1. Controller

The controller responsible for personal data processed on this website and in the game within the meaning of Art. 4 No. 7 GDPR is:

ODY Technologies e.U.

Oliver Greil, sole proprietor

c/o RA Matutis

Fürstenstraße 5

5400 Hallein

Austria, European Union

contact@odytechnologies.com

Full legal disclosure: Imprint.

2. Scope

This policy applies to hexiles.com, the website of Hexiles: Settle, Sail, Siege, and to the game itself at play.hexiles.com. There are no user accounts, forms, comments, or analytics on the website. The only personal data processed there is the technical request data that is automatically generated by visiting any website on the public internet.

The game is in development. Sections 6 to 11 describe it: your settler and your island, accounts and the ways to sign in, what happens to guest players, fair play and moderation, purchases in the shop, and the services the game uses (hosting, bot check, emails).

3. Hosting & Server Logs

This website is hosted on Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). When you load any page, Cloudflare's edge servers automatically receive standard web request data:

• your IP address (used to route the response and detect abuse);
• the URL you requested and the HTTP referrer (if any);
• your browser's User-Agent string;
• the date and time of the request.

Purpose. To deliver the website, protect against DDoS and abuse, and maintain technical operations.

Legal basis. Legitimate interest in operating a secure and reliable website (Art. 6 (1) (f) GDPR).

Retention. Cloudflare typically retains edge access logs for a short rolling window (days, not months) for security and operational purposes. See Cloudflare's privacy policy for the current schedule.

International transfer. Cloudflare is a US-based provider with servers worldwide, including in the EU. Transfers to the United States are covered by the EU-U.S. Data Privacy Framework (Cloudflare is certified) and supplementary Standard Contractual Clauses where applicable.

4. No Third-Party Content

All fonts, images, and scripts on this website are served from our own host. We do not embed Google Fonts, content delivery networks, social media plugins, videos, or maps from other providers, so visiting this website does not make your browser contact any third party. The moving sea in the background is drawn by your own browser.

5. Cookies & Tracking

This website does not set any cookies and uses no tracking, analytics, or advertising pixels. If you switch the language manually, we store your choice in your browser's localStorage under hexiles.lang, so the language persists across pages. This value never leaves your browser, and you can delete it at any time in your browser settings. It is strictly necessary to provide the language setting you requested (§ 165 (3) TKG 2021). For the cookies of the game, see Section 7.

6. The Game: Your Settler and Your Island

• Your player: when you enter the game, we create a player with a random player number, the name and the look you chose for your settler, and the time.
• Your island and everything on it (fields, buildings, settlers at work, goods) is stored on our server, so it keeps going while you are away.
• Who sees it: at the moment, your island is shown only to you. Others see the name and look of your settler through your link and next to what you write in the chat (Section 10).
• Your link: when you share a link to your settler for the first time, we give your player a random code for it. Whoever opens the link sees a page with the name and a picture of your settler, which our server draws from its look; the app in which the link is shared (for example WhatsApp, iMessage or Telegram) fetches this page and picture itself to show a preview. The link stays the same and always shows your settler as it is now. Once you delete your game, it no longer shows your settler.

Legal basis. Providing the game you signed up for (Art. 6 (1) (b) GDPR).

Deleting. In the settings of the game (Account) you can delete your game or your account at any time. We then delete at once your island, your settler, your account with all its ways to sign in, your devices and codes, and when you were last there.

7. The Game: Accounts, Signing In and Devices

• Session cookie: to recognise your browser, the game sets a cookie hexiles-session with a random token (one year, renewed with each visit); our server keeps only a one-way hash of it. For each device we store a rough label derived from your browser's User-Agent string (such as “Safari · iPhone”), when it signed in and when it was last there, so that you can see your devices and sign them out; for your player, when you last opened the game.
• Email address and password: if you secure your island with an email address, we store the confirmed address and the language of our emails, and a password you set only as an Argon2id hash. To confirm an address, change it or reset a password, we email you a 6-digit code, which we store only as a hash; it is valid for 15 minutes and deleted after an hour.
• Breached passwords: when you choose a password, our server checks whether it appears in known data breaches, using the Pwned Passwords service of Have I Been Pwned. It sends only the first five characters of a hash of the password; the password itself and your IP address never leave our server.
• Google: if you sign in with Google, Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland) tells us a unique ID of your Google account, its email address and whether Google has confirmed it. A confirmed address that no other account uses becomes the address of your account. We do not request your name or picture.
• Steam: if you sign in with Steam, Valve Corporation (Bellevue, Washington, USA) confirms your Steam ID to us, a number, and nothing else.
• Passkeys: if you add a passkey, its private key stays on your device or in your password manager, and your fingerprint or face never leave your device. We store the public key and ID of the passkey, whether it is synced, and when you added and last used it.
• Starting with Google or Steam: if you sign in with one of them before you have a settler, we remember the sign-in for 15 minutes in a cookie hexiles-pending and attach it to the settler you then create. While you sign in with Google or Steam, short-lived technical cookies protect the way back to the game against forgery.
• Another device: to continue on another device, the game shows you a code of six characters (valid for 10 minutes, once). The app on the home screen of an iPhone or iPad receives a longer code in its start address (valid for 7 days). We store codes only as a hash; signing out, signing out the other devices, a new password and deleting discard them.
• In your browser: the game keeps your settings (language, text size, graphics, sound), the settler you are designing until you enter, and small notes (such as whether a hint was already shown, which announcements you have read, or that a guest played here, Section 8) in your browser's localStorage and sessionStorage under names beginning with hexiles.. They never leave your browser.

