1. Кто мы
Оператор персональных данных — , страна: . По всем вопросам о ваших данных пишите на или используйте раздел «Данные и приватность» в кабинете.
SkinLens — независимый сервис для торговли на Торговой площадке Steam. Он не связан с Valve Corporation и Telegram. Документ описывает сайт skinlens.org, Telegram-бот @skinlensbot и его Mini App; расширение для Chrome — в разделе 11.
2. Какие данные мы обрабатываем
Ниже — то, что сервис реально хранит на дату версии документа. Чего здесь нет, того мы не собираем.
| Категория | Что именно | Откуда | Зачем | Основание |
|---|
| Вход через Steam | SteamID64, ник и ссылка на аватар из публичного профиля | Steam (OpenID) и ваш публичный профиль | Вход, определение вашего аккаунта и тарифа, связь с расширением | Исполнение договора |
| Вход через Telegram | Telegram ID, имя, username, ссылка на фото | Telegram | Вход, сообщения бота, Mini App | Исполнение договора |
| Тариф и платежи | Тариф, срок, источник (оплата или выдача); баланс и движение по нему (сумма в центах, вид, время); крипто-счета: тариф, способ, сумма, адрес приёма, статус, время, хеши входящих транзакций | Вы; блокчейн (публичные данные) | Оказание услуги, учёт платежей, разбор споров | Исполнение договора; обязанность вести учёт |
| Согласия и запросы | Идентификатор субъекта, вид и версия документа, дата, источник; при согласии на автоматизацию — версия расширения и режим; ваши запросы по данным и их статус | Вы | Подтвердить, что вы приняли условия; исполнить ваши права | Законная обязанность; законный интерес в защите от претензий |
| Расширение и слежение | Случайный идентификатор установки, версия расширения, время последней связи; при подключённом Telegram — ваши заявки на покупку (предмет, цена, количество) и лоты; настройки автоматизации; задания перестановки и их результат | Расширение в вашем браузере | Уведомления, слежение, автоматическая перестановка по вашему включению | Исполнение договора; согласие (автоматизация) |
| Бот и Mini App | Telegram ID, username, имя, подписки на цены, часовой пояс, тихие часы | Вы; Telegram | Работа бота | Исполнение договора |
| Сессия сайта | Случайный токен в cookie sl_s (в базе — только его хеш), время создания и последнего обращения | Сайт | Держать вас в кабинете | Исполнение договора; необходимая технология |
| Технические журналы | Время, компонент, тип события, Telegram ID (если есть), текст сообщения без токенов. Хранятся 30 дней | Сервис | Безопасность, поиск ошибок | Законный интерес |
| Выбор cookies | Ваш выбор в баннере (localStorage sl_consent) | Вы | Не спрашивать вас повторно | Необходимая технология |
IP-адреса. Наш веб-сервер не ведёт журнал обращений с адресами. Сервис использует адрес для ограничения частоты запросов в памяти и не хранит его в открытом виде. Для защиты от перегрузки и злоупотреблений (в том числе когда несколько аккаунтов работают с одной сети) мы сохраняем хэш адреса сети, с которой подключается расширение: необратимое значение, по которому адрес восстановить нельзя и которое не передаётся другим пользователям. Хэш хранится 30 дней, затем удаляется, и удаляется вместе с вашими данными при удалении аккаунта. Как сетевая инфраструктура, адреса видит хостинг-провайдер.
Чего мы не собираем: пароли Steam и Telegram; токен вашей сессии Steam (он остаётся в вашем браузере и на наш сервер не отправляется); данные банковских карт; документы, удостоверяющие личность; геолокацию; контакты.
3. Основания обработки
- Исполнение договора — всё, что нужно, чтобы вы могли войти, оплатить тариф и пользоваться функциями.
- Согласие — автоматическая перестановка заявок (отдельное согласие, его можно отозвать) и необязательные cookies.
- Законный интерес — безопасность, журналы ошибок, защита от злоупотреблений и от претензий (журнал согласий).
- Юридическая обязанность — хранение платёжных записей.
Мы не просим «общего согласия на всё»: для каждой цели — своё основание. Необязательных рассылок и маркетинга у нас нет, поэтому и согласия на них нет.
