隐私说明与个人信息保护政策
本隐私政策适用于 yaml.lira-pg.com（以下简称「本平台」）及其关联服务。我们深知个人数据的重要性，并严格按照《中华人民共和国个人信息保护法》（PIPL）、《网络安全法》以及 GDPR 的相关要求，对收集、存储、使用、加工、传输、提供、公开、删除等全生命周期进行严格管理。本政策最近一次更新日期为 2024 年 5 月 20 日，自发布之日起生效。
请在使用本平台服务前，仔细阅读本政策的全部条款。当你点击注册或继续使用本平台服务时，即视为你已充分理解并同意本政策所述内容。若你为未满 18 周岁的未成年人，请在法定监护人陪同下阅读本政策，并在取得监护人同意后使用我们的服务。
一、信息收集范围与类型
我们仅收集为你提供服务所必需的最小化信息。第一类为账号注册信息：当你创建账号时，我们会收集你的用户名、经过加密处理的密码、手机号码或电子邮箱地址（用于身份验证与找回密码）。第二类为设备与技术日志信息：在你访问本平台或游戏客户端时，我们会自动记录 IP 地址、设备型号、操作系统版本、浏览器类型（User-Agent）、屏幕分辨率以及操作日志（如按钮点击流）。这些信息用于保障网络安全、排查故障及优化界面布局。
第三类为游戏行为数据：包括但不限于你的对局记录、虚拟资产变动流水、活动参与记录、成就解锁时间戳。请注意，我们不会收集你的真实姓名、身份证号码、家庭住址等敏感个人信息，除非你主动发起提现或实名认证请求。第四类为客服沟通记录：当你联系我们时，我们会保存你提供的聊天内容、截图及工单历史，用于服务质量追踪与纠纷举证。所有图片类证据将在处理完成后 180 天内自动删除。
二、信息使用目的与方式
我们收集上述信息的目的仅限于以下六个方面：1) 创建与维护你的游戏账号，实现进度云同步；2) 检测与防范作弊行为、恶意插件及网络攻击，保障游戏公平性；3) 向你推送与《麻将胡了》系列直接相关的版本更新、活动预告（你可在设置中随时关闭此类推送）；4) 进行匿名化的数据统计分析，用于改进游戏平衡性与用户体验；5) 履行法律法规规定的网络安全与审计义务；6) 在获得你单独同意的前提下，用于跨游戏的「赏金女王」专区积分互通。
我们郑重承诺，绝不会将你的个人信息用于任何与提升游戏体验无关的商业用途，例如向第三方出售用户画像。我们也不会对你的游戏数据进行任何形式的「大数据杀熟」——所有用户看到的概率公示与活动规则完全一致。内部数据访问遵循「最小权限原则」，仅运营与安全岗位的极少数员工在授权后可通过堡垒机访问核心数据库，且每一次访问均留有审计日志。
三、Cookie 与追踪技术说明
本平台使用 Cookie 和类似技术（如 LocalStorage、SessionStorage）来提升访问体验。我们使用的 Cookie 分为两类：严格必要型 Cookie，用于维持登录状态（Session ID）与负载均衡路由，此类 Cookie 无法关闭，否则你将无法正常登录；功能性 Cookie，用于记住你的语言偏好（如简体中文）、音量设置、牌桌背景主题等个性化选项，有效期设置为 365 天。
我们不使用任何第三方广告追踪 Cookie，也不接入 Meta Pixel、Google Ads 等再营销工具。这意味着你在浏览本平台后，不会在其他网站上看到我们推送的定向广告。唯一的例外是，为了统计站内不同页面的访问热度，我们使用自建的轻量级分析脚本（非 Google Analytics），该脚本仅记录页面 URL 与访问时长，不采集你的鼠标移动轨迹或键盘输入内容。你可以通过浏览器设置中的「清除第三方数据」选项来手动清除这些本地存储数据。
