Политика конфиденциальности

Эта политика описывает, какие данные о вас получает и создаёт сервис CobraDrop, зачем он это делает, кому эти данные передаются и что вы можете с ними сделать. Оператор данных — ОсОО «Транстрейд», Кыргызская Республика, г. Бишкек, Ленинский район, ул. Калык Акиева, 66; ОГРН 310961-3301-ООО; ИНН 9909710251; под «сервисом», «мы» и «нами» здесь понимается оно вместе с сайтом CobraDrop и всеми его механиками. Связаться с нами можно двумя способами: бот поддержки в Telegram t.me/CobraDropBot и почта CobraDrop@proton.me; обращения, оставленные в других местах, до нас не доходят.

CobraDrop доступен по нескольким адресам. Это один и тот же сервис — один аккаунт, один баланс, один инвентарь и один текст правил. Технически адреса разделены: вход и подтверждение правил, выполненные по одному адресу, на другой не переносятся, у каждого адреса свои файлы cookie, своё согласие и свой счётчик посещаемости, а панель управления сервисом существует только на основном адресе.

У сервиса три документа, и они читаются вместе: пользовательское соглашение (/terms), настоящая политика (/privacy) и политика cookies (/cookies). Других правил у нас нет: если нужное вам правило не написано в одном из этих трёх текстов, его не существует.

Мы описываем только то, что сервис действительно делает на дату этой редакции. Если процедуры у нас нет, политика о ней не заявляет; там, где мы чего-то не обещаем, это сказано прямо. Номер редакции у всех трёх документов общий, и при его смене согласие берётся заново.

Вход выполняется только через Steam OpenID. Пароль вы вводите на стороне Valve, на steamcommunity.com: к нам он не попадает — мы его не получаем, не видим и не храним. Мы никогда не запрашиваем пароль Steam и код Steam Guard.

От Valve мы получаем ваш идентификатор Steam, имя профиля и ссылку на аватар. По идентификатору Steam однозначно строится ссылка на ваш профиль Steam — мы используем её при разборе обращений и проверках. Эти значения обновляются при каждом входе: изменив ник или картинку в Steam, вы меняете их и у нас, отдельная просьба об исправлении не нужна. Исключение одно — публичная лента: в её записях ник сохраняется таким, каким был в момент выпадения предмета, и задним числом не меняется. Valve, в свою очередь, видит, на какой адрес сервиса выполняется вход, — это часть самого протокола.

Отдельно и честно: у Steam OpenID нет выдаваемого сайту доступа, который можно было бы «отозвать» в настройках Steam. Прекратить поступление к нам этих сведений можно, перестав входить в сервис; фоновые проверки, о которых сказано ниже, прекращаются сами, когда ваш аккаунт перестаёт попадать в их отбор.

Есть и второй случай, когда мы обращаемся к Steam без вашего действия. Для бонусных заданий об оформлении профиля (наш ник, наша аватарка) сервис периодически спрашивает у Steam имя профиля и изображение аватара участников — иначе задание невозможно засчитать. Под такую проверку попадают не все аккаунты, а те, что подходят под условия задания. Мы храним имя профиля, признак совпадения аватара и даты, с которых оформление держится.

Ссылка на обмен в Steam (трейд-ссылка). Вы вводите её сами в настройках, и это единственный адрес, по которому уходит выведенный предмет. Прямо предупреждаем: трейд-ссылка содержит идентификатор получателя в Steam и передаётся торговой площадке при каждом выводе (раздел 9). Копия ссылки сохраняется в самой заявке. Кроме того, каждая сохранённая вами ссылка записывается в историю ссылок обмена — со временем сохранения, IP-адресом, браузером и последним отпечатком браузера (раздел 5); при смене ссылки прежние значения не стираются. Сохранить можно только ссылку своего аккаунта Steam: ссылку, ведущую на чужой аккаунт, сервис не примет. Совпадение трейд-ссылок у разных аккаунтов — сильнейший для нас признак того, что за ними один человек.

Telegram. При привязке и переписке с ботом мы сохраняем идентификатор чата, имя пользователя, имя и фамилию из профиля Telegram, признак подписки на наш канал и дату проверки, ваши настройки уведомлений по четырём категориям, отметки о блокировке бота и о закрытии доступа к поддержке, даты первого и последнего контакта и дату отписки от канала. Переписка с поддержкой сохраняется целиком и в обе стороны — и ваши сообщения, и наши ответы.

