Політика конфіденційності та GDPR

1) Призначення та область дії

Мета: забезпечити законну, прозору і безпечну обробку персональних даних (PII) гравців, партнерів і співробітників у всіх юрисдикціях присутності оператора.
Охоплення: веб/мобільні додатки, CRM/BI/DWH, антифрод/AML/KYC, PSP/провайдери КУС/санкцій, саппорт, маркетинг, афіліати, live-студії, хостинг і логування.

2) Ролі та відповідальність (RACI)

Data Protection Officer (DPO) — A: нагляд за відповідністю, RoPA, DPIA/DTIA, відповіді регуляторам.
Head of Compliance — A: політика, ризик-апетит, ескалації та звітність.
Legal — C: правові підстави, договори DPA/SCCs, тексти банерів і повідомлень.
Security/SRE — R: технічні та організаційні заходи (TOMs), журнал доступу, інциденти.
Data/BI — R: каталог даних, мінімізація, маскування/псевдонімізація.
Marketing/CRM — R: згоди, переваги, відписки, куки.
Product/Engineering — R: Privacy by Design/Default, зберігання та видалення.
Support/VIP — R: запити суб'єктів (DSAR), верифікація особистості.

3) Правові підстави обробки (Lawful Bases)

Consent (Згода) - маркетинг, аналітичні/рекламні куки, не-обов'язкові персоналізації.
Contract (Договір) - реєстрація, обробка ставок/висновків, саппорт.
Legal Obligation - KYC/AML/санкції, бухгалтерія та звітність.
Legitimate Interests - антифрод, безпека, поліпшення продукту (з тестом балансування інтересів - LIA).
Vital/Public Interest - рідкісні кейси RG/безпека, якщо застосовується і дозволено законом.

4) Права суб'єктів даних (DSR/DSAR)

Доступ (Art. 15), Виправлення (Art. 16), Видалення (Art. 17), Обмеження (Art. 18), Переносимість (Art. 20), Заперечення (Art. 21), не бути об'єктом виключно автоматизованого рішення (Art. 22).
SLA обробки DSAR: підтвердження ≤ 7 днів, виконання ≤ 30 днів (пролонгація ще на 60 при складності з повідомленням суб'єкта).
Верифікація: багатофакторна; заборона розкриття чутливих даних по відкритих каналах.
Логи: зберігати запит, перевірку особи, виданий пакет даних і термін відповіді.

5) Реєстр операцій обробки (RoPA)

Мінімальні поля: мета, категорії суб'єктів/даних, правова підстава, терміни зберігання, одержувачі/треті країни, заходи безпеки, джерело даних, автоматизовані рішення/профілювання, DPIA/DTIA, якщо є.

6) DPIA/DTIA: Коли і як

DPIA - при високому ризику: масштабне профілювання, нові антифрод-моделі, обробка геоданих, RG-тригери, систематичне спостереження.
DTIA/TIA - при транскордонних передачах поза ЄЕЗ/Великобританії: оцінка місцевого доступу держорганів, контрактні/технічні заходи.
Процес: скринінг → оцінка ризиків і заходів → узгодження DPO/Legal → впровадження контролів → журнал допущень.

7) Кукі, пікселі, SDK і банер згоди

Категорії: строго необхідні, функціональні, аналітичні, маркетингові.

• До згоди - вантажимо тільки строго необхідні.
• Гранулярна згода і окрема відмова; журнал версій і штампів часу.
• CMP з IAB TCF (якщо застосовується); авто-оновлення банера при зміні цілей/постачальників.
• Легка відписка/зміна вибору в будь-який час.

8) Обробники та субпроцесори

DPA з кожним провайдером: предмет, цілі, категорії даних, терміни, TOMs, субпроцесори, аудити.
Публічний реєстр субпроцесорів (версійність); повідомлення про зміни та право заперечення.
Перевірки: due diligence (ISO/SOC2), тестові інциденти, пентест-звіти за запитом, план оффбордингу.

9) Транскордонні передачі

SCCs/IDTA + DTIA; при необхідності - додаткові заходи: E2EE, клієнтське шифрування, квазіанонімізація, ключі в ЄС.
Фіксуємо правовий механізм, країни та одержувачів у Політиці/реєстрі.

10) Зберігання та видалення (Retention & Deletion)

Політика видалення: автоматичні задачі (job) в DWH/сховищах; видалення в резервних копіях по циклу; фіксація в журналах. Псевдонімізація ID для аналітики.

11) Безпека (TOMs)

Технічні: шифрування At Rest/Transit, сегментація мереж, мінімізація прав, KMS/ротація ключів, DLP, EDR/IDS/WAF, SSO/MFA, секрет-менеджер, журналювання WORM.
Організаційні: політики доступу, навчання, NDA, clean desk, перевірка вендорів, управління інцидентами (SANS/NIST).
Privacy by Design/Default: оцінка в change-процесах, мінімальні набори даних за замовчуванням, тест-дані без PII.

