Card Rush — Privacy Policy

Effective date: 7 November 2026 · Developer: KanPixel, an independent developer ("we", "us") — the controller of your data · Contact: kanpixel.studio@zohomail.com

Card Rush is a card auto-battler for desktop (Steam) and mobile (iOS / Android). You can play parts of it offline; the Arena, Boss Hunt, leaderboards and cloud save need our online service. This policy explains what we store, why, who else processes it, and how to delete it.

1. What we collect

We do not store your real name, e-mail address, phone number, precise location, contacts or payment details. We do not use analytics SDKs. The desktop (Steam) game has no advertising SDK and uses no advertising identifier; the mobile app shows ads (section 4a). Our game server keeps your IP address only in memory, for a few minutes, to limit abusive request rates; it does not write it to its logs or database. Our hosting and database providers may process IP addresses briefly in their own network logs to deliver and protect the service.

Error logs are written only on your own device. They are sent to us only if you choose to copy and paste them into a bug report. A copied log contains the game version, your operating system, processor and graphics card, the language, the time and the game's own messages; it does not contain your name, account identifier or sign-in token.

2. Why we use it

• To run online play: sign-in, cloud save, matching you with other players' saved boards, computing battles on our server, Boss Hunt tries and rewards.
• For leaderboards and seasons: your display name, rating, records and winning boards are shown to other players.
• For fairness and security: detecting cheating (e.g. impossible boards or results) and blocking abusive accounts.
• To keep the game working: finding errors and planning server capacity (aggregated data only).
• Sign in with Apple / Google (optional): to let you use the same account on several devices.
• Ads in the mobile app: to show the optional rewarded ads (section 4a).

We do not sell your personal data for money. On desktop we do not use it for advertising. In the mobile app, letting Google AdMob use data for personalised ads may count as "sharing" or "targeted advertising" under some US state laws; see section 7a to opt out.

3. What other players can see

Your display name, your rating and rank, your leaderboard and Boss Hunt records, and the boards you played (they appear as opponents in other players' runs and in record tables).

4. Who processes it for us

• Supabase (database), servers in Singapore.
• Fly.io (game server), servers in Singapore.
• Valve / Steam, if you play through Steam, under Steam's own privacy policy.
• Google (AdMob ads and its consent form, Sign in with Google, Google Play) and Apple (Sign in with Apple, App Store purchases), mobile app only, each also under its own privacy policy. How Google uses information from apps that use its services: policies.google.com/technologies/partner-sites.

These providers act on our instructions (or, for Google's and Apple's own services, under their own terms) and are bound by data-protection terms. Your data may therefore be stored and processed outside your country, including outside the European Economic Area; such transfers rely on the providers' data-processing terms, including the European Commission's standard contractual clauses where they apply.

4a. Mobile app (iOS / Android): ads and purchases

• Rewarded ads. The mobile app can show an optional video ad (you choose to watch it to pick one more relic). Ads are provided by Google AdMob, which may collect your device's advertising identifier, IP address and ad interaction data to serve and measure ads. In the EU / UK / EEA and in US states with privacy laws we show Google's consent / privacy form first; without consent only non-personalised ads are shown. On iOS we ask permission (App Tracking Transparency) before any tracking; if you decline, no advertising identifier is used.
• Remove Ads purchase. Payment is handled by Apple App Store / Google Play; we never see your card details. The store verifies the purchase on your device; our server receives no receipt or payment data. We only keep the fact that Remove Ads is owned in your cloud save, so it also works on your other devices.
• Starter Pack purchase (iOS). The pack gives items that live on our server, so when you buy or restore it the app sends your App Store receipt to our server. The server checks it with Apple, and stores the purchase's transaction ID together with your (pseudonymous) player ID and the product name, to give you the pack once and to stop the same purchase being used on another account. This record contains no name, e-mail or payment details. If you delete your account the link to you is removed, but the transaction ID is kept without personal data so a purchase cannot be claimed twice (fraud prevention).
• Children. The mobile app is rated for ages 13+ and ads are never personalised for users who say they are under the age of consent.
• You can change your ad choices in the app (Settings → Ad privacy choices, where shown) and in the device settings (iOS: Privacy & Security → Tracking; Android: Ads → Reset / Delete advertising ID).

