Exclusão de dados do Droppy

O Droppy não usa login. Não há conta, não há senha e o jogo nunca pede nome, e-mail, telefone ou documento. Por isso não existe “a sua conta” para apagar — existem três lugares diferentes, com coisas diferentes, e o caminho de cada um é outro:

A política de privacidade do Droppy descreve cada um desses conjuntos em detalhe. Esta página trata de como apagá-los.

O progresso do jogo fica no armazenamento local do aparelho: fases concluídas, melhor pontuação, moedas, saldo de vidas, troféus, fragmentos de água, personagens desbloqueados, o personagem equipado, as suas preferências de idioma, som e dificuldade, e os sinalizadores do que a loja já confirmou como comprado. Nada disso precisa de nós para ser apagado.

Há também um valor local que o jogo chama de vínculo para compra. Ele é derivado do identificador do perfil técnico e é enviado ao Google Play no momento de uma compra, para o recibo ser ligado ao perfil certo. Não é uma conta e não é um identificador pessoal: não há nome, e-mail nem senha nele. Ele é apagado junto com os outros dados locais pelas duas ações desta seção.

Limpar os dados do aplicativo

Em Configurações › Aplicativos › Droppy › Armazenamento, a opção Limpar dados (o nome exato varia com o fabricante) apaga tudo o que o jogo guardou no aparelho, sem desinstalar o jogo. O Droppy volta ao estado de instalação nova.

Desinstalar o jogo

Desinstalar remove o aplicativo e os dados dele do aparelho. Mas atenção: desinstalar não apaga a cópia que o Android já enviou para a sua conta Google (seção 3) e não apaga o que existe no nosso servidor (seção 4). É por isso que, ao reinstalar, o progresso às vezes volta sozinho.

As suas compras não são apagadas por nenhuma dessas duas ações: elas ficam na sua conta do Google Play, e os produtos não consumíveis voltam com Restaurar compras. Para reembolso, o caminho é o Google Play, como dizem os termos de uso.

O Droppy não desativa o backup automático do Android. O sistema, por conta própria, pode incluir os dados locais do jogo numa cópia guardada na conta Google do aparelho.

Essa cópia é sua e do Google, não nossa. Nós não temos acesso a ela, não a lemos e não recebemos cópia — logo não existe nada para pedir que apaguemos do nosso lado, e também não temos como apagá-la para você. Quem controla é você:

• para impedir novas cópias: desligue o backup em Configurações › Google › Backup, onde dá para desativar o backup deste aplicativo ou o backup como um todo;
• para apagar o que já foi guardado: exclua os dados de backup do aplicativo na sua conta Google, pelo aplicativo do Google One ou pelo Google Drive.

Os prazos e o funcionamento desse backup são do Google, e seguem as políticas dele.

Esta é a parte que depende de nós, e é o que esta página existe para explicar.

Ao iniciar, o jogo gera um identificador aleatório de instalação e pede um perfil técnico ao nosso servidor, por HTTPS. Isso acontece mesmo que você nunca compre nada. Não é login: o jogo não pede nome, e-mail, telefone nem senha, e o perfil não contém esses dados.

O servidor mantém um diário persistente, que registra as alterações sem apagar os registros anteriores. Nele há:

• identificadores de perfil;
• resumos criptográficos (hashes) do identificador de instalação, da credencial técnica e dos tokens de compra;
• o produto comprado, a situação do pagamento, as concessões, os vencimentos e as revogações.

O token de compra é processado durante a verificação, mas não é gravado em claro nesse diário.

Esses hashes não são dados anônimos. Um resumo criptográfico do mesmo identificador dá sempre o mesmo resultado, e é isso que permite reconhecer a mesma instalação de uma vez para outra — ou seja, permite correlação. Não os chamamos de anônimos, e você não deve lê-los como se fossem.

O progresso do jogo não vai para esse servidor: ele não recebe fases, moedas, vidas, troféus nem preferências. O que o servidor trata é o direito a produtos comprados.

