Политика приватности

1. Ко је руковалац

За обраду података у игри „Шта би радије?“ одговара руковалац у смислу Закона о заштити података о личности:

Никола Токић (toleapps)
Славка Родића, 11000 Београд, Србија
Имејл: application.eili@gmail.com

У овом тексту „ми“ је руковалац, а „ти“ играч. Игра је доступна у Србији, Босни и Херцеговини, Црној Гори и Северној Македонији, на Андроиду, преко Google Play-а; верзије за iPhone и прегледач стижу касније. Политика важи за сваку верзију игре и за овај сајт.

2. Које податке обрађујемо и зашто

Игра као гост

Кад први пут почнеш да играш, сервер направи играча и додели му насумичан идентификатор. Уз њега уређај добија два токена сесије: приступни, који важи 15 минута, и токен за освежавање, који важи 30 дана и мења се при свакој употреби. Токени се чувају у меморији апликације на уређају (у прегледачу, у његовом localStorage).

Сервер отвара нову сесију сваки пут кад уређај добије нове токене: кад први пут почнеш да играш, при свакој пријави и кад после одјаве или истека сесије наставиш као нови гост. За сваку сесију чува хеш тренутног и претходног токена за освежавање (саме токене не чува), кад је сесија отворена, кад токени истичу и кад је сесија последњи пут освежена. Одјава брише сесију са које се одјавиш; сесија коју је заменила нова пријава остаје у бази, као и истекла. Уз сесију о уређају не чува ништа друго, ни модел ни оперативни систем.

Само на уређају, никад на серверу, чувају се језик игре, твој избор за аналитику, тема коју носиш и која си обавештења о одлукама модератора већ видео.

Уз сваки захтев апликација шаље и платформу (Андроид, iOS, веб или десктоп) и број своје верзије, да би сервер могао да затражи ажурирање застареле верзије. Сервер их не чува.

Зашто: да би игра знала да си то ти, без регистрације, и да би ти чувала поене.

Налог (необавезно)

Ако се региструјеш, уз истог играча чувамо корисничко име које изабереш (од 3 до 20 знакова) и лозинку, али само као хеш (PBKDF2-HMAC-SHA256, са посебном насумичном „сољу“ за сваку лозинку). Лозинку не можемо да прочитамо, не уписује се ни у какве евиденције и не шаљемо је никоме. Имејл адресу не тражимо, па заборављену лозинку не можемо да повратимо.

Ако се на уређају на ком играш као гост пријавиш на налог који већ имаш, поени и остали подаци госта не прелазе на налог. Гост остаје на серверу, али до њега више не води ниједан уређај (види колико дуго чувамо податке). Игра те на то упозори пре пријаве, ако гост има поена.

Зашто: да се пријавиш на другом уређају са истим поенима, да шаљеш своја питања и купујеш у продавници.

Пријава преко Google Play игара

Google Play игре (Google Play Games Services) су Google-ова услуга за игре на Андроиду. Ако си на телефону пријављен у Google Play игре, игра те преко њих сама пријави, без корисничког имена и лозинке; можеш и дугметом на екрану за пријаву. Апликација тада од Google Play игара добија једнократни код, а сервер га код Google-а замени и сазна идентификатор твог играча у Google Play играма. Чувамо само тај идентификатор и кад је повезан са твојим играчем у игри; токене које Google при томе издаје не чувамо.

Име твог профила у Google Play играма апликација чита са телефона, да би га показала на екрану налога; на сервер га не шаље и ми га не чувамо.

Веза је трајна: профил се повезује са играчем са ког се пријавиш, гостом или налогом, и за сада може да се раскине само брисањем налога. Ако је профил већ повезан са другим налогом у игри, пријава те пребацује на тај налог, а поени госта остају иза.

Зашто: да налог добијеш без куцања корисничког имена и лозинке.

Подаци о игри

Док играш, сервер чува:

• твог играча: идентификатор и кад је направљен; поене, број датих одговора и круг питања у ком си; за налог корисничко име и хеш лозинке; ако ти модератор забрани слање питања, од кад;
• одговоре: за свако питање страну коју си последњи пут изабрао, кад си први и кад последњи пут одговорио, у ком кругу, колико ти је требало да одговориш (до 10 минута) и насумичан кључ последњег слања, да се исти одговор не рачуна двапут;
• прескочена питања: које питање и у ком кругу, без времена;
• реакције: да ли на питању држиш палац горе или доле, без времена;
• питања која пошаљеш: оба одговора, категорије, статус, кад си питање послао, кад је модератор одлучио, кад је питање повучено из игре, разлог одбијања и колико је слање коштало;
• пријаве и сакривено: питања која пријавиш, са разлогом и временом пријаве, и питања и аутори које сакријеш од себе, без времена;
• куповине у продавници: које теме си купио, колико поена је свака коштала и кад.