4. Кому мы передаём данные
| Получатель | Роль | Что получает |
|---|
| Хостинг-провайдер (Oracle Cloud Infrastructure) | Хранение базы и работа сервера | Всё, что хранит сервис |
| Telegram | Вход, сообщения, Mini App | То, что вы сами делаете в Telegram; сообщения, которые отправляет бот |
| Steam (Valve) | Вход через OpenID | Ваш браузер взаимодействует со Steam напрямую. Расширение обращается к Steam из вашего браузера от вашего имени |
| Источники курсов и узлы блокчейнов | Курсы валют, проверка платежей | Наши публичные адреса приёма и запросы курсов. Данных о вас им не передаётся |
Мы не продаём данные и не передаём их рекламным сетям. Данные могут быть раскрыты по законному требованию компетентного органа.
5. Передача за границу
Сервер находится в Германии (регион хостинга — [подтвердить в панели провайдера]). Telegram и Steam — международные сервисы; при их использовании данные обрабатываются по их правилам, в том числе за пределами ЕС и Молдовы. Механизм законной передачи данных за пределы ЕЭЗ и Молдовы определяется после проверки юристом.
6. Сколько мы храним данные
| Данные | Срок |
|---|
| Сессия сайта | 30 дней или до выхода из кабинета |
| Технические журналы | 30 дней |
| Хэш сети (защита от перегрузки и злоупотреблений) | 30 дней |
| Ваши заявки для слежения | Пока привязан Telegram; удаляются при отвязке и автоматически через 3 дня после того, как расширение перестало их присылать |
| Данные аккаунта (Steam, Telegram, профиль, слежение, настройки) | Пока аккаунт существует. После запроса на удаление — удаляются через 7 дней (время, чтобы передумать) |
| Платёжные записи (счета, баланс, суммы, время) | ; после удаления аккаунта хранятся без привязки к вашему профилю, насколько это возможно |
| Журнал согласий | (для защиты от претензий); удалению по запросу не подлежит |
| Резервные копии базы | |
7. Ваши права
- Доступ и переносимость. «Скачать мои данные» в кабинете отдаёт файл со всем, что мы о вас храним.
- Исправление, ограничение, возражение. Через форму «Данные и приватность» в кабинете или по почте.
- Удаление. Кнопка «Удалить аккаунт» в кабинете. Платёжные записи и журнал согласий мы вправе сохранить, пока этого требует закон.
- Отзыв согласия. Автоматическая перестановка — на странице /automation или в кабинете; cookies — по ссылке «Настройки cookies» внизу страницы. Отзыв не отменяет законность обработки до него.
- Жалоба. Вы вправе обратиться в орган по защите персональных данных своей страны.
Отвечаем в срок, установленный законом, как правило до 30 дней. Чтобы не выдать данные постороннему, мы можем попросить подтвердить, что запрос идёт с вашего аккаунта. Мы не можем удалить данные у Steam, Telegram и других сторонних сервисов — это нужно делать у них.
8. Как мы защищаем данные
- Сайт работает по HTTPS.
- Секреты и ключи хранятся вне кода; токены сессии в базе — только в виде хеша.
- Журнал согласий и журнал действий администраторов только дополняются, их нельзя изменить незаметно.
- Доступ администраторов разделён по ролям, их действия записываются.
- Платёжные приватные ключи не хранятся на сервере: сервис умеет только читать блокчейн и не умеет подписывать транзакции.
Мы не заявляем о сертификации и полной защищённости: ни одна система не защищена абсолютно. О существенном нарушении защиты данных мы уведомим вас и орган надзора в случаях и в сроки, установленные законом.
9. Возраст
Сервис предназначен для лиц от 18 лет. Мы сознательно не собираем данные несовершеннолетних; если нам станет известно о таком аккаунте, мы его закроем и удалим данные.
10. Автоматические решения
Автоматическая перестановка заявок и лотов — это автоматическое действие по правилам, которые задаёте вы (шаг, потолок, минимум), и только после вашего отдельного согласия. Других автоматических решений, которые для вас имеют юридические последствия, мы не принимаем. Подробности — на странице /automation.
11. Расширение Chrome «SkinLens Trades»
- Токен вашей сессии Steam хранится только в памяти браузера и не передаётся никому, кроме Steam.
