Игровые серверы за границей и чужие логи: как мы выясняли, за какие данные отвечает хостинг

Коротко о проекте

Клиент

Хостинг игровых серверов, в основном для Minecraft, а также виртуальных серверов, сайтов и баз данных. Название сервиса не раскрываем.

Инфраструктура

Сайт, единый вход, панель управления и биллинг размещены в России. Игровые серверы работают в том числе на машинах у трёх иностранных провайдеров в Европе.

Задача

Документы по 152-ФЗ и уведомление в Роскомнадзор.

Главная сложность

Понять, чьи данные оказываются на зарубежных серверах, кто за них отвечает и уходит ли за границу что-то от самого хостинга.

Результат

Данные разделили на три слоя. За данные игроков отвечает арендатор сервера, а хостинг обрабатывает их по поручению, закреплённому в оферте. Передачу данных за рубеж через панель исключили после проверки полей запроса. Клиент получил документы, технические рекомендации и заключение о рисках, уведомление подписано.

Уже на следующий день после обращения клиент получил заключение, из которого следовало, что главный риск его бизнеса документами не закрывается. Дальше были споры и уточнения, и в итоге картина оказалась заметно лучше, чем на старте.

Риск, который не закрыть документами

После звонка клиент описал, какие данные куда уходят. Игроки подключаются к серверам у европейских провайдеров, и те получают их IP-адреса, ники, игровые идентификаторы, чат и команды. Панель управления работает через российский прокси.

Мы подготовили заключение в двух частях: простым языком для владельца и с техническими подробностями для разработчика. Главный вывод был неприятным. Данные российских игроков сразу записываются за границей, а закон требует при сборе записывать и хранить их в базах на территории России (часть 5 статьи 18 закона № 152-ФЗ). Штраф за это для юрлица от 1 до 6 млн рублей, и предприниматель по этому составу отвечает как юрлицо (часть 8 и примечание 1 к статье 13.11 КоАП).

Мы прямо написали, что ни политика, ни согласия, ни уведомление этот риск не снимают, и предложили варианты: перенести серверы в Россию, закрыть зарубежные машины для российских игроков, осознанно принять риск и сократить объём данных или совместить подходы. Выбор между ними коммерческий, и делать его владельцу. Отдельно предупредили о вопросе за пределами нашей задачи: провайдеры хостинга по закону об информации уведомляют Роскомнадзор о начале деятельности и попадают в реестр (статья 10.2-1 закона № 149-ФЗ).

Клиент возразил, и часть его аргументов не работала.

Три слоя данных и арендатор как оператор

Разбирая возражения, мы задали себе другой вопрос: а точно ли за данные игроков отвечает хостинг? Чтобы ответить, мы разделили его данные на три слоя, потому что юридически они ведут себя по-разному.

Три слоя данных игрового хостинга

Собственный слой

• Сайт и сервис единого входа
• Панель управления
• Регистрация, почта, ники, авторизация

Отвечает хостинг, целиком

Клиенты хостинга

• Владельцы арендованных серверов
• Оплата, обращения, выплаты по реферальной программе

Отвечает хостинг по договору с клиентом

Игроки на арендованных серверах

• IP-адреса и время подключения
• Ники и игровые идентификаторы
• Чат, команды, журналы плагинов

Оператор: арендатор сервера. Хостинг обрабатывает данные по его поручению

Оператора закон определяет через того, кто решает, зачем обрабатывать данные, какие именно и что с ними делать (пункт 2 статьи 3). На арендованном сервере это решает арендатор: он ставит дополнения, выбирает, что логировать и сколько хранить. Доступ хостинга к серверам через панель картину не меняет, он есть у любого хостера. Значение имеет другое: использует ли хостинг эти данные в своих интересах.

Отсюда условия, при которых модель держится. Хостинг не использует данные с серверов для своих задач: никакой статистики, блокировок по игровым логам и антифрода. Даже поддержке не стоит разбирать по логам конфликты между игроками: такие обращения возвращают арендатору. Настройки логирования должны оставаться изменяемыми для арендатора. А в оферте появляется раздел о том, что оператор данных игроков это арендатор и хостинг обрабатывает их по его поручению, с условиями из части 3 статьи 6.

Ещё мы предложили развести приватные и публичные серверы. Закон не распространяется на обработку данных для личных и семейных нужд (пункт 1 части 2 статьи 1). Сервер, который человек взял поиграть с друзьями, под закон не подпадает, и обязанностей нет ни у него, ни у хостинга.

