Политика обработки персональных данных

1. Оператор

Оператор персональных данных: самозанятый Данилин Евгений Юрьевич, ИНН 580802668679, регион деятельности Пензенская область, Российская Федерация. Контакт по вопросам обработки и безопасности: support@eobl.online.

Политика применяется к eobl.online, eu.eobl.online, EOFO ID, лаунчеру, формам, каталогу, оплате и связанным серверным функциям.

2. Субъекты и категории данных

• Посетители: IP-адрес, дата и время запроса, сведения браузера и устройства, адрес запрошенной страницы, технические журналы безопасности.
• Участники: email, имя или никнейм, EOFO ID, необязательный телефон, язык, пароль в виде стойкого хеша и состояние входа.
• Устройства лаунчера: идентификатор установки, заданное пользователем имя устройства, операционная система, архитектура, версия лаунчера, время последней активности и отзыва доступа; коды подтверждения и refresh-токены лаунчера сохраняются только в виде криптографических хешей.
• Пользователи внешних связей: идентификатор провайдера, Discord-имя и аватар либо Microsoft/Xbox/Minecraft ID, игровой ник, UUID, состояние и время проверки лицензии. Refresh-токен Microsoft хранится в зашифрованном виде вместе с областью доступа и сроком действия; краткоживущие access-токены используются для запроса и постоянно не сохраняются.
• Заявители и участники событий: контакт, содержание обращения, вложения, игровой ID, состав, роль, доступность и добровольно сообщённые пожелания.
• Покупатели: состав и номер заказа, сумма, контакт, комментарий, статус оплаты, исполнения и возврата, а также версия, время и объём подтверждённой оферты или отдельного согласия. Номер карты, CVC и полный набор банковских реквизитов EOFO не получает.
• Администраторы и модераторы: идентификатор, роль, действия в панели и журнал аудита.

3. Цели и правовые основания

• Создание и защита EOFO ID, вход, восстановление доступа и работа лаунчера — заключение и исполнение пользовательского соглашения, а для необязательных данных также согласие.
• Рассмотрение обращений, заявок, идей и регистраций — согласие субъекта и действия по его запросу.
• Оформление, оплата, исполнение, поддержка и возврат заказа — заключение и исполнение договора, исполнение налоговых обязанностей и защита законных интересов сторон.
• Предотвращение атак, мошенничества и нарушений — обеспечение безопасности, защита прав оператора и пользователей, исполнение требований закона.
• Публичная карточка участника, публичный пользовательский контент или публичный результат выбранной услуги — отдельное согласие на распространение конкретных данных.

4. Операции и способы

Обработка может включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, сопоставление, предоставление уполномоченному обработчику, трансграничную передачу для выбранной функции, блокирование, обезличивание, удаление и уничтожение. Обработка преимущественно автоматизированная; решения о модерации и выполнении ручных услуг принимаются человеком.

5. Россия и европейский узел

Первичный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан Российской Федерации выполняются в основной базе на сервере в России. Файловое хранилище и основная база заказов, аккаунтов, заявок и обращений также находятся в России.

Сайт одновременно обслуживается европейским узлом в Нидерландах. При открытии eu.eobl.online этот узел получает сетевые данные запроса, включая IP-адрес. Для авторизованных функций он обращается к российской базе через зашифрованный закрытый туннель и не ведёт отдельную основную базу, однако такая обработка всё равно может являться трансграничной передачей.

Зашифрованная резервная копия основной базы создаётся ежедневно и хранится на нидерландском узле не более 14 дней; ключ расшифрования хранится отдельно от копий. Независимая ежедневная копия файлового хранилища пока не заявляется: для него используется резервирование провайдера до ввода отдельной проверенной процедуры восстановления.

До начала или изменения трансграничной передачи оператор обязан выполнить предусмотренное законом уведомление и оценить иностранного получателя и меры защиты. Публикация этой Политики и согласие пользователя не заменяют такое уведомление.

