Privacy policy

Information used by the game

• Account information: email address, nickname, account identifier, a stable Google account identifier for Google-linked accounts, and a password hash used to protect access. We do not store your password as readable text.
• Session information: a randomly generated installation identifier, session identifiers, and sign-in/session timestamps, used for authentication and security.
• Gameplay information: cloud saves, deck selections, progression, ratings, match results, and replay/command records required for online matches and fair-play checks.
• Technical information: network requests, IP addresses available to hosting infrastructure, request identifiers, response status and timing, used to operate and protect online services.
• Support information: information you choose to include when contacting support.

Offline progress is stored on your device. Account, cloud, and online-match features send the information needed for those features to our servers.

How information is used and shared

We use this information to sign you in, maintain sessions and cloud progress, match opponents, process results, prevent abuse, and provide support. Opponents can see your nickname and the game information required for the match; they do not receive your email address or credentials.

We use Fly.io to host our online services and privately operated Redis, and Supabase/PostgreSQL for account and game records. These service providers receive the information needed to provide the infrastructure services described in this policy and are subject to the confidentiality and data-processing terms applicable to those services. We require every service provider that receives user information to protect it to the same or an equivalent level as described in this policy and required by the App Store Review Guidelines. Processing locations may differ from your country.

When you choose Sign in with Google, Google authenticates you and sends the requested OpenID Connect identity information to Supabase Auth. The app requests the openid, email and profile scopes. Supabase Auth stores the provider identity and account metadata; our Account API uses a temporary Supabase access token to verify sign-in, then stores your email and stable Google account identifier on your Realm Rivals account. The temporary token is not stored in the game account. We do not receive or store your Google password, and we do not use Google data to access other Google services.

The game has no advertising SDK or in-app purchases. We do not use player data for advertising tracking or sell it to data brokers. Apple manages App Store purchases; the game does not receive your payment-card details.

Retention and account deletion

Account and cloud data are retained while the account is active. You can initiate deletion in the in-game account menu by choosing Delete account and confirming your password. The operation removes your account record, cloud profile, ranking profile, sessions and tokens, and removes the direct player association from settlement records. If your account uses Google, the associated Supabase Auth identity is queued for removal and retried automatically if the identity provider is temporarily unavailable. After removal, we erase the Supabase account ID and original Google subject from the operational record and retain only a one-way hash combining the Google subject and deleted Supabase account ID to reject tokens from the deleted identity. A later Google sign-in that creates a new Supabase identity can create a new game account.

Match result and replay records remain after account deletion. In the active PostgreSQL database, the deleted account identifier is replaced with a deleted-player marker in settlement requests, responses, replays and opponent history in the same transaction. Email, nickname and installation identifier fields are also replaced when present in those match records. The remaining records contain match and room identifiers, game versions, results, gameplay commands, timestamps and an idempotency hash. They may remain linked to an opponent who has not deleted their account and are not used to restore the deleted account. Temporary matchmaking tickets and reconnect records in Redis expire automatically, with a maximum ticket lifetime of 20 minutes after pairing. Infrastructure backups and operational logs are separate from this operation and may persist according to the providers' retention cycles.

The app also attempts to remove the deleted account's local cached data, exports and save. If device storage prevents cleanup, the app reports the problem. When it can save a pending-cleanup record, it tries again on a later launch; otherwise, it directs you to Support. Your separate offline guest campaign save and other accounts on the same device are preserved. Contact us for questions about access, correction, deletion or retained records. We may need to verify account ownership before acting.

Security and changes

Online production connections use encrypted transport. Passwords are hashed, and access credentials are used to authorize account operations. No storage or transmission system can guarantee absolute security.

We update this page when the game's data practices change. The date above identifies the current policy.

Política de privacidade

Atualizada em 29 de setembro de 2026. Realm Rivals Duel é publicado por PLUMA FINANCE PAZ FINANCEIRA LTDA, sob VibeGamesBrasil. Contato: luccacerf@gmail.com.

Dados e finalidades

Para contas e recursos online, tratamos e-mail, apelido, identificador da conta, identificador estável da conta Google quando vinculada e hash da senha, identificador aleatório da instalação, sessões e horários de acesso. Também tratamos saves na nuvem, decks, progresso, classificação, resultados e registros de comandos/replay. Esses dados permitem autenticação, sincronização, pareamento, processamento das partidas, segurança e suporte.

