Политика обработки персональных данных Ashen Rift

ЧЕРНОВИК для проверки юристом. Не является юридической консультацией. Шаблон подготовлен по 152-ФЗ «О персональных данных» (ст. 18.1 ч. 2 — обязанность опубликовать политику). Поля в квадратных скобках [...] заполняет владелец. Версия: 2026-10-13. Редакция действует с даты публикации на сайте.

1. Оператор

Оператор персональных данных (далее — Оператор):

ФИО / наименование: [ФИО владельца или наименование ИП/юрлица]
ИНН / ОГРНИП (если есть): [...]
Адрес: [почтовый адрес в РФ]
Email для обращений субъектов ПДн: [privacy@домен]
Ответственный за организацию обработки ПДн: [ФИО, контакт]
Регистрационный номер в реестре операторов Роскомнадзора: [после подачи уведомления]

Ashen Rift — некоммерческий проект игрового сервера. Политика относится к сайту проекта, регистрации аккаунта, лаунчеру и игровому серверу.

2. Какие данные мы обрабатываем

Мы собираем только то, что нужно для аккаунта и работы игры. Перечень сверен с кодом (services/api, схема игрового сервера) — см. Реестр данных.

Категория	Данные	Откуда
Учётные данные	имя аккаунта (логин)	вводит пользователь при регистрации
Учётные данные	соль и проверочный код пароля (SRP6 verifier) — сам пароль не хранится	вычисляется сервером из пароля
Сведения о регистрации	дата и время регистрации; версия и время принятия согласия; хеш использованного инвайт-кода	создаются сервером
Технические данные входа	IP-адрес последнего входа и последней попытки входа, время последнего входа, число неудачных попыток, язык и тип ОС игрового клиента	записывает игровой сервер при входе
Игровые данные	персонажи, прогресс, игровые действия, журналы игровых операций (могут содержать IP-адрес)	создаются в игре
Модерация	блокировки, причины и сроки, переписка по жалобам	при нарушении правил
Временные технические данные	IP-адрес запроса к API — только в оперативной памяти для ограничения частоты запросов (не записывается на диск и в журналы)	при запросе к API

Мы не собираем: email, телефон, паспортные данные, дату рождения, платёжные данные, биометрию, специальные категории ПДн. Поле email на сайте отсутствует.

Категории субъектов: зарегистрированные пользователи (игроки); посетители сайта — только в объёме временных технических данных.

3. Цели обработки

Создание и ведение аккаунта, вход в игру и лаунчер.
Обеспечение безопасности: защита от подбора паролей, спама и автоматических регистраций, расследование нарушений правил (читы, боты, торговля за реальные деньги).
Исполнение правил проекта и применение санкций.
Подтверждение получения согласия (ст. 9 ч. 3 152-ФЗ).

Данные не используются для рекламы, профилирования или продажи третьим лицам.

4. Правовые основания

Согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ), оформленное отдельным документом — Согласие на обработку персональных данных (ч. 1 ст. 9 в ред. 156-ФЗ).
Исполнение соглашения с пользователем — Правила проекта (п. 5 ч. 1 ст. 6) — для данных, без которых аккаунт невозможен.
Законные интересы Оператора по безопасности сервиса (п. 7 ч. 1 ст. 6) — для технических данных входа и журналов. [юристу: подтвердить применимость основания]

5. Действия с данными и способы обработки

Сбор, запись, систематизация, накопление, хранение, уточнение, использование, блокирование, удаление, уничтожение. Обработка автоматизированная. Передача (предоставление) третьим лицам не осуществляется; трансграничная передача не осуществляется (см. п. 7).

6. Сроки хранения

Данные	Срок
Аккаунт, проверочный код пароля, игровые данные	до удаления аккаунта или отзыва согласия; затем удаление в течение 10 рабочих дней (ч. 5 ст. 21)
Запись о согласии (версия, время)	срок действия согласия + 3 года — для подтверждения законности обработки `[юристу: подтвердить срок]`
Технические данные входа и журналы с IP-адресами	не более 6 месяцев: ежедневная автоматическая очистка; в зашифрованных резервных копиях — ещё до 30 дней
IP-адрес в памяти API (лимиты частоты)	до 1 часа, до перезапуска сервиса
Неактивный аккаунт	`[срок, напр. 3 года без входа]`, затем удаление с предварительным уведомлением в игре

7. Локализация

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18 152-ФЗ). Место нахождения серверов: [город, хостинг-провайдер в РФ].

