Політика конфіденційності

Контролер

Viktor Michel
Lindenstr. 54, 50674 Köln
Ел. пошта: kontakt (at) nard.gg

Будь ласка, пишучи листа, заміни «(at)» на символ @; такий запис захищає адресу від автоматичних збирачів адрес. Інспектора з питань захисту даних не призначено; умови ст. 37 Загального регламенту про захист даних (GDPR) і § 38 BDSG для цього проєкту не виконуються.

Що зберігається

Акаунт

• Ім’я користувача. Вибирається вільно. Воно стоїть під кожною партією, яку ти граєш, і тому видиме публічно. Справжнє ім’я не потрібне.
• Хеш пароля. Сам пароль ніколи не зберігається і ніколи не записується в журнали. Зберігається хеш Argon2id (19 MiB пам’яті, два проходи, один потік), додатково зашифрований серверним секретом (pepper). Секрет зберігається не в базі даних; тому однієї викраденої бази даних недостатньо, щоб атакувати паролі.
• Адреса електронної пошти — за бажанням. Без неї акаунт повністю працює. Вона використовується виключно для двох цілей: скидання забутого пароля та сповіщення «твій хід». Вона нікому не показується, не передається іншим гравцям і не використовується для реклами, розсилок чи повернення неактивних користувачів. На внесену адресу спершу надходить рівно одне повідомлення: прохання її підтвердити. Лише після цього вона взагалі використовується — поки її не підтверджено, на неї нічого не надсилається, і для скидання пароля вона теж не придатна. Для цього додатково зберігається, чи її підтверджено, а також тимчасово — хеш посилання підтвердження (24 години).
• Час створення акаунта.
• Добровільні відомості профілю. У налаштуваннях ти можеш — але не мусиш — указати коротку розповідь про себе, клуб, турнірний рейтинг, який ти вказуєш сам, і до трьох посилань або імен на інших платформах. Усе це за замовчуванням порожнє, зберігається лише тоді, коли ти сам це вносиш, публічно видиме на твоїй сторінці гравця, будь-коли може бути видалене окремо (очистити поле і зберегти) і повністю зникає разом із видаленням акаунта. Ніщо з цього не аналізується і не передається.

Сесії

Після входу створюється сесія. Зберігаються геш SHA-256 токена сесії — не сам токен, — акаунт, до якого належить сесія, а також моменти створення, останнього використання та закінчення строку дії. Той, хто прочитав би базу даних, не зміг би зібрати з неї робочу сесію. Строк дії сесії спливає через 30 днів після останнього використання; сесії, строк дії яких сплив, видаляються.

Гра без акаунта

Хто відкриває дошку або приймає запрошення, не входячи в акаунт, отримує гостьове місце: рядок із випадковим непрозорим ідентифікатором гравця і часом створення цього рядка — ні імені, ні адреси, ні пароля. До цього додається сесія, як описано вище, бо без неї сервер під час наступного ходу вже не знав би, хто сидить за цією дошкою. Гостьове місце виникає лише внаслідок дії, ніколи — від простого читання сторінки.

Гостьові місця, за якими жодного разу не грали, видаляються через 24 години після останнього використання — разом із сесією, що до них належить. Хто грав як гість, зберігає свої партії; якщо ти пізніше створиш акаунт, із того самого ігрового місця вийде акаунт — другий не з’явиться, і нічого зіграного не пропаде.

У партії, яка триває довго, ти як гість можеш добровільно залишити адресу електронної пошти, щоб тобі надійшло повідомлення, коли настане твій хід. Тоді адреса належить до цієї однієї партії, а не до тебе як особи: вона використовується лише після того, як ти підтвердиш її за посиланням підтвердження (подвійне підтвердження, double opt-in), кожне повідомлення містить посилання для відписки, і адреса видаляється, щойно ти відпишешся або партія закінчиться, — залежно від того, що настане раніше. Для повідомлень діє фіксований мінімальний інтервал; нічого, крім «твій хід», на цю адресу ніколи не надсилається. Правова підстава — твоя згода (ст. 6 ч. 1 п. (a) GDPR), яку можна будь-коли відкликати за посиланням для відписки.

