Политика информационной безопасности

Документ предназначен для открытой публикации и применяется к продуктам Simfio Games, в которых размещена ссылка на него.

1. Назначение и область применения

1.1. Настоящая Политика информационной безопасности (далее — «Политика безопасности») определяет базовые организационные и технические меры, применяемые ИП Рыбальченко Павлом Юрьевичем, работающим под брендом Simfio Games, для защиты данных пользователей, приложений, учетных записей, ключей и цифровых продуктов.

1.2. Политика применяется к играм «Венди: Квест - Тайна особняка», «Венди: Детектив - Поиск улик», «Блок: Стикс», сайту simfio.ru и другим продуктам Simfio Games, в которых размещена ссылка на этот документ.

1.3. Политика не раскрывает сведения, которые сами по себе могут облегчить обход механизмов защиты: пароли, ключи подписи, API-ключи, токены, точные схемы хранения, внутренние журналы и конфигурации.

2. Ответственное лицо и контакты

3. Модель обработки и основные ограничения риска

Архитектура Игр ограничивает объем данных, непосредственно контролируемых Simfio Games:

• собственные учетные записи пользователей Simfio Games не создаются;
• собственное облачное хранение игрового прогресса не используется;
• игровой прогресс и настройки хранятся преимущественно локально на устройстве;
• полные реквизиты банковских карт не поступают в Игру и не хранятся Оператором;
• аналитика, реклама и платежи выполняются через специализированные SDK Яндекса и RuStore;
• применяется минимально необходимый набор Android-разрешений.

4. Проверенный профиль Android-сборки

В сборке отсутствуют разрешения на точную и приблизительную геолокацию, камеру, микрофон, контакты, SMS, телефонные данные, уведомления и чтение или запись внешних файлов.

5. Управление доступом

Оператор применяет принцип минимально необходимого доступа:

• доступ к кабинетам RuStore, AppMetrica, РСЯ, сайту и репозиториям предоставляется только лицам, которым он необходим для работы;
• используются индивидуальные учетные записи и встроенные механизмы защиты соответствующих сервисов;
• пароли и коды подтверждения не передаются пользователям, подрядчикам и иным лицам без необходимости;
• при прекращении необходимости доступ подлежит отзыву;
• действия в административных кабинетах по возможности контролируются по журналам соответствующего сервиса.

6. Защита ключей, токенов и исходного кода

6.1. Ключи подписи Android, токены доступа, API-ключи и иные секреты не предназначены для публикации в открытых репозиториях, сообщениях поддержки или общедоступных документах.

6.2. Секреты должны храниться с ограничением доступа и, где это технически возможно, отдельно от публичного исходного кода и распространяемых материалов.

6.3. При подозрении на компрометацию Оператор отзывает или заменяет соответствующий токен, пароль или ключ в пределах возможностей платформы и выпускает обновление, если это необходимо.

7. Безопасность передачи данных

7.1. Сетевое взаимодействие выполняется через механизмы Android и официальные SDK поставщиков сервисов.

7.2. Согласно документации Яндекса, Yandex Mobile Ads передает пользовательские данные по HTTPS/TLS. AppMetrica применяет шифрование данных при передаче.

7.3. Игра не просит пользователя передавать пароль от RuStore, Яндекс ID, банковский PIN-код, CVV/CVC или полный номер карты в интерфейсе Simfio Games или по электронной почте.

7.4. Пользователь не должен направлять такие секретные сведения в службу поддержки. При их случайном получении Оператор не использует их и принимает разумные меры для удаления из рабочей переписки.

8. Безопасность платежей

8.1. Внутриигровые покупки в «Венди: Квест — Тайна особняка» реализованы через RuStore Pay SDK, наличие которого подтверждено анализом сборки.

8.2. Платежный интерфейс и обработка платежных реквизитов выполняются RuStore и привлеченными платежными организациями. Simfio Games получает сведения о продукте и результате операции, необходимые для предоставления покупки.

8.3. Для платежей используются идентификаторы заказа, покупки, счета или продукта, статус и дата операции, цена и валюта, а также технические данные подтверждения. Полные данные банковской карты в Игру не передаются.

8.4. Подозрительные, повторные или неподтвержденные операции могут быть проверены по данным RuStore. Цифровой товар предоставляется после получения успешного результата от платежного SDK.

9. Безопасность аналитики и рекламы

9.1. AppMetrica используется для аналитики и диагностики. Yandex Mobile Ads используется для баннерной, межстраничной и вознаграждаемой рекламы.

9.2. Оператор не подключает самостоятельную медиацию других рекламных сетей вне инфраструктуры Яндекса.