Просим не передавать в переписку сведения, которых мы не запрашивали, — ни о себе, ни о третьих лицах: всё отправленное в бот остаётся в истории обращения. Ник и аватар видны публично — об этом в разделе 11.

Мы ведём историю IP-адресов и устройств вашего аккаунта: при каждом входе сохраняются IP-адрес, строка браузера (сведения о браузере и операционной системе) и время, а у открытой сессии — её IP-адрес и хеш строки браузера. Это нужно, чтобы предупредить вас о входе с незнакомого устройства, разбирать спорные операции и видеть, когда с нескольких аккаунтов играет один человек.

По каждому значимому действию в журнал событий записывается IP-адрес: регистрация и вход, открытие кейса, удвоение, апгрейд, контракт, джекпот, продажа предмета, покупка в магазине, пополнение, заявка на вывод, ввод промокода, сохранение трейд-ссылки, события Telegram, принятие правил и отметка согласия перед пополнением. Отдельно ведётся книга движений баланса — каждое списание и зачисление с причиной.

IP записывается и до всякой авторизации — в момент перехода по ссылке-приглашению: без этого невозможно правильно засчитать приглашение. Для счётчика уникальных посетителей в панели управления в базу пишется не сам адрес, а его посоленный хеш и число заходов за сутки.

Если на странице происходит ошибка, ваш браузер отправляет нам её описание: текст и стек ошибки, адрес открытой страницы и строку браузера; сервер добавляет адрес подключения. Так же ведут себя страницы и у невошедших посетителей. Эти сообщения нужны только для починки и попадают в журнал приложения на сервере.

Сервер ведёт журнал обращений к программному интерфейсу приложения: маршрут, метод, код ответа, время и адрес. Всё перечисленное в этом разделе собирается ради безопасности, противодействия злоупотреблениям и разбора денежных споров; правила и пороги, по которым эти данные срабатывают, мы не раскрываем (разделы 12 и 16).

Отдельно ведутся журнал согласий и контекст денежных операций. В журнал согласий записывается, какую редакцию правил вы приняли, когда, на каком адресе сайта, с какого IP-адреса и браузера и, если вы вошли, под каким аккаунтом — в том числе при входе и отметкой перед каждым пополнением. Вместе с записью сохраняются дословный текст того, что вы отметили, и контрольная сумма принятой редакции документов, а сами редакции мы храним в архиве: так всегда можно показать, с каким именно текстом вы согласились. При создании пополнения и заявки на вывод вместе с ней сохраняются IP-адрес, браузер и время; у заявки на вывод, кроме того, записывается каждая смена её состояния со временем — закупка, отправка обмена, выдача или отмена. К записям журнала согласий, пополнений, выводов и истории ссылок обмена прикладывается последний отпечаток вашего браузера (раздел 5).

Отпечаток браузера считается только у вошедшего игрока, только по защищённому соединению и один раз за загрузку вкладки; у гостей он не считается. В расчёт идут ширина, высота и глубина цвета экрана, часовой пояс, набор языков, число процессорных ядер, объём памяти, число точек касания, сведения о видеокарте (производитель и модель, которые браузер сообщает через WebGL, а если он их не сообщает — версия WebGL) и результат отрисовки контрольной надписи на скрытом холсте. Строку браузера и масштаб страницы в отпечаток мы не включаем.

Все эти признаки сворачиваются в хеш SHA-256, и на сервер уходят только его первые 64 бита. Сами параметры мы не храним: по сохранённому значению нельзя ни восстановить устройство, ни прочитать исходные признаки — оно годится только на то, чтобы сравнить его с другим таким же. Вместе с отпечатком сохраняются ваш аккаунт, IP-адрес и время; повтор того же отпечатка записывается не чаще раза в сутки. В вашем браузере при этом ничего не сохраняется.

