Verilerin yargı alanlarına göre yerelleştirilmesi

1) Amaç ve alan

Ürün kullanılabilirliğini, güvenliğini ve performansını korurken tüm hedef yargı alanlarındaki veri yerelleştirme/ikamet gereksinimlerine uyumu sağlayın. Kapsam: Ürün (web/mobil), KYC/AML/RG, ödemeler (PCI), pazarlama/CRM, analitik/günlük, yedeklemeler/DR, oyun sağlayıcıları/toplayıcılar, bağlı kuruluşlar, bulut satıcıları.

2) Temel kavramlar

Data Residency - Verilerin fiziksel olarak depolandığı yer.
Veri Egemenliği: Bir devletin kendi topraklarında bulunan veya konularıyla ilgili verileri düzenleme hakkı.
Sınır ötesi iletim:'ev "yetki alanı dışında erişim, çoğaltma veya işleme.
Kişisel veriler (PII )/hassas PII: KYC belgeleri, ödeme detayları, RG/SE durumları, biyometri.
Birimler/takma ad/anonimleştirme: analitik ve değişimde riski en aza indirme teknolojisi.

3) İlkeler

1. Önce yerel: Kişisel veriler, kurallar gerektiriyorsa, oyuncunun'ev "bölgesinde saklanır ve işlenir.
2. Minimizasyon ve izolasyon: sadece gerekli mağaza, kiracı/bölgelerin net ayrımı.
3. Yasal aktarım: sadece mevcut yasal mekanizma ve risk değerlendirmesi ile.
4. Kriptografik destek: dinlenme/transit halinde şifreleme, bölgesel tarafta anahtar yönetimi (mümkünse "kendi anahtarınızı getirin/tutun").
5. Kanıtlanabilirlik: veri haritaları, DPIA/TRA, erişim günlükleri ve depolama yeri onayı.
6. Fail-safe: Yedeklemeler ve DR, savaş verileriyle aynı ikamet kurallarına uyar.

4) Roller ve RACI

Uyum/DPO Başkanı - politika, DPIA, yasal mekanizmalar, denetim. (A)

Güvenlik/Infra Lead - bölgesel mimari, anahtarlar/şifreleme, erişim kontrolü. (R)

Veri Platformu/Analitik - anonimleştirme/takma isimlendirme modelleri, boru hatları. (R)

Mühendislik/SRE - bölgelerin dağıtımı, çoğaltma, DR/BCP. (R)

Yasal - sınır ötesi anlaşmalar, satıcılarla yapılan sözleşmeler, DPA/SA. (C)

Tedarik/Satıcı Mgmt - tedarikçilerin değerlendirilmesi, veri merkezlerinin yerleri. (R)

İç Denetim - örnekleme, eser kontrolü, CAPA. (C)

Ürün/CRM/BI - özellikler/kampanyalar/raporlardaki kısıtlamalara uygunluk. (R)

5) Veri sınıflandırma ve haritalama

• KUS/Yaş: belgeler, özçekimler, biyometri, test sonuçları.
• Ödemeler/PCI: PAN/belirteçler, 3DS/AR, PSP tanımlayıcıları.
• Oyun etkinliği: oturumlar, bahisler, kazanç/kayıplar, RG/SE/RC etkinlikleri.
• Pazarlama/CRM: kişiler, tercihler, bastırma bayrakları.
• Günlükler/telemetri: uygulama olayları, hatalar, izler.
• Analytics/raporlar: kümeler, küpler, ML özellikleri.

• Kaynak? Sistem? Depolama bölgesi? Yasal durum? Tüketiciler? Saklama süresi? Silme mekanizması.
• Kimin/nerede çoğaltıldığı ve hangi biçimde (RAW/PII içermeyen/anonimleştirilmiş) dahil olmak üzere akışların görsel bir haritası gereklidir.

