Политика конфиденциальности и защиты персональных данных

1. Общие положения и принципы минимизации данных

1.1. Оператор проекта NeverLand обрабатывает только тот минимальный объем технических и учетных данных, который действительно необходим для работы игрового аккаунта, защиты его от взлома, выдачи приобретенных цифровых услуг и поддержания порядка на сервере.

1.2. Проект не осуществляет скрытого профилирования пользователей, не собирает биометрические или специальные категории чувствительных данных и ни при каких обстоятельствах не продает пользовательские данные третьим лицам или рекламным сетям.

2. Категории собираемых данных и конкретные правовые основания их обработки

Мы разделяем данные в зависимости от цели и правового основания их обработки, не смешивая исполнение договора с добровольным согласием:

• Исполнение договора (Пользовательского соглашения и Публичной оферты):
  Игровой никнейм (`username`), уникальный внутриигровой идентификатор (`UUID`), криптографический хеш пароля, данные об активной группе привилегий, балансе `NCoin` и история заказов (ID заказа, сумма, название пакета, статус выдачи). Без этих данных технически невозможно предоставить доступ к аккаунту и начислить покупку.
• Законный интерес Оператора (обеспечение безопасности и защита от злоупотреблений):
  IP-адрес при регистрации и авторизации, время последнего входа, журналы подключений к игровому серверу и записи о модерации (блокировках). Эти данные используются исключительно для предотвращения брутфорс-атак, обхода блокировок, сетевых атак и несанкционированного доступа к чужим аккаунтам.
• Добровольное согласие Пользователя (для дополнительных необязательных функций):
  Адрес электронной почты (`email` — привязывается по желанию Пользователя для восстановления пароля), а также идентификатор чата и имя пользователя Telegram (`telegram_chat_id`, `telegram_username`) или секретный ключ TOTP — исключительно в случае, если Пользователь сам решил включить двухфакторную аутентификацию (2FA) в личном кабинете. Пользователь может в любой момент отключить эти функции.
• Выполнение правовых обязанностей и разрешение споров:
  Сведения о совершенных транзакциях и обращениях в поддержку по вопросам возвратов средств. Оператор не собирает и не хранит полные номера банковских карт, коды CVV/CVC или приватные ключи криптокошельков — ввод платежных реквизитов осуществляется напрямую на стороне выбранного платежного провайдера.

3. Фактические технические меры безопасности и сроки хранения данных

3.1. Хранение паролей: Пароли пользователей никогда не сохраняются в открытом виде. При регистрации и смене пароля на Сайте используется специализированный адаптивный алгоритм криптографического хеширования BCrypt (`bcrypt`) с индивидуальной солью (salt).

3.2. Передача данных: Обмен данными между браузером Пользователя и веб-сайтом `neverlands.fun` осуществляется по защищенному протоколу HTTPS. Доступ к базе данных ограничен сетевыми правилами и разрешен только авторизованным серверным компонентам проекта.

3.3. Конкретные сроки хранения по категориям данных:

• Данные учетной записи (`username`, `UUID`, хеш пароля, привилегии): хранятся в течение периода существования аккаунта до момента подачи Пользователем запроса на удаление учетной записи;
• Веб-сессии авторизации (`neverland_web_sessions`): хранятся до 30 календарных дней с момента входа или до момента нажатия кнопки «Выйти» / завершения сессии в личном кабинете;
• Коды подтверждения Email и привязки Telegram: являются одноразовыми и автоматически аннулируются после использования или истечения срока действия (от 15 до 60 минут);
• Записи о покупках и финансовых транзакциях: хранятся в течение срока, необходимого для подтверждения исполнения договора, сверки расчетов и рассмотрения возможных платежных претензий (до 3 лет);
• Журналы модерации и активных блокировок: хранятся в течение срока действия соответствующего ограничения и до 12 месяцев после его окончания для предотвращения повторных нарушений и рассмотрения апелляций.

4. Использование файлов Cookie и локального хранилища браузера (localStorage)

4.1. На Сайте используются только строго необходимые технические механизмы хранения состояния на устройстве Пользователя:

• Файл Cookie `session_token` (`HttpOnly`, `SameSite=Lax`, срок действия — 30 дней): содержит случайный 64-символьный криптографический идентификатор сессии для поддержания авторизации Пользователя в личном кабинете и на форуме;
• Локальное хранилище браузера (`localStorage` / `sessionStorage`): технически не является файлом cookie и используется на стороне браузера только для сохранения пользовательских настроек интерфейса и защиты форм от автоматической отправки ботами.

4.2. На Сайте не используются сторонние рекламные трекеры и системы поведенческого ретаргетинга.

5. Получатели данных и внешние сервисы

5.1. Доступ к отдельным техническим данным может предоставляться внешним сервисам исключительно в объеме, необходимом для выполнения запрошенной Пользователем операции:

• Платежные провайдеры и агрегаторы (при оформлении покупки): получают идентификатор заказа, сумму и описание покупки для проведения оплаты;
• Сервис доставки системных писем (при привязке или восстановлении через Email): получает адрес электронной почты Пользователя исключительно для отправки кода подтверждения или ссылки сброса пароля;
• Telegram API (только при включении Пользователем Telegram 2FA): используется для отправки кодов подтверждения входа в привязанный аккаунт Telegram.

6. Права Пользователя и порядок обращения

6.1. В соответствии с применимым законодательством о защите персональных данных Пользователь имеет право:

• запросить информацию о том, какие данные о его аккаунте хранятся в базе данных проекта, и получить их копию;
• потребовать исправления неточных данных или самостоятельно изменить привязанный Email и пароль в личном кабинете;
• отозвать согласие на необязательную обработку данных (например, отвязать Telegram 2FA или удалить Email);
• запросить удаление своей учетной записи и связанных с ней персональных данных (за исключением сведений, хранение которых временно необходимо для урегулирования открытых финансовых споров или расследования зафиксированных сетевых атак).

6.2. Сроки и контакты: Запросы по вопросам конфиденциальности и реализации прав направляются на официальный адрес [email protected]. Оператор рассматривает и исполняет запрос в срок до одного месяца (30 календарных дней) с момента верификации принадлежности аккаунта заявителю (с возможностью предусмотренного законом продления при высокой сложности запроса, о чем Пользователь уведомляется отдельно).