Open Hearts — Privacidade

A versão curta

• Jogar sozinho fica no seu aparelho Suas partidas contra os bots ficam guardadas no aparelho em que você joga, e não são enviadas a lugar nenhum. Seu nome e sua imagem também, até você assinar: aí o nosso serviço os guarda também com a sua conta, para que todos os aparelhos dela mostrem os mesmos. Uma cópia de cada imagem que a sua conta escolhe é guardada à parte, para atender denúncias, até um ano depois de ela deixar de ser a da sua conta.
• O jogo ao vivo é público, de propósito Para jogar com pessoas, seu nome, sua imagem, o número da sua conta, suas jogadas e seus resultados passam pelo nosso relay, onde qualquer um que pedir pode lê-los. Lá, salas, imagens e as jogadas de uma partida são guardadas por um dia; os resultados são guardados para os ratings.
• Contas, mas sem e-mail nem senha Nada é vendido, alugado ou usado para publicidade, e nada segue você de site em site. O jogo na web informa seus erros e tempos de carregamento à New Relic, como descrito abaixo; este site e os apps para celular não informam nada. Assinar cria uma conta: um número aleatório que o nosso serviço dá a você, com o qual os seus aparelhos jogam. Não há senha, e nós não guardamos nenhum endereço de e-mail.
• O pagamento fica com a Stripe Na web, a assinatura é comprada da Link, afiliada da Stripe, que fica com o seu endereço de e-mail, o seu cartão e o seu endereço de cobrança. Nós guardamos uma anotação de qual conta ela paga e de quais aparelhos estão nessa conta. Nunca vemos o número do seu cartão.

Quem somos

Esta política descreve o que o Open Hearts faz com os dados. Ela não faz parte dos termos, e cobre o que eles cobrem; "nós" somos quem eles dizem. O código é público, então tudo nesta página pode ser conferido com o que o app realmente faz.

No seu aparelho

O app guarda o seguinte no aparelho em que você joga — no armazenamento do navegador para play.openhearts.game, ou no armazenamento do próprio app num celular:

• Uma chave que o seu aparelho cria para si mesmo. É um número aleatório longo, com uma metade pública e uma metade secreta. A metade pública é este aparelho numa mesa ao vivo; se você assinar, a sua licença a liga à sua conta. A metade secreta nunca sai do aparelho.
• Seu nome e sua aparência: um ícone e uma cor, ou uma imagem sua. A imagem é reduzida para 192 por 192 pixels no seu aparelho, e só essa cópia pequena é guardada. A foto de onde você a tirou não é guardada nem enviada. Se você assinar, o nosso serviço guarda uma cópia com a sua conta, como explicado abaixo.
• Suas últimas trinta partidas contra os bots, que o seu perfil contabiliza. Elas só saem do aparelho se você tocar em Copiar registro.
• Com que rapidez você joga, as opções da partida, o idioma que você escolheu, se você já abriu Aprender a jogar, quando o app para celular pediu uma avaliação à loja pela última vez, quando você saiu pela última vez de uma partida ao vivo antes do fim, a sua licença e o número da sua conta se você assinar, os jogadores cujas imagens você escolheu esconder e os que você bloqueou, e os avisos de mudanças nos termos ou nesta política que você dispensou.
• A partida ao vivo em que você está, enquanto estiver nela: a mesa, os nomes, ícones e cores com que ela começou, e os segredos com que o seu aparelho distribuiu as suas cartas, para que uma página recarregada no meio da partida possa voltar ao seu lugar. Isso é apagado quando a partida termina ou você sai dela. Se o app fechar no meio da partida, é apagado na próxima vez que ele abrir, a menos que seja dentro de dois minutos: aí você volta ao seu lugar.

Para remover tudo isso, apague os dados de play.openhearts.game no navegador (e os de openhearts.game, onde um navegador que jogou antes de o jogo mudar para play.openhearts.game guarda a sua cópia anterior), ou desinstale o app. Isso também remove a sua chave, então o aparelho volta como um jogador novo, até que um código de backup ou o seu login o traga de volta à sua conta.

Jogar sozinho

Uma partida contra os bots é jogada inteiramente no seu aparelho. Nada sobre ela é enviado a lugar nenhum.

Os apps para celular fazem ao abrir o mesmo que o jogo na web: pedem ao nosso serviço as configurações atuais do jogo, o que não diz nada sobre você, e fazem a verificação de licença explicada abaixo. O jogo ao vivo neles funciona como descrito abaixo. Eles não usam o New Relic nem os servidores de fontes do Google. Depois de uma partida que você vence, eles podem pedir à App Store ou ao Google Play que mostre o próprio aviso para avaliar o app, no máximo uma vez a cada quatro meses. Se ele aparece depende da loja, e o que você escolhe nele vai para a loja, sob a política de privacidade dela; o app não fica sabendo de nenhum dos dois.

