Operação e segurança

Como o Yvaldis será operado depois de existir. Nada daqui é necessário na prova de conceito (35), que não tem rede, contas nem jogadores externos; serve para que as decisões de agora (servidor autoritativo, economia em camadas, 18+ para economia) não esbarrem em surpresas. A seção 9 usa suposições declaradas e a seção 10 traz perguntas, não conclusões; nada aqui é parecer jurídico.

1. Princípios

1. O servidor decide; o cliente só pede (05).
2. Equipe minúscula: o que pode ser automático, registrado e reversível, é. Moderador humano é o último recurso.
3. Registrar para poder desfazer: todo evento de economia e de combate relevante vai para log imutável; punição e reembolso são reversíveis.
4. Menos dados, menos risco (seção 7).
5. Segurança proporcional ao que está em jogo: quem joga sem economia exige pouco; carteira, mercado e saque exigem muito (08).

2. Moderação

Denúncias. Botão em nome, chat, mensagem privada, conteúdo de jogador (placa, nome de clã, contrato, casa) e comportamento (assédio, grief). A denúncia anexa sozinha o contexto: últimos 2 minutos de chat, posições e eventos de combate, ids. Fila por gravidade: (1) ameaça, menores, doxxing, atendida em horas; (2) fraude com dinheiro real (só na Fase 4); (3) assédio e ódio; (4) spam e nomes ofensivos. Denúncias em massa de um clã rival contra uma conta não punem sozinhas, só abrem revisão (evita denúncia como arma, 19, 23). Silenciar, bloquear, esconder chat global e "só amigos e grupo" ficam sempre à mão e resolvem a maior parte.

Filtro de chat. Camadas: lista de termos e variações, limite por minuto, detecção de repetição, bloqueio de link e de convite externo para contas novas, bloqueio de golpes típicos ("vendo ouro", pedido de login). Menores (sem economia e sem voz, 05) não recebem mensagem de desconhecidos por padrão. Voz só 18+ verificado, com buffer curto para denúncia e prazo mínimo de guarda (pergunta jurídica). Começa por regras, baratas e explicáveis a quem é punido; classificador de toxicidade depois.

Conteúdo escrito por jogadores (24). Nomes e placas passam por filtro antes de aparecer; textos longos (leis de cidade, diários) só em objetos que se escolhe abrir, não sobre a cabeça de todos. Sem upload de imagem, som ou modelo 3D de jogador no lançamento: é o caminho mais curto para conteúdo ilegal e violação de direitos autorais. Decoração vem de catálogo fechado (o que também permite NFT sem risco de IP, 08). Texto ofensivo em casa ou loja deixa o objeto "borrado" para os outros até a revisão, em vez de punir de imediato.

Escada: aviso → silêncio (24 h, 7 d, 30 d, como em 32 §10) → suspensão → perda de privilégios de economia → banimento. Todo passo tem motivo escrito e apelação; banimento por fraude vincula à pessoa verificada (se houver KYC), não só ao aparelho. Matar jogador em PvP aberto é do jogo (karma, 23); pune-se perseguição de dias, bloqueio de spawn e insulto.

3. Suporte com equipe minúscula

Modelo: autoatendimento primeiro, uma pessoa depois, sem telefone.

• Central de ajuda no launcher com fluxos guiados: recuperar conta, item sumido, denunciar, contestar punição, reembolso.
• Formulário único; o sistema junta o log da conta (últimas ações, itens, sessão). A maioria dos "perdi item" se resolve lendo o log.
• O suporte nunca cria item do nada: restaura o que o log mostra que existiu, a partir de snapshot, com teto de valor por caso; acima dele, segunda pessoa (o dono, no começo).
• SLA honesto publicado (ex.: até 3 dias úteis); incidente geral vai para página de status e Discord, não para tickets.
• Voluntários (mentoria, 24 §5) respondem dúvidas de jogo; só a equipe mexe em conta, ativo ou punição.
• Carga: suposição de ~1 ticket por 100–200 ativos por semana. Contratar o primeiro suporte quando a fila passar de ~2 dias de atraso por duas semanas seguidas.
• Carteira não custodial (05): o estúdio não recupera chave nem reverte transação. A página de ajuda diz isso antes de criar a carteira.

4. Anti-trapaça

O cliente é do atacante; o servidor só aceita o que é possível.

Detecção estatística: precisão e reação sobre-humanas, mira perfeita, XP/hora fora de 3 desvios da população geram uma pontuação de suspeita para revisão humana; só prova técnica certa (velocidade impossível repetida) pune sozinha. Cada anomalia guarda a sequência de entradas, para reproduzir e para sustentar a apelação. Teste: "clientes trapaceiros" próprios (golpe fora de alcance, teleporte, mão rápida demais) rodam contra o servidor em CI e todos devem ser recusados.

