Veri koruma ve gizlilik

1) Neden gerekli (iGaming bağlamı/fintech)

IGaming ve fintech'te, PII/findata, biyometri (selfie-canlılık), davranışsal ve ödeme sinyalleri işlenir. Gizlilik ihlalleri lisanslara, PSP ortaklıklarına, SEO/itibara ve finansal sonuçlara çarptı. Amaç, UX ve dönüşümü öldürmeden yasal, güvenli ve şeffaf işlem sağlamaktır.

2) Yasal ilkeler ve roller

Temel ilkeler: yasallık, adalet ve şeffaflık; Hedef sınırlaması; Minimizasyon; Doğruluk; Depolama kısıtlaması; Bütünlük ve gizlilik; sorumluluk.

• Yönetim Kurulu/Exec: risk iştahı, politika onayı, kaynaklar.
• DPO (Veri Koruma Görevlisi): bağımsız gözetim, DPIA/DSR, danışma.
• Güvenlik (CISO): teknik kontroller, olaylar, etkinlik günlüğü, DLP.
• Mühendislik/Veri: "Tasarıma göre gizlilik/varsayılan" mimarisi, veri kataloğu.
• Uyum/Yasal: yasal gerekçeler, sözleşmeler, sınır ötesi transferler.
• İşlemler/Destek: Konuların ve prosedürlerin taleplerinin işlenmesi.

3) Veri kategorileri ve yasal gerekçeler

Kategoriler: Tanımlama (tam isim, DOB), iletişim, ödeme (belirteçler), biyometri (selfie/yüz şablonu), davranışsal (oturumlar, oranlar), teknik (IP/UA/Cihaz), KYC/AML eserleri, günlükler ve özel kategoriler - sadece kesinlikle gerekliyse.

• Sözleşme: hesap, ödemeler, ödemeler, işlem bildirimleri.
• Hukuk (yasal zorunluluk): AML/KYC, muhasebe, vergi vergileri, yaş kontrolleri.
• Meşru çıkar (LIA): Dolandırıcılıkla mücadele, güvenlik, UX iyileştirme (çıkar dengesini test ederken).
• Onay: pazarlama postaları, isteğe bağlı çerezler, bir dizi yargı alanında biyometri.
• İşlem kaydında referans seçimini belgeleyin.

4) Tasarıma Göre Gizlilik/Varsayılan Olarak

Tasarım: Özellikleri başlatmadan önce, DPIA (gizlilik etki değerlendirmesi), tehdit modellemesi (STRIDE/LINDDUN) gerçekleştirilir.
Varsayılan: minimum alan kümeleri, devre dışı bırakılmış isteğe bağlı izleyiciler, kapalı erişimler.
Ortamların izolasyonu: Gerçek PD olmadan dev/sahne (veya maskeleme/sentetikler ile).
Şema sürüm oluşturma: PD için göç planları olan göçler.

5) Veri mimarisi ve güvenliği

• Bölge A (İşlemsel PII): tokenize ödemeler, KYC eserleri; Erişim - kesinlikle RBAC/ABAC tarafından.
• Bölge B (Analytics Takma Adı Verilmiş): takma adlar/karmalar, toplu olaylar; doğrudan kimliksizleştirme yasağı.
• Zone C (Anonymous BI): Raporlama/ML eğitimi için anonim kümeler.

• Aktarım sırasında şifreleme (TLS 1. 2 +) ve dinlenme (AES-256), HSM/KMS tuşları; Anahtar rotasyon.
• Takma isimlendirme (kararlı belirteçler) ve anonimleştirme (difüzivite, yayınlar/çalışmalar için k-anonimlik).
• Gizli yönetim: kasa, sıfır güven erişimi, tek kullanımlık belirteçler.
• Günlükler ve denetimler: kritik olayların, izlerin değiştirilemez WORM depolaması; Kütle deşarjlarının kontrolü.
• DLP: boşaltma kuralları, filigranlar, "exfiltrasyon" izleme.
• Uç Nokta/Erişim: SSO/MFA, Tam Zamanında erişim, geçici roller, coğrafi/IP kısıtlamaları.
• Güvenilirlik: şifrelenmiş yedeklemeler, kurtarma testleri, patlama yarıçapını en aza indirme.