Abrir o jogo na web

• A Cloudflare hospeda este site e o jogo, então vê cada requisição que o seu navegador faz: o seu endereço IP, o seu navegador e o endereço que você pediu. Nós não acrescentamos nenhum registro (log) próprio.
• Os servidores de fontes do Google, às vezes. O jogo traz a sua própria fonte, mas quando precisa desenhar um caractere que essa fonte não tem — um emoji, uma seta ou um nome escrito num sistema de escrita como o chinês ou o árabe — o kit de ferramentas com que ele foi feito busca a fonte extra em fonts.gstatic.com. Quando isso acontece, o Google recebe o seu endereço IP e a informação de que você está visitando este site.
• Uma verificação de licença. Toda vez que o jogo começa, ele envia a chave pública do seu aparelho ao nosso serviço para perguntar se ele tem uma assinatura. Se tiver, o serviço também anota que este é o aparelho que a sua conta está usando agora, quando, e em qual mesa ao vivo ele está, se estiver em alguma; essa anotação é substituída da próxima vez que qualquer aparelho seu abrir o jogo. Se não tiver, nada é guardado.
• A sua página de perfil pede ao nosso relay os resultados das partidas para poder mostrar o seu rating. Ela não publica nada sobre você.
• A New Relic nos avisa quando o jogo quebra ou fica lento para você em play.openhearts.game. A página do jogo envia a ela os erros que encontra, quanto tempo levou para carregar, os endereços das chamadas que faz ao nosso serviço (sem nada depois de um "?"), e o seu navegador, o tipo de aparelho e a sua localização aproximada. O seu endereço IP é usado para essa localização e descartado em até um dia. Ela não cria cookies, não grava a tela nem a sessão, e não lê nada do que você digita. Sob os avisos de privacidade da New Relic.

Jogo ao vivo

O que todo mundo pode ver

Uma partida ao vivo é jogada por meio do nosso relay, relay.openhearts.game, um servidor que passa mensagens entre apps e guarda em ordem as jogadas de cada mesa ao vivo. Ele é aberto: qualquer um que pedir a ele uma sala, uma mesa ou os resultados pode ler o que ele carrega ali, e parte disso é guardada. No jogo ao vivo:

• Guardado, e legível por qualquer um que pedir: seu nome, ícone e cor, o número da sua conta, e a chave pública do seu aparelho com a licença que liga os dois, cada vez que você se senta a uma mesa; sua imagem, se você escolheu uma; e o resultado de cada partida ao vivo que você joga, ranqueada ou não — a mesa, a conta, a chave, a licença e a pontuação final de cada lugar, e quem saiu. Os ratings pertencem às contas e são calculados a partir desses resultados por quem quiser, e é essa a ideia: ninguém precisa acreditar na nossa palavra sobre um rating. Nomes, ícones, chaves, números de conta e imagens são guardados por um dia; os resultados são guardados enquanto os ratings forem.
• Guardado, e legível por qualquer assinante com o endereço da partida: cada partida ao vivo, jogada a jogada — a conta e a chave de cada lugar, a licença que as liga, o nome com que jogou, cada carta jogada, cada carta distribuída e passada depois que a mão dela termina, quando a conexão de cada jogador com a mesa caiu e voltou, e as assinaturas que comprovam isso. O nosso relay guarda as jogadas conforme são feitas, até um dia depois da última jogada da partida. O aparelho de um jogador envia a partida inteira ao nosso serviço quando ela termina, e ela é guardada para sempre, para que a partida possa ser vista e conferida depois, a partir do aparelho que a conta de um assinante está usando. O endereço dela é um código aleatório longo que ninguém consegue adivinhar; ele é compartilhado por quem o compartilhar.
• Repassado, mas não guardado: enquanto você espera uma partida, seu nome, rating, ícone e cor e quantos segundos você costuma levar numa carta, a cada dois segundos, mais ou menos; e, enquanto o app está aberto, que o seu aparelho está online ou numa mesa, com o número da sua conta e uma anotação de curta duração do nosso serviço dizendo que este é o aparelho que a sua conta está usando. O relay repassa isso a quem estiver ouvindo naquele momento e não guarda nada — mas qualquer um que esteja ouvindo poderia gravar. As reações que você envia numa mesa (👍 Boa e as outras) são repassadas do mesmo jeito, à mesa e a quem a estiver assistindo, e não são guardadas.
• Repassado, enquanto alguém assiste: uma partida ao vivo pode ser assistida enquanto é jogada por qualquer assinante com o endereço dela. Enquanto alguém assiste, o aparelho de um dos jogadores envia, depois de cada jogada, o que todos na mesa já podem ver — os nomes, as pontuações, as cartas jogadas até agora nesta mão e de quem é a vez — e nunca uma mão que ainda está com alguém. O relay repassa isso e não guarda nada. Se você assiste, é com a chave e a licença do seu próprio aparelho, então o aparelho do jogador que responde vê o número da sua conta; ele não responde a ninguém cuja conta esteja jogando naquela mesa.

