Poflumi · 噗噗噗 · ポフルミ

Privacy policy · 隱私政策 · プライバシーポリシー

更新 / Updated: 2026-10-03

隱私政策

本政策適用於噗噗噗的 App 與 Web 遊戲。隱私聯絡信箱：limuzijack@gmail.com。

版本狀態：帳號、平台登入、雲端成長與公開休閒配對的說明適用於提供並啟用這些選項的版本。商店版本可能較晚更新；舊版不會因此自動上傳進度。

本機訪客與選擇啟用的雲端帳號

未啟用雲端時，訪客 ID、暱稱、等級、經驗、戰績、塗地統計、熟練度、外觀獎勵、裝備及角色選擇保存在裝置。畫質、操作、音效、語言和已讀公告也保存在本機；訪客 ID 不是網路認證憑證。

在主選單「帳號／登入」明確建立雲端帳號後，本機游客 XP、場次、角色熟練度及已獲得外觀會一次性引入新帳號，另保留游客備份。這些舊資料仍屬本機回報，不是已驗證戰績。登入已有帳號時，先比較本機與雲端存檔，由你確認使用雲端；兩份進度不相加。伺服器處理隨機帳號 ID、建立時間、認證摘要、外觀成長與防重複場次 ID／時間。自訂暱稱、角色、武器及設定仍保留在本機。

在提供平台登入的版本中，iOS 可選 Apple 或 Google，Android 可選 Google；Web 仍使用復原碼。只有你主動登入或綁定才啟動供應商授權。服務驗證供應商簽署的身份證明，保存供應商類型、身份識別的雜湊、遊戲帳號關聯及操作時間；這些仍可連結到帳號，不是匿名資料。不同登入方式不靠相同 email 自動合併。Apple 不另要求姓名或 email；Google iOS 套件預設要求基本個人資料與 email，可能從權杖或供應商服務取得姓名、email 與頭像。遊戲只用已驗證的識別綁定帳號，不另建姓名、email 或電話檔案；原始身份權杖仍可能含這些欄位並暫時送往驗證服務，不能視為從未處理。

Google iOS 登入套件的官方隱私清單宣告以下可能資料及用途，均標為與使用者關聯、非追蹤。這是供應商聲明範圍，不代表每次登入都取得每一欄位：

已核對套件會傳送 SDK 版本、執行環境及系統版本等技術資料。我們未加入額外 Google API 權限、Firebase Analytics 或 App Check 設定；這不表示 Google 不會依其政策處理登入服務資料。套件使用結束會清除其本機登入狀態，但不會清除 Google 已有的資料或全域登入。詳見 Google 登入資料說明、10.0.0 隱私清單與Google 隱私權政策。

復原碼、裝置憑證與離線同步

存取憑證有效期為 15 分鐘，裝置續期憑證為 30 天，存取憑證只留記憶體。iOS 使用本機 Keychain；Android 使用不可匯出 Keystore 金鑰加密不納入備份的私有紀錄；Web 使用不可匯出金鑰加密 IndexedDB 紀錄。續期憑證、快取及待同步結果都透過相應保護儲存。這不保證裝置或同來源程式遭入侵時的安全。遊戲自身的存取、續期及復原憑證在伺服器保存為摘要；Apple 撤銷授權材料另按下述方式加密保存。換機可使用自行保存的復原碼，或已綁定且可用的平台登入；不靠系統備份複製登入。

復原碼由你自行保管；重新產生會使舊碼失效，使用復原碼轉移帳號會撤銷舊連線憑證和待配對席位。沒有電子郵件密碼登入或人工寄送復原碼。若裝置憑證、復原碼及所有已綁定的平台登入都不可用，就無法復原。憑證到期不等於刪除雲端帳號。

啟用雲端後，遊戲會提交場次 ID、開始時間、模式、角色、結果、對局／有效參與／目標參與時長以計算外觀成長。離線時保留快取及最多 100 筆待同步紀錄，收到確認後移除；永久拒收會留下有限的簡要錯誤紀錄，不會當成雲端成功。一般進度需於七天內提交，公開對戰還受下述 24 小時參與憑據限制。單機及私人房結果由客戶端回報；公開對戰另核對席位、開始／完成時間與角色，仍不代表伺服器驗證了戰鬥、操作或勝負。

