O que vocês guardam sobre minha conta?

Só o que o login e seu histórico de compras precisam.

Contas com e-mail: o e-mail em minúsculas e um hash scrypt da senha, nunca a própria senha. Contas com token: um hash de login do token, os 4 últimos caracteres dele e uma única cópia criptografada que existe só para que as recargas encontrem a conta certa. Além disso, cada conta tem o saldo, o histórico de pagamentos, as datas dos passes e um hash do IP de onde foi criada.