4b. Sign in with Apple / Google

• What we receive: Sign in with Google asks only for the basic scopes openid, email and profile; Sign in with Apple asks for your name and e-mail (you can hide your e-mail). We use only the account's user ID, to recognise you at your next sign-in; the name, e-mail and profile picture are not stored.
• Google user data (Limited Use): Card Rush's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. We do not sell it, use it for advertising, share it with anyone, or use it to train AI models.
• Stop or revoke: Settings → Delete account removes the link and revokes the app's Apple access. You can also remove Card Rush from your Google Account (myaccount.google.com/permissions) or your Apple Account (iOS Settings → your name → Sign in with Apple, or account.apple.com).

5. How long we keep it

• While your account exists. Accounts with no sign-in for 24 months may be deleted.
• Boards already used as opponents are kept after you delete your account only in anonymised form: a random "Player #" name and no link to you. They help keep matchmaking working.
• Aggregated technical statistics contain no personal data and are kept as long as needed.

6. Deleting your data

• In the game: Settings → Delete account (type your name to confirm). Your account is hidden and locked at once: it no longer appears on leaderboards or as an opponent, and the save on that device is cleared. If you signed in with Apple or Google, the link is removed at once and the app's Sign in with Apple access is revoked with Apple. The account is deleted permanently after 30 days: account, cloud save, progress, rating, season results, runs, Boss Hunt tries and records. Within those 30 days you can open the game and choose Restore to get everything back. After that the deletion cannot be undone. Boards you played stay in the opponent pool only in anonymised form.
• By e-mail: write to kanpixel.studio@zohomail.com and include your display name. We may ask you to confirm from inside the game, then delete the account the same way (or at once if you ask).
• Backups: our database provider keeps backups for up to 7 days. Deleted data disappears from them when they expire.
• Banned accounts: if an account banned for cheating is deleted, we keep only the one-way hash of its device or Steam identifier, so that it cannot sign up again.
• Data on your device (local save, settings, logs) is removed when you uninstall the game or delete the game's data folder.

7. Your rights

Depending on where you live (for example under the EU / UK GDPR or US state laws), you may have the right to:

• be informed about and access your data, and receive a copy, also in a machine-readable format (portability);
• correct your display name;
• delete your data;
• object to or restrict some processing;
• withdraw consent at any time (this does not affect processing before it);
• complain to a data-protection authority (in the EU / UK, your local supervisory authority).

Contact us at kanpixel.studio@zohomail.com; we reply within 30 days. We may ask you to confirm the request from inside the game so that nobody else can request your data.

Legal basis (GDPR / UK GDPR): to provide the game and the sign-in you asked for (contract); for fair play, security and fraud prevention (legitimate interests); for personalised ads and ad measurement in the mobile app (your consent, which you can withdraw at any time in Settings → Ad privacy choices); and where the law requires it (legal obligation).

7a. US state privacy rights (e.g. California)

We collect the categories listed in section 1: identifiers (stored only as hashes), game activity, whether Remove Ads is owned, and the transaction ID of a Starter Pack purchase. In the mobile app Google AdMob may also receive the advertising identifier, IP address and ad interactions. You may ask to know, correct or delete your data (section 6) and opt out of the "sale" or "sharing" of personal data for targeted advertising: in the app open Settings → Ad privacy choices; on iOS you can also turn off "Allow Apps to Request to Track". We do not treat you differently for using these rights. Requests by an authorised agent can be sent to our e-mail address.

8. Children

Card Rush is not directed at children under 13. We do not knowingly collect data from children below that age. Where your country requires a higher age to consent alone (for example 16 in some EU countries), you need a parent's or guardian's consent to play online. If you believe a child has created an account, contact us and we will delete it.

9. Security

• Data travels over encrypted connections (HTTPS).
• The database can only be reached by our game server.
• The game's key, device, Steam, Apple and Google identifiers are stored only as one-way hashes; Apple refresh tokens are encrypted (AES-256).

No system is perfectly secure. If a breach affects your data, we will notify you and the authorities as the law requires.

10. Changes

If we change this policy, we will update the date above. If the changes are significant, we will also tell you in the game or on the store page.

Card Rush — Chính sách quyền riêng tư (tiếng Việt)

Ngày hiệu lực: 7/11/2026 · Nhà phát triển: KanPixel, nhà phát triển độc lập — bên kiểm soát dữ liệu của bạn · Liên hệ: kanpixel.studio@zohomail.com

Card Rush là game card auto-battler trên desktop (Steam) và di động (iOS / Android). Một phần game chơi offline được; Đấu Trường, Săn Boss, bảng xếp hạng và lưu đám mây cần dịch vụ online của chúng tôi. Chính sách này giải thích chúng tôi lưu gì, vì sao, ai cùng xử lý và cách xoá.

