Политика обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые оператором сайта nexus-shiyu.com (далее — «Сервис»).

Политика составлена во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и подлежит неограниченному доступу.

1. Оператор

Оператор персональных данных: cookiexzero cookzee, физическое лицо.

Адрес для направления обращений: город Москва, Российская Федерация.

Адрес электронной почты: [email protected].

Оператор самостоятельно определяет цели обработки, состав обрабатываемых персональных данных и совершаемые с ними действия.

2. Термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, блокирование, удаление и уничтожение.

Пользователь — физическое лицо, прошедшее авторизацию в Сервисе.

Расширение Nexus Shiyu — HoYoLab — расширение для браузера, которое по явной команде Пользователя считывает ограниченный набор cookie авторизации HoYoLab и передаёт его Сервису для привязки игрового аккаунта.

Иные термины используются в значениях, определённых ст. 3 152-ФЗ.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на основании:

• Конституции Российской Федерации (ст. 23, 24);

• 152-ФЗ;

• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

• согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — в части сведений, которые Пользователь указывает по своему выбору;

• необходимости исполнения соглашения, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ) — в части данных, без которых Сервис не может быть предоставлен;

• законных интересов оператора (п. 7 ч. 1 ст. 6 152-ФЗ) — в части защиты Сервиса от автоматизированных обращений и злоупотреблений.

Согласие на обработку персональных данных даётся Пользователем путём совершения конклюдентных действий: прохождения авторизации через Discord и использования Сервиса после ознакомления с настоящей Политикой и Пользовательским соглашением.

4. Цели обработки

Персональные данные обрабатываются исключительно для:

• авторизации Пользователя и предоставления доступа к Сервису;

• ведения профиля Пользователя и его отображения другим Пользователям;

• организации и проведения турниров: приёма заявок, формирования составов, проведения драфтов, ведения турнирных сеток и результатов;

• формирования графических оверлеев для видеотрансляций турниров;

• получения и отображения открытых игровых данных по указанному Пользователем игровому идентификатору (UID);

• привязки аккаунта HoYoLab, отображения данных Zenless Zone Zero и получения ежедневной отметки HoYoLab по явной команде Пользователя: текущего запаса энергии, ежедневной активности, статуса игровых заданий, календаря отметок и иных показателей игрового отчёта;

• рассмотрения обращений, направленных через раздел «Поддержка»;

• обеспечения работоспособности и безопасности Сервиса, предотвращения злоупотреблений;

• сбора статистики посещаемости и использования Сервиса с помощью Google Analytics;

• направления Пользователю уведомлений, связанных с работой Сервиса и турнирами.

Персональные данные не используются для маркетинга, рекламы, профилирования в рекламных целях и не передаются третьим лицам для таких целей.

5. Категории субъектов персональных данных

Оператор обрабатывает персональные данные Пользователей Сервиса, в том числе участников турниров, судей, режиссёров, комментаторов (кастеров) и администраторов.

6. Категории обрабатываемых персональных данных

6.1. Данные, получаемые от Discord при авторизации: идентификатор аккаунта Discord, имя пользователя, отображаемое имя, адрес электронной почты, ссылка на изображение профиля (аватар).

6.2. Данные, указываемые Пользователем самостоятельно: турнирный никнейм, ссылки на профили Twitch, Discord, Telegram, игровой идентификатор (UID) в Zenless Zone Zero, наименования игровых аккаунтов.

6.3. Открытые игровые данные, получаемые по указанному Пользователем UID из внешнего источника Enka.Network: игровой никнейм, уровень, состав и характеристики игровых персонажей и снаряжения.

