Política de Privacidade - Melbees: The Secret of Bees
Data de vigência: 27/07/2026 · Última atualização: 06/11/2026
1. Quem somos
O Melbees (“o aplicativo”, “nós”) é fornecido por Melbees Games, Brasil, que é o
controlador dos dados descritos nesta política. Para qualquer dúvida ou
solicitação sobre privacidade, escreva para
contact@melbees.games.
2. Abrangência
Esta política explica quais informações o Melbees trata, como, e quais são suas escolhas.
Aplica-se ao jogo Melbees distribuído no Google Play (Android) e na
Microsoft Store (Windows), em todos os países em que ele está disponível. A
versão para Windows trata menos dados que a do Android, e a seção 2.1
reúne todas as diferenças; onde ela não diz nada, vale o resto desta política. Aplica-se também
à edição do jogo para navegador, fechada e só para convidados, descrita na
seção 2.2, e ao Desafio diário aberto a todos no navegador, descrito na
seção 2.3, e à versão para iPhone na App Store,
descrita na seção 2.4. Se o jogo passar a ser distribuído em outras lojas, esta
política será atualizada antes.
Conforme o seu país, além da LGPD brasileira (Lei nº 13.709/2018) podem se
aplicar a você o RGPD da União Europeia e do Reino Unido, a
COPPA dos Estados Unidos e outras leis locais. A seção
15 descreve os direitos que cada uma assegura e como exercê-los.
2.1 A versão para Windows (Microsoft Store)
A versão para Windows é o mesmo jogo, e trata menos dados. O que muda nela:
Não há anúncio nenhum. Por isso o jogo não pergunta a sua
idade: a pergunta da seção 5 existe só por causa do anúncio.
Nada da seção 6 acontece no Windows.
Não há Firebase. A versão para Windows não tem o Google Analytics para Firebase
nem o Firebase Crashlytics: nenhum relatório de falha é enviado, e nenhum acontecimento de jogo
vai para o Google. O que o Windows envia ao nosso servidor são contagens simples, sem
identificador (a seção 10.1); o resto da
seção 10 vale só para o Android.
Quem cobra é a Microsoft, pelo sistema de compras da Microsoft Store, na sua
conta Microsoft. Os itens são os da seção 7 mais um pacote de 1 pétala.
Nós nunca vemos nem recebemos os seus dados de pagamento. Das compras de
pétalas, nada chega até nós. Da assinatura Premium, algo chega até nós
só se você entrou com a conta (seção 8), e é isto:
A chave de ID da Microsoft Store. O jogo pede ao nosso servidor uma
autorização de uso único e, com ela, pede à Microsoft Store uma chave: um código que a
Microsoft emite para a sua conta Microsoft e que permite ao nosso servidor consultar as
assinaturas do Melbees nessa conta. A Microsoft recebe junto um código que derivamos da
sua conta do Melbees e que não revela quem você é; ele faz a chave valer só para essa
conta. O computador em que você assinou envia uma chave nova cada vez que confere a
assinatura com a conta entrada.
O que guardamos da assinatura, junto com a chave e o vínculo com a sua
conta: o identificador da assinatura na Microsoft, o estado dela (ativa, com a cobrança
pendente ou encerrada) e a data em que ela termina. A cada consulta lemos também se ela
se renova sozinha e se está no teste grátis, e repassamos isso ao jogo sem guardar.
O país da compra e o resto do que a Microsoft responde nunca são
guardados. Cada vínculo também gera uma linha no registro de auditoria da compra
(seção 14).
Por quanto tempo. A chave vale 30 dias, e o servidor a renova antes de
vencer enquanto consulta a assinatura; uma chave vencida é apagada. A chave e o vínculo
são apagados quando você apaga a conta (seção 15).
Usamos isso para liberar o Premium nos seus aparelhos e para confirmar a assinatura com a
Microsoft, contra fraude. Cancelamento, reembolso e o direito de arrependimento são pedidos à
Microsoft, na sua conta Microsoft, porque ela é a vendedora.
A conta e o ranking online funcionam como no Android (seções
8 e 9), com a mesma conta Google. O que muda é o
login: Entrar com o Google abre o seu navegador, onde o Google pede a conta; o
navegador devolve ao jogo um código de uso único, que o jogo troca pela sessão no Supabase, o
nosso operador de autenticação (seção 13). A sessão fica no seu
usuário do Windows, na pasta local do computador (nunca na pasta que viaja entre computadores),
e cifrada duas vezes pelo Windows: uma cifra que só o seu usuário do Windows
abre e outra que só este computador abre. Uma cópia levada para outro computador ou para outro
usuário não abre, e o jogo a apaga. A sessão é apagada quando você toca Sair da
conta, Apagar meus dados ou Apagar minha conta. A
sessão do Google dentro do navegador é do navegador: o jogo não a lê nem a apaga.
O feedback funciona como no Android (seção 11); no bloco
técnico, a plataforma aparece como Windows.
No computador, o progresso e as configurações ficam no seu usuário do Windows e
nunca são enviados para nós, salvo a chave do estúdio (seção 10.2).
Configurações → Apagar meus dados apaga tudo, como
no Android.
Os controles dos pais são os da Microsoft: o Microsoft Family
Safety permite limitar o tempo de tela e exigir aprovação antes de uma compra na
Microsoft Store (seção 12).
2.2 A edição para navegador (só para convidados)
Existe também uma edição do jogo que roda no navegador (Chrome ou Edge). Ela é fechada: só entra
quem foi convidado por nós. O que muda nela:
A entrada passa pelo Cloudflare Access. Você digita o seu e-mail numa página da
Cloudflare, e a Cloudflare manda para ele um código de acesso. Quem recebe esse e-mail e envia o
código é a Cloudflare, e vale a política de privacidade dela. A lista dos e-mails convidados fica
só no Cloudflare Access: nunca no jogo nem nos nossos servidores.
Não há compra nem anúncio, e a conta serve só para o ranking do Desafio do dia.
O Premium já vem liberado nesta edição, sem pagamento, e não vale para ranking nenhum. Por não
haver anúncio, o jogo não pergunta a sua idade (seção 5),
e nada das seções 6 e 7 acontece nela. Entrar com
a conta é opcional e funciona como no Desafio no navegador (seção
2.3): só então as seções 8 e 9 valem, e só para o
ranking do Desafio do dia.
Não há Firebase (seção 10), e o jogo não manda
nada seu aos nossos servidores, salvo se você entrar com a conta para o ranking do
Desafio do dia (seção 2.3).
O progresso e as configurações ficam no armazenamento do navegador, neste
aparelho e neste navegador, e nunca são enviados para nós. Apagar os dados do site nas
configurações do navegador apaga tudo.
A hospedagem é da Cloudflare, que registra os acessos às páginas (como o
endereço IP, a data e a hora e o navegador usado), como qualquer serviço de hospedagem.
Para desenhar emojis e alguns símbolos, o navegador pode baixar fontes do Google
Fonts (fonts.gstatic.com); nesse pedido o Google recebe o endereço IP do
aparelho, e nada do jogo.
2.3 O Desafio diário no navegador (aberto a todos)
O Desafio diário também abre no navegador (Chrome, Edge ou Safari), por um endereço público, sem
instalar nada e sem convite. Além do Desafio do dia, há o Duelo nos endereços próprios diario.melbees.games e daily.melbees.games. O que muda
nele:
Não há compra, e o Premium não vem liberado. A conta é opcional para o Desafio solo e seu ranking, e obrigatória para o Duelo (seção 9.1). O anúncio do navegador continua desligado até a aprovação do AdSense. Quando ligado, usa as mesmas escolhas de idade e consentimento para o anúncio recompensado do Desafio e para o anúncio no Pronto do Duelo, como descrito abaixo.
Os anúncios do navegador estão preparados, mas desligados até o AdSense aprovar.