1. Dữ liệu chúng tôi thu thập

• Mã định danh tài khoản: dạng băm một chiều của một khoá ngẫu nhiên do game tạo trên thiết bị của bạn (một lần, kèm mã thiết bị — trên iOS là mã nhà phát triển IDFV — để chuyển tài khoản cũ sang khoá này), hoặc của Steam ID khi bạn đăng nhập bằng Steam. Chúng tôi không lưu khoá hay mã gốc.
• Đăng nhập với Apple / Google (tuỳ chọn, bản di động): Apple hoặc Google gửi token đã ký gồm mã người dùng và, nếu bạn cho phép, tên và email. Chúng tôi kiểm tra token, chỉ lưu dạng băm một chiều của mã người dùng và bỏ tên, email. Với Apple, chúng tôi giữ thêm refresh token đã mã hoá, chỉ dùng để thu hồi quyền truy cập của app khi bạn xoá tài khoản.
• Tên hiển thị: "Player #1234" hoặc tên bạn tự đặt.
• Tiến độ game (lưu đám mây): kho relic, nội dung đã mở, độ khó đã vượt, độ thành thục, cài đặt ảnh hưởng tới lối chơi, việc bạn đã mua Bỏ quảng cáo hay chưa.
• Dữ liệu trận đấu: đội hình bạn xếp, kết quả run và trận, MMR, kết quả mùa, lượt Săn Boss, kỷ lục và các lần đánh nhanh.
• Dữ liệu kỹ thuật: thời điểm chơi, phiên bản game, số lượt gọi server và thời gian phản hồi. Phần này được gộp chung, không gắn với danh tính của bạn.

Chúng tôi không lưu họ tên thật, email, số điện thoại, vị trí chính xác, danh bạ hay thông tin thanh toán, và không dùng công cụ phân tích. Bản desktop (Steam) không có quảng cáo và không dùng mã quảng cáo; bản di động có quảng cáo (mục 4a). Game server chỉ giữ địa chỉ IP trong bộ nhớ vài phút để chống gọi quá mức, không ghi vào log hay database. Nhà cung cấp hosting và database có thể xử lý IP trong thời gian ngắn ở nhật ký mạng của họ.

Log lỗi chỉ nằm trên thiết bị của bạn. Chúng tôi chỉ nhận được nếu bạn tự sao chép và gửi kèm báo lỗi. Log đã sao chép gồm phiên bản game, hệ điều hành, CPU và card đồ hoạ, ngôn ngữ, thời gian và thông báo của game; không có tên, mã tài khoản hay token đăng nhập.

2. Mục đích sử dụng

• Vận hành chơi online: đăng nhập, lưu đám mây, ghép bạn với đội hình đã lưu của người khác, tính trận trên server, lượt Săn Boss và phần thưởng.
• Bảng xếp hạng và mùa giải: tên hiển thị, MMR, kỷ lục và đội hình thắng được hiện cho người chơi khác.
• Chống gian lận và bảo mật.
• Bảo trì hệ thống: chỉ dùng dữ liệu gộp.
• Đăng nhập với Apple / Google (tuỳ chọn): để bạn dùng cùng một tài khoản trên nhiều thiết bị.
• Quảng cáo trên bản di động: hiển thị quảng cáo có thưởng tuỳ chọn (mục 4a).

Chúng tôi không bán dữ liệu cá nhân để lấy tiền. Bản desktop không dùng dữ liệu cho quảng cáo. Trên bản di động, việc cho Google AdMob dùng dữ liệu để cá nhân hoá quảng cáo có thể được coi là "chia sẻ" hoặc "quảng cáo nhắm mục tiêu" theo luật một số bang của Mỹ; xem mục 7a để từ chối.

3. Người chơi khác thấy gì

Tên hiển thị, MMR và hạng, kỷ lục trên bảng xếp hạng và Săn Boss, và đội hình bạn đã chơi. Đội hình này xuất hiện làm đối thủ của người khác và trong bảng kỷ lục.

4. Bên xử lý dữ liệu

• Supabase: database, máy chủ tại Singapore.
• Fly.io: game server, máy chủ tại Singapore.
• Valve / Steam: nếu bạn chơi qua Steam, theo chính sách riêng của Steam.
• Google (quảng cáo AdMob và biểu mẫu đồng ý, Đăng nhập với Google, Google Play) và Apple (Đăng nhập với Apple, mua trên App Store), chỉ ở bản di động, theo chính sách riêng của từng bên. Cách Google dùng thông tin từ các app dùng dịch vụ của Google: policies.google.com/technologies/partner-sites.