私人房與公開休閒配對資料

私人房處理房間碼、分配的別名、臨時成員 ID、加入順序、連線時間、玩法及房主狀態，並即時轉發遊戲指令與狀態。正式環境不向其他玩家傳送本機自訂暱稱。活躍成員資料保存在 Cloudflare Durable Objects 的連線附件／房間儲存；私人房最後一位成員離開後清除。失聯偵測約為對戰 20 秒、等候室 150 秒，約每 4 秒檢查，平台排程可能延後。

公開休閒配對需要雲端帳號，另處理帳號與配對嘗試 ID、相容版本／模式／地圖、你選擇的區域、測得的中繼往返延遲、隱藏配隊估計及其不確定性、分隊／席位／房主、入場票券和開始／完成／離開時間。其他玩家不會收到復原碼或帳號認證憑證。只有全部參與者的結果一致時才有限度調整隱藏估計；它用於休閒配隊，不是已驗證排名。區域由你選擇，沒有讀取 GPS；延遲測量不是玩家間戰鬥延遲保證。

保存期間與連線安全

平台登入的 challenge 與確認操作有效五分鐘，過期不可用；清理排程可能稍延後。綁定 Apple 時，服務需加密保存可向 Apple 撤銷授權的材料，直到解除綁定、刪號或授權撤銷；它不是只有雜湊。若向 Apple 撤銷失敗，遊戲資料刪除不因此永久卡住，最小加密撤銷工作最多重試 24 小時，成功或到期即清除。Apple 簽署的撤銷事件另留事件摘要、身份雜湊及時間界線，最長到事件簽發後七天加 60 秒容差，以阻止舊證明重新綁定；完成後不留原始通知。這些有界安全紀錄不保存遊戲進度，也不恢復已刪帳號。

新帳號升級的防重放資料最長保留自請求開始起 24 小時 5 分鐘，首次正常使用後封閉；刪號後只留到期期限。退出登入回執僅含憑證摘要與五分鐘期限。帶回執的刪號請求只保留隨機刪除證明的 SHA-256 摘要及 24 小時期限，供網路中斷後確認；這份回執不保留原始證明、憑證或進度；到期排程清除可能稍延後。

雲端帳號、成長與已解鎖外觀保留到你要求刪除；防重複場次清單有數量上限，較早場次保留時間界線。配對等候租期為 30 秒，由查詢續期，最長搜尋三分鐘；入場票券兩分鐘到期，取消標記約五分鐘。完成或中止的配對紀錄及參與憑據以配對建立後 24 小時為清理期限；活躍對局的席位租期可延長至建立後 30 分鐘。這些期限由排程及後續存取清理，平台延遲可能使實際移除稍晚。雲端成長不會隨配對紀錄一起到期。

Cloudflare 會為 HTTPS／WSS、儲存和網路防護處理 IP 與連線資訊。服務暫存 IP 的 SHA-256 摘要及請求計數作防濫用限流；摘要仍是網路識別資訊，不聲稱完全匿名。60 秒限流窗口結束會排程刪除，排程重試可能延後。正式中繼設定停用自動請求網址日誌，並遮蔽 query 字串；不應記錄復原碼、認證內容或帶票券的網址。必要錯誤診斷及供應商安全／營運處理仍依其設定與政策保留：Cloudflare Privacy Policy。

刪除與你的選擇

退出遊戲登入不等於退出 Apple／Google 全域帳號或解除授權。解除平台綁定須重新驗證該身份並證明持有目前復原碼，保留雲端進度；刪除雲端帳號會移除平台關聯。Apple 撤銷可能仍在有界重試；Google 端的帳號分享／授權可另到 Google 帳號管理頁撤銷，遊戲不把本機清理冒稱供應商已撤銷。

退出登入會先同步待傳結果、撤銷登入，然後還原游客備份，雲端帳號仍保留。刪號回覆遺失時可重試核對私人回執；未確認時不會聲稱已刪除。也可明確選擇清除本機登入及待傳資料、回到游客備份，但這不等於伺服器已完成刪除。

