Azərbaycanda və Aİ-də Pin Up üçün hansı məlumatların qorunması qanunları tətbiq edilir?

GDPR 25 May 2018-ci il tarixindən qüvvədədir və Aİ-dən kənarda yerləşən təşkilatlara, AB-də fiziki şəxslərə mal və ya xidmətlər təklif etdikləri və ya onların davranışlarına nəzarət etdikləri təşkilatlara tətbiq edilir (ÜDM-in 3(2) maddəsi; Avropa Komissiyası, 2016). Böyük Britaniya GDPR, 2021-ci ildə düzəliş edilmiş 2018 Məlumatların Qorunması Aktı əsasında Brexitdən sonra Böyük Britaniyaya tətbiq edilir (Böyük Britaniya Hökuməti, 2021). Azərbaycanda əsas akt 11.05.2010-cu il tarixli 998-IIIQ nömrəli “Fərdi məlumatlar haqqında” Qanundur ki, bu qanun nəzarətçini, subyektin hüquqlarını və emalın qorunması və qanuniliyinə dair ümumi vəzifələri müəyyən edir (Milli Məclis/meclis.gov.az, 2010). İstifadəçi üçün bu, hüquq və prosedurların proqnozlaşdırıla bilməsi deməkdir: Fransa rezidenti .az interfeysində qeydiyyatdan keçərsə, operator xidmətlər təklifi meyarına uyğun olaraq GDPR-ə, Bakı sakini isə məlumatlara daxil olmaq və düzəltmək hüququnu özündə saxlayaraq yerli qanunlara tabe olur. Düzgün icra nümunəsi, eyni zamanda ÜDM-in 13-cü maddəsinə uyğun bildirişləri və saxlama müddətləri və emal məqsədləri ilə bağlı yerli izahatları ehtiva edən vahid qeydiyyat formasıdır (EDPB Şəffaflıq Təlimatları, 2018/2019).
İstifadəçilər üçün belə tənzimləyici baza təkcə onların şəxsi məlumatlarının qorunmasına deyil, həm də operatorun özünün qanuni fəaliyyət göstərməsinə və yurisdiksiyada lazımi icazələrə malik olmasına inamı təmin edir. PinUp-ın Azərbaycanda lisenziyaları və etibarlılığı haqqında daha ətraflı məlumatı buradan əldə edə bilərsiniz.

Hüquqi əsaslar və məlumatların xüsusi kateqoriyaları müxtəlif səviyyələrdə sübut və qorunma tələb edir. GDPR altı hüquqi əsas müəyyən edir (Maddə 6), halbuki xüsusi kateqoriyaların (məsələn, selfie-KYC üçün biometrik) işlənməsi yalnız 9-cu Maddədəki əsaslar və əlavə təhlükəsizlik və minimuma endirmə təminatları yerinə yetirildikdə mümkündür (Avropa Komissiyası, 2016). Razılığın sənədləşdirilməsi və sübut edilməsi tələbi GDPR-nin 7-ci maddəsində açıq şəkildə ifadə olunub və 05/2020 EDPB Təlimatlarında aydınlaşdırılıb: razılıq azad, spesifik, məlumatlı və ifadəli akt olmalıdır (EDPB, 2020). Kukilər və marketinq üçün eMəxfilik Direktivi 2002/58/EC (rev. 2009) tətbiq edilir ki, bu da əksər Aİ yurisdiksiyalarında ciddi şəkildə zəruri olmayan izləyicilərə qoşulmağı nəzərdə tutur (Aİ, 2009). Azərbaycanda qanuni öhdəliyə əsaslanan KYC/AML yoxlamaları ilə 2010-cu il qanununun qanunilik, mütənasiblik və məlumatın ümumi prinsipləri tətbiq edilir (EU 5AMLD 2018/843; milli AML qaydaları, 2018/2022). Praktikada bu o deməkdir ki, selfilər və KYC sənəd şəkilləri AML əsasında saxlanılır və məcburi müddət bitənə qədər silinməyə məruz qalmır, marketinq pikselləri isə yalnız açıq razılıq əsasında aktivləşdirilir.

