MindyCards:
Política de Privacidade

1. Controlador dos dados

A MindyWorld OÜ é a controladora dos dados tratados em conexão com o MindyCards.

Sede: Jõe tn 3-315, 10151 Tallinn, Estônia

Número de registro: 17339961

Contato: [email protected]

Autoridade de controle: Inspetoria de Proteção de Dados da Estônia (Andmekaitse Inspektsioon), www.aki.ee/en

2. Resumo

O MindyCards oferece duas formas de uso do App: de forma anônima (sem conta) ou com uma conta que possibilita a sincronização do progresso e uma assinatura Premium que remove a publicidade. Os dados que tratamos dependem da opção escolhida.

Na modalidade gratuita, o App é sustentado por publicidade não personalizada. Publicidade personalizada não é utilizada no MindyCards.

Coletamos apenas os dados pessoais mínimos necessários para fornecer o App, processar assinaturas Premium e operar os recursos de conta.

3.1 Se você usa o MindyCards sem conta

Modelo do dispositivo e versão do sistema operacional.

Versão do App e relatórios de falhas.

Métricas de sessão anonimizadas (partidas iniciadas, partidas concluídas, tempo no aplicativo, telas visitadas).

Preferências de idioma e configurações regionais.

Região aproximada derivada do endereço IP (apenas no nível de país).

Dados de publicidade não personalizada (ver Seção 7).

3.2 Se você cria uma conta no MindyCards

Dados adicionais tratados:

Identificador da conta (identificador de sujeito do Keycloak, identificador do Login com a Apple, identificador da conta Google ou endereço de e-mail usado no cadastro).

Nome de usuário ou nome de exibição escolhido por você.

Imagem de perfil, caso opte por enviar uma.

Progresso de jogo, conquistas, moeda virtual e escolhas de personalização sincronizadas entre seus dispositivos.

Preferências do App e configurações de acessibilidade vinculadas à sua conta (quando você opta por sincronizá-las entre dispositivos).

3.3 Se você assina o MindyCards Premium

Status da assinatura (ativa, pausada, cancelada) e data de renovação.

País da conta da loja de aplicativos usada para adquirir a assinatura.

Identificador da transação associado à sua compra.

Os dados completos de pagamento (número do cartão, código de segurança, endereço de cobrança) nunca são acessíveis à MindyCore. São tratados diretamente pela Apple, pelo Google ou pelo nosso processador de pagamentos, conforme o método de compra utilizado. Ver Seção 8.

3.4 Dados que NÃO coletamos

Não coletamos dados biométricos.

Não coletamos dados de localização precisa em tempo real.

Não coletamos seus contatos, fotos ou arquivos fora do App.

Não coletamos informações sobre seu perfil neurodivergente, diagnóstico ou condição de saúde. As configurações de acessibilidade, mesmo quando sincronizadas pela conta, são armazenadas como preferências de usuário e não são interpretadas, inferidas ou analisadas como dados de saúde.

Não vendemos dados pessoais.

4. Por que tratamos esses dados (finalidades)

Operar o App, manter sua conta e sincronizar seu progresso entre dispositivos.

Processar e verificar assinaturas Premium.

Exibir publicidade não personalizada na modalidade gratuita (usuários Premium não veem anúncios).

Detectar, diagnosticar e corrigir falhas e erros.

Analisar padrões de uso agregados e anonimizados para melhorar a jogabilidade e a acessibilidade.

Comunicar com você sobre sua conta, sua assinatura ou mudanças relevantes no App.

Proteger contra fraude, abuso e violações de políticas.

Cumprir as obrigações legais aplicáveis a nós, incluindo legislação tributária e de defesa do consumidor.

5. Base legal (GDPR)

Execução de contrato (art. 6(1)(b)): para fornecer o App, manter sua conta e operar a assinatura Premium.

Legítimo interesse (art. 6(1)(f)): para detectar falhas, analisar métricas agregadas e prevenir fraudes, ponderado em relação aos seus direitos e liberdades.

Consentimento (art. 6(1)(a)): para tecnologias de rastreamento que exigem consentimento sob as regras ePrivacy da UE e para quaisquer recursos opcionais (por exemplo, comunicações de marketing, caso sejam introduzidas).

Obrigação legal (art. 6(1)(c)): para cumprir leis e regulamentos aplicáveis a nós, incluindo os tributários.