5. Anti-robô

• Sinais de comportamento (sem coleta invasiva): sessões de 20+ h, rotas idênticas, variância de intervalo quase nula, nunca fala nem reage a evento, coleta parada num ponto, ritmo de mercado inumano. Pontuação por conta, revisão humana acima do limite.
• Desenho que desestimula farm: teto diário de produção por conta, retorno decrescente no mesmo ponto, minijogos de coleta com entrada humana, respawn em tempo real com teto, matéria-prima de NPC presa à conta (00 E5, 08).
• Desafio leve (um gesto, um objeto) só por suspeita, nunca para todos.
• KYC só para funções de economia (carteira, mercado do token, saque, terra): uma pessoa verificada = uma conta elegível (00 E5). Quem joga sem economia não entrega documento.
• RMT: teto diário de ouro entre jogadores, taxa, detecção de "mula" (muitas contas novas enviando a uma). Ouro nunca vira token (00 E2), o que tira o principal incentivo.

6. Segurança de conta

• 2FA obrigatório para carteira, mercado, saque e troca de e-mail; recomendado (com benefício cosmético) para o resto. Prioridade: app autenticador e passkey; SMS só como recuperação.
• Hash lento (argon2id), checagem contra senhas vazadas, limite e bloqueio gradual de tentativas.
• Token de sessão curto, lista de dispositivos, alerta de login novo, "sair de todos".
• Recuperação lenta de propósito (24–72 h para trocar fator, com aviso ao e-mail antigo): é o caminho do atacante.
• O jogo nunca pede frase de recuperação da carteira; alerta de golpe no launcher; transações grandes pedem confirmação extra.
• Domínio, launcher e loja oficiais como únicas origens; monitorar domínios parecidos com yvaldis.com/.net (00 #9).
• Segredos em cofre, nenhum no repositório; acesso de produção nominal, com 2FA e registro. O MCP do Blender segue preso ao localhost (12).

7. Dados pessoais (LGPD e GDPR no básico)

• Mapa de dados antes do primeiro servidor aberto: o que se coleta (e-mail, id, IP, logs, chat, resultado de KYC), por quê, onde fica e por quanto tempo.
• Execução de contrato e legítimo interesse cobrem o essencial (a confirmar); telemetria extra e marketing exigem consentimento separado e desligável.
• Direitos do titular (acesso, correção, exclusão, portabilidade) por fluxo na conta, com prazo. A exclusão convive com o que a lei manda guardar (fiscal, KYC, fraude) e com a blockchain, que não apaga: não pôr dado pessoal on-chain, só endereço e metadados do item.
• KYC por parceiro licenciado, que guarda o documento; o estúdio recebe só "verificado, 18+, país" e um id.
• Retenção (suposições): chat 30–90 dias, logs de combate 30 dias, logs de economia vários anos, backups com prazo fixo.
• Servidores em São Paulo e Leste dos EUA implicam transferência internacional (base legal é pergunta ao advogado).
• Política de privacidade e encarregado (DPO; no começo o dono, com canal público) antes do primeiro jogador externo. Vazamento segue o plano da seção 8; GDPR fala em 72 h para avisar a autoridade, a confirmar.

8. Incidentes e backups

Classes: S1 (duplicação de ouro/item, vazamento, invasão de servidor ou contrato), S2 (queda geral, corrupção de personagens), S3 (exploração limitada, DDoS pontual), S4 (o resto). Passos: conter (desligar o recurso) → preservar logs e snapshot → entender → consertar e restaurar o que o log permite → avisar jogadores em linguagem simples (o que se sabe e o que não) → relatório sem culpa com ação concreta.

• Interruptores por função (mercado, troca, loja, leilão, saque, voz, PvP) sem derrubar o jogo; existem desde a Fase 2.
• Trava automática quando a criação de ouro/item passa de N desvios do normal.
• Contratos pausáveis, multisig para ações administrativas, limite de saque por janela, auditoria independente antes de qualquer valor real (16).
• Escala simples com alerta no celular para S1/S2; o resto espera o horário comercial. Um simulado por trimestre a partir da Fase 2.

Backups:

• Postgres: completo diário + arquivamento contínuo do log (recuperação ao minuto), cópia em outra região e outra conta. Retenção: 14 diários, 8 semanais, 12 mensais.
• Redis é reconstruível, não é fonte de verdade.
• Snapshot por personagem a cada logout e transação relevante: restaura um jogador sem voltar o mundo.
• Teste de restauração mensal (backup nunca testado não conta). Alvos (suposição): RPO ≤ 5 min, RTO ≤ 4 h.
• Projeto UE e assets: Git LFS + cópia externa, desde a PoC. Backups cifrados, chaves separadas.

