Política de Privacidade

Atualizado em 6 de novembro de 2026

Sky Vanilla Pte. Ltd. (número de registro em Singapura: 202410798E). Sede registrada e endereço para notificações legais: 70 ANSON ROAD, #15-02, HUB SYNERGY POINT, SINGAPORE 079905. Representante: GAO BO. Consultas gerais e sobre pagamentos: contact@skyvanillagames.com. Privacidade e suporte ao jogo: cinderandcrowns@skyvanillagames.com.

Esta Política explica como a Sky Vanilla Pte. Ltd., constituída em Singapura (“nós” ou “nossa empresa”), trata dados pessoais relacionados a Cinder and Crowns, ao site oficial https://cnc.skyvanillagames.com e aos serviços de suporte, comunidades e eventos que remetem a esta Política. Quando definimos as finalidades e os meios do tratamento, atuamos como controlador ou como entidade com responsabilidade equivalente nos termos da legislação aplicável.

Esta Política descreve o tratamento dos dados e não solicita consentimento genérico para todas as atividades. Quando for necessário obter consentimento, consentimento separado, consentimento do responsável legal ou permissão no dispositivo, faremos isso nos termos da legislação aplicável e das regras da plataforma. Recusar o tratamento opcional não afeta serviços básicos que não dependem dele.

1. Fale conosco

Para assuntos de privacidade e proteção de dados, escreva para cinderandcrowns@skyvanillagames.com. Use “Privacy Request” no assunto da mensagem. Você também pode usar um canal de suporte disponível no jogo ou a página Fale conosco do site. Consultas sobre pagamentos no site podem ser enviadas a contact@skyvanillagames.com.

Inicialmente, forneça apenas o identificador da conta, a região e os detalhes da solicitação necessários para localizar seus registros. Não envie senhas, códigos de verificação, números completos de cartões de pagamento ou documentos de identidade que não sejam pertinentes. Eventuais representantes regionais e dados cadastrais adicionais da empresa exigidos por lei serão indicados no aviso regional aplicável.

2. Dados que tratamos e suas fontes

1. Dados de conta e de login por terceiros. Dependendo do método que você usa, incluem identificadores da conta e do personagem, apelido, avatar, endereço de e-mail vinculado, status de autenticação e identificadores ou dados de perfil fornecidos, com sua autorização, pela Apple, Google, Facebook ou outra plataforma de login. O uso de um método de login não nos dá acesso automático a todo o seu perfil ou à sua lista de amigos nessa plataforma.

2. Dados de jogo e de interação social. Incluem personagens, heróis e sua evolução, alianças, temporadas, recursos, moeda virtual, ações em batalhas, classificações, progresso, recompensas, registros de login e de sessão, além de conversas, denúncias e conteúdo da comunidade que você enviar. Classificações públicas e telas de alianças podem exibir seu apelido, avatar e resultados no jogo.

3. Dados do dispositivo, da rede e de diagnóstico. Incluem modelo do dispositivo, sistema operacional, versões do aplicativo e do navegador, idioma, endereço IP e país ou região aproximados inferidos a partir dele, registros de sessão e de interação, relatórios de falhas e registros de desempenho. A atribuição publicitária só pode envolver IDFA, GAID ou outros identificadores de publicidade e eventos associados quando forem atendidos os requisitos aplicáveis de permissão e consentimento.

4. Dados de pedidos e pagamentos. Incluem número do pedido, canal de compra, produto, valor, moeda, horário do pagamento, status da transação, reembolsos e estornos, além da região de cobrança e das informações de verificação necessárias. As credenciais de pagamento completas, incluindo os números dos cartões e seus códigos de segurança, são tratadas pela plataforma de pagamento correspondente. Não coletamos nem armazenamos essas credenciais completas. Não as envie ao suporte.

5. Suporte, recursos e solicitações de exercício de direitos. Incluem dados de contato, descrição de problemas, capturas de tela pertinentes, comprovantes de compra, comunicações e informações necessárias para verificar a titularidade da conta. Você pode ocultar informações de terceiros que não sejam pertinentes.

6. Eventos, testes e pesquisas. Se você participar, tratamos dados de elegibilidade, trabalhos enviados, comentários, pedidos de recebimento de prêmios e informações para notificações. Quando for necessário entregar um prêmio físico, coletamos separadamente o nome do ganhador como destinatário, o endereço e o telefone necessário à entrega. Dados de identidade e fiscais só são coletados quando efetivamente necessários para verificação ou declaração lícita. O motivo é explicado no momento da coleta.

7. Dados de idade e do responsável legal. Para prestar serviços adequados à idade ou cumprir exigências legais, tratamos faixa etária, comprovantes de idade necessários, dados de contato do responsável legal e registros de verificação e consentimento. Sempre que possível, usamos métodos de verificação menos invasivos.

8. Dados de segurança e prevenção de trapaças. Incluem os sinais de segurança necessários relacionados a logins, transações e atividades incomuns no jogo, à integridade do cliente do jogo e a conteúdos denunciados. Esta Política não autoriza a inspeção irrestrita de dispositivos pessoais, arquivos privados, microfones, contatos ou localização precisa.

9. Cookies e tecnologias semelhantes. O site pode tratar dados de dispositivo, preferências e visitas por meio de armazenamento de sessão, cookies, pixels ou conteúdo incorporado, conforme descrito na Política de Cookies e no inventário das tecnologias efetivamente usadas. SDKs para dispositivos móveis e cookies de sites não se tornam a mesma tecnologia só porque têm o mesmo fornecedor.

10. Entre as fontes de terceiros estão plataformas de login autorizadas, lojas de aplicativos e plataformas de pagamento, outros jogadores que apresentem denúncias pertinentes e parceiros que nos prestem serviços de forma lícita. Avaliamos a licitude da origem e a necessidade dos dados. O fornecimento por terceiros não nos dispensa de nossas próprias obrigações de verificação.

Contextos de coleta e escopo mínimo necessário

1. Os dados podem ser fornecidos por você, gerados automaticamente no funcionamento do serviço, fornecidos por terceiros autorizados ou enviados por outros usuários por meio de denúncias e interações sociais. Dados de terceiros também precisam ter origem lícita. Listas de amigos, contatos, datas de nascimento completas e históricos de interação social que não estejam disponíveis no escopo da autorização pertinente não são coletados automaticamente no login.

2. Classificações públicas, perfis de membros de alianças, trabalhos públicos e mensagens privadas são tratados de acordo com suas respectivas configurações de visibilidade. Outras pessoas podem copiar ou encaminhar conteúdo público. Isso não torna públicas todas as mensagens privadas, comunicações de voz ou informações de suporte. Comunicações anexadas a denúncias são usadas apenas para a análise e a resposta pertinentes e para preservar provas quando juridicamente necessário.

3. Antes de disponibilizarmos recursos de voz, conversão de fala em texto, replays de batalhas, transmissões ao vivo, localização precisa, envio de fotos ou interações com IA, explicaremos quais dados serão tratados, para quais finalidades, quem os receberá e como serão retidos. Também obteremos as permissões ou o consentimento exigidos por lei ou por requisitos técnicos. A menção a possíveis funcionalidades não significa que elas estejam disponíveis na versão atual. O aviso do recurso efetivamente implementado define as condições e os prazos de retenção.

4. Se informações fornecidas à IA, fotografias ou conteúdo gerado envolverem dados pessoais, o aviso da funcionalidade deverá informar se os dados são enviados a terceiros, usados para treinamento ou analisados por pessoas, e como podem ser excluídos. Até que as condições efetivas sejam definidas, uma disposição geral sobre melhoria do produto não autoriza o uso de mensagens privadas ou anexos enviados ao suporte para treinar modelos de uso geral.

5. A verificação de idade deve priorizar a faixa etária, o resultado da verificação de elegibilidade ou outras informações limitadas. Documentos de identidade só são tratados quando juridicamente necessário. A retenção de originais, cópias com dados ocultados ou resultados após a verificação deve observar a necessidade e os limites de retenção. Recusar o fornecimento de informações opcionais desnecessárias não afeta os serviços que não dependem delas.

3. Finalidades e bases legais

1. Serviços solicitados: criar e autenticar contas, salvar o progresso, formar partidas e disponibilizar funcionalidades de alianças, entregar itens comprados e gerenciar o suporte e os pedidos. Utilizamos como base a necessidade de execução contratual quando essa base é reconhecida pela legislação aplicável e o tratamento é objetivamente necessário. Quando a legislação local exige consentimento, nós o obtemos.

2. Segurança e proteção de direitos: evitar roubo de contas, trapaças, fraudes e ataques, analisar conteúdo proibido, processar recursos e conservar as provas necessárias. Quando permitido, baseamos o tratamento em interesses legítimos avaliados ou obrigações legais, ou no consentimento, quando exigido. “Interesses legítimos” não constituem uma autorização ilimitada aplicável em qualquer jurisdição.

3. Manutenção e melhoria: identificar falhas, avaliar o desempenho, melhorar a compatibilidade e entender o uso do serviço. Baseamos o tratamento em interesses legítimos quando isso for lícito e houver uma ponderação adequada. Quando o acesso ao dispositivo, a análise opcional ou o rastreamento exigirem consentimento, nós o obtemos previamente.