Purpose and legal basis. Providing the game you signed up for and the ways to sign in you chose (Art. 6 (1) (b) GDPR); for the check against breached passwords and the protection of the way back, our legitimate interest in secure accounts (Art. 6 (1) (f) GDPR). We consider these cookies and the storage in your browser strictly necessary to provide the game you requested (§ 165 (3) TKG 2021).

Google and Steam. You sign in on their own pages; what they process there is governed by the privacy policies of Google and Valve.

Retention. Your account and its data for as long as it exists; a device until you sign it out or delete your account.

8. The Game: Guests

You can play as a guest, without an account, for as long as you keep coming back; your player is then tied to this browser. If you do not open the game for 7 days, your island sinks: we delete your guest player together with all data belonging to it, as when an account is deleted. A guest who never founded their main house is deleted after 3 hours without a visit. If this browser comes back afterwards, the game tells you what happened. Once you secure your island with an account (a confirmed email address, Google or Steam), it stays until you delete it.

Legal basis. Providing the game you signed up for (Art. 6 (1) (b) GDPR).

9. The Game: Fair Play, Moderation and Logs

• Measures: if you break our Terms, we may mute you in the chat, ban you from the chat or suspend your account. We store the measure with its kind, reason and duration, who took it and when, and show it to you in the game (Art. 17 DSA). All actions of our moderation are logged with the name of the person who took them. These records refer only to the player number and are kept as the record of our decisions, also after an account is deleted.
• Protection against abuse: to slow down automated attacks, our server counts requests per network (derived from your IP address) and failed sign-ins per email address, only in its working memory and for at most an hour.
• Server logs: when something goes wrong in the game, our server records what happened: the time, the kind of error and where in our code it occurred, and the player number concerned, never email addresses or passwords. We use these records only to run the game and fix errors. The running output of the server is overwritten continuously once it reaches a fixed size.
• Statistics: for our overview of operations we count, without any personal reference, how many players there are, how many played today, this week and this month, and how the server is doing.

Purpose and legal basis. A secure and fair game and the record of our decisions: our legal obligations under the Digital Services Act and our legitimate interest in a safe game that runs reliably (Art. 6 (1) (c) and (f) GDPR).

10. The Game: Chat

• Messages: what you write in the chat (text, replies, reactions and whom you mention) is stored with your player number, the name your settler had when you wrote it, its current look and the time, and shown to everyone who reads that channel: the world, the official channel of our team, and once enough players come from there, a region or country. Only accounts secured with a confirmed email address, Google or Steam can write. Messages are kept for 30 days; one you delete yourself disappears for everyone at once, and we keep its text for 7 more days in case it was reported. When your settler arrives on the islands, the world may read a short line with its name.
• Your country: to open channels for regions and countries once enough players come from there, we store the country that Cloudflare derives from your IP address when you first play (only the two-letter country code, never your IP address or city), and the place you choose in the chat. Your country is never shown to other players.
• Read status and mutes: for each channel, the last message you read (so the game can mark what is new, on all your devices), and the players you muted.
• Reports: if you report a message, we store the report with its reason, your note, the reported text, your player number and a one-way hash of your network (derived from your IP address), so that several accounts from one network count only once. Reported messages are kept until our moderation has decided; decided reports, with their message, for 6 months as a record of the decision.
• Notices: if our moderation removes one of your messages, mutes you or bans you from the chat, you receive a notice in the game with the reason and the rule (Art. 17 DSA). We keep it until you delete your account.
• Notifications: if you turn on notifications in the settings, your browser gives us the address of its push service (Google, Apple, Mozilla or Microsoft, depending on your browser) and keys for it; we store them with your player number and the language of the game. When someone mentions you in the chat, or our team posts in Officials, while you are not looking at the game, our server sends an encrypted notification there, at most one every 5 minutes; the push service only passes it on to your device. Whether the game is visible on your device is known to our server only while it is open. Turning notifications off, or deleting your account, deletes this data.

Purpose and legal basis. Providing the chat you use (Art. 6 (1) (b) GDPR); reports, moderation and their records: our legal obligations under the Digital Services Act and our legitimate interest in a safe chat (Art. 6 (1) (c) and (f) GDPR).

Deleting. When you delete your game or your account, we delete your messages, reactions, read status, mutes, your country, your own reports, your notices and your devices for notifications at once. Only messages with open reports stay until our moderation has decided.

11. The Game: Purchases and Payments (Stripe)

If you buy Diamonds in the game, the payment is processed by Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland). The payment form comes from Stripe and is shown inside the game. Stripe receives the data it needs to take the payment and to meet its own legal obligations:

• your payment details (card, PayPal, Klarna, EPS, Apple Pay, Google Pay or Link);
• your name and billing address, as far as the payment method requires them;
• your email address for the receipt;
• your IP address and device and browser data, which Stripe uses to prevent fraud;
• the amount, the currency and our order reference.

