隐私说明与个人信息保护政策

一、我们收集的信息范围与类型

为了向你提供稳定、安全的游戏资讯与下载服务，我们仅收集实现具体功能所必需的最少信息。我们严格遵循"最小化收集"原则，绝不采集与业务无关的敏感数据。

• 账号注册信息： 当你在本平台创建账号时，我们会收集你的手机号码或邮箱地址、你设定的用户名及密码（密码经过不可逆的 bcrypt 加密存储）。
• 设备与环境信息： 为保障服务安全及兼容性，我们会自动记录你的 IP 地址、设备型号、操作系统版本、浏览器类型（User-Agent）、分辨率及语言设置。
• 日志与行为数据： 包括访问时间戳、浏览的页面路径、点击的下载按钮、游戏策略查询关键词等。此类数据以匿名化聚合形式进行分析，无法单独识别特定个人。
• 交易与订单信息： 若你参与我们的付费赛事或购买虚拟道具，我们会记录订单号、交易金额及支付时间。但你的完整银行卡号或第三方支付账户信息由微信/支付宝等支付渠道直接处理，我们无权亦无法获取。

我们特别提醒，本平台不主动收集任何生物识别信息（如指纹、面部特征）、精确地理位置信息（GPS 坐标）以及 14 周岁以下未成年人的个人信息。

二、信息的使用目的与加工方式

你所提供的每一类数据，都有其明确且必要的用途。我们承诺，绝不会将你的个人信息用于与提升服务质量无关的用途，更不会进行所谓的"大数据杀熟"。

1. 核心功能提供： 使用你的账号信息验证登录状态，确保你能够正常访问「麻将胡了」相关攻略内容与下载资源。
2. 安全风控： 利用设备信息与日志数据构建反欺诈模型，实时监测异常登录、撞库攻击及恶意爬虫行为，保护你的账号免受侵害。
3. 服务优化与研发： 基于聚合后的行为数据（已去标识化），分析玩家对各类攻略的偏好度，从而调整内容布局，提升信息检索效率。
4. 合规审计： 根据《网络安全法》第二十一条要求，留存网络日志不少于六个月，以备司法机关依法调取。
5. 个性化推送（可选）： 仅在获得你单独授权的前提下，我们才会基于你的游戏偏好标签，向你推送你可能感兴趣的版本更新通知。你可在"消息设置"中随时关闭该功能。

我们采用假名化（Pseudonymization）技术处理用户画像数据，确保在不借助额外信息的情况下，无法直接关联到你的真实身份。

三、Cookie 与同类追踪技术说明

为了让站点运行更顺畅、记忆你的偏好设置，我们会在你的设备上存储名为 Cookie 的小型文本文件。你可以通过浏览器设置管理或删除它们，但请注意，禁用 Cookie 可能导致部分功能（如自动登录、记住密码）失效。

我们使用的 Cookie 主要分为以下几类：

• 严格必要型 Cookie： 用于维持会话状态，防止跨站请求伪造攻击（CSRF），此类 Cookie 无法关闭。
• 功能偏好型 Cookie： 记录你的语言选择、主题模式（深色/浅色）等个性化设置。
• 统计分析型 Cookie： 由自建统计系统（非 Google Analytics 等第三方）部署，用于计算独立访客数（UV）与页面浏览量（PV），所有数据均经过聚合处理。

我们目前未接入任何广告联盟或第三方 DSP 广告追踪代码，因此不存在跨站追踪行为。未来若引入此类技术，我们将在显著位置进行弹窗告知，并获取你的明示同意。

四、第三方数据共享与委托处理

我们深知你对数据外泄的担忧。在此我们郑重承诺：我们不会出售、出租或以任何形式交易你的个人信息。仅在以下特定且必要的情形下，我们可能向第三方提供必要的数据片段：

• 云服务提供商： 我们的服务器部署于阿里云（华东 1 节点）与腾讯云（上海节点），这些服务商仅作为基础设施提供方，签署了严格的 DPA（数据处理协议），无权访问业务数据。
• 支付服务机构： 当你发起支付时，我们仅向支付渠道传递订单金额与订单描述，你的支付凭证信息直接由支付机构加密处理。
• 执法与监管机构： 依据《网络安全法》及《刑事诉讼法》相关规定，在收到合法有效的法律文书后，我们才会配合提供特定用户的数据。
• 集团关联公司： 若涉及与「麻将胡了」游戏开发商 PG 官方的数据同步，我们将采用 API 接口传输，且仅同步游戏战绩等必要字段，不涉及你的联系方式。

