Политика конфиденциальности

1. Контролёр данных

Контролёр персональных данных — Katsiaryna Filosaf, физическое лицо, осуществляющее деятельность из Польши; адрес: ul. Rolna 1, 30-318 Kraków, Poland. play2gether.fun является подпроектом games.enterprises.

По вопросам данных пишите на privacy@games.enterprises. Резервный адрес — 100games.enterprises@gmail.com, телефон — +1 (343) 655-5448.

2. Аккаунт и подтверждение email

При регистрации мы обрабатываем email, его нормализованную форму, пароль, внутренний идентификатор, даты создания и обновления и выбранный язык. Пароль не хранится открытым текстом: сохраняются стойкий солёный хеш и технические параметры хеширования.

Для подтверждения email создаётся одноразовая ссылка с токеном, действующая до 24 часов. В базе хранится защищённый хеш токена, время создания, истечения и использования, а не исходный токен. Поставщик письма неизбежно получает исходную ссылку как часть сообщения.

Для восстановления доступа создаётся отдельная одноразовая ссылка, действующая до 1 часа. Мы храним хеш её токена и время создания, истечения и использования; исходная ссылка передаётся Resend в защитном письме. Установка нового пароля подтверждает владение почтой, отзывает все прежние сессии и делает неиспользованными остальные ссылки подтверждения и восстановления.

3. Сессии и безопасность

После входа создаётся случайный токен сессии; в базе хранится его хеш, идентификатор пользователя и даты создания и истечения. Cookie сессии действует до 30 дней, имеет HttpOnly, SameSite=Strict и Secure на HTTPS.

Для ограничения попыток регистрации и входа обрабатываются IP-адрес и псевдонимизированный хеш email, временные окна и счётчики запросов. Также сервер и прокси обрабатывают время, метод и путь запроса, код ответа, referrer, user agent и защитные заголовки.

4. Комнаты и игровые данные

Мы обрабатываем код и идентификатор комнаты, язык контента, выбранную игру, состояние раунда, время создания и истечения и, для зарегистрированного создателя, идентификатор его аккаунта. Для участников хранятся отображаемое имя, цвет, роль ведущего, время входа и активности и хеш случайного токена участника.

Игровое состояние может включать ответы, варианты, голоса, оценки, команды, результаты и технические отметки готовности. Эти сведения видят участники той же комнаты согласно правилам игры. Не вводите чувствительные данные или информацию о третьих лицах без законного основания.

5. Покупки и Stripe

Stripe размещает Checkout и напрямую получает введённые реквизиты карты. Мы не получаем полный номер карты или CVC. Для исполнения покупки мы можем получать и хранить email плательщика, имя или платёжный адрес, страну, налоговый статус, идентификаторы Stripe Customer, Checkout Session, PaymentIntent, списания и цены, продукт и игру, сумму, валюту, налог, статус, даты активации и окончания, бренд и последние цифры карты, а также сведения о возврате, споре и риске мошенничества.

Мы сохраняем версию и снимок принятых условий, язык, время согласий, подтверждение совершеннолетия, запрос немедленной цифровой поставки, подтверждение последствий для отказа и доставку подтверждения договора. Это нужно для исполнения покупки, рекламаций, возвратов, налогового учёта и защиты требований.

6. Письма и обращения

Для подтверждения email и отправки договорных и защитных писем Resend обрабатывает адрес получателя, отправителя, тему, содержание, вложения с условиями, идентификатор письма и метаданные доставки. Resend — Plus Five Five, Inc.; его политика и условия обработки опубликованы на resend.com/legal/privacy-policy и resend.com/legal/dpa.

При обращении в поддержку мы обрабатываем контактные данные, содержание и приложения сообщения, переписку и сведения, необходимые для ответа. Доменная почта может проходить через Namecheap и поступать в почтовый ящик Google.

7. Цели и правовые основания

Аккаунт, сессия, комната, игра, выдача прав доступа, платёж и поддержка обрабатываются для заключения и исполнения договора или действий по вашему запросу до его заключения — статья 6(1)(b) GDPR.

Налоговые, бухгалтерские, потребительские и законные требования обрабатываются для исполнения юридической обязанности — статья 6(1)(c). Защита аккаунта, ограничение злоупотреблений, диагностика, предотвращение мошенничества и защита требований основаны на нашем законном интересе — статья 6(1)(f). Если появится необязательная аналитика или маркетинг, они будут основаны на согласии по статье 6(1)(a), когда оно требуется.

8. Получатели и международная обработка

Timeweb Cloud предоставляет инфраструктуру в Амстердаме, Нидерланды; там находится основная база SQLite и логические резервные копии. Stripe обрабатывает платежи, налоги и противодействие мошенничеству. Resend отправляет транзакционные письма. Namecheap обслуживает DNS и пересылку доменной почты, Google — конечный почтовый ящик.

Польша и Нидерланды входят в ЕЭЗ. Stripe, Resend, Namecheap и Google могут обрабатывать соответствующие данные за пределами ЕЭЗ с гарантиями, указанными в их документах, включая решения об адекватности или стандартные договорные положения, когда применимо. Дополнительную информацию можно запросить на privacy@games.enterprises.

9. Сроки хранения

Аккаунт и привязанные права хранятся, пока аккаунт существует и данные нужны для Сервиса. Сессия действует до 30 дней. Ссылка подтверждения email действует до 24 часов, а ссылка восстановления пароля — до 1 часа. Использованный токен больше не принимается; записи токенов удаляются при последующей технической очистке после использования или истечения.

Комната становится недоступной через 24 часа и удаляется последующей технической очисткой. Истёкшие данные могут ограниченное время оставаться в изолированных резервных копиях; текущий цикл логических резервных копий — до 14 дней. Записи ограничения частоты хранятся в пределах короткого защитного окна и удаляются после истечения при очередной очистке.

Платёжные, договорные, бухгалтерские, налоговые, антифрод- и спорные записи хранятся в течение срока, необходимого для исполнения покупки и установленного применимым законом. Переписка поддержки хранится, пока нужна для обращения, безопасности или юридического требования.

10. Безопасность

Мы используем HTTPS, HttpOnly и SameSite cookies, солёное хеширование паролей, хеширование секретных токенов, проверку источника изменяющих запросов, ограничения частоты, изолированную базу и резервные копии. Доступ к производственным данным ограничен.

Абсолютную безопасность гарантировать невозможно. При инциденте мы оценим риск и уведомим затронутых лиц и компетентные органы в случаях и сроки, установленные законом.

11. Ваши права

В зависимости от применимого права вы можете запросить доступ, копию, исправление, удаление, ограничение, переносимость, возразить против обработки, отозвать согласие и не подвергаться исключительно автоматизированному значимому решению. Отзыв согласия не влияет на законность предыдущей обработки.

Напишите на privacy@games.enterprises, желательно с email аккаунта. Мы можем запросить соразмерное подтверждение личности. Ведущий орган в Польше — Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl; также можно обратиться в орган по месту проживания.

12. Дети и изменения политики

Сервис не предназначен для самостоятельного использования детьми младше 13 лет. Если вы считаете, что ребёнок передал нам данные без надлежащего участия взрослого, сообщите на privacy@games.enterprises. Покупки доступны только совершеннолетним дееспособным лицам.

Мы обновляем Политику при изменении данных, целей, получателей или закона и указываем новую дату. О существенном изменении сообщаем заметно, а согласие запрашиваем там, где оно требуется.