A infraestrutura pode processar endereços IP e registros técnicos de requisições, status e duração. Ao solicitar suporte, você escolhe quais informações enviar. Nunca envie sua senha.

Compartilhamento e armazenamento

Adversários recebem o apelido e os dados necessários à partida, não o e-mail ou as credenciais. Usamos a Fly.io para hospedar nossos serviços online e Redis operado de forma privada, e a Supabase/PostgreSQL para registros de conta e do jogo. Esses prestadores recebem as informações necessárias para fornecer os serviços de infraestrutura descritos nesta política e estão sujeitos aos termos de confidencialidade e tratamento de dados aplicáveis a esses serviços. Exigimos que todo prestador que receba informações de usuários as proteja no mesmo nível ou em nível equivalente ao descrito nesta política e exigido pelas Diretrizes de Revisão da App Store. O processamento pode ocorrer fora do seu país. O progresso offline fica no aparelho.

Quando você escolhe Entrar com Google, o Google autentica você e envia as informações de identidade OpenID Connect solicitadas à Supabase Auth. O app solicita os escopos openid, email e profile. A Supabase Auth armazena a identidade do provedor e os metadados da conta; nossa Account API usa um token Supabase temporário para verificar o login e então armazena seu e-mail e identificador estável da conta Google na conta Realm Rivals. Esse token temporário não é salvo na conta do jogo. Não recebemos nem armazenamos sua senha Google, e não usamos dados do Google para acessar outros serviços Google.

O jogo não tem SDK de publicidade nem compras dentro do app. Não usamos dados dos jogadores para rastreamento publicitário nem os vendemos a corretores de dados. A Apple processa a compra do app; o jogo não recebe os dados do cartão.

Exclusão e retenção

No menu da conta, escolha Excluir conta e confirme sua senha. A operação remove a conta, perfil na nuvem, classificação, sessões, tokens e a associação direta do jogador nas liquidações. Se sua conta usa Google, a identidade correspondente na Supabase Auth entra numa fila de exclusão e novas tentativas são feitas automaticamente se o provedor estiver temporariamente indisponível. Depois da remoção, apagamos do registro operacional o ID da conta Supabase e o subject Google original, mantendo apenas um hash irreversível que combina o subject Google e o ID da conta Supabase excluída, para rejeitar tokens daquela identidade. Um novo login Google que gere outra identidade Supabase pode criar uma nova conta no jogo. O histórico dos adversários substitui o identificador por um marcador de jogador excluído.

Registros de resultados e replays permanecem após a exclusão da conta. No banco PostgreSQL ativo, o identificador da conta excluída é substituído por um marcador de jogador excluído em requisições, respostas, replays e histórico dos adversários na mesma transação. Campos de e-mail, apelido e identificador da instalação também são substituídos quando presentes nesses registros. Os dados restantes incluem identificadores da partida e sala, versões do jogo, resultados, comandos, horários e um hash de idempotência. Eles podem continuar associados ao adversário que não excluiu a conta e não são usados para restaurar a conta excluída. Tickets temporários de pareamento e registros de reconexão no Redis expiram automaticamente; os tickets duram no máximo 20 minutos após o pareamento. Backups da infraestrutura e logs operacionais são separados dessa operação e podem persistir conforme os ciclos de retenção dos provedores.

O app também tenta remover os dados locais em cache, exportações e save da conta excluída. Se o armazenamento do aparelho impedir a limpeza, o app informa o problema. Quando consegue salvar o registro de limpeza pendente, tenta novamente em uma inicialização posterior; caso contrário, orienta você a procurar o Suporte. O save separado da campanha offline sem conta e outras contas no mesmo aparelho são preservados. Entre em contato para solicitar acesso, correção, exclusão ou informações sobre registros retidos. Podemos verificar a titularidade antes de atender à solicitação.

Segurança e atualizações

As conexões online de produção são criptografadas, as senhas são armazenadas como hashes e as operações da conta exigem credenciais. Nenhum sistema garante segurança absoluta. Atualizaremos esta página se as práticas de dados mudarem.