Məlumat subyektlərinin hüquqları və cavab müddətləri strukturlaşdırılmışdır və yoxlanıla bilər. GDPR daxil olmaq, düzəltmək, silmək, məhdudlaşdırmaq, daşınmaq və etiraz etmək hüququnu təmin edir və məlumat subyektinin sorğuları üçün (DSAR) 1 ay cavab müddəti təyin edir, mürəkkəblik halında 2 ay mümkün uzadılır (GDPR Maddə 12(3); Avropa Komissiyası, 2016). Operator məlumatların mühafizəsi pozuntusu aşkar edildikdən sonra 72 saat ərzində nəzarət orqanına məlumat verməyə borcludur (Maddə 33 GDPR), yüksək risk olduqda isə məlumat subyektlərinin özləri də (Maddə 34). Böyük Britaniyanın ICO təcrübəsi bu müddətləri təsdiqləyir və ərizəçinin şəxsiyyətini yoxlamaq üçün standartlaşdırılmış prosedurları tövsiyə edir (ICO, “Giriş hüququ”, 2023). Azərbaycanda fərdi məlumatların emalı və qeyri-qanuni açıqlanmasının qadağan edilməsi haqqında məlumat almaq hüquqları 2010-cu il qanununda təsbit olunub və operator məlumatların təhlükəsizliyini və düzgünlüyünü təmin etməyə borcludur (meclis.gov.az, 2010). İstifadəçi aydın SLA-lardan və məlumat paketini buraxmazdan əvvəl platformanın şəxsiyyəti təsdiqləməsindən faydalanır və bununla da üçüncü tərəflərə buraxılmasının qarşısını alır.

Transsərhəd məlumat ötürülməsi müqavilə və texniki mexanizmlər tələb edir. Yenilənmiş Standart Müqavilə Müddəaları (SCC) 4 iyun 2021-ci il tarixli 2021/914 saylı Komissiya Qərarı ilə qəbul edilib və Aİ Ədalət Məhkəməsinin Schrems II (C-311/18, 2020) üzrə qərarı nəzərə alınmaqla tətbiq edilir. CJEU, 2020). EDPB Tövsiyəsi 01/2020 (son versiya 2021) üçüncü ölkəyə girişə qarşı tədbirlər kimi ixracatçıda uçdan-uca şifrələmə, təxəllüsləşdirmə və açar nəzarətinə üstünlük verir (EDPB, 2021). TLS 1.3 (IETF RFC 8446, 2018) kanal şifrələməsi üçün və AES-256 NIST tərəfindən tövsiyə olunan saxlama sxemi kimi istifadə olunur (SP 800-57r5, 2020). Azərbaycan qanunvericiliyində alıcıda müvafiq müdafiə səviyyəsi olmadan köçürmənin yolverilməzliyi və müqavilə təminatına ehtiyac olması prinsipi tətbiq edilir (meclis.gov.az, 2010). İstifadəçi qanuni və kriptoqrafik əks tədbirlərin birləşməsi səbəbindən məlumatlara icazəsiz daxil olma ehtimalında azalma alır.

Sanksiyalar uyğunluq və şəffaflıq üçün iqtisadi stimul yaradır. GDPR əvvəlki ildə 20 milyon avroya və ya qlobal dövriyyənin 4%-nə qədər cərimələri nəzərdə tutur (Art. 83 GDPR; Avropa Komissiyası, 2016), Böyük Britaniya GDPR isə 2018-ci il Məlumatların Qorunması Aktı (Böyük Britaniya Hökuməti, 2018/2021) çərçivəsində ICO tərəfindən tətbiq edilən müqayisəli məhdudiyyətlərə malikdir. Praktiki kontekst emal və razılıq prinsiplərinin pozulmasına görə məsuliyyətin miqyasını nümayiş etdirən 2021-ci ildə CNPD (Lüksemburq) tərəfindən Amazona qarşı ən böyük məlum olan 746 milyon avro cərimə ilə təmin edilir (CNPD Luxembourg, 2021). Məlumatların mühafizəsi üzrə məsul işçinin (DPO, Mad. 37 GDPR) və iştirakı olmayan şirkətlər üçün Aİ/Böyük Britaniya nümayəndəsinin olması (Maddə 27) tənzimləyicilərlə ünsiyyət üçün vaxt çərçivəsini azaldır və 72 saatlıq bildiriş tarixinə (EDPB, 2019; ICO, 2023) uyğun gəlməyə kömək edir. İstifadəçi üçün bu, daha sürətli məlumat və yerli nümayəndə vasitəsilə şikayətlər üçün kanalın və DSAR-ın mövcudluğu deməkdir.

 Azərbaycan qanunvericiliyi biznes üçün tələblər baxımından GDPR-dən nə ilə fərqlənir?

