Політика конфіденційності Strimko

1. Хто відповідає за ваші дані (Володілець/Контролер)

Володільцем персональних даних, що обробляються в Сервісі, є:

• Сервіс: «Strimko» (strimko.quest), яким адмініструє приватна особа (фізична особа). Ми не розкриваємо додаткових реєстраційних реквізитів.
• Юрисдикція: Україна.
• Зв'язок, підтримка та запити щодо даних: Telegram-спільнота https://t.me/strimko_quest — єдиний канал для всіх питань.

Якщо у вас є питання щодо цієї Політики або обробки ваших даних, напишіть у нашу спільноту (див. також розділ 13).

2. До кого застосовується ця Політика

Сервіс має дві категорії осіб, чиї дані обробляються по-різному:

1. Стрімери (користувачі Сервісу) — особи, які входять у Сервіс через Twitch, налаштовують оверлеї та приймають донати. Це наші прямі користувачі.
2. Глядачі та донатери (треті особи) — глядачі каналу стрімера, які пишуть у чат або надсилають донати. Ми обробляємо їхні дані за дорученням стрімера як інструмент, який стрімер використовує для свого каналу (див. розділ 9).

3. Які дані ми збираємо і з якою метою

Нижче — фактичний перелік категорій даних, які обробляє Сервіс, разом із метою та правовою підставою обробки.

3.1. Дані акаунта Twitch (вхід через OAuth)

• Що: Twitch user ID, логін/назва каналу, адреса електронної пошти (якщо надана Twitch), а також токени доступу й оновлення Twitch (access/refresh token) і перелік наданих дозволів (scopes).
• Навіщо: автентифікація (вхід без окремого паролю), а також читання чату (IRC) і подій каналу (EventSub) для роботи оверлеїв, команд і чат-віджета від вашого імені.
• Правова підстава: виконання договору (надання Сервісу) на ваш запит.
• Примітка щодо захисту: токени доступу й оновлення Twitch зберігаються у зашифрованому вигляді (див. розділ 5). Ми ніколи не публікуємо їх і не повертаємо у відкритому вигляді через API.

3.2. Дані підписки Patreon (якщо ви під'єднуєте Patreon)

• Що: Patreon user ID, статус патрона, рівень підписки та сума внеску, токени доступу/оновлення Patreon.
• Навіщо: надання доступу до Сервісу за активною платною підпискою Patreon (альтернатива ліцензійному ключу).
• Правова підстава: виконання договору; ваша дія з під'єднання акаунта.
• Захист: токени Patreon зберігаються у зашифрованому вигляді (див. розділ 5).

3.3. Ліцензійні дані

• Що: ліцензійний ключ, статус ліцензії, ідентифікатор прив'язки (ваш Twitch user ID) та час останньої перевірки.
• Навіщо: перевірка права доступу до Сервісу. Ліцензія прив'язується до вашого Twitch user ID і перевіряється через зовнішній сервіс валідації (Google Apps Script — див. розділ 6). Під час перевірки цьому сервісу передається ваш Twitch user ID та ліцензійний ключ.
• Правова підстава: виконання договору.

3.4. Дані про донати (можуть містити персональні дані глядачів)

• Що: для кожного донату — сервіс-джерело (напр. Monobank), ідентифікатор транзакції, сума, валюта, ім'я/підпис відправника та коментар відправника, час, а також відповідність налаштованому алерту. Додатково — конфігурація «банки» Monobank стрімера (ідентифікатор банки, назва, ціль, баланс).
• Навіщо: показ донат-алертів у стрімі, історія й аналітика донатів, робота публічної сторінки донатів і віджета цілі.
• Важливо: ім'я та коментар відправника — це дані, які надає сам донатер під час платежу в Monobank. Це персональні дані третіх осіб, які ми обробляємо за дорученням стрімера (див. розділ 9).
• Правова підстава: виконання договору зі стрімером; законний інтерес стрімера у показі та обліку донатів своєї аудиторії.
• Токен доступу Monobank: для зчитування донатів ми зберігаємо особистий API-токен Monobank стрімера у зашифрованому вигляді (див. розділ 5). Ми використовуємо його лише для читання руху коштів по обраній банці, щоб формувати алерти. Кошти донатів надходять напряму на банку стрімера — Сервіс не є платіжним посередником (див. Умови використання).

3.5. Дані чату та команд

• Що: журнал спрацювань команд — ім'я користувача Twitch (глядача), текст повідомлення чату, назву команди, тригер, тип дії, джерело, статус і час.
• Навіщо: робота команд, що спрацьовують за повідомленнями у чаті, а також історія й аналітика (статистика спрацювань, топ-команди, активність за годинами).
• Правова підстава: виконання договору зі стрімером; законний інтерес стрімера в модерації та статистиці власного каналу.
• Примітка: повідомлення чату Twitch за своєю природою є публічними у трансляції стрімера. Ми обробляємо їх для роботи оверлеїв і аналітики каналу.

