Open Hearts — Privacidade

A versão curta

• Jogar sozinho fica no seu aparelho Seu nome, sua imagem e suas partidas contra os bots ficam guardados no aparelho em que você joga, e não são enviados a lugar nenhum.
• O jogo ao vivo é público, de propósito Para jogar com pessoas, seu nome, sua imagem, o número da sua conta e seus resultados passam pelo nosso relay, onde qualquer um que pedir pode lê-los. Salas e imagens são guardadas por um dia; os resultados são guardados para os ratings.
• Contas, mas sem e-mail nem senha Nada é vendido, alugado ou usado para publicidade. Não há rastreadores no app nem neste site. Assinar cria uma conta: um número aleatório que o nosso serviço dá a você, com o qual os seus aparelhos jogam. Não há senha, e nós não guardamos nenhum endereço de e-mail.
• O pagamento fica com a Stripe Na web, a assinatura é comprada pela Stripe, que fica com o seu endereço de e-mail e o seu cartão. Nós guardamos uma anotação de qual conta ela paga e de quais aparelhos estão nessa conta. Nunca vemos o número do seu cartão.

Quem somos

Esta política faz parte dos termos e cobre o que eles cobrem; "nós" somos quem eles dizem. O código é público, então tudo nesta página pode ser conferido com o que o app realmente faz.

No seu aparelho

O app guarda o seguinte no aparelho em que você joga — no armazenamento do navegador para play.openhearts.game, ou no armazenamento do próprio app num celular:

• Uma chave que o seu aparelho cria para si mesmo. É um número aleatório longo, com uma metade pública e uma metade secreta. A metade pública é este aparelho numa mesa ao vivo; se você assinar, a sua licença a liga à sua conta. A metade secreta nunca sai do aparelho.
• Seu nome e sua aparência: um ícone e uma cor, ou uma imagem sua. A imagem é reduzida para 64 por 64 pixels no seu aparelho, e só essa cópia pequena é guardada. A foto de onde você a tirou não é guardada nem enviada.
• Suas últimas trinta partidas contra os bots, que o seu perfil contabiliza. Elas só saem do aparelho se você tocar em Copiar registro.
• Com que rapidez você joga, as opções da partida, o idioma que você escolheu, a sua licença e o número da sua conta se você assinar, e os jogadores cujas imagens você escolheu esconder.
• A partida ao vivo em que você está, enquanto estiver nela: a mesa, cada jogada e voto que o seu aparelho assinou ali, e os segredos com que ele distribuiu as suas cartas, para que uma página recarregada no meio da partida possa voltar ao seu lugar. Isso é descartado quando a partida termina ou você sai dela, ou dois minutos depois da última vez que você esteve lá.

Para remover tudo isso, apague os dados de play.openhearts.game no navegador (e os de openhearts.game, onde um navegador que jogou antes de o jogo mudar para play.openhearts.game guarda a sua cópia anterior), ou desinstale o app. Isso também remove a sua chave, então o aparelho volta como um jogador novo, até que um código de backup ou o seu login o traga de volta à sua conta.

Jogar sozinho

Uma partida contra os bots é jogada inteiramente no seu aparelho. Nada sobre ela é enviado a lugar nenhum.

Os apps para celular fazem ao abrir o mesmo que o jogo na web: pedem ao nosso serviço as configurações atuais do jogo, o que não diz nada sobre você, e fazem a verificação de licença explicada abaixo. O jogo ao vivo neles funciona como descrito abaixo. Eles não usam o New Relic nem os servidores de fontes do Google.

Abrir o jogo na web

• A Cloudflare hospeda este site e o jogo, então vê cada requisição que o seu navegador faz: o seu endereço IP, o seu navegador e o endereço que você pediu. Nós não acrescentamos nenhum registro (log) próprio.
• Os servidores de fontes do Google, às vezes. O jogo traz a sua própria fonte, mas quando precisa desenhar um caractere que essa fonte não tem — um emoji, uma seta ou um nome escrito num sistema de escrita como o chinês ou o árabe — o kit de ferramentas com que ele foi feito busca a fonte extra em fonts.gstatic.com. Quando isso acontece, o Google recebe o seu endereço IP e a informação de que você está visitando este site.
• Uma verificação de licença. Toda vez que o jogo começa, ele envia a chave pública do seu aparelho ao nosso serviço para perguntar se ele tem uma assinatura. Se tiver, o serviço também anota que este é o aparelho que a sua conta está usando agora, quando, e em qual mesa ao vivo ele está, se estiver em alguma; essa anotação é substituída da próxima vez que qualquer aparelho seu abrir o jogo. Se não tiver, nada é guardado.
• A sua página de perfil pede ao nosso relay os resultados das partidas para poder mostrar o seu rating. Ela não publica nada sobre você.
• A New Relic nos avisa quando o jogo quebra ou fica lento para você na web, em openhearts.game. A página do jogo envia a ela os erros que encontra, quanto tempo levou para carregar, os endereços das chamadas que faz ao nosso serviço (sem nada depois de um "?"), e o seu navegador, o tipo de aparelho e a sua localização aproximada. O seu endereço IP é usado para essa localização e descartado em até um dia. Ela não cria cookies, não grava a tela nem a sessão, e não lê nada do que você digita. Sob os avisos de privacidade da New Relic.