Aİ-də öhdəliklərin və artefaktların struktur təfərrüatları Azərbaycanın yerli qanunvericiliyi ilə müqayisədə xeyli yüksəkdir. GDPR emal əməliyyatlarının reyestrinin saxlanmasını (RoPA, Maddə 30), yüksək riskli ssenarilər üçün DPIA-nın aparılmasını (Maddə 35), Maddəyə əsasən şəffaf bildirişlərin təmin edilməsini tələb edir. 13/14 və hesabatlılıq (Resital 74), halbuki 998-IIIQ saylı Azərbaycan Qanunu hüquq və vəzifələri daha ümumi şəkildə müəyyən edir, metodologiyanın əhəmiyyətli bir hissəsini qanunvericilik aktları və daxili siyasətlər səviyyəsinə buraxır (Avropa Komissiyası, 2016; meclis.gov.az, 2010). Operator üçün praktiki fərq tələb olunan nümayiş etdirilə bilməsidir: AB-də auditor RoPA, DPIA/LIA və cavab planlarını gözləyir, Azərbaycan bazarında isə əsas məqsəd subyektin məqsədləri, təhlükəsizliyi və məlumatlarının legitimliyini təsdiqləməkdir. İstifadəçi üçün bu, Aİ-də daha standartlaşdırılmış şəffaflıq və Azərbaycanda rus/Azərbaycan dilində formalar da daxil olmaqla aydın yerli kommunikasiya kanalı deməkdir (Şəffaflıq üzrə EDPB Təlimatları, 2018/2019).

Transfer və razılıq rejimləri ikinci fərq sahəsini təşkil edir. Aİ-də SCC 2021 və Schrems II (2020)-dən sonra məcburi TIA qüvvədədir və kuki tənzimlənməsi eMəxfilik və milli tənzimləyicilərin praktikasına əsaslanır ki, bu da adətən analitika və marketinq üçün açıq-aydın daxil olmağı tələb edir (AB 2021/914; CJEU; EU, 9202). Azərbaycanda məlumatların xaricə ötürülməsinə müqavilə zəmanətləri və alıcı tərəfindən “adekvat qorunma səviyyəsi” şərti ilə icazə verilir və kukilərə yanaşma razılıq və məlumatla bağlı ümumi qaydalardan irəli gəlir (meclis.gov.az, 2010). Praktikada bir çox operatorlar vahid CMP panelindən istifadə edirlər: Aİ-də Analitika/Marketinq kateqoriyaları defolt olaraq söndürülür və qoşulma yolu ilə aktivləşdirilir, Azərbaycanda isə interfeys və giriş oxşardır, lakin defoltlar fərqli ola bilər. Bu, razılıq sübutlarının təkrar istehsalını yaxşılaşdırır və yurisdiksiyalararası auditlərdə auditi asanlaşdırır (EDPB Guidelines 05/2020; CNIL, 2021).

 Pin Up-a Aİ və ya Böyük Britaniyada nümayəndə lazımdır?

Aİ-də nümayəndəyə malik olmaq öhdəliyi filialı/nümayəndəliyi olmayan təşkilatlar üçün ÜDM-in 27-ci maddəsində təsbit edilmişdir, əgər onlar Aİ-dəki qurumlara xidmətlər təklif edirlərsə və ya onların davranışlarına nəzarət edirlər; oxşar tələb 2021-ci ildən sonra Böyük Britaniyanın ÜDM-i çərçivəsində Böyük Britaniyada tətbiq edilir (Avropa Komissiyası, 2016; Böyük Britaniya Hökuməti/ICO, 2021). İstisna yalnız xüsusi kateqoriyalar olmadan təsadüfi, aşağı riskli emal üçün mümkündür ki, bu da KYC/AML prosesləri və davranış analitikasına görə onlayn qumar oyunları üçün xarakterik deyil. İstifadəçi üçün bu, DSAR və şikayətlər üçün aydın giriş nöqtəsi yaradır: nümayəndənin əlaqə məlumatı məxfilik siyasətində göstərilib və yazışmalar tövsiyə olunan vaxt çərçivələrində (ICO, 2023) aydın dildə (adətən ingilis + hədəf bazarın dili) aparılır. Praktik bir misal: Almaniyadan olan oyunçunun qeydiyyatı və şəxsiyyətinin yoxlanılması zamanı Aİ auditoriyasını hədəfləyən operator Aİ ölkələrindən birində nümayəndənin ünvanını təqdim etməlidir.

