Политика конфиденциальности (политика обработки персональных данных) SroAsia

Редакция от [дата публикации]

1. Общие положения

1.1. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Она определяет, какие персональные данные обрабатываются при пользовании онлайн-игрой SroAsia, а также для каких целей, на каких основаниях, как и сколько они хранятся.

1.2. Политика распространяется на:

игру по адресу https://play.sro.asia;
Telegram Mini App игры;
Telegram-бота @SilkRoadOnlineGame;
сайт https://sro.asia/site/

(вместе — Сервис).

1.3. Входя в игру, регистрируясь или запуская бота, Пользователь подтверждает, что ознакомился с Политикой. Политика — часть Пользовательского соглашения и Публичной оферты.

1.4. Термины «персональные данные», «обработка», «оператор», «трансграничная передача» используются в значениях, установленных ст. 3 Закона.

2. Оператор

2.1. Оператор персональных данных: [ФИО/наименование ИП или ООО], ИНН [ИНН], [ОГРНИП/ОГРН], адрес: [адрес] (далее — Оператор).

2.2. Контакты для обращений по вопросам персональных данных: [email поддержки]; Telegram-бот @SilkRoadOnlineGame.

2.3. Ответственный за организацию обработки персональных данных: [ФИО ответственного за организацию обработки ПДн].

2.4. Сведения о внесении в реестр операторов, осуществляющих обработку персональных данных (Роскомнадзор): [регистрационный номер в реестре операторов РКН].

3. Чьи данные обрабатываются

Пользователи, зарегистрировавшиеся в Игре или вошедшие через Telegram.
Пользователи Telegram-бота @SilkRoadOnlineGame.
Пользователи, которые оплачивают Silk.
Пользователи, которые направляют обращения в поддержку и отчёты об ошибках.
Посетители Сайта и игрового клиента (только технические данные).

4. Какие данные обрабатываются

4.1. Оператор обрабатывает только данные, необходимые для работы Сервиса:

Категория	Состав данных	Откуда получены
Учётная запись	логин; хеш пароля (сам пароль не хранится); дата создания; роль (игрок, GM); хеши токенов сессий и сроки их действия; сведения о блокировках и их причинах; результаты проверки кодом с картинки (защита от ботов)	от Пользователя при регистрации и входе
Данные Telegram	идентификатор пользователя Telegram; имя пользователя (username); код языка интерфейса; способ привязки и время последнего входа. Имя (first_name) используется только для приветствия в боте и в базе данных не сохраняется. Фото профиля, передаваемое Telegram, не используется и не сохраняется	от Telegram при открытии Mini App (подписанные данные initData) и при обращении к боту
Приглашения и уведомления Telegram	реферальный код; кто кого пригласил; уровень, при котором засчитано приглашение; начисленные награды; включённые типы уведомлений (друзья, гильдия, сервер); подписки на напоминания и выбранный язык бота; очередь отправленных уведомлений	от Пользователя через бота и Mini App
Игровые данные	Персонажи (имя, раса, уровень, характеристики, умения, местоположение в игре); предметы и инвентарь; игровое золото и баланс Silk (с журналом операций); гильдии, друзья, рейтинги, PvP-статистика; игровые сделки, торговля, аукцион, история покупок во внутриигровом магазине; сообщения игрового чата при их доставке; настройки интерфейса и горячих клавиш	создаются при игре
Обращения в поддержку	категория; текст обращения; адрес электронной почты для ответа; логин игрока, на которого подана жалоба (если указан); ответ GM и статус	от Пользователя
Отчёты об ошибках	отправляются только по кнопке Пользователя. Содержат: технический журнал сессии (сетевые сообщения игры, ошибки консоли, состояние Персонажа и цели), адрес страницы, версию браузера (User-Agent), размер экрана, идентификатор Персонажа, комментарий Пользователя	от Пользователя
Платежи	номер заказа; логин и идентификатор Аккаунта; пакет Silk, сумма, валюта, способ оплаты; статус заказа; идентификаторы платежа и возврата у платёжного агента; идентификатор Telegram (для оплаты Stars); суммы возвратов и списанного Silk; задолженность и отметка об ограничении покупок после чарджбэка; журнал платёжных событий (в том числе IP-адрес, с которого создан заказ или пришло уведомление). Данные банковских карт Оператор не получает и не хранит. Адрес электронной почты для кассового чека (если он запрашивается) передаётся платёжному агенту и Оператором в заказе не сохраняется	от Пользователя и платёжных агентов
Технические данные	IP-адрес (в оперативной памяти для ограничения частоты запросов и защиты от перебора паролей; в журналах серверов); время запросов; сведения о браузере и устройстве	автоматически при обращении к Сервису
Телеметрия ошибок клиента	ошибки JavaScript, незагрузившиеся ресурсы, обрывы соединения, сбои графики; версия сборки; путь страницы без параметров; User-Agent, платформа, язык; идентификатор сессии клиента; идентификатор аккаунта (если клиент его передал); короткий хеш IP-адреса вместо самого адреса. Токены, параметры ссылок и данные Telegram из сообщений удаляются до записи	автоматически из игрового клиента

