1. 目的与适用范围
本政策阐明 IGAMING S.R.L.（Szilaghi Consulting）如何在其全部业务活动中遵守第 (EU) 2016/679 号条例（《通用数据保护条例》，GDPR）及罗马尼亚第 190/2018 号法律，包括本网站、客户委托事务、向监管机构提交的申报，以及我们代表客户处理个人数据的各项服务。我们如何使用您本人的数据，请参阅我们的隐私政策。
2. 我们的角色
- 数据控制者（Controller）：针对本网站访客、咨询人、客户联系人的数据，以及我们为客户尽职调查和牌照申请而收集其文件的所有人和关键人员的数据。
- 数据处理者（Processor）：在我们为客户并按其指示处理个人数据的情形下，例如编制监管报告、维护法定登记册或担任当地代表。此时，我们仅依据符合 GDPR 第 28 条要求的数据处理协议，按照书面记录的指示行事。
3. 我们遵循的原则
根据 GDPR 第 5 条，我们以合法、公平和透明的方式处理个人数据；仅为特定目的处理；以必要范围为限；确保准确；存储时间不超过所需期限；并确保安全。我们对如何遵守上述原则予以记录（问责原则，第 5 条第 2 款）。
- 数据最小化：我们仅要求提供监管机构或法律就您的申请所要求的文件。
- 通过设计和默认方式保护数据（第 25 条）：本网站不使用广告类、社交媒体类或跨站跟踪类 Cookie。我们通过 Google 代码（Google Tag Manager）加载的 Google Analytics 4 统计访问情况，您可随时在 Cookie 横幅中将其关闭；同时我们还使用在自有托管环境中运行的无 Cookie Matomo 统计（参见 Cookie 政策）。我们的表单仅收集答复所需的信息。
- 对敏感数据的特别保护：仅在牌照或反洗钱法律有此要求时，方处理无犯罪记录证明（GDPR 第 10 条）；国民身份识别号码仅在第 190/2018 号法律第 4 条规定的保障措施下处理。
4. 处理活动记录与影响评估
我们保存处理活动记录（第 30 条）。在开始可能对个人造成高风险的处理之前，我们会开展数据保护影响评估（第 35 条），并在必要时事先咨询监管机构。
5. 安全措施
- 对本网站及电子邮件传输采用 TLS 加密；对身份文件和尽职调查文件采用加密存储。
- 基于角色的访问控制：仅参与具体事务的人员可打开该事务的文件；业务账户启用多重身份验证。
- 员工、受聘董事及合作伙伴均签署保密承诺。
- 使用安全渠道交换敏感文件；不通过网站表单接收身份文件。
- 定期备份、安装补丁，并对上述措施进行审查（第 32 条）。
6. 我们的数据处理者与合作伙伴
我们仅使用能够提供充分保证的数据处理者，并与其签订符合 GDPR 第 28 条要求的书面协议，同时保存其名单。在您的事务中作为独立数据控制者行事的合作伙伴，包括持牌律师、公证人、测试实验室、银行和监管机构，依其自身义务处理数据。
7. 国际传输
向欧洲经济区（EEA）以外的传输遵循 GDPR 第五章的规定：在有充分性认定的情况下依据充分性认定；在必要时依据标准合同条款（第 2021/914 号决定）并辅以传输影响评估；对于客户指示我们向欧洲经济区以外监管机构提交的申报，依据第 49 条规定的例外情形。
8. 个人数据泄露
- 作为数据控制者，我们在知悉可能对个人造成风险的数据泄露后 72 小时内通知 ANSPDCP（第 33 条），并在风险较高时及时通知受影响的个人，不得无故拖延（第 34 条）。
- 作为数据处理者，我们及时通知作为数据控制者的客户，不得无故拖延，并协助其履行通知义务（第 33 条第 2 款）。
- 每一起数据泄露均予以记录，包括其影响及所采取的补救措施。
9. 个人提出的请求
对于行使 GDPR 权利的请求，我们在一个月内答复；对于复杂请求，可再延长两个月（第 12 条第 3 款）。在我们作为数据处理者的情形下，我们将请求转交作为数据控制者的客户并为其提供协助。请将请求发送至 hello@szilaghi.com。
10. 保存与删除
我们仅在隐私政策所述期限内保存数据，期满后予以删除或匿名化。处理委托结束时，客户文件将予以返还或删除，但法律要求我们保存的除外。
11. 人员与培训
所有为我们处理个人数据的人员均接受有关上述规则的培训，并负有保密义务。本政策至少每年审查一次。