Зачем он нужен: выявление связанных аккаунтов — сотрудник видит в панели управления группы аккаунтов с совпадающим отпечатком — и разбор спорных операций: при платёжном споре отпечаток вместе с записями операций передаётся платёжному партнёру (раздел 10). Вход по отпечатку не блокируется, оповещение о входе с незнакомого устройства от него не зависит (оно строится по строке браузера, раздел 4), и само по себе совпадение никого не блокирует — решение принимает человек (раздел 12). Отпечаток — не доказательство: одинаковые устройства разных людей могут дать одно значение, а обновление браузера или драйвера меняет его у одного человека.

Мы говорим об этом прямо: это сбор данных со страницы вашего браузера, и умолчание о нём было бы той самой неправдой, которой в этом документе быть не должно.

Учётные и денежные записи: баланс и книга его движений; пополнения — сумма, способ, статус, идентификатор операции у платёжного провайдера и служебное подтверждение, которое он присылает; IP-адрес, браузер и время создания платежа; заявки на вывод — предмет, стоимость, копия трейд-ссылки, статус, идентификатор обмена, срок удержания, служебные отметки и причина, по которой закупка не прошла; IP-адрес, браузер и время создания заявки и хронология смены её состояния.

Игровые записи: инвентарь с источником, стоимостью и порогом отыгрыша каждого предмета; история операций — что поставлено, что получено, показанное вам значение шанса и служебные параметры раунда; участие в механиках (ставки и билеты джекпота, батлы, входы в розыгрыши, очки событий, бесплатные открытия); бонусы, промокоды и реферальные начисления; ваша лента уведомлений.

Служебные сведения команды: свободная заметка сотрудника о конкретном игроке; служебная причина ограничения и отдельный публичный комментарий, который видите вы; журнал действий сотрудников — кто, что, над кем, что было и что стало, причина, адрес и браузер сотрудника; состав найденных групп связанных аккаунтов.

Движения баланса устроены как книга, которая только дописывается: строка о списании или зачислении не стирается и не переписывается задним числом. У пополнений и заявок на вывод меняются их статус и служебные отметки. Записи об активации промокода и об участии в розыгрыше исчезают вместе с самим промокодом или розыгрышем, если он удаляется целиком.

Цели: вход и работа аккаунта; исполнение операций и денежный учёт; безопасность сервиса и противодействие злоупотреблениям; разбор обращений, споров и защита наших прав; работа поддержки; уведомления; статистика посещаемости; выполнение обязательных требований по законным запросам уполномоченных органов.

Основания: обработка необходима, чтобы исполнить наши договорённости с вами, и отвечает нашему законному интересу — защитить сервис, других игроков и свои права. Там, где мы берём согласие (окно согласия — правила, файлы cookie и счётчик посещаемости; отметка перед пополнением; привязка Telegram; настройки уведомлений), основанием служит оно, и его можно отозвать способом из раздела 15. Обработка ведётся по законодательству Кыргызской Республики.

Мы не продаём персональные данные и не передаём их рекламным сетям. Сведения об аккаунте, ставках и балансе в счётчик посещаемости не передаются; за то, как владелец счётчика распоряжается собранной им самим статистикой, отвечает он — ссылки на его условия и на средство отказа от учёта даны в политике cookies (/cookies, раздел 7).

Сервис ставит семь собственных файлов cookie: сессия входа, подтверждение условий, одноразовая защита начатого входа, метка приглашения, признак посещения для счётчика, показ приветствия и служебная сессия панели управления, которая игроку не выдаётся никогда. Подтверждение условий хранит номер принятой редакции, а не признак возраста; пока в нём нет номера действующей редакции, счётчик посещаемости не загружается. Полный перечень с назначением, сроком жизни и последствиями отказа — в политике cookies (/cookies). Часть настроек интерфейса — громкость, пресеты механик, режим стримера — хранится в браузере и на сервер не уходит.

Посещаемость мы считаем внешним счётчиком: подключаем Яндекс.Метрику, но только после того, как вы нажали «Принять» в окне согласия. Состав того, что он собирает (адрес страницы, источник перехода, параметры браузера и экрана, адрес подключения), и состав его собственных файлов cookie определяет владелец счётчика, а не мы. В настройках, которые задаём мы, включены карта кликов, учёт переходов по внешним ссылкам и уточнённый расчёт отказов. Вебвизор — запись действий на странице — выключен.