- Для получения цен на сервер SkinLens передаются названия предметов и код валюты — без сведений о вас.
- Для проверки привязки Telegram передаются случайный идентификатор установки и ваш SteamID64. Если Telegram не привязан, номер аккаунта не сохраняется.
- Список ваших заявок передаётся только при привязанном Telegram и удаляется при отвязке.
- Ник, аватар и содержимое трейдов за пределы Steam не передаются. Рекламы и сторонней аналитики нет.
- Расширение выполняет действия в вашем аккаунте Steam только по вашей кнопке, а автоматически — лишь то, что вы включили: автопринятие офферов, в которых вы ничего не отдаёте, изменение цены по вашей просьбе в Telegram и автоматическую перестановку (последнюю — только после отдельного согласия).
- Адрес сервера расширения: skinlens.org (старые установки могут обращаться к нему по прежнему адресу skinlens.duckdns.org).
12. Изменения
У документа есть версия и дата. О существенных изменениях мы сообщим на сайте и в кабинете. Если изменения требуют нового согласия, мы попросим его заново.
1. Who we are
The data controller is , country: . For any question about your data, write to or use the "Data and privacy" section of your account.
SkinLens is an independent service for trading on the Steam Community Market. It is not affiliated with Valve Corporation or Telegram. This document covers the website skinlens.org, the Telegram bot @skinlensbot and its Mini App; the Chrome extension is covered in section 11.
2. What data we process
This is what the service actually stores at the date of this version. What is not listed here, we do not collect.
| Category | What exactly | Source | Purpose | Basis |
|---|
| Sign-in with Steam | SteamID64, nickname and avatar link from your public profile | Steam (OpenID) and your public profile | Signing in, identifying your account and plan, connecting the extension | Performance of the contract |
| Sign-in with Telegram | Telegram ID, name, username, photo link | Telegram | Signing in, bot messages, the Mini App | Performance of the contract |
| Plan and payments | Plan, term, source (payment or grant); balance and its movements (amount in cents, type, time); crypto invoices: plan, method, amount, receiving address, status, times, hashes of incoming transactions | You; the blockchain (public data) | Providing the service, accounting for payments, resolving disputes | Performance of the contract; accounting obligation |
| Consents and requests | Subject identifier, document kind and version, date, source; for the automation consent — the extension version and mode; your data requests and their status | You | To prove you accepted the terms; to fulfil your rights | Legal obligation; legitimate interest in defending against claims |
| Extension and tracking | A random installation identifier, the extension version, time of the last contact; with Telegram linked — your buy orders (item, price, quantity) and listings; automation settings; repricing tasks and their results | The extension in your browser | Notifications, tracking, automatic repricing when you turn it on | Performance of the contract; consent (automation) |
| Bot and Mini App | Telegram ID, username, name, price subscriptions, time zone, quiet hours | You; Telegram | Operating the bot | Performance of the contract |
| Website session | A random token in the cookie sl_s (only its hash is stored in the database), time of creation and last use | The website | Keeping you signed in | Performance of the contract; necessary technology |
| Technical logs | Time, component, event type, Telegram ID (if any), message text without tokens. Kept for 30 days | The service | Security, finding errors | Legitimate interest |
| Cookie choice | Your choice in the banner (localStorage sl_consent) | You | Not asking you again | Necessary technology |
IP addresses. Our web server does not keep an access log with addresses. The service uses an address in memory to limit request rates and does not store it in plain form. To protect against overload and abuse (including when several accounts work from one network), we store a hash of the network address the extension connects from: an irreversible value from which the address cannot be recovered, and which is not shared with other users. The hash is kept for 30 days and then deleted, and it is deleted along with your data when you delete your account. As network infrastructure, the hosting provider sees addresses.
What we do not collect: Steam and Telegram passwords; your Steam session token (it stays in your browser and is not sent to our server); bank card data; identity documents; location; contacts.
3. Legal bases
- Performance of the contract — everything needed for you to sign in, pay for a plan and use the features.
- Consent — automatic repricing of orders (a separate consent that can be withdrawn) and non-essential cookies.
- Legitimate interest — security, error logs, protection against abuse and against claims (the consent log).
- Legal obligation — keeping payment records.
