Política de Privacidade

Quem é o responsável

O DEIV Intelligence (“DEIV”) é uma ferramenta web independente para jogadores do jogo de navegador Sim Companies. A pessoa ou organização que mantém o DEIV (o “operador”) é responsável pelo tratamento descrito nesta política (o “controlador”, quando a legislação de proteção de dados usa esse termo).

O operador é David S.

País de residência ou de estabelecimento

PENDENTE: a ser fornecido pelo operador

Pedidos de privacidade: use o formulário da página de Contato (tipo “Pedido de privacidade”) ou escreva para billbuffett no Discord.

Como o DEIV é feito: seus dados ficam com você

O DEIV não tem contas de usuário. Os visitantes entram com o mesmo código de acesso compartilhado; o operador entra na mesma tela com uma credencial separada, e o servidor distingue as duas. O DEIV nunca pede seu nome, endereço de e-mail, telefone ou qualquer outra identidade real.

A empresa que você informa, seus edifícios, os arquivos contábeis importados, as decisões, os cenários, os alertas, as notas e as configurações são salvos no armazenamento do seu navegador (IndexedDB) ou, se você preferir, apenas na memória da aba atual. Quando você abre o DEIV em uma aba, seu navegador envia uma cópia desse espaço de trabalho ao servidor para que ele possa calcular seus resultados. O servidor mantém essa cópia apenas na memória: não grava os dados da sua empresa em disco nem no banco de dados, e normalmente também não nos registros (veja “Registros de erros” abaixo). Quando você sai da conta, a cópia é excluída.

Quais dados são tratados e por quê

Quando você visita e entra

• Dados de rede. Como em qualquer site, o servidor e o provedor de hospedagem recebem seu endereço IP e as informações comuns de cada requisição, como o agente de usuário do navegador e a página solicitada, para entregar as páginas. O código do DEIV nunca grava um endereço IP em disco: os únicos dados derivados de endereços que ele guarda são os hashes com chave descritos na proteção do login.
• Proteção do login. Para dificultar tentativas de adivinhar a senha, o servidor mantém na memória um registro das tentativas de login malsucedidas por endereço IP do cliente (ou por navegador conhecido, veja abaixo). Também mantém uma lista dos clientes que entraram com sucesso recentemente, para que ataques de outras pessoas não possam bloqueá-los: essa lista é gravada no disco do servidor como hashes com chave dos endereços, nunca os próprios endereços, para que uma reinicialização não a apague. Cada entrada vale por no máximo 30 dias e depois é ignorada; ela sai do arquivo quando entradas mais novas a substituem (a lista guarda no máximo 1024 entradas) ou na primeira vez que o arquivo é regravado após uma reinicialização do servidor. Para manter o serviço disponível, o servidor também limita, na memória, com que frequência cada endereço de rede e cada sessão podem enviar uma cópia de um espaço de trabalho, e com que frequência cada endereço de rede pode pedir um preço do jogo em tempo real. Exceto essa lista, esses registros ficam apenas na memória e desaparecem quando o servidor reinicia.
• Cookie de sessão. Depois que você informa o código de acesso, o DEIV cria um cookie (deiv_session) que contém o horário do login, um valor aleatório e uma assinatura. Ele não contém nome, endereço de e-mail, endereço IP nem dados da empresa. Quando você sai da conta, o servidor grava no disco um hash desse cookie (nunca o próprio cookie), para que uma cópia dele não possa mais ser usada. Depois do momento em que o cookie expiraria, o hash é ignorado; ele só é apagado do disco quando esse arquivo passa de 4 MB e é compactado.
• Cookie de navegador conhecido. Um login bem-sucedido também cria um cookie (deiv_device) que contém o horário em que foi emitido, um identificador aleatório, uma marca de uma letra que indica como foi obtido (com o código de acesso ou com o token secreto do operador) e uma assinatura. Sozinho, ele não faz o seu login. Permite que a proteção do login reconheça este navegador por 30 dias, para que tentativas malsucedidas de outras pessoas não bloqueiem você.
• Eventos de segurança. Logins malsucedidos ou retardados e requisições recusadas ficam guardados para o operador em uma lista curta na memória, com uma etiqueta pseudônima no lugar do seu endereço IP. Eles desaparecem quando o servidor reinicia.

