隐私政策

1.1. 《隐私政策》（以下简称“政策”）规定处理和保护 Sunrise Online 游戏及网站用户个人数据的程序（以下简称“管理方”）。

1.2. 管理方可变更《隐私政策》。政策新版本自其公开发布之时起生效。

1.3. 管理方依据本政策、管理方内部文件、《通用数据保护条例》（GDPR）、俄罗斯联邦和哈萨克斯坦共和国的法律处理信息。

1.4. 个人数据运营方：个体经营者扬·伊万诺维奇·卡扎科夫（Individual Entrepreneur Yan Ivanovich Kazakov），纳税人识别号（ИНН）673109084358，个体经营者国家登记号（ОГРНИП）324670000025509，地址：斯摩棱斯克州斯摩棱斯克市，个人数据处理事宜咨询用电子邮箱地址：legal@sunrise-online.com。在 Roskomnadzor 运营方登记册中的编号：将在提交通知后载明。负责组织个人数据处理的人员：运营方。

2.1. 个人数据——与直接或间接确定或可确定（已识别或可识别）的自然人（个人数据主体）有关的任何信息。

2.2. 个人数据主体——任何自然人。

2.3. 控制者（运营方）——单独或与他人共同决定个人数据处理目的和方式的任何自然人或法人、国家机关、机构或其他组织。

2.4. 处理者（受托处理方）——代表控制者（运营方）并按其委托处理个人数据的自然人或法人、国家机关、机构或其他组织。管理方是个人数据的控制者（运营方）。

2.5. 个人数据处理——使用自动化手段或不使用此类手段对个人数据实施的任何行为（操作）或行为（操作）的组合。

在游戏中：

3.1. 来自用户的个人设备（设备ID、IP地址部分）；

3.2. 来自关联账号，如用户通过关联账号登录。独联体国家：VKontakte（VK LLC（ООО «ВК»））、Yandex ID（Yandex LLC（ООО «Яндекс»））；在Android设备上还包括Google（Google LLC），在iOS设备上还包括Apple（Apple Inc.）。其他国家：Facebook（Meta Platforms Ireland Limited；Meta Platforms Inc.的活动在俄罗斯联邦境内被禁止）、Google，在iOS设备上还包括Apple。在个别应用商店中，另可通过小米（Xiaomi）或华为（Huawei）登录。以访客身份登录无需关联账号。

3.3. 来自用户在游戏中的账号（有关其行为特征和购买历史的信息部分）。

在网站上：

3.4. 通过用户本人与管理方的电子邮件沟通以及用户在网站上填写的表单，从用户处亲自获得的数据；

3.5. 来自用户浏览器中的“cookie”文件。

在游戏中：

4.1. 目的：识别用户，以履行管理方在《用户协议》项下的义务。 含有或可能含有个人数据的数据清单：登录名、关联账号信息（如已关联）、设备ID、IP地址、角色姓名（昵称）、购买历史。 个人数据主体类别：已在游戏中完成注册的用户。 法律依据：处理基于个人数据主体的同意进行。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（访问、提供）、封锁、删除、销毁个人数据。 处理方式：自动化处理。 处理期限：至删除用户账号或撤回个人数据处理同意时止。

4.2. 目的：收集分析数据。 含有或可能含有个人数据的数据清单：用户在游戏中的行为特征。 主体类别：游戏用户。 法律依据：处理基于个人数据主体的同意以及管理方的正当利益进行。 处理方式：自动化处理。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：至删除账号或撤回个人数据处理同意时止。

4.3. 目的：接收和答复咨询、投诉，提供技术支持。 含有或可能含有个人数据的数据清单：角色姓名（昵称）（在游戏菜单中与管理方互动时）。 主体类别：游戏用户。 法律依据：处理基于个人数据主体对处理其个人数据的同意进行。 处理方式：自动化与非自动化兼有（混合）。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：自收到该等咨询、投诉、索赔之日起3（三）年。

4.4. 目的：向用户发送有关游戏变更、促销码、促销活动及其他营销活动的信息。 含有或可能含有个人数据的数据清单：角色姓名（昵称）、电子邮箱地址、姓、名、父称（如在注册时提供）、电话号码。 主体类别：游戏用户。 法律依据：处理基于个人数据主体对处理其个人数据的同意进行。 处理方式：自动化与非自动化兼有（混合）。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：至删除账号、退订信息和广告邮件或撤回个人数据处理同意时止。

4.5. 目的：改进游戏的界面和特性。 含有或可能含有个人数据的数据清单：设备ID、IP地址、移动设备电量水平。 主体类别：游戏用户。 法律依据：处理依据游戏的《用户协议》进行。 处理方式：自动化处理。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：至删除账号、撤回个人数据处理同意时止。