Счётчик свой на каждом адресе сервиса, и если для адреса номер счётчика не задан, скрипт не подключается вовсе. Счётчика нет в панели управления, на страницах профиля и на экранах возврата от платёжной системы — ни при первой загрузке, ни при переходах внутри сайта: в адресах этих страниц стоят идентификатор игрока и номер платежа, и мы не отдаём их наружу.

Чего счётчику не достаётся: идентификатора вашего аккаунта, имени профиля, баланса, ставок и результатов игр — целей и параметров визита мы ему не передаём вовсе.

При первом заходе на каждый наш адрес показывается окно согласия: в нём вы подтверждаете возраст, принимаете правила и соглашаетесь на файлы cookie, включая счётчик посещаемости, — кнопкой «Принять». До нажатия счётчик не загружается и своих файлов не ставит; то же, когда подтверждение снято выходом из аккаунта или относится к прежней редакции. Строго необходимые файлы из политики cookies работают независимо от нажатия — без них не работает вход.

Valve и Steam получают ваши данные при входе и при фоновом обращении за именем профиля и аватаром (раздел 2). Отдельно: аватары ваш браузер загружает напрямую с серверов доставки Valve, поэтому им виден ваш адрес и обычные заголовки браузера; адрес открытой страницы им не передаётся.

Платёжный провайдер. Платежи принимает внешняя платёжная компания, и она получатель ваших данных. При пополнении мы передаём ей сумму, способ оплаты, описание платежа, адреса возврата, номер депозита, ваш внутренний идентификатор у нас и отображаемое имя — то есть ваш ник. Платёжные реквизиты вы вводите на её странице, через наш код они не проходят. Обратно приходят статус, сумма, валюта, идентификатор операции и служебное подтверждение, которое мы сохраняем как есть.

Торговая площадка. Предметы закупает и отправляет внешняя торговая площадка, и она тоже получатель ваших данных. При каждом выводе туда уходят обе части вашей трейд-ссылки (то есть фактически идентификатор получателя в Steam), обозначение предмета, его цена и наш служебный номер заявки. Предмет площадка отправляет напрямую вам: собственных торговых ботов у сервиса нет и через нас предмет не проходит. Источники цен предметов получают только запросы о ценах — данные о людях туда не уходят.

Telegram. Через него идёт вся переписка поддержки и все уведомления, поэтому в Telegram попадают суммы зачислений и начислений, название выигранного или выводимого предмета и ник приглашённого вами друга, а при входе с незнакомого устройства — ваш IP-адрес и строка «браузер · операционная система». Служебные потоки о модерации и находки поиска связанных аккаунтов уходят в закрытый рабочий чат команды.

Инфраструктура. Хостинг, веб-сервер и система защиты от атак транзитно видят обращения и адреса посетителей. Резервные копии базы данных передаются по защищённому каналу ограниченному кругу лиц на нашей стороне; подробности их доставки мы не раскрываем — это сведения о защите.

Мы вправе передать сведения по законному требованию уполномоченных органов, использовать их для защиты своих прав в споре и передать платёжному партнёру и банку то, что необходимо для рассмотрения платёжного спора: сведения о пополнении, входах, согласиях, игровых операциях, выводах и переписке с поддержкой по вашему аккаунту. Предварительно уведомлять вас о раскрытии мы не обязаны, если это помешало бы проверке или запрещено. При передаче сервиса другому лицу данные переходят к правопреемнику.

Публичная лента показывает ник, аватар, название предмета и его расчётную стоимость: это недавние выпадения на сервисе.

Страница вашего профиля публична. По прямой ссылке она показывает ник, аватар, инвентарь, статистику и историю апгрейдов и контрактов любому, кто знает адрес: проверки, вошёл ли смотрящий, на ней нет, и знать вашу ссылку может кто угодно, кому вы её дали или кто получил её от другого человека. Баланс и прогресс ранга видны только владельцу аккаунта. Страницы профилей закрыты от поисковых систем и не охвачены счётчиком посещаемости.

Отдельной настройки, которая скрывала бы страницу профиля или убирала ник из ленты, в сервисе сейчас нет, и обещать её мы не будем. Если вам это важно, исходите из того, что ник и аватар в сервисе публичны, и выбирайте их соответственно.