4. Marketing opcional: enviamos promoções, realizamos atribuição publicitária e exibimos publicidade personalizada somente quando houver uma base legal e o consentimento exigido. Você pode cancelar a inscrição ou desativar o rastreamento opcional. A recusa não elimina benefícios adquiridos que não tenham relação com esse tratamento.

5. Eventos e testes: verificar a elegibilidade, avaliar as participações, notificar ganhadores, entregar prêmios e receber comentários sobre os testes. O tratamento se baseia na necessidade de execução contratual para a participação, nas obrigações legais aplicáveis ou no consentimento obtido licitamente. O uso promocional separado de trabalhos, nomes, imagem ou voz será explicado e autorizado conforme exigido por lei.

6. Conformidade e assuntos societários: questões fiscais e contábeis, exigências regulatórias, procedimentos legais válidos, controvérsias, reestruturações lícitas, auditorias e diligências prévias a transações. O tratamento se limita ao necessário e está sujeito a medidas de confidencialidade, controles de acesso e outras salvaguardas adequadas.

7. Dados pseudonimizados que permitem reidentificar uma pessoa não são anônimos. Quando a legislação aplicável permite, somente dados agregados que não permitam identificar razoavelmente uma pessoa deixam de ser tratados como dados pessoais.

Regras adicionais sobre mudanças de finalidade e bases legais

1. A necessidade de execução contratual se limita ao tratamento objetivamente necessário para prestar o serviço que você solicita. Ela não abrange automaticamente a criação de perfis publicitários, todas as atividades de análise ou qualquer nova funcionalidade. Quando nos baseamos em interesses legítimos, identificamos o interesse, avaliamos a necessidade e o impacto do tratamento e asseguramos os direitos de oposição aplicáveis. Dados de crianças e dados sensíveis exigem uma avaliação mais rigorosa.

2. O tratamento para cumprir obrigação legal deve corresponder a uma obrigação efetivamente aplicável à empresa, como exigências contábeis ou fiscais, solicitações válidas de autoridades ou notificações de segurança. Fundamentos genéricos de conformidade não justificam coleta ilimitada. Interesses vitais, interesse público ou outras bases excepcionais só são usados quando a legislação local os permite e os fatos atendem às condições exigidas.

3. Os mesmos dados podem servir a finalidades diferentes, cada uma com sua própria base legal. Depois da revogação do consentimento para marketing, registros necessários de pedidos podem ser mantidos para fins contábeis ou para controvérsias, mas não podem continuar sendo usados para a finalidade de marketing cujo consentimento foi revogado. Não reclassificamos retroativamente esse marketing como se sempre tivesse se apoiado em outra base legal.

4. Antes de usar dados para uma nova finalidade incompatível, avaliamos o uso, comunicamos o que for exigido e obtemos novo consentimento quando necessário. A combinação de contas, dispositivos ou fontes para inferir preferências ou formar públicos constitui tratamento e também precisa ser explicada. A coleta em separado não autoriza a combinação irrestrita.

5. Identificadores pseudônimos, endereços de e-mail convertidos em hash, números de dispositivos e dados agregados rastreáveis podem continuar sendo dados pessoais. Estatísticas efetivamente anonimizadas podem apoiar análises empresariais. No entanto, os dados não são anônimos se for mantida uma forma razoavelmente utilizável de vinculação que permita a reidentificação.

4. Prestadores de serviços e compartilhamento

1. Compartilhamos os dados necessários para tarefas específicas com prestadores de hospedagem, diagnóstico, login, atribuição, pagamento, suporte e entrega de prêmios. Conforme a função de cada prestador, exigimos contratos de tratamento, medidas de segurança, restrições de uso e salvaguardas de transferência adequados. O tratamento independente por terceiros está sujeito à política desses terceiros, sem nos dispensar de nossas obrigações de transparência.

2. O site identifica atualmente os serviços a seguir, usados somente quando a funcionalidade correspondente estiver de fato integrada e houver uma base legal: Alibaba Cloud para hospedagem e infraestrutura, módulos habilitados do Firebase (Google) para diagnóstico, análise e mensagens, AppsFlyer para atribuição de instalações e publicidade, Facebook (Meta) para os métodos de login social selecionados ou a atribuição quando habilitada, e compras dentro do aplicativo da Apple App Store e Google Play Billing para transações em suas respectivas plataformas. O inventário de fornecedores deve identificar as entidades jurídicas, os módulos, os campos de dados e as políticas de privacidade efetivamente envolvidos. A disponibilidade dos módulos não significa que todos estejam habilitados.

3. A publicidade e a atribuição podem envolver identificadores de dispositivos, fontes de instalação, endereços IP e eventos específicos do aplicativo. Designar um destinatário como “prestador de serviços” não afasta os direitos de escolha aplicáveis quando a divulgação se enquadra legalmente como venda, compartilhamento ou publicidade direcionada.

4. Outros jogadores e o público só veem os dados disponibilizados pela respectiva funcionalidade, como conteúdo público, apelido, aliança e classificações. Tenha cuidado ao publicar informações de contato ou de identidade.

5. Podemos fornecer dados necessários a autoridades competentes, consultores profissionais e partes pertinentes em processos judiciais lícitos, solicitações regulatórias ou de autoridades responsáveis pela aplicação da lei, emergências, investigações de fraude ou medidas de proteção de direitos, após verificar a base e o escopo da divulgação. Pode não haver aviso prévio quando ele for proibido por lei.

6. Fusões, reestruturações ou transferências de ativos que envolvam dados estão sujeitas a restrições adequadas, aos avisos exigidos por lei e a obrigações de proteção contínua por parte dos destinatários. Quando uma mudança de finalidade exigir novo consentimento, nós o obtemos separadamente.

7. A ausência de contraprestação em dinheiro não exclui uma divulgação das definições legais de venda, compartilhamento ou publicidade direcionada. Os fatos passados devem ser conferidos com os registros efetivos de tratamento. Quando essas atividades ocorrerem, serão disponibilizadas as opções aplicáveis de recusa, revogação de consentimento e outras escolhas.

Funções dos destinatários e escopo do compartilhamento

1. Prestadores de hospedagem podem acessar os dados de conta, jogo, rede e segurança necessários à sua função. Prestadores de diagnóstico acessam dados de versão, dispositivo e erros, além do contexto necessário, conforme os módulos habilitados. Prestadores de atribuição acessam identificadores de publicidade, fontes e eventos de conversão apenas para funções habilitadas e permitidas. Os campos de dados efetivamente tratados são definidos pelos inventários verificados, e não pelo catálogo completo de produtos dos fornecedores.

2. A finalização de compras no site pode usar a Stripe ou o canal de pagamento identificado nessa etapa. Os prestadores de pagamento podem desempenhar de forma independente atividades de prevenção a fraudes e cumprir obrigações contábeis e legais de acordo com suas funções. Tratamos os resultados dos pedidos e pagamentos. Os números completos de cartão e os códigos de segurança não fazem parte desse tratamento. Consulte a identificação do prestador e seu aviso de privacidade antes de fornecer dados de pagamento.

3. Plataformas de login retornam identificadores autorizados e dados básicos de perfil. Lojas como Apple e Google tratam suas transações, reembolsos e dados de plataforma. Diferentes entidades podem atuar como operadores, controladores independentes ou exercer outras funções reconhecidas pela legislação. Nem todas são subcontratadas sujeitas ao controle integral da empresa.

4. Prestadores de suporte e logística, operadores de eventos e consultores fiscais recebem apenas os dados necessários a suas tarefas. Endereços para recebimento de prêmios só são compartilhados com prestadores de entrega quando ela é necessária. Listas completas de participantes não são enviadas a todos os parceiros. Operadores não podem usar os dados para atividades próprias de marketing sem relação com a tarefa, sem aviso adequado e sem base legal.

5. O compartilhamento dentro do grupo também exige uma entidade de fato afiliada e uma finalidade que torne o compartilhamento necessário. Referências a afiliadas não autorizam acesso irrestrito por qualquer entidade futura. Diligências prévias para aquisições, financiamentos, vendas de ativos ou insolvência devem adotar divulgação em etapas, desidentificação quando possível, confidencialidade e restrições de acesso. Se a transação não for concluída, os dados devem ser devolvidos ou excluídos, conforme o caso.

6. A empresa pode verificar a autoridade solicitante, a base legal, a jurisdição, o objeto e o escopo de solicitações de autoridades responsáveis pela aplicação da lei ou do Judiciário, além de pedir licitamente a correção ou a limitação dessas solicitações. A preservação de dados não autoriza automaticamente sua divulgação integral. Quando lícito, enviamos aviso adequado, sem garantir aviso prévio sobre cada investigação.

5. Publicidade, notificações e permissões

1. No iOS e em outras plataformas pertinentes, o rastreamento entre aplicativos ou sites que exige permissão da plataforma só ocorre após a obtenção dessa permissão. A permissão da plataforma, as escolhas de cookies no site, o cancelamento do recebimento de marketing e o consentimento para tratamento de dados pessoais são controles distintos e não se substituem.

2. Você pode usar as configurações de cookies do site, as configurações de privacidade disponíveis no aplicativo, os controles do sistema para rastreamento ou identificadores de publicidade e os mecanismos de cancelamento de mensagens promocionais. A localização desses controles varia conforme o dispositivo e a versão do sistema. As configurações de publicidade da própria Apple não desativam todo o rastreamento feito por outras empresas.