为实现该目的，用户的个人数据可传输给与运营方订有民事合同的第三方，传输须基于另行取得的用户同意，该同意应确定可传输个人数据的处理期限和存储期限。

4.6. 提供个人数据是按《用户协议》条件订立合同并得以使用游戏的必要条件。不提供上述数据可能产生的后果：无法与个人数据主体按《用户协议》条件订立合同，主体无法使用游戏、无法全面获得游戏管理方的服务。

在网站上：

4.7. 目的：接收和答复用户的咨询、投诉、索赔。 含有或可能含有个人数据的数据清单：电子邮箱地址、姓、名、父称、电话号码（通过网站上的表单与管理方互动时）、邮寄地址（通过纸质信函互动时）。 主体类别：网站用户。 法律依据：处理基于个人数据主体对处理其个人数据的同意进行。 处理方式：自动化与非自动化兼有（混合）。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：自收到该等咨询、投诉、索赔之日起3（三）年。

4.8. 目的：确保网站正常运行、提高网站质量、收集分析数据。 含有或可能含有个人数据的数据清单：cookie文件。 主体类别：网站用户。 法律依据：处理基于个人数据主体的同意以及管理方的正当利益进行。 处理方式：自动化处理。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：至通过用户浏览器的相应设置撤回个人数据处理同意时止。

4.9. 目的：研究合作提议，与交易对方订立并履行民事合同。 含有或可能含有个人数据的数据清单：姓、名、父称；工作单位、手机号码；电子邮箱地址、即时通讯工具昵称。 主体类别：交易对方的代表。 法律依据：处理基于个人数据主体的同意以及管理方的正当利益进行。 处理方式：自动化处理。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：自收到该等提议之日起3（三）年，或自合同各方履行义务之日起3（三）年。

4.10. 目的：开展调查、民意研究、社会研究，涉及的问题包括但不限于运营方开展的促销活动、特别优惠及其他营销活动。 含有或可能含有个人数据的数据清单：设备ID；IP地址；角色姓名（昵称）；手机号码；电子邮箱地址；即时通讯工具昵称（Telegram/VKontakte）。 主体类别：游戏用户 / 网站用户。 法律依据：处理基于个人数据主体的同意以及管理方的正当利益进行。 处理方式：自动化处理。 操作清单：收集、记录、系统化、积累、存储、澄清（更新、变更）、提取、使用、传输（提供、访问）、封锁、删除、销毁个人数据。 处理期限：自收到该同意之日起3（三）年，或至撤回个人数据处理同意时止。

管理方不使用自动化决策。管理方亦不使用个人数据对用户的个人特征进行自动评估（自动化画像、用户画像分析）。

6.1. 管理方基于下列原则处理个人数据：

– 个人数据处理依合法、公平的基础进行；

– 个人数据处理限于实现具体的、事先确定的和合法的目的；

– 不允许进行与收集个人数据目的不相容的个人数据处理；

– 不允许合并其处理目的相互不相容的个人数据库；

– 仅处理符合其处理目的的个人数据；

– 所处理个人数据的内容和范围与所声明的处理目的相符。不允许所处理的个人数据相对于所声明的处理目的过度；

– 处理个人数据时，确保个人数据的准确性、充分性，并在必要时确保其相对于个人数据处理目的的时效性，并采取必要措施删除或更正不完整或不准确的个人数据；

– 个人数据的存储形式应能够识别个人数据主体，且存储期限不超过处理目的所需，但法律、处理同意书、或以个人数据主体为一方、受益人或保证人的合同另有规定存储期限的除外；

– 所处理的个人数据在处理目的达成时或在无需再达成该等目的时予以销毁，但联邦法律另有规定的除外；

– 个人数据处理不得用于对个人数据主体造成财产和/或精神损害、妨碍其行使权利和自由的目的；

– 个人数据处理的方式应使与个人数据处理有关的信息易于获取、易于理解并以简明语言表述。运营方在开始处理主体的个人数据之前通知主体；

– 仅有掌握个人数据处理专门技能并已接受个人数据处理指导的管理方员工，方可访问主体的个人数据；

– 管理方应能够证明个人数据处理的合法性。

7.1. 个人数据主体有权访问个人数据以及下列信息：(a) 处理目的；(b) 相关个人数据的清单；(c) 个人数据已被或将被披露的接收方或接收方类别，特别是第三国的接收方或国际组织；(d) 在可能的情况下，预计的个人数据存储期限，或者在无此可能时，用于确定该期限的标准；(e) 有权要求控制者更正或删除相关个人数据，或限制其处理，或反对该等处理；(f) 向监管机关提出投诉的权利；(g) 如个人数据并非从数据主体处获得，有关其来源的任何可得信息；(h) 是否存在自动化决策过程，包括画像分析，并且至少在上述情形下，有关相关逻辑的可靠信息，以及该等处理对数据主体的重要性和预期后果。