We never see or store your payment details. They are entered directly into fields hosted by Stripe and never reach our servers. We keep an order record: your player number, the pack, the Diamonds and the price, when you ordered and paid, Stripe's references for the checkout and the payment, the email address for your purchase confirmation, your request for immediate delivery with the acknowledgement that you lose your right of withdrawal (time, language and version of the wording), and a log of what happened to the order (paid, credited, refunds, chargebacks). Diamonds you buy and spend are recorded on your account like the ones you receive in the game.

Purchase confirmation. We email you a confirmation with the order details and your waiver of the right of withdrawal, to the address entered at checkout or that of your account.

Purpose. To process your purchase, credit your Diamonds and confirm it to you, to handle refunds and chargebacks, to prevent fraud, and to meet accounting and tax obligations.

Legal basis. Performance of a contract (Art. 6 (1) (b) GDPR) for the purchase and its confirmation; legal obligation (Art. 6 (1) (c) GDPR) for keeping accounting records; legitimate interest (Art. 6 (1) (f) GDPR) for fraud prevention and handling chargebacks.

Stripe's role. Stripe acts as our processor for handling the payment and as an independent controller for fraud prevention and its own regulatory duties, described in the Stripe Privacy Policy. If you pay with Link, Stripe's service for saving payment details, your Link account is held directly with Stripe, which is the controller for it.

International transfers. Stripe Payments Europe is based in Ireland; data may be transferred to Stripe, Inc. in the United States under the EU-U.S. Data Privacy Framework and the EU Standard Contractual Clauses.

Retention. Order records are kept for the statutory retention period under Austrian tax law (currently seven years, § 132 BAO), also after an account is deleted. Stripe applies its own retention periods to the payment data it holds.

12. The Game: Hosting, Bot Check and Emails

To run the game, we and your browser use the following services. Each receives only what it needs for its task. Fonts and images of the game come from our own server; your browser contacts Google or Steam only when you choose to sign in with them.

• Hosting: the game runs on our own server at Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Germany) in a data center in the EU; our backups are kept at Hetzner as well. Requests reach the server through Cloudflare's network (Cloudflare Tunnel, Cloudflare, Inc., Section 3), which receives the same request data as for this website. Our web server notes each request with your IP address, the time, the address requested within the game without its parameters, and the status, size and duration of the answer, in a log of fixed size that is overwritten continuously.
• Bot check: when you create your settler, when we send a code to your email address (securing your island, adding or changing an address, resetting a password) and after several wrong attempts at signing in or entering a code from another device, the game asks Cloudflare Turnstile (Cloudflare, Inc.) whether a person or a program is at work. Turnstile receives your IP address, your browser's User-Agent string and technical characteristics of your connection (Turnstile Privacy Addendum). Cloudflare acts as our processor for the check and as an independent controller for improving its bot detection.
• Emails from the game (codes, and purchase confirmations once the shop is open) are sent via SMTP2GO (Sand Dune Mail Ltd, 96-106 Manchester Street, Christchurch 8011, New Zealand), which receives your email address and the message and keeps its headers for 35 days. SMTP2GO stores personal data of users in the EEA within the EEA.

Purpose and legal basis. Providing the game you signed up for (Art. 6 (1) (b) GDPR) and our legitimate interest in a secure and reliable game that is protected against automated abuse (Art. 6 (1) (f) GDPR).

Roles. Hetzner, Cloudflare and SMTP2GO process the data on our behalf.

International transfers. For Cloudflare, Section 3 applies. For New Zealand, where SMTP2GO is based, the European Commission has issued an adequacy decision.

Retention. Our access log as described above; the services apply their own retention periods.

13. Your Rights

Under the GDPR you have the following rights regarding your personal data:

• Right of access (Art. 15): confirmation of whether we process your data and a copy of it.
• Right to rectification (Art. 16): correction of inaccurate data.
• Right to erasure (Art. 17): deletion of your data, also known as the "right to be forgotten".
• Right to restriction (Art. 18): pause processing in disputed cases.
• Right to data portability (Art. 20): receive your data in a machine-readable format.
• Right to object (Art. 21): object to processing based on legitimate interest.
• Right to withdraw consent (Art. 7 (3)): without affecting the lawfulness of processing before withdrawal.

You can delete your game or your account yourself at any time in the settings of the game (Section 6). To exercise any of these rights, email contact@odytechnologies.com. We will respond within one month.

14. Right to Lodge a Complaint

If you believe our processing of your personal data violates the GDPR, you have the right to lodge a complaint with a supervisory authority. The competent authority for us is the Austrian Data Protection Authority (Datenschutzbehörde):

Österreichische Datenschutzbehörde

Barichgasse 40-42

1030 Wien, Österreich

www.dsb.gv.at

15. Automated Decision-Making

We do not make decisions based solely on automated processing, including profiling, within the meaning of Art. 22 GDPR. Automated limits against abuse (Section 9) only slow down or hold back requests for a short time, and reports from three established accounts in different networks hide a message only until our moderation has decided (Section 10); a person decides on any measure against a player.

