O que é Conformidade com o GDPR para Desenvolvedores de Jogos?

A conformidade com o GDPR dentro desta área de especialização implica que ela deve estar em conformidade com a arquitetura do jogo, telemetria e processo de publicação, de acordo com as políticas de privacidade da UE. O pano de fundo desta questão está associado à estratégia adotada pelos estúdios em relação ao direito do usuário à privacidade. Abrange tanto as práticas padrão quanto a finalidade do tratamento de dados. Esta esfera também pode ser caracterizada por multas de até €20 milhões ou 4% do faturamento anual global total.

Os desenvolvedores às vezes pensam que não usar identidades lhes permite reduzir o alcance regulatório. No entanto, as regras sobre privacidade na internet são bastante gerais. Se as informações coletadas puderem ser usadas para identificar quem é uma pessoa, então elas devem seguir essas regras. As leis de privacidade ainda se aplicam aos dados de telemetria que podem identificar uma pessoa.

• Identificadores de Dispositivos e Publicidade: O Identificador da Apple para Anunciantes (IDFA) e o ID de Publicidade do Google (GAID) monitoram padrões de comportamento em aplicativos e entram na classe de identificadores online protegidos.
• Protocolos de Rede: Endereços IP ou endereços MAC capturados durante handshakes de servidor enquadram-se nas categorias de dados pessoais.
• Informações da Conta: Perfis de jogadores reúnem e-mails verificados, IDs de conta internos e logins de serviços como Steam ou PlayStation Network.
• Telemetria de Jogo e Comunicações: Métricas de jogo ficam junto com registros de compra e logs de voz ou texto não processados. Essas informações se relacionam ao tratamento de dados comportamentais.
• Aplicação na Vida Real: Registros de falha (crash logs) obtidos por um estúdio multiplayer de médio porte geralmente agrupam endereços IP com configurações de sistema locais. O estúdio trata logs desse tipo como ativos de dados do jogador.

As regras de segurança digital se conectam com sistemas de classificação de organizações como a ESRB e a PEGI. Elas também estão ligadas a leis como a Children’s Online Privacy Protection Act (COPPA), que se concentram em usuários mais jovens em certas regiões. As diretrizes da UE geralmente listam 16 como o ponto de partida para a idade de consentimento. Alguns estados-membros reduzem esse número para 13 quando isso se encaixa em sua abordagem. Os estúdios geralmente adicionam verificações de idade na configuração. Eles deixam o rastreamento personalizado desativado por padrão para o grupo mais jovem. Ao mesmo tempo, as equipes providenciam aprovação parental documentada antes de coletar qualquer informação dessas contas.

A implementação de mecanismos confiáveis para capturar a intenção do jogador forma o cerne dos pipelines iniciais de inicialização do usuário. Os estúdios devem implementar fluxos claros de consentimento do jogador antes de iniciar quaisquer tarefas analíticas em segundo plano ou redes de anúncios de terceiros:

• Configuração Inicial: Os títulos devem apresentar caixas de seleção explícitas de opt-in durante a inicialização da conta, separando os acordos de termos de serviço das permissões de privacidade.
• Consentimento para Compras no Aplicativo: Criação de perfis e transações devem ter um consentimento separado antes de qualquer processamento. compras no aplicativo.
• Integração com ATT: Ao implantar o aplicativo em dispositivos móveis, a solicitação do ATT no nível da plataforma deve estar em harmonia com as configurações de privacidade internas do jogo.

Conforme o Artigo 17, um jogador ativo pode exigir a exclusão permanente de todos os dados pessoais do desenvolvedor ou editor. O processo deve ser implementado em ambientes de serviço ativo que estão atualmente em operação, o que implica que deve haver pipelines de dados confiáveis e automatizados no backend.

Equipes de engenharia separam a telemetria de jogabilidade comportamental de identificadores pessoais únicos para processar uma exclusão sem corromper ambientes multiplayer. Registros de partidas agregados permanecem enquanto referências individuais de jogadores mudam para tokens generalizados estáticos.

Desenvolvedores de jogos recorrem a plugins externos em muitos projetos. Ciclos de produção entram em cena aqui. As editoras, no entanto, permanecem legalmente responsáveis nessas configurações, já que tudo se conecta a como qualquer Kit de Desenvolvimento de Software (SDK) coleta registros de jogadores onde a autorização não está documentada.

As equipes alcançam a conformidade seguindo estas etapas na prática:

1. Mapear Payloads de API: Ferramentas de rede capturam os campos exatos que SDKs de telemetria, publicidade ou anti-trapaça enviam a terceiros.
2. Impor Atrasos de Inicialização: Codificar o motor para que nenhum SDK externo seja iniciado antes que a tela de consentimento inicial desapareça.
3. Revisar Contratos de Fornecedores: Acordos com provedores de anúncios e plataformas de análise são examinados para Aditamentos de Processamento de Dados (DPAs) que se alinham.
4. Isolar Permissões do SDK: Restringir as permissões no nível do motor para que componentes não essenciais não possam acessar endereços de hardware do dispositivo ou coordenadas de geolocalização.

A decisão sobre os mecanismos de conformidade está ligada à sua abordagem de distribuição e a quem acaba jogando. Os estúdios ponderam a situação através de três perguntas.

• Os títulos podem ser baixados ou são acessíveis a pessoas que vivem na Área Econômica Europeia?
• Existem sistemas que coletam informações de comportamento, tokens de dispositivo ou exibem anúncios?
• Existem jogadores mais jovens?

Se houver respostas afirmativas, então medidas precisam ser tomadas. As considerações neste caso são a localização do jogador, as fontes de renda e os recursos para o trabalho com dados.