隐私政策.

本平台数据处理的责任方是：

Christopher Bernert
Luisenthal 16 34454 Bad Arolsen
E-Mail: info@3ernert.com

因不满足法定条件（GDPR 第 37 条、BDSG 第 38 条），未指定数据保护官。

我们处理个人数据仅用于提供平台服务：用户账户、玩家资料、社区地图和锦标赛。流量统计使用自托管的 Matomo 分析，仅在你明确同意后加载（第 11 条）。不存在广告画像、广告网络和数据出售；也没有新闻邮件或营销邮件。

本网站托管于 [Hosting-Anbieter]。访问页面时，Web 服务器会自动处理技术访问数据（服务器日志）：IP 地址、日期和时间、访问的地址、传输数据量、来源页以及浏览器和操作系统标识。

这些数据用于安全稳定的运行（错误分析、防御攻击和滥用）。法律依据是 GDPR 第 6 条第 1 款 f 项规定的运行安全合法利益。保存期限取决于托管提供商的规定，通常为几天到几周；不会与其他数据源合并。

注册和使用账户时，我们处理：

对于社区功能，我们还会保存收藏与订阅、游戏场次与报名、自愿提供的语言和游戏时间信息、战术板、复盘评论以及攻略的审核记录、修改历史和举报。游戏场次、参与者名称、战术板和复盘评论公开可见；收藏和订阅仅在自己的仪表盘中可见。举报对攻略作者和管理员可见。新的账户数据包含在数据导出中，并会在删除账户时移除，或通过账户关联进行匿名化。

• 用户名和显示名称
• 电子邮箱，如自愿提供（也可通过邮箱登录）
• 密码仅以哈希形式保存（PHP password_hash，不保存明文）
• 账户角色和状态、创建时间和上次登录时间
• 可选头像、国家和关联的 Steam 标识（见第 5 条）

法律依据是 GDPR 第 6 条第 1 款 b 项规定的履行使用关系。电子邮箱为自愿提供；不提供时仍可通过用户名登录。没有用户名和密码则无法创建账户。

公开可见的内容包括你的显示名称、头像、带游戏统计的关联玩家资料，以及你发布的地图、截图、评论和锦标赛参赛记录。

如果你使用 Steam 登录，将被重定向到 Steam（Valve Corporation）进行身份验证（OpenID）。此时你的 IP 地址会传输给 Valve；我们会从 Steam 获取你的 SteamID64。如果还配置了 Steam Web API 密钥，我们会通过 Steam Web API 获取你的昵称、头像以及可选的国家，并保存到账户中。

法律依据为 GDPR 第 6 条第 1 款 b 项（提供登录功能）。更多信息：Valve 的隐私政策见 store.steampowered.com/privacy_agreement。

你可以将账户与《英雄连》玩家资料关联。为此我们会保存游戏标识（资料 ID）、玩家名称以及可公开获取的统计数据（例如胜场、败场、胜率、阵营）。数据来自公开的 Relic Link API 并进行缓存以减少请求。法律依据为 GDPR 第 6 条第 1 款 b 项。

上传地图时，我们会保存地图文件、可选截图、标题、描述、游戏信息、文件大小和校验和，以及与账户的关联。评分和评论会连同账户和时间戳保存并公开可见。下载计数以匿名方式累加。

法律依据为 GDPR 第 6 条第 1 款 b 项。请勿上传包含第三方个人数据的内容。

使用联系表单时，我们会处理你的姓名、电子邮箱、所选主题、消息正文，以及用于识别滥用的 IP 地址哈希值。如果你已登录，我们会将请求与你的账户关联。

这些信息仅用于处理和回复你的请求。法律依据为 GDPR 第 6 条第 1 款 b 项（合同前或合同性的沟通）或第 6 条第 1 款 f 项（处理请求和防御滥用的合法利益）。消息会在受保护的管理后台中显示并在那里回复；不会转发给第三方。

为参赛我们会保存报名、签到时间、种子排位、状态以及申报和已验证的比赛结果，包括申报人。锦标赛对阵表和结果公开可见。法律依据为 GDPR 第 6 条第 1 款 b 项。

为保护登录和注册免受自动化攻击，我们使用 Cloudflare Turnstile。此时你的 IP 地址、技术性浏览器信息和验证结果（令牌）会传输给 Cloudflare, Inc.（美国）并由我们在服务器端验证。Cloudflare 不会为广告目的设置 Cookie。

