Versão 1.0 — vigente a partir de 27/10/2026
Política de Privacidade do BombStats
Controlador dos dados: VIECELI DESENVOLVIMENTO DE SISTEMAS LTDA — CNPJ 41.270.073/0001-80 Encarregado (DPO) e canal de privacidade: o próprio responsável, pelo contato@bombstats.com Foro: Blumenau/SC
Esta política explica, em linguagem simples, quais dados o BombStats guarda, para quê, com quem divide, por quanto tempo e como você pode pedir para ver ou apagar. Ela segue a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD) e o Marco Civil da Internet (Lei 12.965/2014).
Sobre o encarregado: o BombStats é um agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022). Por isso não há um encarregado separado: o próprio responsável atende os pedidos e as dúvidas sobre dados pelo contato@bombstats.com.
1. O que NÃO coletamos
- Chave privada das carteiras, frase de recuperação e senha do jogo: ficam num cofre cifrado no seu aparelho (computador ou sua VPS). Elas não vão para os servidores do BombStats, nem para o túnel do acesso remoto, nem para o processo do farm.
- Senha do painel da VPS: fica na sua VPS.
- Número do cartão e dados bancários: são digitados na página do Stripe; o BombStats não vê nem guarda.
- O token da sua conta usado pelo app fica cifrado no aparelho e não é mostrado nem para a própria tela.
- E-mail, foto (avatar) e servidores do Discord: o login pelo Discord só pede permissão para saber quem você é.
2. O que coletamos
2.1 Conta BombStats
- E-mail (se entrar por e-mail) e a senha guardada só como hash (scrypt), nunca em texto.
- Se entrar pelo Discord: o número de identificação (id) da sua conta do Discord e o nome que aparece nela (nome de exibição ou nome de usuário). Nada além disso.
- Se você vincular os cargos do Discord à sua vila: o id e o nome do Discord junto com a vila.
- Sessões e aparelhos conectados (nome do aparelho, versão do app, datas de uso), para você poder ver e encerrar os aparelhos.
- Datas de criação, confirmação de e-mail e último acesso.
2.2 Endereço de internet (IP) e registros de acesso
- Para limitar tentativas de cadastro e conexão de aparelhos, segurar abuso e aplicar banimentos, usamos o IP com hash (embaralhado com uma chave secreta).
- Separadamente, os registros de acesso guardam o IP completo, sem hash, a conta (quando identificada), a data e hora em UTC e o tipo de entrada: login, sessão da Vila pelo navegador ou conexão do app. Registramos a abertura da sessão ou conexão, no máximo uma vez por conta e IP a cada hora.
- Esses registros ficam por 6 meses (183 dias), em ambiente controlado e seguro, como manda o Marco Civil da Internet (art. 15). A limpeza diária apaga os que passaram desse prazo. Ao apagar a conta, retiramos o vínculo com ela; o IP, a data e o tipo de entrada ficam até o fim desse prazo. Eles não aparecem na tela nem no painel de administração. A consulta é restrita ao responsável pelo serviço, por comando no servidor, para atender ordem judicial; só são entregues a terceiros com essa ordem.
2.3 Vila
- Nome da vila, nomes anteriores, personagem, arranjo dos enfeites, progresso do jogo (XP, missões, ouro), itens, Depósito, Sala de exposição e lojas.
- Chat geral: guardamos as 500 mensagens mais recentes, com o nome e o personagem de quem falou (as mais velhas são apagadas sozinhas). Serve para moderação e denúncias.
- Chat dentro das vilas e salas: não é guardado. A mensagem passa pelo servidor e é esquecida. A única exceção: as últimas 50 mensagens de cada sala ficam só na memória por 10 minutos, para que uma denúncia leve a prova junto. Quando alguém denuncia, o trecho denunciado fica guardado com a denúncia.
- Bilhetes deixados na porta de outras vilas.
- Visitas entre vilas.
2.4 Economia, trocas e compras
- Livro de movimentação de ouro, cristais e itens (cada entrada e saída, com o motivo), números de série dos itens e o histórico deles.
- Histórico de trocas (com quem, o que deu e o que recebeu) e de vendas nas lojas.
- Pedidos de compra de cristais: pacote, valor, forma de pagamento (cartão ou PIX), situação e os identificadores do Stripe. Os dados de pagamento ficam com o Stripe.
