Правила і дані

Коротко і без юридичного туману: що це за сервіс, що він зберігає і чого від нього не варто чекати.

Що це

Домашня гра: дитина розмальовує паперовий аркуш, фотографує його телефоном, і рибка з її малюнком плаває в акваріумі на екрані. Сервіс безкоштовний, реклами й оплати в ньому немає.

Тримає його приватна особа — не компанія. Зв’язок у телеграмі: @mrmot9i. Початковий код відкритий: github.com/MrMoT9I/paper-aquarium.

Працює «як є»

Це іграшка, а не послуга. Вона може бути недоступна, втратити дані, змінитися до невпізнання або закритися зовсім — без попередження і без зобов’язань. Якщо малюнок дорогий, збережіть його файлом у себе.

Облікових записів немає, є код і пароль

Код акваріума — він же адреса сторінки. У кого є посилання, той може дивитися акваріум, годувати рибок і додавати нових. Це навмисно: дитина знімає аркуш телефоном за посиланням, і пароль там був би перешкодою.
Пароль потрібен на незворотне: видалити рибок чи акваріум, перейменувати його, змінити сам пароль.
Відновити їх ніде — пошти й акаунта в сервісу немає. Втратили пароль — акваріум лишиться доступним для перегляду, але керувати ним уже не вийде.

Отже, посилання на акваріум варто давати лише тим, кому довіряєте.

Що зберігається

картинки розмальованих рибок;
назва акваріума;
знімок сцени для картки в списку;
завантажені вами фони;
від пароля — лише scrypt-хеш із сіллю, самого пароля на сервері немає.

У браузері на вашому пристрої додатково лежать список ваших акваріумів і їхні паролі — щоб не вводити код щоразу. Це звичайне сховище сторінки (localStorage), не cookie. Бази даних у сервісу немає: акваріуми живуть файлами в папці data/ на сервері.

Сам акваріум журналу звернень не веде: у його лог потрапляє лише «в такий-то акваріум додано рибку», без адрес. Адреса відвідувача ще тримається в оперативній пам’яті близько години — на диск не потрапляє.

Перед акваріумом стоїть звичайний веб-проксі й він пише технічний журнал: час, IP, адреса сторінки, код відповіді. Журнал крутиться по колу.

Лічильників, аналітики й рекламних скриптів на сторінках немає.

Видалення

Рибку й акваріум видаляють на сторінці керування, паролем. Видалене спочатку переїжджає в кошик на сервері, а через 30 днів стирається безповоротно.

Персональні дані (GDPR)

Сервіс тримає приватна особа. Оброляється лише те, що перелічено вище, і лише заради роботи акваріума. Дитина користується ним під наглядом дорослого.

Моделі риб

3D-моделі — окремий набір стороннього автора, не частина відкритого коду. Відкритий код проєкту — ліцензія MIT.

Terms and data

Short and without legal fog: what this service is, what it keeps and what you should not expect from it.

What this is

A hobby project made at home: a child colours a paper sheet, takes a photo of it with a phone, and a fish carrying that drawing swims in an aquarium on the screen. The service is free; there is no advertising and no payment, and none is planned.

It is run by a private individual, not a company. You can get in touch on Telegram: @mrmot9i. The source code is open: github.com/MrMoT9I/paper-aquarium.

There is also a group chat on Telegram: questions, ideas and news about the aquarium.

Provided “as is”

This is a toy, not a service you are buying. It may be unavailable, lose data, change beyond recognition or shut down entirely — without notice and without any obligation on my side. If a drawing matters to you, save it as a file: the management page shows every fish, and the picture can be downloaded with the browser.

No accounts — a code and a password

The aquarium code is also the page address. Anyone with the link can watch the aquarium, feed the fish and add new ones. That is deliberate: the child photographs a sheet by following the link, and a password there would only get in the way.
The password is required for anything irreversible: deleting fish or the aquarium, renaming it, changing the password itself.
There is nowhere to recover them from — the service has no e-mail and no accounts. If the password is lost, the aquarium stays viewable, but it can no longer be managed.

So share the link to an aquarium only with people you trust.

What is stored

pictures of the coloured fish — whatever was photographed and released into the aquarium;
the aquarium name you chose;
a snapshot of the scene — it is shown as the card in the list of aquariums;
the backgrounds you uploaded;
of the password, only its salted scrypt hash; the password itself is not on the server.

Your browser additionally keeps, on your own device, the list of your aquariums and their passwords, so that you do not have to type the code every time. This is ordinary page storage (localStorage), not cookies, and it is needed for the service to work at all — which is why there is no cookie banner here. Nothing from your device goes anywhere except this server, and it is wiped together with the site data in your browser.

The aquarium itself keeps no access log: its own log only says “a fish was added to such and such aquarium”, with no addresses. A visitor's address is also held in memory for about an hour so that nobody can create a hundred aquariums in a minute — it never reaches the disk and disappears on restart.

