隐私说明与数据保护政策

一、我们收集哪些信息？

我们遵循"最小化收集"原则，仅收集为你提供服务所必需的信息。根据你使用功能的不同，收集范围分为以下三类：

1. 账号注册信息（基础数据）

• 必填项：邮箱地址或手机号码（用于登录验证与密码找回）、自定义登录密码（经过单向哈希加密存储，我们无法读取明文）。
• 选填项：昵称、头像。若你不填写，系统将自动生成以"玩家+数字"格式的临时昵称。

2. 设备与技术日志（自动采集）

当你在网页在线玩"麻将胡了"时，我们的服务器会自动记录以下技术参数：IP地址（经过脱敏处理）、浏览器类型与版本（User-Agent）、操作系统信息、屏幕分辨率、访问时间戳、点击流日志（记录页面按钮的点击顺序）。这些数据仅用于诊断网络连接质量、优化页面加载策略以及识别异常流量模式。

3. 游戏行为数据

为保障反作弊机制的运行，我们会记录游戏内的关键操作事件，例如：开始游戏时间、每局投注额、触发免费旋转的时间戳、游戏结果（赢/输）。我们明确声明：我们不会收集你的键盘输入记录、剪贴板内容或任何与游戏无关的私人文件。

二、信息的使用目的与方式

我们承诺，所有收集到的信息仅用于以下明确列举的用途，绝不会用于超出合理范围的商业目的：

1. 核心功能提供：验证你的登录身份，保存你的游戏进度与历史战绩，确保你可以跨设备无缝同步数据。
2. 安全风控：利用设备指纹与IP行为分析，识别并拦截撞库攻击、脚本外挂、盗号等恶意行为。例如，当检测到同一账号在短时间内跨多个省份登录时，系统会触发二次验证。
3. 服务优化与数据分析：我们对聚合后的匿名数据（非个人数据）进行分析，以了解不同网络环境下玩家的卡顿率，从而针对性地优化CDN节点布局。该分析不会针对特定个人。
4. 客户支持：当你在联系我们页面提交工单时，我们需要调取你的基础账号信息以核实身份。
5. 法律合规：在收到具有法律效力的传票、搜查令或监管机构要求时，我们将依法配合提供必要的数据。

我们郑重承诺：绝不将你的个人信息出售、出租或交易给任何第三方用于营销目的。绝不使用你的游戏数据进行任何形式的定向广告推送。

三、Cookie 与同类追踪技术说明

为了让"麻将胡了网页在线玩"的体验更加流畅，我们使用Cookie及本地存储（LocalStorage）技术。具体说明如下：

• 必要型Cookie：用于维持你的登录会话状态（Session）。当你勾选"记住我"后，我们会设置一个有效期不超过30天的持久化Cookie，用于自动登录。若你拒绝此Cookie，将无法正常使用游戏服务。
• 功能性Cookie：用于存储你的界面偏好设置，例如音量大小、动画特效开关状态。该类型Cookie不包含个人身份信息。
• 分析型Cookie：我们使用自研的轻量级统计脚本（非第三方广告追踪器），用于统计页面访问量、独立访客数以及热门游戏入口点击量。该数据经过聚合处理，无法反向识别特定个人。

你可以在浏览器设置中管理或删除Cookie。但请注意，禁用全部Cookie将导致你无法登录或进行游戏，因为必要的会话验证无法完成。我们不会使用任何跨站追踪型Cookie来监控你在其他网站上的行为。

四、第三方数据共享与委托处理

我们深知数据共享的敏感性。仅在以下特定情形下，我们可能会与第三方进行有限的数据交互：

除上述场景外，未经你的单独同意，我们不会向任何第三方提供能够识别你个人身份的信息。若因公司合并、收购或资产重组导致控制权变更，我们将通过站内公告显著位置通知你，并确保数据承接方继续受本政策约束。

五、你享有的权利与行使方式

依据相关法律法规，你对自身个人信息拥有完整的控制权。具体权利包括：

• 查阅权：你可以在"账户设置"页面查看我们持有的关于你的基本信息（邮箱、手机号、注册时间）。
• 更正权：若你的绑定信息有误，可通过"联系我们"页面提交更正申请，我们将在核实身份后48小时内完成修正。
• 删除权：你可以通过发送邮件至[email protected]申请注销账号。账号注销后，我们将于15个工作日内删除你的所有个人数据及游戏行为日志，但为履行法律义务（如税务或反洗钱要求）所必须保留的数据除外。
• 撤回同意权：你有权撤回对分析型Cookie的授权，撤回不影响此前基于授权进行的处理的合法性。
• 可携带权：你可以申请导出你的基础个人数据（邮箱、注册时间、战绩摘要），我们将以结构化、机器可读的格式（如CSV）提供给你。

所有权利请求均不收取任何费用。我们承诺在15个工作日内（法定节假日顺延）给予答复。若你对我们的处理结果不满意，有权向相关网信部门投诉举报。

六、信息安全保障措施

保护你的数据安全是我们的首要责任。我们构建了纵深防御体系，具体措施包括：

• 传输加密：全站启用TLS 1.3加密协议，确保数据在传输过程中不被窃听或篡改。
• 存储加密：服务器数据库中的敏感字段（如密码哈希、邮箱）采用AES-256算法进行静态加密存储。
• 访问控制：仅极少数经过背景审查的核心运维人员拥有数据库访问权限，且所有访问操作均记录于不可篡改的审计日志中。
• 安全监测：部署Web应用防火墙（WAF）与入侵检测系统（IDS），实时拦截SQL注入、跨站脚本（XSS）等常见网络攻击。2023年全年，我们成功拦截了超过2.1亿次恶意扫描与攻击尝试。

尽管我们采取了上述措施，但请注意，互联网环境不存在绝对的安全。若不幸发生数据安全事件，我们将根据法律法规要求，在发现后的72小时内通过邮件或站内信告知受影响的用户，并上报至相关监管机构。

七、政策更新与通知机制

随着业务功能调整或法律法规更新，我们可能适时修订本隐私政策。重大变更（例如收集信息范围扩大、数据使用目的改变）将通过以下方式显著通知：

1. 在网站首页顶部展示持续不少于7天的浮动公告条。
2. 向你的注册邮箱发送一封独立的政策更新通知