Política de Privacidade

O controlador dos seus dados pessoais é [razão social], inscrita no CNPJ sob o nº [CNPJ], com sede em [cidade do foro]. É ela quem decide como e por que os dados são tratados.

O encarregado pelo tratamento de dados pessoais (DPO) atende pelo e-mail [e-mail de contato]. Esse é o canal para dúvidas sobre esta Política, para pedidos de titular e para comunicar qualquer incidente de privacidade.

Quando falamos em "Krownfall", "nós" ou "jogo", nos referimos ao serviço operado por [razão social], acessível em https://krownfall.com.

Dados da conta

• E-mail, que identifica a conta. Guardamos a versão normalizada (sem diferença de maiúsculas e minúsculas).
• Senha, guardada apenas como hash irreversível. Nunca temos acesso à senha em texto puro. Contas criadas pelo Google não têm senha, a menos que você defina uma depois.
• Identificador estável da sua conta Google (o campo "sub"), quando você entra ou vincula o login pelo Google. Pedimos ao Google apenas os escopos "openid" e "e-mail"; não acessamos seus contatos, arquivos ou outros dados da conta Google.
• Datas de criação e de atualização da conta, o instante em que o e-mail foi confirmado e o papel da conta (jogador ou administração).
• Sessões de login: guardamos um identificador de sessão (somente seu hash), a data de criação, de validade e de revogação.

Dados do jogo

• Seus personagens: nome, classe, região, nível, experiência, atributos, inventário, equipamentos, progresso de campanha, caça, coleta, missões, treinos e demais estados necessários para o jogo funcionar.
• Atividade econômica: ouro e moedas, compras em lojas do jogo, anúncios e negociações no Mercado, sorteios, fundições, fabricações e correio entre personagens.
• Clã: participação, cargos, convites, pedidos de ingresso, doações e contribuições.
• Chat: mensagens enviadas nos canais global, de clã e privado, com o nome e a classe do remetente e do destinatário, e denúncias de mensagens feitas por jogadores.
• Nome de personagem, classe, nível e posição em rankings podem ser vistos por outros jogadores. Escolha um nome que não revele quem você é.

Dados de pagamento

Quando você compra um Pacote de Ouro, registramos um pedido com a conta e o personagem, o pacote, a quantidade de ouro, o valor e a moeda, o meio de pagamento (cartão ou Pix), o provedor, os identificadores da cobrança, a situação do pedido (pago, expirado, reembolsado ou disputado) e as datas.

Os dados do cartão, do Pix e do pagador são informados diretamente no ambiente do provedor de pagamento. Não recebemos nem guardamos o número do cartão, o código de segurança ou os dados bancários. Não enviamos o seu e-mail ao provedor no checkout.

Se houver estorno, disputa ou alerta de fraude, registramos o que aconteceu com o pedido, o ouro recuperado e eventual saldo devedor de ouro da conta.

Dados técnicos

• Endereço IP e dados da conexão, usados para limitar abusos (limite de requisições) e para segurança da infraestrutura.
• Registros de funcionamento do servidor (logs) e métricas de desempenho, sem o conteúdo de senhas ou de e-mails nos registros de aplicação.
• Cookies e armazenamento local no seu navegador, descritos na seção sobre cookies.

Comunicações e moderação

• Mensagens que você nos envia ao pedir suporte ou ao exercer direitos de titular, com o e-mail de contato e o que você escrever.
• E-mails transacionais que enviamos a você: confirmação de e-mail e redefinição de senha. Guardamos o destinatário, o tipo, o estado do envio e o identificador do provedor de e-mail, nunca o conteúdo do link.
• Registros de moderação: punições (banimento ou suspensão), motivo, prazo, justificativa de desbloqueio, quem aplicou e quando, além do histórico de mudanças de papel de administração.

Cada uso abaixo se apoia em uma hipótese do art. 7º da LGPD. Quando a base é o legítimo interesse, ponderamos o seu interesse e os seus direitos antes de tratar o dado.

• Criar e manter a sua conta, autenticar o acesso, enviar a confirmação de e-mail e a redefinição de senha. Base: execução de contrato (art. 7º, V).
• Fornecer o jogo: salvar personagens, processar caça, coleta, economia, clãs, correio, chat e rankings. Base: execução de contrato (art. 7º, V).
• Processar compras, creditar o ouro, conciliar pagamentos e tratar estornos e reembolsos. Base: execução de contrato (art. 7º, V) e cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Prevenir fraude, uso de bots, múltiplas contas, abuso de falhas e ataques, e proteger a segurança da plataforma e dos jogadores. Base: legítimo interesse (art. 7º, IX).
• Aplicar punições e manter o histórico de moderação. Base: legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI).
• Responder ao suporte e aos pedidos de titulares. Base: execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II).
• Cumprir obrigações legais, fiscais e contábeis e atender ordens de autoridades. Base: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Guardar registros para defesa em processos judiciais, administrativos ou arbitrais. Base: exercício regular de direitos (art. 7º, VI).
• Medir o funcionamento e melhorar o jogo com métricas técnicas e agregadas, sem perfilar você. Base: legítimo interesse (art. 7º, IX).