Quando ligados, há dois tipos, só nos endereços próprios do Desafio. Ao acabar as pétalas no Desafio, você pode escolher um anúncio recompensado por uma pétala e 30 segundos. No Duelo, depois de tocar em Pronto, quem não é Premium pode ver um anúncio de tela cheia, sem recompensa: nos três primeiros duelos do dia e, depois, cada vez menos, conforme joga. Nunca na abertura da página nem durante a partida. Recusar ou não conseguir carregar o anúncio não impede o Duelo. Não há banner nem anúncio nos portais.
Antes do primeiro anúncio de qualquer um dos dois tipos, o jogo faz a mesma pergunta de idade e o mesmo aviso de cookies, uma vez, com dois botões do mesmo peso: Ver anúncio e Agora não. Guarda só a faixa, nunca a idade digitada, neste navegador e neste site. Agora não não carrega nada do anúncio nem volta a perguntar naquela visita; no Duelo, o Pronto segue. Não há pedido de anúncio sem uma faixa respondida. Estes tratamentos só passam a operar quando o anúncio for ligado.
Nada é pedido ao Google antes de você aceitar. O anúncio é do
Google AdSense, que atua como controlador independente dos dados que recebe
(seção 13). Depois que você aceita, o jogo carrega o script de
anúncios do Google, e esse primeiro pedido chega ao Google com o endereço da página e os
dados que o navegador envia em todo pedido (como o endereço IP e o navegador usado). O
script do Google pode gravar e ler cookies próprios, para medir o anúncio e evitar
fraude. Nas visitas seguintes, depois que você aceitou, o jogo carrega o script um instante
depois de a página ser desenhada, sem perguntar de novo, até você apagar a sua escolha
(abaixo).
Nenhum anúncio é personalizado, qualquer que seja a sua idade. A faixa só escolhe o
rigor do pedido: abaixo de 13 anos ele é marcado como voltado a crianças, de 13 a 17 é
tratado como o pedido de menor de idade de consentimento das regras do Google, e a partir de 18 não
é marcado; e todo pedido, em qualquer faixa, pede um anúncio não personalizado.
Num dia em que o tema do Desafio é infantil, todo pedido é voltado a crianças,
qualquer que seja a sua faixa. O jogo não manda ao Google nenhuma idade nem outro dado do jogo: essa marca de tratamento é
tudo o que ele diz sobre você.
Na União Europeia, no Reino Unido e na Suíça, o consentimento para os cookies do
anúncio é pedido pela mensagem do próprio Google, exibida junto com o script do
anúncio; se você recusar, o jogo não mostra anúncio. Nos demais lugares, o aviso que você aceitou é
o consentimento. Nos dois casos os cookies do anúncio são do Google e ficam separados da análise do
jogo, que mantém todos os consentimentos negados (abaixo).
Você pode mudar de ideia a qualquer momento pelo link Privacidade e
anúncios no rodapé da página: ele abre esta política, a mensagem do Google onde houver
uma e Apagar minha escolha, que para o anúncio naquela visita e apaga a faixa
guardada, de modo que a pergunta volta no próximo anúncio. Apagar os dados do site nas
configurações do navegador também apaga a faixa.
O ranking do dia é lido por todos, sem conta. Para mostrar o pódio, o jogo pede
ao Supabase (seção 13) as melhores marcas do dia,
sem mandar nada seu: nenhum identificador, nenhuma conta. O Supabase recebe o endereço IP do
aparelho, como qualquer servidor que responde a um pedido.
Se você entrar com a conta (só nos endereços próprios do Desafio, pelo botão
Entrar com o Google sob o pódio ou ao entrar no Duelo), a página vai ao Supabase e à página de login do
próprio Google, e volta conectada à mesma conta dos aplicativos: o que o Supabase guarda é o da
seção 8. O navegador guarda a sessão no armazenamento do site até você tocar
em Sair da conta ou apagar os dados do site. Conectado, um Desafio que você
vence até a décima fase vai para o ranking do dia como diz a seção 9 (a sua
partida e o apelido da conta); o e-mail e o nome da conta nunca aparecem no ranking. Nas páginas
dos portais (itch.io, Game Jolt, Addicting Games) não há login: um botão abre o endereço próprio
do Desafio numa aba nova.
No Desafio solo sem conta, o jogo não envia uma partida aos nossos servidores. A verificação do Duelo envia sinais à Cloudflare como diz a seção 9.1. Ele conta
acontecimentos de jogo (como abrir o Desafio, terminar uma fase, tocar no botão da loja) no
Google Analytics, com todos os consentimentos negados: sem cookies e sem
identificador, nada que diga quem você é ou ligue uma visita a outra. Não há Firebase
Crashlytics nesta edição.
As tentativas, os tempos, as aulas feitas e as configurações ficam no armazenamento do
navegador, neste aparelho e neste navegador, e nunca são enviados para nós, salvo a partida
de um Desafio vencido quando você está conectado (acima) e a chave do estúdio
(seção 10.2). No Duelo, as jogadas passam pelo serviço de salas (seção 9.1). Apagar os
dados do site nas configurações do navegador apaga tudo.
A hospedagem é da Cloudflare, que registra os acessos às páginas (como o
endereço IP, a data e a hora e o navegador usado), como qualquer serviço de hospedagem, e conta
as visitas sem cookies e sem identificar quem visita (Cloudflare Web Analytics).
Para desenhar emojis e alguns símbolos, o navegador pode baixar fontes do Google
Fonts (fonts.gstatic.com); nesse pedido o Google recebe o endereço IP do
aparelho, e nada do jogo.
Os botões da Google Play e da Microsoft Store abrem a loja com uma marca de
campanha no endereço, que diz à loja só que a visita veio do Desafio no navegador. O que a loja
faz depois segue a política de privacidade dela.
O Desafio também roda dentro da página dele no itch.io, um site de jogos de
navegador. Ali, o itch.io hospeda os arquivos do jogo e mostra a página em volta dele, com a
política de privacidade dele, e registra os acessos como qualquer serviço de hospedagem; o script
que o itch.io põe em toda página de jogo informa a ele só o site onde o jogo aparece e qual é o
envio. O jogo dentro é o mesmo descrito acima, com todos os consentimentos negados, e os botões das
lojas dizem que a visita veio do itch.io. Se o navegador não deixar o jogo guardar dados dentro da
página do itch.io (como faz uma janela anônima do Chrome), as tentativas e as configurações ficam só
na memória daquela página e somem quando ela é fechada ou recarregada.
O Desafio também roda dentro das páginas dele no Game Jolt e no Addicting Games,
mais dois sites de jogos de navegador; cada um hospeda os arquivos do jogo e mostra a página em
volta dele com a própria política de privacidade, como o itch.io. No Game Jolt o jogo é o mesmo
descrito acima, com todos os consentimentos negados; quando o jogador está logado no Game Jolt, o
Game Jolt põe o nome dele e um token no endereço do jogo, e o jogo nunca repassa esse endereço: ao
Google Analytics ele diz só o site, com uma marca de que a visita veio do Game Jolt. No
Addicting Games o jogo não manda nenhuma estatística. Nos dois, os botões das lojas dizem de qual
dos dois sites a visita veio.
2.4 A versão para iPhone (App Store)
A versão para iPhone é o mesmo jogo, gratuita para baixar, e trata menos dados que a do Android. O que
muda nela:
A conta é opcional e funciona como no Android (seções 8 e
9), com o Google ou, só no iPhone, com Entrar com a Apple
(seção 8). A sessão fica nas Chaves do iPhone (seção
8).
Quem cobra é a Apple, pelo sistema de compras da App Store, na sua conta Apple. Os
itens são os da seção 7. Nós nunca vemos nem recebemos os seus dados
de pagamento. Das compras de pétalas, nada chega até nós. Da assinatura
Premium, algo chega até nós só se você entrou com a conta, e é isto:
O registro da compra, assinado pela Apple. Ele traz o identificador da
assinatura na Apple (o mesmo durante toda a vida dela), o produto, as datas e se ela está no
teste grátis ou foi reembolsada. Na compra, o jogo entrega à Apple um código que derivamos da
sua conta do Melbees e que não revela quem você é; ele volta no registro e liga a assinatura a
essa conta.
