры безопасности, источник данных, автоматизированные решения/профилирование, DPIA/DTIA, если есть.

6) DPIA/DTIA: когда и как

DPIA — при высоком риске: масштабное профилирование, новые антифрод-модели, обработка геоданных, RG-триггеры, систематическое наблюдение.
DTIA/TIA — при трансграничных передачах вне ЕЭЗ/Великобритании: оценка местного доступа госорганов, контрактные/технические меры.
Процесс: скрининг → оценка рисков и мер → согласование DPO/Legal → внедрение контролей → журнал допущений.

7) Куки, пиксели, SDK и баннер согласия

Категории: строго необходимые, функциональные, аналитические, маркетинговые.

• До согласия — грузим только строго необходимые.
• Гранулярное согласие и отдельный отказ; журнал версий и штампов времени.
• CMP с IAB TCF (если применимо); авто-обновление баннера при изменении целей/поставщиков.
• Легкая отписка/изменение выбора в любое время.

8) Обработчики и субпроцессоры

DPA с каждым провайдером: предмет, цели, категории данных, сроки, TOMs, субпроцессоры, аудиты.
Публичный реестр субпроцессоров (версионность); уведомление об изменениях и право возражения.
Проверки: due diligence (ISO/SOC2), тестовые инциденты, пентест-отчеты по запросу, план оффбординга.

9) Трансграничные передачи

SCCs/IDTA + DTIA; при необходимости — дополнительные меры: E2EE, клиентское шифрование, квазианонимизация, ключи в ЕС.
Фиксируем правовой механизм, страны и получателей в Политике/реестре.

10) Хранение и удаление (Retention & Deletion)

Политика удаления: автоматические задачи (job) в DWH/хранилищах; удаление в резервных копиях по циклу; фиксация в журналах. Псевдонимизация ID для аналитики.

11) Безопасность (TOMs)

Технические: шифрование At Rest/Transit, сегментация сетей, минимизация прав, KMS/ротация ключей, DLP, EDR/IDS/WAF, SSO/MFA, секрет-менеджер, журналирование WORM.
Организационные: политики доступа, обучение, NDA, clean desk, проверка вендоров, управление инцидентами (SANS/NIST).
Privacy by Design/Default: оценка в change-процессах, минимальные наборы данных по умолчанию, тест-данные без PII.

12) Уведомления об утечках и инцидентах

Оценка: подтверждение факта, объема и риска.
Сроки (ориентиры): надзорному органу по данным — до 72 часов при риске прав/свобод; пользователям — без неоправданной задержки.
Содержание уведомления: описание инцидента, категории и ориентировочное количество записей, контакт DPO, последствия, принятые меры, рекомендации субъектам.
Логи: таймлайн, решения, шаблоны писем/ответов, CAPA.

13) Маркетинг и коммуникации

Разделение транзакционных сообщений (без согласия) и маркетинговых (только с согласием).
Управление предпочтениями: центр настроек, подписки по темам/каналам, double-opt-in (где требуется).
Аффилиаты и трекинг: договорные ограничения на сбор/передачу PII, запрет передачи идентификаторов без оснований и согласия.

14) Публичная Политика конфиденциальности — структура

1. Кто мы и контакты DPO.
2. Какие данные собираем (по категориям и источникам).
3. Цели/правовые основания (таблица «цель → данные → основание → срок»).
4. Cookies/SDK и управление согласием.
5. Получатели и трансграничные передачи (механизмы и меры).
6. Права субъектов и как их реализовать.
7. Безопасность данных (высокоуровневые TOMs).
8. Сроки хранения и критерии.
9. Автоматизированные решения/профилирование и логика в общих чертах.
10. Изменения политики (версионность) и как мы уведомляем.
11. Контакты для жалоб (DPA по юрисдикциям, если требуется).

15) Шаблоны и примеры формулировок

15.1 Таблица целей/оснований (фрагмент):

15.2 Баннер куки (минимум):

«Мы используем файлы cookie. Нажимая “Принять все” вы соглашаетесь на хранение аналитических и маркетинговых cookie. Вы можете изменить выбор по категориям. “Отклонить необязательные” — только строго необходимые cookie.»

15.3 Раздел о профилировании (пример):

«Мы используем профилирование для предотвращения мошенничества и для ответственной игры (RG). Это необходимо для безопасности и соответствует нашим законным интересам. Вы можете возразить, если иное не предписано законом (например, AML).»

16) Процессные SOP

SOP-1: Обновление Политики

Триггеры: новые цели/вендоры/SDK/юрисдикции.
Шаги: инвентаризация → LIA/DPIA → update текста → локализация → CMP-обновление → коммуникация пользователям → версия/дата вступления.

SOP-2: DSAR

Канал запроса → верификация личности → оценка объема данных → сбор пакета (экспорт из систем) → юридический аудит → выдача/отказ с обоснованием → журнал.

SOP-3: Новый субпроцессор

Due diligence → DPA/SCCs → DTIA → тест инцидента → включение в публичный реестр → уведомление пользователей (если требуется).

17) Обучение и аудит

Онбординг + ежегодное обучение по приватности для всех; дополнительные тренинги для Support/Marketing/Engineering.
Внутренний аудит раз в год: RoPA, соответствие срокам хранения, выборочная проверка DSAR, ревью CMP/куки, тест-заявки, пентест/форензика логов доступа.
KPI: % сотрудников, прошедших обучение; SLA DSAR; доля систем с включенной псевдонимизацией; выполненные CAPA.

18) Локализация и мультиюрисдикционность

GDPR/UK GDPR как базовый стандарт; учитывать ePrivacy/PECR для коммуникаций и куки.
Локальные нюансы (пример): возраст согласия на обработку данных ребенка, сроки хранения KYC, формы уведомлений, требования к языку документа.
Вести матрицу расхождений по странам и ссылки на применимые нормы/лицензии.

19) Дорожная карта внедрения (пример)

Недели 1–2: инвентаризация данных/систем, RoPA, карта потоков, черновик Политики.
Недели 3–4: CMP/баннер, реестр субпроцессоров, DPA/SCCs, DPIA для высокорисковых процессов.
Месяц 2: запуск центра предпочтений, автоматизация удаления/анонимизации, обучение сотрудников.
Месяц 3+: периодические аудиты, тесты DSAR, обновления локализаций и реестров.

20) Краткий чек-лист готовности

• Назначен DPO, контакты опубликованы
• Актуальный RoPA и карта потоков данных
• Политика опубликована, локализована, с версионностью
• CMP с доказуемыми логами согласий/отказов
• DPA/SCCs и публичный реестр субпроцессоров
• DPIA/DTIA завершены для рисковых процессов
• Retention-jobs и процедуры удаления/анонимизации
• SOP на DSAR и инциденты, обучены владельцы
• Метрики/KPI и ежегодный аудит приватности

TL;DR

Сильная Политика = ясные цели и основания + инвентаризация и RoPA + согласия/куки под контролем + безопасные трансграничные передачи + реестр субпроцессоров + четкие сроки хранения и удаление + тренировочный DSAR/инциденты. Это снижает юридические и репутационные риски и укрепляет доверие игроков.