「設定 → 訪客登入 → 刪除訪客進度」清除此裝置的訪客 ID 和使用中的本機進度，保留操作、畫質與語言偏好；這不會刪除雲端帳號或獨立保留的裝置備份。刪除雲端資料請在主選單「帳號／登入 → 刪除雲端帳號」再次確認：服務會撤銷憑證與公開配對資格、刪除帳號／雲端成長，並解除相關配對紀錄中的帳號關聯。此操作不可復原；裝置可還原先前保留的本機備份，若儲存失敗會顯示提示。

清除網站資料或刪除 App 可能移除本機進度、備份、金鑰及憑證，但不會自行刪除伺服器帳號。你可選擇只在本機遊玩。你也可以在網頁刪除雲端帳號，不必重新安裝遊戲；使用復原碼確認所有權後永久刪除。若無法操作刪除，可透過支援信箱提出請求；請勿寄送復原碼或憑證，處理時可能需要在不分享秘密的情況下核實帳號歸屬。

廣告、追蹤與主動支援

目前沒有廣告 SDK、跨 App 廣告追蹤、GPS／相機／麥克風／通訊錄讀取、購買或訂閱。遊戲不會自動傳送除錯截圖或完整本機存檔。你主動寄送的信件、回覆地址及附件僅用於處理支援要求；可透過同一信箱要求查詢或刪除這些內容。請勿寄送密碼、復原碼、認證憑證、私人房間碼或其他人的個人資料。

プライバシーポリシー

このポリシーはポフルミの App と Web ゲームに適用されます。連絡先：limuzijack@gmail.com。

バージョンの状態：アカウント、外部ログイン、クラウド成長、公開カジュアルマッチの説明は、その選択肢を提供し有効化した版に適用されます。ストア版の更新には時間差があります。旧版の進行が自動アップロードされることはありません。

端末内のゲストと任意のクラウドアカウント

クラウドを有効にしない場合、ゲスト ID、表示名、レベル、経験値、成績、塗り統計、熟練度、外見報酬、装備、キャラクター選択を端末内に保存します。画質、操作、音声、言語、読んだお知らせも端末内の設定です。ゲスト ID は認証情報ではありません。

メインメニューの「アカウント／ログイン」で新規アカウント作成を確認すると、ゲストのXP、試合数、熟練度、解除済み外見を一度だけ引き継ぎ、ゲストのバックアップも残します。旧記録は端末報告であり検証済み成績ではありません。既存アカウントへのログインでは端末とクラウドのセーブを比較し、クラウド使用を確認します。進行は合算しません。サーバーはランダムなアカウントID、作成日時、認証ダイジェスト、外見成長と二重報酬防止の試合ID・時刻を扱います。表示名、キャラクター・武器選択、設定は端末の好みです。

外部ログインを提供する版では、iOS は Apple／Google、Android は Google を選べます。Web は引き続き復元コードを使用します。本人がログイン・連携を選んだ場合だけ外部認証を開始します。サービスは署名付き証明を検証し、提供者の種類、識別子のハッシュ、ゲームアカウントとの関連、操作時刻を保存します。アカウントに結び付く情報であり、匿名ではありません。同じメールでも別のログインを自動統合しません。Apple に名前やメールの追加提供を求めません。Google iOS SDK は標準で基本プロフィールとメールを要求し、トークンや提供者のサービスから名前・メール・画像を受け取る場合があります。ゲームは検証済み識別子だけを連携に使い、名前・メール・電話の別プロフィールは作りません。ただし元のIDトークンにそれらの項目が含まれ、検証サービスへ一時送信される場合があり、未処理とは扱いません。

Google iOS SDK の公式プライバシーマニフェストは、次の取得可能なデータと用途を宣言しています。いずれもユーザーと関連付けられ、追跡には使わないとされています。これは提供者の宣言範囲で、毎回すべてを取得するという意味ではありません。