O que guardamos da assinatura, junto com o vínculo com a sua conta: o
identificador da assinatura na Apple, o estado dela (ativa, em período de carência, com a
cobrança pendente ou encerrada) e a data em que ela termina. Para manter esse estado em dia, o
nosso servidor também pergunta à Apple o estado atual da assinatura. Cada vínculo também gera
uma linha no registro de auditoria da compra (seção 14). O vínculo é
apagado quando você apaga a conta (seção 15).
Usamos isso para liberar o Premium nos seus aparelhos e para confirmar a assinatura com a Apple,
contra fraude. Com a mesma conta, um Premium comprado no iPhone vale também no Android e no Windows, e
um comprado no Google Play ou na Microsoft Store vale também no iPhone, com a mesma ressalva da
seção 7. Cancelamento, reembolso e o direito de arrependimento são pedidos à
Apple, nas assinaturas da sua conta Apple, porque ela é a vendedora. Apagar a sua conta do Melbees
não cancela a assinatura.
O anúncio recompensado funciona como no Android (seção
6), com a pergunta de idade da seção 5, e uma coisa a mais: antes do
primeiro anúncio, o iPhone faz a pergunta da Apple de Transparência de Rastreamento de
Apps (seção 6).
Não há Firebase: nenhum relatório de falha é enviado, e nenhum acontecimento
de jogo vai para o Google. O que o iPhone envia ao nosso servidor são contagens simples,
sem identificador (a seção 10.1) e, se a instalação veio de um
anúncio do Apple Ads, os números da campanha dele (a seção 10.3); o resto
da seção 10 vale só para o Android.
O feedback funciona como no Android (seção 11); no bloco
técnico, a plataforma aparece como iOS.
Os recados do time chegam como em todo aparelho (seção 12);
com a conta entrada, chega também o recado endereçado a ela (seção 8).
No iPhone, o progresso e as configurações ficam no aparelho e nunca são enviados
para nós, salvo a chave do estúdio (seção 10.2). Configurações → Apagar meus dados apaga tudo, como no Android.
Os controles dos pais são os da Apple: o Tempo de Uso do iPhone
permite limitar o tempo de tela, e o Pedir para Comprar do Compartilhamento Familiar
pede a aprovação de um responsável antes de baixar um aplicativo e antes de uma compra dentro dele
(seção 12).
3. O resumo, em cinco linhas
Jogar é offline. Todo o seu progresso fica no aparelho e nunca é enviado
para nós. No Windows e no iPhone enviamos só contagens simples, sem identificador
(seção 10.1; no iPhone, se você veio de um anúncio do Apple Ads, com os
números da campanha dele, seção 10.3).
Nós não pedimos a sua idade para deixar você jogar, e não há tela de data de
nascimento. Perguntamos a idade uma vez, antes do primeiro anúncio, e só
guardamos a faixa - nunca o número (seção 5). No Windows não há
anúncio, e a idade nunca é perguntada (seção 2.1).
A conta é opcional no jogo solo e só é pedida quando você resolve entrar no ranking online, restaurar a assinatura em outro aparelho (inclusive na outra plataforma) ou jogar o Duelo, onde o seu amigo vê o seu apelido e o seu rosto (seção 8). No Windows a conta é a mesma, e o login é feito pelo navegador
(seção 2.1).
Não vendemos os seus dados, não os trocamos com corretores de dados e não
criamos perfis de publicidade a partir do que você joga.
Você pode apagar tudo: os dados do aparelho pelo próprio jogo, e a conta
pelo jogo ou por uma página na web, sem precisar tê-lo instalado
(seção 15).
4. O que fica somente no seu aparelho
O Melbees guarda o seguinte somente no seu aparelho, para o jogo funcionar; nada
disso é enviado para nós nem para um servidor:
Progresso de jogo: segredos descobertos (o seu Apiário), melhores tempos,
fases, façanhas, itens e desbloqueios.
Configurações: idioma, som, modo de toque, tema e o que mais você escolher
nas configurações.
A faixa de idade que você respondeu antes do anúncio - apenas
menor de 13, 13 a 17 ou 18 ou mais
(seção 5).
A sua resposta ao pedido de consentimento de anúncios, quando ele é exibido
(seção 6). Quem a guarda é o próprio SDK do Google.
O tempo de jogo neste aparelho, que a página “Para pais e responsáveis”
mostra (seção 12). Esse contador nunca sai do aparelho.
Quais recados do time do jogo você já leu no Correio do Hug
(seção 12). O jogo nunca nos conta o que foi lido.
Apagar o jogo, ou usar Configurações → Apagar meus dados, remove tudo isso.
Uma exceção: a chave escondida Aparelho do estúdio, desligada por padrão
(seção 10.2), é uma configuração do aparelho cujo estado, quando ligada, vai como um
sinal de teste “1” junto com as contagens e os acontecimentos da seção 10.
(O feedback que você envia por vontade própria leva o idioma e o modo de toque, como a
seção 11 descreve.)
Se você entrou com o Google ou com a Apple, o aparelho guarda também a sessão da sua conta, do jeito que a
seção 8 descreve.
5. Crianças, adolescentes e a pergunta de idade
O Melbees é um jogo de público geral, adequado para a família, e sabemos que
crianças e adolescentes jogam. Por isso a versão do jogo que todo mundo recebe
já é a versão permitida para um menor de idade: não há bate-papo, não há mensagens entre
jogadores, não há nome digitado por você no ranking, não há recompensa aleatória paga e não há
perfil de publicidade montado a partir do que você joga. Os recados do time do
jogo (seção 12) são de mão única: ninguém responde a eles e nenhum
jogador escreve um.
Não há tela de idade na entrada e não há portão de pais. Um formulário de data
de nascimento é contornado por qualquer criança, e um controle fraco dá aos pais uma segurança
que não existe. O controle forte é o dos pais, na plataforma: o
Family Link do Google e a aprovação de compras do Google Play.
A seção 12 diz onde eles ficam. No Windows, o controle é o
Microsoft Family Safety (seção 2.1), e no iPhone são o
Tempo de Uso e o Compartilhamento Familiar da Apple
(seção 2.4).
A única coisa que precisa de idade é o anúncio, porque a regra de publicidade é
diferente para cada faixa. Então, na primeira vez em que um anúncio vai ser exibido,
o jogo pergunta a sua idade uma única vez:
É um campo livre, sem nenhum valor marcado, e com um botão
Pular do mesmo tamanho. Não dizemos qual resposta muda o quê, para não
induzir ninguém a mentir.
Guardamos apenas a faixa - menor de 13, 13 a 17 ou
18 ou mais. O número que você digitou é descartado e nunca é
gravado nem transmitido.
Pular não bloqueia nada. Você continua jogando e continua ganhando a pétala
do anúncio; a faixa fica desconhecida, e uma faixa desconhecida recebe
o tratamento mais restrito, o mesmo de uma criança.
A faixa serve para duas coisas, as duas no seu aparelho: escolher o
tratamento do pedido de anúncio (seção 6) e decidir se as análises
podem guardar um identificador de instalação, o que só acontece com 18 ou mais
(seção 10). Os relatórios de falha não dependem dela: são enviados
para todos. Ela não entra em
nenhuma estatística, não vai para nenhum servidor nosso nem do Google,
não muda preço, oferta ou conteúdo, e não é usada para
montar perfil de ninguém.
Não perguntamos à plataforma. O Google oferece um sinal de idade da conta
(Play Age Signals) e nós não o consultamos: os termos dele proíbem
usar a informação em publicidade, que é a única coisa para a qual precisaríamos de idade.
No Desafio web, quando os anúncios forem ligados após aprovação do AdSense, vale a mesma faixa para os dois anúncios. O aviso e as opções são os da seção 2.3: sem responder, nenhum anúncio é pedido e o Duelo continua; nenhum anúncio é personalizado, em nenhuma faixa. O navegador não usa Firebase.