Uma mesa com amigos é privada em um único sentido: estranhos não podem se sentar nela. O que ela publica é tão público quanto o de qualquer outra mesa.

Para onde vai

Só para o nosso relay, que roda na Cloudflare. Cada mensagem é assinada pelo aparelho que a enviou, então qualquer um que guarde uma cópia pode mostrar que ela é autêntica; não podemos apagar uma cópia feita por outra pessoa.

O que só a sua mesa vê

As cartas são distribuídas entre os lugares da mesa de forma que a mão de cada jogador só possa ser lida por ele. O nosso servidor joga cada lugar de bot, então conhece as cartas dos bots: numa mesa de um jogador e três bots, são todas as cartas menos as do jogador, então ele poderia deduzir delas a mão do jogador, e não fazemos isso. Abrir a mão de um jogador exige a metade do nosso servidor e a de outro jogador juntas; a metade do nosso servidor sozinha não é nada. A mão de um jogador que sai no meio de uma mão é aberta pelo resto dessa mão, para que a mesa possa terminar. Cada jogada passa pelo nosso relay.

O seu aparelho se conecta só ao nosso relay, então os outros aparelhos da sua mesa nunca ficam sabendo o seu endereço IP — nem os outros jogadores, nem o nosso servidor que joga os bots. A Cloudflare, que roda o relay, vê o seu endereço IP, como qualquer servidor a que você se conecta.

Se não houver mais ninguém esperando e você escolher esperar por uma pessoa, o nosso serviço nos manda um e-mail dizendo que alguém está esperando: o grupo, a hora e os primeiros caracteres da chave do seu aparelho e da sua assinatura, nunca o seu nome nem o seu e-mail. Talvez um de nós venha jogar.

Se você denunciar um jogador, nosso serviço nos envia a denúncia por e-mail: o que você escolheu e escreveu, a mesa, o nome e a imagem que você viu, o número da sua conta e o da conta denunciada, e os primeiros caracteres da chave do seu aparelho. O jogador não é avisado. Guardamos uma denúncia enquanto precisarmos dela para tratá-la, e nosso serviço anota por um dia que você a enviou, para que a mesma denúncia chegue a nós uma vez só.

Assinar

O jogo ao vivo é uma assinatura. Na web, ela é comprada da Link (Sold through Link, LLC), afiliada da Stripe, na própria página da Stripe: ela pede o seu endereço de e-mail, o seu cartão e o seu endereço de cobrança, a partir do qual se calculam os impostos do lugar onde você mora, sob a política de privacidade da Stripe.

Assinar cria uma conta: um número aleatório, não o seu nome nem o seu e-mail. Nós damos à Stripe a chave pública do seu aparelho para que o pagamento possa ser associado a ela. Em troca, o nosso serviço guarda um registro curto: qual conta a assinatura paga, quais chaves de aparelho estão na conta e quando cada uma foi adicionada, qual está em uso agora, e as datas até quando a assinatura vale. Ele também guarda o perfil da sua conta — o nome, o ícone, a cor e a imagem que você escolheu — para que todos os aparelhos da conta mostrem os mesmos, e uma mudança em um chegue aos outros. Na Stripe, podemos ver o seu endereço de e-mail, nome, endereço de cobrança, bandeira do cartão, os quatro últimos dígitos do cartão, e os seus pagamentos e os impostos sobre eles.

Isso significa que poderíamos ligar o endereço de e-mail de um assinante à conta dele e, assim, aos nomes e aos resultados que os aparelhos dela publicaram. Nós não publicamos essa ligação, e só a usamos para manter a sua assinatura funcionando.

Se você adicionar outro aparelho à sua conta, o nosso serviço guarda um registro do código de uso único que você criou e de quais aparelhos o criaram e o usaram. Qualquer aparelho da conta pode ver as chaves dos outros, qual está em uso, e removê-los. A sua conta joga em um aparelho por vez: abrir o jogo num aparelho faz dele o que está em uso, e o anterior para de jogar ao vivo até você retomá-lo.