Додири на дугмад „Играј“ на почетном екрану рачунају се само збирно, по дугмету, без тога ко је додирнуо.

Зашто: да игра ради. Сервер бира питања која ти у овом кругу још нису дошла на ред, рачуна поене и приказује како су играчи одговорили. Остали играчи виде само збирне бројеве, никад ко је шта изабрао, а питања се приказују без имена аутора. Пријаве користимо да из игре уклонимо питања која крше правила. Време одговора чувамо за персонализацију (испод); за сада га ништа не користи.

Дељење питања

Кад поделиш питање, апликација на уређају направи слику питања, са резултатима ако то изабереш, и преда је систему за дељење, па апликацији коју сам изабереш (на пример Instagram-у или Viber-у). На слици нема твог имена ни поена. Нама се слика не шаље; аналитика бележи само да је питање подељено (испод). Шта са сликом ради апликација у коју је делиш, одређују њена правила.

IP адреса и евиденције сервера

Сервер игре ради код Render-а, у Франкфурту. Render испред својих сервиса користи мрежу компаније Cloudflare, па сваки захтев игре пролази кроз њу: Render и Cloudflare виде IP адресу уређаја и техничке податке о захтеву (време, адресу захтева, верзију апликације или прегледача). Cloudflare-а је ангажовао Render, као свог пружаоца услуга, а не ми.

Ми IP адресу користимо само да ограничимо колико захтева може да пошаље једна адреса, против злоупотребе и погађања лозинки. Ти бројачи се чувају само у меморији сервера, најдуже један сат, и нестају при сваком поновном покретању сервера. IP адресу не уписујемо ни у базу ни у своје евиденције.

Евиденције сервера бележе за сваки захтев метод, адресу захтева, одговор и трајање, и техничке грешке. Где догађај треба пратити, наводе само идентификаторе: играча, на пример кад захтев одбијемо због ограничења, кад пошаље питање, купи тему или обрише налог, и питања, кад о њему одлучи модератор. Токене, лозинке, њихове хешеве, текст питања и разлоге одбијања никад не бележимо.

Зашто: безбедност и исправан рад игре.

Аналитика (PostHog, ЕУ)

Да бисмо видели шта у игри ради, а шта збуњује, апликација шаље догађаје о коришћењу компанији PostHog, на њене сервере у Европској унији: кад отвориш и напустиш апликацију и колико је посета трајала, отворене и напуштене екране и колико си на њима провео, додире на дугмад, приказана, одговорена и прескочена питања (идентификатор питања, категорије, изабрану страну, колико је одговор трајао и да ли се твој избор поклопио са већином), реакције, пријаве и сакривања, подељена питања, промене језика и категорија, регистрацију, пријаву (и преко Google Play игара), одјаву и брисање налога, послата питања, продавницу, купљене и изабране теме, отворена обавештења и грешке. Уз њих иду верзија апликације, платформа, оперативни систем и његова верзија, врста уређаја и језик игре.

Догађаји се везују за насумичан идентификатор направљен на уређају. Кад се региструјеш или пријавиш, везују се и за идентификатор твог играча у игри, који је такође насумичан, а никад за корисничко име. Не садрже име, имејл, лозинку, текст питања ни ништа што откуцаш. Захтеви до PostHog-а стижу са IP адресе твог уређаја: PostHog је чува уз догађаје и из ње одређује приближну локацију (државу и град), да бисмо видели одакле играчи долазе.

Аналитика је подразумевано укључена. Искључујеш је прекидачем Статистика на екрану О игри (на екрану налога икона „i“ горе): док је искључена, апликација не шаље ниједан догађај, а избор се чува на уређају.

Зашто: да поправљамо грешке и игру чинимо бољом.

Обавештења (Firebase Cloud Messaging)

Андроид верзија те обавести кад модератор одобри или одбије твоје питање. За то телефон добија токен за обавештења од Google-ове услуге Firebase Cloud Messaging, а апликација га шаље нашем серверу. Уз токен чувамо платформу (Андроид, iOS или веб), сесију уређаја која га је послала и кад је последњи пут послат. Кад модератор одлучи о твом питању, сервер преко Firebase Cloud Messaging-а шаље обавештење на твоје уређаје, највише десет најновијих, а у њему су текст питања и, ако је одбијено, разлог. Токен користимо само за то.

