Política de Privacidade

1. Quem cuida dos seus dados

O controlador dos dados é Matheus Martins, responsável pelo GitClash. Para qualquer assunto de privacidade, inclusive pedidos sobre os seus dados, escreva para diretoria@goldm.com.br. Esse e-mail é o nosso canal de atendimento ao titular.

2. Quais dados usamos

• Dados públicos do GitHub. Quando alguém digita um username, buscamos na API pública do GitHub o perfil (nome, avatar, data de criação da conta, seguidores) e números de atividade pública (commits, pull requests, issues, repositórios, estrelas e linguagens). Com eles calculamos a carta. Isso vale para qualquer perfil público, mesmo de quem não usa o jogo.
• Login com GitHub. Ao entrar, recebemos do GitHub o seu id, username, nome e avatar. Não pedimos permissão para ler repositórios privados, e-mail ou qualquer outra coisa. O token de acesso do GitHub é usado uma única vez, para identificar você, e não fica guardado.
• Dados do jogo. Sua coleção de cartas, decks, pacotes abertos, partidas (incluindo o registro das jogadas, que usamos para conferir o resultado), rating, liga, temporadas, saldo e histórico de BYTES e itens comprados na loja do jogo.
• Compras de BYTES. O pagamento é feito na Cakto, que recebe e trata seus dados de pagamento (nome, e-mail, CPF, meio de pagamento) pela política de privacidade dela. Do pedido, guardamos só o número, o produto, o valor, a situação (aprovado, reembolsado ou contestado) e um resumo criptográfico (hash) do e-mail do comprador, usado para achar a conta certa caso o pedido chegue sem ela. Não guardamos seu e-mail, CPF nem dados de cartão.
• Sessão. Um cookie de sessão mantém você conectado por até 60 dias. No servidor fica só um resumo (hash) desse cookie.
• No seu navegador. Quem joga sem login tem o progresso guardado no armazenamento local do próprio navegador, junto com preferências como o som. Esses dados não vêm para o servidor.
• Registros técnicos. Nossa hospedagem registra dados de acesso (como endereço IP, navegador e página pedida) por um período curto, para segurança e para corrigir erros.

3. Para que usamos e com qual base legal

• Gerar sua carta, manter sua conta, salvar seu progresso, fazer as partidas e entregar o que você compra: execução de contrato (art. 7º, V, da LGPD).
• Mostrar o ranking público, conferir partidas contra trapaça, evitar abuso e proteger o serviço: legítimo interesse (art. 7º, IX).
• Guardar registros de compras, reembolsos e contestações: cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI).

Não vendemos dados, não usamos seus dados para publicidade e não usamos ferramentas de rastreamento de anúncios.

4. O que fica público

Para quem tem conta, o ranking, o perfil de jogador e os desafios PvP mostram seu username e avatar do GitHub, rating, liga, vitórias e derrotas e insígnias. Quem desafia seu deck no PvP joga contra as cartas dele. A carta gerada a partir de um username usa só dados que já são públicos no GitHub.

5. Com quem compartilhamos

• Vercel (hospedagem do site e das funções, com servidores em São Paulo e infraestrutura nos Estados Unidos).
• Neon (banco de dados, hospedado em São Paulo).
• GitHub (login e dados públicos de perfil).
• Cakto (pagamentos das recargas de BYTES e programa de afiliados).

Esses fornecedores tratam os dados só para prestar o serviço. Parte deles fica fora do Brasil, principalmente nos Estados Unidos. Essa transferência acontece porque é necessária para executar o serviço que você usa (art. 33 da LGPD), com as garantias contratuais que esses fornecedores oferecem. Também podemos compartilhar dados quando a lei ou uma autoridade exigir.

6. Cookies

Usamos só cookies essenciais: o de sessão (para manter você conectado), um aviso de que há uma sessão aberta (sem dados pessoais) e cookies curtos de segurança durante o login com GitHub. Não usamos cookies de publicidade nem de análise de terceiros.

7. Por quanto tempo guardamos

• Conta e dados do jogo: enquanto a conta existir. Se você pedir a exclusão, apagamos em até 30 dias.
• Registros de compras, BYTES e reembolsos: pelo prazo que a lei exige ou permite para defesa de direitos (até 5 anos), mesmo depois da exclusão da conta.
• Sessões: até 60 dias, ou até você sair.
• Cartas geradas a partir de usernames: em cache por pouco tempo, e atualizadas a partir do GitHub.

8. Seus direitos

Pela LGPD (art. 18), você pode pedir a confirmação de que tratamos seus dados, acesso a eles, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos e eliminação da conta. Também pode se opor a um tratamento baseado em legítimo interesse.

Escreva para diretoria@goldm.com.br a partir do e-mail ou da conta do GitHub ligada ao jogo, para conseguirmos confirmar que é você. Respondemos em até 15 dias. Os dados que vêm do GitHub (nome, avatar, atividade) são corrigidos na própria conta do GitHub e se atualizam aqui. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Crianças e adolescentes

O login usa uma conta do GitHub, que exige pelo menos 13 anos. Compras de BYTES são só para maiores de 18 anos. O GitClash não vende caixas de recompensa (loot boxes): pacotes aleatórios só saem jogando, e os BYTES compram apenas itens escolhidos. Se um responsável souber que dados de uma criança foram tratados sem autorização, escreva para diretoria@goldm.com.br que removemos.

10. Segurança

O site usa só HTTPS. Sessões, tokens e segredos ficam protegidos: guardamos resumos (hashes) em vez dos valores, o token do GitHub não é armazenado, e os avisos de pagamento são conferidos por assinatura e na própria Cakto antes de liberar BYTES. Nenhum sistema é totalmente imune; se acontecer um incidente que possa trazer risco a você, avisaremos você e a ANPD como a lei manda.

11. Mudanças nesta política

Quando esta política mudar, a data no topo é atualizada. Se a mudança for importante, avisamos no próprio jogo.