GHOST SYSTEM / 157-legal-1
Polityka prywatności
Aktualizacja:
1. Administrator i kontakt
Administratorem danych osobowych w CHAOS — Cyber Hacking Adventure Of Senses — jest Michał Cezary Jankiewicz, prowadzący grę jako osoba prywatna. Adres: ul. Relaksowa 5 lok. 1, 27-400 Ostrowiec Świętokrzyski, Polska. Kontakt w sprawach konta, ochrony danych i realizacji praw: year2108@chaos.re. Polityka dotyczy serwisu chaos.re i jego instalowanej aplikacji internetowej (PWA).
2. Dane konta i rozgrywki
CHAOS przetwarza identyfikator konta, login lub nick, adres e-mail, wybrany klan, profesję, avatar, postęp i działania w grze oraz treści przesyłane przez gracza. Nick, profil, publikacje i działania we wspólnym świecie mogą być widoczne dla innych graczy. Nie publikuj danych, których nie chcesz udostępniać.
3. Logowanie i zewnętrzni dostawcy
Możesz korzystać z lokalnego konta lub dostępnych metod Google, GitHub, Discord i Steam. Przy logowaniu zewnętrznym otrzymujemy identyfikator u dostawcy oraz, jeśli jest dostępny, adres e-mail i informację o jego potwierdzeniu. CHAOS nie otrzymuje hasła do konta dostawcy. Hasła lokalne są przechowywane jako skróty kryptograficzne. Sam zgodny adres e-mail nie powoduje automatycznego połączenia kont.
4. Google: zakres i wykorzystanie danych
Logowanie przez Google jest opcjonalne. Po wybraniu tej metody przechodzisz na stronę Google; CHAOS prosi wyłącznie o zakresy openid i email. Z podpisanego tokenu odczytujemy identyfikator konta Google (sub), adres e-mail i informację o jego potwierdzeniu (email_verified). Zapisujemy te dane oraz daty powiązania i użycia metody w bazie kont CHAOS. Służą utworzeniu konta, logowaniu i powiązaniu Google z istniejącym kontem na Twoje żądanie. Potwierdzony e-mail może zostać adresem bezpieczeństwa konta, używanym do kodów i potwierdzeń. Sam zgodny adres e-mail nie łączy automatycznie dwóch kont. Nie otrzymujemy hasła Google, nie pobieramy zdjęcia profilowego i nie żądamy dostępu do Gmaila, Dysku, Kontaktów ani Kalendarza.
5. Google: zabezpieczenia i odbiorcy danych
Wymiana kodu logowania i sprawdzenie podpisanego tokenu odbywają się po stronie serwera przez HTTPS. Tokeny dostępu i odświeżania nie są zapisywane w tabelach Identity Gateway. Powiązanie Google nie jest publiczną częścią profilu gracza. Dane konta są przetwarzane na infrastrukturze serwerowej CHAOS; adres odbiorcy i treść wiadomości bezpieczeństwa trafiają do usługi pocztowej cyber_Folks oraz do dostawcy poczty odbiorcy podczas doręczenia. Google obsługuje swoją część logowania i otrzymuje dane niezbędne do autoryzacji. Korzystanie ze strony Google podlega także polityce prywatności Google. Zakres dostępu do infrastruktury, lokalizacje i ewentualne transfery opisuje sekcja o odbiorcach.
6. Odłączenie Google i usunięcie danych
W grze otwórz Ustawienia → Konto → Identity Gateway. Odłączenie Google usuwa bieżące powiązanie dostawcy; musi pozostać inna metoda logowania. Nie usuwa to konta CHAOS ani adresu e-mail zapisanego osobno jako adres bezpieczeństwa. Dostęp aplikacji możesz również cofnąć w ustawieniach połączeń z aplikacjami na swoim koncie Google; samo cofnięcie dostępu nie usuwa danych już zapisanych w CHAOS. Usunięcie konta w Identity Gateway wymaga ponownego uwierzytelnienia i usuwa bieżące powiązania oraz dane bezpieczeństwa opisane poniżej. Żądania dostępu lub usunięcia pozostałych danych możesz przesłać na year2108@chaos.re. Nie wysyłaj hasła, tokenów ani kodów logowania w takim zgłoszeniu.