Партії та ходи

Для кожної партії зберігаються: варіант, довжина матчу та ігрові налаштування, обидва місця, рахунок, позиція на дошці, стан куба подвоєння, а також результат. Крім того — журнал ходів: для кожного запису порядковий номер, чий був хід, вид події (кидок, хід, подвоєння, прийняття, здача …), значення, що випали на кубиках, і момент часу. Ці дані прив’язані не до імені користувача, а до непрозорого ідентифікатора гравця без прив’язки до особи. Партії відкриті для перегляду — це властиво ігровому серверу, так само як партію за дошкою можуть бачити ті, хто стоїть поруч.

Повідомлення за дошкою

У партіях, що виникли через посилання-запрошення, обидва гравці можуть писати одне одному короткі повідомлення (не більше 200 знаків). Повідомлення йде через цей сервер на сторінку партії іншого гравця — і лише туди: глядачі його не отримують, ніхто сторонній його не читає, треті особи не беруть участі. Воно не зберігається — ні на сервері, ні в браузері: немає ні журналу, ні копії, і щойно сторінку закрито, воно зникає. В оперативній пам’яті сервера перебуває лише повідомлення в дорозі. Тому той, хто скаржиться на повідомлення, описує в скарзі, що було сказано, — іншої копії немає. Отримувач може вимкнути чат у меню «Ще» на сторінці партії; цей вибір зберігається в cookie __Host-prefs (див. «Файли cookie»).

Повідомлення про протиправний вміст

Через форму «Поскаржитися на вміст» будь-хто — зокрема й без акаунта — може вказати на протиправний вміст. Зберігаються адреса на цьому сайті, на яку подано скаргу, введений текст і, лише якщо її вказано добровільно, контактна адреса для відповіді. Жодного зв’язку з акаунтом чи сесією не встановлюється. Після опрацювання повідомлення повністю видаляється.

Зворотний зв’язок

Через форму «Зворотний зв’язок» будь-хто — зокрема й без акаунта — може написати, що на цьому сайті неправильно, чого бракує або що звучить незграбно. Зберігаються введений текст, вибраний тип (щось не працює, текст хибний, ідея), фрагмент тексту сторінки, якщо ти його вкажеш, мовна версія, клас сторінки, з якої було написано (той самий грубий поділ, що й під час підрахунку переглядів, тобто, наприклад, «/regeln»), приблизне сімейство браузера і пристрою разом з основною версією (наприклад, «Chrome 129 на Android», ніколи не повний рядок ідентифікації браузера), версія програмного забезпечення і — лише якщо її вказано добровільно — контактна адреса для відповіді. Хто пише з ігрової дошки, надсилає також адресу цієї партії та місце в ній, доки відповідну позначку не знято; сама партія й так доступна кожному, хто має посилання. Жодного зв’язку з акаунтом чи сесією не встановлюється. Це інший шлях, ніж описане вище повідомлення про протиправний вміст; про який із них ідеться, вирішує той, хто пише.

Щоб жодне повідомлення не залишилося без уваги, сервер одразу після надсилання заносить кожне з них як запис до непублічного списку завдань цього проєкту на GitHub (GitHub, Inc., США; сертифікована за EU-US Data Privacy Framework). Там його переглядають, перекладають і опрацьовують, зокрема за допомогою ШІ-асистента (Claude від Anthropic, США). Контактна адреса при цьому не передається, а адреси електронної пошти й номери телефонів у тексті попередньо робляться невпізнанними. Без контактної адреси повідомлення видаляється з нашого сервера, щойно його передано, з контактною адресою — після відповіді. Запис на GitHub залишається як частина історії розробки; хто хоче його видалити, пише нам, указавши номер, який показується після надсилання.

Журнали сервера

Сервер записує для кожного запиту рядок з HTTP-методом, шляхом, кодом стану і часом обробки. Ні IP-адреса, ні User-Agent не записуються, бо це був би профіль того, хто, коли і в що грав, — саме те, чого цей проєкт збирати не хоче. Короткочасні дані з’єднань можуть виникати на рівні веб-сервера, що стоїть перед ним; див. розділ «Хостинг».