3.6. Список заблокованих донатерів

• Що: шаблони імен, які стрімер додав до чорного списку, щоб приховувати відповідні донати/алерти.
• Навіщо: модерація донатів на розсуд стрімера.
• Правова підстава: законний інтерес стрімера в модерації свого каналу.

3.7. Текст для озвучки (TTS)

• Що: текст (наприклад, коментар донату або повідомлення), який перетворюється на голос.
• Навіщо: озвучка алертів і команд у стрімі.
• Де обробляється: серверна озвучка виконується локально на нашому сервері (рушій Piper — ONNX у процесі застосунку) — текст для серверної озвучки не передається стороннім онлайн-сервісам синтезу. Якщо стрімер обирає браузерний рушій озвучки, синтез відбувається у браузері глядача засобами самого браузера.
• Правова підстава: виконання договору зі стрімером.

3.8. Медіафайли, завантажені стрімером

• Що: зображення/відео/аудіо та інші файли, які стрімер завантажує для команд, алертів, конструктора оверлеїв і фону сторінки донатів.
• Навіщо: відображення у ваших оверлеях і на сторінці донатів.
• Де зберігається: у хмарному об'єктному сховищі Cloudflare R2 (див. розділ 6). Діє квота на обсяг зберігання для кожного користувача.
• Правова підстава: виконання договору.

3.9. Дані, пов'язані з десктоп-агентом (опційно)

Десктоп-агент — це необов'язкова легка програма, яку стрімер за бажанням встановлює на свій ПК для функцій, що потребують доступу до локального обладнання (керування OBS, зчитування «Зараз грає» з YouTube Music/Spotify, керування Elgato, замовлення пісень). Для донатів, чату та команд агент не потрібен.

• Що зберігається локально на ПК стрімера: невелика локальна база даних, зокрема історія замовлень пісень; локальні секрети/токени зберігаються засобами захисту облікових даних операційної системи (Windows DPAPI/сховище ключів) або локальним файлом конфігурації.
• Що передається у хмару: стан «Зараз грає», конфігурації віджетів і подібні дані, потрібні для роботи оверлеїв; з'єднання відбувається через захищений канал (WSS).
• Правова підстава: виконання договору; дані обладнання/локального стану залишаються переважно на пристрої стрімера.

3.10. Технічні дані, сесії та cookies

• Що: сесійний cookie для входу до панелі керування (див. розділ 10), а також технічні дані, потрібні для роботи й безпеки Сервісу.
• Навіщо: підтримання авторизованого сеансу, безпека, стабільність.
• Правова підстава: виконання договору; законний інтерес у безпеці Сервісу.

4. Чого ми НЕ робимо

• Ми не продаємо ваші персональні дані.
• Ми не приймаємо, не зберігаємо і не переказуємо кошти донатів і не зберігаємо платіжні реквізити донатерів. Глядацькі донати йдуть напряму від глядача на банку (jar) Monobank стрімера; Сервіс лише відображає сповіщення про донат (див. розділ 3.4 та Умови використання).
• Ми не використовуємо ваші дані для стороннього рекламного профілювання.

5. Зберігання та захист даних

• Шифрування секретів «у стані спокою» (at rest): токени доступу/оновлення Twitch, токени Patreon та особистий API-токен Monobank зберігаються зашифрованими алгоритмом AES-256-GCM. Ключ шифрування зберігається окремо від бази даних у конфігурації сервера.
• Захист сеансів: сесійні cookie підписуються серверним секретом; cookie позначено як HttpOnly та SameSite=Lax, і воно передається лише через HTTPS у робочому середовищі.
• Транспортне шифрування: доступ до Сервісу здійснюється через HTTPS/TLS.
• Мінімізація: приватні поля (напр. ліцензійний ключ, токени) ніколи не повертаються через публічний API.
• Незважаючи на вжиті заходи, жоден метод передавання чи зберігання не є абсолютно безпечним; ми не можемо гарантувати абсолютну безпеку.

6. Треті сторони та субпроцесори

Для роботи Сервісу ми залучаємо перелічені нижче сторонні сервіси. Ми передаємо їм лише ті дані, що потрібні для відповідної функції.

Кожен із цих сервісів має власну політику конфіденційності, яка регулює обробку даних на його боці.

7. Міжнародна передача даних

Сервіс і його субпроцесори можуть перебувати за межами України/ЄЕЗ:

• Основний сервер і база даних розміщені у Європейському Союзі.
• Cloudflare (R2, DNS/TLS) — інфраструктура зі світовим покриттям, оператор зареєстрований у США.
• DeepSeek — оператор за межами України та ЄЕЗ; запити AI-генерації віджетів обробляються на його інфраструктурі.
• Twitch, Patreon, Google — оператори зі США.