四、第三方数据共享政策
我们仅在以下三种情形下，可能向特定第三方披露你的必要信息，且均会事先进行安全影响评估：第一，支付服务提供商。当你进行虚拟积分充值时，订单信息（金额、时间、订单号）会传输至持牌支付机构（如支付宝、微信支付）以完成交易结算。我们不会向支付机构提供你的游戏行为数据。第二，云服务与 CDN 厂商。我们的服务器托管于阿里云（新加坡区域），为保障全球访问速度，使用了 Cloudflare 的内容分发网络。这些服务商仅能接触到加密后的网络请求流量，无法读取你的明文个人数据。第三，司法机关与监管机构。在收到具有法律效力的调查令、传票或政府要求时，我们会在法律允许的范围内配合提供必要数据。
除上述情况外，我们不会将你的个人数据出售、出租或共享给任何关联公司或商业伙伴。若未来因公司并购、资产重组导致控制权变更，我们将通过站内信及邮件方式提前 30 天通知你，并确保受让方继续履行本政策约定的全部义务。
五、用户权利：访问、修改与删除
依据 PIPL 第四章，你享有以下五项核心权利：访问权——你可随时登录账号，在「个人中心」-「隐私中心」查看我们持有的关于你的全部数据副本（导出格式为 JSON）；更正权——若发现手机号、邮箱等绑定信息有误，可随时在线修改，修改后需重新验证；删除权——你可以通过「注销账号」功能主动删除账号及全部关联数据，注销过程需经过双重身份验证，且存在 7 天的冷静期，期间可撤销操作；撤回同意权——对于非必要的信息处理活动，你可随时在设置中撤回授权；可携带权——你有权要求我们将你的核心游戏数据（不含虚拟资产）以结构化、机器可读的格式传输至你指定的其他平台。
若你希望行使上述权利，或对本政策内容有任何疑问，请发送邮件至 [email protected]。我们将在 15 个工作日内（法定最长时限）完成身份核验并予以答复。若我们拒绝你的请求，将书面说明具体理由，并告知你可向网信部门投诉或向人民法院提起诉讼的途径。
六、信息安全保障措施
我们采用了业界领先的多层安全防护体系。在数据传输层，所有接口强制启用 TLS 1.3 协议，加密套件优先使用 ECDHE_ECDSA_AES256_GCM_SHA384；在数据存储层，你的密码通过 bcrypt 算法（成本因子为 12）加盐哈希后存储，即使数据库泄露，攻击者也无法逆向还原明文密码。你的游戏资产变动流水采用区块链哈希链技术进行防篡改存证，每 10 分钟生成一个数据指纹锚定至以太坊测试网。
在组织管理层面，我们建立了数据安全事件应急响应预案（预案编号：DSIRP-2024-03）。一旦发生可能涉及个人数据泄露的安全事件，我们将在 72 小时内通过站内信、短信及邮件三种方式通知受影响用户，并向上海市通信管理局报告。2023 年全年，我们共拦截了 2,140 万次恶意爬虫请求与 3.2 万次 SQL 注入尝试，未发生一起成功的数据泄露事件。
七、政策更新通知机制
随着法律法规的演变及业务功能的调整，我们可能适时修订本政策。对于任何实质性的变更（例如扩大信息收集范围、新增数据共享方），我们将通过以下方式提前 15 天通知你：1) 在网站首页顶部展示显著的通知横幅；2) 向你的注册邮箱发送邮件摘要；3) 在游戏内「公告」板块发布完整的新版政策链接。
若你在新版政策生效后继续使用我们的服务，将视为接受修订后的条款。若你不同意变更内容，你有权在生效日前注销账号并停止使用服务。历史版本的政策文档将存档于「隐私中心」-「政策版本记录」中，供你随时查阅对比。本政策的解释权及争议解决适用中华人民共和国法律，管辖法院为上海市浦东新区人民法院。