Jogo ao vivo

O que todo mundo pode ver

Uma partida ao vivo é jogada entre aparelhos, por meio do nosso relay, relay.openhearts.game, um servidor que passa mensagens entre apps. Ele é aberto: qualquer um que pedir a ele uma sala, uma mesa ou os resultados pode ler o que ele carrega ali, e parte disso é guardada. No jogo ao vivo:

• Guardado, e legível por qualquer um que pedir: seu nome, ícone e cor, o número da sua conta, e a chave pública do seu aparelho com a licença que liga os dois, cada vez que você se senta a uma mesa; sua imagem, se você escolheu uma; e o resultado de cada partida ao vivo que você joga, ranqueada ou não — a mesa, a conta, a chave, a licença e a pontuação final de cada lugar, e quem saiu. Os ratings pertencem às contas e são calculados a partir desses resultados por quem quiser, e é essa a ideia: ninguém precisa acreditar na nossa palavra sobre um rating. Nomes, ícones, chaves, números de conta e imagens são guardados por um dia; os resultados são guardados enquanto os ratings forem.
• Guardado, e legível por qualquer assinante com o endereço da partida: cada partida ao vivo inteira, depois que termina — a conta e a chave de cada lugar, a licença que as liga, o nome com que jogou, cada carta distribuída, passada e jogada, e as assinaturas que comprovam isso. O aparelho de um jogador a envia ao nosso serviço quando a partida termina, e ela é guardada para sempre, para que a partida possa ser vista e conferida depois, a partir do aparelho que a conta de um assinante está usando. O endereço dela é um código aleatório longo que ninguém consegue adivinhar; ele é compartilhado por quem o compartilhar.
• Repassado, mas não guardado: enquanto você espera uma partida, seu nome, rating, ícone e cor e quantos segundos você costuma levar numa carta, a cada dois segundos, mais ou menos; e, enquanto o app está aberto, que o seu aparelho está online ou numa mesa, com o número da sua conta e uma anotação de curta duração do nosso serviço dizendo que este é o aparelho que a sua conta está usando. O relay repassa isso a quem estiver ouvindo naquele momento e não guarda nada — mas qualquer um que esteja ouvindo poderia gravar.
• Repassado, enquanto alguém assiste: uma partida ao vivo pode ser assistida enquanto é jogada por qualquer assinante com o endereço dela. Enquanto alguém assiste, o aparelho de um dos jogadores envia, depois de cada jogada, o que todos na mesa já podem ver — os nomes, as pontuações, as cartas jogadas até agora nesta mão e de quem é a vez — e nunca uma mão que ainda está com alguém. O relay repassa isso e não guarda nada. Se você assiste, é com a chave e a licença do seu próprio aparelho, então o aparelho do jogador que responde vê o número da sua conta; ele não responde a ninguém cuja conta esteja jogando naquela mesa.

Uma mesa com amigos é privada em um único sentido: estranhos não podem se sentar nela. O que ela publica é tão público quanto o de qualquer outra mesa.

Para onde vai

Só para o nosso relay, que roda na Cloudflare. Cada mensagem é assinada pelo aparelho que a enviou, então qualquer um que guarde uma cópia pode mostrar que ela é autêntica; não podemos apagar uma cópia feita por outra pessoa.

O que só a sua mesa vê

As cartas são distribuídas entre os aparelhos da mesa de forma que a mão de cada jogador só possa ser lida por ele, e nenhum servidor nosso jamais vê uma mão. As jogadas vão de aparelho para aparelho.

Todas essas conexões passam pelo serviço de relay da Cloudflare (TURN), então os outros aparelhos da sua mesa nunca ficam sabendo o seu endereço IP — nem os outros jogadores, nem os jurados: os apps de outros jogadores, sorteados, que ajudam a resolver uma mesa e jogam nos lugares dos bots. A Cloudflare vê o seu endereço IP, como qualquer servidor a que você se conecta, e repassa o tráfego criptografado, de modo que não consegue lê-lo.

Assinar

O jogo ao vivo é uma assinatura. Na web, ela é comprada pela Stripe, na própria página da Stripe: a Stripe pede o seu endereço de e-mail, o seu cartão e os dados de cobrança de que precisa, sob a política de privacidade dela.

Assinar cria uma conta: um número aleatório, não o seu nome nem o seu e-mail. Nós damos à Stripe a chave pública do seu aparelho para que o pagamento possa ser associado a ela. Em troca, o nosso serviço guarda um registro curto: qual conta a assinatura paga, quais chaves de aparelho estão na conta e quando cada uma foi adicionada, qual está em uso agora, e as datas até quando a assinatura vale. Na Stripe, podemos ver o seu endereço de e-mail, nome, país, bandeira do cartão, os quatro últimos dígitos do cartão e os seus pagamentos.