Quando você usa o DEIV

• Seu espaço de trabalho: os dados do jogo que você informa ou importa, como o nome da empresa, edifícios, exportações contábeis, decisões, cenários, alertas, notas e lotes de chat salvos. São dados pseudônimos do jogo. As exportações contábeis podem conter nomes de outras empresas do jogo com as quais você negociou. Eles são usados apenas para calcular os resultados que você pede. O espaço de trabalho do próprio operador fica guardado no servidor do DEIV, e não em um navegador, para que o operador encontre a mesma empresa em todos os dispositivos.
• Resultados temporários. Enquanto você trabalha, o servidor mantém na memória, por pouco tempo, resultados derivados dos seus dados (por exemplo, as respostas são reaproveitadas por cerca de 20 segundos). Os cálculos concluídos são excluídos junto com a cópia do seu espaço de trabalho no servidor; alguns resultados intermediários em cache podem permanecer na memória até serem substituídos ou até o servidor reiniciar.
• Chat colado. Se você colar o chat do jogo, o servidor substitui os nomes dos jogadores por um pseudônimo com chave (um hash gerado com uma chave guardada no servidor, a mesma para todos os visitantes) antes de guardar qualquer coisa; assim, os nomes ficam pseudonimizados, não anonimizados. O texto colado em si não é guardado. Se você escolher “Analyze and save”, as ofertas reconhecidas são salvas como um lote no seu espaço de trabalho até você apagá-lo: cada linha sem os nomes dos jogadores e com as @menções ocultas, o pseudônimo com chave do seu autor e o nome da sala que você digitou. No caso do operador, esses lotes são salvos no espaço de trabalho dele no servidor do DEIV.

Contagens de uso anônimas

• A cada dia, o servidor conta o número de sessões distintas, quais telas foram abertas, quantas requisições cada parte do DEIV recebeu e quantos erros do servidor ocorreram. Para contar sessões distintas, ele gera um hash do cookie de sessão com uma chave aleatória que existe apenas naquele dia. A chave e os hashes ficam só na memória do servidor, para que a mesma sessão não seja contada duas vezes, e nunca são gravados em disco; são substituídos na primeira contagem do dia seguinte (UTC) ou se perdem quando o servidor reinicia.
• Somente totais diários são armazenados: data, medida, nome da tela ou da área e contagem. Não é armazenado nenhum endereço IP, agente de usuário, valor de cookie, dado de empresa nem horário mais preciso do que o dia. Os totais são mantidos por 90 dias. As visitas do próprio operador não são contadas.
• Você pode desativar isso: veja “Suas escolhas” abaixo.

Registros de erros

• Avisos e erros técnicos são gravados no registro do servidor, que o provedor de hospedagem coleta. Normalmente eles não contêm dados pessoais. Em casos raros, por exemplo quando um arquivo contábil não pode ser lido, o nome de arquivo que você escolheu pode aparecer no registro.

