隐私保护与数据安全政策说明

一、我们收集的信息范围与类型

为了向您提供稳定、安全的游戏服务并履行法定的反洗钱与实名制义务，我们仅收集实现上述功能所必需的最少信息。我们绝不收集与游戏服务无关的敏感隐私数据（如通讯录、相册内容、精确地理位置等）。具体收集类型如下：

• 注册账户信息：包括您的手机号码、设定的登录密码（经 MD5 加盐哈希加密存储）、昵称及头像。
• 实名认证信息：根据国家法律法规及游戏平台监管要求，您需要提供真实姓名及有效身份证号码。该信息将直接通过加密通道传输至公安系统身份认证接口进行校验，我们自身服务器不保留明文身份证号码副本，仅存留“已认证”的布尔值结果。
• 设备与技术日志信息：包括您的 IP 地址、设备型号、操作系统版本、浏览器 UA、应用版本号、崩溃日志及操作行为流（如点击序列、页面停留时长）。此类信息用于故障排查与反作弊分析。
• 交易与资金流水信息：当您申请提现或进行充值时，我们会记录订单号、交易金额、支付渠道单号及银行账户后四位（用于对账）。完整银行卡号由持牌支付机构托管，我们无法查看。

二、信息的使用目的与处理方式

我们承诺，所有收集到的信息仅用于以下明确列举的合法目的，绝不会用于与服务质量无关的商业用途，更不会进行所谓的“大数据杀熟”。

1. 账户管理与服务提供：用于创建您的游戏账户、验证登录身份、发放奖励（如无需充值直接提现的体验彩金）以及结算游戏奖金。
2. 风险控制与合规审查：利用设备信息与行为日志构建风控模型，识别并阻止包括批量注册、使用外挂、盗号及洗钱在内的违规行为。例如，若同一设备在 1 小时内关联超过 5 个不同手机号，系统将自动触发风控拦截。
3. 个性化体验优化（非强制）：基于您的游戏偏好（如常玩的麻将胡了版本），我们可能会在游戏大厅向您推荐您可能感兴趣的新玩法。您可以在「设置」-「隐私中心」中随时关闭“个性化推荐”开关。关闭后，您看到的推荐内容将变为随机排序。
4. 法律合规要求：当政府机关依据法定程序出具调查令或协查函时，我们将在法律允许的范围内提供必要的用户数据。

三、Cookie 及同类追踪技术说明

为了提升访问速度与识别登录状态，本平台使用 Cookie 及 Local Storage 技术。这些技术不包含任何可直接识别您个人身份的信息（如姓名、身份证号）。

• 严格必要型 Cookie：用于维持会话状态，防止 CSRF（跨站请求伪造）攻击。此类 Cookie 无法禁用，否则将导致无法正常登录。
• 偏好设置型 Cookie：用于记忆您的音量大小、语言偏好及牌桌视图风格。生命周期为 1 年。
• 统计型 Cookie：我们采用自建的 Analytics 系统（非 Google Analytics）统计页面访问量，该数据经过聚合与匿名化处理，无法追溯到具体个人。

我们郑重承诺：本平台所有页面均未接入任何第三方广告联盟的追踪像素或跨站追踪 SDK。您在访问本平台时的行为数据不会用于构建跨站用户画像。

四、第三方数据共享与委托处理政策

我们绝不会出售或出租您的个人信息。仅在以下极其有限的场景下，可能与特定服务提供商共享必要信息，且均签署了严格的保密协议。

• 支付服务提供商：当您发起提现时，我们需要将您的提现金额、提现账户标识（脱敏后的卡号）传输至合作的持牌第三方支付机构（如支付宝、微信支付、银联云闪付）以完成打款。
• 短信验证码服务商：为了向您发送登录验证码，我们会将您的手机号码共享给通信服务商。该数据在发送完毕后立即从服务商内存中删除。
• 云服务与 CDN 厂商：游戏资源与静态页面存储于阿里云及 Cloudflare 的服务器中。此类厂商仅承担存储职责，无权访问业务数据库中的个人敏感信息。

除上述情形外，未经您的明确授权，我们不会向任何第三方提供您的可识别个人信息。若因公司合并、收购或资产重组导致控制权变更，我们将通过站内信及邮件通知您，并确保新的控制方继续受本政策约束。

五、您的权利与选择：访问、更正与删除

依据《个人信息保护法》及相关法规，您对您的个人信息拥有充分的主宰权。您可以通过以下路径行使您的合法权利：

• 查阅与复制：登录后前往「个人中心」-「账户安全」-「个人信息导出」，系统将生成一份包含您基础资料与交易记录的加密文件发送至您的注册邮箱。
• 更正信息：若您的手机号或银行卡信息有误，可在「个人中心」中直接修改。出于安全考虑，修改敏感信息需进行二次短信验证。
• 删除账户与数据：您有权申请注销账户。请在「设置」-「账户注销」中发起申请。注销后，您的所有游戏数据（包括积分、VIP 等级、未领取奖励）将被永久清除且不可恢复。我们将在 15 个工作日内完成删除操作，但根据监管要求，交易流水记录需额外留存 3 年以备审计，此部分数据将进行匿名化脱敏处理。
• 撤回同意：您可以通过关闭手机系统权限（如通知权限）来撤回部分授权。撤回不影响撤回前基于同意已进行的处理活动的合法性。

六、信息安全保障措施与数据存储期限

我们采用了业内领先的纵深防御体系来保护您的数据免受未经授权的访问、泄露或篡改。

• 传输加密：全站启用 TLS 1.3 加密协议，确保数据在传输过程中的机密性与完整性。
• 存储加密：数据库中的敏感字段（如登录密码、支付令牌）均采用 AES-256 算法进行加密存储。即使数据库文件被窃取，攻击者也无法还原明文。
• 访问控制：内部员工访问用户数据需经过双因素认证（2FA）及严格的权限审批流程。所有数据查询操作均记录在审计日志中，日志保留期限为 6 个月。
• 安全团队：我们设有独立的红蓝对抗小组，每月定期进行渗透测试与漏洞扫描。2024 年累计修复高危漏洞 3 个，中危漏洞 17