Uma conta também tem cinco códigos de backup, guardados pelo nosso serviço junto com a conta e mostrados nos aparelhos dela, com uma anotação de quais já foram usados. Se você assinou na web, escrevemos para o endereço com que você pagou só nestes casos: quando você assina, com o que comprou, como a assinatura é renovada, como cancelar e os códigos; de novo com os códigos, sempre que um aparelho da conta nos pedir; antes que uma mudança de preço passe a valer para a sua assinatura; e quando os termos ou esta política mudam de um jeito que importa para os assinantes, para contar o que mudou. Para isso, lemos o endereço na Stripe naquele momento e o passamos à Cloudflare, que envia o e-mail por nós; nós não guardamos o endereço, só uma anotação de quais mudanças foram avisadas à sua assinatura, e quando. A Link também escreve para você sobre os seus pagamentos, como recibos e um lembrete antes de cada renovação, conforme a política de privacidade da Stripe.

Se você entrar com Apple ou Google, guardamos uma forma embaralhada do número que eles dão ao seu login — não o seu nome nem o seu e-mail — ligada à sua conta, para que entrar do mesmo jeito em outro aparelho o traga para a conta. O seu aparelho guarda só qual dos dois você usou. O login é feito pela Apple ou pelo Google, sob a política de privacidade de cada um; na web, o código de login deles só é baixado enquanto há um botão de login na tela.

Quando uma assinatura é comprada, o nosso serviço nos manda um e-mail com a loja em que foi comprada, os primeiros caracteres dela e as datas até quando vale, para podermos acompanhar o serviço enquanto ele é pequeno — nunca o seu nome nem o seu e-mail.

Contar o que está quebrado

O menu tem uma página "Conte o que está quebrado". Nada nela é enviado até você apertar Enviar, e tudo o que seria enviado aparece primeiro na página: o que você escreve, qual versão do jogo você tem, o tipo de aparelho, o idioma do app e o tamanho da tela — e, de uma partida contra os bots, o registro dessa partida, só se você marcar a caixa para isso. Enviar abre uma nova issue na nossa página pública do GitHub, já preenchida com isso. Qualquer um pode ler as issues do GitHub, então não inclua nada privado.

O que nós não fazemos

• Nada de anúncios, e nada vendido ou compartilhado para publicidade.
• Nada de identificadores de publicidade, e nada que siga você de app em app ou de site em site.
• Nada de cookies nas nossas páginas. A Stripe cria os dela, no site dela, quando você compra.
• Nada de localização, contatos ou microfone. A câmera, só enquanto você escaneia um código para adicionar um aparelho; a imagem fica no aparelho.
• Nenhum endereço de e-mail guardado por nós, nada de senha, e nenhuma conta a não ser que você assine. Só escrevemos para você sobre uma assinatura, como descrito acima: nada mais, e nada de publicidade.
• Nada de chat.