3. Recusar a publicidade personalizada não garante uma experiência sem anúncios, mas o tratamento abrangido por uma recusa válida deve cessar. Avisos necessários de manutenção, segurança, transações e solicitações de exercício de direitos não podem ser usados para contornar o cancelamento do recebimento de marketing.

4. Permissões para notificações, fotos ou microfone só são solicitadas quando uma funcionalidade efetivamente precisa delas e em conformidade com os requisitos do sistema e da legislação. Você pode revogá-las nas configurações do dispositivo. Funcionalidades relacionadas podem ficar limitadas, mas serviços básicos que não dependam delas não serão afetados de forma injustificada.

Escolhas para diferentes atividades de marketing

Se oferecermos ofertas personalizadas no jogo, publicidade direcionada, e-mails de marketing ou notificações push, as opções de escolha deverão refletir as funcionalidades efetivas e a legislação aplicável. Desativar cookies no site não desativa automaticamente a criação de perfis no aplicativo, as notificações do sistema ou os e-mails de marketing. Desativar notificações push não cancela uma assinatura paga. Use as configurações disponíveis, o mecanismo de cancelamento por e-mail ou escreva para cinderandcrowns@skyvanillagames.com com uma solicitação específica. Forneça apenas os dados necessários para localizar os registros, como o nome no jogo, o UID ou o e-mail cadastrado. Nunca envie sua senha.

Depois que o marketing personalizado for interrompido em conformidade com a lei, você ainda poderá receber ofertas gerais ou publicidade que não se baseie no perfil em questão, além de avisos necessários sobre transações, segurança e serviços. As escolhas válidas devem ser comunicadas às partes responsáveis pelo tratamento pertinente. Ocultar uma exibição enquanto prossegue a criação de perfis ou o compartilhamento publicitário que a pessoa recusou é insuficiente. Este parágrafo não afirma que recursos ainda não lançados já estejam em funcionamento.

6. Localização dos dados e transferências internacionais

1. A empresa está sediada em Singapura. Os avisos atuais do site indicam que o jogo é hospedado em Singapura. Certos serviços de análise, atribuição e plataformas sociais podem envolver tratamento nos Estados Unidos. Os destinatários efetivos, os acessos remotos e os locais de tratamento devem corresponder aos serviços habilitados.

2. Outros países podem oferecer níveis de proteção diferentes. Utilizamos proteções contratuais juridicamente adequadas, cláusulas contratuais padrão, decisões de adequação ou outros mecanismos válidos, com avaliações de risco e salvaguardas complementares quando necessário. O simples uso dos Serviços não constitui autorização legal para todas as transferências internacionais.

3. Transferências sujeitas a restrições a partir do EEE ou do Reino Unido exigem mecanismos reconhecidos pela jurisdição pertinente. As cláusulas contratuais padrão da UE não substituem automaticamente os requisitos do Reino Unido. As transferências a partir de Singapura devem cumprir os requisitos aplicáveis de proteção comparável. Entre em contato pelo e-mail de privacidade para obter informações ou cópias das salvaguardas que possam ser disponibilizadas por lei, com a supressão adequada de segredos comerciais e de informações de terceiros.

4. Antes que uma futura expansão da distribuição passe a exigir o cumprimento de requisitos locais adicionais, concluiremos as avaliações, os avisos e os procedimentos necessários para o tratamento pertinente. Esta Política não afirma que registros, licenças ou exigências de localização de dados já tenham sido cumpridos em todas as jurisdições.

7. Retenção

1. Mantemos dados pessoais somente enquanto forem necessários para as finalidades informadas, o cumprimento de obrigações legais ou a resolução de controvérsias efetivas. Os prazos a seguir refletem as informações de retenção publicadas no site e serão ajustados quando a legislação aplicável exigir retenção por um período menor ou maior:

Dados da conta: mantidos enquanto a conta existir. Após uma solicitação válida e verificada de exclusão, a exclusão ou a anonimização irreversível nos sistemas principais geralmente é concluída em até 30 dias, ressalvados os dados necessários cuja retenção seja lícita.

Dados de jogo: mantidos durante o uso da conta e, na exclusão da conta, eliminados ou anonimizados de forma irreversível, observadas as exceções necessárias de segurança, transações e preservação de provas em controvérsias descritas abaixo.

Dados de análise: excluídos ou anonimizados de forma irreversível em até 24 meses após a coleta. O tratamento afetado por uma revogação válida do consentimento é interrompido conforme os efeitos jurídicos dessa revogação.

Registros de falhas e diagnóstico: até 12 meses. Trechos necessários que constituam prova de um incidente de segurança ou de uma controvérsia efetiva podem seguir as regras pertinentes de retenção de provas.

Registros de suporte: até 36 meses após a resolução da questão. Anexos sem relação com a questão não devem ser mantidos indefinidamente junto com o registro principal.

Registros de pagamentos e contabilidade: mantidos conforme a legislação fiscal, contábil e de registros de transações aplicável. O site descreve atualmente um prazo usual de sete anos. Cada registro segue o prazo legal que efetivamente se aplica a ele. Isso não justifica a retenção de todos os dados de conta ou de marketing.

2. Inscrições em eventos, pesquisas, dados de participantes que não ganharam e endereços de entrega não seguem automaticamente o prazo mais longo de guarda de registros de transações. Esses dados só são mantidos pelo tempo necessário à administração do evento, ao atendimento de solicitações, a verificações razoáveis e ao tratamento de controvérsias quando necessário. O aviso de coleta deve informar o prazo ou os critérios para defini-lo. A documentação fiscal é tratada separadamente conforme a legislação.

3. Os dados efetivamente necessários para medidas de preservação para fins legais, defesa contra reivindicações, prevenção de fraudes ou segurança ficam sujeitos a limitações de finalidade, escopo e acesso. Quando deixam de ser necessários, são excluídos ou anonimizados. As cópias de segurança rotineiras são mantidas isoladas e sobrescritas em ciclos definidos. As exclusões solicitadas e já efetivadas devem ser reaplicadas quando uma cópia de segurança é restaurada.

Aplicação das regras de retenção e exclusão

1. O início de cada prazo depende dos dados e da finalidade. Para análises e diagnósticos, conta-se a partir da coleta. Para atendimentos concluídos, a partir da resolução. Para transações, a partir do marco inicial contábil ou legal aplicável. A cópia dos dados para outro sistema não reinicia o prazo de retenção sem justificativa. A retenção para uma nova finalidade exige base legal própria.

2. A exclusão de uma conta inclui a exclusão ou anonimização irreversível nos sistemas operacionais principais e o envio aos operadores das instruções de exclusão aplicáveis. Os registros de transações, segurança ou litígios que precisem ser mantidos ficam separados das atividades rotineiras de marketing e do jogo. O acesso é limitado à finalidade que justifica a retenção. Um único registro contábil não justifica manter conversas completas nem fotos anexadas.

3. Quando cópias de segurança isoladas para recuperação de desastres não permitirem exclusão individual imediata, seu uso fica restrito à restauração e os dados expiram conforme o ciclo de sobrescrita efetivamente aplicado. As exclusões e revogações de consentimento devem ser reaplicadas depois da restauração de uma cópia de segurança mais antiga. O ciclo máximo precisa ser comprovado por registros efetivos. Dificuldades técnicas não justificam prorrogação por prazo indeterminado.

4. A preservação de dados em razão de uma controvérsia identifica o incidente, o escopo dos dados e as condições de revisão. Os dados são excluídos depois que a controvérsia termina e se encerram os demais fundamentos legais para a retenção. A anonimização efetiva considera os métodos de reidentificação razoavelmente disponíveis. A simples remoção de nomes ou substituição de números de conta pode ser insuficiente.

5. Os prazos de retenção de cookies e tecnologias semelhantes são explicados na Política de Cookies. Os dados mantidos para cumprir obrigações legais ou para tratar de controvérsias concretas permanecem restritos a essas finalidades.

8. Seus direitos e como exercê-los

1. De acordo com sua jurisdição e as condições aplicáveis, você pode solicitar informações, acesso e cópias, correção, exclusão, revogação do consentimento, limitação do tratamento ou portabilidade dos dados. Também pode se opor a tratamentos pertinentes com base em interesses legítimos e ao marketing direto. Algumas jurisdições também permitem recusar a venda, o compartilhamento, a publicidade direcionada e determinados tipos de criação de perfis.

2. Envie suas solicitações para o e-mail de privacidade. Para evitar a divulgação a terceiros, podemos verificar sua identidade e os poderes de quem atua em seu nome por meio da autenticação da conta, da conferência de pedidos ou de outros métodos proporcionais. Documentos de identidade completos não são exigidos indiscriminadamente.

3. Aplicam-se os prazos legais pertinentes. Em geral, procuramos responder em até 30 dias após o recebimento da solicitação e a verificação necessária. Prevalece, porém, o prazo legal contado a partir do recebimento, o prazo de um mês civil ou outro prazo mais curto, conforme o caso. Quando a prorrogação for permitida por lei, informaremos, dentro do prazo original, os motivos e a previsão de resposta. A verificação não pode causar atraso injustificado.

