Политика безопасности

Шифрование при передаче

Трафик между приложением и Supabase, серверной функцией ИИ и рекламными сервисами Google использует HTTPS/TLS. Приложение не допускает незашифрованный трафик HTTP.

Шифрование при хранении

Supabase шифрует хранилище базы данных. Игровые сохранения остаются в закрытом хранилище приложения на вашем устройстве.

Контроль доступа

Row Level Security (RLS) включена для каждой таблицы Supabase, поэтому открытый ключ может делать только то, что разрешают правила, например, добавлять события аналитики и читать общий контент. Ключ service-role никогда не поставляется вместе с приложением.

Управление секретами

Ключ API OpenAI является секретом на стороне сервера функции Edge Function Supabase и не встроен в приложение.

Защита от злоупотреблений

Функция ИИ ограничивает количество запросов от каждого клиента и передаёт только текущее сообщение и до шести последних сообщений.

Минимальные привилегии

Права администратора ограничены двумя разработчиками. Supabase, Google Play Console, AdMob и OpenAI используют двухэтапную проверку.

Зависимости и релизы

Мы регулярно обновляем SDK и библиотеки и проверяем бюллетени безопасности перед каждым релизом. Приложение подписано через Play App Signing.

Меры защиты ИИ-ассистента

• Перед первым использованием игрокам сообщается, что их сообщения отправляются в OpenAI, и их предупреждают не передавать личные данные.
• Игроки могут пожаловаться на оскорбительные или вредные ответы ИИ с экрана чата.
• Разговоры не сохраняются в нашей базе данных, серверные журналы не хранят текст сообщений, и мы не используем разговоры для обучения собственных моделей.

Утечки персональных данных

Если мы обнаружим утечку персональных данных, мы её локализуем, оценим риск и, где это требуется, уведомим орган по защите данных в течение 72 часов. Если риск для затронутых игроков высок, мы сообщаем им без неоправданной задержки (статьи 33–34 GDPR). Мы ведём внутренний журнал инцидентов.

Сообщение о проблеме безопасности

Если вы нашли проблему безопасности, отправьте подробности на contact@arojentarinat.com. Пожалуйста, дайте нам разумный срок на исправление проблемы до публикации. Мы подтверждаем получение сообщений в течение 5 рабочих дней и не будем предпринимать действий против исследований, проведённых добросовестно.