Политика конфиденциальности

1. Общие положения

Настоящая Политика относится к сайту и программному обеспечению InventoryChanger (далее — «Сервис») и описывает обработку данных при регистрации, входе, использовании функций Сервиса, обращении в поддержку и оформлении Premium-доступа.

Оператор обрабатывает данные только для заранее определённых целей и в объёме, необходимом для работы Сервиса, безопасности, исполнения соглашения с пользователем и обязанностей, установленных законом.

2. Какие данные обрабатываются

• Данные аккаунта: логин, email, хеш пароля, статус подтверждения email, состояние аккаунта и служебные даты.
• Регистрация: одноразовый код подтверждения, защищённые производные кода и challenge-токена, число попыток и срок действия запроса. Сырой пароль в базе данных не хранится.
• Безопасность: последний успешный IP-адрес, технические идентификаторы сессии, события входа и ограничения частоты запросов. Для части перенесённых аккаунтов может храниться HMAC-производная аппаратного идентификатора, но не его исходное значение.
• Использование Сервиса: игровые настройки профиля, выбранные предметы и их конфигурация. Эти значения сохраняются в Laravel API и привязываются к авторизованному аккаунту.
• Premium и платежи: выбранный тариф, срок доступа, сумма, валюта, статус заказа, внутренние и провайдерские идентификаторы, email плательщика и технические данные сверки. Реквизиты банковской карты Сервис не принимает и не хранит.
• Технические журналы: IP-адрес, дата и время, запрошенный URL, метод, статус ответа, referrer и User-Agent могут попадать в серверные журналы.
• Региональные настройки: страна, приблизительно определённая по IP-адресу, и выбранный язык. Точная геопозиция не запрашивается.
• Обращения: сведения, которые пользователь сам сообщает при обращении в поддержку.

3. Для чего нужны данные

• создавать аккаунт, подтверждать email и выполнять вход;
• сохранять настройки профиля и инвентарь в аккаунте и синхронизировать их между сессиями;
• предоставлять функции Free и Premium и учитывать срок доступа;
• создавать, проверять и сопоставлять платежные заказы;
• предлагать подходящий язык интерфейса;
• защищать аккаунты, предотвращать злоупотребления и атаки;
• отвечать на обращения и устранять технические проблемы;
• исполнять требования закона и разрешать спорные ситуации.

В зависимости от ситуации основанием обработки служат действия до заключения договора, исполнение пользовательского соглашения или договора, согласие пользователя либо обязанность, установленная законом.

4. Cookies и хранение в браузере

Сервис использует необходимые first-party cookies для сессии, CSRF-защиты, функции «Запомнить меня» и проверки актуальности входа. Выбранный язык также сохраняется в first-party cookie, чтобы не запрашивать его при каждом посещении. В production-конфигурации обычная сессия рассчитана на 120 минут бездействия, а служебный cookie проверки remembered-сессии — до 30 дней. Фактические параметры зависят от настроек развёртывания.

Предыдущие версии Сервиса могли сохранять копию игровых настроек или инвентаря в localStorage. Текущая версия не читает и не переносит эти данные; удалить оставшуюся локальную копию можно через настройки браузера. На главной странице Яндекс Метрика (включая Вебвизор) анализирует посещения и взаимодействия и может устанавливать аналитические cookies. На страницах входа и личного кабинета счётчик не запускается.

5. Кому могут передаваться данные

Доступ получают только получатели, необходимые для работы Сервиса:

• инфраструктура размещения, журналирования и резервного копирования;
• почтовый провайдер — email и содержание служебного письма с кодом;
• SeverPay при включении оплаты — email, внутренние идентификаторы, сумма, валюта, срок платежа и адрес возврата;
• сервис приблизительного определения страны — IP-адрес; результат кэшируется по SHA-256-производной IP без записи исходного адреса в ключ кэша и используется только для автоматического выбора языка;
• Яндекс Метрика — технические данные о посещениях главной страницы и взаимодействиях с ней;
• государственные органы — когда передача обязательна по закону.

Сервис не продаёт персональные данные. При переходе в Telegram, Discord и другие внешние сообщества действуют правила соответствующих площадок.

6. Сроки хранения

Данные хранятся не дольше, чем это необходимо для заявленной цели, защиты Сервиса и выполнения требований закона. Запрос регистрации обычно действует 10 минут. Счётчики ограничений запросов хранятся от одной минуты до 24 часов. Серверные журналы и локальные резервные копии по текущему шаблону развёртывания ротируются в пределах примерно 7–14 дней, но настройки могут отличаться.

Для аккаунтов, платежных заказов и истории Premium единый срок автоматического удаления пока не установлен. Выход из аккаунта удаляет текущую сессию, но не данные аккаунта. Автоматическое удаление аккаунта в интерфейсе ещё не реализовано.

7. Защита данных

Применяются хеширование паролей, HMAC для части технических значений, CSRF-защита, ограничения частоты запросов, разграничение доступа и защищённые настройки cookies. Ни один способ передачи или хранения не может гарантировать абсолютную безопасность, поэтому меры регулярно пересматриваются по мере развития Сервиса.

8. Права пользователя

Пользователь может запросить сведения об обработке, уточнение, ограничение или удаление данных, отозвать согласие, когда обработка основана на согласии, а также обжаловать действия оператора. Некоторые данные могут быть сохранены, если этого требует закон или они нужны для защиты прав в споре.

9. Обновление Политики и связь

Новая редакция публикуется на этой странице с новой датой. Если закон требует отдельного согласия, публикация сама по себе его не заменяет. Вопросы о данных можно направить в @dejavuya.