O serviço não grava identificador de conta. Não há login, não há vínculo entre o perfil e uma conta sua, e o servidor não recebe nome, e-mail, telefone nem senha em momento nenhum.

O backup do servidor fica 14 dias

O nosso servidor tem backup, e esse backup é guardado por 14 dias. A consequência honesta: mesmo depois de um pedido atendido, uma cópia dos seus registros pode sobreviver nos backups por até 14 dias, até o snapshot mais antigo sair da janela.

Isso é um limite real, e preferimos declará-lo a omiti-lo. Ele não é um prazo de retenção do diário — o diário em si não tem prazo (seção 7) —, é o tempo que uma cópia de segurança leva para expirar.

Há dois caminhos, e eles não valem o mesmo.

• com o código do jogo — o caminho que recomendamos. O jogo emite um código de 10 caracteres em Configurações › Privacidade › Meus dados; você informa esse código no formulário do fim desta página (ou envia o pedido direto do próprio jogo, na mesma tela). O pedido é gravado em disco no nosso serviço antes de a resposta sair, e você recebe um protocolo para acompanhar. É o único caminho em que nós sabemos, sem perguntar nada a você, de qual perfil é o pedido;
• por e-mail — para quem não consegue gerar o código: escreva para droppy@hostcapixaba.com.br. A caixa está ativa e é acompanhada pelo titular. Esse caminho depende da verificação descrita na seção 6, e ela pode não ser possível.

Repetindo o aviso do alto desta página, porque importa: tocar naquele endereço abre o aplicativo de e-mail do seu aparelho. Isso não registra pedido no nosso sistema, não envia nada sozinho e não é exclusão concluída. O pedido por e-mail existe quando a mensagem chega, e o processo começa quando nós respondemos.

O que escrever, se for por e-mail

• diga que o pedido é de exclusão de dados do Droppy, e o que você quer que seja apagado;
• o modelo do aparelho e a versão do Android;
• se você já comprou algo no jogo, o número do pedido do Google Play (GPA.…, no e-mail de confirmação do Google). É a informação que mais ajuda a localizar o seu perfil;
• se você quer apenas saber o que existe sobre você, diga isso — pedido de acesso e pedido de exclusão são coisas diferentes, e o primeiro não apaga nada.

Não envie número de cartão, senha nem código de verificação. Não pedimos isso e não precisamos disso.

Antes de pedir, lembre que os dados do aparelho e a cópia na sua conta Google estão nas suas mãos (seções 2 e 3): você apaga os dois sem depender de nós, e mais rápido.

O Droppy não usa login. O perfil do servidor está ligado a um identificador aleatório de instalação, não a um e-mail — então nós nunca recebemos o seu endereço pelo jogo, e um endereço de e-mail, por si só, não prova que um determinado perfil é seu.

Isso tem uma consequência honesta: a verificação pode exigir informação adicional. Para não apagar o perfil de outra pessoa a pedido de quem escreveu primeiro, podemos precisar de algo que ligue você à instalação — tipicamente o número de um pedido do Google Play feito nela.

E uma consequência mais desconfortável, que também fica escrita: se nunca houve compra nessa instalação, pode não existir informação suficiente para ligar você ao perfil com segurança. Nesse caso vamos dizer isso na resposta, em vez de apagar algo ao acaso ou de prometer um resultado que não temos como garantir.

O que existe, e resolve isso: o código de posse do jogo. Ele é emitido dentro do aplicativo, que já está autenticado, vale 15 minutos, pode ser apresentado 5 vezes e só existe um ativo por perfil. Quando o código entra no formulário, o serviço sabe de qual perfil é o pedido sem você nos contar nada — nem e-mail, nem número de compra, nem identificador de aparelho.