Підрахунок переглядів без прив’язки до особи

Сервер рахує, як часто відкриваються його сторінки. Підрахунок ведеться за календарними днями (UTC), щоразу у вигляді простої суми і кожна величина окремо: перегляди за класами сторінок — усі сторінки партій разом як один клас, без ідентифікатора окремої партії, — перегляди за мовними версіями, а якщо браузер передає сайт, з якого відбувся перехід, — лише його домен (наприклад, reddit.com), ніколи не повну адресу, — і перегляди кількох коротких посилань (наприклад, nard.gg/r/reddit), які ми самі поширюємо там, де розповідаємо про сайт: вони показують, через який канал посилання, яким поділилися, знайшло своїх читачів, і тому не містять ні параметрів, ні зв’язку з тобою.

До цього додаються чотири суми, які показують, для кого ми робимо сайт: країна, до якої віднесено твою IP-адресу, — для цього адресу визначають у тому самому запиті й відкидають, а зберігається лише «TR: 4 812 переглядів за цей день» (зіставлення за вільно доступною базою даних DB-IP, CC BY 4.0), — приблизний клас браузера й пристрою (наприклад, «Chrome 120 на Android»; повний рядок User-Agent не зберігається), мова, яку запитує твій браузер (лише код мови, наприклад «fa», — щоб ми знали, якого перекладу бракує), і на сторінці партії — час відгуку з’єднання в реальному часі у грубих градаціях («до 150 мс»), який вимірює сам сервер. Отже, запис має вигляд «цього дня надійшло 40 переглядів із Туреччини» або «сторінку тавли відкрили 40 разів» — більше в ньому нічого немає, і жодне з цих чисел не стоїть поруч з іншим.

Коли ти передаєш комусь запрошення, сервер рахує ще три суми, так само за календарними днями й кожну окремо: яким способом поділилися (наприклад, «Зал очікування · WhatsApp» або «Задача · Посилання скопійовано» — вибір іде з фіксованого списку), як довго зал очікування вже був відкритий у момент натискання, у чотирьох градаціях («одразу», «до 2 хвилин», «до 10 хвилин», «від 10 хвилин»), і о котрій годині (UTC) поділилися. До цього додаються суми того, що стається з відкритими запрошеннями: скільки їх створено, скільки прийнято, як часто натомість у гру вступав комп’ютер і скільки було відкликано.

Чого при цьому однозначно не відбувається: посилання, яким діляться, не отримує ні мітки, ні параметра — адреса, що потрапляє до чужого групового чату, та сама, яку ти бачиш у браузері. Не фіксується, якою партією поділилися, хто поділився і чи прийшов хтось на іншому кінці. Натискання й подальше приєднання — дві окремі суми, і їх неможливо зіставити одне з одним — навіть операторові, який тим самим свідомо залишає без відповіді найочевидніше маркетингове запитання («який месенджер приводить найбільше співгравців»).

Для цього не встановлюється жоден cookie, не зберігаються ні IP-адреса, ні User-Agent і не присвоюється жоден ідентифікатор; у браузері нічого не зберігається і нічого не зчитується, тому § 25 TDDDG не застосовується і згода не потрібна. Два перегляди в цих числах неможливо розпізнати як «того самого відвідувача» — навіть операторові: тут немає кількості відвідувачів, лише кількість переглядів. Усі величини підраховуються окремо, і їх неможливо пов’язати між собою. Числа відповідають лише на запитання, які сторінки й мови використовуються, з яких країн, з яких пристроїв і через які з’єднання, а також які сайти посилаються сюди; третім особам із цього нічого не передається.

Підрахунок помилок

Щоб помічати помилки, про які ніхто не повідомляє, — сайт працює кількома мовами, і зламану дошку в одній із них оператор сам не побачить, — сервер рахує, де щось іде не так. Підрахунок ведеться за календарними днями (UTC): коли сервер відповідає на запит помилкою сервера, коли з’єднання в реальному часі всередині сервера дає збій або коли один із власних скриптів дає збій у твоєму браузері. В останньому разі скрипт надсилає на цей сервер коротке повідомлення: текст помилки, файл скрипта і рядок, а також адресу сторінки. З цього зберігається лише лічильник: скільки разів за цей день виникла та сама помилка — описана першим рядком тексту помилки, скороченим до 160 знаків і очищеним від інтернет-адрес і частин посилань, назвою файлу скрипта з рядком і адресою сторінки, зведеною до її грубого класу й мовної версії (наприклад, «сторінка партії» і «tr», але ніколи не окрема партія).

