信息收集范围与类型：透明告知，最小化采集
「麻将胡了」官方网站（以下简称"本平台"）深知个人信息对您的重要性，并依据《中华人民共和国个人信息保护法》及通用数据保护条例（GDPR）之精神，制定本隐私政策。我们遵循"最少够用"原则，仅收集为您提供服务所必需的最基本信息。本政策适用于您在 ai.cns-mahjong.com 域名下的一切活动。
我们收集的信息分为三大类。第一类为账户注册信息：包括您的手机号码（用于登录与安全验证）、用户名（用于游戏内展示）及加密存储的登录密码。手机号码属于敏感个人信息，我们采用AES-256算法加密后存储于独立的安全模块中，任何客服人员均无法直接查看明文。第二类为设备与技术日志：当您访问本平台时，系统自动记录您的IP地址、浏览器类型（User-Agent）、操作系统版本、屏幕分辨率及访问时间戳。此类信息用于保障网络安全与排查技术故障，存储期限不超过6个月。第三类为游戏行为数据：包括对局记录、金币变动流水、成就解锁时间等。该数据用于反作弊检测与游戏平衡性分析，不涉及您的真实身份信息。
我们郑重承诺，绝不收集与提供服务无关的信息，例如您的通讯录、相册内容、精准地理位置（仅收集城市级别模糊定位）或生物识别信息。未成年人保护方面，若您未满18周岁，请在监护人指导下使用本平台，我们不会主动收集未成年人的额外信息。
信息使用目的与合法依据
我们收集上述信息的目的具有明确的限定性，不会用于超出以下范围的任何其他用途。具体使用场景包括：（1）核心功能提供——验证您的登录状态、保存游戏进度、计算排行榜名次。此处理基于"履行合同所必需"的法律依据。（2）安全保障——通过分析设备指纹与对局行为模式，识别并拦截外挂程序、盗号攻击与支付欺诈行为。此处理基于"合法利益"的法律依据，且我们的合法利益优先于您的个人权益。（3）客户支持——当您提交工单时，我们需要调取您的账号基础信息与操作日志以定位问题。此处理同样基于"履行合同所必需"。
在营销信息推送方面，我们仅会在您主动勾选"订阅邮件资讯"后，向您发送游戏更新公告与活动通知。您可随时通过邮件中的"取消订阅"链接撤回同意。我们不会向您发送任何第三方推广信息，也不会将您的联系方式出售或出租给任何广告联盟。平台内展示的奖励活动均基于您自身的游戏行为数据，而非跨站追踪画像。
请特别注意：当法律、法规或监管机构有强制性要求时，我们可能会在必要的限度内披露您的信息。例如，应公安机关调查网络赌博或诈骗案件的要求，我们将在核实法律文书后提供相关数据。除此之外，我们不会主动向任何公共机构共享您的个人信息。
第三方数据共享与委托处理政策
我们深知数据共享的敏感性，因此设定了极为严格的边界条件。目前，本平台仅在以下三种场景下可能涉及数据的对外传输：
（1）支付服务提供商：当您进行充值或提现操作时，您的订单号、支付金额及必要的身份核验信息（如姓名首尾字）会传输至微信支付、支付宝或银联等持牌支付机构。我们通过API接口加密传输，不存储您的完整银行卡号或支付密码。支付机构的数据处理受其自身隐私政策约束。
（2）云服务与CDN供应商：我们的服务器托管于阿里云香港节点，并使用Cloudflare CDN加速。此类供应商仅在技术运维层面接触日志数据，且已签署严格的数据处理协议（DPA），禁止将数据用于任何其他目的。
（3）游戏授权方PG SOFT：为提供正版游戏服务，我们会将您的游戏内唯一标识符（非手机号）传输至PG官方服务器以验证授权状态。此传输过程采用TLS 1.3加密，PG方面无法获取您的注册手机号或密码。
除上述三类必要合作方外，我们不会向任何其他第三方出售、交换或共享您的个人信息。若未来因业务发展需要引入新的数据接收方，我们将事先征求您的单独同意，并通过弹窗形式向您明示接收方名称、数据种类与处理目的。
您享有的数据权利与行使方式
依据相关法律法规，您对自身个人信息享有充分的控制权。您可以通过以下途径行使您的合法权利，我们将在15个工作日内响应您的请求：
- 查阅权：您可在"个人中心-账号安全"页面查看您的注册手机号、绑定邮箱及登录设备记录。如需导出更详细的游戏行为数据，请发送邮件至 [email protected]。
- 更正权：若您的手机号或邮箱发生变更，可在"设置-账号与安全"中自助修改。修改后24小时内，原联系方式将无法用于登录。
- 删除权：您有权要求我们删除您的个人信息。请注意，删除账号将导致游戏金币、段位等虚拟资产清零。我们会在收到删除请求后30天内完成数据擦除，但基于财务审计要求，充值记录将匿名化保留5年。
- 撤回同意权：对于基于"同意"处理的非必要信息（如活动推送），您可随时在设置中关闭开关或通过邮件撤回。
- 限制处理权与可携带权：在特定法定情形下，您可以要求我们暂停处理您的数据，或以结构化、机器可读的格式获取您的核心游戏数据副本。
为确保是您本人在行使上述权利，我们可能会要求您提供身份验证材料（如输入短信验证码或进行人脸识别）。所有权利请求均免费受理，但频繁且无理的重复请求（每月超过5次）除外。
信息安全保障措施与数据存储期限
保护您的数据免受未授权访问是我们安全团队的首要任务。我们构建了纵深防御体系：在网络层，部署WAF（Web应用防火墙）与DDoS高防IP，实时拦截SQL注入与暴力破解攻击；在数据层，所有敏感字段在数据库中以密文形式存储，密钥由独立的KMS（密钥管理服务）定期轮换；在应用层，每次API请求均需通过签名校验与频率限制。
我们定期开展渗透测试与漏洞挖掘，平均每季度发现并修复高危漏洞0.8个。同时，我们已通过ISO 27001信息安全管理体系认证，并每年接受第三方审计机构的复核。尽管有上述措施，但请您理解，互联网环境不存在绝对的安全，我们建议您也采取积极措施：使用包含大小写字母与特殊字符的强密码、开启双重身份验证（2FA）、不在公共WiFi网络下进行充值操作。
关于数据存储期限，我们执行差异化保留策略：账户注册信息在您注销账号后立即删除；游戏对局日志保留12个月，用于反作弊调查；支付流水保留5年，以满足税务合规要求；客服沟通记录保留36个月。超过保留期限的数据将进行不可逆的匿名化处理或彻底销毁。