7. Discord, GitHub i Steam
Discord używa identify i email: odpowiedź /users/@me służy odczytaniu identyfikatora, e-maila i statusu verified. GitHub używa read:user i user:email: /user oraz /user/emails służą odczytaniu identyfikatora i głównego potwierdzonego e-maila. API dostawców mogą zwracać dodatkowe pola profilu; adapter utrwala tylko wskazane dane tożsamości. Steam OpenID potwierdza SteamID; nie dostarcza e-maila, więc adres wymaga osobnego potwierdzenia w CHAOS. Użycie zewnętrznej metody jest opcjonalne. Dostawca obsługuje własną stronę logowania na swoich zasadach. Odłączenie metody w ustawieniach usuwa jej bieżące powiązanie; musi pozostać co najmniej jedna metoda logowania.
8. Minimalny wiek i zapis akceptacji
Ta aktualizacja nie ustanawia nowego progu wieku. Zasady 16+ pozostają planowaną, odrębną zmianą. Mechanizm wymagający nowego oświadczenia 16+ nie został jeszcze aktywowany na produkcji. Po jego uruchomieniu zapis obejmie identyfikator użytkownika, wersję Regulaminu, czas akceptacji oraz fakt i wersję oświadczenia o wieku. Historyczne oświadczenia pozostają odrębnymi zapisami i nie są automatycznie zamieniane na nowe. Nie zbieramy w tym celu daty urodzenia, dokumentów tożsamości ani potwierdzenia wieku z Google. Logowanie Google nie stanowi weryfikacji wieku. Wprowadzenie nowej polityki i ograniczeń wymaga osobnego ogłoszenia; publikacja dokumentu nie aktywuje ich ani nie zmienia istniejących kont.
9. Sesje i pamięć urządzenia
Cookies i pamięć przeglądarki obsługują logowanie, zabezpieczenia, język i ustawienia interfejsu. Trwała sesja ma limit 30 dni nieaktywności i 90 dni od logowania; nowe logowanie unieważnia poprzednią sesję. Wylogowanie kończy dostęp w danej sesji. Instalacja PWA jest opcjonalna i może używać osobnej pamięci, wymagając ponownego logowania.
10. Dane techniczne i mapa
Obsługa połączeń i bezpieczeństwa obejmuje dane techniczne, takie jak IP, informacje o przeglądarce, czas żądania i zdarzenia logowania. Rejestracja losuje miasto startowe z listy gry, bez przekazywania IP do ip-api.com i bez pomiaru GPS. Mapa może pobierać kafelki OpenStreetMap lub OpenTopoMap, osadzoną mapę OpenStreetMap i biblioteki Leaflet z unpkg.com. Dostawcy otrzymują wtedy IP i dane żądania, a adresy kafelków wskazują obszar mapy. Skanery wysyłają z serwera zapytania Overpass o obiekty w wybranym obszarze; usługa otrzymuje współrzędne zapytania i IP serwera. Pozycja postaci jest daną gry, nie deklaracją rzeczywistego położenia gracza.
11. Pseudonimowość, analityka i reklamy
Możesz używać nicku; nie wymagamy publicznego imienia i nazwiska. Pseudonimowość wobec graczy nie oznacza anonimowości wobec operatora: konto może być powiązane z e-mailem, identyfikatorem logowania i zdarzeniami technicznymi. Interfejs gry nie zawiera integracji reklamowych ani narzędzi zewnętrznej analityki zachowania. Dane techniczne w logach służą obsłudze i bezpieczeństwu usługi.