Estados Unidos. Não coletamos conscientemente dados pessoais de crianças
menores de 13 anos para os fins que a COPPA restringe. União Europeia e Reino
Unido. Alguns países fixam entre 13 e 16 anos a idade a partir da qual um adolescente
pode consentir sozinho; onde esse limite for maior que o nosso, a personalização de anúncios
depende do consentimento válido descrito na seção 6.
Se você é pai, mãe ou responsável e acredita que uma criança nos enviou dados pessoais - pela
tela de feedback, por exemplo -, escreva para
contact@melbees.games e nós apagamos.
6. Anúncios
No Android e no iPhone o jogo exibe dois tipos de anúncio. O anúncio recompensado só aparece depois que você
toca para ganhar uma pétala a mais quando perde a última: se você nunca tocar, nunca verá um. No Duelo, quem
não é Premium vê um anúncio de tela cheia, sem recompensa, logo depois de tocar em Pronto: antes de cada
um dos três primeiros duelos do dia e, depois, cada vez menos, quanto mais você joga. Ele nunca aparece na abertura do app,
nunca durante um duelo e nunca no jogo solo, e você o fecha pelo controle do próprio anúncio. Não há banner.
A versão para Windows não tem anúncio nenhum (seção 2.1), e o Premium tira o anúncio
do Duelo: esta seção vale para o Android e para o iPhone. O anúncio do Duelo segue o mesmo tratamento de idade e
consentimento do recompensado, descrito abaixo. O Duelo também existe no Desafio diário no navegador; o seu anúncio de Pronto usa o AdSense H5 e continua desligado até a aprovação, como o recompensado (seção 2.3).
Quem serve os anúncios é o Google AdMob, que atua como controlador independente
dos dados que recebe. O tratamento do pedido depende da faixa da
seção 5:
Menor de 13, ou faixa desconhecida (você pulou, ou ainda não respondeu): o
pedido é marcado como dirigido a crianças, o anúncio é limitado à classificação
mais baixa, a personalização é desligada e o identificador de publicidade do
aparelho (AAID) não é enviado.
13 a 17: anúncio não personalizado.
18 ou mais: o anúncio pode ser personalizado - e só é se
você consentir. O pedido de consentimento é a caixa do próprio Google
(User Messaging Platform), exibida conforme as regras do seu país; na União Europeia
e no Reino Unido nada é personalizado sem o seu consentimento, e você pode mudá-lo depois
pela mesma caixa.
Para um anúncio personalizado, o AdMob recebe o identificador de publicidade do
seu aparelho - um identificador que você mesmo pode zerar ou apagar nas configurações do
Android, em Google → Anúncios. Nós não recebemos esse identificador, não o
guardamos e não o usamos em nenhuma outra parte do jogo, inclusive nas análises
(seção 10).
No iPhone, na primeira vez que você abre o jogo, o iPhone
mostra a pergunta da própria Apple, a Transparência de Rastreamento de Apps, antes de
qualquer anúncio ser pedido. Só se você escolher Permitir o AdMob pode receber o
identificador de publicidade (IDFA) do iPhone; com Pedir ao App para Não
Rastrear o iOS não o entrega a ninguém, e nada é personalizado. As faixas acima continuam valendo: abaixo de 13
anos nenhum identificador é enviado, qualquer que seja a escolha, e de 13 a 17 o anúncio nunca é
personalizado. Você pode mudar a resposta a
qualquer momento nos Ajustes → Privacidade e Segurança → Rastreamento do iPhone. O jogo
mostra o anúncio e dá a pétala do mesmo jeito em qualquer caso e, como no Android, nós nunca
recebemos o identificador.
7. Compras no aplicativo
O jogo oferece três itens, e nenhum deles é obrigatório para jogar: dois
pacotes de pétalas (compra avulsa) e a assinatura mensal
Premium. Não existe caixa de recompensa: você sempre sabe
exatamente o que está comprando, e nada comprado vira sorteio. No Windows quem cobra é a
Microsoft Store, e há também um pacote de 1 pétala (seção 2.1); no iPhone
quem cobra é a App Store (seção 2.4); a lista abaixo descreve o Google
Play.
Quem cobra é o Google Play, pelo sistema de faturamento dele.
Nós nunca vemos nem recebemos os seus dados de pagamento - cartão, endereço
de cobrança ou qualquer parte deles.
O que chega até nós é o comprovante da compra que o Google emite: um código
de compra, o identificador do produto e, no caso da assinatura, o estado dela (ativa,
cancelada, em período de testes, estornada). Usamos isso para liberar o que você comprou,
para confirmar a compra ao Google e para impedir que um mesmo comprovante seja usado em
várias contas.
Comprar não exige conta. Se você tiver entrado com uma conta
(seção 8), a assinatura fica vinculada a ela, para que você possa
restaurá-la em outro aparelho, da mesma loja ou da outra: com a mesma conta, uma assinatura do
Google Play vale também no Windows, e uma da Microsoft Store vale também no Android, enquanto
esse uso não for desligado (Termos, seção 5).
Cancelamento e reembolso são do Google Play, nas assinaturas da sua conta
Google. Apagar a sua conta do Melbees não cancela a assinatura.
Direito de arrependimento (União Europeia e Reino Unido). Você tem 14 dias
para desistir de uma compra digital, salvo se aceitou expressamente começar a usá-la de
imediato e reconheceu a perda desse direito - o que a própria tela de compra do Google Play
apresenta. O pedido é feito pelo Google Play, que é o vendedor.
8. A conta, e quando ela é pedida
A conta é opcional no jogo solo: não é preciso ter uma para jogar nem para comprar. Só o Duelo, o modo de jogar com um amigo, precisa de uma conta, porque o seu amigo vê o seu apelido e o seu rosto. O jogo nunca pede login na abertura. Ele oferece o login para três coisas, e entrar é sempre uma ação sua: o ranking online, restaurar a assinatura em outro aparelho, inclusive na outra plataforma, e o Duelo.
Quem é assinante e ainda não entrou vê essa oferta também como uma linha discreta antes de uma
partida, avisando que ela não vai para o ranking online sem a conta, e como um botão na tela que
comemora a assinatura. Nenhuma das duas impede de jogar. Nos endereços próprios do Desafio no navegador, o login aparece para o Duelo e para o
ranking do Desafio do dia (seção 2.3).
No Windows a conta é a mesma, e entrar abre o navegador; a seção 2.1
descreve esse login e onde o Windows guarda a sessão.
A conta é o Google e, só no iPhone, também Entrar com a
Apple (abaixo): não há cadastro com e-mail e senha, não há login
anônimo. Quem faz o login é o Supabase, o nosso operador de autenticação
(seção 13). Ao entrar, o Google confirma ao Supabase que é você, e
o Supabase guarda, no servidor de login, junto da sua conta:
um identificador opaco da conta, uma sequência de caracteres sem significado.
É só ele que o jogo e o ranking usam para reconhecer você;
o endereço de e-mail da sua conta Google, e o nome e o
link da foto do perfil que o Google envia junto (a foto fica no Google; o
Supabase guarda só o link);
a data em que a conta foi criada e a do último login;
para a segurança da conta, o endereço IP e o tipo de aparelho e de
navegador de cada login e de cada renovação da sessão, num registro de acesso.
O jogo não lê nada disso além do identificador. O seu nome, o seu e-mail e a sua foto nunca
aparecem no ranking nem para outro jogador, não entram nas análises do jogo
(seção 10) nem em anúncios, e não são
vendidos nem compartilhados. Nós vemos o e-mail e o nome no nosso painel de administração, que
só nós usamos, e o e-mail também no nosso relatório interno (abaixo),
e em nenhum outro lugar. O painel lista as contas que entraram no jogo (o e-mail, o nome, as datas de
criação e do último login, o apelido do ranking e se a conta tem Premium) para acharmos uma
conta quando você pede por e-mail para apagá-la (Apagar sua
conta) ou pede uma cortesia do Premium, e quando damos uma cortesia do Premium. Tudo isso é apagado quando você apaga a
conta (seção 15). O Supabase guarda ainda uma cópia do registro de
acesso nos registros técnicos dele, que ele mesmo apaga em poucos dias.
