Seus dados
Política de privacidade
Última atualização: 24 de outubro de 2026
Tradução fornecida apenas para informação; somente a versão em francês tem valor legal.
Resumindo: guardamos o mínimo necessário para fazer o jogo funcionar e protegê-lo contra trapaças. Sem nome, sem data de nascimento, sem endereço, sem telefone, sem publicidade, sem revenda. Você pode baixar ou excluir seus dados a qualquer momento em sua conta.
1. Quem é o responsável
O controlador dos dados é o editor do site: NITO LTD, 1 Poulton Close, Dover, Kent CT17 0HL, Royaume-Uni. Contato para qualquer dúvida sobre seus dados: contact@rbxtcg.com.
A empresa está estabelecida no Reino Unido, que a União Europeia reconhece como um país que oferece proteção de dados adequada. As regras do RGPD (GDPR) se aplicam a você se você mora na União Europeia.
2. Os dados e por quê
| Dados | Por quê | Base legal |
|---|---|---|
| E-mail, senha (nunca guardada em texto puro), identificador do Discord se você entrar com Discord | Criar sua conta, fazer seu login, recuperar sua conta | Execução do serviço que você pede (contrato) |
| Nome de usuário | Jogar, aparecer no feed de puxadas raras, no ranking e para seus amigos | Contrato |
| Declaração de idade ("15 anos ou mais" ou "menos de 15 anos com autorização do pai ou da mãe") e sua data | Aplicar as proteções previstas para menores de 15 anos | Obrigação legal |
| Atividade de jogo: cartas, gemas, cargas, contador de garantia, missões, desejos, amigos, trocas | Fazer o jogo funcionar | Contrato |
| Registro de aberturas de boosters e de movimentações de moedas | Ajuda em caso de problema, prova de que as puxadas respeitam as taxas publicadas, detecção de fraude | Contrato e interesse legítimo |
| Impressões digitais do dispositivo e do endereço IP (veja §3), registro de segurança, sanções | Uma conta por dispositivo, combate a robôs, trapaças e fazendas de contas | Interesse legítimo (segurança e equidade do jogo) |
| Compras de gemas: oferta, valor, data, identificador de pagamento da Stripe, status, aceite da entrega imediata | Entregar as gemas, tratar reembolsos e contestações, aplicar as regras de compra, manter a contabilidade | Execução do contrato; obrigação legal (contabilidade) |
Nenhum dado é usado para publicidade ou perfil comercial, nem vendido. Nenhuma decisão com efeitos jurídicos é tomada de forma totalmente automática: os limites antiabuso (número de tentativas, tetos) se aplicam automaticamente, mas um congelamento ou banimento é decidido por uma pessoa, com um motivo que você pode ler e contestar.
3. Dispositivo e endereço IP
Para limitar contas múltiplas, seu navegador recebe um identificador aleatório (cookie rtcg_device, ilegível para os scripts da página). Seu endereço IP é lido no momento do cadastro, do login ou do booster de teste. Nenhum dos dois é guardado em texto puro: só guardamos uma impressão digital calculada com uma chave secreta (HMAC-SHA-256), que não permite recuperar o endereço. Para um endereço IPv6, só é considerada a parte que identifica a assinatura de internet.
Essas impressões digitais são apagadas 90 dias após o último uso (7 dias após a expiração para o booster de teste sem conta). Não usamos nenhuma "impressão digital do navegador" (fontes, placa de vídeo etc.).
Se uma conta for excluída enquanto estava congelada ou banida, a impressão digital dos seus dispositivos é guardada por 90 dias, sem ligação com a conta, para impedir que uma nova conta seja criada logo em seguida no mesmo dispositivo.
4. O que os outros jogadores veem
Seu nome de usuário (ranking, amigos, trocas) e, se você tirar uma carta rara, uma linha no feed de puxadas da página inicial. Você pode sair do feed em seu perfil. Escolha um nome de usuário que não seja seu nome verdadeiro. Não existe troca de mensagens livre entre jogadores.
5. Menores de 15 anos
O site é aberto a todas as idades. No cadastro, cada jogador informa se tem 15 anos ou mais; um jogador com menos de 15 anos declara que o pai ou a mãe (ou o responsável legal) concorda. Nessas contas, o nome de usuário não aparece no feed público por padrão, e não pedimos nenhum dado a mais do que para os outros jogadores.
