O que é Conformidade com a GDPR para Desenvolvedores de Jogos?

A conformidade com o GDPR nesta área de especialização implica que ela deve estar em conformidade com a arquitetura de jogos, telemetria e processo de publicação, de acordo com as políticas de privacidade da UE. O pano de fundo desta questão está associado à estratégia adotada pelos estúdios em relação ao direito de privacidade do usuário. Abrange tanto as práticas padrão quanto o motivo do processamento de dados. Esta esfera também pode ser caracterizada por multas de até €20 milhões ou 4% do faturamento anual global total.

Desenvolvedores às vezes pensam que não usar identidades lhes permite reduzir o alcance regulatório. No entanto, as regras sobre privacidade na internet são bastante gerais. Se as informações coletadas puderem ser usadas para descobrir quem é uma pessoa, então elas devem seguir essas regras. As leis de privacidade ainda se aplicam a dados de telemetria que podem identificar uma pessoa.

• Identificadores de Dispositivos e Publicidade: O Identifier for Advertisers (IDFA) da Apple e o Google Advertising ID (GAID) monitoram padrões de comportamento em aplicativos e se enquadram na categoria de identificadores online protegidos.
• Protocolos de Rede: Endereços IP ou endereços MAC obtidos durante handshakes de servidor se enquadram nas categorias de dados pessoais.
• Informações da Conta: Perfis de jogadores reúnem e-mails verificados, IDs de conta internos e logins de serviços como Steam ou PlayStation Network.
• Telemetria de Gameplay e Comunicações: Métricas dentro do jogo acompanham registros de compra e logs de voz ou texto não processados. Esses dados estão relacionados ao tratamento de dados comportamentais.
• Aplicação na Vida Real: Logs de falha coletados por um estúdio multiplayer de médio porte frequentemente agrupam endereços IP juntamente com configurações de sistema locais. O estúdio trata logs desse tipo como ativos de dados do jogador.

Regras de segurança digital se conectam a sistemas de classificação de organizações como a ESRB e a PEGI. Elas também se vinculam a leis como a Children’s Online Privacy Protection Act (COPPA), que se concentram em usuários mais jovens em certas regiões. As diretrizes da UE geralmente listam 16 como o ponto de partida para a idade de consentimento. Alguns estados-membros optam por baixar esse número para 13 quando isso se alinha à sua abordagem. Estúdios geralmente adicionam verificações de idade na configuração. Eles deixam o rastreamento personalizado desativado por padrão para o grupo mais jovem. Ao mesmo tempo, as equipes providenciam a aprovação parental documentada antes de coletar qualquer informação dessas contas.

A implementação de mecanismos confiáveis para capturar a intenção do jogador constitui o cerne das pipelines iniciais de inicialização do usuário. Os estúdios devem implementar fluxos claros de consentimento do jogador antes de iniciar quaisquer tarefas analíticas em segundo plano ou redes de anúncios de terceiros:

• Primeira Configuração: Os títulos devem apresentar caixas de seleção de adesão claras e inequívocas durante a inicialização da conta, separando os termos de serviço das permissões de privacidade.
• Consentimento para Compras no Aplicativo: O perfilamento e as transações devem ter seu próprio consentimento separado antes de qualquer processamento. compras no aplicativo.
• Integração com ATT: Ao implantar o aplicativo em dispositivos móveis, a solicitação ATT no nível da plataforma deve estar em harmonia com as configurações de privacidade internas do jogo.

Conforme o Artigo 17, um jogador ativo pode exigir a exclusão permanente de todos os dados pessoais do desenvolvedor ou editor. O processo deve ser implementado em ambientes de serviço em tempo real que estejam atualmente operando, o que implica que deve haver pipelines de dados confiáveis e automatizados no backend.

As equipes de engenharia separam a telemetria comportamental de jogabilidade de identificadores pessoais únicos para processar uma exclusão sem corromper ambientes multiplayer. Os registros agregados de partidas permanecem enquanto as referências individuais dos jogadores mudam para tokens generalizados estáticos.

Desenvolvedores de jogos recorrem a plugins externos em muitos projetos. Os ciclos de produção entram em cena aqui. Editores, no entanto, permanecem legalmente responsáveis nessas configurações, pois tudo se conecta a como qualquer Kit de Desenvolvimento de Software (SDK) busca registros de jogadores onde a autorização não está documentada.

As equipes trabalham na conformidade seguindo estas etapas na prática:

1. Mapear Payloads da API: Ferramentas de rede capturam os campos exatos que os SDKs de telemetria, publicidade ou anti-trapaça enviam para terceiros.
2. Impor Atrasos de Inicialização: Codifique o motor para que nenhum SDK externo seja iniciado até que a tela de consentimento inicial seja liberada.
3. Revisar Contratos de Fornecedores: Acordos com provedores de anúncios e plataformas de análise são examinados em busca de Adendos de Processamento de Dados (DPAs) que se alinham.
4. Isolar Permissões do SDK: Restringir permissões em nível de engine para que componentes não essenciais não possam acessar endereços de hardware do dispositivo ou coordenadas de geolocalização.

A decisão sobre os mecanismos de conformidade está ligada à sua abordagem de distribuição e a quem acaba jogando. Os estúdios avaliam a situação fazendo três perguntas.

• Os títulos podem ser baixados ou são acessíveis a pessoas que vivem na Área Econômica Europeia?
• Existem sistemas que coletam informações de comportamento, tokens de dispositivo ou veiculam anúncios?
• Há jogadores mais jovens?

Se houver respostas afirmativas, então medidas precisam ser tomadas. As considerações neste caso são localização do jogador, fontes de renda e recursos para o tratamento de dados.