Política de segurança

Criptografia em trânsito

O tráfego entre a aplicação e o Supabase, a função de servidor de IA e os serviços de publicidade do Google usa HTTPS/TLS. A aplicação não permite tráfego HTTP não encriptado.

Criptografia em repouso

O Supabase encripta o armazenamento da base de dados. Os salvamentos do jogo permanecem no armazenamento privado da aplicação no seu dispositivo.

Controle de acesso

A Row Level Security (RLS) está ativa em todas as tabelas do Supabase, por isso a chave pública só pode fazer o que as regras permitem, como adicionar eventos de análise e ler conteúdo compartilhado. A chave de service-role nunca é incluída na aplicação.

Gestão de segredos

A chave da API da OpenAI é um segredo do lado do servidor da Edge Function do Supabase e não está incorporada na aplicação.

Prevenção de abusos

A função de IA limita o número de pedidos por cliente e encaminha apenas a mensagem atual e até seis mensagens recentes.

Privilégio mínimo

Os direitos de administrador estão limitados a dois desenvolvedores. O Supabase, a Google Play Console, o AdMob e a OpenAI usam verificação em duas etapas.

Dependências e lançamentos

Atualizamos regularmente os SDKs e as bibliotecas e analisamos os avisos de segurança antes de cada lançamento. A aplicação é assinada com o Play App Signing.

Salvaguardas do assistente de IA

• Antes do primeiro uso, os jogadores são informados de que as suas mensagens são enviadas à OpenAI e são alertados para não partilhar informações pessoais.
• Os jogadores podem denunciar respostas de IA ofensivas ou prejudiciais a partir da tela de chat.
• As conversas não são guardadas na nossa base de dados, os registos do nosso servidor não guardam o texto das mensagens, e não usamos as conversas para treinar os nossos próprios modelos.

Violações de dados pessoais

Se descobrirmos uma violação de dados pessoais, nós a contemos, avaliamos o risco e, quando exigido, notificamos a autoridade de proteção de dados no prazo de 72 horas. Quando o risco para os jogadores afetados for elevado, informamo-los sem demora injustificada (artigos 33.º e 34.º do RGPD). Mantemos um registo interno de incidentes.

Como comunicar um problema de segurança

Se encontrar um problema de segurança, envie os detalhes para contact@arojentarinat.com. Por favor, dê-nos um prazo razoável para corrigir o problema antes de o publicar. Confirmamos a receção das comunicações no prazo de 5 dias úteis, e não tomaremos medidas contra investigações realizadas de boa-fé.