隐私说明与数据保护政策

一、信息收集范围与类型

在为你提供服务的过程中，麻将胡了平台仅收集实现功能所必需的最小化信息。根据收集场景不同，具体包括以下三类：

• 注册信息： 当你创建账号时，我们收集你的手机号码或邮箱地址、设置的登录密码（经 bcrypt 算法加密存储）、以及昵称与头像。手机号与邮箱仅用于账号登录与安全验证。
• 实名认证信息： 为遵守反洗钱法规与保障资金安全，当你首次使用存取款功能前，需提交真实姓名、身份证号码及身份证正反面照片。这些数据采用国密 SM4 算法加密后存储于独立的安全隔离区。
• 设备与日志信息： 在你访问或使用平台时，系统会自动记录 IP 地址、设备型号、操作系统版本、浏览器类型、操作日志及对局记录。此类信息用于风控分析与故障排查，不包含你的通讯录、相册等个人敏感数据。

我们明确承诺：不收集与游戏服务无关的个人信息，例如地理位置精确坐标、生物识别特征或社交关系链。若未来因功能迭代需要新增收集项，我们将单独弹窗告知并获取你的明确授权。

二、信息使用目的与方式

你所提供的每一类信息，都有明确且限定的使用目的。我们不会将信息用于与下述目的无关的场景。

• 账号管理： 使用注册信息验证你的身份，支持你登录、修改密码、管理安全设置。
• 资金结算： 使用实名信息与支付凭证完成充值、提现、退款及交易记录查询。财务数据保留期限为交易发生后 5 年，以满足税务审计要求。
• 对局公平性保障： 使用设备信息与日志信息进行反作弊检测、异常行为识别（如多开账号、使用外挂程序）。风控系统每日处理超过 10 万次行为特征分析。
• 客户服务： 当你联系客服时，我们会调取必要的账号信息与历史工单记录，以便快速定位问题。通话录音（若有）仅用于服务质量监控，保存周期为 90 天。
• 个性化推荐： 基于你的游戏模式偏好（如偏好麻将胡了2 的高倍场），向你推送适合的赛事活动。你可以随时在“设置 -> 隐私中心”关闭个性化推荐功能，关闭后不再影响核心功能使用。

三、Cookie 与追踪技术说明

麻将胡了平台使用 Cookie 及同类技术以提升访问体验与安全防护。具体应用场景如下：

必要 Cookie： 用于维持你的登录状态（有效期 30 天）、记住语言偏好与界面设置。此类 Cookie 无法被禁用，否则将导致无法正常登录或频繁要求重新验证。我们使用 HttpOnly 属性保护会话 Cookie，防止恶意脚本窃取。

分析型 Cookie： 用于统计页面访问量、来源渠道与功能使用热度。我们采用自建统计系统，数据脱敏后进行分析，不将数据共享给任何第三方广告平台。分析 Cookie 的有效期为 365 天，你可以在浏览器设置中将其禁用，这不会影响核心功能。

安全指纹技术： 为防范撞库攻击与账号盗用，平台会采集设备指纹信息（如屏幕分辨率、字体列表、Canvas 指纹），该信息不可逆地哈希处理后存储。此技术不包含任何可识别个人身份的内容。

四、第三方数据共享政策

麻将胡了平台坚守“最小化共享”原则。除以下明确列出的情形外，我们绝不出售、出租或交易你的个人信息给任何第三方。

• 支付服务提供商： 为实现存取款功能，我们需要将订单金额、支付方式标识及必要的交易对账信息共享给持牌支付机构。共享字段仅限于完成交易所必需的信息，不包含你的身份证照片或完整手机号。
• 云计算服务商： 平台服务器部署于阿里云与腾讯云的境内节点。云服务商仅提供基础设施运维，无法读取你的业务数据。我们已与云服务商签署了严格的 DPA（数据处理协议）。
• 监管与执法机构： 当收到具有法律效力的调查令、法院传票或监管要求时，我们会在法律允许的范围内提供必要的数据。2024 年全年，平台收到此类请求共计 3 次，均已完成合规性审查。
• 集团内部关联公司： 若未来涉及并购、重组或资产转让，你的数据可能随业务一并转移。我们将提前 30 日通过站内信通知你，并确保承接方继续履行本隐私政策的全部承诺。