Апликација токен шаље серверу чим га телефон добије, и кад обавештења ниси дозволио: тада их телефон само не приказује. Дозволу апликација тражи једном, кад пошаљеш прво питање, а у подешавањима телефона можеш да је повучеш кад хоћеш.

Токен бришемо кад се на том уређају одјавиш, кад обришеш налог и кад Firebase јави да уређај више не прима обавештења.

Зашто: да сазнаш шта је било са твојим питањем.

Персонализација у изради

Касније желимо да ти бирамо питања према томе шта волиш, на основу онога што сервер већ чува док играш: одговора, прескочених питања, реакција и времена одговора. То је профилисање само ради избора питања које ће ти се приказати: никад за рекламе, никад се не продаје и нико други га не види. Не доноси одлуке које за тебе имају правно дејство нити сличан значајан утицај.

Питања о вери, политици, здрављу и сексуалности у игри за сада нису дозвољена (правила питања), па их модератор одбија. Ако неко такво питање ипак прође, одговори на њега се никад не користе за персонализацију, нити из одговора покушавамо да закључимо било шта о тим темама.

Пре него што персонализацију уведемо, ова политика ће описати како ради и како јој се противиш.

Кад нам пишеш

Ако нам пошаљеш имејл, твоју адресу и поруку користимо само да ти одговоримо и решимо захтев. Имејлове примамо преко Google-ове услуге Gmail.

Овај сајт

Овај сајт не користи колачиће ни аналитику и не учитава ништа са других сервиса. Хостује га Render, који може да бележи IP адресе посетилаца у својим техничким евиденцијама.

Шта не прикупљамо

Не тражимо име и презиме, имејл, број телефона, контакте ни фотографије. Не одређујемо где си тачно и не користимо GPS; приближну локацију из IP адресе одређује само аналитика (PostHog), као што је описано горе. У игри нема реклама ни рекламних идентификатора. Теме у продавници купују се само поенима из игре: ништа се не плаћа новцем и не обрађујемо податке о плаћању.

3. Правни основ

• Извршење уговора (члан 12. став 1. тачка 2) Закона о заштити података о личности; члан 6(1)(b) GDPR): игра као гост и са налогом, сесије, пријава преко Google Play игара, подаци о игри, питања која шаљеш, куповине у продавници и обавештења о твојим питањима. Без тога игра не може да ради онако како је користиш.
• Легитимни интерес (члан 12. став 1. тачка 6); члан 6(1)(f) GDPR): безбедност и ограничење броја захтева, евиденције сервера, модерација, пријаве и сакривање питања, аналитика ради побољшања игре и, кад буде уведена, персонализација. Овој обради можеш да уложиш приговор, а аналитику искључујеш и сам, прекидачем Статистика.
• Правна обавеза (члан 12. став 1. тачка 3); члан 6(1)(c) GDPR): кад нам закон налаже да податке сачувамо или предамо надлежном органу.

4. Ко још види податке

Податке никад не продајемо, не изнајмљујемо и не дајемо оглашивачима, нити их делимо ради реклама или маркетинга. Приступ имају само ови пружаоци услуга:

Render

хостинг сервера, базе података и овог сајта; сервер и база су у Франкфурту, у Немачкој. Испред својих сервиса Render користи мрежу компаније Cloudflare, која зато види IP адресе и захтеве. Политика приватности Render-а · Cloudflare-а

PostHog

аналитика, на серверима у Европској унији. Политика приватности

Google

Google Play, преко ког преузимаш игру, Firebase Cloud Messaging, преко ког стижу обавештења, и Google Play игре, за пријаву, као и Gmail, преко ког примамо имејлове. Политика приватности

Render, заједно са Cloudflare-ом ког ангажује, PostHog и Google за Firebase Cloud Messaging обрађују податке по нашем налогу, као обрађивачи. Google Play и Google Play игре су Google-ове услуге: податке које у њима обрађује, Google обрађује по сопственим условима и политици приватности. Кад изађе верзија за iPhone, овде ће се наћи и Apple-ове услуге (App Store, обавештења на iPhone-у, Game Center).

