SPIRELON

✕

Privacy Policy

Last updated: 3 October 2026 · Deutsche Fassung

1. Controller

Philipp Hellmeier (bitrylon-studio)
Europaring 90, 53757 St. Augustin, Germany
E-mail: contact@bitrylon-studio.de

2. Overview

Spirelon can largely be played offline. Online features (leaderboards, weekly challenge, ghost races, arena, invites, purchase verification) need a player account, which is created when you sign in with Google Play Games. The table of contents below lists every processing activity:

• Data on your device (section 3)
• Sign-in and player account (4) · leaderboards and weekly challenge (5) · ghost races (6) · arena (7) · invites (8)
• In-app purchases (9) · gameplay analytics, only with consent (10) · advertising (11) · rating prompt (12)
• Server logs (13) · recipients and transfers (14) · deleting your account (15) · your rights (16)

3. Data stored on your device

Game progress, coins, items, skills, settings, your own ghost recordings and the display name are stored locally on your device. This data stays on the device unless a feature below sends it. Uninstalling the app or clearing its data removes it.

4. Sign-in with Google Play Games and player account

When you start the app you sign in with Google Play Games. We receive your Play Games display name and a sign-in code, which we use to create a player account with Google Firebase Authentication. Firebase stores a random account ID, the linked Play Games ID, the time of creation and of the last sign-in. The account ID is the key for all online data described below; your display name is shown to other players.

Legal basis: performance of the contract, i.e. providing the online features of the game (Art. 6(1)(b) GDPR). Retention: until you delete your account (section 15).

5. Leaderboards and weekly challenge

For the global leaderboard and the weekly challenge we store your display name, your score, the map or level, the time and your account ID in Google Cloud Firestore. All signed-in players can see the entries with your display name.

Legal basis: Art. 6(1)(b) GDPR. Retention: global highscores until account deletion; weekly challenge entries are deleted automatically after 60 days.

6. Ghost races

When you set a personal best on a map, a recording of the run is uploaded: your position about ten times per second and movement states, the height reached, the survival time, the character, your skill levels, your display name, the app version and your account ID. Our server checks the recording for plausibility (anti-cheat). Other players see the run as a translucent “ghost” with your display name.

Legal basis: Art. 6(1)(b) GDPR. Retention: until newer runs push it out of the pool, or until account deletion.

7. Arena (real-time multiplayer)

The arena connects you with other players through Unity Gaming Services (Unity Technologies): anonymous Unity sign-in (random player ID), lobby/matchmaking and the game connection. For the connection your IP address is processed. During a round, your display name, character, position and actions are transmitted to the other players in real time.

After each round our server stores the participants, placements, heights reached and enemies defeated (deleted automatically after 90 days) and your arena rating with display name, number of games and wins. The arena ranking with display names is visible to all signed-in players. Private lobbies are joined via a code that you share yourself.

Legal basis: Art. 6(1)(b) GDPR. Retention: rating until account deletion, round records 90 days.

8. Invite friends

You receive a personal invite code that you can share through the Android share menu (we do not see whom you send it to). If a friend installs the game via your link, the code is read on their device through the Google Play Install Referrer API and only used after the friend confirms it. We store the code, the link between the two accounts, the inviter’s display name (shown to the friend) and the friend’s highest completed mission (shown to the inviter only as “Friend 2: mission 3/5”, without a name).

To prevent the same device from being used for several invites, the app sends a hashed device identifier (SHA-256 of the Android ID with a fixed salt; the Android ID itself never leaves the device). It is only sent when you redeem a code or open the invite panel.

So that deleting the account and signing in again does not unlock the invite bonus a second time, we also store a hash of your Google Play Games player ID (SHA-256 with a fixed secret prefix) together with the date your first account was created, whether you have already redeemed a code, and the number of friends you have invited (for the bonus tiers and the monthly limit). This record contains neither your account ID nor your name and is kept when you delete your account.