Por quanto tempo as coisas são guardadas

• No seu aparelho: até você removê-las.
• No nosso relay: presença e espera por uma partida: não são guardadas. As jogadas de uma partida ao vivo: até um dia depois da última. Salas, lugares ocupados e imagens: um dia. Resultados das partidas: enquanto os ratings forem calculados a partir deles. O relay só transmite a imagem que uma conta tem agora.
• Partidas ao vivo terminadas: para sempre, no armazenamento da Cloudflare. Se você nos pedir para apagar os dados da sua conta, seu nome sai das partidas em que você jogou; as jogadas ficam, para os outros jogadores.
• Os registros de conta e de assinatura do nosso serviço, incluindo o perfil da sua conta: enquanto a assinatura estiver valendo e, depois, até você excluir a sua conta ou nos pedir para apagá-los. Um perfil alterado substitui o anterior. A anotação de qual aparelho está em uso é substituída cada vez que outro aparelho seu abre o jogo. Se suspendermos a sua conta do jogo ao vivo, ou removermos o nome ou a imagem dela, como os termos permitem, o nosso serviço também guarda uma anotação de que ela está suspensa e desde quando, e o nome ou a imagem que removeu, para que qualquer um dos dois possa ser desfeito. Cada um fica guardado até ser desfeito, ou até os registros da sua conta serem apagados.
• As imagens que a sua conta escolhe: cada uma é verificada quando é escolhida. O Project Arachnid, do Canadian Centre for Child Protection, compara uma impressão digital dela com imagens conhecidas de abuso sexual infantil e de outros abusos contra crianças, sem que a imagem jamais lhe seja enviada. Se não pudermos usar o Project Arachnid, o PhotoDNA da Microsoft faz isso em seu lugar: compara uma impressão digital da imagem com imagens conhecidas de abuso sexual infantil, e a imagem também nunca lhe é enviada. Um programa executado pela Cloudflare a analisa e oculta a que parecer mostrar nudez ou conteúdo sexual, violência ou um símbolo de ódio. Guardamos à parte uma cópia de cada imagem, com o resultado dessa análise e qual serviço a comparou com imagens conhecidas, e quando, para revisá-la e atender uma denúncia; quando ela deixa de ser a imagem da sua conta, ninguém mais a vê. A cópia é guardada até um ano depois de a imagem deixar de ser a da sua conta — quando você a troca, quando a removemos ou quando a sua conta é excluída — e depois é apagada.
• Stripe e Link: pelo tempo que a política da Stripe e a lei sobre registros de pagamento e de impostos exigirem.
• Cloudflare, Google, o Canadian Centre for Child Protection e a Microsoft: conforme as políticas deles.
• New Relic: os erros e os tempos, por oito dias.
• O registro próprio do nosso relay: sete dias, nos Workers Logs da Cloudflare. Além de contagens e tempos que não citam ninguém, ele anota para qual conta um conjunto de códigos de backup foi enviado por e-mail, ou não pôde ser; de qual conta imagens ficaram para ser verificadas na próxima rodada, cada uma pelo nome do arquivo, um código feito a partir da imagem; e o código de uma imagem simples demais para comparar ou que coincide com as imagens de teste de um verificador.
• O que a lei nos obriga a denunciar: se algo publicado pelo Open Hearts precisar ser denunciado às autoridades, como a lei dos Estados Unidos exige para material de abuso sexual infantil, guardamos o que denunciamos e os registros da conta pelo tempo que a lei exigir, no mínimo um ano, mesmo que você peça para apagá-los, e os apagamos quando esse prazo acabar.

Suas escolhas

• Jogue sozinho, e nada sobre você sai do seu aparelho.
• Jogue ao vivo com um nome que não seja o seu nome verdadeiro, e sem imagem.
• Mude seu nome ou sua imagem quando quiser; se você for assinante, a mudança chega a todos os aparelhos da sua conta. O que já foi publicado continua onde está.
• Exclua a sua conta no app (como), ou peça que a excluamos, ou que enviemos uma cópia do que o nosso serviço guarda sobre a sua conta, o perfil e os aparelhos dela. Depois de excluída, seu nome sai das partidas terminadas em que você jogou, e os resultados que os seus aparelhos publicaram ficam no nosso relay, para os ratings, sem o seu nome: cada um continua citando o número da sua conta e a chave pública do seu aparelho. As cópias das imagens que a sua conta escolheu são apagadas um ano depois da exclusão. Se você assinou na web, os registros de pagamento da Stripe continuam guardando o seu endereço de e-mail com a chave pública do seu aparelho, que esses resultados citam, enquanto a Stripe os mantiver.

Onde a lei de proteção de dados lhe der direitos — de ver, corrigir ou apagar o que é guardado sobre você, de se opor, ou de reclamar à autoridade de proteção de dados — você também os tem aqui.

Crianças

O Open Hearts não é feito para crianças com menos de 13 anos, e os termos não as deixam jogar ao vivo, já que isso mostra um nome e uma imagem para estranhos. Se você acha que uma criança publicou algo por meio dele, avise a gente e faremos o que pudermos para remover.

No celular, antes de você jogar ao vivo ou comprar o jogo ao vivo no app, o app pergunta à App Store ou ao Google Play se você tem 13 anos ou mais; o Google Play também diz se um pai, uma mãe ou um responsável aprovou as últimas mudanças do app, ou se precisa que você confirme sua idade. Se uma loja pode responder, e se pergunta a você antes, depende da loja. O app usa a resposta só para decidir se o jogo ao vivo está aberto para você, e depois a esquece: ela não fica guardada no seu aparelho e nunca é enviada para nós nem para mais ninguém.

Mudanças

Se o que o app faz com os dados mudar, esta página muda junto, e a data no topo também. Uma mudança que importe para os assinantes é avisada a eles por e-mail e no app, como dizem os termos. O histórico dela, e o do código, está no GitHub.

Contato

Para um pedido de privacidade — uma cópia do que o nosso serviço guarda sobre a sua conta, ou a exclusão disso — ou qualquer outra pergunta sobre esta página, escreva para help@openhearts.game, ou mande uma carta para o endereço que está nos termos. Para podermos achar o que é seu, diga o nome com que você joga e, se assinou na web, o endereço de e-mail com que pagou.