SDK版、実行環境、OS版などの技術情報が送信されることをソースで確認しています。追加のGoogle API権限、Firebase Analytics、App Check設定は追加していませんが、Googleが自社方針に従ってログイン関連データを処理しないという意味ではありません。利用後にSDKの端末内ログイン状態を消去しますが、Googleが保有する情報や全体のログインを消す操作ではありません。Googleのデータ説明、10.0.0のマニフェスト、Googleプライバシーポリシーを参照してください。

復元コード、端末認証とオフライン同期

アクセス認証は15分、更新用認証は30日有効です。アクセス認証はメモリにのみ置きます。iOSは端末のKeychain、Androidは書き出せないKeystore鍵とバックアップ対象外の暗号化私有記録、Webは書き出せない鍵による暗号化IndexedDBを使用します。更新認証、キャッシュ、同期待ち結果は各保護保存領域で管理します。端末や同一オリジンの侵害に対する保証ではありません。ゲーム自身のアクセス・更新・復元認証情報はサーバーにダイジェストで保存します。Apple の認可取り消し用情報は、下記のとおり別途暗号化して保持します。機種変更には保管した復元コード、または利用可能な連携済みログインを使用し、OSバックアップでログインを複製しません。

復元コードは自分で安全に保管してください。再発行すると旧コードは無効になり、復元による引き継ぎは旧セッション・端末認証情報と待機中の参加枠を無効にします。メール・パスワードによるログインや、メールで復元コードを送る機能はありません。端末認証情報、復元コード、連携済みの外部ログインのすべてが利用できないと復元できません。有効期限切れだけではアカウントは削除されません。

クラウド利用時は試合 ID、開始日時、モード、キャラクター、結果、試合・有効参加・目標参加の時間を送信して外見の成長を計算します。オフラインではキャッシュと最大 100 件の同期待ち記録を保持し、確認後に待機記録を削除します。恒久的に拒否された記録は、件数を制限した簡単なエラー記録になり、同期成功とは扱いません。通常の進行報告は七日以内、公開対戦は下記の参加証跡の 24 時間制限にも従います。練習・非公開ルームの結果はクライアント報告です。公開対戦では参加枠・開始／完了時刻・キャラクターも確認しますが、戦闘・操作・勝敗がサーバーで検証済みという意味ではありません。

非公開ルームと公開カジュアルマッチの情報

非公開ルームではルームコード、割り当てられた別名、一時的な参加者 ID、参加順、接続時刻、モード、ホスト状態を扱い、ゲーム操作・状態をリアルタイム転送します。正式環境で端末のカスタム表示名を他の参加者へ送りません。参加情報は Cloudflare Durable Objects の接続添付情報・ルーム保存領域で管理し、非公開ルームの最後の参加者が退出すると消去します。無応答の検出目安は対戦中 20 秒、ロビー 150 秒で、約 4 秒ごとに確認します。プラットフォームの処理で遅れる場合があります。

公開マッチはクラウドアカウントを必要とし、アカウント／検索 ID、対応バージョン・モード・マップ、選択地域、測定した中継往復遅延、内部のチーム調整値と不確かさ、チーム・参加枠・ホスト・入場チケット、開始／完了／退出時刻も処理します。他の参加者に復元コードやアカウント認証情報は送りません。全参加者の結果が一致した場合に限り内部推定を少し調整します。これはカジュアル配分用で、検証済みランキングではありません。地域は自分で選び、GPS は読みません。測定遅延は実際の対戦遅延の保証ではありません。

保存期間と接続の安全性

外部ログインのチャレンジと確認操作は五分で失効し、その後は使用できません。定期消去は少し遅れる場合があります。Apple連携では認可を取り消すための情報を暗号化して保持し、解除・削除・認可取り消しまで使用します。ハッシュだけではありません。Appleへの取り消しが失敗してもゲームデータ削除を永久に妨げず、最小限の暗号化ジョブを最大24時間再試行し、成功または期限後に消去します。署名済み取り消し通知は、古い証明による再連携を防ぐため、イベントのダイジェスト、識別子のハッシュ、時刻の境界を通知発行から最大七日と60秒の許容幅まで保持します。処理後に元の通知は残しません。この限定的な安全記録は進行データを含まず、削除済みアカウントを復活させません。