6) Mimari yerelleştirme desenleri

Bölgesel Kiracılık: DB/gizli/anahtar izolasyonlu bireysel kümeler (AB, İngiltere, TR, BR, CA, AU, vb.).
Bölgeye/pazara göre Veri Paylaşımı: anahtarlarda 'tenant _ region' öneki, Geo-Router/API Gateway aracılığıyla yönlendirme istekleri.
Kontrol Düzlemi vs Veri Düzlemi: PII olmadan küresel kontrol paneli; PII - sadece bölgesel veri plakalarında.
PII içermeyen uç önbellek: Yalnızca genel/kişisel olmayan içeriği önbelleğe alın.
De-PII Pipeline aracılığıyla analitik: Yalnızca agregaları/takma adları DWH'ye dışa aktarın; "Temiz" PII - bölge dışında yasaklandı.
Bir bölgede DR: aynı ülke/bölge bloğunda "sıcak'bir kopya (veya benzer koruma ve Jurassic ile izin verilen bir çapraz bölge. Temel).
BYOK/HYOK: bölgenin/müşterinin kontrolü altındaki şifreleme anahtarları; Uçtan uca denetime sahip KMS.

7) Sınır ötesi transferler: yasal mekanizmalar (çerçeve)

• Standart sözleşme hükümleri/yerel eşdeğerler (SCC/IDTA/ext. Anlaşmalar).
• Ek Üçüncü Taraf Devir Sözleşmeleri (DPA, SSA, Schrems uyumlu risk değerlendirmeleri).
• Risk değerlendirmeleri: TIA/TRAs (Transfer/Üçüncü Ülke Risk Değerlendirmeleri).
• Teknik önlemler: şifreleme, rol ayrımı, tokenization, minimization.
• Orgmers: Bilinmesi gereken erişim politikası, kayıt, eğitim.

8) Bölgesel profiller (şablon)

Юрисдикция: ______
Требования к резидентности: (обязательная/рекомендуемая/нет)
Запреты на трансграничность: (полный/условный/нет)
Разрешенные механизмы передачи: (SCC/IDTA/локальное соглашение)
Особые категории: (биометрия/финансы/RG)
Бэкапы/DR: (где, частота, шифрование)
Логи/телеметрия: (можно ли выводить за рубеж, в каком виде)
Сроки хранения: (KYC, платежи, игровые, RG/SE)
Удаление/DSAR: (SLA, подтверждения)
Вендоры/облака: (разрешенные регионы)

9) Yedeklerin, günlüklerin, analistlerin yerelleştirilmesi

Yedeklemeler: şifreli, aynı bölgede, konum kanıtı dizini (sağlayıcı kimliği/bacap-wolth/retention).
Günlükler/yollar: Varsayılan olarak PII içermez; PII kaçınılmazsa - düzenleme/maskeleme ile yerel günlük depoları.
Analytics/DWH: Yalnızca kenarlı anahtarlar; k-anonimliği olan agregalar; Bölge dışındaki "ham" olayların sebepsiz yere boşaltılmasının yasaklanması.

10) Satıcılar ve Bulutlar

Satıcı kayıt alanları: kayıt ülkesi, veri merkezi bölgeleri, sertifikalar (ISO/PCI/SOC), DPA/SCC/IDTA imzaları, anahtar modu, alt işlemciler.
Uçuş öncesi prosedür: yargı alanı değerlendirmesi, DPIA/TIA, bölge çapında esneklik testi, dinlenme bölgesi doğrulamasındaki veriler.
Sözleşme hükümleri: Alt işlemci/yer değişikliğinin bildirilmesi, denetim hakları, son teslim tarihleri, para cezaları.

11) Kaldırma, tutma ve DSAR

Depolama politikası: CUS/finans/oyun/günlükler - ayrı şartlar (uyumluluk için genellikle 5-7 yıl; pazarlamada - kısacası).
Teknik olarak zorunlu silme (silme): Raporlarla basamaklı silme işleri; Arşivler için kripto silme (key delete).
DSAR/Subject Rights: Erişim/iyileştirme/silme taleplerini yalnızca bölgesel çevrede işleme; Yanıt eserler - yerel WORM içinde.

12) Kontrol prosedürleri ve denetim

Veri Soyu: alanların kökeni, sınır ötesi akışların yolu, hash imzasını dışa aktarma.
Erişim İncelemeleri: erişim haklarının üç ayda bir gözden geçirilmesi, bölgeler arası taleplerle ilgili raporlar.
Aktarım günlükleri: kim/ne/ne zaman/nerede/temel/veri türü/PII maskesi/sonuç.
Satıcı incelemesi: yıllık raporlar ve penetrasyon testleri/değerlendirmeleri.
CAPA: buluntular, son tarihler ve sorumlu için düzeltmeler.

13) Ürün ve API gereksinimleri

Geo-router: 'player _ region'ı çözer ve istekleri'ev' kümesine yönlendirir.

