Ce este de fapt o DSAR

O cerere de acces a persoanei vizate (DSAR) este momentul în care un utilizator își exercită drepturile pe care GDPR i le acordă asupra datelor sale personale. Pentru un editor mobil, acea “persoană vizată” este unul dintre jucătorii sau utilizatorii voștri, iar cererea poate sosi prin e-mail, tichet de asistență, recenzie în magazinul de aplicații sau formular în aplicație. Declanșatorul este simplu: cineva vrea să știe ce dețineți despre el — sau vrea să acționați în consecință.

Esențial, o DSAR nu trebuie să menționeze GDPR, să folosească cuvântul “DSAR” sau să urmeze vreun șablon. Un mesaj de o singură linie precum “trimiteți-mi datele mele” sau “ștergeți-mi contul” pornește cronometrul la fel de ferm ca o scrisoare juridică formală. A trata ca valide doar cererile cu aspect formal este o modalitate rapidă de a rata un termen.

Drepturile din spatele cererii

DSAR-urile reunesc mai multe drepturi distincte, iar același mesaj poate invoca mai multe dintre ele. A ști care este care determină ce trebuie să faceți de fapt.

• Acces — utilizatorul poate solicita o copie a datelor sale personale plus contextul: ce colectați, de ce, cu cine partajați și cât timp păstrați.
• Ștergere (“dreptul de a fi uitat”) — ștergerea datelor sale, inclusiv a copiilor transmise partenerilor de publicitate și analiză, sub rezerva unor excepții legale restrânse.
• Portabilitate — datele pe care vi le-a furnizat, returnate într-un format structurat, citibil de mașină, precum JSON sau CSV, astfel încât să poată fi mutate în altă parte.
• Rectificare — corectarea datelor inexacte sau incomplete, de exemplu un e-mail sau o regiune greșite.

Drepturi conexe — opoziția la prelucrare și restricționarea — însoțesc adesea aceste drepturi, mai ales în jurul personalizării publicitare, unde un utilizator poate retrage consimțământul în loc să își șteargă contul de tot.

Termenele sunt stricte

Trebuie să răspundeți fără întârzieri nejustificate și în termen de o lună calendaristică de la primirea cererii. Cronometrul pornește în ziua în care sosește cererea, nu în ziua în care cineva din echipa voastră o observă. Puteți prelungi cu încă două luni pentru cereri cu adevărat complexe, dar numai dacă îl informați pe utilizator în acea primă lună și explicați motivul.

Răspunsurile sunt în mod normal gratuite. Puteți percepe o taxă rezonabilă sau refuza doar atunci când o cerere este vădit nefondată sau excesivă, iar sarcina de a dovedi acest lucru vă revine. Pentru majoritatea editorilor presupunerea sigură este: gratuit și în treizeci de zile. A rata fereastra este exact genul de lapsus pe care autoritățile de reglementare îl indică atunci când evaluează amenzile.

Construirea unui flux de lucru care scalează

Editorii care gestionează DSAR-urile cu calm le-au transformat într-un proces repetabil, nu într-o alarmă de incendiu. Un flux de lucru viabil arată astfel:

• Recepție. Publicați un singur canal anunțat — un formular în aplicație sau o adresă privacy@ dedicată — și direcționați totul prin el, astfel încât nimic să nu se piardă în cozile de asistență.
• Verificați identitatea. Confirmați că solicitantul deține contul, dar cereți doar ceea ce aveți nevoie. A pretinde scanarea unui pașaport pentru a căuta un ID din joc este în sine o problemă de conformitate.
• Înregistrați și marcați data. Notați imediat data sosirii; aceasta este ancora termenului vostru.
• Localizați datele. Mențineți o hartă a datelor pentru fiecare depozit — backend-ul vostru, jurnalele de erori, analiza, SDK-urile de publicitate, CRM — care atinge datele utilizatorilor, indexat după un identificator stabil.
• Îndepliniți și răspundeți. Exportați, ștergeți sau corectați conform cererii, propagați ștergerile către procesatori și răspundeți într-un limbaj simplu.
• Închideți bucla. Arhivați cererea și răspunsul vostru ca dovadă că ați acționat la timp.

Capcane frecvente

Majoritatea eșecurilor sunt operaționale, nu juridice. Atenție la acestea:

• Depozite de date uitate. SDK-urile de publicitate și de atribuire, furnizorii de notificări push și raportoarele de erori dețin toate date ale utilizatorilor. O ștergere care le omite este incompletă.
• Colectarea excesivă în timpul verificării, transformând o cerere de confidențialitate într-un risc de confidențialitate.
• Tratarea mesajelor informale ca non-cereri și lăsarea lunii să expire.
• Lipsa dovezii consimțământului. Dacă un utilizator contestă că ați avut vreodată un temei legal pentru a-i prelucra datele în scopuri publicitare, trebuie să puteți arăta cu ce a fost de acord și când.

Cum face o CMP DSAR-urile gestionabile

Aici stratul vostru de consimțământ își câștigă pâinea. La o DSAR se răspunde mult mai ușor când puteți arăta instantaneu la ce a consimțit un utilizator, când și sub ce cadru. FlexyConsent — o CMP certificată Google care acceptă IAB TCF 2.3 și Google Consent Mode v2 — stochează o înregistrare a consimțământului și o pistă de audit cu marcaj temporal pentru fiecare utilizator. Când sosește o cerere de acces, acea înregistrare devine o parte gata pregătită a răspunsului vostru: scopurile acceptate, furnizorii implicați și versiunea notificării afișate. Când sosește o cerere de ștergere sau opoziție, aceeași înregistrare dovedește că ați oprit semnalele de publicitate personalizată la momentul potrivit. Asocierea acestui istoric al consimțământului cu harta voastră de date transformă o DSAR dintr-o agitație într-o simplă căutare.

Acest articol este o informație generală pentru editori și nu reprezintă consultanță juridică; consultați un profesionist calificat pentru situația voastră specifică.

Concluzii cheie

• Orice cerere — oricât de informală — poate fi o DSAR, iar termenul de o lună, de obicei gratuit, începe în ziua în care sosește.
• Cartografiați fiecare depozit de date, inclusiv SDK-urile de publicitate și analiză, astfel încât accesul și ștergerea să fie cu adevărat complete.
• Verificați identitatea în mod proporțional și înregistrați fiecare cerere pentru a dovedi că ați răspuns la timp.
• Înregistrările consimțământului și pista de audit ale FlexyConsent vă oferă dovezi instantanee și defensabile pentru a îndeplini cererile de acces, ștergere și opoziție.