A lista de contas no nosso relatório interno. Uma vez por dia,
uma cópia dessa lista vai para um relatório interno nosso, no Google Cloud (BigQuery), que também
só nós vemos, para sabermos quantas contas o jogo tem, em que plataforma e quando elas voltaram a
entrar. A cópia leva só o e-mail, as datas de criação e do último login, como você entrou (Google
ou Apple), a loja da assinatura, se houver, e se a conta é uma das nossas (da equipe ou da
família), para não contarmos essas como jogadores; não leva o nome, a foto, o apelido nem o
registro de acesso. Cada cópia substitui a anterior e se apaga sozinha em 2 dias,
então uma conta apagada sai do relatório em no máximo 2 dias. A lista e a cópia não vão para as
análises do jogo, não são cruzadas com elas e não são usadas para mais nada.
Entrar com a Apple, no iPhone. No iPhone você pode entrar também
com a sua conta Apple. Aí é a Apple que confirma ao Supabase que é você, e o Supabase guarda,
junto da conta, o identificador que a Apple dá a você neste jogo e o endereço de e-mail que a
Apple manda: o da sua conta Apple, se você escolher compartilhá-lo, ou, se escolher ocultá-lo,
um endereço que a Apple cria só para este jogo, que termina em
privaterelay.appleid.com e encaminha as mensagens para o seu e-mail. Da Apple o
jogo não guarda nome nem foto. Para poder cortar a ligação do jogo com a sua conta Apple quando
você apagar a conta, o servidor do jogo guarda também uma credencial que a Apple dá ao jogo na
entrada (um token de atualização), e só a usa para isso: ao apagar a conta, o servidor pede à
Apple que revogue a ligação e apaga a credencial assim que a Apple confirma, no máximo em 30
dias. O resto desta seção vale igual: o registro de acesso, o painel
de administração, o relatório interno e o que é apagado com a conta.
Uma conta, Google e Apple. No iPhone, uma conta pode ter as duas entradas, o
Google e a Apple: continua sendo uma conta só, com um apelido, um lugar no ranking e um
Premium, e qualquer uma das duas entra nela. Se o e-mail da sua conta Apple for o mesmo da sua
conta Google, o Supabase junta as duas entradas na mesma conta sozinho; se não for, ou se você
ocultou o e-mail, você junta pelo próprio jogo. No nosso painel, achamos a conta pelo e-mail
de qualquer uma das duas.
Premium de cortesia. Para dar ou renovar uma cortesia do Premium, achamos a
conta no nosso painel de administração, pelo e-mail, pelo nome ou pelo apelido; se você nos
mandou o e-mail da sua conta Google, ele serve só para isso. A cortesia não guarda o e-mail: guardamos só
o início, o fim e o motivo dela, ligados ao identificador opaco da conta, e apagamos isso quando
você apaga a conta. A mensagem em que você nos mandou o e-mail fica no nosso e-mail, como
qualquer mensagem que você nos envia.
Para você não precisar entrar de novo cada vez que abre o jogo, a sessão fica guardada
neste aparelho: só a credencial que a renova, nunca o seu nome nem o seu e-mail. No
Android, ela fica cifrada, com uma chave que o Android cria e que não sai do
aparelho, e num lugar que o Android deixa fora da cópia de segurança e da transferência
para outro aparelho, para que a sua sessão nunca apareça num aparelho em que você não
entrou. Ela é apagada quando você toca Sair da conta, Apagar meus
dados ou Apagar minha conta, ou quando você desinstala o jogo. No
Windows, a seção 2.1 diz onde ela fica. No iPhone, ela fica nas Chaves do
iPhone (o Keychain), presa a este aparelho: não vai para as Chaves do iCloud e não passa para outro iPhone
por uma cópia de segurança. Desinstalar o jogo não a apaga na hora, mas ela não é mais usada, e o jogo a apaga na
primeira vez que for aberto depois de instalado de novo. A sessão só é usada quando algo
precisa dela, como o ranking online. Abrir o jogo não se conecta à conta, com uma exceção: quando
o aparelho guarda a resposta sobre o Premium da conta (abaixo) e a data dela já passou, o jogo
renova a sessão sozinho, sem nenhuma tela, para perguntar de novo.
O Premium acompanha a conta. Com a conta entrada, e quando a loja deste aparelho
não tem uma assinatura, o jogo pergunta ao nosso servidor se a conta tem o Premium, comprado no
Google Play ou na Microsoft Store. O servidor responde de qual loja ele é e até quando vale. O
aparelho guarda essa resposta para essa conta, e ela vale até essa data, para você jogar como
Premium mesmo sem internet. Uma resposta nova do servidor a substitui, e ela é apagada quando você
toca Sair da conta, Apagar meus dados ou Apagar minha
conta, ou quando outra conta entra neste aparelho.
Um recado do time endereçado à sua conta (seção 12) fica
guardado no nosso servidor, ligado só ao identificador opaco da conta, e é apagado junto com a
conta. O jogo só o pede com a sua sessão aberta; ao sair da conta, ele deixa de aparecer.
9. O ranking online
Se - e somente se - você entrar no ranking online, estes dados saem do seu aparelho:
A sua partida: o tempo total, a categoria, o idioma, a dificuldade, a data e
a lista de jogadas (o que você revelou, quando, e quais cartas usou). Nós a
reexecutamos no servidor para confirmar que o tempo é real - é assim que o ranking se defende
de trapaça. Ela não contém nada sobre você, só sobre a partida.
Um apelido montado com peças do jogo, do tipo “Isa do Trovão #4821”: um
dos personagens do jogo, um sobrenome de uma lista fechada que o jogo escreve em cada idioma
e um número que o servidor sorteia para a sua conta, que nunca muda e nunca vai para outra
pessoa. Você escolhe o personagem e o sobrenome nessas listas e nunca digita uma letra: não há
campo de texto livre, então nenhum apelido pode conter dado pessoal e nenhum jogador pode
escrever para outro. O primeiro apelido é sorteado quando você entra pela primeira vez.
Um retrato que você escolhe entre os personagens do jogo e as skins deles.
É a arte do próprio jogo, nunca uma foto, e não diz nada sobre você.
O que o público vê é apenas a lista das melhores marcas de cada quadro:
posição, apelido, número, retrato e tempo. Nenhuma identificação de quem jogou aparece
ali, nem para os outros jogadores nem para quem olhar de fora.
A lista de jogadas crua é apagada 60 dias depois do envio; o tempo e a posição
ficam enquanto a sua conta existir. O nosso servidor do jogo não guarda o seu endereço
IP em tabela nenhuma: ele o usa em memória, no instante da chamada, para limitar o número
de pedidos. O Google Cloud, que hospeda o servidor como nosso operador, registra cada pedido feito
a ele (o endereço IP, o tipo de aparelho, a hora e o endereço chamado) num registro técnico que ele
apaga sozinho em 30 dias; nós só o consultamos para investigar uma falha ou um
ataque. Uma exceção: a contagem simples do Windows e do iPhone (seção 10.1)
não fica nesse registro. O login guarda o IP à parte, no registro de acesso da conta (seção
8).
9.1 O Duelo, jogar com um amigo
O Duelo precisa de uma conta (seção 8), porque o seu amigo vê o seu apelido e o seu rosto. Os dois vêm
das listas fechadas do jogo, como no ranking: você nunca digita uma letra, então nenhum apelido pode conter dado pessoal,
e o Duelo não tem conversa, texto livre, foto nem voz. Nada que um jogador digite chega a outro.
Durante o duelo, o seu aparelho manda para o serviço de salas (rooms.melbees.games, na
Cloudflare, nosso operador): o apelido em peças, o número do cartão, o rosto, as suas jogadas, as cartas que você escolheu e
o sinal da sua conexão. A sala só repassa essas mensagens ao seu amigo, sem lê-las, e apaga tudo quando a sala
acaba, em cerca de 30 minutos no máximo. O serviço usa o seu endereço IP só na memória, para limitar abuso, e
nunca o grava nem o registra.