4.2. Оператор не обрабатывает:

специальные категории персональных данных (ст. 10 Закона);
биометрические данные;
паспортные данные;
данные банковских карт.

Оператор не использует сторонние системы веб-аналитики и рекламные счётчики.

4.3. Имена Персонажей и гильдий, их уровень, раса, снаряжение, рейтинги и PvP-статистика публикуются в Игре и на Сайте (рейтинги, публичные профили) как часть игрового функционала. Логин, данные Telegram, IP-адрес, почта и платёжные данные в публичных профилях не показываются.

5. Цели и правовые основания

Цель	Данные	Основание (ч. 1 ст. 6 Закона)
Регистрация, вход (в том числе через Telegram), предоставление доступа к Игре	учётная запись, данные Telegram, технические данные	п. 5 — исполнение договора (Пользовательское соглашение), стороной которого является Пользователь
Ведение игрового процесса, рейтингов, публичных профилей	игровые данные	п. 5 — исполнение договора
Продажа Silk, зачисление, возвраты, разбор чарджбэков	платежи, учётная запись	п. 5 — исполнение договора (Оферта); п. 2 — исполнение обязанностей по 54-ФЗ, налоговому и бухгалтерскому законодательству
Ответы на обращения, разбор жалоб и ошибок	обращения, отчёты об ошибках	п. 5 — исполнение договора
Безопасность Сервиса: защита от перебора паролей, ботов, мошенничества, DoS; соблюдение правил	технические данные, учётная запись, журнал платёжных событий	п. 7 — законные интересы Оператора и Пользователей, при условии, что права субъекта не нарушаются
Диагностика и исправление ошибок	телеметрия ошибок	п. 7 — законные интересы Оператора
Приглашения друзей, необязательные уведомления и напоминания в Telegram	данные Telegram, приглашения и уведомления	п. 1 — согласие, которое Пользователь даёт, включая соответствующую функцию; отзывается её отключением

6. Как обрабатываются данные

6.1. Обработка ведётся автоматизированно. Она включает:

сбор, запись, систематизацию, накопление, хранение;
уточнение (обновление, изменение), извлечение, использование;
передачу (предоставление, доступ) в случаях из раздела 8;
обезличивание, блокирование, удаление и уничтожение.

6.2. Решения, порождающие юридические последствия для Пользователя, исключительно автоматизированным способом не принимаются. Исключение — автоматические защитные ограничения: временная задержка после неверных попыток входа, ограничение частоты запросов, приостановка покупок до разбора возврата. Их можно обжаловать по адресу [email поддержки].

7. Где хранятся данные. Трансграничная передача

7.1. Серверы Сервиса и базы данных размещены в Исландии у хостинг-провайдера [наименование хостинг-провайдера].

7.2. Размещение данных за пределами РФ является трансграничной передачей. Исландия — участник Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Конвенция 108) и обеспечивает адекватную защиту прав субъектов персональных данных. Оператор уведомляет Роскомнадзор о трансграничной передаче в соответствии с ч. 4 ст. 12 Закона.

7.3. Также возможна трансграничная передача:

Cloudflare, Inc. (США) — сетевая защита и доставка трафика. Через инфраструктуру Cloudflare проходят запросы к Сервису (IP-адрес, технические заголовки).
Telegram — при пользовании Mini App и ботом. Сообщения бота и уведомления передаются через Telegram Bot API.
Платёжные агенты — в том числе иностранные, если Пользователь выбирает такой способ оплаты (раздел 8).

США не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов. Передача туда осуществляется в объёме, необходимом для исполнения договора с Пользователем, после уведомления Роскомнадзора.