16. Children

The game is intended for users aged 16 and over. We do not knowingly collect personal data from children. If we become aware that we have collected data from a child without parental consent, we will delete it.

17. Changes to This Policy

We will update this policy as the game evolves and new processing comes online. Material changes will be announced on this website and in the game before they take effect.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten auf dieser Website und im Spiel im Sinne des Art. 4 Nr. 7 DSGVO ist:

ODY Technologies e.U.

Oliver Greil, Einzelunternehmer

c/o RA Matutis

Fürstenstraße 5

5400 Hallein

Österreich, Europäische Union

contact@odytechnologies.com

Vollständige rechtliche Offenlegung: Impressum.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für hexiles.com, die Website von Hexiles: Settle, Sail, Siege, und für das Spiel selbst unter play.hexiles.com. Wir betreiben auf der Website keine Nutzerkonten, keine Formulare, keine Kommentare und keine Web-Analytics. Personenbezogen sind dort allein die technischen Anfragedaten, die beim Besuch einer öffentlichen Website automatisch entstehen.

Das Spiel befindet sich in Entwicklung. Die Abschnitte 6 bis 11 beschreiben es: deinen Siedler und deine Insel, Konten und die Wege der Anmeldung, was mit Gästen geschieht, Fairness und Moderation, Käufe im Laden und die Dienste, die das Spiel nutzt (Hosting, Bot-Prüfung, E-Mails).

3. Hosting & Server-Logs

Diese Website wird über Cloudflare bereitgestellt (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Beim Aufruf einer beliebigen Seite empfangen die Edge-Server von Cloudflare automatisch die üblichen Web-Anfragedaten:

• Ihre IP-Adresse (zum Routing der Antwort und zur Abuse-Erkennung);
• die angeforderte URL und der HTTP-Referrer (falls vorhanden);
• die User-Agent-Kennung Ihres Browsers;
• Datum und Uhrzeit der Anfrage.

Zweck. Auslieferung der Website, Schutz vor DDoS und Missbrauch, technischer Betrieb.

Rechtsgrundlage. Berechtigtes Interesse am sicheren und zuverlässigen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer. Cloudflare hält Edge-Access-Logs üblicherweise nur kurze rollierende Zeiträume (Tage, keine Monate) für Sicherheits- und Betriebszwecke vor. Die jeweils aktuellen Fristen finden Sie in der Cloudflare-Datenschutzerklärung.

Drittstaatentransfer. Cloudflare ist ein US-Anbieter mit weltweit, auch in der EU, verteilten Servern. Transfers in die USA stützen sich auf das EU-U.S. Data Privacy Framework (Cloudflare ist zertifiziert) und ergänzend auf Standardvertragsklauseln (SCC), soweit anwendbar.

4. Keine Inhalte Dritter

Schriften, Bilder und Skripte dieser Website liegen auf unserem eigenen Host. Wir binden keine Google Fonts, keine Content-Delivery-Netzwerke, keine Social-Media-Plugins, Videos oder Karten anderer Anbieter ein. Beim Besuch dieser Website nimmt Ihr Browser daher keinen Kontakt zu Dritten auf. Das bewegte Meer im Hintergrund zeichnet Ihr eigener Browser.

5. Cookies & Tracking

Diese Website setzt keine Cookies und verwendet kein Tracking, keine Analyse-Werkzeuge und keine Werbe-Pixel. Wenn Sie die Sprache von Hand umschalten, speichern wir Ihre Wahl im localStorage Ihres Browsers unter hexiles.lang, damit sie über alle Seiten erhalten bleibt. Dieser Wert verlässt Ihren Browser nicht, und Sie können ihn jederzeit in den Browsereinstellungen löschen. Er ist unbedingt erforderlich, um die von Ihnen gewählte Spracheinstellung bereitzustellen (§ 165 Abs. 3 TKG 2021). Zu den Cookies des Spiels siehe Abschnitt 7.

6. Das Spiel: Dein Siedler und deine Insel

• Dein Spieler: Betrittst du das Spiel, legen wir einen Spieler an, mit einer zufälligen Spielernummer, dem Namen und dem Aussehen, das du deinem Siedler gegeben hast, und der Zeit.
• Deine Insel mit allem, was darauf ist (Felder, Gebäude, Siedler bei der Arbeit, Waren), speichern wir auf unserem Server, damit sie weiterläuft, während du weg bist.
• Wer sie sieht: Deine Insel siehst derzeit nur du. Name und Aussehen deines Siedlers sehen andere über deinen Link und neben dem, was du im Chat schreibst (Abschnitt 10).
• Dein Link: Teilst du zum ersten Mal einen Link zu deinem Siedler, bekommt dein Spieler dafür einen zufälligen Code. Wer den Link öffnet, sieht eine Seite mit dem Namen und einem Bild deines Siedlers, das unser Server aus seinem Aussehen zeichnet; die App, in der der Link geteilt wird (etwa WhatsApp, iMessage oder Telegram), holt Seite und Bild selbst, um eine Vorschau zu zeigen. Der Link bleibt derselbe und zeigt deinen Siedler immer, wie er gerade ist. Löschst du deinen Spielstand, zeigt er ihn nicht mehr.