Quando você pede acesso a uma ferramenta do Otimizador de empresa

• Identificador de acesso. Se você pedir acesso a Melhor empresa, Planejador de metas ou Otimizar minha empresa, o DEIV cria o cookie do identificador de acesso (__Host-deiv_vid), que contém um identificador aleatório, um contador de renovação e uma assinatura. O servidor guarda só um hash do identificador, um apelido público curto (como V-AB12-CD34) e o seu estado, nunca o cookie. Ele só é criado com o seu primeiro pedido.
• O seu pedido: a ferramenta que você pediu e, só se decidir preenchê-los, um nome de empresa, um contato e uma mensagem, limpos de caracteres ocultos (o DEIV recusa qualquer coisa que pareça uma senha ou um token). O operador os lê para decidir. São excluídos 180 dias depois que o pedido é encerrado, a menos que uma execução autorizada que ele concedeu ainda não tenha sido usada; um pedido que ninguém decide expira após 30 dias.
• Execuções autorizadas e comprovantes: as execuções que o operador autorizou, quando cada uma foi usada e como terminou. De um resultado entregue, o servidor armazena só um comprovante — o hash SHA-256 e o tamanho do que você recebeu e se foi parcial —, nunca o próprio resultado nem os dados da sua empresa. O resultado fica só na memória do servidor, para que você possa abri-lo de novo por até 7 dias; perde-se antes se o servidor reiniciar ou precisar da memória. O seu navegador guarda a sua própria cópia de cada resultado entregue em “Suas execuções”, conferida com o seu comprovante, até você removê-la; essa cópia não é enviada ao servidor.
• As decisões e notas do operador e o histórico de eventos de acesso são guardados por 365 dias; as contagens diárias de tentativas recusadas, por 90 dias. Um identificador de acesso que não é visto por 180 dias é apagado com tudo o que está ligado a ele; um bloqueado mantém um registro mínimo por 365 dias, a menos que você exclua os seus dados de acesso. “Excluir meus dados de acesso” em Meu acesso apaga tudo de uma vez; um identificador de acesso não pode ser recuperado em outro navegador ou dispositivo.

Quando você escreve ao operador

• O formulário de contato guarda o tipo de pedido, a sua mensagem, a forma de resposta que você escolheu (o seu nome de usuário no Discord ou um endereço de e-mail, só se você informar um), o idioma da página e quando a mensagem foi recebida, lida e tratada. Não guarda endereço IP, dados do navegador nem sessão: o limite de quantas mensagens um endereço de rede pode enviar fica só na memória do servidor.
• Só o operador lê a sua mensagem, na administração do DEIV. Ela não é encaminhada a nenhum bot, serviço de e-mail ou outro fornecedor. Quando o operador a marca como tratada, ela é excluída automaticamente 90 dias depois.

Cookies e armazenamento local lista todos os cookies e itens de armazenamento.

Dados públicos do jogo sobre outros jogadores

Para mostrar rankings, o histórico do valor das empresas e o jornal do jogo, o servidor do DEIV coleta dados públicos sobre empresas da Sim Companies, inclusive de jogadores que não usam o DEIV. Esses dados não vêm de você, e o DEIV não os solicita a esses jogadores. Além disso, os dados da própria empresa do operador, que o DEIV guarda no seu servidor, podem conter dados sobre outros jogadores: os nomes de empresas do jogo nas exportações contábeis que o operador importa e os pseudônimos com chave dos autores das ofertas de chat que o operador salva.

• Fontes: o ranking público publicado pela SimcoTools, lido uma vez por dia (as 1000 primeiras empresas e as empresas a até 150 posições da empresa do operador); também da SimcoTools, o perfil público e o histórico de valor da própria empresa do operador, e o histórico de valor (valor e posição por data) de até 25 empresas que o operador acompanha, no máximo 10 delas por dia; e o jornal publicado pela Sim Companies. Também da SimcoTools, no máximo a cada 14 dias, as páginas da lista de empresas que contêm as empresas que o DEIV exibe, lidas apenas para os logotipos; e cada uma dessas imagens de logotipo, baixada uma única vez do servidor de imagens do jogo.
• Dados: nomes e identificadores de empresas do jogo, posições e mudanças de posição, valores das empresas e suas variações, valores de edifícios e patentes, número de trabalhadores, títulos vendidos e se uma empresa foi excluída; nas empresas acompanhadas, seu valor e sua posição por data; somente na própria empresa do operador, também o país, o nível e o registro completo do perfil público; nos artigos do jornal, o nome da empresa autora, o título e um trecho. Dos logotipos, o DEIV guarda o endereço web que a SimcoTools informa para o logotipo das empresas que exibe e uma cópia de cada imagem; as cópias que nenhuma empresa usa mais são apagadas na verificação seguinte. São identidades de jogo escolhidas pelos jogadores, não nomes reais, mas uma empresa pode estar relacionada a uma pessoa. Nos dados da própria empresa do operador: os nomes de empresas do jogo com as quais negociou, nas exportações contábeis importadas, e os pseudônimos com chave dos autores do chat, nos lotes de chat salvos.
• Finalidade e base legal: mostrar no DEIV rankings e notícias públicas do jogo, com base no interesse legítimo em oferecer uma ferramenta de análise para o jogo. Essa avaliação ainda depende de revisão jurídica.
• Quem recebe: os dados são armazenados no servidor do DEIV no seu provedor de hospedagem, a Railway (veja abaixo), e exibidos nas telas do DEIV; os dados da própria empresa do operador são exibidos somente ao operador. Não são vendidos nem repassados a mais ninguém.
• Conservação: atualmente esses dados, incluindo os da própria empresa do operador, são mantidos sem limite de tempo; um limite ainda precisa ser definido (veja abaixo).