9. Custo de servidor por jogador simultâneo (Capítulo 1)

Ordem de grandeza, não orçamento; a Fase 2 mede o real (06).

Suposições: (a) metas de 00 T1: 10 mil simultâneos por mundo, ~500 por servidor de região, 30 ticks/s em combate; (b) uma instância de 8 vCPU/32 GB sustenta 500 jogadores (suposição forte, pode ser metade ou o dobro) a ~US$ 0,50/h ≈ US$ 365/mês; (c) ~5 KB/s por jogador, saída de rede a US$ 0,05–0,09/GB; (d) banco gerenciado, Redis, serviços de conta/chat/leilão, balanceador, logs e monitoramento ≈ US$ 0,30 por jogador simultâneo/mês; (e) folga de 30% para pico e ociosidade.

• 10 mil simultâneos: US$ 22–29 mil/mês (20 instâncias de jogo).
• 100 simultâneos (alfa): o piso fixo domina; ~US$ 600–1.000/mês em duas regiões, ou US$ 6–10 por simultâneo.
• Se o pico fosse 5% dos ativos mensais (suposição), são ~200 mil ativos e **US$ 0,11–0,15 por ativo/mês** de infraestrutura, a cobrir com cosméticos (08).
• O que mais mexe: jogadores por instância, a rede (muito mais barata em provedor com saída barata ou bare-metal) e escalar instâncias pela curva diária (20–40% de economia possível).
• Fora da conta: pessoas, KYC por verificação, taxas de pagamento e loja, auditoria de contratos, licenças de middleware, proteção DDoS.

10. Lista para o futuro advogado (perguntas)

Reunir depois da PoC, junto com a empresa (00).

Valores mobiliários e cripto

• Brasil: com o desenho de 14 (token de uso no jogo, recompra com parte da receita, saque com teto, sem venda), token ou NFT poderia ser valor mobiliário para a CVM? Pesa o fato de o estúdio nunca vender, só distribuir por jogo? A Lei 14.478/2022 e o Banco Central exigem autorização como prestador de serviço?
• EUA: o teste de Howey alcança token distribuído por jogo, sem venda, mas com recompra? Como a SEC trata?
• UE: qual a classificação sob o MiCA; a exceção de token que dá acesso a serviço já existente (16) se aplica? NFT cosmético em série conta como fungível?
• A recompra com receita de cosméticos cria expectativa de lucro pelo esforço do estúdio? Como redigir o "extra pequeno e variável" sem virar promessa?
• A carteira não custodial com on/off-ramp por parceiro basta para não ser VASP/CASP? Qual parceiro, em quais países?

Azar e caixas de recompensa

• Leilão, sorteio de lotes entre inscritos (25), drops raros e os cassinos em espera (23) são jogo de azar em BR, EUA ou UE? Precisam de autorização?
• Sem fonte de acaso comprável (08), nenhuma lei local trata o jogo como loot box? Como o ECA Digital (reportada vedação de loot box a menores de 18) se aplica a drop não comprado?
• Se o token vira dinheiro, o que passa a ser "aposta" dentro do jogo?

Termos e propriedade

• ToS e privacidade para jogo online com economia: moderação, banimento, apelação, foro.
• NFT se o jogo fechar: o que o jogador possui de fato? Que aviso antes da compra? Há dever de reembolso, aviso prévio ou manter dados? E a escritura de terra quando o mundo some?
• Direitos sobre criações de jogadores e responsabilidade por conteúdo deles (Marco Civil; DSA).
• Licenças de Fab/CC0/CC-BY permitem vender NFT de item derivado? Há cláusula de blockchain em motor ou loja (35 §5)? Que dizer sobre arte feita com IA (12)?

Menores

• ECA Digital (Lei 15.211/2025, em vigor desde 17/03/2026 segundo as fontes consultadas): que verificação de idade é exigida para jogo gratuito, chat e voz? O que é verificação aceitável para "18+" (documento, estimativa facial, cartão)? Perfil de menores, publicidade, controle parental.
• Classificação indicativa (Min. da Justiça), ESRB/PEGI; COPPA e consentimento por idade no GDPR.

Dados: base legal por tratamento, DPO e RIPD/DPIA, transferência BR–EUA–UE, retenção mínima de KYC e economia, exclusão frente a dado em blockchain.

Tributos: receita de cosméticos (ISS, PIS/COFINS, ICMS?), receita e contabilização de cripto e do fundo de recompra, tributação do "extra" do jogador e deveres de informar (Receita, DAC8), IVA e sales tax, tipo e jurisdição da empresa.

Empresa e PI: tipo societário, contratos e cessão de direitos, registro de Yvaldis no INPI/USPTO/EUIPO (00 #9), seguro de responsabilidade e cibernético.

11. Ordem de implantação