7.4. Сведения о базах данных на территории Российской Федерации (ч. 5 ст. 18 Закона): [указать адрес/провайдера базы данных в РФ, если будет обеспечена].

8. Передача третьим лицам

8.1. Оператор не продаёт персональные данные и не передаёт их для рекламы. Данные передаются только в объёме, необходимом для указанных целей:

хостинг-провайдеру [наименование хостинг-провайдера] — хранение и обработка на серверах по поручению Оператора;
Cloudflare, Inc. — доставка и защита трафика;
Telegram — работа Mini App, бота, оплаты Telegram Stars и возврата Stars;
платёжным агентам ([перечень платёжных агентов]) — номер заказа, сумма, описание пакета, при необходимости адрес электронной почты для чека. Платёжные данные (номер карты и т. п.) Пользователь вводит напрямую на странице платёжного агента, и агент обрабатывает их по своей политике;
государственным органам — по законным запросам.

9. Сроки хранения

Данные	Срок
Учётная запись, данные Telegram, игровые данные	пока существует Аккаунт; после удаления Аккаунта — не более [срок хранения после удаления аккаунта, например 30 дней], затем удаляются или обезличиваются (кроме данных, которые нужно хранить по закону)
Сессии входа	до истечения срока действия токена или выхода из Аккаунта
Платёжные данные и журнал платёжных событий	5 лет с конца года операции (ст. 29 Федерального закона № 402-ФЗ «О бухгалтерском учёте», налоговое законодательство)
Обращения в поддержку	[срок хранения обращений, например 3 года]
Отчёты об ошибках	[срок хранения отчётов об ошибках, например 90 дней]
Телеметрия ошибок клиента	14 дней, затем файлы удаляются автоматически
IP-адреса для ограничения частоты запросов	только в оперативной памяти сервера, на диск не записываются; устаревшие записи удаляются автоматически, все — при перезапуске сервера
Журналы серверов	[срок хранения журналов серверов, например 30 дней]

По достижении целей обработки, при отзыве согласия (для данных, обрабатываемых на основании согласия) или по законному требованию субъекта данные уничтожаются в сроки, установленные ст. 21 Закона.

10. Cookie и локальное хранилище

10.1. Сервис не использует собственные cookie для отслеживания или рекламы.

10.2. Игровой клиент хранит в локальном хранилище браузера (localStorage) на устройстве Пользователя:

токен для продолжения сессии после перезагрузки страницы (silkroadweb.session.v1);
выбранный язык;
настройки графики, интерфейса, управления и подсказок;
последний маршрут автопути;
выбранную валюту оплаты.

Пароль и токен доступа в localStorage не сохраняются. Игровые файлы (графика, звук) кешируются в браузере через Service Worker, чтобы игра быстрее загружалась.

10.3. Cloudflare может устанавливать технические cookie, необходимые для защиты от ботов и атак.

10.4. Очистить локальное хранилище и кеш можно в настройках браузера. После этого придётся заново войти в Игру и настроить параметры.

11. Защита данных

Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона:

пароли хранятся только в виде криптографического хеша;
токены сессий хранятся в базе в виде хешей и регулярно меняются;
обмен данными идёт по HTTPS;
доступ к серверам и базам данных ограничен;
ключи платёжных систем хранятся отдельно от кода и не попадают в журналы;
IP-адреса в телеметрии заменяются хешем;
данные карт не проходят через серверы Оператора;
журнал платёжных событий защищён от изменения.

12. Права субъекта персональных данных

12.1. Пользователь вправе:

получать сведения об обработке своих данных (ч. 7 ст. 14 Закона);
требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
отозвать согласие (для обработки на основании согласия);
потребовать удаления Аккаунта;
обжаловать действия Оператора в Роскомнадзоре или в суде.

12.2. Запрос направляется на [email поддержки] или по адресу [адрес]. В запросе укажите логин или идентификатор Telegram, а также суть требования. Для подтверждения, что Аккаунт принадлежит заявителю, Оператор может попросить отправить запрос из бота @SilkRoadOnlineGame, привязанного к Аккаунту, или подтвердить владение иным способом.

12.3. Оператор отвечает в течение 10 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ст. 14, 20 Закона).

[ФИО/наименование ИП или ООО], ИНН [ИНН], [ОГРНИП/ОГРН]
Адрес: [адрес]
Email: [email поддержки]
Telegram-бот: @SilkRoadOnlineGame