隐私说明与数据保护政策

一、信息收集范围与类型

我们仅收集与提供游戏服务直接相关的必要信息，遵循"最小化收集"原则。具体分为以下三类：

• 身份注册信息：当您创建账号时，我们会收集您的手机号码（或邮箱地址）、设定的用户名及密码（经bcrypt加盐哈希存储，无法逆向解密）。为了满足防沉迷政策要求，我们还会收集您的实名认证信息（真实姓名+身份证号），该数据将加密传输至国家认证的实名验证接口，本平台不保留明文副本。
• 设备与技术日志：为了保障游戏公平性与网络环境安全，我们自动收集您的IP地址、设备型号、操作系统版本、浏览器User-Agent、MAC地址（仅限客户端）以及操作日志（如按钮点击序列、游戏时长）。这些数据用于识别脚本机器人及多开作弊行为。
• 交易与消费记录：涉及充值、提现及赠送虚拟道具时，我们会记录交易金额、时间戳、订单号及第三方支付渠道的流水号。请注意，我们不会收集您的完整银行卡号或支付密码，该部分信息由持牌支付机构（如支付宝、微信支付）直接处理。

我们绝不收集存储在您设备上的通讯录、相册、短信内容或地理位置精确坐标（仅通过IP推断城市级别的大致区域用于风控）。

二、信息使用目的与方式

所有收集的信息仅用于明确指定的目的，未经您的单独同意，不会用于其他任何场景。具体使用场景如下：

1. 提供核心服务：验证您的登录状态、保存游戏进度、结算胡牌奖励及发放首充福利。
2. 安全风控与反欺诈：基于设备指纹与行为序列分析，识别并拦截盗号登录、批量注册、外挂注入等高风险操作。例如，若同一IP在1小时内发起超过20次注册请求，系统将自动触发验证码及人工审核。
3. 个性化推荐（可选）：在您授权的前提下，我们会分析您的游戏偏好（如偏好经典版还是麻将胡了2），以向您推送您可能感兴趣的赛事活动。您可在"设置-隐私中心"中随时关闭该功能，关闭不影响基础服务。
4. 法律合规要求：根据《网络安全法》及反洗钱相关法规，我们需将您的部分交易记录保留至少5年，以备监管机构查询。

三、Cookie 与追踪技术说明

本平台使用Cookie及类似技术（如LocalStorage、IndexedDB）来提升访问体验。具体分类如下：

您可以通过浏览器设置删除或阻止所有Cookie，但请注意，禁用严格必要型Cookie将导致您无法正常登录游戏。我们目前不响应浏览器的"Do Not Track"信号，因为该标准尚未形成统一的法律执行规范。

四、第三方数据共享政策

我们承诺不会出售、出租或交易您的个人数据。仅在以下有限场景下，我们可能向特定服务商披露必要信息：

• 支付服务提供商：如支付宝、银联云闪付，用于完成交易指令。共享信息仅限于订单金额、商户订单号及必要的用户身份哈希值。
• 实名认证机构：仅传输姓名与身份证号码至国家认可的接口，用于年龄与身份核验。该机构不得将数据用于其他任何目的。
• 云服务与CDN厂商：如AWS及阿里云，用于日志存储与网络加速。我们与上述厂商签订了《数据处理协议》（DPA），明确其不得访问明文数据。
• 执法机构：在收到具有法律效力的传票、搜查令或法院判决时，我们将依法配合提供数据。

除上述情况外，任何第三方若需访问您的数据，必须先获得您的单独授权。我们会在站内公告栏及邮件中明确告知共享的具体对象与数据范围。

五、用户权利：查看、修改与删除

根据《个人信息保护法》及GDPR相关精神，您对自身数据享有以下权利。您可通过登录官网后访问"账户中心-隐私中心"来行使这些权利，无需额外付费。

1. 访问权：您可以随时查看我们持有的关于您的个人信息副本，包括注册信息、登录日志及交易记录。
2. 更正权：若您的手机号或邮箱发生变更，您可以在"安全设置"中自助修改。对于实名认证信息，出于防沉迷合规要求，仅支持每年修改一次。
3. 删除权：您可以通过提交工单申请注销账号。注销后，我们将于15个工作日内删除您的所有个人数据，但受法律强制保留期限约束的交易记录（5年）除外。注销操作不可逆，请提前提取账户内余额。
4. 撤回同意权：针对个性化推荐功能，您可以随时撤回授权，撤回后我们将停止分析您的行为偏好。
5. 可携带权：您有权申请将您的核心数据（如昵称、等级、虚拟资产明细）以结构化、机器可读的格式（如JSON）导出。

六、信息安全保障措施

我们采用了全链路的安全防护体系，以对抗外部攻击与内部泄露风险。具体技术措施包括：

• 传输加密：全站启用TLS 1.3协议，使用2048位ECDSA证书，确保数据在传输过程中的机密性与完整性。
• 存储加密：数据库中的敏感字段（如手机号、邮箱）使用AES-256-GCM算法进行加密存储。加密密钥存储在独立的密钥管理服务（KMS）中，并定期轮换。
• 访问控制：内部员工访问生产数据库需通过堡垒机进行双因素认证，且权限遵循最小授权原则。每一次查询操作均有审计日志记录，日志保留期为6个月。
• 入侵检测：部署了基于流量分析的IDS/IPS系统，能够实时识别并阻断SQL注入、暴力破解等恶意攻击行为。2024年全年，我们成功拦截了超过120万次恶意请求，未发生一起数据泄露事件。

七、政策更新与通知机制

随着法律法规的演进及业务功能的迭代，我们可能会适时修订本隐私政策。重大变更