Vì vậy dữ liệu có thể được lưu và xử lý ngoài Khu vực Kinh tế châu Âu; việc chuyển này dựa trên điều khoản xử lý dữ liệu của các nhà cung cấp, gồm điều khoản hợp đồng mẫu của Uỷ ban châu Âu khi áp dụng.

4a. Bản di động (iOS / Android): quảng cáo và mua hàng

• Quảng cáo có thưởng. Bản di động có video quảng cáo tuỳ chọn (bạn chủ động xem để chọn thêm 1 relic). Quảng cáo do Google AdMob cung cấp, có thể thu thập mã quảng cáo của thiết bị, địa chỉ IP và dữ liệu tương tác để hiển thị và đo lường. Ở EU / UK / EEA và các bang của Mỹ có luật quyền riêng tư, chúng tôi hiện biểu mẫu đồng ý / quyền riêng tư của Google trước; không đồng ý thì chỉ hiện quảng cáo không cá nhân hoá. Trên iOS chúng tôi xin phép (App Tracking Transparency) trước khi theo dõi; nếu bạn từ chối, không dùng mã quảng cáo.
• Mua "Bỏ quảng cáo". Thanh toán do Apple App Store / Google Play xử lý; chúng tôi không thấy thông tin thẻ. Cửa hàng xác minh giao dịch ngay trên thiết bị; server của chúng tôi không nhận biên nhận hay dữ liệu thanh toán. Chúng tôi chỉ lưu việc bạn đã có Bỏ quảng cáo trong bản lưu đám mây để nó dùng được trên thiết bị khác của bạn.
• Trẻ em. Bản di động xếp hạng từ 13+ và không cá nhân hoá quảng cáo với người dùng cho biết dưới tuổi đồng ý.
• Bạn có thể đổi lựa chọn quảng cáo trong app (Cài đặt → Quyền riêng tư quảng cáo, khi có) và trong cài đặt thiết bị (iOS: Quyền riêng tư & Bảo mật → Theo dõi; Android: Quảng cáo → Đặt lại / Xoá mã quảng cáo).

4b. Đăng nhập với Apple / Google

• Dữ liệu nhận được: Đăng nhập với Google chỉ xin các quyền cơ bản openid, email, profile; Đăng nhập với Apple xin tên và email (bạn có thể ẩn email). Chúng tôi chỉ dùng mã người dùng để nhận ra bạn ở lần đăng nhập sau; không lưu tên, email hay ảnh đại diện.
• Dữ liệu người dùng Google (Limited Use): việc Card Rush dùng và chuyển thông tin nhận từ Google API tuân thủ Chính sách dữ liệu người dùng của Google API Services, gồm các yêu cầu Limited Use. Chúng tôi không bán, không dùng cho quảng cáo, không chia sẻ cho ai và không dùng để huấn luyện AI.
• Ngừng hoặc thu hồi: Cài đặt → Xoá tài khoản gỡ liên kết và thu hồi quyền Apple của app. Bạn cũng có thể gỡ Card Rush khỏi tài khoản Google (myaccount.google.com/permissions) hoặc tài khoản Apple (Cài đặt iOS → tên bạn → Đăng nhập bằng Apple, hoặc account.apple.com).

5. Thời gian lưu

• Trong suốt thời gian tài khoản còn tồn tại. Tài khoản không đăng nhập 24 tháng có thể bị xoá.
• Đội hình đã dùng làm đối thủ chỉ được giữ lại ở dạng ẩn danh sau khi bạn xoá tài khoản: tên ngẫu nhiên dạng "Player #", không liên kết tới bạn.
• Thống kê kỹ thuật gộp không chứa dữ liệu cá nhân.