7.2. 数据主体有权要求管理方无不当延迟地更正其不准确的个人数据。考虑到处理目的，个人数据主体有权对不完整的个人数据作出补充，包括通过提交补充声明的方式。

7.3. 数据主体有权要求管理方无不当延迟地删除与其有关的个人数据，如适用下列依据之一，管理方有义务立即删除个人数据：(a) 个人数据对于收集或以其他方式处理的目的已不再必要；(b) 数据主体撤回作为处理依据的同意，且不存在其他合法的处理依据；(c) 数据主体反对处理，且不存在具有优先效力的正当处理依据；(d) 个人数据被非法处理；(e) 为履行适用法律规定的法律义务，个人数据必须被销毁；(f) 个人数据是在提供信息社会服务的过程中收集的。

7.4. 在下列条件之一下，数据主体有权要求管理方限制处理：(a) 数据主体对个人数据的准确性提出异议——限制期限为使控制者得以核实个人数据准确性所需的期间；(b) 处理是非法的，且数据主体反对删除个人数据，并要求改为限制其使用；(c) 控制者已不再需要该个人数据用于处理，但数据主体为提出、行使或抗辩法律请求和诉讼而需要该数据；(d) 数据主体已依据第 2016/679 号条例（欧盟）第 21 条第 1 款对处理提出反对——在核实控制者的正当理由是否优先于数据主体的反对理由之前。

7.5. 数据主体有权基于与其具体情况有关的理由，随时对处理其个人数据提出反对，包括对基于这些规定的画像分析提出反对。管理方无权继续处理个人数据，除非其证明存在优先于数据主体的利益、权利和自由的令人信服的正当处理理由，或者是为提出、行使或抗辩法律请求和诉讼。

7.6. 数据主体有权以结构化的、通用的和机器可读的格式获取其向管理方提供的与其有关的个人数据，并有权在不受接收个人数据的控制者阻碍的情况下将上述数据传输给另一控制者，前提是：(a) 处理基于同意或合同进行；(b) 处理通过自动化手段进行。

7.7. 如处理基于同意，则主体有权随时撤回其同意，但不影响在撤回前基于同意所进行的处理的合法性。

7.8. 个人数据主体有权向监管机关提出投诉。

8.1. 运营方仅在依据2006年7月27日第152-FZ号联邦法律第12条的规定通知俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor）之后，并在确认接收方所在的外国能够为个人数据主体的权利提供充分保护的情况下，方跨境传输个人数据。

8.2. 俄罗斯联邦境外的接收方名单及所在国家由运营方在向 Roskomnadzor 提交的通知中载明，并应主体要求告知主体。

9.1. 管理方采取一切必要的组织和技术措施，保护主体的个人数据，防止其被非法或意外访问、销毁、变更、封锁、传播，以及防止对其实施的其他非法行为。

9.2. 管理方的个人数据安全保障措施包括下列措施：

– 登记所处理的个人数据类别和清单、其个人数据被处理的主体类别、存储期限以及该等个人数据的销毁程序；

– 在流程或系统设计阶段，说明个人数据处理的性质，包括处理目的、处理的法律依据、个人数据主体的类别和数量、个人数据清单、对个人数据实施的行为、传输程序（包括跨境传输）以及接收个人数据的第三方信息；

– 登记个人数据的机器存储介质和处理个人数据的信息系统；

– 确定个人数据信息系统中所处理个人数据所需的安全保护等级；

– 确定信息系统中处理个人数据时的个人数据安全威胁；

– 在引入新的个人数据处理流程和新的个人数据信息系统之前，确定并实施确保个人数据保护的技术和组织措施；

– 评估并记录可能对个人数据主体造成的损害，以及该损害与管理方所采取措施之间的比例关系；

– 制定对信息系统中所处理个人数据的访问规则，并确保登记和记录在信息系统中对个人数据实施的行为；

– 使用已按规定程序通过符合性评估的信息保护手段；

– 发现未经授权访问个人数据的事实及其他事件，并采取措施消除和减轻后果；

– 恢复因未经授权访问而被修改或销毁的个人数据；

– 登记其为履行职务（劳动）义务而需要访问使用或不使用自动化手段处理的个人数据的员工岗位；

– 确保直接处理个人数据的管理方员工签字确认已知悉个人数据法律规定，并对管理方员工进行培训；

– 在个人数据信息系统投入运行之前，对所采取的个人数据安全保障措施的有效性进行监督和评估；

– 定期开展内部监督/审计，检查个人数据处理和安全保障是否符合个人数据处理和保护领域的适用法律；

– 已指定负责组织个人数据处理的人员。

10.1. 在游戏中收集的数据也可能由作为分析服务提供商的第三方获取和处理。

10.2. Cookie是访问网站时由设备创建并保存的小型文件。Cookie文件在设备上的存储时间不超过一年，用于调整网站的运行，并确保用户在其设备上获得最高效的网站使用体验。

10.3. 默认情况下，访问和使用网站会生成并保存cookie文件。但用户可随时通过所用浏览器的设置从设备中删除cookie文件。用户也可拒绝接受cookie文件，但这样不能保证网站的所有功能正常运行。

