隐私说明与数据保护政策

一、信息收集范围与类型

我们仅收集为提供游戏评测与策略分享服务所必需的最少信息。根据收集场景的不同，主要分为以下三类：

1. 账号注册信息：当你创建账号时，我们收集你的邮箱地址、用户名以及加密后的密码（使用bcrypt算法加盐哈希，不可逆）。若你通过第三方授权登录（如Google或微信），我们仅获取你在该平台公开的ID与昵称，不会获取你的好友列表或私密信息。实名认证信息（姓名、身份证号）仅在涉及资金提现时才会要求提供，并采用专线加密传输至持牌认证机构。

2. 游戏行为数据：为提供实测经验分享与个性化策略建议，我们会记录你的对局信息，包括但不限于：每局旋转次数、投注金额、奖励触发情况、听牌选择偏好、游戏时长及登录频率。这些数据会与你的账号ID关联，但不会记录你完整的牌面序列（即无法通过数据反向推演你的具体某局过程）。

3. 设备与技术日志：当你访问本平台时，服务器会自动记录标准日志，包括IP地址、浏览器类型（User-Agent）、操作系统版本、访问时间、来源页面以及设备标识符（仅限移动端）。这些信息用于保障网络安全（如DDoS防护）、排查技术故障及优化页面加载速度。

二、信息使用目的与合法依据

我们承诺所有信息仅用于明确告知的目的，不会进行超出必要范围的二次利用。具体使用场景包括：

• 提供核心服务：使用账号信息验证身份，使用游戏行为数据生成你的个人对局统计报告与波动率分析图表。该处理的法律依据为"履行合同所必需"（PIPL第13条第2款）。
• 优化内容推荐：基于你的游戏偏好（如更常玩麻将胡了还是麻将胡了2），向你推送相关的攻略文章与版本更新通知。该处理基于"您的同意"（PIPL第13条第1款），你可随时在"设置-通知偏好"中撤回同意。
• 安全风控与反欺诈：分析设备日志与行为模式，以检测异常登录、作弊脚本、批量注册等恶意行为。该处理基于"履行法定义务"及"正当利益"（PIPL第13条第3款、第6款）。
• 客户支持：当你提交工单时，我们会查阅你的账号基础信息及近期的操作日志，以便快速定位问题。所有客服对话记录（含在线聊天与邮件）会加密保存24个月，用于服务质量监控与纠纷取证。

三、Cookie 与追踪技术说明

本平台使用Cookie及类似技术（如LocalStorage、IndexedDB）来提升用户体验与保障服务安全。我们明确区分以下用途：

必要型Cookie：用于维持登录状态（会话标识符）、记忆你的安全偏好（如是否开启双重验证）。此类Cookie无法禁用，否则核心功能将无法运行。它们的有效期不超过6个月。

功能型Cookie：用于存储你的界面设置（如语言选择、列表视图模式）以及游戏内的音效/画质偏好。有效期12个月。

分析型Cookie：我们使用自建的统计系统（非Google Analytics），收集匿名化的访问量、页面停留时长、功能点击率。这些数据经过聚合处理，无法识别个人身份。我们不会使用任何跨站追踪Cookie（如第三方广告重定向标记）。你可以在浏览器设置中阻止分析型Cookie，但这不会影响基本功能的使用。请注意，我们目前不响应浏览器的"Do Not Track"信号，因为该标准尚未形成统一执行规范。

四、第三方数据共享政策

我们极其有限地共享你的数据，且仅与以下类别的服务提供商进行，所有接收方均受严格的保密协议约束：

1. 云服务与内容分发提供商：用于托管服务器与加速静态资源加载。他们仅在技术运维层面接触加密数据，无权访问明文内容。目前合作方包括阿里云（中国内地节点）与Cloudflare（海外加速节点）。

2. 支付处理机构：当你进行订阅付款时，支付信息（卡号、有效期）由持牌支付机构（如支付宝、微信支付）直接处理，我们仅接收支付结果状态（成功/失败/金额），不接触、不存储任何完整的支付凭证信息。

3. 实名认证服务商：仅在你主动进行实名认证时，将姓名与身份证号加密传输至公安系统授权的比对接口。

4. 法律合规要求：若收到法院传票、政府监管命令或其他具有法律强制力的文件，且该要求符合中国法律程序，我们可能被迫披露必要的信息。我们会尽可能在法律允许的范围内提前通知你，除非该通知被法律禁止。

我们郑重承诺：我们不会出售、出租或交易你的个人信息给任何第三方用于营销目的。我们不会与任何广告联盟共享你的浏览行为数据。

五、用户权利与数据主体请求

依据PIPL与GDPR，你对自己的个人数据享有以下完整权利。你可以通过登录平台后访问"个人中心-隐私设置"，或发送邮件至 [email protected] 来行使这些权利。我们将在15个工作日内（PIPL要求）或30天内（GDPR要求）完成处理。

1. 访问权：获取我们持有的关于你的所有个人信息的副本，以结构化、常用、机器可读的格式提供。
2. 更正权：修改不准确或不完整的个人信息，如更新绑定邮箱或手机号。
3. 删除权（被遗忘权）：要求删除你的账号及相关数据。请注意，删除账号后，游戏对局记录将无法恢复。但基于法律义务（如税务记录），部分财务数据可能需要保留5年。
4. 限制处理权：在特定条件下（如你质疑数据准确性期间），要求我们暂停处理你的数据。
5. 数据可携带权：要求将你的核心数据（账号信息、对局统计）以CSV或JSON格式导出并传输给另一服务商。
6. 撤回同意权：对于基于"同意"的处理活动（如个性化推送），你有权随时撤回同意，撤回不影响撤回前处理的合法性。
7. 投诉权：若你认为我们的处理行为侵犯了你的权益，你有权向网信部门或当地数据保护机构提出投诉。

六、信息安全保障措施

我们采用行业领先的安全架构来保护你的数据免受未授权访问、篡改或泄露。具体措施包括：

• 传输加密：全站启用TLS 1.3协议，使用256位AES加密。所有敏感接口（登录、支付回调）强制启用HTTP严格传输安全（HSTS）。
• 静态加密：数据库中存储的个人敏感字段（如邮箱、手机号）使用AES-256-GCM进行字段级加密。加密密钥由独立的密钥管理系统（KMS）保管，与数据库分离。
• 访问控制：实施基于角色的访问控制（RBAC），仅极少数核心运维人员拥有解密权限，且所有访问操作均记录在不可篡改的审计日志中。我们定期进行内部权限审计。
• 安全测试：每季度委托第三方安全公司进行渗透测试与漏洞扫描，最近一次测试（2024年11月）未发现高危漏洞。每半年进行一次数据备份恢复演练，确保灾难发生时RPO（恢复点目标）不超过15分钟。
• 员工培训：所有员工必须完成年度数据合规培训并通过考核，涉及用户数据的操作需双人复核。