所有涉及数据委托处理的第三方，均需通过我们的安全审查并签订保密协议，任何未经授权的数据访问行为都将承担法律责任。

五、你的权利：访问、更正与删除

依据《个人信息保护法》第四章规定，你对自身个人信息享有充分的控制权。你可以通过以下途径行使你的合法权利：

• 查询与复制权： 登录官网账号中心，在"个人资料"页面查看我们持有的关于你的基本信息。如需导出完整数据副本，请发送邮件至 [email protected]，我们将在 15 个工作日内提供结构化、机器可读的 CSV 文件。
• 更正权： 若发现你的手机号、邮箱等资料有误，你可以在"安全设置"中自助修改，或联系客服人工核验后修正。
• 删除权： 你可以在账号设置中申请注销账号。注销后，我们将于 15 日内删除或匿名化处理你的全部个人数据，但依据法律法规需留存备查的日志记录除外。
• 撤回同意权： 对于基于你同意而进行的个性化推送，你可以随时在设置中撤回授权。撤回不影响撤回前基于同意已进行的处理合法性。
• 限制处理与可携带权： 在特定法定情形下，你有权要求我们暂停处理你的数据。请通过书面邮件提出申请。

对于上述任何请求，我们将在 15 个工作日内予以答复。若我们拒绝你的请求，将书面说明具体理由，并告知你向网信部门投诉或向人民法院提起诉讼的途径。

六、信息安全保障措施

保护数据安全是我们技术团队的首要任务。我们构建了纵深防御体系，以对抗日益复杂的外部威胁。

• 传输加密： 全站强制启用 HTTPS 协议，采用 TLS 1.3 加密套件，确保数据在传输过程中的机密性与完整性。
• 存储加密： 对于数据库中的敏感字段（如手机号、邮箱），采用 AES-256 算法进行加密存储。即使数据库文件被非法窃取，攻击者也无法解析明文内容。
• 访问控制： 实施基于角色的访问控制（RBAC）机制，内部员工仅能依据最小权限原则访问与其工作职责相关的数据，所有访问操作均记录于不可篡改的审计日志中。
• 入侵检测： 部署了基于流量分析的入侵检测系统（IDS）与 Web 应用防火墙（WAF），能够实时识别并阻断 SQL 注入、XSS 跨站脚本及 CC 攻击等常见攻击行为。
• 容灾备份： 核心数据每日进行全量备份，增量数据实时同步至异地灾备机房。我们承诺的 RPO（恢复点目标）不超过 5 分钟，RTO（恢复时间目标）不超过 2 小时。

尽管我们有如此严密的防护，但请你也承担起保护账号的第一责任：请勿在多个平台使用相同的密码，并定期更换高强度密码（建议包含大小写字母、数字及特殊符号）。

七、政策更新与通知机制

随着法律法规的演进及业务功能的调整，我们可能适时修订本政策。重大变更（如收集信息范围扩大、数据使用目的改变）将通过以下方式显著提示你：

• 站内信弹窗： 在你登录官网时，以强制阅读弹窗形式展示变更摘要，需点击"同意"后方可继续使用。
• 邮件/短信通知： 针对已注册用户，我们将向你预留的联系方式发送变更通知邮件或短信。
• 公告栏置顶： 在官网首页顶部公告区域持续公示 30 日。

本政策版本号：V2.3，最近更新日期：2024 年 11 月 01 日。若你对本政策内容或你的个人信息权益有任何疑问、意见或投诉，请首先通过以下方式联系我们：

个人信息保护负责人： 数据合规部 张女士
电子邮箱： [email protected]
邮寄地址： 上海市徐汇区宜山路 900 号科技大楼 C 座 8 层（邮编：200233）

我们将在 15 个工作日内对你的请求进行核查与回复。如果你对我们的处理结果不满意，你还可以向上海市互联网信息办公室或当地有管辖权的人民法院