Legal basis: Art. 6(1)(b) GDPR for the invite feature; our legitimate interest in preventing reward fraud (Art. 6(1)(f) GDPR) for the device hash and the player ID hash. Retention: invite data until account deletion; device hash and player ID hash 12 months after their last use.

9. In-app purchases

Purchases are processed by Google Play; we never receive payment details. To prevent fake purchases, the app sends the purchase receipt (product, order number, purchase token) to our verification function, which checks it with the Google Play Developer API. We store the purchase token, product, order number, coins granted, time and your account ID so that a purchase can only be credited once.

Legal basis: Art. 6(1)(b) GDPR, and our legitimate interest in preventing fraud (Art. 6(1)(f) GDPR). Retention: permanently as protection against double crediting; after account deletion without your account ID.

10. Gameplay analytics (only with your consent)

On first launch we ask whether gameplay analytics may be collected via Unity Gaming Services Analytics (Unity Technologies, processor on our behalf). Only with consent we transmit pseudonymous data: progress events (height, map, mission, duration, enemies defeated), device information (model, memory class, frame rate), errors and crashes, and a random installation ID. No name, e-mail address or advertising ID. Without consent nothing is sent.

Legal basis: consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG). You can withdraw it at any time in Settings → Privacy and have the collected data deleted there. Retention at Unity: at most 12 months.

The Firebase SDK used for sign-in includes Google Analytics for Firebase. We have permanently disabled it in the app; it sends no data.

11. Advertising (Google AdMob)

Spirelon shows ads via Google AdMob (Google Ireland Limited): optional rewarded videos (e.g. for an extra life or double coins) and occasional interstitial ads. To deliver, measure and limit the frequency of ads, Google may process your advertising ID, IP address, approximate location, device information and interactions with ads.

In the EEA, the UK and Switzerland, Google’s consent form (User Messaging Platform) asks for your consent before personalised ads are shown. You can change your choice at any time in Settings → Privacy → Ad settings. You can reset your advertising ID or opt out of personalised ads in the Android settings. Ads can be switched off fully or partly with an in-app purchase.

Legal basis: consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG) for personalised ads; for non-personalised ads our legitimate interest in financing the free game (Art. 6(1)(f) GDPR). More: How Google uses data from apps.

12. Rating prompt

After certain successes the app may ask Google Play to show its rating dialog (Google Play In-App Review API). Google processes this; we do not learn whether or how you rated.

13. Server logs

Our server functions (Google Cloud Functions, region europe-west1, Belgium) log your account ID, the requested action and its result for operation and abuse detection. Google Cloud processes the IP address of the request for delivery. Logs are deleted after 30 days. Legal basis: Art. 6(1)(f) GDPR (secure operation).

14. Recipients and international transfers

• Google Ireland Limited / Google LLC: Google Play, Play Games, Firebase Authentication, Cloud Firestore, Cloud Functions, AdMob, In-App Review.
• Unity Technologies: Unity Gaming Services (Analytics, Authentication, Multiplayer).

Both may process data in the USA. Transfers are based on the EU–US Data Privacy Framework and/or Standard Contractual Clauses (Art. 45, 46 GDPR). We do not sell personal data.

15. Deleting your account

In the app: Settings → Privacy → Delete account and online data. This deletes your player account, leaderboard and weekly entries, ghost runs, arena rating, invite code and invites, and your analytics data at Unity. Without the app: see Delete your Spirelon account or write to contact@bitrylon-studio.de.

Kept after deletion: anonymised purchase records without your account ID (fraud prevention), the hashed device ID and the hashed Play Games player ID from invites (at most 12 months, see section 8), arena round records without your name until they expire (90 days), server logs (30 days). Data on your device stays until you uninstall the app.

16. Your rights

You have the right to access (Art. 15), rectification (16), erasure (17), restriction (18), data portability (20) and to object to processing based on legitimate interests (21 GDPR). You can withdraw consent at any time with effect for the future. Contact: contact@bitrylon-studio.de. You may lodge a complaint with a supervisory authority, e.g. the Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

17. Changes

We update this policy when the app changes. The current version is always available here and via Settings → Privacy in the app.