4. Esses direitos não são absolutos em todos os casos. A retenção lícita, os direitos de terceiros, o interesse público e outras exceções permitidas podem limitar as solicitações. Quando a lei permitir, explicaremos os motivos e as vias de recurso. A cobrança de taxas razoáveis ou a recusa de solicitações manifestamente infundadas ou excessivas só ocorrem quando permitidas por lei e quando as condições aplicáveis forem atendidas.

5. A revogação do consentimento não afeta a licitude do tratamento anterior, mas pode afetar recursos que de fato dependam desses dados. Não discriminamos, não retaliamos nem retiramos indevidamente benefícios não relacionados em razão do exercício legítimo de seus direitos.

Recebimento e verificação de solicitações

1. Descreva o direito que deseja exercer, o serviço pertinente e as informações de identificação necessárias. Não é preciso usar termos jurídicos. Esclarecemos o escopo e as regras aplicáveis. Quando necessário, distinguimos a exclusão da conta da exclusão de um conteúdo específico para evitar a perda involuntária de todos os benefícios adquiridos.

2. A verificação é proporcional aos riscos de divulgar os dados ou executar a ação solicitada. Quando bastarem a autenticação da conta, dados parciais de pedidos anteriores ou informações que já temos, não exigimos também documentos de identidade completos. Campos sem relação com o pedido podem ser ocultados. Solicitações para recusar a venda, o compartilhamento ou a publicidade direcionada não exigem login nem envio de documentos de identidade quando a lei não permite a verificação de identidade.

3. Representantes apresentam a comprovação necessária de seus poderes, observadas as regras locais sobre procurações e outras exceções. Pais e responsáveis legais comprovam seu vínculo e seus poderes de forma razoável. Não divulgamos dados de crianças a pessoas que aleguem ser seus pais ou responsáveis sem a devida verificação. As informações usadas na verificação servem apenas para atender à solicitação e conservar as provas necessárias, observados os prazos de retenção aplicáveis.

4. Dentro do escopo legal aplicável, o acesso pode abranger categorias e informações específicas, fontes, finalidades, destinatários, retenção e salvaguardas. Dados pessoais de terceiros, segredos comerciais, informações protegidas por sigilo legal e detalhes de segurança podem ser ocultados de modo apropriado, com a devida explicação. Esses elementos não justificam recusar o acesso a todos os dados de forma indiscriminada.

5. Quando houver direito à portabilidade, os dados abrangidos por lei são fornecidos em formato estruturado, de uso comum e legível por máquina. A transmissão a outro controlador é feita quando for tecnicamente viável e legalmente exigida. Os destinatários são informados da correção, da exclusão ou da limitação do tratamento quando exigido. As oposições ao tratamento com base em interesses legítimos são avaliadas conforme seus fundamentos. Quando a oposição ao marketing direto produzir efeito, o uso correspondente é interrompido.

6. A cobrança de taxas ou a recusa de solicitações manifestamente infundadas, excessivas ou repetitivas depende das condições permitidas por lei e exige explicação dos fatos, da base da cobrança e das vias de recurso e reclamação. Reclamações anteriores ou controvérsias pendentes sobre reembolso não justificam, por si sós, recusar solicitações relativas aos dados. Uma recusa pode ser revista pela equipe responsável.

9. Exclusão da conta

1. Solicite a exclusão pela função de exclusão no jogo, quando ela estiver disponível, ou pelo e-mail de privacidade. Antes de atender à solicitação, verificamos a titularidade e explicamos as consequências. Desinstalar o jogo, sair da sessão ou desvincular uma conta de terceiros não exclui sua conta conosco.

2. A exclusão pode remover de forma irreversível personagens, progresso, vínculos sociais e os benefícios virtuais associados. Reembolsos devidos e benefícios ainda não entregues são tratados de acordo com a lei. A exclusão não está condicionada à renúncia a direitos previstos em lei.

3. A exclusão da conta não cancela automaticamente assinaturas feitas em lojas de aplicativos. Cancele a assinatura separadamente pelo canal em que foi contratada. Os registros de transações exigidos por lei, as provas necessárias para segurança ou controvérsias e as cópias de segurança isoladas seguem a Seção 7.

10. Crianças, adolescentes e responsáveis legais

1. Menores de idade podem usar os Serviços desde que observadas as idades mínimas aplicáveis em cada território, a classificação indicativa do jogo e as exigências relativas aos pais ou responsáveis legais. Se a lei local exigir o consentimento do responsável para o tratamento de dados pessoais de um menor, nós o obtemos antes de iniciar o tratamento em questão, de forma verificável quando exigido. Serviços destinados a crianças abaixo da idade mínima local para consentir de forma independente com o tratamento de dados só são oferecidos quando lícitos e quando a verificação do responsável e as medidas de proteção necessárias estiverem de fato disponíveis. Caso contrário, o cadastro ou o tratamento correspondente fica restrito. A permissão para usar o Jogo, por si só, não constitui consentimento válido para todas as atividades de tratamento.

O jogador ou seu responsável legal pode entrar em contato pelo canal de privacidade indicado nesta Política para informar ou corrigir dados sobre idade. Se as informações disponíveis permitirem identificar com segurança que um jogador é menor de idade, aplicaremos as proteções pertinentes. Continuamos responsáveis pelas verificações de idade, pelo consentimento dos responsáveis e pelas salvaguardas exigidas pela lei aplicável.

2. Para crianças menores de 13 anos nos Estados Unidos, o aviso exigido deve ser fornecido e o consentimento verificável dos pais deve ser obtido antes do tratamento que exige consentimento. As exceções legais limitadas só se aplicam dentro de seu próprio escopo. Não se pode exigir, para participar, mais informações do que o razoavelmente necessário.

3. Não direcionamos publicidade comportamental a crianças identificadas como tal, não usamos seus dados para publicidade comportamental em diferentes contextos e não os fornecemos a terceiros para que os usem em seu próprio marketing. Um único aceite dos termos gerais de serviço pelo responsável não constitui consentimento para todos os tratamentos de dados de crianças.

4. Após a verificação lícita do vínculo, pais ou responsáveis legais podem acessar, corrigir ou solicitar a exclusão dos dados da criança, revogar o consentimento e recusar novas coletas. A coleta sem autorização será tratada mediante limitação apropriada, exclusão ou regularização lícita da autorização. Os dados de crianças só são mantidos pelo tempo razoavelmente necessário para finalidades específicas.

5. Os serviços on-line baseados em consentimento e oferecidos diretamente a crianças no Espaço Econômico Europeu (EEE) seguem a idade mínima nacional aplicável e as exigências de autorização dos pais. Essa idade é distinta da maioridade e da capacidade para celebrar contratos de compra. Nas demais regiões, aplica-se a legislação local.

Proteção específica dos dados de crianças

1. Quando for exigido consentimento verificável do responsável, primeiro identificamos a Empresa e explicamos as categorias de dados, as finalidades, as divulgações, a retenção e os direitos. Em seguida, usamos um método reconhecido por lei e proporcional ao risco. Informar uma data de nascimento de adulto, concluir um pagamento ou aceitar os termos gerais não satisfaz automaticamente as exigências de consentimento para tratar dados de crianças.

2. Quando a divulgação a terceiros ou a publicidade comportamental exigir consentimento separado, ele não pode ser incluído no mesmo aceite exigido para a participação básica. De acordo com esta Política, não realizamos publicidade comportamental em diferentes contextos para crianças identificadas como tal. O consentimento geral dos pais não abrange ações de marketing que não tenham sido informadas. As exceções para operações internas só são usadas dentro de seus limites expressos e não servem para criar perfis publicitários.

3. Se os requisitos de idade não forem atendidos, se o consentimento perder a validade ou se o responsável o revogar, o tratamento que depender dessa base será interrompido. As funcionalidades pertinentes serão restringidas ou encerradas conforme a lei, com explicação dos efeitos concretos sobre o progresso, as compras e a exclusão. Os registros contábeis exigidos por lei e as provas necessárias para controvérsias devem respeitar os limites mínimos necessários de retenção para crianças.

4. Solicitações para corrigir uma idade supostamente incorreta são verificadas de forma razoável, conforme o risco. Alterações simples e repetidas da data de nascimento não podem contornar as proteções. A passagem para outra faixa etária não autoriza retroativamente o tratamento anterior sem autorização. Quando necessário, novas escolhas são solicitadas no momento adequado.

11. Direitos adicionais por região

1. Singapura: na medida em que se aplique a Lei de Proteção de Dados Pessoais de Singapura (Personal Data Protection Act), você pode solicitar acesso e correção, revogar o consentimento, entrar em contato pelo nosso e-mail de proteção de dados e apresentar reclamação à Comissão de Proteção de Dados Pessoais (PDPC), nos termos da lei.

2. EEE e Reino Unido: quando se aplicar o Regulamento Geral sobre a Proteção de Dados (RGPD, ou GDPR na sigla em inglês) ou a legislação britânica pertinente, estão disponíveis, nas condições aplicáveis, os direitos de acesso, correção, apagamento, limitação do tratamento, portabilidade e oposição, bem como o direito de reclamar perante uma autoridade competente. Respeitamos a oposição ao marketing direto. Decisões exclusivamente automatizadas que produzam efeitos jurídicos ou efeitos igualmente significativos exigem as informações, salvaguardas e a revisão humana aplicáveis.