6.4. Данные HoYoLab, обрабатываемые при добровольной привязке: cookie авторизации ltoken_v2, ltuid_v2, ltmid_v2, cookie_token_v2, account_id_v2, account_mid_v2 и их совместимые legacy-варианты ltoken, ltuid, cookie_token, account_id; идентификатор аккаунта и игрового персонажа, регион, а также получаемые через HoYoLab сведения Zenless Zone Zero об энергии, ежедневной активности, статусе игровых заданий и ежедневной отметке. Расширение не получает пароль HoYoLab и не считывает иные cookie.

6.5. Данные, образующиеся в ходе использования Сервиса: состав команд и ростеров, заявки на турниры, история драфтов и матчей, турнирный рейтинг, роль в Сервисе, настройки интерфейса, уведомления.

6.6. Данные обращений в поддержку: текст обращения и переписки, а также приложенные Пользователем изображения (до 5 файлов размером до 10 МБ) и видеозаписи (1 файл размером до 200 МБ).

6.7. Данные комментаторов (кастеров): идентификатор Discord, никнейм, изображение профиля, факт присутствия в голосовом канале и признак активной речи в текущий момент. Звук не записывается и не сохраняется.

6.8. Технические данные: IP-адрес, сведения о браузере и устройстве, передаваемые вашим браузером при обращении к Сервису, cookie-файлы. При использовании Сервиса Google Analytics также обрабатывает случайный идентификатор браузера, сведения о посещённых страницах и действиях на них, источнике перехода, сеансах и приблизительном местоположении. Google Analytics использует IP-адрес при приёме запроса, в том числе для определения приблизительного местоположения, и не предоставляет оператору необработанный IP-адрес.

6.9. Специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные оператором не запрашиваются и не обрабатываются. Если Пользователь по своей инициативе приложит к обращению в поддержку изображение или видеозапись, содержащие его внешность, такие материалы обрабатываются исключительно в целях рассмотрения обращения и не используются оператором для установления личности.

7. Способы и сроки обработки

7.1. Обработка осуществляется с использованием средств автоматизации и без их использования. Персональные данные хранятся в базе данных Сервиса и в резервных копиях.

7.2. Оператор не принимает решений, порождающих юридические последствия для Пользователя или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (ст. 16 152-ФЗ). Турнирные решения принимаются судьями и администраторами.

7.3. Сроки хранения:

• данные профиля и связанные с ним игровые данные — до удаления аккаунта либо до отзыва согласия;

• cookie авторизации HoYoLab — до нажатия «Отвязать» для соответствующего игрового аккаунта, удаления аккаунта Сервиса либо отзыва согласия; из действующей базы удаляются немедленно, из резервных копий — при их плановой ротации;

• удалённые Пользователем или администратором турниры, драфты, ростеры и команды — 365 дней с момента удаления, после чего уничтожаются безвозвратно (данный срок обеспечивает возможность восстановления при ошибочном удалении);

• обращения в поддержку и вложения к ним — до удаления аккаунта; вложения, не прикреплённые ни к одному обращению, удаляются автоматически;

• резервные копии базы данных — до их замены новыми копиями в порядке ротации;

• сведения о событиях Google Analytics — не более 14 месяцев; агрегированные отчёты могут храниться без ограничения срока;

• IP-адрес для ограничения частоты обращений — в оперативной памяти сервера, не более 60 минут, без записи в базу данных.

7.4. По достижении целей обработки либо в случае утраты необходимости в их достижении персональные данные уничтожаются в срок, не превышающий 30 дней (ч. 3 ст. 21 152-ФЗ), если иное не предусмотрено законом.

8. Данные, доступные другим лицам

Пользователь принимает во внимание, что часть сведений в силу назначения Сервиса отображается другим лицам:

• турнирный никнейм, изображение профиля, роль, турнирный рейтинг, состав команд и участие в турнирах — всем авторизованным Пользователям;

• турнирный никнейм, изображение профиля, игровые составы и результаты матчей — неограниченному кругу лиц в составе графических оверлеев видеотрансляций турниров;

• содержание обращений в поддержку — только их автору и администраторам Сервиса.