---

Datenschutzerklärung (Deutsch)

Stand: 3. Oktober 2026

1. Verantwortlicher

Philipp Hellmeier (bitrylon-studio)
Europaring 90, 53757 St. Augustin
E-Mail: contact@bitrylon-studio.de

2. Überblick

Spirelon lässt sich weitgehend offline spielen. Online-Funktionen (Bestenlisten, Wochen-Challenge, Geisterrennen, Arena, Einladungen, Kaufprüfung) brauchen ein Spielerkonto, das bei der Anmeldung mit Google Play Spiele angelegt wird. Alle Verarbeitungen im Überblick:

• Daten auf deinem Gerät (Abschnitt 3)
• Anmeldung und Spielerkonto (4) · Bestenlisten und Wochen-Challenge (5) · Geisterrennen (6) · Arena (7) · Einladungen (8)
• In-App-Käufe (9) · Spielanalyse, nur mit Einwilligung (10) · Werbung (11) · Bewertungsbitte (12)
• Server-Protokolle (13) · Empfänger und Drittlandübermittlung (14) · Konto löschen (15) · deine Rechte (16)

3. Auf deinem Gerät gespeicherte Daten

Spielfortschritt, Münzen, Items, Fähigkeiten, Einstellungen, deine eigenen Geister-Aufzeichnungen und der Anzeigename werden lokal auf deinem Gerät gespeichert. Diese Daten bleiben auf dem Gerät, sofern sie nicht eine der unten beschriebenen Funktionen überträgt. Deinstallieren oder Löschen der App-Daten entfernt sie.

4. Anmeldung mit Google Play Spiele und Spielerkonto

Beim Start meldest du dich mit Google Play Spiele an. Wir erhalten deinen Play-Spiele-Anzeigenamen und einen Anmeldecode, mit dem wir bei Google Firebase Authentication ein Spielerkonto anlegen. Firebase speichert eine zufällige Konto-ID, die verknüpfte Play-Spiele-ID sowie den Zeitpunkt der Anlage und der letzten Anmeldung. Die Konto-ID ist der Schlüssel aller unten beschriebenen Online-Daten; dein Anzeigename ist für andere Spieler sichtbar.

Rechtsgrundlage: Vertragserfüllung, also die Bereitstellung der Online-Funktionen (Art. 6 Abs. 1 lit. b DSGVO). Speicherdauer: bis zur Löschung deines Kontos (Abschnitt 15).

5. Bestenlisten und Wochen-Challenge

Für die globale Bestenliste und die Wochen-Challenge speichern wir deinen Anzeigenamen, deine Punktzahl, die Karte bzw. das Level, den Zeitpunkt und deine Konto-ID in Google Cloud Firestore. Alle angemeldeten Spieler sehen die Einträge mit deinem Anzeigenamen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: globale Bestwerte bis zur Kontolöschung; Einträge der Wochen-Challenge werden nach 60 Tagen automatisch gelöscht.

6. Geisterrennen

Stellst du auf einer Karte eine neue Bestleistung auf, wird eine Aufzeichnung des Laufs hochgeladen: deine Position etwa zehnmal pro Sekunde und Bewegungszustände, die erreichte Höhe, die Überlebenszeit, der Charakter, deine Fähigkeits-Stufen, dein Anzeigename, die App-Version und deine Konto-ID. Unser Server prüft die Aufzeichnung auf Plausibilität (Schutz vor Schummeln). Andere Spieler sehen den Lauf als halbtransparenten „Geist“ mit deinem Anzeigenamen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis neuere Läufe die Aufzeichnung aus dem Pool verdrängen, längstens bis zur Kontolöschung.

