Политика обработки персональных данных

Оператором персональных данных является Гапкалов Дмитрий Юрьевич (далее — оператор). Обращения принимаются по адресу svaddar@yandex.ru.

Политика распространяется на сайт Main Deck (maindeck.ru) — некоммерческий любительский сервис для сборки колод, учёта коллекции и обмена картами коллекционной карточной игры «Респонс». Сервис не связан с издателем игры и не является его официальным ресурсом.

При входе по логину и паролю сайт не получает о человеке ничего. Не запрашиваются ни адрес электронной почты, ни номер телефона, ни имя: учётная запись состоит из выбранного пользователем логина. Пароль хранится только в виде необратимого криптографического отпечатка и восстановлению не подлежит; вместо восстановления по почте при регистрации выдаётся одноразовый код, отпечаток которого хранится так же.

При входе через Telegram — второй, необязательный способ — виджет входа передаёт:

• числовой идентификатор пользователя Telegram
• имя и, если указана, фамилия из профиля Telegram
• имя пользователя (@username), если оно задано
• адрес изображения профиля (аватара), если оно открыто

Адрес электронной почты, номер телефона, дата рождения, список контактов и любые другие сведения из профиля Telegram не запрашиваются и не передаются. Доступ к переписке и право отправлять сообщения сайт не запрашивает.

Создаваемые самим пользователем. Всё, что человек вводит на сайте:

• краткое имя в адресе страницы профиля (формируется автоматически из имени, транслитерацией)
• названия, описания и составы собранных колод, отметка «публичный»
• праймеры колод и гиды по сайдборду
• список карт, которые вы готовы отдать, и город со способом связи — только если вы включили обмены и заполнили это сами
• отчёты о турнирах и их содержимое
• отметки о наличии карт в коллекции
• список желаемых карт (вишлист) и заметки к нему
• отметки «нравится» на чужих колодах и отчётах

Технические. При работе сайта обрабатываются:

• cookie-файл сессии — случайная строка, по которой сервер узнаёт вошедшего пользователя; срок жизни 60 дней, доступ из JavaScript закрыт
• журналы веб-сервера: IP-адрес, дата и время обращения, запрошенный адрес, версия браузера

Системы веб-аналитики, рекламные и сторонние счётчики на сайте не установлены. Иных cookie, кроме сессионного, сайт не использует.

• логин или идентификатор в Telegram — чтобы при следующем входе узнать того же человека и вернуть ему его колоды
• имя и аватар — чтобы подписать автора колоды и его страницу, иначе публичные колоды обезличены
• колоды, коллекция и вишлист — это и есть содержимое сервиса, ради которого он существует
• cookie сессии — чтобы не требовать вход при каждом переходе по странице
• журналы сервера — для диагностики сбоев и защиты от злоупотреблений

Данные не используются для рекламы, профилирования, автоматизированного принятия решений и не передаются третьим лицам для таких целей.

Обработка ведётся с согласия пользователя — пункт 1 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Согласие даётся действием: нажатием кнопки входа на странице maindeck.ru/login после ознакомления с настоящей политикой. Отозвать согласие можно в любой момент — см. раздел 8.

Это важнее всего остального в документе, поэтому вынесено отдельно. Публично, то есть доступно любому посетителю без входа:

• имя и аватар из профиля того сервиса, через который выполнен вход, — на странице профиля и рядом с опубликованными колодами
• колоды, у которых включена отметка «публичный» — вместе с составом и описанием
• вишлист целиком: он публикуется на странице профиля, в этом его смысл — чтобы вам предложили обмен

Коллекция не публикуется — сколько у вас каких карт, видите только вы. Колоды без отметки «публичный» видны только автору.

Одно уточнение про скрытые колоды. Сама колода не показывается никому, но её состав участвует в общих счётчиках на странице «Метагейм» — там, где написано, в скольких колодах встречается карта. Ни колода, ни её автор при этом не называются, а карта попадает в счёт, только когда за ней стоит не меньше пяти колод у трёх разных игроков: по более редким частотам можно было бы восстановить отдельную колоду, и потому они не показываются вовсе.

Единственное исключение — подбор обменов, и он включается вами вручную в настройках; по умолчанию он выключен. Пока он включён, другим участникам обменов — только им, и только вошедшим на сайт — видны:

• список «что я отдаю» — тот, который вы составили сами. Коллекция целиком не показывается
• этот же список открывается по прямой ссылке, которую вы даёте сами: страница не индексируется поисковиками, а способ связи на ней виден только вошедшим на сайт
• город и способ связи, если вы их указали — они нужны, чтобы с вами могли договориться

Выключение обменов в настройках немедленно убирает вас из подбора, а город и контакт можно стереть там же.

Отметка «публичный» снимается в конструкторе в любой момент, после чего колода перестаёт показываться в ленте и на странице профиля.

Оператор никому не продаёт, не сдаёт в аренду и не передаёт данные пользователей. В работе задействованы:

• Telegram Messenger Inc. — при входе через Telegram. Кнопка входа является виджетом, который загружается с telegram.org, поэтому Telegram видит обращение браузера к нему. Виджет размещён только на странице входа: на остальных страницах сайта обращений к Telegram не происходит
• хостинг-провайдер, на оборудовании которого работает сервер — как лицо, осуществляющее обработку по поручению оператора

Отдельно: изображения карт сервис у себя не хранит, а загружает с сайта издателя игры response-game.ru — запрос к нему делает сервер, а не браузер посетителя. А вот аватары загружаются браузером напрямую с серверов Telegram у тех, кто вошёл через Telegram, — поэтому Telegram видит эти обращения. У входа по логину и паролю аватара нет вовсе.

База данных размещена на сервере на территории Российской Федерации — как того требует часть 5 статьи 18 Закона № 152-ФЗ. Данные хранятся, пока существует учётная запись, и удаляются вместе с ней. Журналы веб-сервера хранятся не более 30 дней. Резервные копии базы хранятся не более 30 дней и уничтожаются по истечении срока.

Пользователь вправе:

• получить сведения о том, какие его данные обрабатываются
• потребовать уточнить неточные данные
• потребовать удалить учётную запись со всем содержимым
• отозвать согласие на обработку — это влечёт удаление учётной записи, поскольку без данных сервис работать не может

Для этого достаточно написать оператору svaddar@yandex.ru с указанием логина учётной записи, а для входа через Telegram — сообщением из того же аккаунта. Срок ответа — 30 дней. Удаление необратимо: колоды, коллекция и вишлист восстановлению не подлежат.

Соединение с сайтом защищено TLS. Пароль хранится не в открытом виде, а в виде отпечатка, полученного функцией scrypt со случайной солью: по нему нельзя восстановить сам пароль. Число неудачных попыток входа ограничено. Подпись данных от Telegram проверяется на сервере по секретному ключу бота. Cookie сессии недоступен из JavaScript и передаётся только по защищённому соединению. Доступ к серверу и резервным копиям есть только у оператора.

Новая редакция публикуется на этой странице с указанием даты. Существенные изменения сопровождаются уведомлением на главной странице. Продолжение использования сервиса после публикации новой редакции означает согласие с ней.