Política de Segurança

1. O nosso compromisso

O Stack Cards Sort é publicado pela Guse LTDA. A maioria das políticas de segurança descreve como uma empresa protege os dados que recolheu. Esta descreve sobretudo os dados que escolhemos nunca recolher — a proteção mais forte que podemos oferecer — e depois como protegemos o pouco que de facto existe.

2. Segurança pela arquitetura

O jogo não tem contas, nem início de sessão, nem palavra-passe, nem servidor nosso. Não existe uma base de dados de jogadores, por isso não há nada para comprometer, nenhuma credencial para roubar e nenhuma ligação de reposição para intercetar. A aplicação não contém qualquer SDK de análise, qualquer SDK de publicidade ou código de rede de terceiros.

A única funcionalidade de rede no jogo é o Game Center da Apple, e é opcional.

3. No seu dispositivo

O progresso, as definições e o nível em curso são escritos no armazenamento da própria aplicação no seu iPhone e ficam lá. Não são credenciais, por isso são guardados como dados normais da aplicação e não no Porta-chaves; o iOS mantém-nos dentro da sandbox da aplicação, onde outras aplicações não os conseguem ler, e remover a aplicação remove-os.

Se usar o iCloud ou cópias de segurança encriptadas do dispositivo, estes valores podem ser incluídos na sua própria cópia, protegidos pela encriptação de cópias de segurança da Apple.

4. O que a Apple trata

Duas coisas são deliberadamente delegadas à Apple em vez de construídas por nós:

• Pagamento. O desbloqueio Pro de compra única é processado inteiramente pela App Store. Nunca recebemos números de cartão nem dados de faturação. A aplicação verifica a compra com o StoreKit no dispositivo.
• Game Center. Se tiver sessão iniciada, a sua pontuação na tabela de classificação, duas conquistas e uma cópia guardada do seu progresso ficam à guarda da Apple, segundo as práticas de segurança e privacidade da própria Apple.

5. Este site

O site corre em Cloudflare Workers. Cada pedido é servido por HTTPS/TLS e passa pela rede da Cloudflare. O formulário de contacto é protegido pelo Cloudflare Turnstile e os seus dados são validados antes de qualquer envio. As credenciais usadas pelo site são guardadas como segredos de ambiente e nunca aparecem no código do lado do cliente nem neste repositório.

6. Resposta a incidentes

Se ocorrer um incidente de segurança, iremos: contê-lo; investigar o seu alcance, a sua causa e o que foi afetado; notificar as pessoas afetadas e as autoridades competentes no prazo de 72 horas quando a lei o exigir; corrigir a causa; e publicar o que alterámos.

7. Divulgação responsável

Se encontrar uma vulnerabilidade na aplicação ou neste site, comunique-a para contact@guseapp.com com o assunto «Security Vulnerability». Inclua os passos para a reproduzir, dê-nos um prazo razoável para a corrigir antes de a divulgar publicamente e não avance dentro de um sistema para além do necessário para demonstrar o problema. Procuramos acusar a receção em 24 horas e damos crédito a quem o pretenda.

8. Contacto

• Comunicações de segurança: contact@guseapp.com (assunto: «Security»)
• Objetivo de resposta: em 24 horas