Se você administra uma empresa na Sim Companies e quer que os dados dela sejam removidos do DEIV, ou se opõe a esse tratamento, pode pedir ao operador.

Para pedir a remoção ou se opor, use o formulário da página de Contato (tipo “Remoção de dados”) ou escreva para billbuffett no Discord.

Prazo de conservação desses dados e como os pedidos de remoção são tratados

PENDENTE: a ser fornecido pelo operador

Bases legais

Quando se aplica o Regulamento Geral sobre a Proteção de Dados (RGPD/GDPR) da UE ou do Reino Unido, ou uma lei semelhante como a LGPD do Brasil, o DEIV se baseia nas bases legais a seguir. Esta avaliação está pendente de revisão jurídica.

• Prestar o serviço que você solicita (entregar as páginas, fazer seu login, calcular seus resultados e guardar seu trabalho no navegador): o interesse legítimo em oferecer uma ferramenta que você escolheu usar (art. 6(1)(f) do GDPR). O cookie de login, o armazenamento do seu espaço de trabalho e suas preferências são estritamente necessários para esse serviço; a página de cookies descreve os demais itens e sua classificação.
• Segurança e prevenção de abusos (proteção do login, o cookie de navegador conhecido, a lista de sessões encerradas e os eventos de segurança): o interesse legítimo em proteger o DEIV e seus usuários.
• Contagens de uso anônimas: o interesse legítimo em saber quais partes do DEIV são usadas e se ele funciona, com uma forma simples de se opor.

O DEIV não usa seus dados para publicidade, criação de perfis ou decisões automatizadas sobre você. Não vende nem compartilha dados pessoais e não faz rastreamento entre sites.

Para usar o DEIV, você só precisa informar o código de acesso, necessário para entrar, e seus dados de rede, necessários para entregar as páginas. Tudo o mais que você informa é opcional; sem isso, o DEIV não consegue calcular os resultados que dependem desses dados.

Os pedidos de acesso, as execuções autorizadas e os seus comprovantes baseiam-se no interesse legítimo em repartir com justiça um serviço limitado e gratuito e em evitar abusos, e nas etapas que você pede ao solicitar acesso; as mensagens de contato baseiam-se no interesse legítimo em responder a você e, quando a lei exige, em tratar os seus pedidos de proteção de dados. Esta avaliação está pendente de revisão jurídica.

Onde os dados são tratados

O DEIV funciona na Railway, uma plataforma de hospedagem operada pela Railway Corporation (Estados Unidos). A Railway processa todo o tráfego do DEIV e armazena os arquivos do servidor do DEIV. Segundo o acordo de tratamento de dados da Railway, o tratamento ocorre principalmente nos Estados Unidos, e as transferências a partir da UE, do Reino Unido ou da Suíça se baseiam no Quadro de Privacidade de Dados UE-EUA quando a Railway é certificada nele e, caso contrário, nas cláusulas contratuais-padrão da Comissão Europeia, com os complementos para o Reino Unido e a Suíça. O acordo de tratamento de dados da Railway, que descreve essas salvaguardas, pode ser lido em railway.com/legal/dpa.