Признаки связи между аккаунтами и рискованного поведения вычисляются автоматически: совпадение трейд-ссылки (в том числе прежних, из истории ссылок), IP-адреса и браузера по истории входов, отпечатка. Часть операций автоматически уходит на ручную проверку или приостанавливается до её окончания.

Решения, которые действительно затрагивают ваш доступ и ваши средства — ограничение, блокировка, закрытие вывода, — принимает человек. Автоматической блокировки по совпадению признаков у нас нет: совпадение только показывается сотруднику, а решение принимает он.

Вы вправе изложить свою позицию и попросить пересмотр решения через поддержку — бот t.me/CobraDropBot или почту CobraDrop@proton.me. Сами правила, признаки и пороги мы не раскрываем — в том числе в ответ на запрос о ваших данных: их раскрытие было бы инструкцией по обходу защиты.

Мы храним данные, пока это нужно для целей из раздела 7: пока существует аккаунт, пока исполняются и проверяются операции, пока не завершён спор или разбор злоупотребления и пока сохраняется необходимость защищать наши права и права других игроков.

Денежные и учётные записи — пополнения, выводы, движения баланса, история операций и обращений, журналы безопасности, журнал согласий, история IP-адресов, устройств и ссылок обмена — сохраняются и после закрытия аккаунта: они подтверждают расчёты и служат доказательством в спорах и при разборе злоупотреблений. Сведения, необходимые для исполнения ограничения доступа, тоже сохраняются — иначе ограничение было бы бессмысленным.

Конкретных сроков хранения мы не называем и таблицу сроков не рисуем: обещать срок, которого нет в работе сервиса, значит обещать непроверенное. Отдельно предупреждаем, что автоматической очистки журналов у нас нет.

Мы делаем резервные копии базы. После изменения или обезличивания данных в базе прежние значения какое-то время остаются в копиях, поэтому мгновенного и полного стирания мы не обещаем.

Что делаем мы: файл сессии недоступен скриптам страницы; начатый вход одноразово привязывается к вашему браузеру; ответ Steam одноразовый и повторно не принимается; действуют ограничения частоты обращений и сверка источника запроса; подлинность платёжного подтверждения проверяется секретом; доступ команды работает через отдельную защищённую сессию с журналом действий; резервные копии базы шифруются.

При входе с устройства, браузер которого раньше не встречался, в привязанный Telegram уходит оповещение с адресом и устройством и кнопкой «Это не я — выйти везде», закрывающей все сессии, кроме текущей.

Абсолютной защиты не существует. Если произойдёт инцидент, затрагивающий ваши данные, мы сообщим о нём доступным нам способом — сообщением на сайте и, если Telegram привязан, в бот, — когда это не помешает устранению причины.

Что зависит от вас: беречь доступ к Steam и к привязанному Telegram, не передавать его другим, проверять адрес сайта и не переходить по ссылкам из чужих сообщений — у сервиса есть несколько адресов, а значит, бывают и поддельные копии. Мы никогда не пишем первыми с предложением обмена.

Вы вправе: узнать, какие данные о вас у нас есть, — в объёме, описанном в разделе 16; попросить исправить неточные; отозвать согласие там, где оно давалось; отказаться от уведомлений — по каждой из четырёх категорий отдельно, и это не затрагивает аккаунт; отвязать Telegram; попросить закрыть доступ к аккаунту (раздел 17); подать нам жалобу.

Все обращения — через бот поддержки (обращение становится тикетом) или на почту CobraDrop@proton.me; исполнение требует подтверждения того, что аккаунт ваш. Ник и аватар исправлять через нас не нужно: они подтягиваются из Steam и обновляются сами при входе, — кроме записей публичной ленты, где ник остаётся таким, каким был в момент выпадения предмета.

Отвязать Telegram нельзя, если к аккаунту не привязан Steam: входить было бы нечем. При отвязке закрываются все остальные сессии, а в отвязываемый чат уходит предупреждение.

Обращение мы рассматриваем в разумный срок; если для проверки нужно больше времени, мы сообщаем об этом в том же обращении. Мы вправе отказать, если требование нарушает права других людей или нашу необходимость хранить учётные записи об операциях, и объясняем причину отказа.