6) DPIA/DTIA: Ne Zaman ve Nasıl

DPIA, yüksek risk (büyük ölçekli işleme, RG/dolandırıcılık için profil oluşturma, biyometri, yeni kaynaklar) için gereklidir.

1. Amaç/işleme ve PD kategorilerinin tanımı.

2. Temel ve gereklilik/orantılılık (minimizasyon, sınırlamalar).

3. Konuların hakları/özgürlükleri için risklerin değerlendirilmesi, olasılık/etki ile gazileri.

4. Azaltma önlemleri (teknik/org), artık risk, eylem planı.

DTIA (sınır ötesi yayınlar): Alıcı ülkenin yasalarının analizi, sözleşme ve bu önlemler (şifreleme, SCC/analog), devlet riski.

7) Veri Özne Hakları (DSR)

Talepler: erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz/pazarlama reddi.

• Başvuru sahibini doğrulayın (sızıntı yok).
• Günlüğe kaydetme çözümleriyle zamanında (genellikle 30 gün) gerçekleştirin.
• İstisnalar: Düzenleyici/sözleşmeli sorumluluklar (örn. AML eserlerinin depolanması).
• Otomatik çözümler: Mantık (açıklanabilirlik) ve bir kişi tarafından inceleme hakkı hakkında anlamlı bilgi sağlar.

8) Tutma ve elden çıkarma

Tutma matrisi: Her PD kategorisi için - amaç, terim, sebep, kaldırma/anonimleştirme yöntemi.
AML/KYC/finans genellikle ilişkinin bitiminden sonra ≥5 yıl gerektirir - yerel teslim tarihlerini düzeltin.
Silme boru hattı: işaretli silme, gecikmeli onarılamaz temizleme, silme raporu; Dönemlere göre yedeklemelerde kademeli.

9) Çerez/SDK/izleyiciler ve pazarlama

Ayrıntılı bir onay paneline ihtiyacınız var (zorunlu/işlevsel/analitik/pazarlama).
Çerez/SDK'nın açık amacı, ömür boyu, sağlayıcı, üçüncü taraflara aktarım.
Reklam için Do-Not-Track/Opt-out; Yerel gereksinimlere saygı gösterin (afiş, kayıt defteri).
Sunucu analizi/toplama - sızıntıları en aza indirmek için öncelik verilir.

10) Sınır ötesi transferler

Yasal araçlar: sözleşme hükümleri (SCC/analog), kurumsal kurallar, yerel mekanizmalar.
Teknik önlemler: iletimden önce şifreleme, menşe ülkedeki anahtarlara erişimi kısıtlama, alanları en aza indirme.
Devlet erişim risklerinin değerlendirilmesi: DTIA + ek önlemler (split-key, mümkünse istemci şifreleme).

11) Satıcı ve Üçüncü Taraf Yönetimi

Satıcı denetimi: lisanslar/sertifikalar, SOC/ISAE, olaylar, işleme coğrafyası.
DPA/işleme eylemleri: amaç, PD kategorileri, son tarihler, alt işlemciler, ihlal bildirimleri ≤72 h, denetim hakkı.
Teknik kontrol: şifreleme, RBAC, günlük kaydı, istemci izolasyonu, hata tolerans testleri.
Sürekli izleme: yıllık inceleme, değişikliklerle olay incelemesi.

12) Olaylar ve Bildirimler

1. Algılama ve sınıflandırma (PII kapsamı/kritiklik).

2. Tecrit, adli tıp, eliminasyon, iyileşme.

3. Denekler için risk değerlendirmesi, düzenleyiciye ve kullanıcılara bildirme kararı.

4. İletişim (gereksiz bilgi vermeden), PSP/iş ortakları ile koordinasyon.

5. Deniz sonrası ve güncelleme kontrolleri/politikaları.

SLO: birincil değerlendirme ≤24 h; Yerel kanun hükümleri çerçevesinde etkilenen/regülatörün bildirimi; güvenlik açığını yeniden test et.

13) Metrikler ve kalite kontrolü

DSR SLA: Zamanında kapatılan isteklerin yüzdesi, ortalama yanıt süresi.