Rechtsgrundlage. Die Bereitstellung des Spiels, für das du dich angemeldet hast (Art. 6 Abs. 1 lit. b DSGVO).

Löschen. In den Einstellungen des Spiels (Konto) kannst du deinen Spielstand oder dein Konto jederzeit löschen. Wir löschen dann sofort deine Insel, deinen Siedler, dein Konto mit allen Wegen der Anmeldung, deine Geräte und Codes und wann du zuletzt da warst.

7. Das Spiel: Konten, Anmeldung und Geräte

• Sitzungs-Cookie: Um deinen Browser wiederzuerkennen, setzt das Spiel ein Cookie hexiles-session mit einem zufälligen Token (ein Jahr, mit jedem Besuch verlängert); unser Server behält davon nur einen Einweg-Hash. Je Gerät speichern wir eine grobe Bezeichnung aus der User-Agent-Kennung deines Browsers (etwa „Safari · iPhone“), wann es sich angemeldet hat und wann es zuletzt da war, damit du deine Geräte sehen und abmelden kannst; für deinen Spieler, wann du das Spiel zuletzt geöffnet hast.
• E-Mail-Adresse und Passwort: Sicherst du deine Insel mit einer E-Mail-Adresse, speichern wir die bestätigte Adresse und die Sprache unserer E-Mails, ein Passwort, das du setzt, nur als Argon2id-Hash. Um eine Adresse zu bestätigen, zu ändern oder ein Passwort zurückzusetzen, schicken wir dir einen 6-stelligen Code per E-Mail, den wir nur als Hash speichern; er gilt 15 Minuten und wird nach einer Stunde gelöscht.
• Geleakte Passwörter: Wählst du ein Passwort, prüft unser Server mit dem Dienst Pwned Passwords von Have I Been Pwned, ob es in bekannten Datenlecks vorkommt. Er schickt dafür nur die ersten fünf Zeichen eines Hashes des Passworts; das Passwort selbst und deine IP-Adresse verlassen unseren Server nie.
• Google: Meldest du dich mit Google an, nennt uns Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) eine eindeutige Kennung deines Google-Kontos, seine E-Mail-Adresse und ob Google sie bestätigt hat. Eine bestätigte Adresse, die kein anderes Konto nutzt, wird die Adresse deines Kontos. Deinen Namen und dein Bild fragen wir nicht ab.
• Steam: Meldest du dich mit Steam an, bestätigt uns die Valve Corporation (Bellevue, Washington, USA) deine Steam-ID, eine Nummer, und sonst nichts.
• Passkeys: Legst du einen Passkey an, bleibt sein privater Schlüssel auf deinem Gerät oder in deinem Passwortmanager, und dein Fingerabdruck oder Gesicht verlassen dein Gerät nie. Wir speichern den öffentlichen Schlüssel und die Kennung des Passkeys, ob er synchronisiert ist, und wann du ihn angelegt und zuletzt genutzt hast.
• Mit Google oder Steam beginnen: Meldest du dich mit einem von beiden an, bevor du einen Siedler hast, merken wir uns die Anmeldung 15 Minuten in einem Cookie hexiles-pending und hängen sie an den Siedler, den du dann anlegst. Während du dich mit Google oder Steam anmeldest, schützen kurzlebige technische Cookies den Rückweg ins Spiel vor Fälschung.
• Ein anderes Gerät: Um auf einem anderen Gerät weiterzuspielen, zeigt dir das Spiel einen Code aus sechs Zeichen (10 Minuten gültig, einmal). Die App auf dem Home-Bildschirm eines iPhones oder iPads bekommt einen längeren Code in ihre Startadresse (7 Tage gültig). Codes speichern wir nur als Hash; Abmelden, alle anderen Geräte abmelden, ein neues Passwort und Löschen verwerfen sie.
• In deinem Browser: Das Spiel behält deine Einstellungen (Sprache, Textgröße, Grafik, Klang), den Siedler, den du gestaltest, bis du eintrittst, und kleine Vermerke (etwa ob ein Hinweis schon kam, welche Ankündigungen du gelesen hast oder dass hier ein Gast spielte, Abschnitt 8) im localStorage und sessionStorage deines Browsers unter Namen, die mit hexiles. beginnen. Sie verlassen deinen Browser nie.

Zweck und Rechtsgrundlage. Die Bereitstellung des Spiels, für das du dich angemeldet hast, und der Wege der Anmeldung, die du gewählt hast (Art. 6 Abs. 1 lit. b DSGVO); für die Prüfung auf geleakte Passwörter und den Schutz des Rückwegs unser berechtigtes Interesse an sicheren Konten (Art. 6 Abs. 1 lit. f DSGVO). Diese Cookies und die Speicherung in deinem Browser halten wir für unbedingt erforderlich, um das Spiel bereitzustellen, das du nutzen willst (§ 165 Abs. 3 TKG 2021).

Google und Steam. Du meldest dich auf ihren eigenen Seiten an; was sie dort verarbeiten, regeln die Datenschutzerklärungen von Google und Valve.

Speicherdauer. Dein Konto und seine Daten, solange es besteht; ein Gerät, bis du es abmeldest oder dein Konto löschst.