Isso significa que poderíamos ligar o endereço de e-mail de um assinante à conta dele e, assim, aos nomes e aos resultados que os aparelhos dela publicaram. Nós não publicamos essa ligação, e só a usamos para manter a sua assinatura funcionando.

Se você adicionar outro aparelho à sua conta, o nosso serviço guarda um registro do código de uso único que você criou e de quais aparelhos o criaram e o usaram. Qualquer aparelho da conta pode ver as chaves dos outros, qual está em uso, e removê-los. A sua conta joga em um aparelho por vez: abrir o jogo num aparelho faz dele o que está em uso, e o anterior para de jogar ao vivo até você retomá-lo.

Uma conta também tem cinco códigos de backup, guardados pelo nosso serviço junto com a conta e mostrados nos aparelhos dela, com uma anotação de quais já foram usados. Se você assinou na web, nós os enviamos por e-mail para o endereço com que você pagou quando você assina, e de novo sempre que um aparelho da conta nos pedir. Para isso, lemos o endereço na Stripe naquele momento e o passamos à Cloudflare, que envia o e-mail por nós; nós não guardamos o endereço.

Se você entrar com Apple ou Google, guardamos uma forma embaralhada do número que eles dão ao seu login — não o seu nome nem o seu e-mail — ligada à sua conta, para que entrar do mesmo jeito em outro aparelho o traga para a conta. O seu aparelho guarda só qual dos dois você usou. O login é feito pela Apple ou pelo Google, sob a política de privacidade de cada um; na web, o código de login deles só é baixado enquanto há um botão de login na tela.

Contar o que está quebrado

O menu tem uma página "Conte o que está quebrado". Nada nela é enviado até você apertar Enviar, e tudo o que seria enviado aparece primeiro na página: o que você escreve, qual versão do jogo você tem, o tipo de aparelho, o idioma do app e o tamanho da tela — e, de uma partida contra os bots, o registro dessa partida, só se você marcar a caixa para isso. Enviar abre uma nova issue na nossa página pública do GitHub, já preenchida com isso. Qualquer um pode ler as issues do GitHub, então não inclua nada privado.

O que nós não fazemos

• Nada de anúncios, e nada vendido ou compartilhado para publicidade.
• Nada de identificadores de publicidade, e nada que siga você de app em app ou de site em site.
• Nada de cookies nas nossas páginas. A Stripe cria os dela, no site dela, quando você compra.
• Nada de localização, contatos ou microfone. A câmera, só enquanto você escaneia um código para adicionar um aparelho; a imagem fica no aparelho.
• Nenhum endereço de e-mail guardado por nós, nada de senha, e nenhuma conta a não ser que você assine. E-mails são enviados só com os códigos de backup, como descrito acima.
• Nada de chat.

Por quanto tempo as coisas são guardadas

• No seu aparelho: até você removê-las.
• No nosso relay: jogadas, presença e espera por uma partida: não são guardadas. Salas, lugares ocupados e imagens: um dia. Resultados das partidas: enquanto os ratings forem calculados a partir deles.
• Partidas ao vivo terminadas: para sempre, no armazenamento da Cloudflare, a não ser que você nos peça para apagar uma em que jogou.
• Os registros de conta e de assinatura do nosso serviço: enquanto a assinatura estiver valendo e, depois, até você nos pedir para apagá-los. A anotação de qual aparelho está em uso é substituída cada vez que outro aparelho seu abre o jogo.
• Stripe: pelo tempo que a política da Stripe e a lei sobre registros de pagamento exigirem.
• Cloudflare e Google: conforme as políticas deles.
• New Relic: os erros e os tempos, por oito dias.

Suas escolhas

• Jogue sozinho, e nada sobre você sai do seu aparelho.
• Jogue ao vivo com um nome que não seja o seu nome verdadeiro, e sem imagem.
• Mude seu nome ou sua imagem quando quiser. O que já foi publicado continua onde está.
• Peça uma cópia do que o nosso serviço guarda sobre a sua conta e os aparelhos dela, ou peça que apaguemos isso, incluindo os resultados que os aparelhos dela publicaram no nosso relay.

Onde a lei de proteção de dados lhe der direitos — de ver, corrigir ou apagar o que é guardado sobre você, de se opor, ou de reclamar à autoridade de proteção de dados — você também os tem aqui.

Crianças

O Open Hearts não é feito para crianças com menos de 13 anos, e elas não devem jogar ao vivo, já que isso mostra um nome e uma imagem para estranhos. Se você acha que uma criança publicou algo por meio dele, avise a gente e faremos o que pudermos para remover.

Mudanças

Se o que o app faz com os dados mudar, esta página muda junto, e a data no topo também. O histórico dela, e o do código, está no GitHub.

Contato

Para um pedido de privacidade — uma cópia do que o nosso serviço guarda sobre a sua conta, ou a exclusão disso — ou qualquer outra pergunta sobre esta página, escreva para help@openhearts.game, ou mande uma carta para o endereço que está nos termos. Para podermos achar o que é seu, diga o nome com que você joga e, se assinou na web, o endereço de e-mail com que pagou.