14) "depolanacak şey" matrisi (örnek)

15) KPI/yerelleştirme uyumluluk panosu

İkamet Kapsamı: PII'si doğru bölgede olan konuların yüzdesi.
X-Border Request Rate: Sınır ötesi erişim taleplerinin paylaşımı (rol/bölüme göre).
Anonim İhracat Payı: De-PII'yi geçen küresel DWH'ye yapılan ihracatın oranı.
Backup Locality SLA: Yerel bölgede onaylanan yedeklemelerin yüzdesi.
Satıcı Bölgesi Kayması: Konum/alt işlemci değişikliği olayları.
DSAR SLA: Bölgesel çevrede medyan yürütme.
Denetim Bulguları (tekrar): Tekrarlayan tutarsızlıklar.

16) Kontrol listeleri

Yeni bir yargı alanına girmeden önce

• Veri haritası ve kategorizasyonu.
• Yargı kartı (gereksinimler, yedeklemeler, günlükler, saklama süreleri).
• Bölgenin mimari planı (VPC/cluster/DB/KMS).
• DPIA/TIA, sözleşmeler (DPA/SCC/yerel muadilleri).
• Satıcı değerlendirmesi (DC konumları, alt işlemciler).
• Erişim/Silme/Dışa Aktarma ilke seti.

Operasyonlarda

• Yeni kayıtlara karşı "ikamet iddiaları'nın günlük geçerliliği.
• Bölgeler arası sorguları ve sapmaları izleyin.
• Yedeklerin/günlüklerin yerini kontrol edin.
• Bölgede DSAR kuyruğu.

Denetim/İyileştirmeler

• Satıcıların/bölgelerin üç aylık revizyonu.
• Her bölgede DR testi (1/çeyrek).
• İhlaller için CAPA (son tarihler/sorumlu kişiler).

17) Şablonlar (hızlı ekler)

A) Satıcı ile madde (veri yerelleştirme)

B) İhracat politikası (iç uygulama)

C) SLA'da işle ilgili metin

18) Sık yapılan hatalar ve önleme

"Uygun'bir komşu bölgedeki yedeklemeler. - Yasak; Sadece yerel yedeklemeler.
PII ile günlükleri küresel APM içine sinek. - Ajan düzeyinde maskeleme, yerel çürükler.
Ham ID'lerle genel raporlar. - Yalnızca kümeler/takma adlar.
Kontrol/veri düzlemlerini karıştırma. - Küresel kontrol düzlemi - PII olmadan.
İkamet kanıtı eksikliği. - Mağaza eserleri: kimlik kaynakları, yapılandırma çekimleri, sağlayıcı raporları.

19) 30 günlük uygulama planı

Hafta 1

1. Yerelleştirme politikasını ve veri sınıflandırma modelini onaylayın.
2. Mevcut pazarların birincil akış haritasını oluşturun.
3. Bölgesel sınır hizmetlerini ve temel gereksinimleri tanımlayın (BYOK/HYOK).

2. hafta

4. 1 numaralı önceliğe sahip bölgesel kümelerin konuşlandırılması (AB/İngiltere/...); Geo-Router'ı etkinleştir.
5. DWH'de De-PII boru hatlarını etkinleştirin, yerel günlükleri/AWS'yi yapılandırın.
6. DPA/SCC/IDTA'yı önemli satıcılarla imzalayın/güncelleyin.

3. hafta

7. PII bölgesel veritabanlarına geçiş; Yerel yedeklemeler ve DR planı.
8. Sınır ötesi ihracat uygulamaları için bir süreç tanıtın (portal + dergi).
9. Yeni kurallara göre tren komutları (Prod/BI/CS/Legal).

4. hafta

10. DR testi ve rastgele ikamet denetimi yapın.
11. KPI kontrol panelini etkinleştirin (Residency Coverage, Backup Locality SLA).
12. Farklılıklar için CAPA v1 planını buldu. 1 (aşağıdaki pazarlar).

20) Birbiriyle ilişkili bölümler

KYC Prosedürleri ve Doğrulama Seviyeleri/Yaş Doğrulama

AML politikası ve işlem kontrolü

Sorumlu oyun ve sınırlar/SE/Gerçeklik Kontrolleri

Düzenleyici raporlar ve veri formatları

Uyumluluk panosu ve izleme

İç/dış denetim ve denetim kontrol listeleri

BCP/DRP ve "Dinlenmede/Transit Şifrelemede"