Пользователь вправе не указывать сведения, которые не желает раскрывать: для работы Сервиса обязательны только данные, получаемые при авторизации.

9. Передача персональных данных третьим лицам

Оператор привлекает следующих лиц, которым персональные данные могут быть переданы либо становятся доступны:

Оператор также обращается к сервисам zzz.hakush.in и static.nanoka.cc для получения игровых изображений и справочных данных. Персональные данные Пользователей этим сервисам не передаются.

Оператор не продаёт персональные данные и не передаёт их иным лицам, кроме случаев, прямо предусмотренных законом (в том числе по мотивированному запросу уполномоченных государственных органов).

10. Место хранения и трансграничная передача

10.1. Серверы, на которых размещены база данных и файлы Сервиса, предоставлены хостинг-провайдером Aeza и находятся на территории Германия.

10.2. Резервные копии базы данных Сервиса, содержащие все обрабатываемые персональные данные, автоматически передаются в сервис Telegram с периодичностью один раз в шесть часов и хранятся в закрытых чатах, доступ к которым имеют оператор и уполномоченные им администраторы.

10.3. Передача персональных данных лицам, указанным в разделе 9 и п. 10.1–10.2, является трансграничной передачей в смысле ст. 12 152-ФЗ.

10.4. Часть получателей находится в государствах, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных: Германия (размещение серверов и базы данных), Нидерланды (Discord Netherlands BV).

10.5. Иные получатели находятся в государствах, не являющихся сторонами указанной Конвенции: Соединённые Штаты Америки (Cloudflare, Inc.; Discord Inc.; Google LLC), Сингапур (COGNOSPHERE PTE. LTD.), а также государство регистрации сервиса Telegram. Передача персональных данных таким получателям осуществляется в объёме, указанном в разделе 9, и ограничена целями, названными в разделе 4.

10.6. Пользователь, продолжая использование Сервиса, подтверждает, что уведомлён о трансграничной передаче своих персональных данных на территорию перечисленных государств и согласен с ней.

10.7. Если Пользователь не согласен с трансграничной передачей своих персональных данных, он вправе отозвать согласие в порядке раздела 12 и прекратить использование Сервиса.

11. Меры по обеспечению безопасности

В соответствии со ст. 18.1 и 19 152-ФЗ оператор принимает следующие меры:

• определение угроз безопасности персональных данных при их обработке;

• ограничение состава лиц, имеющих доступ к персональным данным, ролевой моделью доступа: полный доступ имеют только администраторы Сервиса;

• передача данных между браузером Пользователя и Сервисом по защищённому протоколу HTTPS;

• передача cookie HoYoLab расширением только на https://nexus-shiyu.com/api/hoyolab/capture с одноразовым токеном, действующим 10 минут;

• хранение cookie HoYoLab в базе данных только в зашифрованном виде с применением AES-256-GCM; расширение не сохраняет cookie в локальном хранилище браузера;

• хранение сведений об авторизации в виде сессионных cookie-файлов с признаками HttpOnly и SameSite;

• защита форм входа от автоматизированных обращений;

• ограничение частоты обращений к программным интерфейсам Сервиса;

• регулярное резервное копирование базы данных;

• контроль за принимаемыми мерами и оценка их достаточности;

• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа.

Оператор не гарантирует абсолютную защищённость данных от неправомерных действий третьих лиц, однако принимает разумно необходимые и достаточные меры для их предотвращения.

При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

12. Права субъекта персональных данных

Пользователь имеет право:

• получать сведения об обработке своих персональных данных, предусмотренные ч. 7 ст. 14 152-ФЗ;

• требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели обработки;

• отозвать согласие на обработку персональных данных;

• требовать удаления аккаунта и всех связанных с ним персональных данных;

• обжаловать действия или бездействие оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) либо в судебном порядке.

