隐私说明与数据保护政策

一、信息收集范围与类型

我们仅收集与提供游戏服务直接相关的必要信息，拒绝过度收集。具体分为以下三大类：

1. 您主动提供的信息

• 注册信息：包括您的手机号码、电子邮箱地址、用户名及加密后的登录密码。手机号码用于唯一标识您的账户并进行短信二次验证。
• 实名认证信息：根据监管要求，您需提供真实姓名及身份证号码。该信息仅用于年龄验证及反洗钱审查，并经过 AES-256 加密后存储于独立的安全隔离区。
• 支付信息：当您进行充值与提现操作时，我们会收集您的第三方支付账户（如支付宝、微信支付）或银行卡号。我们仅存储支付凭证 token，绝不保存您的完整银行卡 CVV 码或支付密码。

2. 自动采集的信息

• 设备信息：包括 IP 地址、设备型号、操作系统版本、浏览器 UA 标识、唯一设备识别码（IMEI/IDFA，在您授权后获取）。
• 日志信息：您访问页面的路径、点击行为、对局记录、崩溃日志及异常错误报告。
• 位置信息：仅收集城市级别的粗略地理位置，用于判断是否处于法律禁止博彩的地区，不涉及精确定位。

3. Cookie 及类似追踪技术

我们使用 Cookie 和 Local Storage 来维持您的登录状态（Session ID）及记住语言偏好。这些技术数据不包含个人敏感信息。

二、信息使用目的与合法性基础

我们承诺，您的所有数据仅用于以下明确用途，绝不会用于与提升服务无关的用途。具体使用场景包括：

1. 提供核心服务：创建并维护您的游戏账户，处理您的存取款请求，计算「一倍流水白菜」活动中的有效流水数据。
2. 安全与风控：利用设备信息与行为日志进行欺诈检测、多开账号识别及异常登录预警。例如，当同一设备在 10 分钟内登录超过 3 个不同账户时，系统将自动触发风控锁定。
3. 个性化推荐：在获得您的单独授权后，我们可能分析您的游戏偏好（如偏好《麻将胡了2》还是经典版），向您推送您可能感兴趣的新玩法内测通知。
4. 法律合规：配合司法机关及监管机构的调查要求，履行反洗钱（AML）报告义务。

合法性基础说明：我们处理您的个人信息主要基于「履行合同必要性」（为您提供服务）、「法律义务」以及「您的明确同意」三重法律依据。对于基于同意进行的数据处理，您有权随时撤回同意。

三、Cookie 与追踪技术的详细说明

您可以在浏览器设置中管理或删除 Cookie。但请注意，禁用核心 Cookie 将导致您无法正常登录游戏或参与活动。我们使用的 Cookie 分类如下：

四、第三方数据共享与跨境传输政策

我们坚守「最小化共享」原则。在未经您单独同意的情况下，我们不会出售、出租或交易您的任何个人信息。仅在以下特定场景下，我们可能向特定接收方披露必要的数据：

• 支付服务提供商：如支付宝、银联商务等，用于完成交易结算。我们仅共享交易订单号及金额，不共享您的身份信息。
• 游戏研发方（PG SOFT）：为了排查游戏 BUG 及优化算法，我们可能共享脱敏后的对局日志（不含姓名、手机号）。
• 政府监管机构：当收到具有法律效力的调查令或传票时，我们将依法提供必要的数据。
• 集团内部关联公司：若未来涉及集团架构调整，数据转移将遵循本政策，并提前 30 日通知您。

跨境传输说明：我们的服务器部署于中国香港特别行政区及新加坡。对于中国大陆用户的数据，我们通过《个人信息出境标准合同》备案机制保障您的数据在跨境传输过程中的安全。所有数据传输均通过 TLS 1.3 加密隧道进行。

五、您的权利与数据主体请求

依据 PIPL 及 GDPR，您对您的个人信息享有以下不可剥夺的权利。您可以通过客户端内「帮助中心」→「隐私请求」提交工单，我们将在 15 个工作日内（最长不超过 30 日）响应您的请求。

1. 访问权：您有权获取我们持有的关于您的个人信息副本。
2. 更正权：若您的手机号或邮箱已变更，您有权要求我们及时更新。
3. 删除权（被遗忘权）：在您注销账户后，我们将依据法律要求，在 30 日内删除您的全部个人敏感信息，但保留必要的交易日志以备税务审计（最长保留 5 年）。
4. 限制处理权：当您对数据准确性存在异议时，您有权要求我们暂停处理相关数据。
5. 可携带权：您有权要求我们将您的核心数据（如对局记录）以结构化、机器可读的格式传输给您指定的第三方。
6. 撤回同意权：针对营销类推送，您可随时通过邮件中的退订链接撤回授权。

六、信息安全保障措施

我们采用了业内领先的纵深防御体系来保护您的数据免受泄露、篡改和丢失。具体技术措施包括：

• 传输加密：全站启用 HTTPS，强制 TLS 1.3 协议，禁用 SSLv3 及 TLS 1.0 等老旧不安全协议。
• 静态存储加密：数据库中的密码字段采用 bcrypt 算法加盐哈希，敏感字段（如身份证号）使用字段级 AES-256-GCM 加密。
• 访问控制：实施基于角色的访问控制（RBAC），仅极少数高级运维人员拥有生产数据库的访问权限，且所有访问操作均记录在不可篡改的审计日志中。
• 入侵检测：部署了基于流量分析的 IDS/IPS 系统，可实时拦截 SQL 注入、暴力破解等常见攻击行为。
• 数据备份：每日进行增量备份，每周进行全量备份。备份数据存储于异地灾备中心，保留周期为 90 天。

七、政策更新通知与联系我们

本政策可能因法律法规变化或业务功能调整而进行修订。任何重大变更（如收集信息范围扩大、数据共享对象改变）将通过以下方式提前 7 日通知您：站内信弹窗、注册邮箱发送邮件或在客户端登录页展示公告横幅。变更生效前，若涉及需要您单独同意的内容，我们会再次获取您的明示同意。

若您对本隐私政策或您的数据权益有任何疑问、意见或