《麻将胡了》隐私保护与数据安全政策

一、信息收集范围与类型

在您使用平台各项功能的过程中，我们仅在必要的最小范围内收集以下类别的信息，用于保障服务正常运行与安全风控。

1. 账号注册信息

当您创建账号时，我们会收集您的手机号码或邮箱地址、设置的登录密码（经国密 SM3 算法加密存储）、注册时间及 IP 地址。手机号码属于敏感个人信息，仅用于账号登录验证与安全通知，不会用于任何营销推广目的。

2. 设备与日志信息

为保障服务稳定与反作弊检测，我们会自动采集以下技术信息：设备型号、操作系统版本、唯一设备标识符（OAID/IDFA）、IP 地址、MAC 地址（仅安卓端）、网络类型（Wi-Fi/4G/5G）、操作日志与崩溃日志。上述信息的保留期限不超过 12 个月，超期后将进行匿名化处理。

3. 游戏行为数据

包括您的对局记录、胜负统计、金币与钻石变动流水、道具使用记录、聊天内容（仅限文字与语音转文字结果）。游戏行为数据将用于玩法平衡性分析与异常行为监测，其中聊天内容仅在涉及举报投诉时才会被人工查阅。

4. 支付信息

当您进行虚拟商品购买时，支付流程由微信支付、支付宝或 Apple IAP 等持牌支付机构完成。我们仅接收支付结果通知（如订单号、支付状态），不直接收集您的银行卡号、支付密码等敏感金融信息。

二、信息使用目的与合法依据

我们严格遵循"最小必要"原则处理您的个人信息，具体使用目的与对应的法律依据如下：

我们承诺，不会将您的个人信息用于与平台服务无关的用途。如未来需将信息用于本政策未载明的其他用途，我们将再次征得您的明示同意。

三、Cookie 与类似追踪技术说明

官方网站与游戏客户端使用 Cookie 及同类技术（如 Local Storage、Web Beacon）以提升访问体验与安全防护能力。具体使用场景如下：

• 会话维持：使用 Session Cookie 保存您的登录状态，有效期为浏览器关闭时自动清除，不包含任何个人敏感信息。
• 偏好记忆：使用持久化 Cookie（有效期 180 天）记录您的语言选择、音量大小、牌桌背景等个性化设置。
• 安全防护：通过风险 Cookie 标记可疑的登录尝试行为，用于识别撞库攻击与暴力破解尝试。
• 统计埋点：使用自研统计 SDK（非第三方广告追踪 SDK）收集页面访问量、功能点击率等聚合数据，该数据经过脱敏处理，无法关联至具体个人。

您可以通过浏览器设置管理或删除 Cookie。但请注意，禁用全部 Cookie 可能导致您无法正常登录游戏或使用部分个性化功能。游戏客户端内的数据存储仅保存在设备本地，卸载应用时将被完全清除。

四、第三方数据共享与委托处理

我们深知您对数据共享的关切。除以下明确列明的情形外，我们不会向任何第三方出售、出租或交换您的个人信息：

1. 支付服务商：当您发起充值时，需跳转至微信支付、支付宝或 Apple 服务器完成交易。我们仅传递订单金额与订单号，不共享您的任何账号密码信息。支付机构的数据处理受其自身隐私政策约束。
2. 云服务提供商：我们的服务器部署于阿里云与腾讯云。云服务商仅作为基础设施提供方，在技术层面无法读取您的业务数据，且我们已与其签署包含保密条款的数据处理协议。
3. 实名认证服务：为落实防沉迷政策要求，我们会将您的姓名与身份证号加密传输至国家新闻出版署认证的实名验证接口进行比对。该数据接口仅返回"通过/不通过"的验证结果，我们不留存完整身份证影像。
4. 执法机关要求：在收到具有法律效力的调查令、传票或法院判决时，我们会在形式审查通过后依法提供必要的数据。

除上述场景外，任何涉及个人信息对外提供的合作，我们均会事先开展个人信息保护影响评估，并取得您的单独同意。

五、您的法定权利与行使方式

根据《个人信息保护法》第四章的规定，您对自身个人信息享有以下完整权利。您可以通过游戏内"设置→隐私中心"或发送邮件至 [email protected] 行使这些权利，我们将在 15 个工作日内予以答复。

• 查阅权：您有权查看我们持有的您的个人信息副本，包括注册资料、登录日志与充值记录。
• 更正权：若您发现个人信息存在错误或不完整，可随时在"账号设置"中自行修改，或联系客服协助更正。
• 删除权：在以下情形下，您有权要求删除您的个人信息：处理目的已实现且不再必要；您撤回同意；我们违反法律收集使用信息。账号注销后，我们将于 30 日内删除全部个人数据（法律法规要求保留的除外）。
• 撤回同意权：对于基于"授权同意"处理的信息（如个性化推荐），您可以随时在设置中关闭对应开关。
• 注销账号权：您可在"设置→账号安全→注销账号"中提交申请。注销为不可逆操作，账号内所有虚拟资产将同时清空，请谨慎操作。
• 投诉举报权：若您认为我们的处理行为侵害了您的合法权益，您有权向上海市徐汇区网信部门或通过司法途径寻求救济。

六、信息安全保障措施

我们已建立覆盖"传输-存储-使用-销毁"全生命周期的数据安全防护体系，具体技术与管理措施包括：

• 传输加密：所有数据交互均采用 TLS 1.3 协议加密，密钥长度为 256 位。登录与支付接口额外启用证书双向校验机制。
• 存储加密：数据库中的密码字段使用 bcrypt 加盐哈希存储，敏感配置信息通过硬件安全模块（HSM）进行密钥管理。
• 访问控制：内部员工访问用户数据实行"最小权限"原则，所有操作行为均记录至审计日志，日志保留期为 6 个月。
• 安全审计：每年委托第三方安全机构进行渗透测试与代码审计。最近一次测试（2024 年 11 月）未发现高危漏洞，中低危