8. Das Spiel: Gäste

Du kannst als Gast spielen, ohne Konto, solange du wiederkommst; dein Spieler hängt dann an diesem Browser. Öffnest du das Spiel 7 Tage lang nicht, versinkt deine Insel: Wir löschen deinen Gast-Spieler samt allen zugehörigen Daten, wie beim Löschen eines Kontos. Ein Gast, der nie sein Haupthaus gegründet hat, wird nach 3 Stunden ohne Besuch gelöscht. Kommt dieser Browser danach wieder, sagt dir das Spiel, was geschah. Sicherst du deine Insel mit einem Konto (bestätigte E-Mail-Adresse, Google oder Steam), bleibt sie, bis du sie löschst.

Rechtsgrundlage. Die Bereitstellung des Spiels, für das du dich angemeldet hast (Art. 6 Abs. 1 lit. b DSGVO).

9. Das Spiel: Fairness, Moderation und Logs

• Maßnahmen: Verstößt du gegen unsere AGB, können wir dich im Chat stummschalten, für den Chat sperren oder dein Konto sperren. Wir speichern die Maßnahme mit Art, Begründung und Dauer, wer sie wann getroffen hat, und zeigen sie dir im Spiel (Art. 17 DSA). Alle Handlungen unserer Moderation protokollieren wir mit dem Namen dessen, der sie vornahm. Diese Aufzeichnungen nennen nur die Spielernummer und bleiben als Nachweis unserer Entscheidungen, auch nach dem Löschen eines Kontos.
• Schutz vor Missbrauch: Um automatisierte Angriffe zu bremsen, zählt unser Server Anfragen je Netz (abgeleitet aus deiner IP-Adresse) und fehlgeschlagene Anmeldungen je E-Mail-Adresse, nur in seinem Arbeitsspeicher und höchstens eine Stunde lang.
• Server-Logs: Geht im Spiel etwas schief, hält unser Server fest, was geschah: Zeitpunkt, Art des Fehlers und die Stelle in unserem Code und die betroffene Spielernummer, nie E-Mail-Adressen oder Passwörter. Wir nutzen diese Aufzeichnungen nur, um das Spiel zu betreiben und Fehler zu beheben. Die laufende Ausgabe des Servers überschreibt sich fortlaufend, sobald sie eine feste Größe erreicht.
• Statistik: Für unsere Übersicht des Betriebs zählen wir ohne jeden Personenbezug, wie viele Spieler es gibt, wie viele heute, diese Woche und diesen Monat gespielt haben und wie es dem Server geht.

Zweck und Rechtsgrundlage. Ein sicheres und faires Spiel und der Nachweis unserer Entscheidungen: unsere rechtlichen Pflichten nach dem Gesetz über digitale Dienste und unser berechtigtes Interesse an einem sicheren, zuverlässig laufenden Spiel (Art. 6 Abs. 1 lit. c und f DSGVO).

10. Das Spiel: Chat

• Nachrichten: Was du im Chat schreibst (Text, Antworten, Reaktionen und wen du erwähnst), speichern wir mit deiner Spielernummer, dem Namen, den dein Siedler beim Schreiben trug, seinem jetzigen Aussehen und der Zeit, und zeigen es allen, die diesen Kanal lesen: der Welt, dem offiziellen Kanal unseres Teams und, sobald genug Spieler von dort kommen, einer Region oder einem Land. Schreiben können nur Konten, die mit bestätigter E-Mail-Adresse, Google oder Steam gesichert sind. Nachrichten bleiben 30 Tage; eine, die du selbst löschst, verschwindet sofort für alle, ihren Text behalten wir noch 7 Tage, falls sie gemeldet wurde. Kommt dein Siedler auf den Inseln an, kann die Welt eine kurze Zeile mit seinem Namen lesen.
• Dein Land: Um Kanäle für Regionen und Länder zu öffnen, sobald genug Spieler von dort kommen, speichern wir das Land, das Cloudflare beim ersten Spielen aus deiner IP-Adresse ableitet (nur das Länderkürzel, nie deine IP-Adresse oder Stadt), und den Ort, den du im Chat wählst. Dein Land sehen andere Spieler nie.
• Lesestand und Stummschaltungen: je Kanal die letzte Nachricht, die du gelesen hast (damit das Spiel auf allen deinen Geräten markieren kann, was neu ist), und wen du stummgeschaltet hast.
• Meldungen: Meldest du eine Nachricht, speichern wir die Meldung mit Grund, deiner Anmerkung, dem gemeldeten Text, deiner Spielernummer und einem Einweg-Hash deines Netzes (abgeleitet aus deiner IP-Adresse), damit mehrere Konten aus einem Netz nur einmal zählen. Gemeldete Nachrichten bleiben, bis unsere Moderation entschieden hat; entschiedene Meldungen samt ihrer Nachricht 6 Monate als Nachweis der Entscheidung.
• Mitteilungen: Entfernt unsere Moderation eine deiner Nachrichten, schaltet sie dich stumm oder sperrt sie dich für den Chat, bekommst du im Spiel eine Mitteilung mit Begründung und Regel (Art. 17 DSA). Wir bewahren sie auf, bis du dein Konto löschst.
• Benachrichtigungen: Schaltest du in den Einstellungen Mitteilungen ein, gibt uns dein Browser die Adresse seines Push-Dienstes (je nach Browser Google, Apple, Mozilla oder Microsoft) und Schlüssel dafür; wir speichern sie mit deiner Spielernummer und der Sprache des Spiels. Erwähnt dich jemand im Chat oder schreibt unser Team in Offiziell, während du nicht ins Spiel schaust, schickt unser Server dorthin eine verschlüsselte Mitteilung, höchstens eine alle 5 Minuten; der Push-Dienst reicht sie nur an dein Gerät weiter. Ob das Spiel auf deinem Gerät zu sehen ist, weiß unser Server nur, solange es offen ist. Schaltest du Mitteilungen aus oder löschst du dein Konto, löschen wir diese Daten.