7. Arena (Echtzeit-Mehrspieler)

Die Arena verbindet dich über Unity Gaming Services (Unity Technologies) mit anderen Spielern: anonyme Unity-Anmeldung (zufällige Spieler-ID), Lobby/Spielersuche und die Spielverbindung. Für die Verbindung wird deine IP-Adresse verarbeitet. Während einer Runde werden Anzeigename, Charakter, Position und Aktionen in Echtzeit an die Mitspieler übertragen.

Nach jeder Runde speichert unser Server Teilnehmer, Platzierungen, erreichte Höhen und besiegte Gegner (automatische Löschung nach 90 Tagen) sowie deine Arena-Wertung mit Anzeigename, Zahl der Spiele und Siege. Die Arena-Rangliste mit Anzeigenamen ist für alle angemeldeten Spieler sichtbar. Privaten Lobbys trittst du über einen Code bei, den du selbst weitergibst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Wertung bis zur Kontolöschung, Rundenprotokolle 90 Tage.

8. Freunde einladen

Du erhältst einen persönlichen Einladungscode, den du über das Android-Teilen-Menü weitergeben kannst (wir sehen nicht, an wen). Installiert ein Freund das Spiel über deinen Link, wird der Code auf seinem Gerät über die Google Play Install Referrer API gelesen und erst nach seiner Bestätigung verwendet. Wir speichern den Code, die Verknüpfung der beiden Konten, den Anzeigenamen des Einladenden (wird dem Freund angezeigt) und die höchste geschaffte Mission des Freundes (wird dem Einladenden nur als „Freund 2: Mission 3/5“ angezeigt, ohne Namen).

Damit dasselbe Gerät nicht für mehrere Einladungen genutzt wird, sendet die App eine gehashte Gerätekennung (SHA-256 der Android-ID mit festem Salt; die Android-ID selbst verlässt das Gerät nie). Sie wird nur gesendet, wenn du einen Code einlöst oder das Einladen-Fenster öffnest.

Damit das Löschen des Kontos und eine erneute Anmeldung den Einladungsbonus nicht ein zweites Mal freischalten, speichern wir außerdem einen Hash deiner Spieler-ID bei Google Play Spiele (SHA-256 mit festem geheimem Präfix) zusammen mit dem Anlagedatum deines ersten Kontos, ob du schon einen Code eingelöst hast, und der Zahl deiner eingeladenen Freunde (für die Bonusstaffel und das Monatslimit). Dieser Eintrag enthält weder deine Konto-ID noch deinen Namen und bleibt bei einer Kontolöschung bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Einladungsfunktion; für die Gerätekennung und den Hash der Spieler-ID unser berechtigtes Interesse, Belohnungsbetrug zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: Einladungsdaten bis zur Kontolöschung, Gerätekennung und Hash der Spieler-ID 12 Monate nach der letzten Verwendung.

9. In-App-Käufe

Käufe wickelt Google Play ab; Zahlungsdaten erhalten wir nie. Zum Schutz vor gefälschten Käufen sendet die App den Kaufbeleg (Produkt, Bestellnummer, Kauf-Token) an unsere Prüffunktion, die ihn bei der Google Play Developer API prüft. Wir speichern Kauf-Token, Produkt, Bestellnummer, gutgeschriebene Münzen, Zeitpunkt und deine Konto-ID, damit ein Kauf nur einmal gutgeschrieben wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an der Betrugsverhinderung (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: dauerhaft als Schutz vor doppelter Gutschrift; nach einer Kontolöschung ohne deine Konto-ID.

10. Spielanalyse (nur mit Einwilligung)

Beim ersten Start fragen wir, ob Spielanalysedaten über Unity Gaming Services Analytics (Unity Technologies, Auftragsverarbeiter) erfasst werden dürfen. Nur mit Einwilligung übertragen wir pseudonyme Daten: Spielverlauf (Höhe, Karte, Mission, Dauer, besiegte Gegner), Geräteinformationen (Modell, Speicherklasse, Bildrate), Fehler und Abstürze sowie eine zufällige Installations-ID. Kein Name, keine E-Mail-Adresse, keine Werbe-ID. Ohne Einwilligung wird nichts gesendet.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit unter Einstellungen → Datenschutz widerrufen und die erhobenen Daten dort löschen lassen. Speicherdauer bei Unity: höchstens 12 Monate.