6. Criação de conta e autenticação

A autenticação no MindyCards é gerenciada pelo Keycloak, um sistema de gestão de identidade e acesso operado pela MindyWorld OÜ em infraestrutura hospedada na União Europeia, em combinação com o Firebase Authentication. Suas credenciais e tokens de identidade são tratados por esses sistemas.

Para criar uma conta no MindyCards, você pode usar um destes métodos:

Login com a Apple: a Apple compartilha conosco um identificador estável e, a seu critério, seu e-mail (ou um e-mail de retransmissão privada). Sua senha do Apple ID nunca é compartilhada conosco.

Login com o Google: o Google compartilha conosco um identificador estável e seu endereço de e-mail. Sua senha do Google nunca é compartilhada conosco.

Cadastro com e-mail e senha: solicitamos um endereço de e-mail e uma senha. As senhas são armazenadas com hash criptográfico padrão do setor e nunca são armazenadas em texto simples.

Você pode excluir sua conta do MindyCards a qualquer momento pelo menu de Configurações dentro do App, ou escrevendo para [email protected]. Após a exclusão, seus dados pessoais são removidos em até 30 dias, exceto os registros que somos legalmente obrigados a conservar (como registros de transações sob a legislação tributária da Estônia e da UE, mantidos por até 7 anos).

7. Publicidade e consentimento

A modalidade gratuita do MindyCards exibe apenas publicidade não personalizada. A assinatura Premium remove toda a publicidade.

Quando exigido pela legislação da UE e do Reino Unido, usamos a User Messaging Platform (UMP) do Google para solicitar seu consentimento para o uso de identificadores de publicidade, antes de qualquer anúncio ser exibido. Você pode alterar sua decisão sobre o consentimento a qualquer momento nas opções de privacidade disponíveis nas configurações do App.

No iOS, aplica-se o App Tracking Transparency (ATT) da Apple. Como o MindyCards não usa rastreamento entre aplicativos, o aviso do ATT não é exibido.

No Android, o Identificador de Publicidade do Android pode ser usado de forma limitada para prevenção de fraude e limitação de frequência, conforme descrito nas políticas do Google AdMob para publicidade não personalizada.

8. Assinaturas Premium e pagamentos

As assinaturas Premium adquiridas dentro do App são cobradas pelo Apple In-App Purchase ou pelo Google Play Billing, de acordo com suas respectivas regras. Os dados de pagamento dessas compras são tratados diretamente pela Apple ou pelo Google.

Usamos o RevenueCat como serviço de gestão de assinaturas. O RevenueCat recebe o identificador da transação, seu identificador de usuário do aplicativo, o status da assinatura, o identificador do produto, a plataforma e as datas de renovação ou expiração. Ele não recebe os dados do seu cartão de pagamento. O RevenueCat atua como operador de dados em nosso nome, sob um contrato de tratamento de dados.

Para compras feitas fora das lojas de aplicativos, quando oferecidas, os pagamentos são processados pela Stripe. A Stripe recebe os dados de pagamento necessários para concluir a transação e atua como controladora independente dos dados de pagamento que trata, além de ser nossa operadora para os registros de transações. A MindyCore não armazena os dados completos do seu cartão em nenhum momento.

As assinaturas são renovadas automaticamente até serem canceladas. Você pode gerenciar ou cancelar sua assinatura a qualquer momento nas configurações da sua conta Apple ID ou Google Play, ou pelo mecanismo indicado no momento da compra. Pedidos de reembolso de compras em lojas de aplicativos são tratados pela loja correspondente.

9. Crianças e adolescentes

O MindyCards é destinado a usuários com 13 anos ou mais, conforme estabelecido em nossos Termos de Serviço.

Se você tiver entre 13 anos e a idade de consentimento digital do seu país (16 anos por padrão sob o GDPR da UE, com variações nacionais), você confirma que possui o consentimento explícito de um dos pais ou responsável legal para criar uma conta e usar o App.

Não coletamos conscientemente dados pessoais de crianças menores de 13 anos. Se tomarmos conhecimento de que um usuário tem menos de 13 anos, encerraremos a conta e excluiremos os dados pessoais associados sem demora indevida. Se você é pai, mãe ou responsável legal e acredita que seu filho menor de 13 anos criou uma conta, entre em contato conosco em [email protected].