O pai ou a mãe pode nos pedir a qualquer momento para acessar os dados da conta do filho ou da filha, ou para excluí-la, pelo endereço contact@rbxtcg.com.
6. Por quanto tempo
| Dados | Duração |
|---|---|
| Conta (e-mail, nome de usuário, declaração de idade), cartas, moedas, missões, amigos, registro de moedas, sanções | Até a exclusão da conta |
| Registro de aberturas de boosters | 2 anos, ou até a exclusão da conta |
| Impressões digitais do dispositivo e do endereço IP ligadas à conta | 90 dias após o último uso |
| Booster de teste sem conta (e suas impressões digitais) | 7 dias após a expiração |
| Registro de segurança | Impressões digitais apagadas após 90 dias, evento excluído após 1 ano |
| Backups do banco de dados | Substituídos após cerca de 7 dias |
| Compras de gemas (oferta, valor, data, identificador de pagamento da Stripe, status) | 6 anos após a compra (obrigações contábeis); desvinculadas da sua conta se ela for excluída |
Os prazos são aplicados por uma exclusão automática todas as noites.
7. Quem mais recebe os dados
Apenas os prestadores técnicos necessários ao site, cada um para sua função:
| Prestador | Função | Dados | País |
|---|---|---|---|
| Vercel Inc. | Hospedagem do site | endereço IP e requisições (logs técnicos) | Estados Unidos |
| Supabase Inc. | Banco de dados e autenticação | e-mail, nome de usuário, dados de jogo, hashes | Estados Unidos (dados na região escolhida para o projeto) |
| Cloudflare, Inc. (Turnstile) | Verificação antirrobô no cadastro, no login e no booster de teste | endereço IP e sinais técnicos do navegador, no momento da verificação | Estados Unidos |
| Sendinblue SAS (Brevo) | Envio de e-mails (códigos de login, exclusão da conta) | endereço de e-mail, conteúdo do e-mail | França |
| Discord Inc. | Login com Discord, só se você escolher | identificador do Discord e e-mail fornecidos pelo Discord | Estados Unidos |
| Pwned Passwords (Have I Been Pwned) | Verificar se uma senha já não vazou | os 5 primeiros caracteres de uma impressão digital da senha, nada que identifique você | Austrália |
| Stripe Payments Europe, Ltd. | Pagamento das compras de gemas | identificador da conta, oferta, valor, e-mail e dados de pagamento informados na Stripe (a gente nunca vê o seu cartão) | Irlanda (possíveis transferências para os Estados Unidos) |
Alguns estão localizados fora da União Europeia. Essas transferências se baseiam nas garantias previstas pelo RGPD (GDPR) (decisão de adequação, incluindo o Quadro de Privacidade de Dados UE–EUA, ou cláusulas contratuais-padrão da Comissão Europeia).
8. Seus direitos
- Baixar seus dados (acesso e portabilidade): botão "Baixar meus dados" em sua conta.
- Excluir sua conta (eliminação): em sua conta, com um código enviado por e-mail. Tudo é apagado; as cartas são destruídas (o número delas continua ocupado, sem nenhuma ligação com você).
- Corrigir um dado (retificação), se opor a um tratamento ou pedir sua limitação: escreva para contact@rbxtcg.com.
- Se você acha que seus direitos não estão sendo respeitados, pode reclamar junto à autoridade de proteção de dados do seu país: na França a CNIL (cnil.fr/fr/plaintes), no Reino Unido o ICO (ico.org.uk).
Respondemos em até um mês. Para confirmar que um pedido vem mesmo de você, podemos pedir que você escreva a partir do e-mail da sua conta.
9. Segurança
Conexão criptografada (HTTPS), senhas com hash feito pelo nosso prestador de autenticação, cookies de sessão ilegíveis para os scripts da página, acesso ao banco de dados limitado por regras por jogador. Os backups do banco de dados são substituídos após cerca de 7 dias: um dado excluído pode continuar neles até lá.
Cookies: a lista completa e suas configurações estão na página Cookies.
10. Mudanças
Se esta política mudar de forma importante, avisaremos no site antes que a mudança entre em vigor. A data no topo da página é a da última versão.
Veja também: Aviso legal · Privacidade · Termos de uso · Cookies · Probabilidades