任何第三方在获得你的数据后，仅能用于我们授权之目的，且不得再次共享或转售。

五、用户权利与数据管理

依据《个人信息保护法》及相关法规，你对自己的个人数据拥有以下完整权利。你可以通过“设置 -> 隐私中心”或联系客服行使这些权利。

• 查阅权： 你可以随时查看我们持有的关于你的个人信息副本，包括注册资料、实名状态与登录日志。查阅请求将在 24 小时内响应。
• 更正权： 若你的个人信息（如手机号、邮箱）发生变更，或发现信息有误，你可以自行在“安全中心”修改，或联系客服协助更正。更正操作将记录日志以备审计。
• 删除权： 你可以申请注销账号并删除全部个人数据。注销为不可逆操作，我们将在 7 个工作日内完成数据清除。但依据法律法规必须保留的财务记录（如交易流水）将在匿名化处理后保留 5 年。
• 撤回同意权： 对于基于你同意而进行的处理活动（如个性化推荐），你可以随时撤回授权。撤回不影响撤回前基于同意进行的处理的合法性。
• 可携带权： 你可以申请将你的基本资料与对局记录以结构化、机器可读的格式（如 JSON）导出。该请求将在 3 个工作日内处理完毕。

请注意：为保障账户安全，行使上述权利时可能需要你通过二次验证（短信或邮箱验证码）。若委托他人代办，需提供经公证的授权委托书。

六、信息安全保障措施

我们采用“纵深防御”安全体系，从物理、网络、系统、应用、数据五个层面构建防护屏障。

传输加密： 所有数据交互均强制使用 TLS 1.3 协议加密，密钥长度为 256 位。我们启用了 HSTS 策略，杜绝任何明文 HTTP 回退的可能。传输层加密强度达到银行级标准。

存储加密： 数据库中的密码字段使用 bcrypt 算法加盐哈希存储，即使数据库泄露也无法逆向还原明文密码。实名证件照片使用国密 SM4 算法加密，密钥存储于独立的 KMS（密钥管理系统）中，与数据分离保管。

访问控制： 内部员工访问你的数据需经过双人复核与临时权限授予。所有数据访问行为均记录审计日志，日志保存期为 180 天。平台每季度进行一次内部权限审计，每年度聘请外部安全公司进行渗透测试。

应急响应： 我们建立了 7×24 小时安全事件响应团队（CSIRT）。一旦发生数据安全事件，将在 1 小时内启动应急流程，72 小时内向监管机构报告，并通过站内信或短信通知受影响的用户。2024 年全年，平台未发生任何级别的数据泄露事件。

七、政策更新与通知机制

随着法律法规演进与产品功能迭代，本隐私政策可能适时更新。我们承诺遵循以下通知机制：

• 重大变更提前通知： 涉及信息收集范围扩大、使用目的变更、第三方共享对象增加等重大调整，我们将至少提前 15 日通过站内信、弹窗公告及邮件（若已绑定）三重渠道通知你。
• 版本历史记录： 本政策当前版本为 v3.1（生效日期：2025 年 1 月 1 日）。你可以在本页面底部查看历史版本存档。旧版本政策在对应有效期内依然具备参考效力。
• 用户异议处理： 若你对更新后的政策内容持有异议，且双方无法协商一致，你有权停止使用平台服务并申请注销账号。在政策生效前未提出异议且继续使用服务的，视为接受更新后的政策。

八、联系我们与数据保护官

我们已依法设立数据保护官（DPO）岗位，专门负责监督本政策的执行与协调用户隐私请求。若你对本政策或你的个人信息处理有任何疑问、投诉或建议，请通过以下专属渠道联系：

• 数据保护官邮箱： [email protected]（该邮箱仅处理隐私相关事务，游戏咨询请转接在线客服）
• 邮寄地址： 平台运营主体注册地址（具体地址请通过官网首页底部“资质证照”栏目查看）
• 响应时效： 我们承诺在收到隐私请求后的 48 小时内予以确认，并在 15 个工作日内完成实质处理。若因情况复杂需要延期，我们将书面告知延期原因及预计完成时间。

如果你对我们的处理结果不满意，你还有权向网信部门或行业主管部门进行投诉举报。我们尊重并配合监管机构的调查与裁决。