Политика конфиденциальности
Эта политика объясняет, какие данные собирает сайт «Сундучки» (далее — «Сайт», «мы»), зачем, как долго их хранит и как вы можете управлять ими. Пользуясь Сайтом, регистрируясь или входя через Google, вы соглашаетесь с этой политикой.
1. Кто обрабатывает данные
Оператор: [ФИО или название организации владельца сайта], Республика Сингапур.
Связь по вопросам данных и ответственный за защиту персональных данных (Data Protection Officer): inyan3456@gmail.com.
Персональные данные обрабатываются в соответствии с Законом Республики Сингапур о защите персональных данных 2012 года (Personal Data Protection Act 2012, PDPA).
Сайт рассчитан на игроков из Казахстана, России, Беларуси, Украины и других стран постсоветского пространства. Мы учитываем требования законов о персональных данных этих стран: Республики Казахстан «О персональных данных и их защите» № 94-V, Российской Федерации «О персональных данных» № 152-ФЗ, Республики Беларусь «О защите персональных данных» № 99-З, Украины «Про захист персональних даних» № 2297-VI.
2. Какие данные мы получаем
| Данные | Когда | Зачем |
|---|---|---|
| Адрес почты и пароль (храним только стойкий хеш scrypt, сам пароль не храним и не видим) | Регистрация по почте | Вход в аккаунт; письмо со ссылкой для сброса пароля — когда для этого адреса запрошен сброс пароля |
| Из аккаунта Google: идентификатор аккаунта Google, адрес почты Google, имя | Вход через Google | Вход в аккаунт; имя используется только как подсказка для ника и не сохраняется |
| Ник и выбранная аватарка | Регистрация, профиль, игра гостем | Показ другим игрокам в комнате — в том числе случайному сопернику, подобранному кнопкой «Играть» |
| Статистика: число сыгранных партий, побед, поражений, ничьих и собранных сундучков | После каждой партии (только для аккаунтов) | Показ в профиле |
| Выбранный голос озвучки | Вход в комнату, смена в настройках | Ваши реплики в игре звучат этим голосом у других игроков; хранится только в памяти сервера, пока есть комната |
| Сообщения и стикеры в чате комнаты | Когда вы их отправляете | Доставка собеседнику |
| IP-адрес и сведения о браузере (User-Agent) | При входе в аккаунт и любых запросах | Защита от взлома и атак: ограничение попыток входа, капча, учёт активных сессий |
Мы не получаем пароль от вашего аккаунта Google: он вводится только на странице Google.
Мы не запрашиваем доступ к контактам, файлам, почте, календарю и другим данным Google — только базовые сведения
для входа (области доступа openid, email, profile).
3. Как мы используем данные Google
Данные, полученные из аккаунта Google, используются только для того, чтобы вы могли войти на Сайт и чтобы мы могли узнать ваш аккаунт при следующем входе. Мы не продаём эти данные, не передаём их третьим лицам, не используем для рекламы, профилирования или обучения моделей и не позволяем людям читать их, кроме случаев, когда это нужно для безопасности, по вашему запросу или по закону. Использование данных, полученных через API Google, соответствует Политике в отношении пользовательских данных сервисов Google API, включая требования об ограниченном использовании (Limited Use).
4. Cookie и хранилище браузера
- sid — обязательная cookie сессии (HttpOnly), действует 30 дней или до выхода из аккаунта. Без неё вход невозможен.
- В локальном хранилище браузера хранятся: случайный идентификатор игрока, ник и аватарка гостя, код текущей комнаты, настройки звука и выбранный голос озвучки. Ник, аватарка и выбранный голос передаются серверу при входе в комнату и видны игрокам за столом; настройки звука остаются на вашем устройстве.
- Рекламных и аналитических cookie на Сайте нет.
5. Кому могут передаваться данные
- Хостинг-провайдер, на серверах которого работает Сайт: [название провайдера и страна размещения сервера].
- Почтовый сервис, через который отправляются письма для сброса пароля: [название почтового сервиса] — получает адрес почты и текст письма.
- Google — только если вы сами выбираете вход через Google (взаимодействие происходит на стороне Google по его правилам).