3. Leis estaduais dos Estados Unidos: quando uma lei se aplicar a nós e a você, asseguramos os direitos que ela prevê de saber quais dados são tratados, acessá-los, corrigi-los, excluí-los, recusar a venda ou o compartilhamento e a publicidade direcionada, além dos demais direitos aplicáveis. Verificamos os representantes autorizados quando necessário, reconhecemos os sinais universais de recusa aplicáveis e oferecemos vias de recurso contra recusas. As divulgações exigidas por cada estado devem refletir os registros reais.

4. Demais regiões: a lei de Singapura, as disposições sobre controvérsias relacionadas ao serviço e as cláusulas de idioma não excluem os direitos locais irrenunciáveis relativos a dados pessoais nem os canais de reclamação perante as autoridades reguladoras.

12. Segurança e atualizações da Política

1. Adotamos medidas técnicas e organizacionais adequadas ao risco, incluindo a proteção necessária das transmissões, controles de acesso, gestão de fornecedores e manutenção da segurança. Não é possível garantir a segurança absoluta da transmissão e do armazenamento pela internet. Isso não nos isenta dos deveres legais de proteção. Incidentes sujeitos a notificação são corrigidos e notificados conforme exigido por lei.

2. As atualizações indicam a versão e a data de vigência. Alterações relevantes são comunicadas de maneira apropriada e, quando exigido por lei, obtemos novo consentimento. O uso continuado ou o silêncio não constituem automaticamente consentimento para um novo tratamento opcional.

3. Esta Política abrange os tratamentos pelos quais somos responsáveis. Consulte as políticas dos terceiros quanto ao tratamento que realizam de forma independente. Mantemos a responsabilidade aplicável pelo tratamento realizado conforme nossas instruções.

Apêndice 1. Categorias de dados e finalidades

Este Apêndice complementa as categorias acima. O tratamento ocorre apenas quando a funcionalidade correspondente é de fato oferecida e existe uma base legal. A simples inclusão de dados opcionais nesta lista não inicia sua coleta. Dados sensíveis ou de categorias especiais estão sujeitos a condições legais adicionais e aos requisitos aplicáveis de necessidade e consentimento.

Cadastro e autenticação da conta. Os identificadores da conta e de terceiros, o apelido, o avatar, o e-mail vinculado, os resultados de autenticação e os registros de login necessários servem para a criação, a recuperação, a autenticação, o gerenciamento de sessões e a proteção da conta. Sem as informações de autenticação necessárias, talvez não seja possível entrar na conta. Em geral, porém, as páginas públicas do site não exigem conta de jogo.

Jogabilidade e alianças. Identificadores de personagens, heróis e progressão, recursos, níveis, construções, tropas, ações de batalha, horários, resultados, alianças e classificações servem para salvar o progresso, realizar cálculos, formar partidas, viabilizar a cooperação, apurar os resultados da temporada e exibir informações usuais do jogo. Outros jogadores veem os apelidos, as alianças e os resultados públicos conforme previsto pelo jogo. Eles não veem todos os registros internos de comportamento.

Chat e conteúdo de usuários. Textos, avatares, capturas de tela, denúncias e outros conteúdos efetivamente habilitados e enviados pelos usuários servem para entrega, exibição, moderação e tratamento de reclamações. Áudio, imagens e permissões só estão envolvidos quando as respectivas funcionalidades são usadas. As interfaces devem distinguir o chat público das comunicações privadas. Há comunicações para as quais pode existir uma expectativa de privacidade.

Verificação de pedidos. Dados de pedidos, produtos, quantidades, datas, valores, moedas, plataformas, resultados de pagamentos, reembolsos e estornos servem para entrega, conciliação, detecção de pagamentos duplicados, prevenção de fraudes, reembolsos e escrituração contábil exigida por lei. Não tratamos códigos de segurança completos de cartões de pagamento nem os solicitamos por e-mail.

Funcionamento de dispositivos e da rede. Modelo do dispositivo, sistema operacional, versões do aplicativo e do navegador, idioma, endereço IP, região aproximada, respostas da rede e parâmetros operacionais necessários servem para compatibilidade, conexão, conteúdo regional, diagnóstico e segurança. Isso não autoriza a coleta contínua de localização exata por GPS nem a varredura de todos os arquivos do dispositivo.

Diagnóstico. Horários de falhas, rastros de pilha de erros, versões, contexto necessário de execução e métricas de desempenho servem para identificar, corrigir e avaliar falhas. Os registros podem incluir identificadores de personagens ou contexto de ações. O conteúdo não relacionado e o acesso a esses registros devem ser limitados.

Publicidade e atribuição. Com a base legal e as permissões necessárias, identificadores publicitários, origens, instalações, cliques, conversões e eventos específicos previamente informados servem para medir campanhas e veicular publicidade personalizada opcional. A adoção de interesses legítimos como base legal não dispensa requisitos separados de acesso ao dispositivo ou de consentimento para rastreamento.

Suporte e solicitações de direitos. Dados de contato, personagem, pedido, problema e provas necessárias servem para verificações, respostas, recursos, atendimento de direitos e manutenção de registros necessários. Os dados de identidade solicitados são proporcionais ao risco da solicitação. No primeiro envio, os usuários podem ocultar campos não relacionados.

Pesquisas e testes. Comentários voluntários, respostas, informações de elegibilidade, dispositivos e desempenho em testes servem para selecionar participantes, enviar convites, diagnosticar problemas e implementar melhorias. As respostas a pesquisas não são vinculadas automaticamente a perfis de marketing. A confidencialidade dos testes não altera as obrigações de proteção de dados.

Eventos e prêmios. Identificadores de participantes, trabalhos inscritos, avaliações e resultados de premiação servem para administrar os eventos. Nomes, endereços, números de telefone necessários e dados fiscais são coletados apenas de vencedores e conforme as necessidades reais de entrega ou cumprimento das obrigações da premiação. Os prestadores de serviços logísticos recebem apenas as informações de entrega. Os endereços detalhados de todos os participantes não são usados para promoção.

Idade e responsáveis legais. A faixa etária necessária, os resultados da verificação, os dados de contato do responsável e os registros de consentimento servem para disponibilizar serviços adequados à idade, obter autorizações e atender a revogações. Damos preferência ao registro do resultado da verificação em vez da retenção prolongada de documentos de identidade completos. A maioridade é distinta da capacidade de consentir de forma independente com o tratamento de dados.

Prevenção de trapaças e controvérsias. Ações incomuns, integridade do cliente do jogo, logins anômalos, transações e provas apresentadas em denúncias servem para investigação, correção de ganhos indevidos, aplicação de regras e tratamento de controvérsias concretas. Sinais probabilísticos de segurança não são apresentados como prova de conduta ilícita. Permanecem disponíveis a revisão adequada e a intervenção humana necessária.

Apêndice 2. Bases legais e efeitos da recusa

1. Execução do contrato. Abrange apenas os dados objetivamente necessários para o serviço que você de fato solicitou, como autenticação, salvamento do progresso e entrega de compras. Incluir cláusulas sobre publicidade no contrato não torna todo o marketing necessário à execução contratual.

2. Interesses legítimos. Quando essa base for reconhecida, identificamos o interesse específico, a necessidade e o impacto antes do tratamento e aplicamos salvaguardas, como métodos menos intrusivos, acesso restrito, retenção mais curta e opções de escolha. Dados de crianças e dados sensíveis exigem cuidados adicionais. As oposições são avaliadas de acordo com as regras aplicáveis, sem se limitar a reafirmar as necessidades comerciais da Empresa.

3. Consentimento. Explicamos as finalidades, os dados, os destinatários e o caráter opcional, registramos a versão e a escolha correspondentes e permitimos revogação por meio acessível. O aceite anterior do serviço não substitui o consentimento separado exigido para novas finalidades incompatíveis, para o tratamento de dados sensíveis ou de crianças, ou para transferências. A recusa do rastreamento publicitário não afeta o progresso salvo nem os benefícios adquiridos que não dependam desse tratamento.

4. Obrigações legais. Limitam-se a exigências tributárias, contábeis, regulatórias válidas ou outras exigências legais que de fato se apliquem. Solicitações de autoridades estrangeiras continuam sujeitas à análise da competência, do escopo e das condições de transferência. Um ofício de qualquer autoridade não justifica automaticamente a divulgação integral.

5. As exceções previstas na legislação de Singapura, o consentimento presumido, os interesses legítimos e bases semelhantes só se aplicam quando forem atendidas suas condições legais efetivas, as avaliações pertinentes forem realizadas e os avisos exigidos forem fornecidos. Sua inclusão nesta lista não as torna aplicáveis. Conceitos com nomes semelhantes podem ter significados diferentes em outras jurisdições.

6. Consequências da revogação ou da oposição. Se a autenticação ou um endereço de entrega for essencial para uma funcionalidade solicitada, a interrupção do tratamento pode impedir o uso daquela funcionalidade específica. Explicamos o impacto direto. Escolhas de marketing sem relação com essas ações não são condições para devolver saldos, excluir contas ou tratar reclamações.