Região da Railway usada pelo DEIV e confirmação de que o acordo de tratamento de dados da Railway está em vigor

PENDENTE: a ser fornecido pelo operador

Seu espaço de trabalho e suas preferências ficam armazenados no seu próprio navegador.

Quem recebe dados

• Railway (provedor de hospedagem, que trata os dados em nome do operador): todas as requisições, incluindo endereços IP e detalhes das requisições na borda da sua rede, a cópia temporária do seu espaço de trabalho na memória do servidor enquanto você usa o DEIV, os arquivos do servidor e os registros. A Railway usa seus próprios suboperadores: seu acordo de tratamento de dados informa que sua infraestrutura roda no Google Cloud Platform, e sua lista publicada de suboperadores (trust.railway.com/item/subprocessors) cita Cloudflare, Fathom Analytics, Causal, Customer.io e Stripe, sem indicar suas finalidades.
• Nenhum outro site: as páginas do DEIV não carregam nada de outros sites, então, enquanto você usa o DEIV, seu navegador não envia nada a mais ninguém, a menos que você siga um link para outro site. Os logotipos das empresas são cópias servidas pelo próprio DEIV: quando os dados da SimcoTools atribuem um logotipo a uma empresa, só o servidor do DEIV contata o servidor de imagens do jogo, uma vez por imagem, nunca o seu navegador. Uma empresa sem logotipo exibe iniciais desenhadas no seu navegador.
• Sim Companies e SimcoTools (fontes de dados públicos): o servidor do DEIV lê deles dados públicos de mercado, da enciclopédia, do jornal e de rankings. Essas requisições partem do servidor, não levam cookies e não contêm nada sobre você. Abrir a página de mercado de um produto pode fazer o servidor solicitar o histórico público de preços desse produto; somente o número do produto e a qualidade são enviados.
• O próprio DEIV não usa nenhum outro fornecedor: não tem fornecedores de publicidade, análise, e-mail, pagamentos ou atendimento ao cliente.

Por quanto tempo os dados são mantidos

• Cookie de login: até 24 horas, ou até você sair da conta. O servidor também recusa sessões com mais de 24 horas.
• Sessões encerradas: um hash do cookie, no disco do servidor. Ele é verificado até o momento em que o cookie expiraria (24 horas e 5 minutos após o login) e depois é ignorado; os hashes expirados só são apagados do disco quando o arquivo passa de 4 MB e é compactado.
• Cookie de navegador conhecido: 30 dias após o seu último login bem-sucedido; sair da conta não o remove.
• Seu espaço de trabalho no navegador: até você removê-lo (Local Data & Backup › Remove) ou apagar os dados deste site no navegador. Sair da conta o mantém de propósito.
• Cópia temporária no servidor: excluída quando você sai da conta, ou 30 minutos após a sua última requisição, ou antes, se o servidor precisar da memória ou reiniciar.
• Resultados temporários no servidor: os cálculos concluídos são excluídos com a cópia temporária; os resultados intermediários em cache permanecem na memória até serem substituídos por resultados mais recentes ou até o servidor reiniciar.
• Proteção do login e eventos de segurança: apenas na memória, até serem substituídos ou até o servidor reiniciar, exceto a lista de clientes que entraram com sucesso recentemente, que é gravada no disco como hashes com chave. Cada entrada vale por no máximo 30 dias e depois é ignorada; ela sai do arquivo quando entradas mais novas a substituem (a lista guarda no máximo 1024 entradas) ou na primeira vez que o arquivo é regravado após uma reinicialização do servidor.
• Totais diários anônimos: 90 dias. A chave e os hashes usados para contar sessões distintas: apenas na memória, até a primeira contagem do dia seguinte (UTC) ou uma reinicialização.
• Dados públicos do jogo sobre outros jogadores: atualmente sem limite de tempo (veja “Dados públicos do jogo sobre outros jogadores”).
• Registros do servidor: mantidos pelo provedor de hospedagem pelo prazo de retenção de registros do plano contratado.