Veri Minimizasyon Endeksi: özellik başına ortalama alan/olay sayısı; Kapalı olan isteğe bağlı izleyicilerin yüzdesi

Erişim İhlalleri: yetkisiz erişimlerin/yüklemelerin sayısı/eğilimi.
Şifreleme Kapsamı: Şifreleme ve anahtar döndürme içeren tabloların/kovaların/yedeklemelerin %'si.
Olay MTTR/MTTD: algılama/tepki süresi, tekrarlanabilirlik.
Satıcı Uyumluluğu: incelemeleri geçirme, yorumları kapatma.
Tutma Bağlılığı - tarihe göre silinen kayıtların oranı.

14) Politikalar ve dokümantasyon (wiki için iskelet)

1. Veri koruma politikası (ilkeler, roller, tanımlar).
2. İşleme işlemlerinin kaydı (hedefler, gerekçeler, kategoriler).
3. DPIA/DTIA prosedürü (şablonlar, tetikleyiciler).
4. Varlık Hakları Politikası (DSR) (akışlar, SLA'lar, şablonlar).
5. Saklama ve silme politikası (matris, süreçler).
6. Çerez/SDK politikası (onay paneli, kayıt defteri).
7. Olay ve Bildirim Politikası (RACI, son tarihler, formlar).
8. Satıcı yönetimi ve DPA (değerlendirme kontrol listeleri, şablonlar).
9. Güvenlik temel çizgisi (şifreleme, erişimler, günlükler, DLP).
10. Eğitim ve farkındalık (programlar, testler).

15) Kontrol listeleri (işletim)

• DPIA, DPO tarafından onaylanan risk ve önlemleri gerçekleştirdi.
• Hedefler/gerekçeler tanımlandı, kayıt defteri güncellendi.
• Küçültülmüş alanlar, ayrı bir bölgede PII, dev/aşamada maskeleme.
• Çerezler/SDK'lar dikkate alınır, banner yapılandırılır, Opt-in/Opt-out seçenekleri işaretlenir.
• Günlükler/metrikler/uyarılar yapılandırılır, saklama ve silme kaydedilir.

• Erişim İnceleme (RBAC/ABAC), "unutulmuş" hakları iptal.
• Yedekleme kurtarma testi.
• DPA ve alt işlemci doğrulama, SDK envanter.
• Denetim tutma ve fiili silme işlemleri.
• IR-plan eğitimi (masa üstü).

• Başvuru doğrulama.
• Sistem kayıt defterinden veri toplamak; AML/yasal muafiyetler için kırmızı çizgiler.
• Zamanında yanıt ve oturum açma; İletişim şablonları.

16) Etik, Şeffaflık ve UX

Hedefler/izleme, "katman" gizlilik politikası hakkında net bildirimler (kısaca + ayrıntılar).
Granüler onay anahtarları, pazarlamanın kolay reddi.
Otomatik çözümler için açıklanabilirlik (dolandırıcılık oranları/RG): nedenler, inceleme hakkı.
Gizli "karanlık desenler'den kaçının; Hedefleme için hassas özellikler kullanmayın.

17) Uygulama Yol Haritası

1. Veri ve sistemlerin envanteri; PD akışlarının haritası.
2. DPO atama, politika onayı ve RACI.
3. İşleme işlemleri ve üsleri rehberi; DPIA/DTIA döngüsünü başlatın.
4. Veri bölgelerinin ayrılması, şifreleme/anahtarlar, DLP/günlükler, tutma boru hattı.
5. Onay paneli, çerez/SDK kaydı, sunucu analizi.
6. Satıcı İncelemesi ve DPA; Alt işlemci izleme.
7. IR oyun kitabı, eğitim, metrikler ve düzenli Yönetim Kurulu raporlaması.

Sonuç

Güvenilir veri koruması sadece şifreleme değildir: PD yaşam döngüsünü yönetmek için bir sistemdir - hedefler ve temellerden minimizasyona, güvenli mimariye, DPIA/DTIA, konu hakları, olaylar ve metriklere. "Varsayılan olarak" gizlilik ve süreç disiplini oluşturarak, düzenleyicilerin ve ödeme ortaklarının gereksinimlerine uyacak, dönüşümü sürdürecek ve oyuncuların güvenini güçlendireceksiniz.