Nümayəndənin olmaması hadisələr və yoxlamalar zamanı tənzimləmə riskini artıran müstəqil pozuntudur. Nümayəndəliyin olması nəzarət orqanları ilə ünsiyyət vaxtını azaldır və ödəniş identifikatorları və ya KYC skanları ilə bağlı sızmalar halında mühüm əhəmiyyət kəsb edən GDPR-nin 33-cü maddəsinə əsasən 72 saatlıq son tarixə çatmağa kömək edir (Avropa Komissiyası, 2016; EDPB, 2021). ICO-ların və Avropa tənzimləyicilərinin ictimai praktikasında, hesabatlılıq və şəffaflığın qiymətləndirilməsi zamanı yerli əlaqənin olmaması tez-tez ağırlaşdırıcı amil kimi görünür (ICO İcra Xülasələri, 2022–2024). İstifadəçi üçün fayda ondan ibarətdir ki, sorğular və bildirişlər daha sürətli emal olunur və nümayəndə vasitəsilə marşrutlaşdırma son tarixləri itirmədən dəqiqləşdirmələr və eskalasiyalar üçün vahid kanal təqdim edir.

 Pin Up-ın GDPR və onun Azərbaycandakı ekvivalentinə uyğunluğunu hansı sənədlər və proseslər təsdiqləyir?

Qenerasiya Fəaliyyətlərinin Reyestri (RoPA) məqsədləri, məlumat kateqoriyalarını, alıcıları, saxlama müddətlərini və təhlükəsizlik tədbirlərini qeyd edən əsas hesabatlılıq artefaktıdır. RoPA tələbi GDPR-nin 30-cu maddəsində müəyyən edilmişdir və həmçinin ICO təlimatları vasitəsilə Böyük Britaniyanın GDPR-ə də şamil edilmişdir (Avropa Komissiyası, 2016; ICO, 2023). Azərbaycan qanunvericiliyində reyestrlər forma səviyyəsində standartlaşdırılmayıb, lakin onlar 998-IIIQ saylı Qanuna əsasən qanunilik və təhlükəsizlik prinsiplərinə uyğunluğun sübutu kimi xidmət edir (meclis.gov.az, 2010). İstifadəçi üçün praktik fayda həyat dövrünün idarəolunmasındadır: “Hesabın qeydiyyatı”, “KYC/AML yoxlanışı” və “Marketinq analitikası” üçün ayrıca qeydlər hər bir məqsəd üçün giriş və saxlama müddətlərini məhdudlaşdırmağa imkan verir. Nümunə: RoPA müxtəlif əsasları əks etdirir - müqavilə (qeydiyyat), hüquqi öhdəlik (KYC/AML), razılıq (analitika/marketinq), bu da audit və DSAR emalını asanlaşdırır.

Bildirişlərin şəffaflığı Art vasitəsilə təmin edilir. 13/14 GDPR və aydın dil və laylı təqdimat üzrə EDPB qaydaları (Şəffaflıq üzrə Təlimat, 2018/2019). Məxfilik siyasətinə nəzarətçi, məqsədlər, əsaslar, alıcı kateqoriyaları, saxlama müddətləri, köçürmələr (SCC/BCR/TIA), məlumat subyektinin hüquqları və DPO/nümayəndə əlaqələri daxil edilməlidir (Avropa Komissiyası, 2016; EDPB, 2019). Azərbaycan üçün yerli versiya 2010-cu il qanununa uyğun olaraq terminologiyanı uyğunlaşdırır, xidmət dillərini dəqiqləşdirir və transsərhəd ötürmə mexanizmlərini və mühafizə tədbirlərini açıqlayır (meclis.gov.az, 2010). İstifadəçi proqnozlaşdırıla bilən məlumat alır: selfi yoxlanışı harada və hansı əsasda saxlanılır, əməliyyat qeydləri nə qədər müddətə saxlanılır və AML öhdəliklərinə təsir etmədən marketinq kommunikasiyalarından necə imtina etmək olar.

DSAR prosedurlarına şəxsiyyətin yoxlanılması, sabit cavab müddəti və dəyişiklik auditi daxildir. GDPR-nin 12(3) maddəsi mürəkkəb hallarda 3 aya qədər uzadılan cavab müddətini 1 ay müəyyən edir; Maddə 12(6) şəxsiyyəti təsdiq etmək üçün əlavə məlumat tələb etməyə imkan verir (Avropa Komissiyası, 2016). Böyük Britaniyanın ICO Təlimatları (2023) daxil olan sorğu formalarının standartlaşdırılmasını və məlumatların üçüncü tərəflərə açıqlanmamasını təmin etmək üçün işçilərə təhlükəsiz yoxlama üzrə təlim keçməyi tövsiyə edir (ICO, 2023). Azərbaycan kontekstində fərdi məlumatların qanunsuz açıqlanmasının qarşısının alınması tələbi yoxlamaya daha çox diqqət yetirir (meclis.gov.az, 2010). İstifadəçi iki faktorlu autentifikasiyaya malik DSAR özünəxidmət portalından faydalanır, burada buraxılış müvafiq dəstlərlə məhdudlaşır (məsələn, əməliyyatlar və sənədlərin surətləri olmayan KYC metaməlumatları, əgər onların saxlanması AML tərəfindən diktə edilirsə).

