Que dados um mini game pode coletar — e o que te multa?
A privacidade é a conta que chega após os usuários já terem ido embora. Um mini game que acumula dados em silêncio, ou pior, os vaza, não recebe aviso — recebe uma carta do regulador com um número. As regras não são misteriosas; só são mais rigorosas que a maioria dos checklists de lançamento. Vamos ver o que você pode coletar e o que realmente te multa.
Q: Que dados um mini game pode coletar legitimamente?
Os que o jogo precisa para funcionar: o básico de conta se houver contas, eventos de jogo para balancear, e registros de pagamento que o processador já tem. Onde os times relaxam é empilhar SDKs de terceiros que coletam IDs de dispositivo, localização e contatos "por via das dúvidas". Colete o que a função usa, e nada que não. Quanto menos guarda, menos defende.
Q: O que exigem GDPR e CCPA para crianças?
É aqui que os jogos se queimam. Se seu público tende a menores de 13 (ou 16 em partes da UE), você está em território de criança designada: sem anúncios comportamentais, sem perfilamento, e frequentemente o consentimento de um pai antes de coletar quase nada. COPPA nos EUA e as provisões infantis do GDPR são implacáveis aqui — a defesa de "não sabíamos que eram crianças" não sobrevive ao regulador.
Q: Como trata a transferência transfronteiriça de dados?
Se coleta na UE e processa em outro lugar, você precisa de um mecanismo de transferência legal — Cláusulas Contratuais Padrão ou uma decisão de adequação, não uma esperança. Um runtime ou host que já opera transfronteiriço pode tratar isso por você, mas a obrigação de documentar ainda é sua. A armadilha é assumir que "a nuvem" é um lugar; é um contrato, e o contrato tem que dizer o certo.
Q: SDKs de analítica podem virar passivo?
Facilmente. Uma ferramenta de analítica aparentemente benigna que manda dados a um fornecedor que você não auditou, ou que pega identificadores em silêncio, transforma seu jogo no elo fraco. Audite cada SDK como auditaria um contratado: o que envia, para onde vai, consegue desligar. O SDK que "só rastreia retenção" causou mais multas que qualquer função de jogo.
Q: Se algo dá errado, o mínimo que deve fazer?
Duas coisas, rápido: notificar e estancar o sangramento. A maioria dos regimes exige notificação de brecha numa janela fixa — frequentemente 72 horas sob GDPR — e te julgam menos pela brecha que pela debandada depois. Tenha um plano antes do lançamento: quem notifica, o que diz, como contém. Time que responde limpo sobrevive a uma brecha; time que esconde recebe a multa e a manchete.
| Pergunta de dados | Padrão seguro | O que te multa |
|---|---|---|
| O que coletar | só o que a função usa | acumular "por via das dúvidas" |
| Dados de crianças | sem perfilamento, consiga consentimento | anúncios comportamentais a menores |
| Transfronteiriço | SCC ou adequação | assumir que a nuvem é local |
| SDK de terceiros | audite o que enviam | capturas silenciosas de IDs |
| Após brecha | notifique + contenha rápido | esconda e espere |