Порядок обращения. Запрос направляется на адрес [email protected]. В соответствии с ч. 3 ст. 14 152-ФЗ запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с оператором (в частности, идентификатор аккаунта Discord), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, а также подпись субъекта или его представителя.

Сроки. Сведения предоставляются в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 1 ст. 20 152-ФЗ). При подтверждении факта неточности персональных данных оператор уточняет их в течение 7 рабочих дней (ч. 1 ст. 21 152-ФЗ). При отзыве согласия обработка прекращается, а персональные данные уничтожаются в срок, не превышающий 30 дней (ч. 5 ст. 21 152-ФЗ).

Отзыв согласия и удаление аккаунта делают использование Сервиса невозможным. Отзыв согласия не распространяется на данные, обработка которых необходима оператору в силу закона.

13. Обработка cookie-файлов

Сервис использует технически необходимые cookie-файлы, cookie, сохраняющие настройки интерфейса, и аналитические cookie Google Analytics. Они обеспечивают авторизацию, выбранные Пользователем настройки и сбор статистики посещаемости и использования Сервиса.

Скрипт Google Analytics загружается при открытии страниц Сервиса. Продолжая использование Сервиса после ознакомления с уведомлением о cookie-файлах и настоящей Политикой, Пользователь соглашается с использованием cookie-файлов и Google Analytics. Уведомление можно скрыть кнопкой «Продолжить»; факт скрытия сохраняется в локальном хранилище браузера.

Cookie-файлы Cloudflare могут устанавливаться при прохождении проверки на странице входа в соответствии с политикой Cloudflare, Inc.

Отключение cookie в браузере делает авторизацию в Сервисе невозможной.

13.1. Расширение Nexus Shiyu — HoYoLab

Расширение активируется только после нажатия Пользователем кнопки «Привязать». Оно запрашивает у браузера cookie домена hoyolab.com только по перечисленным в п. 6.4 именам и передаёт найденные значения непосредственно на защищённый программный интерфейс Сервиса. Расширение не собирает историю браузера, содержимое страниц, нажатия клавиш, рекламные идентификаторы, геолокацию или платёжные данные и не использует аналитику.

Полученные данные используются только для предоставления и улучшения явно заявленной функции привязки HoYoLab, отображения игровых показателей и получения ежедневной отметки Zenless Zone Zero по явной команде Пользователя. Они не продаются, не передаются рекламным сетям, брокерам данных или кредитным организациям, не применяются для рекламы, профилирования и определения кредитоспособности и не доступны людям, кроме случаев, необходимых для безопасности, поддержки Пользователя, исполнения закона или при наличии его явного согласия. Использование и передача пользовательских данных расширением соответствуют Политике пользовательских данных Chrome Web Store, включая требования Limited Use.

Отвязать HoYoLab и удалить сохранённые cookie можно в любое время кнопкой «Отвязать» в виджете «Внутриигровые активности». Удаление самого расширения прекращает его доступ к cookie браузера, но не удаляет ранее привязанные данные с сервера; для их удаления необходимо выполнить отвязку на сайте или направить запрос по адресу [email protected].

14. Несовершеннолетние Пользователи

Сервис не предназначен для лиц младше 16 лет. Оператор не осуществляет целенаправленный сбор персональных данных таких лиц. Если оператору станет известно, что персональные данные лица младше 16 лет были получены, такие данные будут уничтожены, а соответствующий аккаунт удалён.

Законный представитель несовершеннолетнего вправе направить требование об удалении данных в порядке раздела 12.

15. Изменение Политики

Оператор вправе изменять настоящую Политику. Действующая редакция всегда доступна по адресу nexus-shiyu.com/legal/privacy с указанием даты редакции. Существенные изменения доводятся до Пользователей через уведомления в Сервисе.

Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией Политики.

16. Заключительные положения

Настоящая Политика подлежит применению в соответствии с законодательством Российской Федерации. По вопросам обработки персональных данных следует обращаться на адрес [email protected].