İnsidentlərə cavab verilməsi son tarixlər və bildiriş öhdəlikləri ilə tənzimlənir. GDPR-nin 33-cü maddəsinə görə, hadisə aşkar edildikdən sonra 72 saat ərzində nəzarət orqanına məlumat verilməlidir; subyektlərin hüquq və azadlıqları üçün yüksək risk olduqda, fərdi bildiriş tələb olunur (34-cü maddə) (Avropa Komissiyası, 2016). ENISA illik Təhlükə Mənzərəsi icmallarında (2021–2023) insident təsnifatını, idarə olunan qeydləri və oyun dəftəri ssenarilərini, o cümlədən pozulmuş etimadnamələrin yoxlanılmasını, parol sıfırlamasını və anormal ödəniş fəaliyyətinin monitorinqini tövsiyə edir (ENISA, 2023). Azərbaycanda operatorun sızmaların və qeyri-qanuni girişin qarşısının alınması üzrə öhdəlikləri 2010-cu il qanununda, bildirişin təfərrüatları isə daxili qaydalar və təchizatçılarla müqavilə öhdəlikləri ilə tənzimlənir (meclis.gov.az, 2010). İstifadəçi üçün bu, operativ bildirişlər və zərəri azaltmaq üçün konkret addımlar deməkdir.

Analitika və xidmətin təkmilləşdirilməsi üçün qanuni maraq (LIA) balanslaşdırma testindən sonra icazə verilir. Art. 6(1)(f) GDPR nəzarətçinin məqsədləri, emal zərurəti və istifadəçinin gözləntiləri arasında balans tələb edir; EDPB minimuma endirməyi və etirazın mümkünlüyünü vurğulayır (EDPB Rəyləri/Təlimatları, 2014/2019). Təcrübədə izləmə və fərdiləşdirilmiş reklam üçün eMəxfilik razılığına üstünlük verilir, halbuki ümumiləşdirilmiş, server tərəfi analitika LIA tərəfindən təxəllüslə və məhdud saxlama müddəti ilə (məsələn, 13 ay) əsaslandırıla bilər (AB 2009; EDPB, 2020). İstifadəçinin daha çox nəzarəti var: performans və naviqasiya göstəriciləri reklam identifikatorlarını üçüncü tərəflərlə paylaşmadan qeydə alınır və analitikaya etiraz CMP vasitəsilə həyata keçirilir.

Xarici təsdiqlər və müntəzəm auditlər təhlükəsizlik və məxfilik idarəçiliyinin yetkinliyini əks etdirir. ISO/IEC 27001:2022 müntəzəm risk qiymətləndirilməsi və tədbirlərin yenilənməsi ilə informasiya təhlükəsizliyi idarəetmə sistemini müəyyən edir və ISO/IEC 27701:2019 onu DPIA və nəzarətçi/prosessor rolunun idarə edilməsi (ISO, 2019/2022) daxil olmaqla, PIMS (Məxfilik İnformasiya İdarəetmə Sistemi) kimi genişləndirir. PAN məlumatlarını emal edən təşkilatlar üçün 31 mart 2024-cü il tarixindən keçid üçün məcburi olan PCI DSS v4.0 kart məlumatları ilə işləmək üçün tətbiq edilir (PCI SSC, 2022). Təcrübə OWASP ASVS 4.0-a uyğun olaraq illik pentestləri və DPA/TIA ilə alt prosessorların siyahısının dərcini əhatə edir. İstifadəçi bütün ekosistemdə yoxlanılmış təchizat zəncirindən və sənədləşdirilmiş təhlükəsizlik zəmanətlərindən faydalanır.

 Pin Up nə vaxt və necə DPIA aparır?

Hüquq və azadlıqlar üçün biometrik identifikasiya, sistematik monitorinq, xüsusi kateqoriyalı şəxslərin genişmiqyaslı işlənməsi, hüquqi təsirlərə malik profilin yaradılması kimi hüquq və azadlıqlar üçün “yüksək risk” olduqda DPIA (Məlumatların Qorunmasına Təsirin Qiymətləndirilməsi) tələb olunur (Maddə 35 GDPR; Nəzarət Orqanlarının Milli Siyahıları, 2018-2023). WP248 Təlimatlarında EDPB tipik tetikleyicileri müəyyənləşdirir və miqyas, həssaslıq, innovasiya və meyarların birləşmələrini nəzərə almağı tövsiyə edir (EDPB, 2017/2019). Təcrübədə KYC biometrikası və davranış analitikası “yüksək risk” kateqoriyasına düşür və işə başlamazdan əvvəl DPIA tələb olunur. İstifadəçi darboğazların erkən aşkarlanmasından faydalanır: canlılığın aşkarlanmasının düzgünlüyünün qiymətləndirilməsi, yalançı rəddetmə dərəcəsi və ayrı-seçkiliyə yol verilməməsi tədbirləri vicdanlı müştərilərin yanlış şəkildə bloklanması riskini azaldır (NIST FRVT, 2022).