新規引き継ぎの再送防止情報は要求開始から最大24時間5分保持し、最初の通常利用で閉じます。削除後は期限のみ残します。ログアウト確認は認証ダイジェストと5分の期限のみです。証明付き削除要求はランダムな削除証明のSHA-256ダイジェストと24時間の期限を残し、通信中断後の確認に使います。この確認記録には元の証明、認証情報、進行を残しません。期限後の定期消去は少し遅れる場合があります。

クラウドアカウント、成長、解除した外見は削除を要求するまで保持します。二重報酬を防ぐ最近の試合一覧には件数上限があり、古い試合には時刻の境界を保持します。検索リースは 30 秒で照会により更新され、検索は最大三分です。入場チケットは二分、キャンセル記録は約五分で期限が切れます。完了・中断したマッチの記録と参加証跡はマッチ作成後 24 時間を清掃期限とします。進行中の参加枠リースは作成後 30 分まで延長される場合があります。削除は定期処理や後続アクセスにより行うため遅れる場合があります。クラウド成長はマッチ記録と一緒には失効しません。

Cloudflare は HTTPS／WSS、保存、ネットワーク保護のため IP と接続情報を処理します。サービスは不正利用防止のため IP の SHA-256 ダイジェストと回数を一時保存します。ネットワーク識別情報であり完全匿名とは扱いません。60 秒の制限窓の終了時に削除を予約しますが、再試行で遅れる場合があります。正式中継設定は自動リクエスト URL ログを無効にし query を伏せます。復元コード、認証内容、チケット付き URL を記録しない方針です。必要なエラー診断と事業者の安全性・運用上の処理には、その設定・方針が適用されます：Cloudflare Privacy Policy。

削除と選択

ゲームのログアウトはApple／Google全体のログアウトや認可取り消しではありません。連携解除には対象の再認証と現在の復元コードの所持確認が必要で、クラウド進行は残ります。クラウド削除は外部連携も除去します。Appleへの取り消しは有界の再試行中の場合があり、Google側の共有・認可はGoogleアカウント管理で別途取り消せます。端末の清掃だけで提供者の取り消し完了とは表示しません。

ログアウト時は待機結果を同期し、認証を失効させてゲストのバックアップを復元します。クラウドアカウントは残ります。削除応答が失われた場合は非公開の確認を再試行でき、確認前に削除完了とは表示しません。端末ログインと未送信結果を消去してゲストに戻ることも明示的に選べますが、サーバー削除完了を意味しません。

「設定 → ゲストログイン → ゲストの進行状況を削除」は、この端末のゲスト ID と使用中の進行を削除し、操作・画質・言語設定を残します。クラウドアカウントや別に保持した端末バックアップは削除しません。クラウド削除はメインメニューの「アカウント／ログイン → クラウドアカウントを削除」で再確認してください。認証情報と公開参加資格を無効化し、アカウント・クラウド成長を消去し、関連マッチ記録のアカウントとの関連付けを解除します。元には戻せません。端末は保存していたローカル記録を復元でき、保存領域のエラーがあれば表示します。

サイトデータ消去や App 削除は端末の進行・バックアップ・鍵・認証情報を失わせる場合がありますが、サーバーのアカウントを削除する操作ではありません。端末内だけで遊ぶこともできます。再インストールせず、Web でクラウドアカウントを削除できます。復元コードで所有者確認後に永久削除します。削除画面を利用できない場合はサポートへ連絡してください。復元コードや認証情報は送らず、秘密を共有しない形で本人確認が必要となる場合があります。

広告・追跡・問い合わせ

現在、広告 SDK、App 間の広告追跡、GPS・カメラ・マイク・連絡先へのアクセス、購入、サブスクリプションはありません。デバッグ画像や端末セーブ全体は自動送信しません。自分で送ったメール、返信先、添付ファイルは問い合わせへの対応に使用します。同じ連絡先で内容の確認・削除を依頼できます。パスワード、復元コード、認証情報、非公開ルームコード、他人の個人情報は送らないでください。

Privacy policy

This policy covers the Poflumi app and Web game. Privacy contact: limuzijack@gmail.com.