12. Cele i podstawy przetwarzania
Dane potrzebne do konta, wybranej metody logowania, komunikacji i rozgrywki przetwarzamy w celu świadczenia usługi — art. 6 ust. 1 lit. b RODO. Ochrona kont, zapobieganie nadużyciom, obsługa zgłoszeń i obrona roszczeń opierają się na prawnie uzasadnionym interesie operatora — art. 6 ust. 1 lit. f. Gdy konkretny obowiązek wynika z prawa, podstawą jest lit. c. Brak danych wymaganych do danej funkcji może uniemożliwić jej użycie. Wybór Google jest dobrowolny i nie uprawnia do dowolnego innego wykorzystania danych. Zapoznanie się z polityką nie jest zgodą marketingową.
13. Odbiorcy i usługi zewnętrzne
CHAOS korzysta z cyber_Folks w zakresie hostingu VPS, obsługi DNS i poczty elektronicznej. Zgodnie z potwierdzeniem operatora VPS znajduje się w Polsce i przechowuje dane kont oraz rozgrywki. Poczta transakcyjna zawiera adres odbiorcy, kody i potwierdzenia bezpieczeństwa. Wybrani dostawcy logowania to Google, GitHub, Discord i Steam. Przepływy do usług mapowych opisano powyżej, a ograniczenia wysyłki narracji do Mistral w sekcji AI. Lokalizacja VPS w Polsce nie oznacza, że wszystkie usługi zewnętrzne przetwarzają dane w Polsce lub EOG.
14. Narracja i systemy AI
CHAOS generuje narrację i publikacje na podstawie zdarzeń gry. Pakiet obejmuje instrukcje, język, medium, opisy faktów, nazwy podmiotów, miejsca i kontekst odbiorców; zależnie od zadania może zawierać nick, oznaczenie właściciela lub klanu. Nie uznajemy tych danych automatycznie za anonimowe. Dotychczas integracja Mistral przesyłała pakiet przez HTTPS do api.mistral.ai. Wysyłka narracji do Mistral jest wstrzymana do osobnego zatwierdzenia jej wznowienia. Nie usuwa danych przekazanych wcześniej. Alternatywny adapter Ollamy wymusza lokalny endpoint 127.0.0.1 i nie wysyła pakietu do zewnętrznego API. Pakiet nie jest automatyczną kopią całej historii Cybernera ani bazy kont; adapter narracji nie pobiera danych powiązania Google jako wejścia AI. Wyniki AI mogą być błędne i stanowią treść gry, nie wiarygodne informacje o rzeczywistych osobach. Operator potwierdził płatny plan API, model mistral-small-latest oraz wyłączenie wykorzystywania danych API do trenowania modeli i wyłączenie modeli Labs w panelu Mistrala. Nie potwierdzono Zero Data Retention (ZDR): nie zakładamy jego aktywacji ani braku przechowywania danych. Dokumentacja Mistrala wskazuje domyślną lokalizację danych w UE, z możliwością określonych transferów poza UE; nie gwarantujemy przetwarzania wyłącznie w EOG. Wyłączenie trenowania nie oznacza wyłączenia retencji. Zakres danych narracji ograniczamy do potrzeb zadania; do czasu osobnego odblokowania integracji zabezpieczenie zatrzymuje cały pakiet, zamiast uznawać nicki i wolny tekst za anonimowe.
15. Techniczny cykl życia danych Identity
Próba autoryzacji jest ważna przez 10 minut, możliwość dokończenia rejestracji przez 30 minut, a potwierdzenie uprawniające do zmiany zabezpieczeń przez 5 minut. Rozpoczęcie kolejnego procesu autoryzacji uruchamia porządkowanie wygasłych rekordów oraz usunięcie zdarzeń bezpieczeństwa Identity starszych niż 90 dni. Nie jest to gwarancja usunięcia dokładnie w chwili wygaśnięcia: bez kolejnego uruchomienia procedury rekord może pozostać w bazie. Czas ważności sesji nie wyznacza okresu przechowywania backupów ani logów serwera. Potwierdzone przez operatora 28 dni retencji backupów i miesięczne czyszczenie logów opisano osobno.
