隐私说明与个人信息保护政策
本政策适用于「麻将胡了」及「麻将胡了2」游戏平台（以下简称"本平台"或"我们"），运营主体为PG Mahjong Studio。我们深知个人信息对您的重要性，并承诺严格遵守《中华人民共和国个人信息保护法》、《网络安全法》及相关法律法规的要求。本政策旨在透明地说明我们收集哪些信息、如何使用、何时共享以及您所享有的权利。请您在使用本平台服务前仔细阅读本政策。若您继续使用，即表示您已充分理解并同意本政策全部内容。
一、我们收集的信息范围与类型
为了向您提供游戏服务、保障账号安全并优化产品体验，我们仅收集实现上述功能所必需的信息。我们不会收集与提供服务无关的个人信息。具体收集类型如下：
- 注册信息：当您创建账号时，我们会收集您的手机号码（用于实名认证与登录验证）以及您设置的登录密码（经不可逆加密存储）。若您使用第三方账号（如微信）快捷登录，我们会获取您在第三方平台授权的公开信息（头像、昵称）及唯一的OpenID。
- 设备信息：为保障服务安全与反作弊检测，我们会自动收集您的设备型号、操作系统版本、唯一设备标识符（如IMEI、OAID）、IP地址、MAC地址（仅限Android）、网络类型（Wi-Fi/4G/5G）以及设备屏幕分辨率。这些信息仅用于生成设备指纹，用于识别异常登录行为，不会用于个性化广告推送。
- 日志信息：当您使用游戏时，系统会自动记录操作日志，包括登录时间、登出时间、对局房间ID、对局时长、操作记录（如碰、杠、胡）以及客户端崩溃报告。该日志数据经匿名化处理后，仅用于故障排查与游戏平衡性分析。
- 交易信息：当您进行虚拟货币充值时，我们会记录交易流水号、充值金额、支付渠道（如支付宝、微信支付）以及交易时间。请注意，您的完整银行卡号或第三方支付账户信息由支付机构直接收集，我们无权接触。
二、信息使用目的与方式
我们承诺，所有收集的信息均会在明确、合理的目的范围内使用，且不会进行与原始目的相悖的处理。具体使用场景包括：
- 核心功能提供：使用您的账号信息验证身份，确保您能正常登录并对局。使用设备信息与IP地址进行网络连接优化，降低延迟。
- 安全风控：利用设备指纹与行为日志构建反作弊模型。例如，当同一设备在短时间内登录超过5个不同账号时，系统会触发风控警报，暂停该设备的登录权限以防范「代练」与「刷分」行为。
- 客户服务：当您联系客服时，我们需要调取您的账号基础信息与历史工单记录，以便快速定位问题。客服系统通话可能会被录音，用于服务质量监控与纠纷取证。
- 产品研发：对匿名化的对局数据进行统计分析，以调整游戏数值平衡。例如，我们曾根据对局数据发现「清一色」牌型在低段位玩家中的出现频率低于预期，进而优化了发牌算法。
我们不会将您的个人信息用于「大数据杀熟」或未经授权的商业分析。若未来需要将信息用于本政策未载明的其他用途，我们将再次征得您的明示同意。
四、第三方数据共享政策
我们高度重视数据隐私，除以下明确列举的情形外，我们不会向任何第三方出售、出租或共享您的个人信息：
- 支付服务提供商：当您进行充值时，为完成交易，我们需要将您的用户ID与订单号传输给支付宝、微信支付等持牌支付机构。传输过程采用TLS 1.3加密协议，且仅传输必要的交易标识，不涉及您的社交关系或游戏行为数据。
- 实名认证服务：根据法规要求，我们需要将您的姓名与身份证号码传输给国家认可的第三方实名认证接口（如公安部NCIIC），以完成实名比对。该接口仅返回「一致/不一致」的布尔值，我们不会留存您的完整身份证复印件。
- 云服务提供商：我们租用阿里云及腾讯云的服务器资源。这意味着您的数据在物理上存储于上述云服务商的机房中。我们已与云服务商签署了严格的《数据保护协议》（DPA），禁止其访问我们的业务数据。
- 执法机构：在收到具有法律效力的调查令、传票或法院判决时，我们依法必须向公安机关或司法机关提供必要的用户数据。我们会在法律允许的范围内，尽力对数据范围进行最小化处理。
除上述情况外，任何其他第三方（如广告联盟、数据交易商）均无法通过任何接口获取您的数据。我们亦不会将您的数据与任何第三方进行「数据融合」或「画像共享」。
五、您的权利：访问、更正与删除
根据《个人信息保护法》，您对您的个人信息享有广泛的控制权。您可以通过游戏内「设置-账号安全」页面或联系客服行使以下权利：
- 访问权：您有权获取我们持有的关于您的个人信息副本。我们将在15个工作日内提供电子版文件。
- 更正权：若您的手机号码或绑定的第三方账号发生变更，您可以随时在「账号安全」页面进行自助修改。实名认证信息（姓名与身份证号）在提交后将无法自行修改，若确属录入错误，请联系客服提交人工审核材料。
- 删除权：您可以通过「注销账号」功能彻底删除您的账号及相关数据。注销流程为：提交申请后进入15天冷静期，冷静期内登录账号将自动取消注销申请。冷静期结束后，您的所有个人信息（包括对局记录、充值记录、虚拟资产）将被永久删除且无法恢复。虚拟资产（金币、道具）不支持折现或转移。
- 撤回同意权：对于基于您同意而进行的非必要信息处理（如个性化推送），您可以在设置中随时关闭。
- 可携带权：您有权要求我们将您的个人信息以结构化、常用且机器可读的格式传输给您指定的其他平台。我们将评估技术可行性后予以响应。
六、信息安全保障措施
保护您的数据安全是我们的首要责任。我们构建了纵深防御体系，具体措施包括：
- 加密传输：所有网络通信均强制使用HTTPS/TLS 1.2及以上协议。游戏内关键操作（如支付、登录）使用独立的加密通道。
- 加密存储：您的密码通过bcrypt算法（cost factor=10）加盐哈希后存储，即使数据库泄露，攻击者也无法逆向破解。您的手机号码在数据库中通过AES-256算法进行加密存储。
- 访问控制：内部员工访问用户数据需通过双因素认证（2FA）及审批流程。所有数据访问操作均有审计日志，日志保留至少6个月。
- 定期渗透测试：我们每年至少进行两次由外部安全公司执行的渗透测试与代码审计。最近一次测试于2024年9月完成，未发现高危漏洞。
- 数据备份：核心数据库每日进行全量备份（存储于异地灾备机房），增量备份每30分钟一次。备份数据同样经过加密处理，且备份恢复流程每季度演练一次。
七、政策更新通知与联系我们
本政策可能因法律法规变化或业务功能调整而进行修订。若发生重大变更（如收集信息范围扩大、数据使用目的改变），我们将通过站内信、弹窗提示或短信的方式向您发送显著通知。变更后的政策自通知中载明的日期起生效。若您不同意修订后的政策，您有权停止使用本平台服务并申请注销账号。
若您对本政策内容有任何疑问、意见或投诉，请通过以下方式与我们联系：
个人信息保护负责人邮箱：[email protected]
邮寄地址：中国（上海）自由贸易试验区XX路XX号XX大厦XX层（邮编：200120），收件人：法务部-数据合规组。
我们将在收到您的请求后15个工作日内予以答复。若您对我们的处理方式不满意，您有权向网信部门或工信部门进行投诉举报。本政策自2024年1月1日起生效，最新修订日期为2024年10月15日。