2.5 Dados do farm que passam pelo servidor
- Quando você usa o farm pela Vila web,
/painel, MCP ou overlays, os pedidos passam pelo túnel do BombStats até o seu aparelho. O túnel só repassa: não grava o conteúdo dos pedidos nem das respostas. Ele guarda apenas a quantidade de dados usada por dia (para os limites de uso) e anota quando um túnel abre e fecha (vila, instalação e versão do app). - O servidor registra qual instalação está ligada à conta e a versão do app dela, e qual instalação está farmando no momento.
2.6 Sinal de vida do app (estatísticas)
- O app manda, a cada 2 minutos, um sinal para o nosso servidor (o mesmo da Vila, na Linode em São Paulo; nenhum outro serviço recebe) com: id aleatório da instalação, versão, sistema operacional, os endereços das carteiras cadastradas e o stake de BCOIN/SEN de cada uma, e contagem de uso das telas.
- Guardamos só o último sinal de cada instalação. Instalação que fica 30 dias sem mandar sinal some do banco, com as carteiras e a contagem de uso.
- Endereços de carteira são públicos na blockchain, mas a ligação "estas carteiras estão no mesmo aparelho" não é. Por isso esses dados só são vistos pela equipe (painel com senha e segundo fator) e só para estatística de uso (quantas instalações, versões e contas ativas).
- Relatório de erro: quando o app dá um erro, ele manda ao nosso servidor a mensagem do erro, a versão, o sistema e o começo do id da instalação. Antes de sair do aparelho (e de novo no servidor) apagamos chave, frase de recuperação, carteira, e-mail, senha, token e o nome de usuário do computador. O servidor repassa o erro a um canal privado da equipe no Discord.
- Caçador (Market Hunter): cada compra e envio de comissão vira um aviso num canal privado da equipe no Discord, com o item, o preço, a rede e a carteira compradora (para conferir a comissão de 5%). Passa pelo nosso servidor.
- Auditoria: a leitura da blockchain pela tela de Auditoria passa pelo nosso servidor (que consulta o Etherscan). Só vão endereços públicos de contratos do jogo, nada seu. Se você puser a sua própria chave do Etherscan, a leitura vai direto do seu aparelho.
2.7 Telegram e Discord (opcionais)
- Se você ligar o Telegram, as mensagens vão do seu aparelho para o seu bot do Telegram; o BombStats não guarda essas mensagens.
- A presença no Discord e os cargos vinculados consultam o seu farm pelo túnel para mostrar seus números no Discord.
3. Para que usamos (e a base legal)
| Para quê | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter sua conta, login, aparelhos, Vila, trocas e lojas | Execução de contrato |
| Vender cristais e cumprir o que foi comprado | Execução de contrato |
| Guardar registros de compras e movimentação pelo prazo da lei | Cumprimento de obrigação legal e defesa em processo |
| Guardar registros de acesso por 6 meses (Marco Civil, art. 15) | Cumprimento de obrigação legal |
| Segurança: limitar tentativas, evitar fraude, golpe e estorno indevido, banir | Legítimo interesse |
| Conferência da economia (achar duplicação ou adulteração) | Legítimo interesse |
| Estatísticas de uso do app (sinal de vida, item 2.6) | Legítimo interesse |
| E-mails da conta (confirmar e-mail, trocar senha, avisos de segurança e de mudança nestes textos) | Execução de contrato |
Não vendemos seus dados e não usamos para propaganda de terceiros.
4. Com quem dividimos (operadores)
| Serviço | Para quê | País |
|---|---|---|
| Linode (Akamai) | Servidor onde ficam o hub da Vila, as contas, o banco de dados, o sinal de vida do app (item 2.6) e as cópias de segurança | Brasil (São Paulo) |
| Stripe | Pagamento dos cristais (cartão e PIX) | EUA |
| Resend | Envio dos e-mails da conta | EUA |
| Cloudflare | DNS do domínio e armazenamento (R2) dos pacotes de atualização do app | EUA |
| Discord | Login com Discord, cargos vinculados, presença; canal privado da equipe com os relatórios de erro e os avisos do Caçador (item 2.6) | EUA |
| Etherscan | Leitura da blockchain para a tela de Auditoria (só endereços públicos de contratos; item 2.6) | EUA |
| GitHub | Download do app e das atualizações | EUA |
Também podemos entregar dados a autoridades quando a lei ou uma ordem judicial exigir.