6. Xoá dữ liệu

• Trong game: Cài đặt → Xoá tài khoản (gõ lại tên để xác nhận). Tài khoản bị ẩn và khoá ngay: không còn hiện trên bảng xếp hạng và không được ghép làm đối thủ, bản lưu trên thiết bị đó bị xoá. Nếu bạn đã đăng nhập với Apple hoặc Google, liên kết bị gỡ ngay và quyền Đăng nhập với Apple của app được thu hồi với Apple. Sau 30 ngày, tài khoản bị xoá vĩnh viễn: tài khoản, bản lưu đám mây, tiến độ, MMR, kết quả mùa, lịch sử run, lượt và kỷ lục Săn Boss. Trong 30 ngày đó, bạn có thể mở game và chọn Khôi phục để lấy lại mọi thứ; sau đó thì không thể khôi phục. Đội hình bạn từng chơi chỉ còn lại trong nhóm đối thủ ở dạng ẩn danh.
• Qua email: gửi tới kanpixel.studio@zohomail.com, kèm tên hiển thị của bạn. Chúng tôi có thể đề nghị bạn xác nhận trong game, sau đó xoá theo cách trên, hoặc xoá ngay nếu bạn yêu cầu.
• Bản sao lưu: nhà cung cấp database giữ bản sao lưu tối đa 7 ngày; dữ liệu đã xoá biến mất khỏi bản sao lưu khi bản đó hết hạn.
• Tài khoản bị cấm: nếu tài khoản bị cấm vì gian lận được xoá, chúng tôi chỉ giữ dạng băm của mã thiết bị hoặc Steam ID để tài khoản đó không đăng ký lại được.
• Dữ liệu trên thiết bị (bản lưu offline, cài đặt, log) mất khi gỡ game hoặc xoá thư mục dữ liệu của game.

7. Quyền của bạn

Theo luật bảo vệ dữ liệu nơi bạn sống (ví dụ GDPR nếu bạn ở EU / UK, hoặc luật các bang của Mỹ), bạn có quyền:

• được biết, truy cập và nhận bản sao dữ liệu, kể cả ở định dạng máy đọc được;
• chỉnh sửa tên hiển thị;
• xoá dữ liệu;
• phản đối hoặc hạn chế việc xử lý;
• rút lại sự đồng ý bất cứ lúc nào (không ảnh hưởng việc xử lý trước đó);
• khiếu nại tới cơ quan có thẩm quyền.

Liên hệ kanpixel.studio@zohomail.com; chúng tôi trả lời trong vòng 30 ngày và có thể đề nghị bạn xác nhận trong game để người khác không yêu cầu thay bạn được.

Cơ sở pháp lý (GDPR): cung cấp game và việc đăng nhập bạn yêu cầu (hợp đồng); chống gian lận và bảo mật (lợi ích chính đáng); quảng cáo cá nhân hoá và đo lường quảng cáo trên bản di động (sự đồng ý của bạn, rút lại được trong Cài đặt → Quyền riêng tư quảng cáo); và khi luật yêu cầu (nghĩa vụ pháp lý).

7a. Quyền theo luật các bang của Mỹ (ví dụ California)

Chúng tôi thu thập các loại dữ liệu ở mục 1: mã định danh (chỉ ở dạng băm), hoạt động trong game và việc bạn đã có Bỏ quảng cáo. Trên bản di động, Google AdMob có thể nhận mã quảng cáo, địa chỉ IP và dữ liệu tương tác quảng cáo. Bạn có thể yêu cầu biết, sửa hoặc xoá dữ liệu (mục 6) và từ chối việc "bán" hoặc "chia sẻ" dữ liệu cho quảng cáo nhắm mục tiêu: trong app vào Cài đặt → Quyền riêng tư quảng cáo; trên iOS có thể tắt "Cho phép ứng dụng yêu cầu theo dõi". Chúng tôi không đối xử khác với bạn vì bạn dùng các quyền này.

8. Trẻ em

Game không hướng tới trẻ dưới 13 tuổi. Nếu nước bạn quy định tuổi tự đồng ý cao hơn (ví dụ 16 ở một số nước EU), bạn cần cha mẹ hoặc người giám hộ đồng ý để chơi online. Nếu bạn biết có trẻ em đã tạo tài khoản, hãy báo để chúng tôi xoá.

9. Bảo mật

• Kết nối được mã hoá (HTTPS).
• Database chỉ game server truy cập được.
• Khoá của game, mã thiết bị, Steam ID, mã Apple và Google chỉ được lưu ở dạng băm; refresh token của Apple được mã hoá (AES-256).

Nếu có sự cố lộ dữ liệu, chúng tôi sẽ thông báo cho bạn và cơ quan có thẩm quyền theo quy định.

10. Thay đổi

Khi chính sách thay đổi, chúng tôi cập nhật ngày ở đầu trang. Thay đổi lớn sẽ được thông báo trong game hoặc trên trang cửa hàng.