隐私说明与个人信息保护政策

一、我们收集的信息范围与类型

在您注册账号、参与对局、进行支付或使用客服支持时，我们可能会收集以下几类必要信息，以确保服务的完整性和安全性。我们遵循"最小必要"原则，仅收集与提供服务直接相关的数据。

• 注册身份信息：包括您的手机号码或邮箱地址、用户名、登录密码（经过 bcrypt 加盐哈希存储，无法反向解密）。如果您使用《麻将胡了2》的收益提现功能，还需提供真实姓名、身份证号码及银行卡号，用于反洗钱实名认证。
• 设备与技术日志：包括 IP 地址、设备型号、操作系统版本、浏览器 UA、唯一设备标识符（IDFA/IMEI，仅在您授权后获取）、网络类型（Wi-Fi/5G/4G）。这些信息用于保障网络安全、排查故障及优化多端适配。
• 游戏行为数据：包括对局记录（手牌历史、出牌顺序、胡牌类型）、对局时间戳、积分变动流水、参与的活动记录。此类数据是提供"快速赚钱"收益结算的核心依据，也是我们进行反作弊分析的基础。
• 客服沟通记录：当您联系我们的客服时，我们会保存聊天记录、邮件内容以及您主动提供的截图附件，以便追溯问题处理过程。

二、信息使用目的与方式

我们收集的信息仅用于明确且合法的目的，绝不会用于与您无关的商业用途。具体使用场景包括：

1. 核心功能运营：创建并维护您的游戏账号，匹配对局，计算并发放积分及收益，保存游戏进度。
2. 安全与风控：利用设备信息与行为数据构建风控模型，识别并阻止账号盗用、作弊外挂、恶意刷单等违规行为。例如，当同一设备在 1 小时内登录超过 5 个不同账号时，系统会触发风控锁定。
3. 服务优化与研发：分析游戏行为数据（非个人身份维度）以改进游戏平衡性、提升服务器稳定性。我们采用差分隐私技术，在数据分析前对数据进行脱敏处理。
4. 合规审计：根据法律法规要求，保存必要的交易记录与日志，配合监管机构进行的调查。

我们承诺，绝不会将您的个人信息出售或出租给任何第三方。未经您的明确单独同意，我们不会将您的信息用于本政策未载明的其他用途。

三、Cookie 与追踪技术说明

为了提升您的访问体验并分析平台流量，本平台使用 Cookie 及类似技术（如 LocalStorage、像素标签）。这些技术帮助我们识别您的登录状态、记住您的偏好设置（如牌桌背景、音量大小）以及进行服务器负载均衡。

具体而言，我们使用以下类型的 Cookie：（1）严格必要 Cookie：用于维持会话状态，防止 CSRF 攻击，此类 Cookie 无法禁用。（2）偏好 Cookie：存储您的界面语言、主题风格等个性化设置，有效期 180 天。（3）分析 Cookie：由我们自建的数据统计系统（非 Google Analytics）生成，用于统计页面访问量、来源渠道及功能使用热度。该数据不包含个人身份信息，仅记录聚合指标。

您可以通过浏览器设置删除或阻止 Cookie，但请注意，禁用严格必要 Cookie 将导致您无法正常登录游戏。我们目前不响应"禁止追踪"（DNT）信号，因为我们不依赖跨站追踪广告。我们不会利用 Cookie 在第三方网站上向您展示个性化广告。

四、第三方数据共享政策

在特定情况下，我们可能需要与以下类别的第三方共享您的部分信息，共享行为均基于合法、正当、必要的原则，并签订严格的数据处理协议（DPA）。

除上述情况外，我们不会向任何其他第三方共享您的个人信息。在涉及公司合并、收购或资产转让时，我们将要求新主体继续履行本政策，并提前通知您。

五、您的权利与选择

根据《个人信息保护法》及相关法规，您对您的个人信息享有以下权利。您可以通过客户端"设置-账号与安全-隐私中心"页面自助操作，或联系客服协助处理。

• 访问权：您有权查询我们持有的您的个人信息，包括注册信息、游戏对局记录及登录日志。我们将在 15 个工作日内提供副本。
• 更正权：若您的个人信息（如手机号、邮箱）有误或需更新，您可以在"账号设置"中自行修改。修改敏感信息（如实名认证信息）需通过人工审核。
• 删除权：在以下情形下，您可以请求删除您的个人信息：我们违反法律法规收集信息、我们未征得您同意收集信息、我们不再提供服务。请注意，删除账号将导致游戏积分、收益余额清零，且无法恢复。
• 撤回同意权：对于基于您同意而进行的个人信息处理活动（如推送通知），您可随时在系统设置中撤回授权。
• 注销账号：您可以在"隐私中心"提交账号注销申请。我们将在 7 个工作日内完成审核，并在 30 天后彻底删除您的所有数据（法律法规要求保留的除外）。

我们将在 15 个工作日内对您的权利请求进行响应。对于重复、无实质内容或涉及他人隐私的请求，我们可能会收取合理费用或予以拒绝。

六、信息安全保障措施

我们采用多重技术与管理措施保护您的信息安全，以防止数据泄露、篡改或丢失。具体措施包括：

• 传输加密：所有数据交互均通过 TLS 1.3 协议加密，采用 256 位 AES 加密算法，确保数据在传输过程中的机密性与完整性。
• 存储加密：您的密码使用 bcrypt 算法（cost factor=12）进行哈希存储。身份证号、银行卡号等敏感信息使用 AES-256-GCM 进行字段级加密后存储于隔离的数据库实例中。
• 访问控制：实施基于角色的访问控制（RBAC），仅授权员工（如客服、财务专员）在最小权限原则下访问必要数据，所有访问操作均记录在审计日志中，日志保留 6 个月。
• 安全监测：部署 7×24 小时入侵检测系统（IDS）与 Web 应用防火墙（WAF），实时监控异常流量与攻击行为。2024 年全年，我们成功拦截了 2.3 亿次恶意请求，未发生一起数据泄露事件。
• 应急响应：制定数据安全事件应急预案，成立由 CTO 领导的应急响应小组（CSIRT），定期进行攻防演练。一旦发生安全事件，我们将在 48 小时内通知受影响的用户及相关监管机构。

七、政策更新与联系我们

随着法律法规的更新及业务功能的变化，我们可能会适时修订本隐私政策。重大变更（如信息收集范围扩大、共享对象变化）将通过客户端弹窗、站内信或您预留的联系方式显著通知您，并在本页面更新生效日期。对于非重大变更，我们将在本页面发布更新版本，并更新顶部"最后更新日期"。

如您对本隐私政策或个人信息保护有任何疑问、意见或投诉，请通过以下渠道与我们联系：