Os controles parentais do sistema operacional (Apple Screen Time, Google Family Link ou equivalentes) continuam sendo o principal mecanismo para que os pais supervisionem o uso de serviços digitais por seus filhos. A MindyCore oferece o arcabouço técnico e contratual, mas a supervisão parental é responsabilidade dos pais ou responsáveis legais.

Para todos os usuários, independentemente da idade, aplicamos configurações de privacidade rigorosas por padrão no MindyCards: apenas publicidade não personalizada, nenhuma comunicação de marketing sem consentimento expresso e coleta mínima de dados desde a concepção.

10. Compartilhamento de dados com terceiros

Não vendemos seus dados pessoais. Compartilhamos dados limitados com os prestadores de serviços listados abaixo, cada um sob contratos que exigem proteção equivalente ao GDPR. Alguns desses serviços já estão em uso; outros estão integrados e serão ativados em versões futuras do App, e estão listados aqui por transparência.

Identidade e autenticação

Keycloak: gestão de identidade e acesso, operada pela MindyWorld OÜ em infraestrutura hospedada na União Europeia.

Hostinger International Ltd: provedor de hospedagem da infraestrutura que executa nossos serviços de autenticação.

Firebase Authentication: Google Ireland Limited e Google LLC.

Login com a Apple: Apple Inc.

Login com o Google: Google Ireland Limited e Google LLC.

Armazenamento de dados e backend

Firebase Cloud Firestore: armazenamento do progresso de jogo e das preferências de conta. Google Ireland Limited e Google LLC.

Firebase Storage: armazenamento de conteúdo enviado pelos usuários, como imagens de perfil. Google Ireland Limited e Google LLC.

Firebase Cloud Functions: processamento no servidor da lógica do aplicativo, incluindo eventos de assinatura. Google Ireland Limited e Google LLC.

Analytics e diagnóstico

Firebase Analytics: analytics de uso agregado, mediante consentimento quando exigido. Google Ireland Limited e Google LLC.

Publicidade

Google AdMob: publicidade não personalizada na modalidade gratuita. Google Ireland Limited e Google LLC.

Pagamentos e assinaturas

Apple App Store: distribuição, cobrança e assinaturas. Apple Inc.

Google Play: distribuição, cobrança e assinaturas. Google LLC.

RevenueCat, Inc.: gestão de assinaturas e verificação de direitos.

Stripe Payments Europe, Ltd.: processamento de pagamentos para compras feitas fora das lojas de aplicativos, quando oferecidas.

Comunicações

Brevo (Sendinblue SAS): envio de e-mails transacionais e newsletters, quando aplicável.

Zoho Corporation B.V.: serviços de e-mail.

Cada um desses serviços possui sua própria política de privacidade. Os links podem ser solicitados em [email protected].

Também podemos divulgar dados quando exigido por lei, por ordem judicial ou por solicitação vinculante de autoridade competente, ou para proteger nossos direitos ou os direitos de terceiros.

11. Transferências internacionais de dados

Alguns dos nossos prestadores de serviços tratam dados fora do Espaço Econômico Europeu (EEE), incluindo os Estados Unidos. Quando os dados são transferidos internacionalmente, garantimos proteção adequada por meio de:

Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia, quando aplicáveis.

O Data Privacy Framework UE-EUA (DPF), quando o destinatário é certificado.

Outros mecanismos legais equivalentes reconhecidos pelo GDPR.

Nossa infraestrutura de autenticação está hospedada dentro da União Europeia. O progresso de jogo e os dados de conta armazenados no Firebase Cloud Firestore podem ser hospedados em regiões fora do EEE; nesses casos, aplicam-se as salvaguardas descritas acima.

12. Retenção

Contas ativas: os dados são mantidos enquanto sua conta estiver em uso.

Contas inativas: contas sem atividade por 24 meses consecutivos podem ser excluídas, com aviso prévio por e-mail quando dispusermos de um endereço válido.

Após a exclusão da conta: os dados pessoais são excluídos em até 30 dias, exceto os registros que somos legalmente obrigados a conservar.

Registros de transações (assinaturas Premium): mantidos por até 7 anos, conforme exigido pela legislação tributária da Estônia e da UE.

Registros de falhas e dados de diagnóstico: mantidos por até 90 dias.