Мы отвечаем в объёме сведений о вашем аккаунте и ваших операциях: кто вы у нас, что вы делали, какие суммы и предметы прошли по вашему счёту, какие ограничения к вам применены и что вы сами нам сообщили.

В ответ не включаются: служебные записи проверок и внутренние пометки сотрудников; признаки, правила и пороги защиты от злоупотреблений, в том числе результаты поиска связанных аккаунтов и служебная причина ограничения; внутренние параметры игровых механик и служебные параметры отдельных раундов; сведения, раскрывающие устройство нашей защиты.

Причина изъятия простая: эти сведения либо затрагивают других людей, либо превращают ответ в инструкцию по обходу защиты сервиса. Публичный комментарий к вашему ограничению вы видите в самом сервисе, и его мы повторим в ответе.

Изъятие не лишает вас права возразить: вы можете изложить свою позицию и попросить пересмотр решения через поддержку — бот t.me/CobraDropBot или почту CobraDrop@proton.me (раздел 12).

Написав в поддержку — в бот или на почту, — вы можете попросить закрыть аккаунт. Закрытие выполняет администратор; кнопки самостоятельного закрытия в сервисе нет. Отдельной процедуры полного удаления данных сервис не предусматривает — почему, сказано ниже.

Что происходит при закрытии: вход в аккаунт и вывод прекращаются, все сессии закрываются, вместо ника в профиле показывается «Аккаунт закрыт», аватар убирается, ссылка на обмен убирается из профиля, а привязка Telegram снимается; история ссылок обмена остаётся в журналах безопасности. В записях публичной ленты ник остаётся таким, каким был в момент выпадения (раздел 2). Денежные и учётные записи остаются под внутренним номером.

Что остаётся: пополнения, выводы, движения баланса, история операций и обращений, журналы безопасности, журнал согласий, история IP-адресов, устройств и ссылок обмена. Причина простая — это подтверждение расчётов, доказательство в денежных спорах и защита от возвращения нарушителя. Обещать «удаление всех связанных данных» мы не можем и не будем. Прежние значения какое-то время остаются также в резервных копиях (раздел 13).

Обращение о закрытии не приостанавливает рассмотрение спора, не отменяет задолженность и не снимает ограничений: пока спор не завершён, а задолженность не погашена, обработка необходимых для этого данных продолжается. Денежные последствия закрытия аккаунта — что происходит с балансом, бонусами и незавершённым отыгрышем — описаны в пользовательском соглашении (/terms).

Сервис предназначен только для совершеннолетних: с 18 лет, а если право страны вашего пребывания требует большего возраста — с этого возраста. Данные лиц младше мы сознательно не собираем.

Мы вправе в любой момент запросить подтверждение возраста и ограничить доступ при обоснованных сомнениях. Если окажется, что аккаунтом пользуется человек младше допустимого возраста, доступ закрывается, а обработка ограничивается тем, что необходимо для учёта, разбора и защиты наших прав.

Родитель или законный представитель может обратиться к нам через поддержку. Денежных последствий такое обращение само по себе не создаёт: они описаны в пользовательском соглашении (/terms).

Номер редакции у этой политики общий с пользовательским соглашением и политикой cookies. При смене редакции согласие берётся заново при следующем входе: без совпадения номера вход не выполняется. Подтверждение вы даёте отдельным действием, сервис сохраняет его в вашем браузере вместе с номером принятой редакции и записывает в журнал согласий — номер редакции, время, IP-адрес, браузер и аккаунт, если вы вошли, а также дословный текст отмеченного и контрольную сумму редакции (раздел 4). Прежние редакции сохраняются в архиве. Действующая редакция всегда опубликована по этому адресу.

Изменения действуют на будущее. Мы берём на себя правило, ради которого этот документ и переписан: если код начинает собирать или передавать новые данные, политика правится вместе с кодом.

Что где искать: договорная рамка, деньги, игровые правила, бонусы, ограничения и блокировки — в пользовательском соглашении (/terms); файлы cookie и аналитика — в политике cookies (/cookies); данные о вас — здесь.

Связаться с нами можно только через бот поддержки t.me/CobraDropBot и по почте CobraDrop@proton.me. Любые другие адреса, аккаунты и «сотрудники» сервису не принадлежат.