Apêndice 3. Destinatários e detalhes sobre prestadores de serviços

1. Alibaba Cloud. O site identifica os serviços de hospedagem em nuvem e infraestrutura. O inventário deve indicar a entidade contratada de fato, os produtos, os centros de dados, as cópias de segurança e os locais de suporte remoto. O nome da marca, por si só, não comprova que todos os dados permaneçam exclusivamente em Singapura.

2. Firebase. O site identifica os serviços de análise, relatórios de falhas e mensagens. Os módulos diferem entre si. O diagnóstico pode envolver rastros de pilha e dados de desempenho. A análise pode envolver eventos e identificadores. As mensagens podem envolver tokens de dispositivos e o status de entrega. As divulgações definitivas abrangem apenas os módulos habilitados e não incluem integrações publicitárias não habilitadas ou funcionalidades adicionais.

3. AppsFlyer. A atribuição de instalações e publicidade pode envolver identificadores publicitários, endereço IP, origens, instalações e eventos específicos do aplicativo. O inventário deve esclarecer se a transmissão ocorre no cliente ou no servidor e esclarecer valores de compras, redes de publicidade parceiras e configurações de retenção. O envio pelo servidor não pode contornar a recusa do rastreamento.

4. Facebook e Meta. A opção de login escolhida fornece os identificadores e dados de perfil autorizados. Login por rede social e atribuição publicitária são finalidades distintas. O login, por si só, não autoriza o uso de todos os eventos de compra e comportamento para publicidade. O compartilhamento com parceiros e as opções de recusa aplicáveis devem ser especificados.

5. Lojas e pagamentos. As compras na Apple App Store e o faturamento pelo Google Play (Google Play Billing) são operados pelas respectivas plataformas. Os destinatários envolvidos nos pagamentos pelo site devem ser identificados antes da finalização da compra. As funções de processamento de pagamentos, prevenção de fraudes, comerciante responsável pela transação (merchant of record) e vendedor são distintas. Deve-se distinguir o tratamento realizado sob instruções do tratamento cujas finalidades e meios são definidos de forma independente.

6. Suporte profissional. Sistemas de suporte, prestadores de serviços antifraude, auditores, advogados, empresas de logística e operadores de eventos recebem informações apenas quando estiverem de fato envolvidos e o compartilhamento for necessário. Aplicam-se restrições adequadas de confidencialidade, acesso, exclusão e finalidade. Os operadores não podem reutilizar livremente as informações para publicidade própria.

7. Empresas afiliadas. As informações necessárias são compartilhadas somente para finalidades concretas de suporte, conformidade ou operação. O vínculo entre empresas não autoriza a divulgação irrestrita. Sem destinatários confirmados, não afirmamos que as informações circulam livremente por todo um grupo empresarial global.

8. Operações societárias. A diligência para possíveis compradores, investidores ou auditores deve priorizar informações desidentificadas ou agregadas. Quando for necessário divulgar informações identificáveis, devem ser adotados controles de confidencialidade e acesso. A entidade resultante, as finalidades e os direitos são comunicados conforme exigido. Quando necessário, é obtido novo consentimento separadamente.

9. O Google Analytics analisa como os visitantes usam este site. O Google Ads mede o desempenho da publicidade e atribui aos anúncios ações realizadas no site, como cadastros e compras. A Meta é uma opção separada para medição e personalização de publicidade. Cada finalidade opcional só é ativada após uma escolha válida e as verificações de elegibilidade aplicáveis. A personalização de anúncios do Google permanece desativada.

Os provedores selecionados podem receber endereços de páginas, eventos de atividade, informações sobre o navegador e o dispositivo, endereços IP, identificadores de cookies ou outros identificadores. O tratamento pode ocorrer fora do seu país, inclusive nos Estados Unidos. Continuam aplicáveis as finalidades, as condições dos provedores e as regras de transferência descritas nesta Política.

Quando os recursos pertinentes do Google estiverem configurados, os termos exigidos pelo provedor tiverem sido aceitos e as permissões aplicáveis tiverem sido obtidas, a tag do Google poderá identificar automaticamente endereços de e-mail, números de telefone, nomes ou endereços postais que você informar neste site. Esses dados podem ser normalizados e submetidos a uma função de hash antes de serem enviados ao Google para correspondência e medição otimizada de conversões. A aplicação de hash não torna os dados anônimos. Os parâmetros personalizados dos eventos do nosso site não incluem explicitamente dados de contato. Isso é separado do tratamento automático pela tag do Google.

Você pode aceitar, rejeitar ou selecionar finalidades opcionais separadamente e alterar ou retirar sua escolha em Preferências de cookies, no rodapé. A retirada interrompe a coleta opcional futura para as finalidades retiradas. Ela não recupera informações já transmitidas nem exclui automaticamente os registros existentes de um provedor. Esses registros continuam sujeitos à Política de Privacidade e aos direitos aplicáveis.

As informações sobre o provedor de pagamento são exibidas na etapa de pagamento correspondente. As permissões do jogo para dispositivos móveis e o tratamento por SDKs são separados das escolhas feitas no site.

Apêndice 4. Regras detalhadas de retenção

1. A duração da conta é avaliada com base em sua criação, seu uso efetivo, sua exclusão e seu encerramento lícito. Um longo período de inatividade não autoriza automaticamente a retenção permanente de todo o histórico. Qualquer procedimento relativo à inatividade exige regras razoáveis e aviso.

2. Login e sessões: os registros são retidos apenas pelo tempo necessário à autenticação, à operação e à segurança. Trechos pertinentes a ataques que efetivamente ocorreram podem ser transferidos para um repositório de evidências com acesso restrito.

3. Conversas e comunidades: mensagens comuns, conteúdo público, comunicações privadas e evidências incluídas em denúncias exigem prazos distintos, de acordo com a tecnologia efetivamente empregada e a legislação aplicável.

4. Pesquisas: informe se as respostas são anônimas ou identificadas, como funciona a retirada, qual é o prazo de retenção e se há vínculo com a conta. Inscrições em eventos: adote cronogramas de exclusão distintos para participantes não premiados, premiados, dados de entrega e dados fiscais. A continuidade da promoção não justifica a retenção indefinida de todos os nomes e endereços.

5. Verificação do responsável legal: priorize as evidências necessárias da verificação e do consentimento. Documentos de identidade originais são retidos apenas pelo tempo necessário, com acesso restrito. Candidatos rejeitados ou que não tenham concluído a verificação com êxito não são incluídos automaticamente em bancos de dados de marketing.

6. Combate a trapaças e segurança: diferencie sinais de rotina de casos confirmados. Prolongue a retenção apenas para preservar evidências necessárias, identifique os critérios legais ou ligados a disputas e revise a retenção periodicamente. Uma possível disputa futura não justifica a retenção indefinida dos dados de todos.

7. Registros de solicitações de direitos: retenha apenas o necessário para comprovar as solicitações, sua verificação, seu tratamento e a conformidade. Evite arquivar permanentemente toda a documentação de identidade anexada.

8. Cópias de segurança: especifique o ciclo máximo de sobrescrita, o acesso isolado e a nova exclusão após a restauração. A existência de cópias de segurança não autoriza o uso rotineiro para marketing de informações cuja exclusão foi solicitada.

9. Exclusão, anonimização e desidentificação são operações distintas. A anonimização deve impedir a identificação por meios razoáveis. Remover um apelido e manter um UID rastreável não constitui necessariamente anonimização. Os dados identificáveis continuam sujeitos a esta Política.

10. A exclusão necessária pode ser suspensa em razão de litígios aplicáveis, investigações de órgãos reguladores ou ordens válidas de preservação de evidências, com registro das razões e das datas de revisão. O processo normal de exclusão é retomado quando termina a suspensão. A preservação não se estende a usuários sem relação com o caso nem a todas as informações.

Apêndice 5. Direitos no EEE e no Reino Unido em detalhe

1. Acesso. Você pode solicitar confirmação do tratamento, os dados pertinentes e informações sobre finalidades, categorias, destinatários, retenção, fontes e direitos aplicáveis. As cópias não devem revelar de forma injustificada dados de outros jogadores, segredos comerciais ou informações de segurança. Deve-se considerar a supressão ou a separação desses dados antes de recusar a solicitação por completo.

2. Retificação. Informações incorretas ou incompletas podem ser atualizadas. Objeções e erros em registros históricos de transações ou de jogo podem ser registrados e corrigidos. Isso não dá ao usuário o direito de alterar resultados históricos corretos.

3. Exclusão. Aplica-se quando as finalidades deixam de existir, quando o consentimento é retirado de forma válida e não há outra base legal, quando o tratamento é ilícito, quando uma objeção válida é acolhida ou quando a lei exige a exclusão. Obrigações legais, a defesa de pretensões jurídicas e outras exceções previstas em lei podem permitir a retenção necessária.

4. Restrição. Quando o Regulamento Geral sobre a Proteção de Dados (RGPD) for aplicável, você pode pedir a restrição enquanto a exatidão dos dados estiver sendo verificada, quando o tratamento for ilícito mas você se opuser à exclusão, quando não precisarmos mais dos dados mas você precisar deles para pretensões jurídicas, ou enquanto uma objeção aguardar a avaliação dos fundamentos em conflito. Além do armazenamento, o tratamento restrito exige uma base permitida, como consentimento, pretensões jurídicas, proteção dos direitos de terceiros ou interesse público relevante. Você deve ser informado antes do fim da restrição.

