Gizlinlik syýasaty we GDPR

1) Wezipe we hereket ediş meýdany

Maksat: operatoryň barlygyndaky ähli ýurisdiksiýalarda oýunçylaryň, hyzmatdaşlaryň we işgärleriň şahsy maglumatlarynyň (PII) kanuny, aç-açan we howpsuz işlenilmegini üpjün etmek.
Gurşaw: web/ykjam programmalar, CRM/BI/DWH, antifrod/AML/KYC, PSP/KUS/sanksiýalar üpjün edijileri, sapport, marketing, affiliates, live-studiýalar, hosting we logistika.

2) Rollar we jogapkärçilik (RACI)

Data Protection Officer (DPO) - A: Laýyklyga gözegçilik, RoPA, DPIA/DTIA, düzgünleşdirijilere jogaplar.
Head of Compliance - A: syýasat, töwekgelçilik-işdäň, güýçleniş we hasabat.
Legal - C: hukuk esaslary, DPA/SCCs şertnamalary, bannerleriň we habarnamalaryň tekstleri.
Howpsuzlyk/SRE - R: tehniki we guramaçylyk çäreleri (TOMs), giriş magazineurnaly, hadysalar.
Data/BI - R: maglumatlar katalogy, minimallaşdyrmak, gizlemek/lakamlaşdyrmak.
Marketing/CRM - R: razylyklar, islegler, jogaplar, kukiler.
Product/Engineering - R: Privacy by Design/Default, saklamak we aýyrmak.
Support/VIP - R: subýektleriň haýyşlary (DSAR), şahsyýeti barlamak.

3) Gaýtadan işlemegiň kanuny esaslary (Lawful Bases)

Consent (Razylyk) - marketing, analitik/mahabat kuklary, hökmany däl şahsylaşdyrmalar.
Contract (Şertnama) - nyrhlary/netijeleri hasaba almak, gaýtadan işlemek, sapport.
Legal obligation - KYC/AML/sanksiýalar, buhgalteriýa we hasabat.
Legitimate Interests - antifrod, howpsuzlyk, önümiň gowulaşmagy (gyzyklanma deňagramlylygy synagy bilen - LIA).
"Vital/Public Interest" - RG/howpsuzlyk seýrek ýagdaýlary, eger ulanylsa we kanun tarapyndan rugsat edilse.

4) Maglumat subýektleriniň hukuklary (DSR/DSAR)

Giriş (Art. 15), Düzediş (Sungat. 16), Aýyrmak (Sungat. 17), Çäklendirme (Art. 18), Çydamlylyk (Art. 20), Garşylyknama (Art. 21), diňe awtomatlaşdyrylan çözgüdiň obýekti bolmazlygy (Art. 22).
DSAR gaýtadan işlemegiň SLA-lary: tassyklama ≤ 7 gün, ýerine ýetiriş ≤ 30 gün (subýekte habar bermek kyn bolanda ýene 60 gün uzaltmak).
Tassyklamak: köp faktorly; açyk kanallar arkaly duýgur maglumatlaryň aýan edilmeginiň gadagan edilmegi.
Logi: haýyşnamany, şahsyýetini, berlen maglumatlar bukjasyny we jogap möhletini saklamak.

5) Gaýtadan işlemek amallarynyň sanawy (RoPA)

Iň az meýdanlar: maksat, subýektleriň/maglumatlaryň kategoriýalary, hukuk esaslary, saklanyş möhletleri, alyjylar/üçünji ýurtlar, howpsuzlyk çäreleri, maglumatlaryň çeşmesi, awtomatlaşdyrylan çözgütler/profillemek, DPIA/DTIA bar bolsa.

6) DPIA/DTIA: haçan we nädip

DPIA - ýokary töwekgelçilikde: uly göwrümli profillemek, täze antifrod modelleri, geodata gaýtadan işlemek, RG-triggerler, yzygiderli gözegçilik.
DTIA/TIA - EEA/Beýik Britaniýanyň daşyndaky serhetaşa geçirimlerde: döwlet edaralarynyň ýerli elýeterliligine baha bermek, şertnama/tehniki çäreler.
Amal: skrining → töwekgelçiliklere we çärelere baha bermek → DPO/Legal utgaşdyrmak → gözegçilikleri girizmek → çaklamalar magazineurnaly.

7) Kuklar, pikseller, SDK we razylyk banneri

Kategoriýalar: berk zerur, funksional, seljeriş, marketing.