Zweck und Rechtsgrundlage. Der Chat, den du nutzt (Art. 6 Abs. 1 lit. b DSGVO); Meldungen, Moderation und ihre Aufzeichnungen: unsere rechtlichen Pflichten nach dem Gesetz über digitale Dienste und unser berechtigtes Interesse an einem sicheren Chat (Art. 6 Abs. 1 lit. c und f DSGVO).

Löschen. Löschst du dein Spiel oder dein Konto, löschen wir sofort deine Nachrichten, Reaktionen, Lesestände, Stummschaltungen, dein Land, deine eigenen Meldungen, deine Mitteilungen und deine Geräte für Benachrichtigungen. Nur Nachrichten mit offenen Meldungen bleiben, bis unsere Moderation entschieden hat.

11. Das Spiel: Käufe und Zahlungen (Stripe)

Kaufst du im Spiel Diamanten, wickelt Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) die Zahlung ab. Das Zahlungsformular kommt von Stripe und wird im Spiel angezeigt. Stripe erhält die Daten, die es für die Zahlung und zur Erfüllung eigener gesetzlicher Pflichten braucht:

• deine Zahlungsdaten (Karte, PayPal, Klarna, EPS, Apple Pay, Google Pay oder Link);
• deinen Namen und deine Rechnungsadresse, soweit die Zahlungsart sie verlangt;
• deine E-Mail-Adresse für den Beleg;
• deine IP-Adresse sowie Geräte- und Browserdaten, die Stripe zur Betrugsprävention nutzt;
• Betrag, Währung und unsere Bestellreferenz.

Wir sehen und speichern deine Zahlungsdaten nie. Sie werden direkt in von Stripe gehostete Felder eingegeben und erreichen unsere Server nicht. Bei uns bleibt ein Bestelldatensatz: deine Spielernummer, Paket, Diamanten und Preis, wann du bestellt und bezahlt hast, die Kennungen von Stripe für Kasse und Zahlung, die E-Mail-Adresse für deine Kaufbestätigung, dein Verlangen der sofortigen Gutschrift samt der Kenntnisnahme, dass du dein Widerrufsrecht verlierst (Zeit, Sprache und Fassung des Wortlauts), und ein Protokoll dessen, was mit der Bestellung geschah (bezahlt, gutgeschrieben, Erstattungen, Rückbuchungen). Gekaufte und ausgegebene Diamanten stehen wie die im Spiel erhaltenen auf deinem Konto.

Kaufbestätigung. Wir schicken dir eine Bestätigung mit den Angaben zur Bestellung und deinem Verzicht auf das Widerrufsrecht per E-Mail, an die an der Kasse angegebene Adresse oder die deines Kontos.

Zweck. Abwicklung deines Kaufs, Gutschrift deiner Diamanten und ihre Bestätigung, Bearbeitung von Erstattungen und Rückbuchungen, Betrugsprävention sowie Erfüllung buchhalterischer und steuerlicher Pflichten.

Rechtsgrundlage. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für den Kauf und seine Bestätigung; rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) für die Aufbewahrung der Buchhaltungsunterlagen; berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Betrugsprävention und die Bearbeitung von Rückbuchungen.

Rolle von Stripe. Stripe handelt für die Zahlungsabwicklung als unser Auftragsverarbeiter und für Betrugsprävention sowie eigene regulatorische Pflichten als eigenständig Verantwortlicher; die Verarbeitung beschreibt die Datenschutzerklärung von Stripe. Zahlst du mit Link, dem Dienst von Stripe zum Speichern von Zahlungsdaten, liegt dein Link-Konto direkt bei Stripe, das dafür verantwortlich ist.

Drittstaatentransfer. Stripe Payments Europe hat seinen Sitz in Irland; Daten können auf Grundlage des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln an Stripe, Inc. in den Vereinigten Staaten übermittelt werden.

Speicherdauer. Bestelldatensätze bewahren wir für die gesetzliche Frist nach österreichischem Steuerrecht auf (derzeit sieben Jahre, § 132 BAO), auch nach dem Löschen eines Kontos. Für die bei Stripe gespeicherten Zahlungsdaten gelten die Fristen von Stripe.

12. Das Spiel: Hosting, Bot-Prüfung und E-Mails

Für das Spiel nutzen wir und dein Browser die folgenden Dienste. Jeder erhält nur, was er für seine Aufgabe braucht. Schriften und Bilder des Spiels kommen von unserem eigenen Server; Google oder Steam kontaktiert dein Browser nur, wenn du dich dort anmelden willst.