DPIA metodologiyasına prosesin təsviri, zərurət və mütənasiblik, risklərin qiymətləndirilməsi, azaldılması tədbirləri, qalıq risk və remediasiya planı daxildir; Schrems II-dən sonra köçürmələr üçün TIA-ya keçid əlavə edilir (AİB, 2020; EDPB 01/2020, 2021). ENISA layihələr arasında müqayisəliliyi təmin edən kəmiyyət ehtimal/təsir miqyası və təhlükə kataloqlarını tövsiyə edir (ENISA, 2018–2021). KYC-də praktiki tətbiq şablonların psevdonimləşdirilməsinə, biometrik yaddaşın təcrid olunmasına, girişə nəzarətə (RBAC/ABAC) və saxlama vaxtının AML son tarixlərinə qədər məhdudlaşdırılmasına gətirib çıxarır. İstifadəçi şəffaflıq əldə edir: siyasət məqsədləri, biometrik məlumatların saxlanma müddətini və yurisdiksiyaları göstərilməklə subprosessorların siyahısını müəyyən edir.

Rollar və rəylər qiymətləndirmələrin məsuliyyətini və aktuallığını birləşdirir. DPO DPIA üzrə məsləhətlər verir və uyğunluğa nəzarət edir (ÜDM-in 39-cu maddəsi), lakin qalıq risklə bağlı qərar nəzarətçinin üzərinə düşür; baxışlar texnologiya/proses dəyişdikdə və ya cədvəl üzrə (adətən 12-24 ay) həyata keçirilir (Avropa Komissiyası, 2016; ICO DPIA Rəhbərliyi, 2023). Azərbaycanda operatordan 2010-cu il çərçivə qanununa (meclis.gov.az, 2010) uyğun olaraq təhlükəsizlik tədbirlərinin adekvatlığını və risk təhlilini sənədləşdirməsi tələb olunur. İstifadəçi sistemin “dayanmamasından” faydalanır: məsələn, yeni KYC provayderinə keçid və əlavə canlılıq yoxlamalarının həyata keçirilməsi planlaşdırılmamış DPIA-nı və bildirişlərin yenilənməsini işə salır.

 Pin Up sənəd məlumatlarının saxlanma müddətlərini və silinməsini necə həyata keçirir?

Saxlama siyasəti vaxt məhdudiyyəti prinsipini həyata keçirir: məlumat məqsədlər üçün lazım olandan artıq saxlanılmamalıdır (GDPR-nin 5(1)(e) maddəsi; Avropa Komissiyası, 2016). Aİ AML qaydaları (5AMLD 2018/843) açıq şəkildə KYC sənədləri və əməliyyat məlumatlarının milli qanunvericiliyə əsasən uzadılması imkanı ilə əlaqənin bitməsindən sonra ən azı 5 il saxlanmasını tələb edir (Aİ, 2018). ISO/IEC 27701:2019 məlumat kateqoriyaları səviyyəsində vaxt məhdudiyyətlərini idarə etməyi, saxlama matrisini və istisnaları sənədləşdirməyi nəzərdə tutur (ISO, 2019). Praktiki nümunə: "KYC - 5 il", "Ödəniş nişanları - hesab bağlanana qədər", "Veb jurnallar - 12 ay", halbuki AML müddətinin bitməsinə qədər KYC-nin silinməsi tələbləri qanuni öhdəliyə və planlaşdırılan silinmə tarixinə istinad edilərək rədd edilir.

Silinmə məntiqi və fiziki silinmə arasındakı fərqi nəzərə alaraq aktiv sistemləri və ehtiyat nüsxələri əhatə etməlidir. ENISA və NIST ehtiyat drenaj pəncərəsini planlaşdırmağı və hesabat/sertifikatla tam silinmənin tamamlanmasını qeyd etməyi tövsiyə edir (ENISA, 2021; NIST SP 800-88r1, 2014). ISO/IEC 27001:2022-də bu, konfiqurasiyanın idarə edilməsi və media idarəsi ilə, ISO/IEC 27701-də isə PIMS prosedurları ilə əlaqələndirilir (ISO, 2022/2019). Təcrübədə, profil qeydləri DSAR təmin edildikdən dərhal sonra identifikasiyadan çıxarılır və tam fiziki silinmə ehtiyat fırlanmadan sonra tamamlanır (məsələn, 90 gün), bu sorğu portalında vaxt möhürü və əməliyyat identifikatoru ilə əks olunur. İstifadəçi sübutluğu əldə edir: audit zamanı, silinmə jurnalı və ehtiyat medianın fırlanma sübutu təqdim edilə bilər.