Два режима игровых серверов в оферте

Приватный сервер

• Доступ только по списку допуска
• Без монетизации
• Для себя, семьи и друзей

Личные и семейные нужды: закон о персональных данных не применяется

Публичный сервер

• Свободный или публичный доступ
• Монетизация, сообщество, реклама

Оператор данных игроков: арендатор. Хостинг работает по поручению

Риски мы проговорили честно. Практики по такой модели в игровом хостинге пока нет. При проверке первым адресатом всё равно окажется хостинг, потому что у него домен и публичный сайт, а арендатор обычно анонимен. Позиция защитимая и намного лучше той, что была на входе. Но риск она только уменьшает.

Проверили каждое поле, которое уходит на сервер

Оставался собственный слой. Если панель отправляет на зарубежную машину что-то, по чему можно узнать владельца сервера, возникает трансграничная передача, и отвечает за неё уже сам хостинг (статья 12).

Перечень полей в двух описаниях клиента расходился, поэтому мы попросили показать один запрос целиком и объяснили, на что смотрим: есть ли среди полей что-то, связывающее сервер с аккаунтом, пишет ли пользователь название сервера сам и что лежит в переменных окружения. В название часто вписывают ники и имена, а в переменных окружения нередко оказываются почта администраторов и токены сторонних сервисов. Отдельно попросили не решать самостоятельно, что персональные данные, а что нет: сведения, которые выглядят техническими, в совокупности вполне могут указывать на человека.

В запросе оказались только технические параметры, а название сервера остаётся в панели. Вопрос о трансграничной передаче по этому каналу мы сняли. Зато нашли другой канал: при прямом входе по SFTP на зарубежную машину уходят логин владельца, пароль от панели и IP-адрес. В технических рекомендациях мы предложили сделать подключение через российский прокси обязательным и закрыть прямой доступ к порту на самой машине.

Как сравнивать с более дешёвым предложением

Клиент честно сказал, что другая компания предложила дешевле. Отговаривать мы не стали и подсказали, на что смотреть. Документы должны быть написаны под модель с арендатором как оператором, с поручением и разделением тарифов, иначе защита не работает. Спросите у второй компании, как она оформит роль арендатора и что будет в разделе об игроках, и по ответу станет видно, разбирались ли там в схеме.

Через несколько недель клиент вернулся к нам. По его словам, объяснять всё заново другим было просто некогда.

Хостинг оказался шире игровых серверов

Когда началась работа над документами, выяснилось, что хостинг продаёт не только игровые серверы. Есть ещё облачное хранилище, хостинг сайтов, виртуальные серверы, базы данных и услуга с ИИ-агентами: клиент получает ключ к API хостинга в России, а тот обращается к внешним нейросетям. Каждую услугу мы прошли по одной схеме: что получает хостинг, где это хранится и уходит ли куда-то дальше.

С ИИ-агентами всё сложнее. Пользователи отправляют нейросетям свободный текст и вложения, и в них могут оказаться чьи угодно персональные данные, даже если сервис их не собирает. Часть внешних провайдеров работает за рубежом, а правило «не отправляйте персональные данные» в условиях сервиса технической гарантией не считается. Это ушло в отдельное заключение о рисках.

Домашний адрес и подпись уведомления

Получив документы, клиент спросил, обязательно ли публиковать в них домашний адрес. В уведомлении для Роскомнадзора без почтового адреса не обойтись. А вот прямой обязанности указывать его в публичных документах закон не устанавливает, и мы его убрали. Пример другого хостинга без адреса, который прислал клиент, мы при этом доводом не считали: чужие документы тоже бывают написаны с ошибками.

Электронной подписи у клиента не было, и мы подсказали запасной путь: войти на сайт Роскомнадзора через Госуслуги и перенести данные из нашего черновика. Клиент всё же дождался своей подписи и подписал уведомление.

Что получил клиент

Заключение о рисках мы считаем самой честной частью комплекта. Документы описывают модель, в которой хостинг не передаёт данные за рубеж. Чтобы модель совпадала с жизнью, часть зарубежных маршрутов придётся убрать технически, и это уже работа разработчиков.

Когда такой разбор нужен вашему сервису

Похожие вопросы встают у хостингов, облачных сервисов и платформ, где пользователи сами размещают контент и собирают данные своей аудитории, особенно если часть мощностей арендована за границей. Начать стоит с простого упражнения: разложить данные по слоям. Что ваше целиком, что принадлежит вашим клиентам, а что появляется на ваших серверах по решению клиента. Ответ на вопрос «кто оператор» обычно и определяет, сколько документов вам на самом деле нужно.