In front of the aquarium, however, sits an ordinary web proxy, and it does what such proxies do: it writes a technical access log — time, IP address, page address, response code. That log rotates and overwrites itself, it exists only to work out what broke when something breaks, it does not feed any analytics and is not passed on to anyone.

There are no counters, no analytics and no advertising scripts on these pages. The data is not shared with anyone and is not sold.

Deletion

Fish and aquariums are deleted on the management page, with the password. Deleted items first move to a trash folder on the server — in case of a misclick — and are then erased permanently after 30 days, automatically.

If the password is lost and the data has to go, write to @mrmot9i with the aquarium code and I will delete it by hand.

You are responsible for what you upload

The service is meant for children's drawings of fish. Everything you send to it is your responsibility: other people's material, anything unlawful or simply out of place does not belong there. I may remove any content and close access to any aquarium without explanation — first of all if I see the service being used for something it was not made for.

Personal data (GDPR / RODO)

The service is run by a private individual residing in Poland, who is also the data controller within the meaning of the GDPR (RODO in Polish). Exactly what is listed above is processed, and only so that the aquarium itself works; the legal basis is Art. 6(1)(f) GDPR, legitimate interest: showing you your own drawings.

You have the right to obtain a copy of your data, to rectify it, to erase it, to restrict processing and to object to it. All of that goes through @mrmot9i: give the aquarium code and I will reply. If the reply does not satisfy you, you may lodge a complaint with the supervisory authority — in Poland that is the Prezes Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

The service is not intended to be used on their own by children under 16: an adult creates the aquarium and decides who gets the link. A child uses it under a parent's supervision and with their consent.

The fish models

The 3D fish models are a purchased set by a third-party author; they are not part of the open source code and are distributed under their own licence. The project's open source code is under the MIT licence.

Reglur og gögn

Stutt og án lögfræðimisturs: hvað þessi þjónusta er, hvað hún geymir og hvað ætti ekki að búast við af henni.

Hvað þetta er

Heimaleikur: barn litar pappírsblað, tekur mynd af því með síma, og fiskur með teikningunni syndir í fiskabúri á skjá. Þjónustan er ókeypis, engar auglýsingar og engin greiðsla.

Hún er rekin af einkaaðila, ekki fyrirtæki. Samband á Telegram: @mrmot9i. Frumkóði er opinn: github.com/MrMoT9I/paper-aquarium.

Veitt „eins og er“

Þetta er leikfang, ekki keypt þjónusta. Hún getur verið óaðgengileg, tapað gögnum, breyst eða lokast — án fyrirvara og án skuldbindingar.

Engir reikningar — kóði og lykilorð

Kóði fiskabúrs er líka slóð síðunnar. Sá sem hefur tengilinn getur horft, gefið fiska og bætt við nýjum. Það er viljandi: barnið ljósmyndar blað eftir tenglinum, og lykilorð þar væri bara hindrun.
Lykilorðið þarf fyrir óafturkræft: eyða fiskum eða fiskabúri, endurnefna, breyta lykilorðinu sjálfu.
Ekkert er til að endurheimta þau — enginn tölvupóstur og enginn reikningur. Ef lykilorðið tapast er enn hægt að horfa, en ekki stjórna.

Deildu því tenglinum aðeins með fólki sem þú treystir.

Hvað er geymt

myndir af lituðum fiskum;
nafn fiskabúrsins;
mynd af senunni fyrir spjaldið á listanum;
bakgrunnar sem þú hlóðst upp;
af lykilorðinu — aðeins scrypt-kjötkássa með salti; lykilorðið sjálft er ekki á þjóninum.

Vafrinn á tækinu þínu geymir auk þess lista yfir fiskabúrin þín og lykilorð þeirra svo þú þurfir ekki að slá inn kóða í hvert skipti. Þetta er venjuleg localStorage, ekki vafrakökur. Enginn gagnagrunnur: fiskabúr búa sem skrár í möppunni data/ á þjóninum.

Fiskabúrið sjálft heldur enga aðgangsskrá: í lögginu stendur aðeins „fiski var bætt í slíkt og slíkt fiskabúr“, án vistfanga. Vistfang gests er haldið í minni í um klukkustund — fer ekki á disk.

Fyrir framan situr venjulegur vefproxy og hann skrifar tæknilegt aðgangslof: tími, IP, slóð, svarkóði. Lofið snýst og yfirskrifar sig.

Engir teljari, engin greining og engar auglýsingar á síðunum.

Eyðing

Fiskum og fiskabúrum er eytt á stjórnunarsíðunni, með lykilorði. Eydd atriði fara fyrst í rusl á þjóninum og eru eytt endanlega eftir 30 daga.

Persónuupplýsingar (GDPR)

Þjónustan er rekin af einkaaðila. Aðeins það sem er talið upp hér að ofan er unnið, og aðeins svo fiskabúrið virki. Barn notar það undir eftirliti fullorðins.

Fiskalíkön

3D-líkön eru keypt sett frá þriðja aðila, ekki hluti opins kóða. Opinn kóði verkefnisins er undir MIT-leyfi.