 Pin Up hansı texniki və təşkilati məlumatların qorunması tədbirlərindən istifadə edir?

Texniki tədbirlər hüquqi mexanizmləri tamamlayan əsas müdafiə səviyyəsini təşkil edir. Saxlama üçün NIST SP 800-57r5 tərəfindən güclü simmetrik sxem kimi tövsiyə edilən AES-256 şifrələməsi, ötürülməsi üçün isə IETF RFC 8446 (NIST, 2020; IETF, 2018) uyğun TLS 1.3 istifadə olunur. Pseudonimization (birbaşa identifikatorların güclü tokenlərlə əvəz edilməsi), infrastrukturun seqmentasiyası və aparat təhlükəsizlik modullarına (HSM) keçid açarları insident zamanı “zərər radiusunu” məhdudlaşdırır. Praktik nümunə, KYC biometrik şablonlarının ayrıca şifrələmə domeni və uyğunluq funksiyasının nəzarəti altında olan açarları ilə təcrid olunmuş saxlanmasıdır. İstifadəçi hətta daxili xətalar halında belə, kütləvi kompromis ehtimalının azalmasından və məhdud girişdən faydalanır.

Girişə nəzarət RBAC/ABAC və imtiyazların minimuma endirilməsi prinsipləri vasitəsilə həyata keçirilir. ISO/IEC 27002:2022 (5.18-ci bənd) kontekst (şəbəkə, vaxt, cihaz) və boş sessiyaların məhdudlaşdırılması (ISO, 2022) nəzərə alınmaqla rolların və giriş atributlarının modelləşdirilməsini tövsiyə edir. Dəstək tapşırıqları üçün giriş yalnız zəruri sahələrə verilir, analitika isə ümumiləşdirilmiş, şəxsiyyətsizləşdirilmiş nümunələri alır. Əlavə olaraq, müvəqqəti yüksəldilmiş imtiyazlar (“tam vaxtda”) məcburi qeydiyyat və proses sahibinin təsdiqi ilə həyata keçirilir. İstifadəçi, hətta uzadılmış hüquqları olan işçinin də lazımsız məlumatları görməməsi və idarə olunan pəncərədə hərəkət etməsindən faydalanır.

Təşkilati tədbirlər və təlim hadisələrdə insan amilini azaldır. ENISA Threat Landscape 2023 pozuntuların əsas səbəbləri kimi insan səhvini və fişinqi müəyyən edir və müntəzəm təlim keçməyi, fişinq simulyasiyaları üçün klik sürətini ölçməyi və cavab prosedurlarını dəqiqləşdirməyi tövsiyə edir (ENISA, 2023). BYOD siyasətləri, podratçıların yoxlanılması, vəzifələrin ayrılması (dörd göz) və dəyişikliklərin təsdiqi prosedurları kritik əməliyyatlar ətrafında “təhlükəsizlik kəmərləri” yaradır. İstifadəçi fərdi işçiyə hücum uğurlu olsa belə, pozuntunun qarşısını alan bir sıra təşkilati təcrübələrdən faydalanır.

Sertifikatlar və xarici testlər müstəqil yetkinlik qiymətləndirməsini təmin edir. ISO/IEC 27001:2022 informasiya təhlükəsizliyi idarəetmə sistemini, ISO/IEC 27701:2019 isə nəzarəti məxfiliyə və nəzarətçi/prosessor rollarına genişləndirən PIMS əlavəsini müəyyən edir (ISO, 2019/2022). Ödəniş kartları ilə işləmək üçün, şəbəkə seqmentasiyası və açarların idarə edilməsi (PCI SSC, 2022) daxil olmaqla, miqrasiya hədəfi 31 mart 2024-cü il tarixi ilə PCI DSS v4.0 ilə uyğunluq məcburidir. Əsas təchizatçıların müntəzəm OWASP ASVS 4.0 pentestləri və SOC 2 Tip II hesabatları auditlər üçün sübut bazasını təşkil edir. İstifadəçi zəiflikləri istismar edilməzdən əvvəl fəal şəkildə aradan qaldırmaqdan faydalanır.