5. Portabilidade. Abrange os dados especificados em lei que você forneceu e que são tratados de forma automatizada com base no consentimento ou no contrato. Os dados são fornecidos em formato de uso comum e legível por máquina e são transferidos a outro controlador quando isso for tecnicamente viável e exigido por lei. O direito não inclui automaticamente todos os modelos de inferência da Empresa nem informações de terceiros.

6. Oposição. O tratamento baseado em interesse legítimo é avaliado à luz das suas circunstâncias. Oposições válidas ao marketing direto e à definição de perfis relacionada a esse marketing interrompem esse tratamento conforme exigido. Não é preciso comprovar prejuízo financeiro.

7. Decisões automatizadas. Se decisões exclusivamente automatizadas produzirem efeitos jurídicos ou efeitos de importância semelhante, devem ser fornecidas informações relevantes sobre a lógica, as consequências e as exceções aplicáveis. Deve-se garantir a intervenção humana exigida por lei, bem como a oportunidade de expressar seu ponto de vista e contestar a decisão. O enquadramento de recomendações ou cálculos do jogo nesse critério depende de seus efeitos reais. Não afirmamos categoricamente que nunca tomamos decisões automatizadas.

8. Prazos. Quando o RGPD for aplicável, em geral a resposta deve ser dada em até um mês após o recebimento. A complexidade ou o volume da solicitação podem justificar, nos casos previstos em lei, a prorrogação por até dois meses adicionais, com aviso dentro do prazo original. A verificação e as solicitações manifestamente infundadas ou excessivas seguem as condições legais. Não reiniciamos, em todos os casos, um prazo de 30 dias somente após a verificação.

9. Transferências. Os mecanismos de adequação, contratuais e outros mecanismos reconhecidos pela União Europeia e pelo Reino Unido se aplicam separadamente. As garantias suplementares necessárias refletem o risco, e são fornecidas as informações sobre garantias cuja divulgação é permitida por lei. Os dados dos representantes e dos encarregados da proteção de dados devem corresponder a nomeações efetivas, sem indicar profissionais de outra empresa como se tivessem sido nomeados.

10. Reclamações. Você pode apresentar reclamação a uma autoridade competente, inclusive no local de sua residência habitual, de seu trabalho ou da suposta infração. Usuários do Reino Unido podem consultar o Information Commissioner’s Office (ICO). A arbitragem do jogo não limita esse direito, e concluir um procedimento interno de reclamação não é um pré-requisito absoluto.

Disposições complementares para a Europa e a Suíça

1. Em geral, as solicitações no EEE são respondidas em até um mês após o recebimento, com até dois meses adicionais quando a complexidade ou o volume justificarem a prorrogação nos termos da lei, e com aviso dentro do primeiro mês. No Reino Unido, o início da contagem, a verificação razoável da identidade e os pedidos de esclarecimento permitidos seguem a legislação então vigente. Uma meta interna de 30 dias não substitui a forma de contagem prevista pela legislação local.

2. Para decisões exclusivamente automatizadas que produzam efeitos jurídicos ou efeitos de importância semelhante, a legislação aplicável pode exigir informações relevantes sobre a lógica, a importância e as consequências, além de intervenção humana, possibilidade de expressar seu ponto de vista e contestação. O pareamento comum de jogadores não se enquadra necessariamente. Banimentos, pontuações de risco e outros tratamentos exigem avaliação dos efeitos reais. Uma lógica de processamento interno que não tenha sido verificada não deve ser descrita como inteiramente revisada por pessoas.

3. Os direitos na Suíça são determinados separadamente pela legislação suíça de proteção de dados, incluindo os direitos aplicáveis de acesso, correção, exclusão, fornecimento ou transferência de dados e reclamação. As regras do RGPD não são apresentadas indiscriminadamente como parte da legislação suíça. As garantias relativas a transferências também devem atender aos requisitos efetivamente aplicáveis na Suíça.

4. Quando a legislação francesa for aplicável, os usuários podem dar, alterar ou revogar instruções sobre retenção, exclusão e divulgação de dados após a morte. As solicitações dos herdeiros seguem os poderes que lhes são conferidos por lei e as evidências apresentadas. A regra geral de que contas não podem ser transferidas não afasta direitos válidos sobre dados previstos em lei.

5. Os representantes na União Europeia, no Reino Unido ou em outras regiões devem corresponder a obrigações efetivas e nomeações reais. Quando forem exigidos dados de representantes ainda não publicados, essa pendência deverá ser resolvida antes da publicação. Um endereço de e-mail de suporte geral não comprova que uma nomeação exigida tenha sido feita.

Apêndice 6. Categorias de dados e direitos de privacidade nos estados dos EUA

1. Este Apêndice só se aplica quando a Empresa e o consumidor estiverem abrangidos pela legislação estadual pertinente e por seus critérios de aplicação. Os direitos e as exceções não são idênticos em todos os estados. As informações sobre o tratamento atual e os períodos anteriores exigidos em lei devem ser atualizadas com base nos registros do tratamento efetivamente realizado.

2. Identificadores: UID do jogo, personagem, e-mail, conta de terceiros, endereço IP e identificadores de publicidade que atendam aos critérios aplicáveis, obtidos de usuários, dispositivos e plataformas autorizadas. São usados para contas, cumprimento de pedidos e obrigações, segurança e marketing opcional lícito. Os destinatários comerciais são os provedores necessários de hospedagem, login, suporte e publicidade. A divulgação de dados para publicidade é avaliada para determinar se constitui venda ou compartilhamento, conforme suas finalidades reais.

3. Informações comerciais: pedidos, produtos, valores, resultados de pagamento, reembolsos e histórico de compras, obtidos de usuários, lojas e provedores de pagamento e usados para cumprir pedidos, manter a contabilidade e garantir a segurança. A participação da Empresa no pagamento não significa, por si só, que ela colete credenciais completas de cartão.

4. Atividade na internet ou atividade eletrônica: visitas a páginas, sessões, cliques, eventos de aplicativos, falhas, atividades no jogo e interações com anúncios. Esses dados são usados para operação, solução de problemas, análises ou atribuição com base legal. Finalidades de publicidade independentes continuam sujeitas às opções de recusa aplicáveis.

5. Localização aproximada: país ou região inferidos do endereço IP, distintos da localização precisa por GPS. Uma futura coleta de localização precisa exige informações adicionais claras sobre sensibilidade, necessidade, destinatários, consentimento e restrições.

6. Conteúdo de áudio, visual e de usuários: capturas de tela, criações e conteúdo de voz ou vídeo enviado por usuários quando esses recursos estiverem efetivamente habilitados. A possível sensibilidade do conteúdo não autoriza inferências sobre saúde, religião, opiniões políticas, orientação sexual ou características semelhantes. A exibição, a moderação e a definição de perfis por inferência exigem avaliações distintas.

7. Inferências: se interesses, origem ou grupos de risco forem de fato inferidos a partir dos dados sobre os quais você foi informado, o escopo e as finalidades das inferências devem ser explicados. A atribuição lícita de pontuações de segurança não se enquadra automaticamente em todas as categorias reguladas de decisões relevantes. No entanto, os direitos não podem ser afastados quando os efeitos reais dessas pontuações forem significativos.

8. Informações sensíveis: credenciais de acesso à conta, comunicações privadas consideradas sensíveis pela lei, dados de identidade e informações semelhantes só são usados para finalidades necessárias permitidas ou nas condições aplicáveis. Serão disponibilizadas as limitações de uso ou os mecanismos de consentimento exigidos.

9. Direitos. Conforme a legislação estadual, podem incluir o direito de conhecer as categorias e informações específicas, de acessar, corrigir, excluir e portar dados, de recusar a venda, o compartilhamento, a publicidade direcionada e determinadas formas de definição de perfis, e de recorrer de recusas. Também são assegurados os direitos aplicáveis de limitar o uso de informações sensíveis.

10. Venda e compartilhamento. A ausência de pagamento em dinheiro não basta para concluir que não há venda nos termos da lei. A divulgação de dados para publicidade comportamental entre contextos pode constituir compartilhamento. Os controles efetivos de publicidade, as opções de recusa no site, as escolhas na conta do aplicativo e as configurações dos provedores devem ser coerentes. Uma declaração de que os dados não são vendidos não é suficiente.

11. Sinais de recusa. Quando sinais eficazes, como o Global Privacy Control (GPC), tiverem de ser reconhecidos, eles serão implementados para dispositivos, navegadores e contas que possam ser vinculados, conforme aplicável. O usuário não precisa criar conta, enviar documentos de identidade nem aceitar um rastreamento mais amplo para exercer o direito de recusa. Informações adicionais para localizar registros ficam limitadas ao mínimo necessário.

12. Representantes autorizados. A autorização e a identidade são verificadas de forma lícita e proporcional. Procurações válidas não são submetidas a obstáculos adicionais indevidos. Solicitações de recusa que não exijam verificação de identidade não são automaticamente submetidas às verificações mais rigorosas adequadas ao fornecimento de cópias.