法律依据是 GDPR 第 6 条第 1 款 f 项规定的防御机器人和滥用的合法利益。更多信息：cloudflare.com/privacypolicy。

为统计流量，我们使用 Matomo，这是一款完全运行在我们自己服务器 analytics.3ernert.com 上的开源分析软件。不会向分析提供商或其他第三方传输任何数据，也不会生成用于广告的用户画像。

Matomo 仅在你于同意对话框中明确同意时才会加载（选择加入）。未同意时，不会加载分析脚本、不会设置 Cookie，也不会向分析服务传输数据。在获得同意时，我们处理：

• 访问的页面、时间和停留时长
• 来源页面（引荐来源）以及进入和离开页面
• 浏览器、操作系统和设备信息、屏幕分辨率和语言
• IP 地址

此时会设置两个分析 Cookie：_pk_id（识别，保存最长 13 个月）和 _pk_ses（会话，30 分钟）。存储和读取的法律依据是你根据 TDDDG 第 25 条第 1 款的同意，处理依据为 GDPR 第 6 条第 1 款 a 项。

你可以随时撤销同意，撤销仅对未来生效：通过每页页脚的“Cookie 设置”链接。撤销时会删除分析 Cookie，数据收集立即停止。不同意也完全可以使用平台。

我们仅设置技术上必需的会话 Cookie coh_sid 用于登录会话。它设置为 HttpOnly，在 HTTPS 连接下为 Secure，并带有 SameSite=Lax；会话在 14 天后过期。会话存储中还包含 CSRF 防护令牌和简短的提示消息。

根据 TDDDG 第 25 条第 2 款第 2 项，此处无需同意，因为该 Cookie 对服务运行不可或缺。用于流量统计的 Cookie（第 11 条）仅在你同意后设置；未同意时分析服务根本不会加载。

传输经过加密（TLS）。密码以哈希形式保存，表单带有 CSRF 防护。为防御暴力破解和速率攻击，会基于 IP 地址和用户名进行计数；这些计数仅以带时间戳的哈希文件形式保存，并在时间窗口结束后自动删除。技术错误日志（例如 Turnstile 验证相关）在个别情况下可能包含 IP 地址，会定期轮换。

个人数据的接收方仅限：

• [Hosting-Anbieter]（托管和服务器日志）
• Cloudflare, Inc.，美国（机器人防护 Turnstile）
• Valve Corporation，美国（Steam 登录、可选的资料比对）

网站分析（第 11 条）完全运行在自有服务器上；不会向第三方传输分析数据。

对于向美国的传输，各提供商称其依据适当的保障措施（欧盟-美国数据隐私框架或欧盟标准合同条款）。除法律要求外，不会转发给其他第三方。

• 账户数据：直到删除账户或撤销
• 会话：直到过期（14 天）或退出登录
• 网站分析（仅经同意）：_pk_ses 30 分钟，_pk_id 最长 13 个月或直到撤销
• 同意证明：直到撤销
• 滥用计数器：直到相应时间窗口结束
• 联系请求：直到处理完毕或由管理员删除
• 技术日志：按轮换策略，通常几天到几周
• 服务器访问日志：按托管提供商的规定

你可以随时通过上述电子邮箱申请删除账户。关联内容（例如地图和评论）会被删除，或在技术上必要时与你的账户解除关联。法定保存义务不受影响。

你对责任方享有以下权利：

• 查询所处理的数据（GDPR 第 15 条）
• 更正不准确的数据（GDPR 第 16 条）
• 删除（GDPR 第 17 条）和限制处理（GDPR 第 18 条）
• 数据可携权（GDPR 第 20 条）
• 反对基于合法利益的处理（GDPR 第 21 条）
• 撤销已作出的同意，仅对未来生效（GDPR 第 7 条第 3 款）

此外，你可以向数据保护监管机构投诉（GDPR 第 77 条），特别是向负责责任方的机构。所有事宜只需发送消息至 info@3ernert.com。

不存在 GDPR 第 22 条意义上的具有法律效力的自动化决策（包括画像）。第 10 条所述的机器人防护在怀疑攻击时可自动拒绝请求；这仅为服务安全服务。

当法律状况、服务或数据处理发生变化时，我们会更新本隐私政策。以本页发布的版本为准。