Сайт не загружает сторонние скрипты, счётчики и шрифты: шрифты размещены на нашем сервере, поэтому IP-адрес посетителя третьим лицам и за рубеж не передаётся.

8. Права субъекта персональных данных

Вы вправе (ст. 14–17, 21 152-ФЗ):

получить сведения об обработке своих данных (ответ в течение 10 рабочих дней, может быть продлён на 5 рабочих дней с уведомлением);
потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для цели обработки;
отозвать согласие;
обжаловать действия Оператора в Роскомнадзоре или в суде.

9. Отзыв согласия и удаление аккаунта

Направьте запрос на [privacy@домен] с адреса, указанного в запросе, или через [канал поддержки], указав имя аккаунта. Войдя в аккаунт, можно удалить его и самостоятельно, повторно введя пароль (функция API; кнопка в лаунчере/на сайте — [когда появится]). Для подтверждения владения аккаунтом мы можем попросить войти в игру и выполнить указанное действие или ответить из-под аккаунта — пароль мы никогда не запрашиваем.

После отзыва согласия Оператор прекращает обработку и удаляет аккаунт, персонажей, технические данные входа и запись об инвайте в течение 10 рабочих дней (ч. 5 ст. 21), если иное не требуется законом. Если удаление нельзя выполнить сразу (персонаж состоит в гильдии или группе, есть лоты на аукционе и т. п.), вход в аккаунт блокируется в момент отзыва, а удаление завершается в окне обслуживания в пределах того же срока. В игровых журналах операций имя и IP-адрес удалённого аккаунта обезличиваются; почта с наложенным платежом возвращается отправителю. Удалённые данные остаются в зашифрованных резервных копиях до истечения срока их хранения (до 30 дней). Запись о факте согласия и его отзыва может храниться в пределах срока из п. 6 для подтверждения законности обработки.

10. Меры защиты

Пароль не хранится и не записывается в журналы; хранится только проверочный код SRP6.
Инвайт-коды хранятся только в виде хешей SHA-256.
API доступен только через локальный интерфейс сервера; доступ к базе данных — только у Оператора. Сессии — короткие токены в памяти (15 минут).
Ограничение частоты регистраций и входов, блокировка после серии неудачных входов, защита форм без сторонних сервисов (одноразовый токен, проверка вычислением).
Журналы API не содержат IP-адресов, паролей, тел запросов и имён персонажей.
[резервное копирование, шифрование дисков, обновления — заполнить по факту хостинга].
Назначен ответственный за обработку ПДн; локальные акты — эта политика и Реестр данных.

11. Cookies

Сайт и лаунчер не используют cookies для отслеживания и аналитики. Запросы к API выполняются без cookies; на сайте токен сессии хранится только в памяти страницы и исчезает при закрытии. Лаунчер хранит настройки интерфейса (например, «уменьшить движение») локально, а при включённом «запомнить меня» — токен сессии (не пароль) в диспетчере учётных данных Windows на устройстве пользователя; Оператор к ним доступа не имеет. Сохранённый токен удаляется кнопкой в настройках лаунчера и выходом из аккаунта.

12. Изменение политики и контакты

Новая редакция публикуется на сайте с датой версии. Если меняются цели или состав данных, мы запросим новое согласие. Вопросы: [privacy@домен], [почтовый адрес].

Источники

Дата обращения ко всем источникам — 2026-10-12. Уверенность — оценка составителя черновика.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 9, 14, 18, 18.1, 21, 22) — consultant.ru, base.garant.ru. Уверенность: высокая (структура статей).
Федеральный закон от 24.06.2025 № 156-ФЗ — согласие оформляется отдельно от иных документов (с 01.09.2025) — обзоры: its.1c.ru, buh.ru. Уверенность: средняя–высокая; сверить текст закона на consultant.ru.
Портал персональных данных Роскомнадзора — pd.rkn.gov.ru. Уверенность: высокая.