隐私说明：麻将胡了数据收集、使用与保护政策全解析

一、信息收集范围与类型

我们仅收集为提供游戏服务所必需的最小化信息。根据收集场景不同，信息分为以下三类：

1. 账号注册信息

当你创建账号时，我们需要收集你的手机号码或邮箱地址、自定义用户名及密码（密码经bcrypt算法加密存储，不可逆）。若你选择第三方授权登录（如微信、QQ），我们将获取你的OpenID、昵称及头像，但不会获取你的好友列表或聊天记录。

2. 设备与日志信息

为保障游戏安全与反作弊，我们会自动收集以下设备信息：设备型号、操作系统版本、IP地址、MAC地址（仅安卓端）、设备唯一标识符（IMEI/IDFA，经脱敏处理）、网络类型及运营商信息。同时，服务器会记录你的操作日志，包括登录时间、对局房间号、出牌时间戳、金币变动记录等，这些日志仅用于安全审计与争议处理，保存期限为180天。

3. 支付与交易信息

当你进行充值或购买道具时，我们会记录订单号、支付金额、支付渠道（微信/支付宝/银联）及交易时间。根据法规要求，完整的支付流水（含银行卡后四位）将保留至少3年。但我们不存储你的完整银行卡号、CVV码或支付密码，这些信息由持牌支付机构直接处理。

请注意，我们不会主动收集你的位置信息（GPS）、通讯录、相册内容或麦克风录音。若未来功能需要调用上述敏感权限，我们将通过弹窗单独征得你的明确同意。

二、信息使用目的与方式

我们收集的信息仅用于以下明确目的，未经你的单独同意，不会用于其他用途：

• 核心功能提供：创建并维护你的游戏账号，存储对局记录与战绩，实现金币与道具的发放与扣除。
• 安全与风控：利用设备信息与行为日志识别异常登录、外挂程序、盗号风险及洗钱行为。例如，当同一设备在1小时内登录超过5个不同账号时，系统将自动触发风控验证。
• 客户服务：用于核实你的身份、处理工单、解答咨询及解决对局争议。客服系统会记录通话录音（仅限热线电话）及聊天记录，用于服务质量监督。
• 合规审计：配合公安机关、法院等司法机关的合法调查要求，提供必要的用户数据。
• 个性化推荐（仅限推送通知）：基于你的对局偏好（如常玩的地方规则、参与的比赛类型），向你推送游戏活动通知。你可以在"设置-消息通知"中随时关闭个性化推荐，关闭后你将只收到系统级通知（如充值到账、封号警告）。

我们郑重承诺：不会将你的个人信息出售给任何第三方。所有数据的使用均遵循"合法、正当、必要"原则。

三、Cookie 与追踪技术说明

我们的网站及客户端使用Cookie、LocalStorage及类似技术来提升用户体验与安全性。具体使用场景包括：

会话Cookie：用于维持你的登录状态，有效期至浏览器关闭。若你勾选"记住我"，则有效期延长至30天。这些Cookie不包含个人敏感信息，仅存储加密的会话标识符。

分析型Cookie：我们使用自建的统计系统（非Google Analytics等第三方工具）收集匿名访问数据，如页面停留时间、点击流、访问来源。这些数据以聚合形式呈现，无法识别到具体个人，用于优化页面布局与功能流程。

防作弊追踪：客户端会在本地存储一个设备指纹标识（基于硬件信息与浏览器特征生成），该标识经哈希处理，无法逆向还原为原始设备信息。此标识用于检测多开账号、模拟器等作弊行为。

你可以在浏览器设置中禁用或清除Cookie，但请注意，禁用Cookie可能导致你无法正常登录游戏或使用部分功能。在客户端中，我们提供"隐私模式"开关，开启后将停止所有非必要的本地数据写入。

四、第三方数据共享政策

在以下特定场景下，我们可能与第三方共享必要的信息，且共享范围严格限定于完成该场景所需的最少数据：

除上述场景外，我们不会向任何其他第三方提供你的个人数据。若未来因业务合并、收购等原因发生控制权变更，我们将提前30天通过站内信与官网公告通知你，并确保承接方继续履行本隐私政策下的全部义务。

五、用户权利：访问、修改与删除

根据《个人信息保护法》，你享有以下法定权利。我们将提供便捷的操作路径供你行使权利：

• 查阅权：你可以通过"设置-账号信息"查看你的基本注册资料。对于对局记录与金币流水，可在"战绩查询"中导出最近12个月的数据。
• 更正权：若你的手机号、邮箱或昵称需要修改，可在"账号安全"中自助完成。修改手机号需验证新号码，修改邮箱需通过原邮箱确认。
• 删除权：你可以申请注销账号。注销后，我们将删除或匿名化处理你的所有个人数据，但根据《网络安全法》要求，交易记录需保留至少6个月。注销流程为：设置-账号注销-验证身份-等待7天冷静期。冷静期内可随时撤销注销申请。
• 撤回同意权：对于非必要的信息收集（如个性化推送），你可随时在设置中关闭授权。
• 可携带权：你有权获取你的核心个人数据（如注册信息、金币余额）的电子副本，我们将在15个工作日内提供CSV格式文件。

若你需要行使上述权利，可通过客户端内"帮助-隐私请求"提交工单，或发送邮件至 [email protected]。我们将在15个工作日内（法定最长时限）完成处理。对于复杂或批量请求，可能延长至30天，届时我们将书面告知原因。

六、信息安全保障措施

我们采用"纵深防御"策略保护你的数据安全，具体措施包括：

传输层安全：所有客户端与服务器之间的通信均通过TLS 1.3加密，该协议目前无已知有效破解方法。我们定期更新SSL证书，并启用HSTS强制加密策略。

存储层安全：数据库中的敏感字段（如手机号、邮箱）采用AES-256-GCM算法加密存储，加密密钥由独立的密钥管理系统（KMS）保管，且与数据存储物理隔离。即使数据库被拖库，攻击者也无法解密真实数据。

访问控制：内部员工访问用户数据需经过双因素认证（2FA）及最小权限原则。所有数据访问操作均记录在审计日志中，并定期由安全团队审查。我们建立了数据分级分类制度，核心数据（如支付信息）仅允许少数高级运维人员访问。

应急响应：我们制定了数据泄露应急预案。若发生安全事件，将在72小时内通过站内信、短信或邮件通知受影响的用户，并向监管机构报告。2024年全年，我们未发生任何数据泄露或用户数据被非法访问的事件。