12) Повідомлення про витоки та інциденти

Оцінка: підтвердження факту, обсягу та ризику.
Терміни (орієнтири): наглядовому органу за даними - до 72 годин при ризику прав/свобод; користувачам - без невиправданої затримки.
Зміст повідомлення: опис інциденту, категорії та орієнтовна кількість записів, контакт DPO, наслідки, вжиті заходи, рекомендації суб'єктам.
Логи: таймлайн, рішення, шаблони листів/відповідей, CAPA.

13) Маркетинг і комунікації

Поділ транзакційних повідомлень (без згоди) і маркетингових (тільки зі згодою).
Управління перевагами: центр налаштувань, підписки за темами/каналами, double-opt-in (де потрібно).
Афіліати і трекінг: договірні обмеження на збір/передачу PII, заборона передачі ідентифікаторів без підстав і згоди.

14) Публічна Політика конфіденційності - структура

1. Хто ми і контакти DPO.
2. Які дані збираємо (за категоріями та джерелами).
3. Цілі/правові підстави (таблиця «мета → дані → підстава → термін»).
4. Cookies/SDK і управління згодою.
5. Одержувачі і транскордонні передачі (механізми і заходи).
6. Права суб'єктів і як їх реалізувати.
7. Безпека даних (високорівневі TOMs).
8. Терміни зберігання та критерії.
9. Автоматизовані рішення/профілювання та логіка в загальних рисах.
10. Зміни політики (версійність) і як ми повідомляємо.
11. Контакти для скарг (DPA по юрисдикціях, якщо потрібно).

15) Шаблони та приклади формулювань

15. 1 Таблиця цілей/підстав (фрагмент):

15. 2 Банер кукі (мінімум):

"Ми використовуємо файли cookie. Натискаючи «Прийняти все» ви погоджуєтеся на зберігання аналітичних і маркетингових cookie. Ви можете змінити вибір за категоріями. "Відхилити необов'язкові" - тільки строго необхідні cookie"

15. 3 Розділ про профілювання (приклад):

"Ми використовуємо профілювання для запобігання шахрайства і для відповідальної гри (RG). Це необхідно для безпеки і відповідає нашим законним інтересам. Ви можете заперечити, якщо інше не передбачено законом (наприклад, AML)

16) Процесні SOP

SOP-1: Оновлення Політики

Тригери: нові цілі/вендори/SDK/юрисдикції.
Кроки: інвентаризація → LIA/DPIA → update тексту → локалізація → CMP-оновлення → комунікація користувачам → версія/дата вступу.

SOP-2: DSAR

Канал запиту → верифікація особи → оцінка обсягу даних → збір пакета (експорт із систем) → юридичний аудит → видача/відмова з обґрунтуванням → журнал.

SOP-3: Новий субпроцесор

Due diligence → DPA/SCCs → DTIA → тест інциденту → включення в публічний реєстр → повідомлення користувачів (якщо потрібно).

17) Навчання та аудит

Онбординг + щорічне навчання з приватності для всіх; додаткові тренінги для Support/Marketing/Engineering.
Внутрішній аудит раз на рік: RoPA, відповідність термінам зберігання, вибіркова перевірка DSAR, рев'ю БМР/куки, тест-заявки, пентест/форензика логів доступу.
KPI: % співробітників, які пройшли навчання; SLA DSAR; частка систем з включеною псевдонімізацією; виконані CAPA.

18) Локалізація та мультиюрисдикційність

GDPR/UK GDPR як базовий стандарт; враховувати ePrivacy/PECR для комунікацій і куки.
Локальні нюанси (приклад): вік згоди на обробку даних дитини, терміни зберігання KYC, форми повідомлень, вимоги до мови документа.
Вести матрицю розбіжностей по країнах і посилання на застосовні норми/ліцензії.

19) Дорожня карта впровадження (приклад)

Тижні 1-2: інвентаризація даних/систем, RoPA, карта потоків, чернетка Політики.
Тижні 3-4: СМР/банер, реєстр субпроцесорів, DPA/SCCs, DPIA для високоризикових процесів.
Місяць 2: запуск центру переваг, автоматизація видалення/анонімізації, навчання співробітників.
Місяць 3 +: періодичні аудити, тести DSAR, оновлення локалізацій та реєстрів.

20) Короткий чек-лист готовності

• Призначений DPO, контакти опубліковані
• Актуальний RoPA і карта потоків даних
• Політика опублікована, локалізована, з версійністю
• CMP з доказовими логами згоди/відмови
• DPA/SCCs і публічний реєстр субпроцесорів
• DPIA/DTIA завершені для ризикових процесів
• Retention-jobs і процедури видалення/анонімізації
• SOP на DSAR і інциденти, навчені власники
• Метрики/KPI і щорічний аудит приватності

TL; DR

Сильна Політика = ясні цілі і підстави + інвентаризація і RoPA + згоди/куки під контролем + безпечні транскордонні передачі + реєстр субпроцесорів + чіткі терміни зберігання і видалення + тренувальний DSAR/інциденти. Це знижує юридичні та репутаційні ризики і зміцнює довіру гравців.