• Ylalaşylýança - diňe gaty zerur zatlary ýükleýäris.
• Granulýar razylyk we aýratyn boýun gaçyrmak; wersiýalaryň we wagt möhürleriniň magazineurnaly.
• IAB TCF bilen CMP (mümkin bolsa); maksatlar/üpjün edijiler üýtgän mahaly banneriň awto-täzelenmegi.
• Islendik wagt aňsat jogap bermek/saýlamagy üýtgetmek.

8) Işläp taýýarlaýjylar we subprosessorlar

DPA her bir üpjün ediji bilen: predmet, maksatlar, maglumatlaryň kategoriýalary, möhletler, TOMs, subprosessorlar, auditler.
Subprosessorlaryň köpçülikleýin sanawy (wersiýasy); üýtgeşmeler hakynda habar bermek we garşylyknama hukugy.
Barlaglar: due diligence (ISO/SOC2), synag hadysalary, pentest-hasabatlar, offbording meýilnamasy.

9) Serhetara geçirimler

SCCs/IDTA + DTIA; zerur bolsa - goşmaça çäreler: E2EE, müşderi şifrlemesi, kwazianonimizasiýa, theB-de açarlar.
Syýasatda/sanawda hukuk mehanizmini, ýurdy we alyjylary belleýäris.

10) Saklamak we aýyrmak (Retention & Deletion)

Aýyrmak syýasaty: DWH/ammarlarda awtomatiki meseleler (job); sikl boýunça ätiýaçlyk nusgalarynda aýyrmak; magazinesurnallarda düzetmek. Analitika üçin ID lakamy.

11) Howpsuzlyk (TOM)

Tehniki: At Rest/Transit şifrlemek, torlary bölmek, hukuklary azaltmak, KMS/açar aýlanmagy, DLP, EDR/IDS/WAF, SSO/MFA, gizlin dolandyryjy, WORM journalurnalizasiýasy.
Guramaçylyk: giriş syýasaty, okuw, NDA, arassalaýjy desk, wendorlary barlamak, hadysalary dolandyrmak (SANS/NIST).
Privacy by Design/Default: change proseslerinde baha bermek, iň az standart maglumatlar toplumy, PII-siz synag maglumatlary.

12) Syzdyrmalar we hadysalar hakynda habarnamalar

Baha bermek: hakykaty, göwrümi we töwekgelçiligi tassyklamak.
Möhletler (görkezmeler): maglumatlar boýunça gözegçilik edarasyna - hukuklar/azatlyklar töwekgelçiligi ýüze çykan halatynda 72 sagada çenli; ulanyjylara - esassyz gijä galman.
Habarnamanyň mazmuny: hadysanyň beýany, kategoriýalary we ýazgylaryň takmynan sany, DPO aragatnaşygy, netijeleri, görülýän çäreler, subýektlere teklipler.
Logi: timline, çözgütler, hat/jogap şablonlary, CAPA.

13) Marketing we aragatnaşyk

Geleşik habarlarynyň (razylygy bolmazdan) we marketingiň (diňe razylygy bilen) bölünmegi.
Islegleri dolandyrmak: sazlamalar merkezi, mowzuklar/kanallar boýunça abuna ýazylmalar, double-opt-in (zerur bolan ýerlerde).
Affiliates we treking: PII ýygnamak/geçirmek baradaky şertnamalaýyn çäklendirmeler, kesgitleýjileriň esaslar we razylyk bolmazdan berilmegini gadagan etmek.

14) Köpçüligiň Gizlinlik syýasaty - gurluş

1. Biz kim we DPO aragatnaşyklary.
2. Haýsy maglumatlary ýygnaýarys (kategoriýalar we çeşmeler boýunça).
3. Maksatlar/hukuk esaslary ("maksat → maglumatlar → esas → möhlet" tablisasy).
4. Cookies/SDK we razylyk dolandyryşy.
5. Alyjylar we serhetaşa geçirimler (mehanizmler we çäreler).
6. Subýektleriň hukuklary we olary nädip amala aşyrmalydygy.
7. Maglumat howpsuzlygy (ýokary derejeli TOMs).
8. Saklamak möhletleri we ölçegleri.
9. Awtomatlaşdyrylan çözgütler/profillemek we umumy mantyk.
10. Syýasatyň üýtgemegi (wersiýasy) we nädip habar berýändigimiz.
11. Şikaýatlar üçin aragatnaşyklar (zerur bolsa, ýurisdiksiýalar boýunça DPA).

