隐私说明与数据保护政策

信息收集范围与类型

本平台收集的信息分为两大类：用户主动提供的信息与系统自动采集的信息。用户主动提供的信息包括但不限于：注册时填写的用户名、电子邮箱地址、手机号码；进行实名认证时提交的姓名与身份证件信息；参与市场活动时填写的邮寄地址与联系方式。其中，手机号码与邮箱地址为必填项，用于账号安全验证与重要通知发送；其余信息为选填项，用户可根据自身意愿决定是否提供。

系统自动采集的信息包括：设备信息（如设备型号、操作系统版本、唯一设备标识符）、网络信息（IP地址、网络类型、运营商信息）、日志信息（访问时间、浏览的页面、点击行为、游戏操作记录）以及位置信息（仅获取城市级别的粗略位置，用于内容分发与安全风控）。平台不会采集用户的精确GPS定位数据。需要特别说明的是，赏金女王与麻将胡了等游戏的完整操作数据（包括投注金额、爆分触发时间、游戏结果）均属于系统自动采集的日志信息范畴，这些数据用于游戏运营分析与反作弊审查。

信息收集方式汇总

• 注册表单：收集用户名、邮箱、手机号
• 实名认证流程：收集姓名、身份证号
• 客户服务沟通：收集问题描述、沟通记录
• 活动报名：收集邮寄地址、联系方式
• 系统日志：自动记录设备与操作信息
• Cookie及类似技术：详见下文说明

信息使用目的与方式

平台收集用户信息的目的严格限定于以下范围：第一，提供与维护核心游戏服务，包括账号登录验证、游戏数据同步、客户支持响应。第二，进行安全风控与反欺诈审查，通过分析设备信息与行为模式识别异常登录、批量注册、作弊操作等风险行为。第三，优化产品体验，基于用户行为数据改进游戏界面设计、调整爆分特效节奏、完善推荐算法。第四，履行法律义务，配合监管机构进行合规审查与调查取证。

平台明确承诺：不会将用户的个人信息用于任何与上述目的无关的用途。在开展数据分析时，平台会优先采用去标识化或匿名化处理技术，确保分析结果无法回溯至具体个人。例如，平台在优化麻将胡了游戏的难度曲线时，使用的是聚合后的胜率分布数据，而非单个玩家的详细操作记录。对于确需使用个人身份信息进行的研究项目，平台会在事前获得用户的明确授权同意。

在信息使用期限方面，平台遵循"存储最小化"原则。用户主动提供的个人信息将在账号存续期间持续保存；账号注销后，平台将在30天内删除所有个人身份信息，但根据法律法规要求需要保留的日志记录（如涉及税务、反洗钱义务的记录）将按照法定年限单独保存，并采取隔离存储措施。

Cookie与追踪技术说明

本平台使用Cookie及类似技术（包括LocalStorage、SessionStorage、像素标签等）来提升用户体验与保障服务安全。Cookie是网站存储在用户设备上的小型文本文件，平台主要使用以下几类Cookie：严格必要型Cookie（用于维持登录状态、防止跨站请求伪造攻击）、功能型Cookie（用于记忆用户的界面偏好设置，如语言选择、特效模式）、分析型Cookie（用于统计页面访问量、用户停留时长等聚合数据）。

平台不使用任何形式的第三方广告追踪Cookie，也不会将用户的浏览行为数据共享给广告联盟或数据经纪商。用户可以通过浏览器设置随时禁用或删除Cookie，但需要了解的是，禁用严格必要型Cookie将导致无法正常登录平台。平台使用的分析型Cookie均为自建部署，不依赖Google Analytics等第三方统计工具，所有数据均存储于平台自有服务器。

关于"Do Not Track"（请勿追踪）信号：目前行业尚未就该信号的处理标准达成统一共识，平台当前版本暂不响应浏览器的DNT信号，但用户可以通过浏览器隐私设置主动阻止Cookie的写入。移动端APP不包含跨应用追踪器，不会读取用户设备上的其他应用数据。