Використовуючи Сервіс, ви розумієте, що ваші дані можуть передаватися та оброблятися у цих країнах. Ми вживаємо доступних технічних та організаційних заходів для захисту таких передач.

8. Строки зберігання

• Дані акаунта та токени: зберігаються, доки існує ваш акаунт. При від'єднанні Twitch/Patreon відповідні токени видаляються або знеактивлюються; при від'єднанні Monobank відповідний токен видаляється.
• Журнали чату та команд: зберігаються обмежений строк — до 30 днів — після чого видаляються; стрімер також може очистити їх у будь-який час у панелі керування.
• Записи донатів: зберігаються як історія та статистика, доки існує ваш акаунт, і видаляються при видаленні акаунта.
• Медіафайли: зберігаються до видалення стрімером або до видалення пов'язаного об'єкта (команди/алерту тощо).
• Видалення акаунта: щоб видалити акаунт і пов'язані дані, напишіть у нашу спільноту (Telegram) — акаунт і дані буде видалено. Пов'язані записи видаляються каскадно.

9. Дані глядачів і донатерів (обробка за дорученням стрімера)

Коли стрімер користується Сервісом, ми обробляємо певні дані третіх осіб — глядачів і донатерів каналу (імена/підписи, коментарі до донатів, повідомлення чату, імена користувачів). Стосовно цих даних:

• Стрімер визначає мету та обсяг такої обробки для свого каналу і несе відповідальність за правомірність використання цих даних, за наявність відповідних правових підстав та за відповіді на звернення своїх глядачів.
• Сервіс виступає інструментом (обробником за дорученням стрімера) і обробляє ці дані лише для надання функцій стрімеру.
• Якщо ви — глядач або донатер і хочете реалізувати свої права щодо таких даних, зверніться насамперед до відповідного стрімера; ми сприятимемо в межах технічної можливості.

10. Cookies та сесії

Сервіс використовує мінімально необхідні cookies:

• Сесійний cookie (ovl.sid) — підтримує ваш вхід до панелі керування. Позначений HttpOnly, SameSite=Lax, передається лише через HTTPS, строк дії — до 30 днів.
• Короткочасний cookie стану OAuth — використовується під час входу через Twitch для захисту від підробки запиту (CSRF) і видаляється одразу після входу.

Публічні сторінки (оверлеї для OBS, сторінка донатів) для перегляду cookies не потребують. Ми не використовуємо рекламних, стежних чи аналітичних cookies для профілювання.

11. Ваші права

Залежно від застосовного законодавства ви можете мати право:

• отримати доступ до своїх персональних даних;
• виправити неточні дані;
• видалити свої дані («право бути забутим»);
• обмежити чи заперечити проти обробки;
• відкликати згоду (де обробка ґрунтується на згоді) без впливу на попередню обробку;
• на переносимість даних;
• подати скаргу до наглядового органу з питань захисту даних.

Багато дій доступні безпосередньо в панелі керування (від'єднати Twitch/Patreon/Monobank, очистити журнали, видалити медіа). Ви також можете самостійно відкликати доступ: токен Twitch — у налаштуваннях Twitch (Settings → Connections), а токен Monobank — перевипуском у застосунку банку. Для видалення акаунта та інших запитів напишіть у нашу спільноту (див. розділ 13); ми поважаємо ваші права та відповімо в розумний строк, установлений застосовним правом.

12. Діти

Сервіс призначений для користувачів, які відповідають вимогам Twitch: користуватися Twitch можна від 13 років, а неповнолітні — лише за згодою батьків/опікунів. Для дій, що мають фінансові наслідки (приймання донатів), користувач має досягти повноліття згідно із законодавством своєї країни. Ми свідомо не збираємо дані дітей молодше вікового порогу, встановленого правилами Twitch та застосовним законодавством.

13. Контакти

З питань цієї Політики або обробки ваших даних:

• Зв'язок і підтримка: Telegram-спільнота https://t.me/strimko_quest — єдиний канал для всіх питань, зокрема запитів щодо ваших даних і видалення акаунта.
• Володілець даних: приватна особа (фізична особа), яка адмініструє сервіс «Strimko»; юрисдикція — Україна.

14. Зміни до цієї Політики

Ми можемо час від часу оновлювати цю Політику. Про суттєві зміни ми повідомимо розумним способом (напр. на цій сторінці або в панелі керування) і оновимо дату редакції вгорі. Продовження користування Сервісом після набрання змінами чинності означає вашу згоду з оновленою Політикою.

15. Застосовне право

Ця Політика регулюється правом України.