Version status: Account, platform sign-in, cloud progression and public casual matchmaking descriptions apply to builds that provide and enable those options. Store versions may update later. Earlier builds do not automatically upload progress.

Local guests and optional cloud accounts

Without cloud progress, your device stores your guest ID, nickname, level, XP, statistics, paint totals, mastery, cosmetic rewards, equipment and character choice. Graphics, controls, audio, language and read announcements also remain local. A local guest ID is not an authentication credential.

After you confirm creation in “Account / sign in”, guest XP, match counters, mastery and earned cosmetics are imported once into a new account, with a separate guest backup. This legacy data remains client-reported, not verified match history. Signing in to an existing account first compares the device and cloud saves and asks you to choose the cloud save; the saves are not added together. The server processes a random account ID, creation time, credential digests, cosmetic progression and recent match IDs/times for duplicate prevention. Your nickname, character, weapon and settings remain local preferences.

Where platform sign-in is enabled, iOS offers Apple and Google, Android offers Google, and Web continues to use recovery codes. Provider authorization starts only when you choose to sign in or link an identity. The service verifies signed identity proof and stores the provider, a hash of its identifier, the game-account association and operation times. These remain linked account data, not anonymous information. Matching email addresses never automatically merge accounts. Apple requests no additional name or email scope. Google’s iOS SDK requests basic profile and email by default and may obtain name, email and profile image from a token or provider service. The game uses the verified identifier for linking and does not create a separate name, email or phone profile. The raw ID token can nevertheless contain such claims and be sent transiently to the verifier; this is not a claim that they are never processed.

The Google iOS SDK’s official privacy manifest declares the following possible data and purposes, all marked linked to the user and not used for tracking. This is the supplier’s declared scope, not a claim that every sign-in obtains every field:

Source inspection confirms transmission of technical metadata such as SDK version, execution environment and OS version. We add no additional Google API scopes, Firebase Analytics or App Check configuration; this does not exclude Google’s processing of sign-in data under its own policies. We clear the SDK’s local sign-in state after use, which does not erase data already held by Google or sign out its global account. See Google’s data disclosure, the 10.0.0 privacy manifest and Google Privacy Policy.

Recovery, device credentials and offline synchronization

Access credentials last 15 minutes and device refresh credentials last 30 days. Access credentials stay in memory. iOS uses the device Keychain; Android uses a non-exportable Keystore key and encrypted private records excluded from backups; Web uses encrypted IndexedDB records with a non-exportable key. Refresh credentials, cached progress and pending results use the appropriate protected storage. This does not guarantee security on compromised devices or against compromised same-origin code. The server stores digests of the game’s own access, refresh and recovery credentials. Apple revocation material is separately encrypted as described below. Another device can use your saved recovery code or an available linked platform sign-in; OS backup does not copy a sign-in.

Keep your recovery code privately. Generating a new one invalidates the old code. Recovery transfers the account and revokes previous session/device credentials and pending public assignments. There is no email/password login or recovery-code delivery by email. Recovery is unavailable if the device credential, recovery code and all linked platform sign-ins are unavailable. Credential expiry does not delete the account.

Cloud-enabled play submits match ID, start time, mode, character, outcome, duration, active-play time and objective-participation time to calculate cosmetic progression. Offline play keeps a cache and at most 100 pending events, removed after acknowledgement. Permanently rejected events leave a bounded, brief error record and are not presented as successfully synchronized. Ordinary progress must be submitted within seven days; public matches also depend on the 24-hour participation receipt below. Practice and private-room results are client-reported. Public results additionally check the reserved seat, observed start/completion and character; this does not verify combat, actions or outcomes on the server.

Private rooms and public casual matchmaking

Private rooms process room codes, assigned aliases, temporary member IDs, join order, connection times, mode and host state, while forwarding gameplay commands and state in real time. Production does not send custom local nicknames to other players. Active membership lives in Cloudflare Durable Objects socket attachments and room storage; private-room metadata is cleared after the last member leaves. Silent connections are detected after roughly 20 seconds in a match or 150 seconds in a lobby, checked about every 4 seconds. Platform scheduling may delay this.