6. Получатели и обработчики

• AdminVPS — размещение российского и нидерландского VDS и резервной инфраструктуры.
• REG.RU — отправка транзакционной почты с адресов домена eobl.online.
• Robokassa — создание платёжной страницы, подтверждение статуса оплаты и, если подключено, техническая передача данных для чека.
• Discord — авторизация, бот и функции сообщества после их включения и действия пользователя.
• Microsoft, Xbox и Minecraft Services — проверка учётной записи и права доступа к Minecraft по инициативе пользователя.
• Twitch — плеер и чат только после отдельного нажатия кнопки загрузки; браузер соединяется с Twitch напрямую.
• Государственные органы — только при наличии законного и надлежащим образом оформленного требования. Ни один технический способ не позволяет правомерно обещать абсолютную недоступность данных для законных требований.

7. Cookies и локальное хранилище

Сайт использует необходимые cookies сессии и защиты входа, cookie выбора языка и локальное хранилище корзины. Они нужны для запрошенной функции и не применяются для рекламного профилирования.

Разрешение на загрузку Twitch сохраняется в локальном хранилище браузера. Его можно отменить кнопкой возле плеера или очисткой данных сайта. До разрешения скрипт, плеер и чат Twitch не загружаются.

8. Сроки хранения

• Одноразовые коды, запросы подключения устройства и игровые билеты перестают приниматься сразу после указанного срока. Просроченные технические записи удаляются регламентной очисткой не позднее 30 дней после истечения, если они не нужны для расследования инцидента.
• Сессия сайта и refresh-токен лаунчера действуют не более 30 дней, если не завершены или не отозваны раньше. Отозванные и истёкшие токены удаляются регламентной очисткой; в базе хранится их хеш, а не исходное значение.
• Зашифрованный refresh-токен Microsoft хранится, пока пользователь использует связанную учётную запись; при отвязке он удаляется. Краткоживущие access-токены постоянно не сохраняются.
• Аккаунт и профиль хранятся до удаления пользователем либо пока аккаунт нужен для действующих отношений и защиты прав сторон. Обращения, заявки, регистрационные данные и связанные вложения хранятся до завершения обработки и затем, как правило, не более трёх лет для разрешения возможных споров; ненужные вложения удаляются раньше.
• Заказы, платежные статусы и документы расчётов хранятся в течение срока, необходимого для налогового учёта и защиты прав сторон, как правило не менее пяти лет, если иной срок не установлен законом.
• Журналы безопасности хранятся столько, сколько требуется для расследования и предотвращения повторных инцидентов, обычно не более одного года, если запись не относится к незавершённому разбирательству. Зашифрованные ежедневные копии базы автоматически удаляются по истечении 14 дней.

9. Меры защиты

• TLS для внешних соединений и зашифрованный закрытый туннель между VDS.
• Разграничение прав, серверное хранение секретов отдельно от исходного кода, хеширование паролей и токенов лаунчера, шифрование refresh-токена Microsoft с привязкой к аккаунту и игровой идентичности, ограничение попыток входа.
• Закрытые порты базы и хранилища, зашифрованные резервные копии базы, журналирование административных действий и регулярное обновление компонентов.
• План реагирования: ограничение инцидента, сохранение доказательств, оценка риска и уведомления в установленные законом сроки.

10. Права субъекта

Субъект вправе запросить сведения об обработке, доступ, уточнение, блокирование или удаление данных, отозвать согласие и обжаловать обработку. Запрос направляется через категорию «Данные и приватность» в поддержке или на support@eobl.online.

Оператор отвечает по существу в срок, установленный законом, и вправе запросить сведения для безопасной идентификации заявителя. Отзыв согласия не прекращает обработку, которая необходима для исполнения договора, закона или защиты прав, и не отменяет законность ранее выполненных действий.

11. Инциденты и изменения

При инциденте оператор действует по требованиям законодательства, включая первоначальное уведомление уполномоченного органа и последующее сообщение о результатах расследования в применимые сроки. Существенные изменения Политики публикуются новой версией; для новых целей, требующих согласия, оно запрашивается отдельно.