Prazo de retenção de registros do plano de hospedagem utilizado

PENDENTE: a ser fornecido pelo operador

• Backups que você baixa: no seu dispositivo, sob o seu controle.
• Dados da própria empresa do operador no servidor do DEIV, que podem conter dados sobre outros jogadores (veja “Dados públicos do jogo sobre outros jogadores”): atualmente sem limite de tempo; os backups do estado do servidor que o operador faz os incluem.
• Dados de acesso (só se você pediu acesso a uma ferramenta do Otimizador de empresa): os textos do pedido até 180 dias depois do encerramento; decisões, notas e eventos de acesso, 365 dias; contagens diárias de tentativas recusadas, 90 dias; um identificador de acesso que não é visto por 180 dias é apagado com tudo o que está ligado a ele (um bloqueado mantém um registro mínimo por 365 dias). Os resultados entregues não são guardados no servidor, só os seus comprovantes; a cópia no seu navegador fica até você removê-la.
• Mensagens de contato: até o operador tratá-las e, depois, 90 dias.

Seus direitos e como exercê-los

Dependendo de onde você mora, você pode ter o direito de acessar, corrigir, excluir ou receber uma cópia dos seus dados pessoais, de se opor ao tratamento baseado em interesses legítimos e de limitar o tratamento. O DEIV não tem contas e o servidor não mantém nenhum registro que ligue o seu espaço de trabalho ou a sua atividade a você (os únicos dados derivados de endereços no disco dele são os hashes com chave usados na proteção do login), então o operador não consegue localizar “os seus” dados no servidor. Por isso, a maioria dos direitos é exercida diretamente no aplicativo:

• Acesso e portabilidade: Local Data & Backup baixa uma cópia completa do seu espaço de trabalho em um arquivo que você pode restaurar em qualquer navegador.
• Correção: edite seus dados diretamente no DEIV.
• Exclusão: Local Data & Backup › Remove exclui o espaço de trabalho guardado no seu navegador. Ainda não remove as últimas entradas de algumas calculadoras e ferramentas, suas preferências de exibição nem a cópia offline dos arquivos do DEIV; para remover tudo, apague também os dados deste site nas configurações do navegador. A cópia temporária no servidor é excluída quando você sai da conta, ou sozinha 30 minutos após a sua última requisição. Se você pediu acesso a uma ferramenta do Otimizador de empresa, “Excluir meus dados de acesso” em Meu acesso apaga os seus dados de acesso de uma vez.
• Oposição às contagens de uso: use “Não contar minhas visitas” em “Suas escolhas”.
• Dispositivos compartilhados: sair da conta mantém seu espaço de trabalho e suas entradas das ferramentas neste navegador. Em um dispositivo usado por outras pessoas, remova seus dados e apague os dados deste site antes de sair.

Você também pode falar com o operador (veja Contato). Se achar que seus direitos de proteção de dados não foram respeitados e se aplicar uma lei de proteção de dados como o RGPD/GDPR, você pode reclamar a uma autoridade de proteção de dados, por exemplo a do lugar onde mora ou trabalha.

Suas escolhas

Não contar minhas visitas: você pode pedir ao DEIV que deixe suas visitas fora dos totais diários anônimos. O DEIV então cria um pequeno cookie que lembra essa escolha. O DEIV trata o sinal Global Privacy Control ou Do Not Track do seu navegador como o mesmo pedido.

Modo somente sessão: na introdução ou em Local Data & Backup, você pode escolher manter seu trabalho apenas na aba atual em vez de neste navegador.

Crianças

O DEIV não foi pensado para crianças e não coleta intencionalmente dados pessoais de crianças. Não pede idade, nome nem dados de contato. Para jogar o jogo, valem os termos da própria Sim Companies.

Idade mínima para usar o DEIV, se houver

PENDENTE: a ser fornecido pelo operador

Segurança

Dados e segurança descreve as medidas adotadas e seus limites.

Alterações desta política

Esta política é atualizada quando o DEIV muda a forma como trata os dados. A versão e a data no topo da página identificam o texto em vigor.

Contato

Contato e aviso legal explica como falar com o operador.