9.3. Состав данных ограничивается настройками SDK, разрешениями Android и назначением сервиса. Геолокационные разрешения в проверенной сборке отсутствуют.

9.4. Рекламный идентификатор может быть доступен SDK только при наличии системной возможности и с учетом настроек пользователя. Пользователь может ограничить персонализацию средствами Android.

10. Управление зависимостями и обновлениями

Оператор:

• использует официальные или доверенные каналы получения Unity-пакетов и SDK;
• проверяет совместимость обновлений перед выпуском;
• оценивает необходимость обновления компонентов при исправлении критических уязвимостей, прекращении поддержки или изменении требований площадки;
• удаляет неиспользуемые разрешения, SDK и компоненты, когда их отсутствие подтверждено тестированием;
• подписывает релизные сборки и распространяет их через официальные магазины или контролируемые каналы.

11. Защита локальных данных и резервирование

11.1. Игровой прогресс хранится локально средствами приложения и операционной системы. Собственное облачное сохранение Simfio Games не используется.

11.2. Удаление приложения, очистка его данных, сброс или повреждение устройства могут привести к потере прогресса. Simfio Games не гарантирует восстановление данных, отсутствующих в собственных системах.

11.3. Резервное копирование проекта, исходного кода и материалов разработки выполняется отдельно от пользовательского игрового прогресса. Резервные копии не должны публиковаться в открытом доступе.

12. Журналирование и минимизация

12.1. Журналы и диагностические данные используются только в объеме, необходимом для анализа сбоев, работы рекламы и покупок, обеспечения совместимости и противодействия злоупотреблениям.

12.2. В сообщения журналов не должны намеренно включаться пароли, платежные реквизиты, содержимое личных файлов или иные данные, не требующиеся для диагностики.

12.3. Срок хранения журналов ограничивается сроками сервисов, целями диагностики и обязательными требованиями законодательства.

13. Реагирование на инциденты

При выявлении утечки, неправомерного доступа, компрометации ключа, уязвимости или иного инцидента Оператор выполняет применимые действия:

1. фиксирует доступные сведения об инциденте и ограничивает дальнейшее воздействие;
2. отзывает или заменяет скомпрометированные учетные данные и ключи;
3. определяет затронутые версии, данные, сервисы и пользователей;
4. взаимодействует с Яндексом, RuStore, хостингом или другими поставщиками;
5. выпускает исправление либо временно отключает опасную функцию;
6. уведомляет Роскомнадзор и субъектов персональных данных в случаях и сроки, предусмотренные законом;
7. анализирует причину и принимает меры для предотвращения повторения.

14. Сообщение об уязвимости

Сообщения об уязвимостях принимаются по адресу simfiogames@yandex.com с темой «Безопасность Simfio Games — [название игры]». В сообщении желательно указать:

• название и версию Игры, платформу и модель устройства;
• описание проблемы и ожидаемое безопасное поведение;
• последовательность воспроизведения;
• скриншоты, журналы или иные материалы без чужих персональных данных;
• контакт для обратной связи.

Не следует использовать уязвимость для доступа к чужим данным, нарушения работы сервисов, обхода оплаты, распространения вредоносного кода или публичного раскрытия до предоставления разумного срока на исправление.

15. Действия пользователя для повышения безопасности

• устанавливать и обновлять Игры только из официальных источников;
• не устанавливать модифицированные APK и не передавать их третьим лицам;
• защищать учетную запись RuStore или Яндекса паролем и доступными механизмами подтверждения;
• не сообщать пароли, коды, PIN, CVV/CVC и полные данные карты;
• поддерживать актуальность Android и системных компонентов;
• сообщать о подозрительных покупках через поддержку RuStore и Simfio Games.

16. Контроль, пересмотр и публикация

16.1. Политика пересматривается при существенном изменении архитектуры, набора SDK, разрешений, платежной схемы, требований RuStore или законодательства.

16.2. Актуальная публичная редакция размещается по адресу:

https://simfio.ru/security.html

16.3. Политика конфиденциальности размещается отдельно по адресу:

https://simfio.ru/privacy.html

17. Нормативные и сервисные документы

• Документация RuStore Pay SDK: https://www.rustore.ru/help/sdk/pay
• Политика конфиденциальности RuStore для пользователей: https://www.rustore.ru/help/legal/privacy-policy-users
• Соглашение об обработке данных AppMetrica: https://yandex.ru/legal/dpa_appmetrica/
• Сведения о безопасности данных AppMetrica: https://appmetrica.yandex.ru/docs/en/data-security/google-data-safety
• Сведения о безопасности данных Yandex Mobile Ads: https://ads.yandex.com/helpcenter/ru/dev/android/app-privacy-android

Вернуться к началу документа