На відміну від підрахунку переглядів, тут в одному рядку стоять кілька відомостей — вид помилки, клас сторінки і мовна версія, — бо помилку без її місця неможливо було б знайти. Людини в ньому все одно немає: не присвоюється ідентифікатор, не зберігаються ні IP-адреса, ні User-Agent, і час фіксується не точніше ніж до дня; у браузері нічого не зберігається і не зчитується — повідомлення містить лише те, що власний скрипт сам створив під час збою, тому § 25 TDDDG і тут не застосовується і згода не потрібна. Без JavaScript нічого не повідомляється, і на гру це ніяк не впливає. Правова підстава — ст. 6 ч. 1 п. (f) GDPR; законний інтерес полягає в тому, щоб знаходити й усувати помилки — зокрема в мовних версіях, які оператор сам не читає. Третім особам із цього нічого не передається.

Файли cookie

Встановлюється не більше чотирьох файлів cookie, і кожен — лише тому, що ти щось зробив: перший — коли ти входиш в акаунт або відкриваєш дошку як гість, другий — під час перемикання мови, третій — під час перемикання між світлою і темною темою, четвертий — коли ти починаєш партію: він запам’ятовує твій вибір у стартовій формі на наступний раз.

Усі чотири технічно необхідні в розумінні § 25 абз. 2 п. 2 TDDDG: перший робить можливою гру — без упізнавання між двома запитами не було б дошки, — інші три запам’ятовують саме той вибір, який ти зробив сам. Тому тут немає банера cookie: дозволяти чи відхиляти нічого. Хто лише читає, не отримує жодного cookie; їх встановлюють лише тоді, коли ти входиш в акаунт, починаєш грати або перемикаєш мову чи тему. Жоден із чотирьох не слугує для впізнавання між сайтами чи сесіями.

Чого тут немає

• Жодних сторонніх інструментів аналітики чи статистики. Єдина статистика — описаний вище власний підрахунок: суми без прив’язки до особи, на цьому сервері.
• Жодної реклами і жодних рекламних мереж.
• Жодних пікселів відстеження, жодних лічильних міток, жодних методів зняття цифрових відбитків (fingerprinting).
• Жодних вбудованих віджетів соціальних мереж і жодного вбудованого стороннього вмісту. Кнопки «Поділитися» поруч із посиланням-запрошенням — це звичайні посилання: під час показу сторінки нічого не передається; лише той, хто натискає таку кнопку, передає відповідному месенджеру свою IP-адресу і посилання, яким ділиться.
• Жодних зовнішніх шрифтів, жодних сторонніх скриптів, жодного CDN. Усі файли надходять із цього сервера, зокрема й шрифти інтерфейсу; які це шрифти і за якою ліцензією, сказано в «Правовій інформації», у розділі «Авторське право і ліцензія». Кожною сторінкою можна повністю користуватися без JavaScript, і кожна забороняє сторонні та вбудовані скрипти через Content-Security-Policy. Власні скрипти роблять сайт зручнішим: наприклад, дають змогу керувати меню верхньої панелі з клавіатури, перетягувати шашки на дошці й одразу показують хід суперника на відкритій сторінці. Усі вони розміщені на цьому сервері й нічого не довантажують від третіх осіб. Окрім того, що ти робиш сам, і завантаження файлів сайту, вони надсилають на цей сервер лише три речі: запит без вмісту, який вимірює, наскільки швидко відповідає з’єднання; коли ти ділишся запрошенням, — вибраний спосіб (розділ «Коли ти ділишся запрошенням»); і якщо один із них дає збій, — коротке повідомлення з текстом помилки, файлом скрипта і рядком (розділ «Підрахунок помилок»). Від двох останніх залишається лише щоденний лічильник без ідентифікатора, і більше нічого.
• Жодного продажу і жодної передачі з рекламною чи аналітичною метою. До третьої країни потрапляє лише повідомлення зворотного зв’язку, яке ти надсилаєш сам, — куди і як, сказано в розділі про зворотний зв’язок.
• Жодного автоматизованого ухвалення рішень і жодного профілювання в розумінні ст. 22 GDPR.