Não tomamos decisões que afetem você com base apenas em tratamento automatizado de perfil. A recusa de login por punição e os limites de compra por conta seguem regras objetivas e podem ser revistos por uma pessoa se você pedir.

Hoje não enviamos mensagens de marketing. Se isso mudar, pediremos o seu consentimento (art. 7º, I), que poderá ser retirado a qualquer momento.

Compartilhamos dados apenas com quem precisa deles para nos prestar um serviço, na medida necessária e sob dever de confidencialidade e de segurança. Não vendemos nem alugamos dados pessoais.

• Hospedagem e infraestrutura: provedores de servidores, banco de dados e rede que mantêm o jogo no ar. Recebem os dados que o sistema armazena.
• Pagamentos: Stripe (cartão) e AbacatePay (Pix). Recebem os dados necessários para a cobrança e a conciliação, que você informa diretamente no checkout deles. Cada um trata os dados como controlador independente para suas obrigações regulatórias e antifraude, conforme as próprias políticas. Em caso de estorno por cartão, o cartão pode ser incluído em lista de bloqueio do sistema antifraude da Stripe.
• Envio de e-mail: MillionSend, que entrega os e-mails de confirmação e de redefinição de senha pela infraestrutura de e-mail da AWS. Recebem o seu e-mail e o conteúdo da mensagem enviada.
• Login com Google: quando você escolhe entrar pelo Google, o Google recebe a requisição de login e nos devolve o identificador da conta e o e-mail. O tratamento feito pelo Google segue a política de privacidade dele.
• Autoridades e terceiros legitimados: quando houver ordem judicial, requisição legal ou necessidade de defender nossos direitos, e para prevenir fraude ou ameaça à segurança.
• Reorganização societária: em caso de fusão, aquisição ou venda de ativos, os dados podem ser transferidos ao sucessor, que ficará sujeito a esta Política.

Outros jogadores veem apenas o que o jogo exibe de forma pública: nome do personagem, classe, nível, clã, ranking e as mensagens de chat. Seu e-mail nunca é exibido a outros jogadores.

Alguns dos operadores acima, como Google, Stripe e a infraestrutura de e-mail da AWS, podem tratar dados em servidores fora do Brasil, inclusive nos Estados Unidos. Quando isso acontecer, a transferência se apoiará numa das hipóteses do art. 33 da LGPD, como cláusulas contratuais padrão, país ou organismo com grau de proteção adequado, ou a necessidade de execução do contrato do qual você é parte.

Exigimos desses operadores um nível de proteção compatível com o da LGPD. Você pode pedir mais detalhes sobre as garantias aplicadas pelo canal do encarregado.

Guardamos os dados pelo tempo necessário para cumprir as finalidades desta Política e as obrigações legais. Alguns registros têm prazo fixo de limpeza automática; os demais ficam enquanto a conta existir ou enquanto a lei nos obrigar.

• Conta e dados do jogo: enquanto a conta estiver ativa. Você pode excluir um personagem pelo jogo.
• Mensagens de chat: removidas automaticamente cerca de 30 dias após o envio. Denúncias de chat podem ser mantidas pelo tempo necessário à moderação.
• Registros de auditoria econômica (sorteios, fundições, fabricações e compras): removidos automaticamente após cerca de 180 dias.
• Links e e-mails transacionais: os registros de envio e os links vencidos ou usados são apagados cerca de 7 dias depois. Os links valem 24 horas (confirmação) e 1 hora (redefinição de senha).
• Correio dentro do jogo: expira nos prazos definidos para cada envio, de 1 a 30 dias.
• Pedidos de pagamento e registros de estorno ou reembolso: guardados pelo prazo exigido pela legislação fiscal e contábil e para defesa em disputas.
• Histórico de punições e de papéis de administração: mantido para sempre, pois protege a comunidade e permite revisar decisões. Esses registros não copiam dados de identificação além do necessário.
• Registros de acesso (IP e data e hora): mantidos pelo prazo mínimo exigido pelo Marco Civil da Internet, de seis meses.

Para excluir a sua conta, escreva para [e-mail de contato] a partir do e-mail cadastrado. Excluímos ou anonimizamos os dados pessoais, salvo os que precisarmos manter por obrigação legal, para exercício regular de direitos ou, quando houver punição vigente, para impedir que ela seja contornada com uma conta nova.