第三方数据共享政策

平台高度重视用户数据的保密性，在未获得用户明确同意的情况下，不会向任何第三方出售、出租或共享用户的个人身份信息。但以下特定情形除外：第一，支付服务提供商：当用户进行充值与提现操作时，平台需要将必要的交易信息（如金额、订单号、用户标识）传输至合作的持牌支付机构以完成资金清算。该等机构仅能按照支付行业标准使用数据，不得用于其他任何商业目的。

第二，云服务基础设施提供商：平台的部分数据存储与内容分发服务由第三方云服务商提供，该等服务商已通过ISO 27001与SOC 2认证，并签署了严格的数据处理协议（DPA）。第三，法律合规要求：当监管机构依据法定程序提出数据调取要求时，平台将在形式审查通过后提供必要的数据。平台会尽量在法律法规允许的范围内提前通知用户（紧急情况除外）。

平台目前未接入任何第三方广告网络、数据管理平台（DMP）或用户画像服务。所有跨部门的数据访问均受内部权限管控系统约束，员工仅能基于"最小必要"原则访问与自身职责相关的数据子集。每次数据访问操作均记录在审计日志中，安全团队会定期抽查审计日志以排查异常访问行为。

用户权利与行使方式

依据适用的数据保护法律法规，用户对其个人信息享有以下权利：知情权（了解平台收集了哪些数据以及如何使用）、访问权（获取个人数据的副本）、更正权（修改不准确或过时的信息）、删除权（要求删除个人数据，即"被遗忘权"）、限制处理权（在特定条件下要求暂停处理个人数据）、数据可携权（以结构化、机器可读的格式获取个人数据并传输至其他服务商）以及撤回同意权（撤回此前对特定数据处理活动的授权）。

用户可以通过以下途径行使上述权利：登录平台后，在"个人中心-账号安全-隐私设置"中自助完成部分操作（如修改邮箱、下载个人数据副本）。如需行使删除权或撤回同意权，请发送邮件至 [email protected]，邮件中需包含账号ID与具体请求事项。平台将在收到请求后的15个工作日内完成身份核验并给予实质性答复。对于明显无依据或超出现行法律要求的请求，平台有权拒绝，但会向用户书面说明拒绝理由。

在行使权利的过程中，平台可能会要求用户提供额外的身份验证信息（如注册手机验证码、历史充值记录等），以确保请求是由账号本人提出。该等验证信息仅用于本次请求的核验，不会用于任何其他目的。如果用户对平台的隐私处理方式有异议，可以向所在司法辖区的数据保护监管机构提出投诉。

信息安全保障措施

平台建立了覆盖数据全生命周期的安全防护体系。在数据传输层面，所有客户端与服务器之间的通信均采用TLS 1.3协议加密，密钥长度为256位。在数据存储层面，用户的密码采用加盐的bcrypt算法进行哈希处理（成本因子设置为12），即使是数据库管理员也无法获取用户的明文密码。个人敏感信息（如身份证号码）在数据库中额外进行字段级加密存储，加密密钥由独立的密钥管理系统（KMS）保管，并定期进行轮换。

在组织管理层面，平台实施了严格的访问控制策略。员工访问用户数据需要经过双重身份验证（2FA），并根据岗位职责被授予最小必要的数据访问权限。安全团队每季度组织一次内部钓鱼邮件演练，每年进行一次全员数据安全培训。平台已建立安全事件应急响应机制（CSIRT），一旦发生数据泄露事件，将在72小时内向监管机构报告，并通知受影响用户。

平台定期聘请独立第三方安全机构进行渗透测试与漏洞扫描，测试频率为每半年一次。2024年上半年的渗透测试中，测试人员共发现2个中危漏洞与5个低危漏洞，均在发现后48小时内完成修复并复测验证。平台的安全评分在同类游戏平台中名列前茅，近三年未发生任何用户数据泄露事件。