A credencial do aplicativo, essa sim, nunca sai dele: ela não vai em formulário, em endereço de página, em e-mail, em registro de acesso nem no suporte. O código curto existe exatamente para ela não precisar sair — é de uso único, expira, e o pior que o seu vazamento causa é uma exclusão que você já tinha pedido.

Continua não existindo vínculo entre perfil e e-mail, e não vamos descrever um que não existe. Um pedido enviado sem o código fica registrado para uma pessoa olhar, e não apaga perfil nenhum.

Dito com clareza, porque é o que você precisa saber para decidir:

• não há exclusão por inatividade. O diário do servidor não se apaga sozinho depois de um tempo sem uso: a exclusão acontece quando você pede, e não antes;
• não há prazo prometido para atender um pedido. Não vamos publicar um número que ainda não foi decidido — e enquanto não houver, o formulário e o jogo dizem isso em vez de exibir um prazo;
• o backup do servidor fica 14 dias, então uma cópia pode sobreviver nos snapshots por até 14 dias depois de um pedido atendido (seção 4);
• o pedido com código alcança o perfil de compras (seção 4), e só ele. Não apaga o que está no aparelho nem a cópia na sua conta Google — esses dois estão nas suas mãos, pelas seções 2 e 3 — nem o que está com o Google e com a Unity (seção 8);
• o acompanhamento é pelo protocolo, e o protocolo sai uma vez só, na resposta do envio. Ele não é derivado do seu perfil, de propósito; se você o perder, não temos como recuperá-lo para você, e o que resta é o e-mail;
• um pedido sem o código não apaga nada. Ele fica registrado para uma pessoa olhar, e sem a prova de posse não há como saber de qual perfil se trata;
• desinstalar o jogo não apaga o diário do servidor, os dados que estão com os nossos fornecedores nem, necessariamente, o backup do Android;
• pode haver registro que precise ser conservado por obrigação legal ou por necessidade de defesa — por exemplo, o histórico de uma compra contestada. Quando for o caso, dizemos o que foi apagado e o que foi conservado, e por quê.

Nada disso é promessa de que vai continuar assim: é a descrição do estado de hoje, 10 de novembro de 2026. Quando mudar, esta página muda com a data no alto.

Parte dos dados do jogo não está com você nem conosco, e nós não temos como apagá-la:

• Google Play — o histórico de compras da sua conta, o pagamento e o reembolso. Fica na sua conta Google, pelas políticas do Google;
• Google Mobile Ads e UMP — o que os componentes de publicidade e de consentimento tratam, inclusive o identificador de publicidade do aparelho. Você pode redefinir ou excluir esse identificador em Configurações › Google › Todos os serviços › Anúncios, e revisar as preferências de anúncio da conta em adssettings.google.com;
• backup do Android — a cópia do progresso na sua conta Google, descrita na seção 3;
• Unity IAP — os eventos e detalhes de compra, os identificadores de dispositivo, instalação e sessão, os dados técnicos e o país aproximado derivado do endereço IP, tratados pela Unity.

Os pedidos sobre esses dados são dirigidos a quem os trata: política de privacidade do Google, política da Unity para jogadores e usuários de aplicativos e a documentação de privacidade do Unity IAP. Se você escrever para nós, indicamos o caminho.

O autoatendimento de exclusão, com prova de posse do perfil e acompanhamento por protocolo, está no ar: é o formulário da seção 10. O que ainda não existe, dito para ninguém supor o contrário:

• prazo de atendimento publicado. O campo existe no serviço e o formulário o exibe se houver número; enquanto o prazo não for decidido, a tela diz que não há prazo definido;
• aviso automático de conclusão. Não mandamos e-mail quando o pedido termina — não temos o seu endereço. Quem quer saber consulta o protocolo;
• vínculo entre perfil e e-mail, e por isso nenhum pedido pode ser atendido só com um endereço de e-mail (seção 6).

Quando algum desses mudar, a mudança é descrita nesta página e na política de privacidade, com a data de atualização no alto — não antes.