Transferência para fora do Brasil (LGPD, art. 33)
Os dados da conta e da Vila ficam no Brasil. Alguns operadores ficam fora do Brasil (principalmente nos EUA). Essa transferência é feita para executar o serviço que você pediu e só com operadores que oferecem garantias de proteção de dados por meio de cláusulas contratuais padrão e garantias próprias previstas nos seus contratos de tratamento de dados.
5. Por quanto tempo guardamos
| Dado | Tempo |
|---|---|
| Conta, vila e jogo | Enquanto a conta estiver ativa. Ao apagar a conta, somem em até 30 dias (inclusive das cópias de segurança) |
| Chat geral | Só as 500 mensagens mais recentes |
| Chat dentro das vilas e salas | Não é guardado (10 minutos na memória, para denúncias) |
| Denúncias (com o trecho denunciado) | Até 90 dias depois de resolvidas |
| Bilhetes e visitas | 30 dias |
| Registros de acesso (IP, data e hora) | 6 meses (Marco Civil, art. 15) |
| IP com hash de tentativas de cadastro | 2 dias |
| Banimentos (com o IP em hash, quando houver) | Até o fim do banimento |
| Registros de compras e da movimentação de cristais | 5 anos (obrigação fiscal e defesa em processo). Depois de apagar a conta, as linhas da movimentação ficam sem dono (não apontam mais para você) |
| Quantidade de dados usada no túnel | Cerca de 13 meses |
| Sinal de vida do app (item 2.6) | Só o último sinal; some 30 dias depois do último sinal da instalação |
| Cópias de segurança do banco | 30 dias |
6. Apagar a conta
Na página da conta (vila.bombstats.com/conta) existe "Apagar a minha conta". Isso apaga a conta, os jeitos de entrar e a vila (personagem, enfeites e jogo). Tudo some em até 30 dias, com as exceções do item 5 (registros de acesso por 6 meses e registros de compra por 5 anos). Na movimentação de ouro, cristais e itens, as linhas continuam existindo para a conferência da economia, mas sem dono. O farm no seu computador não é afetado. Não dá para desfazer.
7. Seus direitos (LGPD, art. 18)
Você pode pedir a qualquer momento:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados errados;
- apagamento, anonimização ou bloqueio de dados desnecessários;
- cópia dos seus dados (portabilidade): enquanto não há um botão para baixar, enviamos por e-mail, num arquivo fácil de ler;
- informação sobre com quem dividimos;
- revisão de decisões automáticas (por exemplo, conta congelada pela conferência da economia);
- oposição ao tratamento feito por legítimo interesse.
Como pedir: escreva para contato@bombstats.com usando o e-mail da conta (ou, se entra pelo Discord, informe o nome da sua vila; podemos pedir uma confirmação para ter certeza de que é você). Respondemos em até 15 dias (LGPD, art. 19, II). Você também pode reclamar na ANPD (www.gov.br/anpd).
8. Segurança
Senhas com hash, IP com hash para combater abuso e registro legal de IP com acesso restrito (item 2.2), chave privada só no seu aparelho, cofre cifrado, conexões com HTTPS, limites de tentativas, links de e-mail de uso único e "sair de todos os aparelhos" ao trocar a senha. Nenhum sistema é 100% seguro; se houver um incidente que possa causar risco a você, avisaremos e comunicaremos a ANPD como manda a lei.
9. Menores de idade
O BombStats é só para quem tem 18 anos ou mais. Se soubermos que uma conta é de alguém com menos de 18 anos, ela será encerrada e os dados apagados, salvo o que a lei manda guardar.
10. Mudanças nesta política
- Podemos atualizar esta política. Mudanças relevantes (dado novo coletado, uso novo, operador novo ou prazo maior) são avisadas no app e na Vila e por e-mail, com pelo menos 15 dias de antecedência. Quem entra só pelo Discord recebe o aviso no app e na Vila.
- Continuar usando o BombStats depois que a mudança passar a valer significa aceitar a nova versão.
- Se não concordar, você pode parar de usar e apagar a sua conta na página da conta.
Histórico de versões
| Versão | Vigente a partir de | O que mudou |
|---|---|---|
| 1.0 | 27/10/2026 | Primeira versão publicada. |