Se você cria uma sala pública, qualquer jogador que abra a tela Entrar vê, enquanto a sala estiver aberta: o
seu apelido, o número do cartão, o seu rosto, a categoria, o modo, o nível, o idioma e a sua conexão em milissegundos. Uma
sala só com código não aparece na lista.
O resultado de um duelo fica nos dois aparelhos: não vai para o ranking. O botão Compartilhar monta uma
imagem sem a palavra do Segredo e sem o apelido do outro jogador, e só sai do aparelho se você a mandar.
No Desafio diário na web, o mesmo serviço recebe as mensagens e as apaga nos mesmos prazos acima. Para criar uma sala ou publicá-la na lista de salas públicas, a página carrega o Cloudflare Turnstile, para distinguir uma pessoa de um programa. A Cloudflare processa sinais do navegador e da conexão, como endereço IP, características da conexão TLS, navegador usado e a chave do site com sua origem. Ela verifica a tentativa para nós como operadora e também trata sinais como controladora independente para melhorar a detecção de programas, conforme o aviso de privacidade do Turnstile. Esse aviso rege a retenção desses sinais; não prometemos para eles o prazo de 30 minutos da sala. A página recebe um token de verificação, envia-o ao serviço para aquela tentativa e o descarta depois. Publicar a sala exige uma nova verificação, com outro token de uso único; o token da criação não é reutilizado. Não o guarda no armazenamento do site nem o usa para publicidade.
Para retomar um convite depois do login Google, o navegador pode guardar o código curto e a hora. A retomada vale por até dez minutos; o código é apagado ao retomar, cancelar ou verificar que o prazo passou. Não há token da sala nesse registro. Apagar os dados do site também o apaga.
As salas públicas também existem na web, quando o serviço de lista está disponível para o navegador. Ao criar, a categoria é a do Desafio do dia no idioma da página, para sala privada ou pública. Ao entrar, a lista pode trazer salas de todas as categorias e idiomas, inclusive criadas nos aplicativos. Os dados públicos são os mesmos descritos acima; a entrada da lista é apagada quando a sala é retirada e expira em até 90 segundos após a última renovação. Uma sala privada só é acessível a quem tem seu código ou convite.
Esconder a aba conta como sair do Duelo, inclusive ao trocar de aba ou minimizar o navegador. A conexão com a sala é interrompida; se você ficar ausente por 15 segundos durante a partida e o outro jogador continuar conectado, ele vence por W.O. Voltar antes do prazo permite retomar a mesma vaga. Não há vitória se os dois estiverem ausentes.
10. Análises e relatórios de falha
Esta seção vale só para o Android: as versões para Windows e para iPhone não usam
Firebase (seção 2.1, seção 2.4); o que elas enviam está na
seção 10.1, e a chave do estúdio, na seção 10.2.
Usamos o Google Analytics para Firebase e o Firebase Crashlytics
para saber se o jogo funciona e onde ele quebra. Eles são configurados
como operação interna, e essa configuração é a razão pela qual podemos usá-los
com todos os jogadores:
A coleta do identificador de publicidade está desligada, explicitamente, para
todo mundo.
Os sinais de personalização de anúncios estão desligados e o
Google Signals está desligado. Nada disso é ligado ao AdMob nem a públicos de
publicidade.
A sua faixa de idade nunca vira estatística: ela não é enviada, não é uma
dimensão e não aparece em nenhum evento.
Nenhum texto que você escreve entra num evento - nem nome, nem e-mail, nem a
sua mensagem de feedback.
O que é registrado são acontecimentos do jogo, como uma partida iniciada ou terminada, a tela de
Premium vista, uma compra concluída, uma pétala obtida por anúncio, por compra ou de graça, e o
início ou o fim de uma assinatura. Os acontecimentos são os mesmos para todo jogador. Junto vão
os dados técnicos padrão desses serviços: o modelo do aparelho, a versão do sistema, o país e o
idioma.
O que muda com a idade, e só isto. Antes do primeiro anúncio, o jogo pergunta a
sua idade (seção 6) e guarda só a faixa.
Se você não respondeu, pulou, ou respondeu menos de 18: os acontecimentos vão
sem nenhum identificador. O Firebase Analytics funciona no modo de
consentimento com todo armazenamento negado, então não envia com eles identificador do
aparelho ou da instalação.
Se você respondeu 18 ou mais: o Firebase Analytics guarda um identificador por
instalação, gerado por ele e que desaparece quando você desinstala o jogo.
Os relatórios de falha são iguais para todos. Qualquer que seja a sua idade, e
tendo você respondido ou não, quando o jogo falha o Crashlytics envia um relatório de falha: a
pilha de execução do erro, o estado do jogo naquele momento e os dados técnicos do aparelho
citados acima. O único identificador que ele leva é um identificador de
instalação, feito de um número aleatório que o próprio Crashlytics gera e do número de
instalação do Firebase; ele identifica esta instalação do jogo, e não você. Não leva nome,
e-mail, texto que você escreveu nem a sua faixa de idade.
A sua faixa de idade decide o que as análises guardam no seu aparelho e não é enviada.
Configurações → Apagar meus dados também chega ao Firebase: para na hora de mandar ao
Crashlytics as falhas do jogo, apaga o número de instalação do Firebase (no aparelho e nos
servidores do Firebase), nega de novo todo armazenamento e apaga do aparelho os dados de análise,
antes de apagar o resto. O Crashlytics fica desligado até você fechar o jogo. Na próxima vez que o
jogo abrir, ele primeiro apaga, sem enviar, qualquer relatório de falha que ainda esteja esperando
no aparelho; depois o Crashlytics volta a funcionar como para todos, com um identificador de
instalação novo. Se algum relatório precisou ser apagado, o Crashlytics fica desligado naquela
abertura, e cada abertura seguinte confere de novo; ele volta a partir da primeira que não encontrar
nenhum esperando. Apagar o
número de instalação precisa de internet: sem ela, o jogo avisa que a exclusão não ficou completa,
e você pode tentar de novo. Depois disso o jogo volta a tratar você como quem não respondeu.
O que isso não apaga. O que já tinha sido enviado continua no Google, ligado a
identificadores que não existem mais no seu aparelho, e é apagado pelo prazo de guarda: 2
meses para os dados de análise e 90 dias para os relatórios de falha.
10.1 Windows e iPhone: contagens simples, sem identificador
As versões para Windows e para iPhone não usam o Firebase. Elas só contam, no nosso servidor, alguns
passos do começo do jogo, como números, para sabermos se o jogo está sendo aberto e jogado nessas
lojas. São contagens de acontecimentos, não de pessoas.
O que é contado, em seis passos: o jogo foi aberto; o jogo foi aberto pela primeira
vez depois de instalado; uma partida começou; a primeira partida da instalação começou; a primeira
fase de uma partida foi vencida; uma partida foi vencida. No iPhone, mais quatro
(seção 10.3): um Desafio do dia começou; um Desafio do dia foi vencido; um
teste grátis do Premium foi visto começando; uma compra de pétalas foi feita.
O que é enviado, e nada além disso: um aviso curto com a plataforma (Windows ou
iPhone) e o passo e, só se a chave do estúdio estiver ligada (seção 10.2),
o sinal de teste (e, nesses quatro passos do iPhone, os números da seção
10.3, quando há). Não vão nome, e-mail, conta, identificador de instalação ou de aparelho, texto,
faixa de idade nem a hora do aparelho. Se o envio falha, ou se não há internet, ele não é refeito:
aquela contagem se perde.
O que o servidor guarda: soma 1 ao total do dia (o dia do próprio servidor, em UTC)
daquela plataforma e daquele passo, e guarda só esse total. Não guarda hora, endereço IP,
identificador nem o conteúdo do aviso, e o aplicativo não escreve nenhuma linha de registro por causa
dele. Como em qualquer pedido pela internet, o endereço IP chega ao servidor; ele é usado só na
memória, por um instante, para limitar o número de pedidos, e não é guardado
(seção 9). Esse pedido não fica no registro técnico do Google Cloud descrito
na seção 9, porque excluímos essa rota dele.
