Политика обработки персональных данных

1Оператор

Оператор персональных данных: Барабаш Илья Иванович, самозанятый, плательщик налога на профессиональный доход, ИНН {{ИНН}}, город Москва.

Почта для вопросов о данных: d20tech-sup@mail.ru. Политика действует для сайта d20.com.ru и всех его страниц.

Политика опубликована открыто, чтобы её можно было прочитать до регистрации (ч. 2 ст. 18.1 Закона № 152-ФЗ).

2Какие данные мы обрабатываем

Аккаунт:

почта;
пароль в виде хеша argon2id. Сам пароль не хранится, восстановить его из хеша нельзя;
имя, если вы его указали. Настоящее имя указывать не нужно;
при входе через Яндекс или Google: почта, имя, ссылка на изображение профиля, идентификатор аккаунта у этой компании и служебные ключи входа, которые она выдаёт;
дата регистрации, дата подтверждения почты и дата согласия с офертой и этой политикой;
откуда вы пришли: метки рекламной ссылки (utm_source, utm_medium, utm_campaign, utm_content), промокод и страница первого захода, если они были. По ним мы понимаем, какая реклама работает, и никому их не передаём.

Игра:

листы персонажей и всё, что вы в них внесли, включая свои подклассы и предметы;
ответ на вопрос об опыте игры и настройки подсказок.

Оплата:

история платежей: тариф, сумма, дата, статус, номер платежа в ЮKassa;
маска карты (первые шесть и последние четыре цифры) и название банка из уведомлений ЮKassa. Полный номер карты, срок действия и код нам не приходят;
пачки мест: кто владелец, кто принял ключ, передачи владения.

Поддержка и безопасность:

текст обращений в поддержку и адрес страницы, с которой вы написали;
IP-адрес, данные браузера (user-agent), время запросов в журналах сервера;
журнал действий с аккаунтом: выгрузка данных, сброс пароля, подтверждение почты, удаление. Запись содержит почту и IP-адрес;
счётчики попыток входа и регистрации по почте и IP-адресу, чтобы защищать аккаунты от подбора пароля;
события использования: шаги мастера создания героя, открытие листа, начало боя. Без сторонних сервисов аналитики.

Мы не собираем паспортные данные, сведения о здоровье, убеждениях и другие специальные категории, а также биометрию.

3Зачем

Регистрация и вход в аккаунт.
Оказание услуг по оферте: хранение персонажей, расчёты листа, повышение уровня, печать.
Приём оплаты, автоматическое продление подписки, возвраты, учёт доходов и чеки в «Мой налог».
Работа пачек мест: выдача ключей, отключение участников, передача владения.
Ответы на обращения в поддержку и претензии.
Служебные письма: подтверждение почты, сброс пароля, уведомления о списаниях и изменении условий.
Безопасность: защита от подбора паролей, разбор сбоев и злоупотреблений.
Улучшение Сервиса по сводной статистике использования.

Рекламных рассылок мы не делаем. Если они появятся, то только с отдельного согласия, которое можно не давать.

4Правовые основания

Исполнение договора, стороной которого вы являетесь: оферты (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ). Это основание для аккаунта, игры, оплаты, пачек, поддержки и служебных писем.
Ваше согласие (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ), которое вы даёте отметкой при регистрации или первым входом через Яндекс или Google.
Обязанности по закону (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ): учёт доходов и чеки по Закону № 422-ФЗ о налоге на профессиональный доход, ответы на запросы государственных органов.
Законный интерес оператора (п. 7 ч. 1 ст. 6 Закона № 152-ФЗ): журналы сервера и счётчики попыток входа для защиты аккаунтов.

5Что мы делаем с данными

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление и доступ), обезличивание, блокирование, удаление и уничтожение.

Обработка автоматизированная, с передачей по интернету. Решений, которые порождают для вас юридические последствия, программа сама не принимает.

6Сколько храним

Аккаунт, персонажи, связки входа через Яндекс и Google: пока существует аккаунт. После удаления аккаунта они стираются сразу.
Резервные копии базы: до 30 дней, затем перезаписываются.
Платежи и подписки: 5 лет для налогового учёта и возможных споров. При удалении аккаунта они отвязываются от вас, а маска карты и банк стираются.
Журнал действий с аккаунтом: 1 год.
События использования: после удаления аккаунта остаются только в обезличенном виде, без связи с почтой и аккаунтом.
Журналы сервера с IP-адресами и user-agent: до 6 месяцев.
Счётчики попыток входа: 15 минут после последней попытки.
Обращения в поддержку: закрытое обращение удаляется вместе с перепиской через 3 дня. После удаления аккаунта удаляются и открытые.

