Шта је DSAR заправо

Захтев за приступ субјекта података (DSAR) је тренутак када корисник остварује права која му GDPR даје над његовим личним подацима. За мобилног издавача, тај “субјект података” је један од ваших играча или корисника, а захтев може стићи путем имејла, тикета подршке, рецензије на продавници апликација или формулара унутар апликације. Окидач је једноставан: неко жели да зна шта чувате о њему — или жели да предузмете нешто поводом тога.

Кључно је да DSAR не мора да помиње GDPR, да користи реч “DSAR” нити да следи било какав образац. Једноредна порука попут “пошаљите ми моје податке” или “обришите мој налог” покреће сат једнако чврсто као и званично правно писмо. Третирање само званично изгледајућих захтева као важећих је брз начин да пропустите рок.

Права иза захтева

DSAR обједињује неколико засебних права, а иста порука може да позове више од једног. Знати које је које одређује шта заправо морате да урадите.

• Приступ — корисник може да затражи копију својих личних података уз контекст: шта прикупљате, зашто, са ким делите и колико дуго чувате.
• Брисање (“право на заборав”) — брисање његових података, укључујући копије прослеђене рекламним и аналитичким партнерима, уз ускa правнa изузећа.
• Преносивост — подаци које вам је дао, враћени у структурираном, машински читљивом формату попут JSON или CSV, тако да могу да се преместе другде.
• Исправка — исправка нетачних или непотпуних података, на пример погрешног имејла или региона.

Сродна права — приговор на обраду и ограничење — често прате ова, нарочито око персонализације реклама где корисник може да повуче сагласност уместо да у потпуности обрише свој налог.

Рокови су строги

Морате одговорити без непотребног одлагања и у року од једног календарског месеца од пријема захтева. Сат почиње да откуцава онога дана када захтев стигне, а не онога дана када га неко из вашег тима примети. Можете продужити за још два месеца за заиста сложене захтеве, али само ако обавестите корисника у току тог првог месеца и објасните зашто.

Одговори су обично бесплатни. Можете наплатити разумну накнаду или одбити само када је захтев очигледно неоснован или прекомеран, а терет доказивања тога је на вама. За већину издавача безбедна претпоставка је: бесплатно и у року од тридесет дана. Пропуштање рока је управо она врста пропуста на коју регулатори указују при процени казни.

Изградња тока рада који се скалира

Издавачи који мирно решавају DSAR претворили су их у поновљив процес уместо у хитну интервенцију. Изводљив ток рада изгледа овако:

• Пријем. Објавите један јединствен, оглашен канал — формулар унутар апликације или наменску privacy@ адресу — и усмерите све кроз њега тако да се ништа не изгуби у редовима подршке.
• Проверите идентитет. Потврдите да подносилац поседује налог, али тражите само оно што вам је потребно. Захтевати скен пасоша да бисте пронашли идентификатор унутар игре је само по себи проблем усклађености.
• Забележите и означите време. Одмах забележите датум приспећа; то је ваша полазна тачка за рок.
• Лоцирајте податке. Одржавајте мапу података сваког складишта — вашег бекенда, логова падова, аналитике, рекламних SDK-ова, CRM-а — које додирује корисничке податке, индексирану стабилним идентификатором.
• Испуните & одговорите. Извезите, обришите или исправите према захтеву, проследите брисања обрађивачима и одговорите јасним језиком.
• Затворите круг. Архивирајте захтев и свој одговор као доказ да сте поступили на време.

Уобичајене замке

Већина неуспеха је оперативне, а не правне природе. Пазите на следеће:

• Заборављена складишта података. Рекламни и атрибуциони SDK-ови, push провајдери и извештачи о падовима — сви чувају корисничке податке. Брисање које их прескочи је непотпуно.
• Прекомерно прикупљање током провере, претварајући захтев за приватност у ризик по приватност.
• Третирање неформалних порука као не-захтева и пуштање да месец истекне.
• Нема доказа о сагласности. Ако корисник оспори да сте икада имали законски основ да обрађујете његове податке за рекламе, морате показати на шта је пристао и када.

Како CMP чини DSAR-ове управљивим

Овде ваш слој сагласности оправдава своје постојање. На DSAR је много лакше одговорити када можете тренутно да покажете на шта је корисник пристао, када и у оквиру ког оквира. FlexyConsent — CMP сертификован од стране Google-а који подржава IAB TCF 2.3 и Google Consent Mode v2 — чува временски означен запис о сагласности и ревизорски траг за сваког корисника. Када стигне захтев за приступ, тај запис постаје готов део вашег одговора: прихваћене сврхе, укључени добављачи и верзија приказаног обавештења. Када стигне захтев за брисање или приговор, исти запис доказује да сте зауставили персонализоване рекламне сигнале у правом тренутку. Спајање те историје сагласности са вашом мапом података претвара DSAR из панике у обичну претрагу.

Овај чланак је општа информација за издаваче и није правни савет; консултујте се са квалификованим стручњаком за вашу специфичну ситуацију.

Кључни закључци

• Сваки захтев — колико год неформалан — може бити DSAR, а једномесечни, обично бесплатни рок почиње онога дана када стигне.
• Мапирајте свако складиште података, укључујући рекламне и аналитичке SDK-ове, тако да приступ и брисање заиста буду потпуни.
• Проверавајте идентитет сразмерно и бележите сваки захтев да бисте доказали да сте одговорили на време.
• Записи о сагласности и ревизорски траг FlexyConsent-а дају вам тренутан, одбрањив доказ за испуњавање захтева за приступ, брисање и приговор.