We do not ask for a blanket "consent to everything": every purpose has its own basis. We have no optional mailings or marketing, so there is no consent for them either.
4. Who receives your data
| Recipient | Role | What it receives |
|---|
| Hosting provider (Oracle Cloud Infrastructure) | Storing the database and running the server | Everything the service stores |
| Telegram | Sign-in, messages, Mini App | What you do in Telegram yourself; the messages the bot sends |
| Steam (Valve) | Sign-in via OpenID | Your browser talks to Steam directly. The extension calls Steam from your browser on your behalf |
| Exchange-rate sources and blockchain nodes | Exchange rates, payment verification | Our public receiving addresses and rate queries. No data about you is passed to them |
We do not sell data and do not pass it to advertising networks. Data may be disclosed on a lawful request of a competent authority.
5. Transfers abroad
The server is located in Germany (hosting region: [confirm in the provider's console]). Telegram and Steam are international services; when you use them, data is processed under their rules, including outside the EU and Moldova. The lawful mechanism for transfers outside the EEA and Moldova is to be determined after review by a lawyer.
6. How long we keep data
| Data | Period |
|---|
| Website session | 30 days or until you sign out |
| Technical logs | 30 days |
| Network hash (protection against overload and abuse) | 30 days |
| Your orders kept for tracking | While Telegram is linked; deleted when you unlink and automatically 3 days after the extension stops sending them |
| Account data (Steam, Telegram, profile, tracking, settings) | While the account exists. After a deletion request — deleted after 7 days (time to change your mind) |
| Payment records (invoices, balance, amounts, time) | ; after the account is deleted they are kept without a link to your profile as far as possible |
| Consent log | (to defend against claims); not deleted on request |
| Database backups | |
7. Your rights
- Access and portability. "Download my data" in your account gives you a file with everything we store about you.
- Rectification, restriction, objection. Through the "Data and privacy" form in your account or by email.
- Erasure. The "Delete account" button in your account. We may keep payment records and the consent log for as long as the law requires.
- Withdrawing consent. Automatic repricing — on the /automation page or in your account; cookies — the "Cookie settings" link at the bottom of any page. Withdrawal does not affect the lawfulness of processing before it.
- Complaint. You may complain to the data protection authority of your country.
We reply within the time set by law, usually up to 30 days. To avoid giving data to a stranger, we may ask you to confirm that a request comes from your account. We cannot delete data held by Steam, Telegram or other third-party services — that has to be done with them.
8. How we protect data
- The website runs over HTTPS.
- Secrets and keys are kept outside the code; session tokens are stored in the database only as a hash.
- The consent log and the administrator action log are append-only and cannot be changed unnoticed.
- Administrator access is split by role and their actions are recorded.
- Payment private keys are not stored on the server: the service can only read the blockchain and cannot sign transactions.
We do not claim certification or complete security: no system is absolutely secure. We will notify you and the supervisory authority of a significant data breach in the cases and within the time set by law.
9. Age
The service is intended for people aged 18 and over. We do not knowingly collect data of minors; if we learn of such an account, we will close it and delete the data.
10. Automated decisions
Automatic repricing of orders and listings is an automatic action under rules you set (step, ceiling, minimum), and only after your separate consent. We make no other automated decisions that have legal effects for you. Details are on the /automation page.
11. The Chrome extension "SkinLens Trades"
- Your Steam session token is kept in browser memory only and is never sent anywhere except Steam.
- To get prices, only item names and a currency code are sent to the SkinLens server — with no information about you.
- To check the Telegram link, a random installation identifier and your SteamID64 are sent. If Telegram is not linked, the account number is not stored.
- Your list of orders is sent only while Telegram is linked and is deleted when you unlink.
- Your nickname, avatar and trade contents are not sent outside Steam. There is no advertising and no third-party analytics.
- The extension acts on your Steam account only when you press a button, and automatically only what you turned on: auto-accept for offers in which you give nothing, a price change you asked for in Telegram, and automatic repricing (the latter only after a separate consent).
- The extension's server address is skinlens.org (older installations may still reach it at the earlier address skinlens.duckdns.org).
12. Changes
This document has a version and a date. We will announce significant changes on the website and in your account. If a change needs new consent, we will ask for it again.