Если вы отозвали согласие, данные, для которых нет другого основания, уничтожаются в течение 30 дней (ч. 5 ст. 21 Закона № 152-ФЗ).

7Кому передаём

ЮKassa: сумма и назначение платежа, номер заказа, почта для чека. ЮKassa принимает оплату по своим правилам и сама обрабатывает данные карты.
Хостинг АО «Таймвэб», ИНН 7801392271: на его серверах в России стоят сайт и база данных. Хостинг хранит данные по нашему поручению и сам ими не пользуется.
Почтовый сервис АО «Таймвэб», ИНН 7801392271: почта получателя и текст служебного письма, чтобы письмо дошло.
Владелец пачки мест: если вы приняли его ключ, он видит вашу почту и имя в списке мест.
Государственные органы: только по запросу, на который закон обязывает ответить.

При входе через Яндекс или Google вы сами входите в аккаунт этой компании по её правилам. От неё мы получаем почту, имя, изображение профиля и идентификатор. Своих данных о вас мы ей не передаём.

Базы данных с персональными данными находятся в России (ч. 5 ст. 18 Закона № 152-ФЗ). Трансграничной передачи мы не ведём.

Персональные данные не продаются и не передаются для рекламы.

8Ваши права

Узнать, какие данные о вас хранятся и как они обрабатываются (ст. 14 Закона № 152-ФЗ). Выгрузить всё, что есть в аккаунте, можно сами в настройках.
Исправить неточные данные: напишите нам, и мы поправим имя или почту.
Потребовать заблокировать или удалить данные, которые обрабатываются без основания.
Отозвать согласие.
Обжаловать наши действия в Роскомнадзоре или в суде.

Запрос можно прислать на d20tech-sup@mail.ru с почты аккаунта. Мы отвечаем в течение 10 рабочих дней. Если нужно больше времени, напишем почему; продлить срок можно не больше чем на 5 рабочих дней.

9Отзыв согласия и удаление аккаунта

Самый быстрый путь: удалить аккаунт в настройках. Понадобится пароль, а для аккаунта без пароля его почта. Удаление необратимо: персонажи, связки входа и настройки стираются сразу, продление подписки отменяется.

Отозвать согласие можно и письмом на d20tech-sup@mail.ru с почты аккаунта. Тогда мы удалим аккаунт и сообщим об этом в ответном письме.

После удаления остаются только данные, которые мы обязаны хранить по закону: платежи, отвязанные от аккаунта, и запись журнала об удалении. Сроки указаны в разделе «Сколько храним».

Деньги за неиспользованную часть подписки при удалении аккаунта возвращаются по Порядку возврата.

10Файлы cookie

Сайт ставит только свои cookie:

cookie сессии: держит вас в аккаунте до 30 дней;
cookie защиты от подделки запросов и адреса возврата после входа;
cookie d20_src, если вы пришли по рекламной ссылке: хранит её метки и промокод до 30 дней, чтобы при регистрации записать, откуда вы пришли.

В хранилище браузера лежат черновики изменений листа и настройки игры: так правка не теряется, если пропала связь.

Рекламных и аналитических cookie сторонних сервисов на сайте нет. Шрифты загружаются с нашего сервера. Страница оплаты ЮKassa может ставить свои cookie по своим правилам.

11Как защищаем

Соединение с сайтом только по HTTPS.
Пароли хранятся хешем argon2id.
Число попыток входа, регистрации и удаления аккаунта ограничено.
Удаление аккаунта требует пароля или почты, одной открытой сессии мало.
Доступ к базе и серверу есть только у оператора, вход на сервер по ключу.
База копируется ежедневно, копии хранятся отдельно от сервера.
Действия с аккаунтом записываются в журнал.

12Изменения и контакты

Новая редакция политики публикуется на этой странице с новой датой. Если меняется состав данных или круг тех, кому они передаются, мы пишем об этом на почту аккаунта.

Вопросы о данных: d20tech-sup@mail.ru. Оператор: Барабаш Илья Иванович, ИНН {{ИНН}}, Москва.