15) Formulalaryň şablonlary we mysallary

15. 1 Maksatlar/esaslar tablisasy (bölek):

15. 2 Kukiniň banneri (iň az):

"Biz kukileri ulanýarys. "Kabul et" düwmesine basmak bilen, analitik we marketing kukilerini saklamaga razy bolýarsyňyz. Kategoriýalara görä saýlap bilersiňiz. "Hökmany däl kukileri ret etmek" - diňe gaty zerur cookie"

15. 3 Profillemek hakynda bölüm (mysal):

"Biz kezzaplygyň öňüni almak we jogapkärli oýun (RG) üçin profillemegi ulanýarys. Bu howpsuzlyk üçin zerurdyr we biziň kanuny bähbitlerimize laýyk gelýär. Kanunda başgaça görkezilmedik halatynda garşy çykyp bilersiňiz (mysal üçin AML)"

16) Prosessual SOP

SOP-1: Syýasaty täzelemek

Triggerler: täze maksatlar/satyjylar/SDK/ýurisdiksiýalar.
Ädimler: inwentar → LIA/DPIA → tekst update → lokalizasiýa → CMP-täzelenme → ulanyjylara aragatnaşyk → wersiýa/giriş senesi.

SOP-2: DSAR

Haýyş kanaly → şahsyýeti barlamak → maglumatlaryň göwrümine baha bermek → bukjany ýygnamak (ulgamlardan eksport) → kanuny audit → esasly bermek/ret etmek → magazineurnal.

SOP-3: Täze subprosessor

Due diligence → DPA/SCCs → DTIA → hadysanyň synagy → jemgyýetçilik sanawyna goşulmak → ulanyjylara habar bermek (zerur bolsa).

17) Okuw we audit

Onbording + her ýyl hemmeler üçin gizlinlik boýunça okuw; Support/Marketing/Engineering üçin goşmaça okuwlar.
Ýylda bir gezek içerki audit: RoPA, saklanyş möhletlerine laýyk gelmek, DSAR-yň saýlama barlagy, SMR/kukiler, synag-arzalar, pentest/giriş ýazgylarynyň forensikasy.
KPI: tälim alan işgärleriň%; SLA DSAR; psevdonimizasiýa goşulan ulgamlaryň paýy; CAPA tarapyndan ýerine ýetirildi.

18) Lokalizasiýa we multiýurisdiksiýa

GDPR/UK GDPR esasy standart hökmünde; Aragatnaşyk we çerezler üçin ePrivacy/PECR-i göz öňünde tutuň.
Ýerli nuanslar (mysal): çaganyň maglumatlaryny gaýtadan işlemäge razylygyň ýaşy, KYC-iň saklanyş möhleti, habarnamalaryň görnüşleri, resminamanyň diline bildirilýän talaplar.
Ýurtlar boýunça tapawutlaryň matrisini we ulanylýan kadalara/ygtyýarnamalara salgylanmalary ýöretmek.

19) Durmuşa geçirmegiň ýol kartasy (mysal)

Hepdeler 1-2: Maglumatlary/ulgamlary, RoPA, akym kartasy, Syýasatyň taslamasy.
Hepdeler 3-4: SMR/banner, subprosessorlaryň sanawy, DPA/SCCs, DPIA ýokary töwekgelçilikli prosesler üçin.
2-nji aý: islegler merkezini işe girizmek, aýyrmagy/anonimleşdirmegi awtomatlaşdyrmak, işgärleri taýýarlamak.
Aýy 3 +: döwürleýin auditler, DSAR synaglary, lokalizasiýalaryň we sanawlaryň täzelenmeleri.

20) Taýýarlygyň gysgaça çek-sanawy

• DPO bellendi, aragatnaşyklar çap edildi
• Häzirki RoPA we maglumat akym kartasy
• Syýasat çap edildi, lokallaşdyryldy, wersiýasy bilen
• Subut edilen razylyk/şowsuzlyk ýazgylary bolan CMP
• DPA/SCCs we subprosessorlaryň jemgyýetçilik sanawy
• DPIA/DTIA töwekgelçilikli amallar üçin tamamlandy
• Retention-jobs we aýyrmak/anonimleşdirmek proseduralary
• DSAR-da SOP we hadysalar, eýeleri taýýarlandy
• Metrikler/KPI we ýyllyk gizlinlik barlagy

TL; DR

Güýçli Syýasat = anyk maksatlar we esaslar + inwentar we RoPA + razylyk/kuklar gözegçilik astynda + howpsuz serhetara geçirimler + subprosessorlaryň sanawy + takyk saklanyş möhletleri we aýyrmak + DSAR/hadysalar. Bu bolsa hukuk we abraýly töwekgelçilikleri peseldýär we oýunçylaryň ynamyny güýçlendirýär.