Один виняток, для повноти: для доказу чесності кидків сервер запитує публічні випадкові значення мережі drand (api.drand.sh). При цьому жодні дані користувачів не передаються, і твій браузер із цим сервісом не з’єднується.

Правові підстави

• Ст. 6 ч. 1 п. (b) GDPR — для акаунта, сесії та ігрового процесу: без цих даних неможливо надати сервіс, якого ти бажаєш.
• Ст. 6 ч. 1 п. (a) GDPR — для добровільно наданої адреси електронної пошти. Згоду ти можеш будь-коли відкликати, попросивши видалити адресу; це не впливає на законність обробки, здійсненої до того часу.
• Ст. 6 ч. 1 п. (f) GDPR — для журналів сервера, підрахунку переглядів, підрахунку помилок, зворотного зв’язку і захисту від зловживань. Законний інтерес полягає в стабільній і безпечній роботі, у тому, щоб знати, які сторінки використовуються, і знаходити та виправляти помилки; журнали й лічильники свідомо зроблено настільки стислими, що вони тебе не ідентифікують.

Строк зберігання

• Дані акаунта: до видалення акаунта.
• Сесії: до виходу, але не довше 30 днів після останнього використання.
• Гостьові місця без партії: 24 години після останнього використання. З партією: як партія.
• Добровільна адреса гостя для сповіщень про хід: до відписки, але не довше ніж до кінця партії, до якої вона прив’язана; непідтверджені записи — відповідно раніше.
• Відкриті запрошення, які так і не було прийнято: 30 днів.
• Повідомлення про протиправний вміст: до опрацювання; після цього вони видаляються разом із добровільно вказаною контактною адресою.
• Зворотний зв’язок: на нашому сервері до передачі до списку завдань на GitHub, з контактною адресою — до відповіді, потім повністю видаляється; запис на GitHub залишається, доки хтось не вимагатиме його видалення.
• Журнали сервера: не більше 14 днів, виключно для пошуку помилок. Журнал доступу вебсервера, що стоїть перед ним, ротується й видаляється не пізніше ніж через 14 днів; IP-адреса та User-Agent вилучаються вже під час запису, а не лише під час видалення.
• Лічильники переглядів: безстроково — вони містять лише денні суми без прив’язки до особи, з яких неможливо відновити жодне відвідування.
• Лічильники помилок: безстроково — за днями кількість помилок за джерелом, класом сторінки, мовною версією і видом помилки, без ідентифікатора і без часу доби; див. розділ «Підрахунок помилок».
• Денний лічильник акаунтів, що входили в систему: безстроково — за днями лише кількість акаунтів, які входили, без фіксації того, які саме.
• Лічильник надсилання електронних листів: безстроково — за днями й видами повідомлень кількість спроб і скільки з них не вдалися («надіслано три підтвердження, одне — ні»). Без одержувача, без адреси, без ідентифікатора; за ним неможливо встановити, кому писали. Лічильник існує для того, щоб збій надсилання листів помітили раніше, ніж хтось марно чекатиме на підтвердження.
• Партії та журнал ходів: безстроково — див. наступний розділ.

Журнал ходів лише доповнюється — і чому

Партія — спільна справа. Вона стосується твого суперника так само, як і тебе, вона — основа результату й рейтингу, і вона — доказ того, що кубики кидали чесно. Тому журнал ходів лише доповнюється: записи додаються, але ніколи не змінюються й ніколи не видаляються окремо. Це не домовленість, а обмеження, яке примусово забезпечує сама база даних за допомогою тригера. Уже зіграну партію неможливо заднім числом переписати — навіть операторові.