Ao excluir a conta, os personagens, o ouro, os itens e as compras ligadas a ela deixam de existir e não podem ser recuperados.

Adotamos medidas técnicas e administrativas proporcionais ao risco para proteger os dados contra acessos não autorizados, perda, alteração e vazamento.

• Senhas guardadas apenas como hash; tokens de sessão e de links de e-mail guardados apenas como hash.
• Cookie de sessão com os atributos HttpOnly, Secure e SameSite, e tráfego protegido por HTTPS.
• Links de confirmação e de redefinição de uso único e de validade curta, com limite de pedidos por conta.
• Limites de requisições por origem e limites de pedidos por conta para conter abusos e ataques automatizados.
• Acesso ao painel de moderação restrito a administradores, com sessão curta, conferência de papel a cada requisição e registro de ações.
• Dados de cartão e de pagamento tratados apenas pelos provedores de pagamento.

Nenhum sistema é totalmente imune a falhas. Proteja a sua conta: use uma senha forte e exclusiva, não a compartilhe e saia da sessão em dispositivos que não são seus.

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos do art. 48 da LGPD.

O art. 18 da LGPD garante a você os direitos abaixo em relação aos seus dados pessoais. Você pode exercê-los quando quiser e sem custo.

• Confirmação de que tratamos seus dados.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados a outro fornecedor, conforme regulamentação da ANPD.
• Eliminação dos dados tratados com base no seu consentimento, quando houver.
• Informação sobre as entidades públicas e privadas com as quais compartilhamos dados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da recusa.
• Revogação do consentimento, quando for a base do tratamento.
• Oposição a tratamento feito sem consentimento, se houver descumprimento da lei.
• Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

Como exercer

Escreva para [e-mail de contato] usando o e-mail cadastrado na conta e diga qual direito deseja exercer. Para sua segurança, podemos pedir uma confirmação de identidade antes de atender, para que ninguém acesse os seus dados por você.

Respondemos em até 15 dias, contados do recebimento do pedido, ou dentro de outro prazo que a regulamentação da ANPD vier a fixar. Se negarmos o pedido, explicaremos o motivo.

Alguns dados precisam ser mantidos por obrigação legal ou para defesa de direitos, como os de pagamento e de moderação. Nesses casos, atendemos o que for possível e explicamos o que não puder ser feito.

Se achar que não resolvemos sua solicitação, você pode reclamar à ANPD (gov.br/anpd) e pode recorrer ao Poder Judiciário.

O Krownfall não é direcionado a crianças, ou seja, a pessoas com menos de 13 anos, e não coletamos intencionalmente dados delas. Se tomarmos conhecimento de que uma conta pertence a uma criança, vamos bloqueá-la e eliminar os dados.

Adolescentes, de 13 a 17 anos, só devem usar o jogo com o conhecimento e o consentimento específico de pelo menos um dos pais ou do responsável legal, nos termos do art. 14 da LGPD. Compras com dinheiro real também exigem a autorização do responsável e observam a idade mínima prevista nos Termos de Serviço.

Se você é pai, mãe ou responsável e acredita que um menor sob sua guarda criou uma conta sem o seu consentimento, escreva para [e-mail de contato]. Podemos pedir informações para confirmar a sua identidade e a sua relação com o menor antes de atender ao pedido.

Usamos um cookie de sessão estritamente necessário para manter você conectado, e um cookie de curta duração durante o login pelo Google. Também usamos o armazenamento local do navegador (localStorage, sessionStorage e cache do navegador) para lembrar preferências do jogo, avisos já exibidos e imagens do jogo para carregar mais rápido.

Não usamos cookies de publicidade nem ferramentas de análise de terceiros no jogo. A lista completa, as finalidades e como gerenciar cada item estão na nossa Política de Cookies, em https://krownfall.com/cookies/.

Podemos atualizar esta Política para refletir mudanças no jogo, nos operadores que usamos ou na lei. A versão vigente fica sempre em https://krownfall.com/privacy/, com a data da última atualização.

Em mudanças relevantes, como uma nova finalidade ou um novo tipo de dado, avisaremos você pelo jogo ou pelo e-mail da conta, com antecedência razoável. Se a mudança depender do seu consentimento, vamos pedi-lo de novo.

Para dúvidas, pedidos de titular ou comunicação de incidentes, fale com o encarregado de dados de [razão social] pelo e-mail [e-mail de contato].

Você também pode nos encontrar na comunidade do Discord, em https://discord.gg/qNmgG9xXHc. Por segurança, não envie senhas nem dados de pagamento por lá, e use o e-mail para qualquer pedido que envolva dados pessoais.