16. Logi i kopie zapasowe serwera
Kopie zapasowe są przechowywane przez 28 dni. Służą odtworzeniu usługi po awarii i mogą do końca tego okresu zawierać dane usunięte już z aktywnej bazy. Logi są czyszczone raz w miesiącu. Częstotliwość czyszczenia nie jest dokładnym limitem 30 dni dla każdego wpisu ani okresem przechowywania zdarzeń bezpieczeństwa Identity w bazie.
17. Co usuwa procedura konta
Usunięcie konta wymaga świeżego potwierdzenia tożsamości. Procedura usuwa bieżące połączenia dostawców, ustawienia bezpieczeństwa konta, zgody, powiązane próby i kody oraz własne kopie wybranych danych gracza. Zachowuje zabezpieczające hashe identyfikatorów wycofanych tożsamości i blokadę ponownego użycia nazwy konta, a także odniesienia w historii świata, rozliczeniach i kopiach wiadomości innych graczy. Żądania dotyczące pozostałych danych kieruj na year2108@chaos.re.
18. Dane pozostające po zamknięciu konta
Dane konta służą obsłudze aktywnego profilu. Po usunięciu konta pozostają m.in. skrót identyfikatora wycofanego dostawcy, blokada ponownego użycia nazwy oraz odniesienia we wspólnej historii i wiadomościach innych graczy. Nie mają obecnie jednolitego automatycznego terminu usunięcia; skrót identyfikatora nie oznacza pełnej anonimizacji. Operator ręcznie ocenia niezbędność pozostałych danych i rozpatruje ich usunięcie lub ograniczenie, w tym treści zawierających dane osobowe w kopiach wiadomości i historii świata. Samo zachowanie mechaniki gry nie uzasadnia przechowywania wszystkich danych. Przy odtwarzaniu backupu ponownie stosuje wykonane usunięcia przed udostępnieniem usługi. Żądania dotyczące tych danych przyjmujemy na year2108@chaos.re. Nie deklarujemy, że odłączenie dostawcy lub usunięcie konta natychmiast usuwa wszystkie kopie, ani że historia świata stanowi bezterminową podstawę do zachowania danych osobowych.
19. Twoje prawa
Na warunkach określonych w RODO możesz żądać dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia danych oraz wnieść sprzeciw. Gdy podstawą jest zgoda, możesz ją wycofać bez wpływu na zgodność wcześniejszego przetwarzania. Możesz złożyć skargę do Prezesa UODO lub właściwego organu nadzorczego. Weryfikacja tożsamości może być potrzebna do bezpiecznej realizacji żądania.
20. Jak złożyć żądanie dotyczące danych
Napisz na year2108@chaos.re, wskazując konto, zakres żądania i sposób kontaktu. Nie musisz przesyłać kopii dokumentu tożsamości. W razie uzasadnionych wątpliwości konieczne może być dodatkowe potwierdzenie kontroli nad kontem, adekwatne do żądania. Zgodnie z RODO informacja o podjętych działaniach powinna zostać udzielona bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania żądania. Dopuszczalne przedłużenie o maksymalnie dwa kolejne miesiące wymaga powiadomienia w pierwszym miesiącu wraz z uzasadnieniem. Odmowa wymaga podania przyczyn i informacji o możliwości skargi oraz ochrony sądowej.
21. Zgłoszenia i zmiany polityki
Zgłoszenia można kierować na year2108@chaos.re; ich treść i korespondencja mogą zawierać dane osobowe. Przygotowany moduł ochrony komunikacji nie został jeszcze aktywowany i nie opisujemy go jako działającego. Zmiany polityki będą wskazywać faktyczne zmiany przetwarzania i ich datę. Sam dokument nie aktywuje nowych funkcji.