隐私说明与数据保护政策

一、信息收集范围与类型

我们仅收集与提供游戏服务直接相关的必要信息，遵循"最小化收集"原则。根据您使用的功能模块不同，收集的信息类型分为以下三类：

• 账户注册信息：当您创建账户时，我们需要收集您的手机号码、电子邮箱地址、用户名及登录密码（经 bcrypt 加盐哈希处理）。若您使用第三方 OAuth 登录（如 Google、Apple ID），我们将获取您在第三方平台公开的 UID 与昵称。
• 实名认证信息：根据相关法律法规要求，您在进行充值或提现前必须完成实名认证。我们需要收集您的真实姓名、身份证号码。该信息将被加密存储在独立的合规服务器中，与游戏业务数据库物理隔离。
• 设备与技术日志：为保障服务安全与反作弊，我们会自动收集您的 IP 地址、设备型号、操作系统版本、唯一设备标识符（IMEI/IDFA，仅在您授权后获取）、网络类型（Wi-Fi/4G/5G）以及操作日志（如点击流、崩溃日志）。

我们特别声明：本平台不会收集您设备中与游戏无关的个人文件、通讯录、短信内容或照片。

二、信息使用目的与方式

所有收集到的信息仅用于明确的目的，绝不会用于与本平台服务无关的场景。具体使用场景包括：

1. 提供核心服务：用于创建账户、验证身份、处理充值提现交易、保存游戏进度与战绩。
2. 安全风控：利用设备指纹与行为特征分析，识别并阻止多开作弊、盗号、洗钱等违规行为。例如，当同一设备在 1 小时内登录超过 5 个不同账户时，系统将触发风控锁定。
3. 个性化推荐：基于您的对局偏好（如偏好"经典专区"或"麻将胡了2"），向您推送适合的赛事活动通知。您可在"设置"中关闭个性化推送，关闭后您仍会收到必要的交易与安全通知。
4. 客户服务：用于核验您的身份并解决您提出的工单问题。

我们承诺，绝不会将您的个人信息用于任何形式的"大数据杀熟"或与第三方共享您的身份信息用于其独立营销。

三、Cookie 与追踪技术说明

本平台使用 Cookie 及类似技术（如 LocalStorage、像素标签）来提升用户体验与安全防护。具体应用如下：

您可以通过浏览器设置删除或阻止所有 Cookie。但请注意，禁用"严格必要 Cookie"将导致您无法正常登录游戏。

四、第三方数据共享政策

我们深知数据共享的敏感性。除以下情况外，我们不会向任何第三方出售、出租或交易您的个人信息：

• 支付服务提供商：当您进行充值时，您的交易金额与支付凭证（非完整银行卡号）将传输至支付宝、微信支付或银联等持牌机构以完成结算。我们仅共享完成交易所必需的最少字段。
• 云计算服务商：我们的服务器托管于阿里云（新加坡区域）及 AWS（法兰克福区域）。这些服务商仅作为数据处理者，无权将您的数据用于任何其他目的。
• 法律合规要求：当收到具有管辖权的法院、监管机构或执法部门依法出具的正式文书时，我们将依法提供必要的信息。
• 集团关联公司：我们可能与 PG 集团旗下的其他游戏品牌共享聚合的、不可识别的统计信息（如"某地区活跃玩家数量"），用于行业分析。

我们要求所有第三方合作伙伴签署严格的数据保护协议（DPA），并遵循 GDPR 及《中华人民共和国个人信息保护法》的最高标准。

五、用户权利：访问、修改与删除

根据适用法律，您对您的个人数据享有以下权利。您可以通过登录网页端"账户设置"页面自助操作，或联系客服行使以下权利：

1. 访问权：您有权获取我们持有的关于您的个人信息副本。我们将在 15 个工作日内提供 CSV 格式的数据导出文件。
2. 更正权：若您的绑定手机号、邮箱或收货地址发生变化，您可随时在"安全中心"进行修改。对于实名认证信息（姓名与身份证号），因涉及反洗钱法定义务，一旦通过审核，不可在线修改。如有特殊错误（如录入错别字），需联系人工客服提交公安机关证明进行更正。
3. 删除权（"被遗忘权"）：您可以通过提交工单申请注销账户。注销申请将在 7 天冷静期后生效。注销后，我们将删除您的所有游戏数据与身份信息，但根据《网络安全法》要求，您的交易流水记录需保留至少 6 个月以备审计。
4. 撤回同意权：您有权撤回对个性化推荐的授权。撤回后，我们将停止分析您的行为数据，但不会影响基本游戏功能的正常使用。

请注意：为保障账户安全，行使上述权利时，我们可能需要您提供额外的身份验证信息（如短信验证码或人脸识别），验证通过率通常在 99.8% 以上。

六、信息安全保障措施

我们已实施符合 ISO/IEC 27001 标准的信息安全管理体系。具体技术措施包括：

• 传输加密：所有数据在传输过程中均使用 TLS 1.3 协议加密，密钥长度为 256 位。
• 存储加密：数据库中的敏感字段（如身份证号、银行卡号）使用 AES-256-GCM 算法进行字段级加密存储。加密密钥由独立的密钥管理系统（KMS）保管，并每 90 天自动轮换一次。
• 访问控制：内部员工访问生产数据库需通过堡垒机进行双因素认证（2FA），且实行最小权限原则。任何对个人信息的查询操作均会记录完整的审计日志，日志保留期为 3 年。
• 安全监测：我们的安全运营中心（SOC）提供 7x24 小时实时入侵检测，平均每年拦截恶意攻击尝试超过 2,000 万次。2023 年全年未发生一起数据泄露事件。

七、政策更新与通知机制

我们可能会不时修订本隐私政策。重大变更（如收集信息类型扩大、第三方共享范围变化）将在生效前至少 7 日，通过以下方式通知您：

1. 站内信推送（登录后可见红色未读标记）；
2. 向您的绑定邮箱发送邮件通知；
3. 官方网站首页顶部展示公告横幅。

政策的非实质性变更（如措辞优化、格式调整）