隐私说明与个人信息保护政策

一、我们收集的信息范围与类型

在为你提供服务的过程中，我们仅会收集实现服务功能所必需的最少信息。根据收集场景的不同，主要分为以下几类：

• 账号注册信息：当你创建账号时，我们会收集你的手机号码（用于唯一标识与登录验证）以及你自行设置的密码（密码将以bcrypt加密算法哈希处理后存储，我们无法获知你的明文密码）。若你选择第三方授权登录，我们会从该平台获取你的唯一OpenID与昵称。
• 实名认证信息：依据国家关于网络游戏管理的规定，你需要提供真实姓名及身份证号码完成实名认证。该信息将直接加密传输至国家认证的实名验证系统进行比对，我们仅在本地留存"已认证"或"未认证"的布尔值结果，不保留身份证照片或完整号码。
• 设备与日志信息：为保障服务安全与排查故障，我们会自动收集你的设备型号、操作系统版本、唯一设备标识符（IDFA/IMEI，在获得你授权后获取）、IP地址、客户端版本号以及操作日志（如登录时间、对局记录）。此类信息属于维持服务运行的必要数据。
• 对局行为数据：包括你的出牌记录、胡牌番型、积分变动、段位升降等。该数据用于生成你的个人战绩统计及用于反作弊分析。请注意，对局回放数据可能包含其他玩家的匿名化操作信息，但不会展示其他玩家的真实手机号。

二、信息使用目的与方式

我们收集上述信息的目的仅限于以下明确范畴，不会用于与这些目的无关的用途。具体包括：第一，核心功能实现——用于账号登录验证、游戏对局匹配、积分计算与段位排名。第二，安全风控——基于设备信息与行为日志构建反作弊模型，识别并拦截外挂程序与代练行为。第三，服务改进——通过聚合分析对局数据（去标识化后），优化游戏平衡性与AI托管逻辑。第四，法律合规——配合监管机构调查或处理用户纠纷时提供必要的证据支持。

我们郑重承诺：我们不会将你的个人信息用于任何形式的精准广告营销。我们不会向第三方出售、出租或交易你的任何个人数据。所有数据的使用均以提供服务为边界，若需超出上述范围使用，我们将单独征得你的明确同意。

三、Cookie 与追踪技术说明

为了提升访问体验与保障登录态的安全性，我们的网页端与客户端会使用Cookie或类似的本地存储技术。

具体而言，我们使用以下类型的Cookie：一是严格必要型Cookie，用于维持你的登录会话（Session），若禁用此类Cookie，你将无法正常登录游戏。二是偏好设置型Cookie，用于记忆你的音效开关、画质选择等本地设置项。三是统计分析型Cookie，我们通过自研的埋点系统（非第三方统计工具）收集页面访问时长、按钮点击率等聚合数据，用以优化界面布局。我们不会使用任何跨站追踪Cookie来记录你在其他网站上的浏览行为。

你可以通过浏览器设置管理或删除Cookie。但请注意，删除必要型Cookie将导致你需要重新登录，且可能影响部分功能的正常使用。客户端内的本地数据存储（如牌谱缓存）仅保存在你的设备中，不上传至服务器，除非你主动使用"云端同步"功能。

四、第三方数据共享政策

在特定业务场景下，我们会与必要的第三方服务提供商共享有限的数据，但均会通过协议约束其数据安全责任。目前涉及的数据共享场景包括：

1. 支付服务提供商：当你进行虚拟道具充值或赛事报名付费时，我们会将你的订单号与支付金额传输至微信支付或支付宝等持牌支付机构。我们不会存储你的完整银行卡号或第三方支付账户信息。
2. 云服务提供商：为了存储你的牌谱备份与游戏资源，我们使用阿里云及腾讯云的服务器。数据在传输过程中使用TLS 1.3协议加密，存储时使用AES-256算法加密。
3. 实名认证接口服务商：仅传输必要的姓名与身份证号用于法定核验，接口调用完成后不留存任何明文信息。

除上述情形外，我们不会主动向任何第三方提供你的个人信息。若因合并、分立、解散或破产等原因导致平台控制权转移，我们将要求承继方继续遵守本政策，否则我们将要求其重新获取你的授权。

五、你的权利与行使方式

依据《个人信息保护法》，你享有对自身个人信息的查阅、复制、更正、删除、撤回授权以及注销账号的权利。

• 查阅与复制：你可登录客户端，在"个人中心-账号安全"页面查看你的基础资料与登录设备记录。如需导出完整数据副本，请发送邮件至 [email protected]，我们将在15个工作日内提供加密的数据包。
• 更正：若你的手机号或邮箱需要变更，可通过客户端内的"换绑"功能自助操作，需通过原绑定方式验证。
• 删除：你可以清除客户端内的本地战绩记录。对于服务器端的对局数据，因涉及反作弊审计要求，我们会在你注销账号后保留6个月，期满后自动匿名化处理。
• 撤回授权与注销：你可以在"设置-账号管理"中申请注销账号。注销后，你的所有个人信息将被立即标记为待删除状态，并在30天冷静期后彻底清除。冷静期内，你可以联系客服恢复账号。

六、信息安全保障措施

我们已建立并实施了一套纵深防御的信息安全体系。在组织层面，我们成立了专门的数据安全委员会，由CTO担任首席隐私官，每季度进行数据安全审计。在技术层面，我们采取了包括但不限于以下措施：

• 传输加密：所有客户端与服务器之间的通信均强制使用TLS 1.2及以上版本的加密协议，杜绝中间人攻击。
• 存储加密：数据库中存储的敏感字段（如手机号）使用AES-256-GCM算法进行字段级加密，即使数据库被拖库，攻击者也无法解密。
• 访问控制：生产环境数据库采用最小权限原则，仅允许经过堡垒机认证的运维人员通过特定IP段访问，且所有操作均有审计日志。
• 定期渗透测试：我们每年至少委托两家独立的第三方安全机构对平台进行渗透测试与漏洞扫描，最近一次（2024年10月）的测试结果显示未发现高危漏洞。

尽管如此，互联网环境并非绝对安全，我们强烈建议你妥善保管好自己的账号密码，启用双重身份验证（2FA）功能，并避免在公共网络环境下进行敏感操作。

七、政策更新通知与联系我们

随着法律法规的演变及产品功能的变化，我们可能适时修订本隐私政策。对于重大变更（如收集信息范围扩大、使用目的改变），我们将通过客户端弹窗、官网首页公告或短信等显著方式通知你，并在政策顶部标注生效日期。若你在政策修订后继续使用我们的服务，即视为你已阅读并接受修订后的条款。

如你对本政策内容或你的个人信息权益有任何疑问、意见或投诉，请通过以下渠道联系我们：

• 个人信息保护负责人邮箱： [email protected]
• 邮寄地址： 中国（上海）自由贸易试验区张江路665号德宏大厦11层1108室 法务部（数据合规组）收

我们会在收到你的请求后15个工作日内予以答复。若你对我们的答复不满意，或认为我们的处理方式损害了你的合法权益，你还可以向电信管理部门或网信部门进行投诉举报。