隐私说明与数据保护政策

一、信息收集范围与类型

在您注册账号、进行游戏或使用客服支持时，我们会收集以下几类必要信息，以便为您提供稳定的服务。我们遵循“最小化收集”原则，仅收集实现服务功能所必需的数据。

1. 账号注册信息

包括您的用户名、经过加密存储的密码（PBKDF2 算法）、注册邮箱或手机号码。这些信息用于创建您的唯一身份标识，并作为登录凭证。

2. 实名认证信息

根据相关地区法律法规要求，当您进行提现操作时，可能需要提供真实姓名、身份证号码或护照号码。该信息仅用于反洗钱审查与法律合规，我们不会将其用于任何营销目的。

3. 游戏行为数据

包括对局记录、投注金额、胜负结果、游戏时长、爆分触发时间戳等。此类数据用于生成您的个人战绩统计，并帮助我们优化游戏平衡性。请注意，对局记录中的哈希值数据是公开可验证的，但不会关联您的个人身份。

4. 设备与技术日志

当您访问平台时，服务器会自动记录 IP 地址、浏览器类型（User-Agent）、操作系统版本、屏幕分辨率、设备标识符（IDFA/IMEI，仅限移动端）。这些信息用于防范欺诈行为、诊断网络故障以及优化页面兼容性。

二、信息使用目的与方式

我们承诺，所有收集的信息仅用于以下明确目的，绝不会超出范围使用您的数据。具体使用场景包括：

1. 服务提供与维护：验证您的登录状态、保存游戏进度、结算游戏奖励、处理充值与提现请求。
2. 安全风控：通过分析设备指纹与行为模式，检测并阻止多开作弊、盗号、洗钱等违规行为。例如，若同一设备在短时间内登录超过 5 个不同账号，系统将自动触发风控验证。
3. 个性化体验优化：基于您的游戏偏好（如偏好经典版还是高倍版），在首页展示您可能感兴趣的游戏模式。我们不会使用您的数据构建用户画像用于第三方广告投放。
4. 法律合规：配合司法机关调查，或根据库拉索牌照监管机构的要求提供必要的数据记录。

我们明确禁止将您的个人信息出售、出租或交易给任何第三方。涉及数据使用的任何变更，我们会提前 30 天通过站内信与邮件双重通知。

三、Cookie 与追踪技术说明

本平台使用 Cookie 及类似技术（如 Local Storage）以提升您的访问体验。我们对此进行完全透明的披露。

1. 必要型 Cookie

用于维持会话状态，例如记住您的登录状态（有效期 24 小时）、防止跨站请求伪造（CSRF Token）。这些 Cookie 无法禁用，否则网站核心功能将不可用。

2. 功能型 Cookie

用于记住您的界面偏好设置，例如语言选择（简体中文/English/ไทย）、音量大小、牌桌视图模式。有效期 180 天。

3. 分析型 Cookie

我们使用自研的轻量级分析脚本（非 Google Analytics）统计页面访问量、热门游戏入口点击率等聚合数据。该脚本不采集您的个人身份信息，且所有数据均经过 IP 匿名化处理（删除最后一段地址）。

您可以通过浏览器设置删除或阻止 Cookie。但请注意，禁用全部 Cookie 将导致您无法正常登录游戏。我们目前不采用任何跨站追踪技术（如第三方广告追踪像素）。

四、第三方数据共享政策

我们仅在以下有限场景下，向特定类别的第三方服务商共享您的必要数据，且所有接收方均需签署严格的数据保护协议（DPA）。

除上述场景外，未经您的单独授权，我们不会向任何商业伙伴共享您的联系方式、游戏记录或财务信息。若平台发生合并、收购或资产转让，我们将提前通知您，并确保数据接收方继续履行本政策下的全部义务。

五、用户权利：访问、修改与删除

根据《通用数据保护条例》（GDPR）及库拉索相关法规，您对您的个人数据享有以下权利。您可以通过「账号设置-隐私中心」页面行使这些权利，或发送邮件至 [email protected] 联系我们的数据保护官（DPO）。

• 访问权：您可以免费获取我们持有的关于您的个人数据副本，我们将在 15 个工作日内提供结构化、机器可读的导出文件。
• 更正权：若您的注册信息（如邮箱、手机号）发生变更，您可随时在账号设置中自行修改。实名认证信息修改需联系客服人工审核。
• 删除权（被遗忘权）：您有权要求我们删除您的全部个人数据。请注意，若您的账号存在未完结的投诉或正在进行的风控调查，删除请求可能被延迟至调查结束。删除账号后，您的游戏战绩与金币余额将永久清空且不可恢复。
• 限制处理权：当您对数据准确性提出异议时，您可以要求我们在核实期间暂停处理该数据。
• 数据可携带权：您有权将您的游戏记录数据（不含他人信息）以 CSV 格式导出并转移至其他服务商。

六、信息安全保障措施

保护您的数据安全是我们的首要任务。我们部署了多层纵深防御体系，具体技术措施如下：

• 传输加密：全站启用 TLS 1.3 协议，证书由 DigiCert 签发，确保数据在传输过程中无法被窃听或篡改。
• 存储加密：数据库中所有敏感字段（密码、钱包地址、证件号）均使用 AES-256 算法加密存储。加密密钥由独立的硬件安全模块（HSM）管理，与数据库分离存放。
• 访问控制：仅极少数运维人员拥有生产数据库的访问权限，且所有访问操作均记录审计日志，日志保留期为 6 个月。
• 安全测试：我们每年委托第三方安全公司（如 HackerOne 平台的白帽黑客）进行渗透测试与漏洞挖掘，并对发现的中高危漏洞进行紧急修复。
• 员工培训：所有接触用户数据的员工必须完成年度数据安全合规培训，并通过考核后方可上岗。

尽管我们采取了上述措施，但请注意，互联网环境不存在绝对的安全。若不幸发生数据泄露事件，我们将在 72 小时内通过邮件与站内信通知您，并同步向监管机构报告。

七、政策更新与通知机制

我们保留根据法律法规变化或业务调整适时修订本政策的权利。任何重大变更（如收集数据类型增加、共享范围扩大）将遵循以下通知流程：

1. 在官网首页顶部展示显著横幅公告，持续至少 7 天。
2. 向您注册时绑定的邮箱发送邮件通知，邮件标题包含「隐私政策更新」字样。
3. 在您下次登录时，弹出弹窗要求您确认已阅读并同意新版政策。

若您对修订内容有异议，您有权在通知期内（30 天）注销账号并请求删除数据。未在通知期内提出异议并继续使用服务，即视为您接受修订后的政策。本政策的最终解释权归平台运营方所有，但不会限制法律赋予您的任何强制权利。