Das für die Anmeldung genutzte Firebase-SDK enthält Google Analytics für Firebase. Wir haben es in der App dauerhaft deaktiviert; es sendet keine Daten.

11. Werbung (Google AdMob)

Spirelon zeigt Werbung über Google AdMob (Google Ireland Limited): freiwillige Belohnungsvideos (z. B. für ein Extraleben oder doppelte Münzen) und gelegentliche Zwischenwerbung. Zum Ausliefern, Messen und Begrenzen der Werbung kann Google deine Werbe-ID, IP-Adresse, deinen ungefähren Standort, Geräteinformationen und Interaktionen mit Anzeigen verarbeiten.

Im EWR, im Vereinigten Königreich und in der Schweiz fragt Googles Einwilligungsdialog (User Messaging Platform) vor personalisierter Werbung nach deiner Einwilligung. Du kannst deine Auswahl jederzeit unter Einstellungen → Datenschutz → Werbe-Einstellungen ändern. In den Android-Einstellungen kannst du deine Werbe-ID zurücksetzen oder personalisierte Werbung abschalten. Werbung lässt sich per In-App-Kauf ganz oder teilweise abschalten.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) für personalisierte Werbung; für nicht personalisierte Werbung unser berechtigtes Interesse an der Finanzierung des kostenlosen Spiels (Art. 6 Abs. 1 lit. f DSGVO). Mehr: So verwendet Google Daten aus Apps.

12. Bewertungsbitte

Nach bestimmten Erfolgen kann die App Google Play bitten, den Bewertungsdialog anzuzeigen (Google Play In-App Review API). Das verarbeitet Google; wir erfahren nicht, ob und wie du bewertet hast.

13. Server-Protokolle

Unsere Serverfunktionen (Google Cloud Functions, Region europe-west1, Belgien) protokollieren für Betrieb und Missbrauchserkennung deine Konto-ID, die angefragte Aktion und das Ergebnis. Google Cloud verarbeitet zur Zustellung die IP-Adresse der Anfrage. Die Protokolle werden nach 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

14. Empfänger und Drittlandübermittlung

• Google Ireland Limited / Google LLC: Google Play, Play Spiele, Firebase Authentication, Cloud Firestore, Cloud Functions, AdMob, In-App Review.
• Unity Technologies: Unity Gaming Services (Analytics, Authentication, Multiplayer).

Beide können Daten in den USA verarbeiten. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln (Art. 45, 46 DSGVO). Wir verkaufen keine personenbezogenen Daten.

15. Konto löschen

In der App: Einstellungen → Datenschutz → Konto und Online-Daten löschen. Gelöscht werden dein Spielerkonto, deine Einträge in Bestenlisten und Wochen-Challenge, deine Geister-Läufe, deine Arena-Wertung, dein Einladungscode und deine Einladungen sowie deine Analysedaten bei Unity. Ohne App: siehe Spirelon-Konto löschen oder E-Mail an contact@bitrylon-studio.de.

Nach der Löschung bleiben: anonymisierte Kaufbelege ohne Konto-ID (Betrugsschutz), die gehashte Gerätekennung und die gehashte Spieler-ID aus Einladungen (höchstens 12 Monate, siehe Abschnitt 8), Arena-Rundenprotokolle ohne deinen Namen bis zu ihrem Ablauf (90 Tage), Server-Protokolle (30 Tage). Daten auf deinem Gerät bleiben, bis du die App deinstallierst.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung der Verarbeitung (18), Datenübertragbarkeit (20) und Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen (21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Kontakt: contact@bitrylon-studio.de. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

17. Änderungen

Wir passen diese Erklärung an, wenn sich die App ändert. Die aktuelle Fassung findest du immer hier und in der App unter Einstellungen → Datenschutz.