Що насправді відбувається в разі вимоги про видалення за ст. 17 GDPR

Усе, що ідентифікує тебе як особу, міститься рівно в одній таблиці. Видалення прибирає цей рядок. А саме:

• Видаляються ім’я користувача, адреса електронної пошти та хеш пароля. Після цього їх більше немає, і відновити їх неможливо.
• Усі твої сесії видаляються. Тим самим ти одразу виходиш з акаунта на всіх пристроях; увійти більше неможливо, бо даних для входу більше немає.
• Зберігається запис без прив’язки до особи: внутрішній номер, випадково створений непрозорий публічний ідентифікатор і час створення акаунта. Цей ідентифікатор потрібен, щоб партії не розпалися.
• Партії, ходи й результати зберігаються, але тепер лише під цим ідентифікатором. Замість тебе відображається «видалений гравець» з першими шістьма символами непрозорого ідентифікатора. Зв’язку з твоїм іменем чи адресою електронної пошти більше не існує — зокрема й для оператора.
• Твоє колишнє ім’я користувача знову стає вільним і пізніше може бути зареєстроване кимось іншим. Ця людина не має жодного стосунку до твоїх старих партій.

Ми вважаємо це чесною реалізацією: ст. 17 ч. 3 п. (e) GDPR робить виняток для даних, необхідних для обстоювання прав, а партія належить і іншій стороні. Замість того щоб стверджувати, ніби все зникає, прибирається прив’язка до особи, а анонімний результат гри залишається. Якщо ти з цим не згоден, скажи про це до подання вимоги про видалення — тоді можна обговорити, що можливо.

Видалення ти можеш запустити сам: у налаштуваннях, у пункті «Видалити акаунт», з підтвердженням паролем. Листа в довільній формі на вказану вище адресу теж достатньо.

Твої права

Щодо контролера тобі належать такі права:

• Отримання інформації (ст. 15 GDPR) про те, які дані про тебе зберігаються.
• Виправлення (ст. 16 GDPR) неточних даних.
• Видалення (ст. 17 GDPR) в описаному вище обсязі.
• Обмеження обробки (ст. 18 GDPR).
• Перенесення даних (ст. 20 GDPR) у машинозчитуваному форматі.
• Заперечення (ст. 21 GDPR) проти обробки на підставі законних інтересів.
• Відкликання згоди (ст. 7 ч. 3 GDPR), наприклад щодо адреси електронної пошти.
• Скарга до наглядового органу (ст. 77 GDPR), зокрема до органу за місцем твого перебування або до органу, компетентного щодо контролера: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), www.ldi.nrw.de

Хостинг

Сервіс працює на орендованій серверній інфраструктурі компанії Hetzner Online GmbH, місце розташування: Nürnberg, Deutschland. З постачальником послуг укладено договір про обробку даних як з обробником відповідно до ст. 28 GDPR. Постачальник послуг обробляє дані лише за вказівками і лише для роботи сервісу; з технічних причин там можуть короткочасно виникати дані з’єднань, зокрема IP-адреса.

Безпека

З’єднання на всьому шляху зашифроване за допомогою TLS. Паролі гешуються з додаванням серверного секрету (pepper), токени сесій зберігаються лише у вигляді гешу, cookie сесії закритий від доступу скриптів, а запити на запис перевіряються на походження. Повного захисту не може обіцяти ніхто.

Контакти

З усіх питань захисту даних і для реалізації твоїх прав достатньо листа в довільній формі на kontakt (at) nard.gg — «(at)» означає символ @, див. вище. Запити опрацьовуються безкоштовно і без вимог до форми. За обґрунтованих сумнівів щодо особи того, хто звертається, можуть знадобитися додаткові відомості — наприклад, підтвердження того, що в тебе є доступ до відповідного акаунта.

Зміни

Якщо в сервісі зміниться щось суттєве для захисту даних, цю сторінку буде оновлено. Діє поточна редакція. Див. також Правову інформацію.

Востаннє змінено 5 жовтня 2026 року: повідомлення зворотного зв’язку містять більше даних, у разі надсилання з ігрової дошки можуть додавати партію й потрапляють до списку завдань на GitHub, де їх також аналізують за допомогою ШІ-асистента. Виправлено 11 вересня 2026 року: звідки беруться шрифти, що власні скрипти надсилають на сервер, що зберігається в разі збою скрипта і як відображається видалений акаунт. Додано 1 вересня 2026 року: розділ «Підрахунок помилок», щоденний лічильник акаунтів, що ввійшли, добровільне сповіщення про хід для гостей (розділ «Гра без акаунта») і четвертий файл cookie для стартової форми.