Public matchmaking requires a cloud account and additionally processes account and queue-attempt IDs, compatible versions/modes/maps, your selected region, measured relay round-trip latency, a hidden team-balancing estimate and uncertainty, teams/seats/host, admission tickets, and start/completion/departure times. Other players do not receive recovery codes or account credentials. The hidden estimate changes slightly only when every participant's result agrees; it supports casual team allocation, not verified ranking. You select the region; GPS is not accessed. The latency sample does not guarantee in-match latency.

Retention and connection security

Platform sign-in challenges and confirmation operations expire after five minutes and cannot be used afterward; scheduled cleanup may run later. An Apple link requires encrypted material that can revoke authorization with Apple, retained until unlinking, deletion or revocation; it is not stored only as a hash. If Apple revocation fails, game-data deletion is not blocked indefinitely. A minimal encrypted revocation job retries for up to 24 hours and is removed on success or expiry. Signed Apple revocation events retain an event digest, identity hash and time boundary until at most seven days plus 60 seconds of clock tolerance after issuance, preventing old proof from relinking. The original notification is not retained after processing. These bounded security records contain no game progress and cannot restore a deleted account.

New-account retry protection lasts at most 24 hours and 5 minutes from the attempt start and closes after the first normal account use; only its expiry remains after deletion. Logout receipts contain credential digests and a five-minute expiry. A deletion request with a proof retains only that random proof’s SHA-256 digest and a 24-hour expiry, allowing confirmation after a lost response. That receipt retains no raw proof, credentials or progress. Scheduled cleanup may be delayed slightly.

Cloud accounts, progression and unlocked cosmetics remain until you request deletion. The recent anti-replay match list is bounded, with a time boundary retained for older matches. Queue leases last 30 seconds and renew on polling, with a maximum three-minute search. Admission tickets expire after two minutes; cancellation markers last about five minutes. Completed or aborted match records and participation receipts have a cleanup deadline 24 hours after assignment creation. Active-match seat leases may extend to 30 minutes after creation. Scheduled cleanup and subsequent access enforce these limits; platform delays may postpone removal. Cloud progression does not expire with a matchmaking receipt.

Cloudflare processes IP and connection information for HTTPS/WSS, storage and network protection. The service temporarily stores SHA-256 IP digests and request counts for abuse prevention. These remain network identifiers, not fully anonymous data. Deletion is scheduled when each 60-second rate-limit window ends, subject to retries or delays. Production relay configuration disables automatic request-URL logging and redacts query strings. Recovery codes, authentication content and ticket-bearing URLs should not be logged. Necessary diagnostics and provider security/operational processing remain governed by their settings and policies: Cloudflare Privacy Policy.

Deletion and choices

Game sign-out is not global Apple/Google sign-out or authorization revocation. Unlinking requires fresh proof of the identity and possession of the current recovery code, while retaining cloud progress. Cloud deletion removes platform associations. Apple revocation may still be retrying within its limit; Google account sharing or authorization can separately be revoked in Google Account settings. Local cleanup is not reported as completed provider revocation.

“Settings → Guest access → Delete guest progress” removes this device's guest ID and active local progress, retaining controls, graphics and language preferences. It does not delete the cloud account or the separately retained device backup. To delete cloud data, open “Account / sign in → Delete cloud account” on the main menu and confirm again. This revokes credentials and public participation, deletes the account/cloud progression, and removes its identity association from related matchmaking records. Deletion is irreversible. The device can restore the protected local backup; storage failures are reported.

Clearing site data or removing the app may erase local progress, backups, keys and credentials, but does not itself delete a server account. You may choose local-only play. You can also delete your cloud account on the Web using your recovery code, without reinstalling the game. If you cannot use account deletion, contact support without sending recovery codes or credentials. Ownership verification may be needed without sharing secrets.

Advertising, tracking and support

There are currently no advertising SDKs, cross-app advertising tracking, GPS/camera/microphone/contacts access, purchases or subscriptions. Debug screenshots and complete device saves are not sent automatically. Emails, reply addresses and attachments you choose to send are used to handle support requests; you may request access to or deletion of that support content at the same address. Do not send passwords, recovery codes, credentials, private room codes or other people's personal information.