Модератор види текст, категорије и бројеве послатих питања, без корисничког имена аутора: види само насумичан идентификатор, по ком зна која питања имају истог аутора, да би могао да му забрани слање. Пријаве види збирно, по разлозима, без тога ко их је послао. Остали играчи виде само збирне бројеве и текст одобрених питања, без имена аутора. Податке дајемо државним органима само кад то закон налаже.

5. Пренос у друге државе

Сервер и база података су у Европској унији. Render, PostHog и Google имају седиште ван Србије и ЕУ, а мреже неких од њих, као и Cloudflare-ова, раде широм света, па се подаци могу пренети и у друге државе, пре свега у САД. Такав пренос заснивамо на заштитним мерама које закон предвиђа, као што су стандардне уговорне клаузуле или одлука о примереном нивоу заштите.

6. Колико дуго чувамо податке

• Налог, са корисничким именом или повезан са Google Play играма: док га не обришеш.
• Гост: док га не обришеш. Гост до ког више не води ниједан уређај (апликација је обрисана, 30 дана није коришћена па је сесија истекла, или си се на том уређају пријавио на други налог): бришемо га, са свим његовим подацима, после 90 дана неактивности.
• Сесија: док се са ње не одјавиш или не обришеш налог. Токен за освежавање престаје да важи после 30 дана без употребе; сесија се тада више не може користити, али остаје у бази док се не обрише играч ком припада, као и сесија коју је на уређају заменила нова пријава.
• Одговори, прескочена питања, реакције, сакривена питања и аутори, поени и куповине: док постоји налог.
• Твоја питања: одобрена, и она повучена из игре, остају у игри и после брисања налога, али без аутора; питања на чекању и одбијена бришу се са налогом.
• Пријаве питања: док их модератор не одбаци, кад се бришу, или док не обришеш налог.
• Токен за обавештења: док се на том уређају не одјавиш, не обришеш налог или Firebase не јави да уређај више не прима обавештења.
• Веза са Google Play играма: док не обришеш налог.
• Бројачи за ограничење захтева: у меморији сервера, најдуже један сат.
• Евиденције сервера: онолико колико их Render чува, најдуже 30 дана.
• Аналитика: најдуже две године од слања догађаја, затим се брише.
• Имејл преписка: док се захтев не реши, а затим најдуже три године, колико траје рок за захтеве због штете.

Брисање апликације са уређаја само по себи не брише налог.

7. Безбедност

Веза са сервером иде преко HTTPS-а. Лозинке чувамо само као хеш са сољу, а токене за освежавање само као SHA-256 хеш, па ни онај ко би дошао до базе из ње не би прочитао лозинке нити искористио токене. Токени на уређају чувају се у обичној меморији апликације, а не у посебном сефу оперативног система, јер игра не чува ништа осетљиво: ко има твој откључан уређај, може да игра уместо тебе. Покушаји погађања лозинке ограничени су по IP адреси. Ниједна мера није савршена, па ако приметиш нешто сумњиво, пиши нам.

8. Твоја права

По Закону о заштити података о личности („Службени гласник РС“, бр. 87/2018) и, ако живиш у Босни и Херцеговини, Црној Гори, Северној Македонији или Европској унији, по прописима своје државе, имаш право:

• на приступ: да сазнаш које податке о теби обрађујемо и добијеш њихову копију;
• на исправку нетачних података;
• на брисање: налог бришеш сам, у апликацији, или имејлом (како);
• на ограничење обраде;
• на преносивост: да податке о својој игри добијеш у машински читљивом облику;
• на приговор обради која се заснива на легитимном интересу, укључујући аналитику и персонализацију;
• да повучеш пристанак, ако се нека обрада на њему заснива;
• на притужбу Поверенику за информације од јавног значаја и заштиту података о личности (www.poverenik.rs), а ако живиш у другој држави, и надзорном органу своје државе.

Захтев пошаљи на application.eili@gmail.com, уз своје корисничко име или ИД налога. ИД налога има и гост: у игри отвори екран налога, па икону „i“ горе, и копирај га под ИД налога. Одговарамо без одлагања, најкасније у року од 30 дана. Лозинку ти никад нећемо тражити.

9. Узраст

Игра је намењена особама од 13 година и старијим. Ако имаш мање од 13 година, немој да је користиш. Ако сазнамо да налог припада млађој особи, можемо да га обришемо. Родитељ или старатељ може да нам пише на application.eili@gmail.com.

10. Измене ове политике

Ако променимо ову политику, нову верзију објављујемо на овој страници и мењамо датум на врху. О важним изменама можемо да те обавестимо и у игри.

Питања? Пиши нам.