Analytics agregado e anonimizado: pode ser mantido indefinidamente para fins estatísticos.

13. Seus direitos

Sob o GDPR da UE e legislações semelhantes, você tem os seguintes direitos:

Direito de acesso: saber quais dados pessoais tratamos.

Direito de retificação: corrigir dados pessoais inexatos ou incompletos.

Direito ao apagamento (direito ao esquecimento): você pode excluir sua conta pelo menu de Configurações do App ou entrando em contato conosco.

Direito à limitação: restringir a forma como tratamos seus dados pessoais.

Direito de oposição: opor-se ao tratamento baseado em legítimo interesse.

Direito à portabilidade dos dados: receber seus dados em formato estruturado, de uso corrente e de leitura automática.

Direito de retirar o consentimento: a qualquer momento, sem afetar a licitude do tratamento baseado no consentimento antes da sua retirada.

Direito de apresentar reclamação a uma autoridade de proteção de dados: em especial no Estado-Membro da UE de sua residência habitual.

Para exercer esses direitos, entre em contato conosco em [email protected]. Respondemos em até 30 dias, com possível prorrogação de mais 60 dias para solicitações complexas.

14. Residentes nos EUA (CCPA / CPRA)

Se você reside na Califórnia, EUA, a California Consumer Privacy Act (CCPA) e a California Privacy Rights Act (CPRA) lhe conferem direitos específicos, incluindo:

Direito de saber quais categorias de informações pessoais foram coletadas.

Direito de excluir as informações pessoais que coletamos.

Direito de recusar qualquer “venda” ou “compartilhamento” de informações pessoais. Não vendemos nem compartilhamos informações pessoais conforme definido pela legislação da Califórnia.

Direito de corrigir informações pessoais inexatas.

Direito à não discriminação por exercer seus direitos.

Para exercer os direitos específicos da Califórnia, entre em contato conosco em [email protected]. Direitos semelhantes podem ser aplicáveis se você residir em outros estados dos EUA com leis comparáveis, e os atendemos mediante solicitação.

15. Segurança

Protegemos os dados com medidas de segurança padrão do setor: criptografia em trânsito (TLS), criptografia em repouso quando aplicável, hash de senhas com algoritmos padrão do setor, controles de acesso baseados no menor privilégio, infraestrutura em nuvem segura e revisões de segurança periódicas.

Em caso de violação de dados pessoais que possa afetar seus direitos, notificaremos a autoridade competente de proteção de dados em até 72 horas e, quando exigido por lei, também notificaremos os usuários afetados sem demora indevida.

16. Identificadores de dispositivo e tecnologias similares

Embora o MindyCards seja um aplicativo móvel e não use cookies no sentido técnico, ele se apoia em tecnologias similares no seu dispositivo, em particular:

Armazenamento local no dispositivo para lembrar configurações de acessibilidade, progresso de jogo, estado de login e preferências de consentimento.

Tokens de autenticação para manter você conectado entre sessões.

Identificadores de publicidade (IDFA no iOS, Identificador de Publicidade do Android no Android) usados de forma limitada pelo Google AdMob na modalidade gratuita para prevenção de fraude e limitação de frequência em publicidade não personalizada.

Identificadores de sessão anonimizados usados pelo Firebase Analytics, mediante consentimento quando exigido.

Você pode redefinir os identificadores de publicidade, desativar o rastreamento publicitário ou configurar as permissões de rastreamento nas configurações do sistema do seu dispositivo (iOS: Privacidade → Rastreamento; Android: Configurações → Privacidade → Anúncios).

17. Decisões automatizadas

O MindyCards não toma decisões sobre você baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos ou impactos similarmente significativos.

18. Alterações desta Política de Privacidade

Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão anunciadas pelo App, por e-mail (para titulares de conta) e em mindycore.com com pelo menos 30 dias de antecedência, quando razoavelmente possível. A data da versão no topo desta Política será atualizada para refletir cada alteração.

19. Contato e reclamações

Para dúvidas, solicitações sobre seus dados ou reclamações relacionadas a esta Política de Privacidade, entre em contato conosco em: [email protected].

Se você não estiver satisfeito com nossa resposta, tem o direito de apresentar reclamação à Inspetoria de Proteção de Dados da Estônia (www.aki.ee/en) ou à autoridade local de proteção de dados.