10.4. 网站使用技术性和功能性cookie文件：这些由引擎生成的文件用于确保不间断运行，以及记住用户所选的设置。

10.5. 网站使用下列服务：Yandex.Metrica（Yandex LLC（ООО «Яндекс»），俄罗斯联邦）——衡量访问量，在同意分析类cookie时加载；VK Ads（VK LLC（ООО «ВК»），俄罗斯联邦）——统计广告转化，在同意营销类cookie时加载。

10.6. Google Ads（Google LLC，美国）、Meta Pixel（Meta Platforms Inc.；该组织的活动在俄罗斯联邦境内被禁止）和TikTok Pixel服务不适用于来自俄罗斯联邦、白俄罗斯共和国、中华人民共和国、伊朗、朝鲜、叙利亚和古巴的访客，也不适用于无法确定访客所在国家的情形：对于这些访客，无论cookie横幅中如何选择，均不加载这些服务。对于其他国家，仅在同意营销类cookie之后才加载（如网站已接入相应计数器）。不使用Webvisor（Вебвизор，访客行为录制）。

10.7. 在取得用户相应同意之前，上述任何服务均不会在网站上加载，也不会向其传输数据。同意可随时通过网站底部的“Cookie设置”栏目更改或撤回。

10.8. 向运营方位于俄罗斯联邦境外的服务传输数据属于跨境传输，并按本政策第8条规定的程序进行。

10.9. 使用分析服务时，数据亦按该服务的使用条件和隐私政策处理。

11.1. 如就个人数据处理有任何疑问和咨询，特别是撤回个人数据处理同意，您可通过电子邮箱地址 legal@sunrise-online.com 联系。

11.2. 运营方按本政策第7条确保个人数据主体的权利，并按适用法律规定的程序履行其义务。

11.3. 有关处理主体数据的信息，在收到个人数据主体或其代表的请求后，按适用法律规定的期限提供给个人数据主体或其代表；如未规定期限，则在10（十）个工作日内提供。

11.4. 请求应包含个人数据主体或其代表的主要身份证件号码、该证件的签发日期和签发机关信息、证明个人数据主体与运营方存在关系的信息（合同编号、合同订立日期、约定的文字标识和（或）其他信息），或以其他方式证明运营方处理个人数据这一事实的信息，以及个人数据主体或其代表的签名。

11.5. 运营方承诺无偿向个人数据主体或其代表提供查阅与该个人数据主体有关的个人数据的机会。自个人数据主体或其代表提供证明个人数据不完整、不准确或不是最新的信息之日起不超过7（七）个工作日内，运营方承诺对其作出必要的修改。自个人数据主体或其代表提供证明该等个人数据系非法获得或对于所声明的处理目的并非必要的信息之日起不超过7（七）个工作日内，运营方承诺销毁该等个人数据。运营方承诺将所作修改和所采取的措施通知个人数据主体或其代表，并采取合理措施通知已接收该主体个人数据的第三方。

12.1. 在处理目的达成时或在无需再达成该等目的时，除非法律另有规定或双方另行约定，所处理的个人数据应予销毁。

12.2. 记录于电子介质上的个人数据，运营方使用保证销毁的程序予以销毁；记录于纸质介质上的个人数据，使用彻底销毁的技术手段予以销毁。信息系统中的个人数据，运营方通过擦除数据库中的记录予以销毁。

12.3. 销毁个人数据的过程中，运营方编制专门的销毁记录。

12.4. 对用户而言，删除不可逆转。如用户自行删除账号（设置 → 删除账号），账号即刻不可访问，在任何情况下均无法恢复账号、角色及与之相关的数据，包括通过联系客服。

12.5. 如法律或有权机关的请求要求保存数据，运营方的授权员工可对账号实施法律保全；保全期间不执行清除。法律保全不会自动设定。支付记录和收银小票按俄罗斯联邦法律第54-FZ号规定的范围和期限保存。此外还保存投诉和客服咨询、既往同意的记录以及封禁记录（以免删除账号被用于规避封禁）。

13.1. 本政策的要求适用于所有个人数据主体，无论个人数据主体的国籍和所在地。

13.2. 本政策可根据适用法律的要求定期变更。