Nada liga a contagem a você: não há como saber de quem foi uma contagem nem juntar
duas. Ela é igual para todos, de qualquer idade, e não depende da resposta de idade. Não há uma
opção para desligá-la.
O que esses números valem: o endereço que recebe as contagens não pede senha, então
alguém que o conheça poderia enviar contagens falsas. Usamos os números como estimativa, nunca como
prova.
O Android não envia essa contagem ao nosso servidor: ele segue como descrito acima, com o Firebase.
10.2 O aparelho do estúdio
Em Configurações → Sobre há uma chave escondida, Aparelho do estúdio, para que os
aparelhos da nossa equipe e da nossa família não contem como jogadores nos nossos números. Ela vem
desligada.
O que ela faz, ligada: junta um sinal de teste, o número 1, ao que o aparelho já
envia: aos acontecimentos de jogo do Firebase (Android), às contagens do servidor (Windows e iPhone,
seção 10.1) e aos acontecimentos do Desafio diário no navegador (Google
Analytics). Os acontecimentos automáticos desses serviços não levam o sinal. Nada mais muda no que é
enviado.
Não é um identificador: o valor é o mesmo em todo aparelho que a liga, não existe
lista de aparelhos em lugar nenhum, e ela não liga um aparelho a uma pessoa nem uma contagem a outra.
Quem achar a chave pode ligá-la; o único efeito é que o que aquele aparelho enviar conta como
teste.
Onde fica: só neste aparelho (no navegador, só neste navegador e neste site). O que
foi enviado antes de ligar continua contado como de jogador. Apagar meus dados
(no navegador, apagar os dados do site) desliga a chave; o que já foi contado fica
(seção 15).
10.3 iPhone: de qual anúncio do Apple Ads veio a instalação
Se você instalou o jogo a partir de um anúncio do Apple Ads (os anúncios de busca da
App Store), a versão para iPhone pergunta à Apple de qual campanha foi, para sabermos quais dos nossos
anúncios valem o que custam. Isso usa o AdServices, o recurso da própria Apple para
isso: ele não faz a pergunta de rastreamento (a Transparência de Rastreamento de Apps),
não lê o identificador de publicidade e não depende da resposta a ela. Nada disso aparece no jogo.
O que acontece: pouco depois de o jogo abrir, em segundo plano e sem fazer você
esperar, o jogo pede à Apple um código de uso único (o token) e o envia à Apple. Se houve um anúncio, a
Apple responde com alguns números dele: o da campanha, o do grupo de anúncios e o da palavra-chave.
O token vai só à Apple: não o enviamos ao nosso servidor nem o guardamos. Se a Apple
não respondeu, o jogo tenta de novo nas aberturas seguintes, no máximo três vezes e até sete dias
depois da primeira.
O que o jogo guarda, só no aparelho: esses números (ou a anotação de que não houve
anúncio), quantas vezes tentou e a data da primeira tentativa. Configurações → Apagar meus
dados apaga isso; na abertura seguinte o jogo pergunta à Apple de novo, e a Apple responde o
mesmo, porque o registro da instalação é dela.
O que isso acrescenta às contagens: quatro dos passos da
seção 10.1 (um Desafio do dia começado, um Desafio do dia vencido, um teste
grátis do Premium visto começando e uma compra de pétalas) levam esses três números, quando existem.
O servidor soma 1 ao total do dia daquele passo e daqueles números, e guarda só isso: nenhuma hora,
endereço IP, identificador nem o conteúdo do aviso. São contagens de acontecimentos, não de pessoas:
nada liga a contagem a você nem uma contagem a outra, e, sem anúncio, ela é somada ao mesmo passo, sem
números.
O que os números dizem: só de qual das nossas campanhas veio uma instalação, igual
para todos os que vieram do mesmo anúncio. A Apple documenta que esse registro não identifica você nem
o seu aparelho. Vale para todos, de qualquer idade, e não há uma opção para desligar.
11. Feedback e suporte
O jogo tem uma tela Enviar feedback (Configurações ▸ Sobre), um relatório por
palavra na tela de resultados e, depois de um anúncio recompensado, o link Denunciar
anúncio. Eles existem para você nos contar um problema, uma palavra errada, uma ideia, um
elogio ou um anúncio impróprio. Não há envio automático: nada sai do aparelho até você
tocar em “Enviar”.
O que é enviado, e nada além disso: a categoria escolhida (um entre cinco
rótulos fixos), a sua mensagem em texto livre, e um bloco
técnico que o aplicativo monta e mostra na tela antes de você enviar -
a versão e o tipo do build, a plataforma e a string de versão do sistema cortada em 40
caracteres (no Android costuma ser uma linha de kernel, não o modelo do aparelho), o idioma da
interface, o modo de toque, a tela em que você estava e uma lista de até 20 ações recentes como
códigos internos do jogo. Erros entram como um rótulo de uma lista fechada, nunca a mensagem do
erro e nunca a pilha. No relatório por palavra vão também a categoria, a subcategoria, a
quantidade de segredos, a fase e o identificador interno da palavra. No relatório de anúncio vão
também a unidade do anúncio, a hora em que ele foi mostrado e o identificador que a rede de
anúncios deu àquela resposta, para acharmos o anúncio e bloquearmos o anunciante; não é um
identificador do aparelho nem de publicidade.
Importante: o campo de mensagem é texto livre e chega até nós como você o escreveu. Não
escreva ali o seu nome, e-mail, telefone, endereço nem qualquer outra informação pessoal - sua
ou de uma criança. Não precisamos dessa informação para corrigir o jogo, e o aplicativo
avisa isso embaixo do campo.
Para onde vai. O relatório é enviado por HTTPS a um serviço Google Apps Script
operado pela Melbees Games, que o acrescenta como uma linha numa planilha do Google Sheets nossa,
de acesso restrito. O Google atua apenas como provedor de hospedagem, sob os termos dele. Nada é
vendido, compartilhado com terceiros, usado para publicidade ou para criar perfis.
A linha não carrega identificador nenhum ligado a você. Não há conta, não há id
de dispositivo e não guardamos o seu endereço IP - na prática não conseguimos ligar um relatório
a uma pessoa, nem juntar dois relatórios da mesma pessoa, exceto pelo que estiver escrito
neles.
Se o envio falhar, o aplicativo avisa (nunca diz “enviado” quando não enviou) e
oferece duas saídas, ambas iniciadas por você: abrir o seu aplicativo de e-mail com uma mensagem
já preenchida - se você enviar, passamos a conhecer o seu endereço, porque é um e-mail comum - ou
copiar tudo para a área de transferência.
Por quanto tempo, e como apagar. Guardamos a linha enquanto ela for útil para
corrigir o que descreve e, em qualquer caso, por no máximo 24 meses. Você pode
pedir a exclusão antes disso escrevendo para
contact@melbees.games. Como as linhas não têm
identificador, precisamos que você nos ajude a achar a sua: informe
a data do envio e um trecho do que você escreveu. Apagamos as linhas
correspondentes e confirmamos por e-mail. Sem esses dois dados não temos como localizar o seu
relatório - não por recusa, mas porque a planilha não guarda nada que ligue uma linha a uma
pessoa.
12. Para pais e responsáveis
Dentro do jogo, em Configurações, há uma página Para pais e
responsáveis. Ela não pede idade, não está atrás de compra nenhuma e mostra:
O tempo de jogo neste aparelho, medido pelo próprio jogo. Esse contador fica
só no aparelho e não é enviado para nós.
Onde ficam os controles dos pais, que são da plataforma e não nossos: o
Family Link do Google, que permite definir limites de tempo, e a
aprovação de compras do Google Play, que permite exigir autorização antes de
qualquer compra.
No Windows, os controles equivalentes são os da Microsoft, no
Microsoft Family Safety: limite de tempo de tela e aprovação antes de uma
compra na Microsoft Store.
No iPhone, os controles equivalentes são os da Apple: o Tempo de
Uso limita o tempo de tela, e o Pedir para Comprar do Compartilhamento
Familiar pede a aprovação de um responsável antes de uma compra na App Store.