13. Prazos na Califórnia. Quando a California Consumer Privacy Act (CCPA) for aplicável, o recebimento de solicitações de exclusão, correção e acesso à informação é normalmente confirmado em até 10 dias úteis, e a resposta de mérito é dada em até 45 dias corridos. Quando permitido, o prazo pode ser prorrogado por mais 45 dias mediante aviso. Recusas de venda ou compartilhamento e limitações de uso de informações sensíveis são tratadas prontamente segundo as regras aplicáveis, em geral em até 15 dias úteis. Compromissos com prazos mais curtos ou regras especiais se aplicam conforme suas condições.

14. Menores de idade. As restrições de publicidade para crianças que sabemos serem menores seguem o texto principal da Política. Autorizações adicionais ou proibições relativas à venda ou ao compartilhamento de dados de menores de 16 anos, a adolescentes ou ao tratamento de dados sensíveis seguem as condições do estado pertinente. A idade de 13 anos não é um limite universal de autorização para todo tratamento de dados de adolescentes para publicidade.

15. Recusas e recursos. Informamos os motivos exigidos por lei, os canais de recurso aplicáveis e os prazos, preservando o direito de reclamar perante os órgãos reguladores. As exceções relativas à retenção e aos direitos de terceiros ficam limitadas ao necessário. A apresentação de várias solicitações, por si só, não caracteriza má-fé.

16. Não discriminação. Não praticamos discriminação ilícita em razão do exercício de direitos. Incentivos financeiros ou diferenças de preço lícitos exigem condições específicas, cálculos de valor e opções de participação. Recusas comuns relacionadas à privacidade não implicam renúncia a benefícios no jogo.

Regras operacionais para os direitos nos estados dos EUA

1. Quando a legislação da Califórnia for aplicável, acesso, exclusão e correção seguem os prazos legais, em geral de 45 dias corridos a partir do recebimento, com informação dos motivos e prazos de eventuais prorrogações permitidas. As recusas de venda ou compartilhamento devem ser implementadas tão logo exigido, em geral dentro de 15 dias úteis. O prazo geral de 45 dias não se aplica indiscriminadamente às solicitações de recusa.

2. A venda pode incluir outras formas de contraprestação de valor, e o compartilhamento para publicidade comportamental entre contextos não exige pagamento. As atividades efetivas de publicidade e atribuição e os acordos correspondentes devem ser analisados. Este documento não afirma que nenhuma venda ou compartilhamento tenha ocorrido nos 12 meses anteriores. As limitações de uso de informações sensíveis e as recusas de publicidade direcionada ou de determinadas formas de definição de perfis seguem o escopo aplicável em cada estado.

3. Sinais válidos do Global Privacy Control desativam o compartilhamento de dados para publicidade no site. Os direitos aplicáveis também podem ser exercidos pelo contato de privacidade, sem exigência de compra ou criação de conta. As escolhas feitas no site não alteram automaticamente as configurações separadas do aplicativo móvel ou de terceiros.

4. Nos recursos contra recusas, os motivos da decisão e as vias adicionais para reclamar aos órgãos reguladores são informados dentro dos prazos estaduais aplicáveis. Usuários com direito a informações sobre destinatários específicos ou a explicações sobre a definição de perfis podem especificar essas solicitações. Os direitos concedidos em determinados estados não são apresentados como idênticos em todos os estados.

5. As solicitações a que se aplica a lei californiana Shine the Light podem abranger as informações divulgadas e seus destinatários para fins de marketing direto de terceiros durante o ano civil anterior, respeitados o escopo e a frequência previstos em lei. Os direitos aplicáveis à remoção do conteúdo público publicado pelos próprios menores cadastrados e suas exceções são tratados separadamente. A remoção não garante a exclusão de cópias lícitas em toda a internet.

6. Não discriminamos quem exerce seus direitos de forma lícita. Incentivos financeiros, descontos ou programas de fidelidade futuros que dependam de dados exigem informações claras sobre os dados, a avaliação de valor, a adesão e a retirada, além do consentimento necessário. Recompensas comuns do jogo não são automaticamente consideradas programas dessa natureza. Novas regras sobre decisões automatizadas, avaliações ou auditorias seguem seu escopo e suas datas de entrada em vigor reais. Deveres que ainda não se aplicam não são apresentados de forma enganosa como obrigações atuais.

Solicitações sobre destinatários específicos e definição de perfis em determinados estados

Quando a legislação do Oregon for aplicável, os consumidores podem solicitar uma lista de destinatários terceiros específicos abrangidos pela lei. Conforme permitido por lei, a Empresa pode identificar quem recebe os dados daquele consumidor ou quem recebe quaisquer dados pessoais da Empresa, ressalvadas as pessoas físicas excluídas por lei. Quando a legislação de Minnesota for aplicável, os consumidores podem solicitar a identificação dos terceiros específicos que recebem seus dados pessoais. Categorias genéricas, como “parceiros de publicidade”, não substituem uma lista específica exigida por lei.

Quando as disposições de Minnesota sobre definição de perfis forem aplicáveis a decisões com efeitos jurídicos ou efeitos de importância semelhante, os consumidores poderão contestar os resultados, conhecer os motivos e as ações que poderiam ter levado a um resultado diferente, e solicitar a revisão dos dados pertinentes, a correção de inexatidões e uma nova avaliação com os dados corrigidos. Esses direitos seguem os critérios, o escopo e as exceções do estado. Recomendações comuns não constituem automaticamente decisões de impacto significativo.

Apêndice 7. Procedimento completo para crianças e responsáveis legais

1. Antes do lançamento, avalie as faixas etárias pretendidas, o conteúdo, a publicidade e os usuários efetivos, e adote mecanismos de identificação de idade proporcionais ao risco. Um serviço objetivamente dirigido a crianças não deixa de ter obrigações apenas por afirmar o contrário em seus termos.

2. Após coletar os dados de contato limitados necessários para obter o consentimento do responsável legal, informe primeiro quais categorias de dados de crianças serão tratadas, para quais finalidades, quem são os destinatários, por quanto tempo os dados serão retidos e quais são os direitos aplicáveis. Use um método verificável, reconhecido por lei e proporcional, e conclua a verificação antes de começar o tratamento que depende de consentimento.

3. Pais e mães podem entrar em contato pelo e-mail de privacidade para exercer os direitos de acesso, correção, exclusão, interrupção de coletas futuras e retirada do consentimento. A verificação do vínculo deve proteger crianças contra a divulgação de dados a desconhecidos que se apresentem como pais ou mães. A recusa de divulgações que não estejam ligadas às funções básicas não elimina o acesso lícito aos serviços básicos.

4. O direcionamento comportamental e a publicidade entre contextos são desativados para crianças identificadas como tais, com as proteções necessárias para a ativação de SDKs, informações públicas, mensagens diretas e publicação de criações. Apenas ocultar anúncios enquanto se enviam identificadores de crianças e eventos de comportamento a anunciantes não é suficiente.

5. Ao descobrir dados de crianças coletados sem autorização, restrinja o tratamento indevido, apure os fatos e exclua os dados ou regularize a autorização de forma lícita. Retenha apenas as evidências necessárias da verificação e da resposta. Não continue a usar esses dados para marketing.

6. Os dados de crianças não são retidos indefinidamente. A retenção fica limitada ao que for razoavelmente necessário para finalidades definidas, com revisão periódica e exclusão. Incidentes e notificações exigidas seguem a legislação aplicável. Avisos a responsáveis legais não devem revelar informações de outras crianças sem relação com o caso.

Apêndice 8. Solicitações de órgãos reguladores e autoridades governamentais

1. As autoridades competentes podem entrar em contato pelo e-mail de privacidade e indicar a autoridade solicitante, a base legal, a jurisdição, a conta em questão, o escopo solicitado, o período e os meios válidos de notificação formal. Um e-mail público não dispensa análise nem implica consentimento para toda divulgação internacional.

2. A Empresa verifica a legalidade e a necessidade e, quando permitido, busca reduzir o escopo, adotar procedimentos adequados ou notificar os usuários afetados. A proibição de notificar, as emergências e outras situações previstas em lei seguem as condições pertinentes.

3. Preservação, divulgação e exclusão são ações distintas. A preservação apenas suspende a exclusão das informações necessárias. Ela não autoriza sua divulgação a quem as solicite. A assistência em emergências fica limitada ao que for necessário e permitido pela legislação, com registro da base correspondente.

Preferências de medição no site e acesso ao jogo

O jogo permite a participação de menores quando a legislação local e a classificação indicativa autorizarem, com autorização do responsável legal quando exigida. As escolhas de medição no site aplicam-se apenas ao rastreamento opcional neste site.

Para visitantes elegíveis, a opção Aceitar tudo permite a análise de uso disponível no Google Analytics, a medição pelo Google Ads e as finalidades de publicidade da Meta. Cada finalidade só é ativada com uma escolha válida e conforme os critérios regionais de elegibilidade. Menores de idade identificados continuam excluídos da medição externa, e o Global Privacy Control bloqueia o compartilhamento para publicidade com o Google Ads e a Meta. Você pode rejeitar o rastreamento opcional, selecionar finalidades separadamente ou retirar sua escolha em Preferências de cookies.

O cadastro no jogo, as compras e a verificação dos responsáveis legais exigida por lei seguem procedimentos próprios. Uma escolha sobre cookies não comprova a idade, a capacidade contratual nem a autorização do responsável legal. Quando as proteções exigidas estiverem indisponíveis, o cadastro, a compra ou o tratamento afetados devem permanecer restritos.