- Google Fonts — шрифт страницы загружается с серверов Google, поэтому Google получает ваш IP-адрес.
- Сервис туннеля tuna.am — когда Сайт открыт с компьютера владельца по ссылке этого сервиса (адрес вида …tuna.am), все запросы, включая ваш IP-адрес и передаваемые данные, проходят через серверы tuna.am.
- Государственным органам — только в случаях, прямо предусмотренных законом.
Мы не продаём и не сдаём в аренду персональные данные.
6. Сколько хранятся данные
- Аккаунт (почта, ник, аватарка, статистика, привязка к Google) — пока вы его не удалите.
- Сессии входа — до 30 дней, после выхода удаляются сразу.
- Ссылки для сброса пароля — 60 минут или до использования; храним только хеш, просроченные удаляем в течение 10 минут. Сам токен передаётся в части ссылки после «#», поэтому не попадает в журналы сервера.
- Счётчик запросов сброса пароля для адреса почты — 1 час, только в оперативной памяти сервера (защита от рассылки писем).
- Сообщения чата и ход партии — только в оперативной памяти сервера, пока существует комната (не дольше часа после ухода всех игроков). В базу данных не записываются.
- Счётчики неудачных входов для защиты от подбора пароля — 15 минут.
- Журналы сервера (события безопасности) — до [30] дней.
7. Ваши права
- Изменить ник и аватарку — в профиле.
- Удалить аккаунт — кнопкой «Удалить аккаунт» в профиле: данные удаляются из базы сразу и безвозвратно. Также можно написать нам на почту из раздела 1.
- Отозвать доступ Сайта к аккаунту Google — на странице myaccount.google.com/connections.
- Запросить сведения о том, какие ваши данные мы храним, и потребовать их исправления или удаления.
- Обратиться с жалобой в орган по защите персональных данных: Комиссию по защите персональных данных Сингапура (PDPC) или в орган вашей страны — в Казахстане уполномоченный орган в сфере защиты персональных данных (Министерство цифрового развития, инноваций и аэрокосмической промышленности), в России — Роскомнадзор, в Беларуси — Национальный центр защиты персональных данных, в Украине — Уполномоченный Верховной Рады Украины по правам человека.
8. Как мы защищаем данные
Соединение с Сайтом шифруется (HTTPS). Пароли хранятся только в виде хеша scrypt с уникальной солью. Cookie сессии недоступна скриптам страницы. Ссылка для сброса пароля одноразовая. После сброса завершаются все сеансы на всех устройствах, а привязка к Google снимается — её можно восстановить в профиле. Привязать или отвязать Google можно только с паролем. Число попыток входа ограничено, после нескольких ошибок нужна капча, при подборе пароля вход в аккаунт временно блокируется. Доступ к базе данных есть только у сервера Сайта.
9. Возраст
Регистрироваться на Сайте можно с 16 лет. Если вам меньше 16, согласие на обработку ваших данных должен дать родитель или другой законный представитель (так требует, в частности, закон Республики Беларусь), поэтому регистрируйтесь только вместе с ним. Играть гостем, без регистрации, можно в любом возрасте. Если вы узнали, что ребёнок зарегистрировался без согласия, напишите нам — мы удалим аккаунт.
10. Передача данных за границу
Сервер Сайта и база данных находятся в стране, указанной в разделе 5. Для игроков из Казахстана, России, Беларуси и Украины это означает передачу персональных данных за пределы их страны (трансграничную передачу). Регистрируясь, вы даёте согласие на такую передачу.
Возможные риски: в стране размещения сервера может не обеспечиваться такой же уровень защиты прав субъектов персональных данных, как в вашей стране; защитить свои права там может быть сложнее; данные могут быть доступны органам этой страны в порядке, предусмотренном её законами. Мы уменьшаем риски: собираем минимум данных (почта, ник, аватарка, статистика), шифруем соединение, храним пароли только в виде хеша и удаляем аккаунт по первому запросу. Если вы не согласны с передачей — играйте гостем: аккаунт не создаётся, данные в базу не попадают.
11. Изменения политики
Мы можем обновлять эту политику. Новая редакция публикуется на этой странице с указанием даты. Если изменения существенные, мы попросим принять их заново при следующем входе.