O jogo mede e mostra o tempo de uso e nunca interrompe uma
partida. Também não envia notificações, não recompensa o jogador por tempo conectado e
não tem sequência diária que se perca por faltar um dia.
Recados do time do jogo, só dentro do app, sem notificação e sem conversa. O
time escreve recados curtos, assinados pelos Melbees, que ficam no Correio do
Hug, dentro do jogo, e são lidos quando o jogador quiser. Ninguém responde a eles e
nenhum outro jogador escreve um; eles nunca aparecem no meio de uma partida e nunca são
escolhidos pela idade ou pelo jeito de jogar. Os que falam da assinatura Premium vêm marcados e
vão para todos, nunca para um jogador só. Para buscar os recados de todos, o jogo faz um pedido
ao nosso servidor que não leva identificação nenhuma e é igual para qualquer
jogador; o que foi lido fica só no aparelho (seção 8 trata do recado para
uma conta). Uma linha em Ajustes > Geral > Hug avisa recado novo desliga a
chegada do Hug com o recado; os recados continuam no Correio.
13. Com quem os dados são compartilhados
Não vendemos os seus dados e não os fornecemos a corretores de dados. Os
serviços abaixo são os únicos que recebem alguma coisa, cada um para uma finalidade:
Google Play (Google), no Android - cobra as compras e nos informa o estado delas
(seção 7).
Microsoft Store (Microsoft), no Windows: cobra as compras, emite a chave de ID
da Microsoft Store e, com ela, nos informa o estado da assinatura
(seção 2.1).
App Store (Apple), no iPhone: cobra as compras e nos informa o estado da
assinatura (seção 2.4), e confirma quem você é quando você entra com a
Apple (seção 8).
Google AdMob (Google), no Android e no iPhone: serve os anúncios recompensados
(seção 6).
Firebase (Google), no Android - análises e relatórios de falha
(seção 10).
Supabase - faz a autenticação da conta Google (e, no iPhone, da conta Apple) e
hospeda o banco do ranking (seções 8 e 9), como nosso operador.
Google Cloud: hospeda o nosso servidor e o nosso relatório interno, com a cópia
da lista de contas (seção 8), e recebe as contagens simples do
Windows e do iPhone (seção 10.1), como nosso operador.
Cloudflare, no Duelo: o serviço de salas repassa as mensagens da sala entre os dois jogadores e as apaga quando a sala acaba (seção 9.1), como nosso operador.
Cloudflare Turnstile, no Desafio web: verifica a criação e a publicação da sala e processa os sinais descritos na seção 9.1, também para melhorar sua detecção conforme seu aviso de privacidade.
Google AdSense, no Desafio web, apenas quando os anúncios forem ligados após aprovação: serve os anúncios recompensado e de Pronto, como controlador independente (seção 2.3).
Google Apps Script e Google Sheets - recebem e guardam os relatórios de
feedback (seção 11), como nossos operadores.
Podemos ainda divulgar dados se a lei exigir, para cumprir ordem de autoridade competente, ou
para apurar fraude e abuso do ranking.
14. Transferência internacional e retenção
Os serviços acima operam servidores fora do Brasil, então os dados descritos aqui podem ser
tratados em outros países, sob as salvaguardas contratuais desses fornecedores - inclusive as
cláusulas-padrão aplicáveis a transferências a partir da União Europeia e do Reino Unido.
No aparelho: até você apagar ou desinstalar o jogo. A sessão da conta, até você
sair da conta (seção 8). A resposta do servidor sobre o Premium da conta,
até uma resposta nova a substituir ou até você sair da conta (seção 8).
Conta e ranking: enquanto a conta existir, inclusive o e-mail, o nome, o link
da foto e o registro de acesso que o login guarda (seção 8). A lista de
jogadas crua é apagada em 60 dias. Os registros técnicos do Supabase, em poucos
dias; o registro de pedidos do Google Cloud, em 30 dias
(seção 9).
As mensagens de uma sala do Duelo: até a sala acabar, em cerca de 30 minutos no máximo, e apagadas na hora; a entrada da sala numa lista pública, até 90 segundos depois da última renovação (seção 9.1).
A cópia da lista de contas no relatório interno: cada cópia substitui a anterior
e se apaga sozinha em 2 dias (seção 8).
As contagens do Windows e do iPhone: totais por dia, sem identificador, guardados
enquanto o jogo existir, porque não ligam a ninguém (seção 10.1).
O vínculo da assinatura (o código da compra ou, no Windows, o identificador da
assinatura na Microsoft, com o estado e a data de fim): enquanto a conta existir. A
chave de ID da Microsoft Store: até vencer, em 30 dias se não for renovada, e nunca
além da conta (seção 2.1).
Relatórios de feedback: no máximo 24 meses.
Análises (Firebase): 2 meses. Relatórios de falha
(Crashlytics): 90 dias (seção 10).
Registro de auditoria da compra: mantido para defesa contra fraude, e
sem o identificador da conta a partir do momento em que você apaga a conta
(seção 15).
15. Seus direitos, e como exercê-los
A LGPD assegura a você, entre outros, os direitos de confirmação, acesso, correção,
anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação do
consentimento. Onde o RGPD se aplica, você tem também os direitos de oposição, limitação e
portabilidade, e o direito de reclamar à autoridade de proteção de dados do seu país - no
Brasil, a ANPD.
Na prática:
Apagar os dados do aparelho: Configurações → Apagar meus dados.
Apaga progresso, configurações e a faixa de idade respondida, e tira deste aparelho a sessão da
conta. Não alcança a conta, nem as contagens simples já enviadas (seção
10.1): são totais que não ligam a ninguém, então não há o que localizar para uma pessoa.
Apagar a conta: Configurações → Conta → Apagar minha conta, que
apaga na hora a conta (com o e-mail, o nome, o link da foto e o registro de acesso que o login
guarda), o apelido, o retrato, as partidas enviadas ao ranking e o vínculo da assinatura (no Windows, com a chave de ID da Microsoft Store); a cópia da conta no nosso relatório interno sai em no máximo 2 dias (seção 8). Sem o jogo
instalado, use a página Apagar sua conta, e nós
atendemos em até 30 dias. São duas ações diferentes: apagar
a conta não apaga nada do aparelho, e apagar os dados do aparelho não apaga a conta.
Apagar um relatório de feedback: pelo e-mail, com a data e um trecho
(seção 11).
Anúncios (só no Android): mude a sua resposta de consentimento na própria caixa do Google
dentro do jogo, ou zere o identificador de publicidade em
Configurações do Android → Google → Anúncios.
As bases legais. Executamos o contrato de uso do jogo para fazer o jogo
funcionar, entregar o que você comprou e manter a sua conta e o ranking (LGPD art. 7º, V; RGPD
art. 6(1)(b)). Apoiamo-nos no legítimo interesse em corrigir defeitos, medir se
o jogo funciona e quantas contas ele tem, e defender o ranking contra trapaça (LGPD art. 7º, IX; RGPD art. 6(1)(f)).
Usamos o seu consentimento para o anúncio personalizado, onde ele é exigido
(LGPD art. 7º, I; RGPD art. 6(1)(a)), e você pode revogá-lo a qualquer momento. Cumprimos
ainda obrigações legais, como as da Lei nº 15.211/2025, o Estatuto Digital da
Criança e do Adolescente (LGPD art. 7º, II; RGPD art. 6(1)(c)).
16. Segurança
Tudo o que sai do aparelho vai por HTTPS. O acesso ao banco do ranking e à
planilha de feedback é restrito a nós. Nenhum sistema é perfeito, e não podemos prometer
segurança absoluta. Não guardamos senha nenhuma sua nem dado de pagamento, e o servidor do jogo não
guarda o seu endereço IP, o que reduz bastante o que um incidente poderia expor. O que o login
guarda da sua conta está na seção 8.
17. Alterações nesta política
Podemos atualizar esta política; a data de “Última atualização” mudará e, para alterações
relevantes, avisaremos dentro do aplicativo. Um recurso novo que envie dados só é
ativado depois desta página ser atualizada, nunca antes.