Qeydiyyat və monitorinq hadisələri aşkar etmək və hesabatlılığı artırmaq üçün orta vaxtı azaldır. IBM Cost of a Data Breach 2023, mərkəzləşdirilmiş SOC-ların və avtomatlaşdırılmış hadisə korrelyasiyasının təsirini vurğulayaraq, aşkarlama/tutma üçün orta vaxtı 204 günə təyin edir (IBM, 2023). Hesabatlılığa GDPR yanaşması (Resital 74) uyğunluğu nümayiş etdirmək, giriş və dəyişikliklər qeydlərini əsas audit artefaktına çevirmək qabiliyyətini nəzərdə tutur (Avropa Komissiyası, 2016). İstifadəçilər üçün bu, anomaliyalar onların hesabına təsir etdikdə erkən xəbərdarlıqlar, seçmə seans sıfırlamaları və hədəflənmiş bildirişlər deməkdir.

 Pin Up şəxsi məlumatlara girişi necə idarə edir?

Giriş səviyyələrinin layihələndirilməsi rolun müəyyənləşdirilməsi və imtiyazların idarə edilməsi ilə başlayır. RBAC hər bir rola (dəstək operatoru, analitik, administrator) minimum tələb olunan hüquqlar dəstini təyin edir, ABAC isə onu kontekstli atributlarla – yer, vaxt, cihaz vəziyyəti ilə tamamlayır. ISO/IEC 27002:2022, iki addımlı təsdiq, əmr məhdudiyyətləri, sessiya monitorinqi və bütün yüksəldilmiş tədbirlər üçün məcburi qeydlər daxil olmaqla, İmtiyazlı Giriş İdarəetməsini tələb edir (ISO, 2022). Praktikada bu o deməkdir ki, istifadəçi nümunələri yalnız təsdiqlənmiş pəncərələrdə, birdəfəlik giriş və audit artefaktlarının qorunması ilə ixrac edilə bilər. İstifadəçi öz məlumatlarına hər girişin işgüzar zərurətlə şərtləndirilməsindən və izlənilməsindən faydalanır.

Çox faktorlu autentifikasiya (MFA) və məxfi idarəetmə etimadnamənin pozulması riskini azaldır. NIST SP 800-63B güclü amilləri (hardware tokens/WebAuthn) tövsiyə edir və zəif bilik faktorlarını qadağan edir; API açarlarının və sertifikatlarının müntəzəm fırlanması pozuntu halında hücum pəncərəsini minimuma endirir (NIST, 2022). XİN GDPR tərəfindən açıq şəkildə qeyd edilməsə də, "müvafiq təhlükəsizlik tədbirləri" altındadır (Resital 83; Avropa Komissiyası, 2016) və ICO XİN-i admin panellər üçün tövsiyə olunan təcrübə kimi siyahıya alır (ICO, 2023). Praktik bir nümunə: ikinci amil olmadan KYC konsoluna daxil olmaq cəhdi bloklanır, SOC xəbərdarlıq alır və hesab açarların yenidən quraşdırılmasını tələb edir.

 Pin Up təhlükəsizliyini hansı sertifikatlar və testlər təsdiq edir?

Beynəlxalq standartlar proseslərin əsasını və yoxlanılmasını təmin edir. ISO/IEC 27001:2022 informasiya təhlükəsizliyi risklərinin idarə edilməsi üçün PDCA dövrünü müəyyən edir və ISO/IEC 27701:2019 DPIA, birgə nəzarətçi rolları və emal müqavilələri daxil olmaqla, məxfiliyi bu proseslərə inteqrasiya edən PIMS əlavəsidir (ISO, 2019/2022). Ödəniş ekosistemi üçün kart sahibi mühitinin seqmentasiyası, güclü şifrələmə və açar nəzarəti tələb edən PCI DSS v4.0 tətbiq edilir (PCI SSC, 2022). İstifadəçi gizli zəmanət alır: kənar auditorlar bəyannamənin deyil, risklərin ölçülərinin uyğunluğunu yoxlayırlar.

Pentestlər və metodoloji profillər mühafizəni tətbiq səviyyəsinə gətirir. OWASP ASVS 4.0 (Mart 2021) identifikasiya, sessiyanın idarə edilməsi, kriptoqrafiya və API üçün tələblərin səviyyələrini müəyyən edir və sınaq üçün yoxlama siyahısı kimi xidmət edir (OWASP, 2021). Kritik təchizatçılar üçün SOC 2 Tip II, KYC/bulud podratçıları üçün vacib olan birdəfəlik dilimdən daha çox, bir müddət ərzində proseslər