• Hosting: Das Spiel läuft auf unserem eigenen Server bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) in einem Rechenzentrum in der EU; auch unsere Sicherungen liegen bei Hetzner. Anfragen erreichen den Server über das Netz von Cloudflare (Cloudflare Tunnel, Cloudflare, Inc., Abschnitt 3), das dieselben Anfragedaten erhält wie bei dieser Website. Unser Webserver vermerkt jede Anfrage mit deiner IP-Adresse, dem Zeitpunkt, der aufgerufenen Adresse im Spiel ohne ihre Parameter sowie Status, Größe und Dauer der Antwort, in einem Protokoll fester Größe, das sich fortlaufend überschreibt.
• Bot-Prüfung: Beim Anlegen deines Siedlers, beim Versand eines Codes an deine E-Mail-Adresse (Insel sichern, Adresse hinzufügen oder ändern, Passwort zurücksetzen) und nach mehreren falschen Versuchen bei der Anmeldung oder einem Code von einem anderen Gerät fragt das Spiel Cloudflare Turnstile (Cloudflare, Inc.), ob ein Mensch oder ein Programm am Werk ist. Turnstile erhält dafür deine IP-Adresse, die User-Agent-Kennung deines Browsers und technische Merkmale deiner Verbindung (Turnstile Privacy Addendum). Cloudflare handelt für die Prüfung als unser Auftragsverarbeiter und, um seine Bot-Erkennung zu verbessern, als eigenständig Verantwortlicher.
• E-Mails des Spiels (Codes, und Kaufbestätigungen, sobald der Laden offen ist) verschicken wir über SMTP2GO (Sand Dune Mail Ltd, 96-106 Manchester Street, Christchurch 8011, Neuseeland). SMTP2GO erhält deine E-Mail-Adresse und die Nachricht, bewahrt ihre Kopfzeilen 35 Tage auf und speichert personenbezogene Daten von Nutzern im EWR im EWR.

Zweck und Rechtsgrundlage. Die Bereitstellung des Spiels, für das du dich angemeldet hast (Art. 6 Abs. 1 lit. b DSGVO), und unser berechtigtes Interesse an einem sicheren, zuverlässigen und vor automatisiertem Missbrauch geschützten Spiel (Art. 6 Abs. 1 lit. f DSGVO).

Rollen. Hetzner, Cloudflare und SMTP2GO verarbeiten die Daten in unserem Auftrag.

Drittstaatentransfer. Für Cloudflare gilt Abschnitt 3. Für Neuseeland, wo SMTP2GO seinen Sitz hat, besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Speicherdauer. Unser Zugriffsprotokoll wie oben beschrieben; bei den Diensten gelten ihre eigenen Fristen.

13. Ihre Rechte

Nach der DSGVO stehen Ihnen bezüglich Ihrer personenbezogenen Daten folgende Rechte zu:

• Auskunftsrecht (Art. 15): Bestätigung, ob wir Daten von Ihnen verarbeiten, und eine Kopie dieser Daten.
• Recht auf Berichtigung (Art. 16): Korrektur unrichtiger Daten.
• Recht auf Löschung (Art. 17): Löschung Ihrer Daten („Recht auf Vergessenwerden“).
• Recht auf Einschränkung (Art. 18): Aussetzung der Verarbeitung in strittigen Fällen.
• Recht auf Datenübertragbarkeit (Art. 20): Erhalt Ihrer Daten in einem maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21): Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.

Ihren Spielstand oder Ihr Konto können Sie jederzeit selbst in den Einstellungen des Spiels löschen (Abschnitt 6). Zur Ausübung dieser Rechte schreiben Sie bitte an contact@odytechnologies.com. Wir antworten innerhalb eines Monats.

14. Beschwerderecht

Sind Sie der Auffassung, dass unsere Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig für uns ist die österreichische Datenschutzbehörde:

Österreichische Datenschutzbehörde

Barichgasse 40-42

1030 Wien, Österreich

www.dsb.gv.at

15. Automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung einschließlich Profilbildung beruhen (Art. 22 DSGVO). Automatische Grenzen gegen Missbrauch (Abschnitt 9) bremsen Anfragen nur kurz oder halten sie zurück, und Meldungen dreier gefestigter Konten aus verschiedenen Netzen blenden eine Nachricht nur aus, bis unsere Moderation entschieden hat (Abschnitt 10); über eine Maßnahme gegen einen Spieler entscheidet ein Mensch.

16. Kinder

Das Spiel richtet sich an Nutzerinnen und Nutzer ab 16 Jahren. Wir erheben nicht wissentlich personenbezogene Daten von Kindern. Erlangen wir Kenntnis davon, dass Daten von einem Kind ohne Einwilligung der Erziehungsberechtigten erhoben wurden, löschen wir diese.

17. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, sobald das Spiel weiterentwickelt wird und neue Verarbeitungsvorgänge hinzukommen. Wesentliche Änderungen kündigen wir vor Inkrafttreten auf dieser Website und im Spiel an.