隐私说明：麻将胡了平台用户数据保护与信息处理政策
本隐私政策（以下简称"本政策"）旨在向您说明yaml.index-mahjong.com（以下简称"本平台"）在您使用《麻将胡了》、《麻将胡了2》及赏金女王相关服务时，如何收集、使用、存储、共享及保护您的个人信息。我们深知个人信息安全的重要性，因此严格按照《中华人民共和国个人信息保护法》（PIPL）及《通用数据保护条例》（GDPR）的核心原则制定本政策。请您在使用本平台服务前仔细阅读以下条款，当您点击"同意"或继续使用服务时，即视为您已充分理解并同意本政策的全部内容。
信息收集范围与类型：最小化收集原则下的数据清单
本平台遵循"最小化收集"原则，仅收集为您提供服务所必需的信息。根据您使用的具体功能，我们可能收集以下类别的数据：第一类为账户注册信息，包括您的手机号码、电子邮箱地址、用户名及加密后的登录密码。其中手机号码与邮箱将用于身份验证与安全通知，密码采用bcrypt算法加盐哈希存储，平台任何员工均无法查看您的明文密码。第二类为身份验证信息，当您申请代理合作或进行高额提现时，我们可能额外收集您的真实姓名、身份证号或护照号码、银行账户信息，此类信息仅用于反洗钱审查与资金结算，存储期限为您的账户关闭后5年。
第三类为设备与技术信息，包括IP地址、浏览器类型（User-Agent）、操作系统版本、屏幕分辨率及访问时间戳。此类数据通过日志系统自动记录，用于安全风控（如检测异常登录）与平台性能优化。第四类为游戏行为数据，包括但不限于游戏类型、投注金额、获胜记录、免费旋转触发次数、游戏内设置偏好。请注意，游戏行为数据以聚合形式（Aggregated Data）进行分析，我们不会将单条游戏记录与您的身份信息直接关联用于营销目的，除非您主动参与特定活动并同意相关规则。
信息使用目的与方式：合法、正当、透明的处理依据
我们收集的信息仅用于以下明确目的：（1）创建与维护您的账户，确保您能够正常登录并畅玩麻将胡了系列游戏；（2）处理您的充值、提现及福利奖励发放请求，该处理基于您与平台之间达成的服务协议；（3）向您发送必要的服务通知，包括但不限于版本更新公告、维护预警、账户安全提醒，此类通知属于功能性邮件，您无法退订；（4）进行游戏行为分析以优化产品设计，例如通过分析麻将胡了2的玩家流失节点，我们调整了新手引导流程，使得新用户7日留存率提升了11%；（5）在获得您单独同意的前提下，向您发送营销活动信息（如赏金女王专属福利、代理招募计划），您可通过邮件中的退订链接随时撤回同意。
我们承诺不会将您的个人信息用于与上述目的无关的用途。若未来需将信息用于其他目的，我们将重新征求您的明示同意。此外，我们不会将您的个人数据用于"大数据杀熟"或任何形式的歧视性定价。所有游戏内概率与奖励机制对所有用户完全一致，不受用户历史消费水平影响。
Cookie与追踪技术说明：功能性与分析性Cookie的精细管理
本平台使用Cookie及类似技术（包括LocalStorage、SessionStorage）以提升您的访问体验。我们使用的Cookie分为三类：第一类为严格必要性Cookie，此类Cookie是网站运行所必需的，例如用于维持您的登录状态（会话标识）、记忆您的安全偏好设置。若禁用此类Cookie，您将无法正常登录或进行游戏操作。第二类为功能性Cookie，用于记住您的语言选择、游戏界面布局偏好及历史搜索记录，以提供个性化体验。第三类为分析性Cookie，我们通过自部署的Matomo分析工具（而非Google Analytics）收集匿名访问数据，包括页面访问路径、停留时长、点击热力图。我们刻意选择自部署方案以避免将数据发送至第三方服务器。
您可以通过浏览器设置管理或删除Cookie。请注意，禁用严格必要性Cookie将导致服务不可用，而禁用分析性Cookie不会影响核心功能。我们在网站上提供"Cookie偏好中心"，您可随时调整授权粒度。关于第三方追踪：本平台不接入任何广告联盟或第三方DSP（需求方平台），因此不存在跨站追踪行为。但请注意，当您通过我们提供的链接跳转至游戏运营商的官方页面时，该等页面可能设置独立的Cookie，其处理行为不受本政策约束，建议您查阅游戏运营商的隐私政策。
第三方数据共享政策：严格限制的对外提供情形
我们极其重视您的数据安全，仅在以下有限情形下向第三方提供必要的数据：（1）支付服务提供商：当您进行充值或提现操作时，您的交易金额、订单号及必要的身份标识（非密码）将传输至持牌的第三方支付机构（如PayPal、Skrill或本地银行网关），以实现资金划转。我们要求所有支付合作伙伴签署数据处理协议（DPA），确保其符合PCI-DSS安全标准。（2）云服务与服务器托管商：我们的服务器部署于香港及新加坡的数据中心，托管商为AWS与阿里云国际版。该等服务商仅作为数据处理者，无权将您的数据用于任何其他目的。（3）法律合规要求：若政府机关依据法定程序提出书面要求，我们将在形式审查后依法提供必要的数据。除上述三类情形外，我们不会向任何第三方出售、出租或共享您的个人信息。
需要特别说明的是，本平台与PG SOFT游戏开发商之间不存在直接的数据共享关系。游戏数据（如spins记录、奖励发放）由游戏运营方独立处理，我们仅通过API接口获取必要的对账数据以确认福利发放的准确性。您的账户密码、身份信息等敏感数据永远不会传输至游戏服务器。
用户权利：查看、修改、删除与可携带权的行使方式
依据适用法律，您对您的个人信息享有以下权利：（1）访问权——您有权获取我们持有的关于您的个人信息副本。您可在"账户设置"页面查看基本信息，如需完整的数据副本，请发送邮件至[email protected]，我们将在15个工作日内提供结构化、机器可读的导出文件。（2）更正权——若您的个人信息发生变更或存在错误，您可通过"账户设置"自行修改，或联系客服协助更正。（3）删除权（被遗忘权）——在以下情形下，您有权要求我们删除您的个人信息：您撤回同意、我们不再需要该信息实现原目的、信息被非法处理。请注意，删除请求可能导致您的账户无法恢复，且受法律保留义务约束的数据（如财务记录）将在法定保存期届满后删除。（4）限制处理权——在您对信息准确性提出异议期间，您有权要求我们暂停处理相关数据。（5）数据可携带权——您有权要求我们将您提供的个人信息以结构化、常用且机器可读的格式传输给您指定的其他平台。
为保障账户安全，处理上述请求前我们可能需要验证您的身份（如通过短信验证码或回答安全问题）。所有权利请求将在15个工作日内处理完毕，特殊复杂情况下可延长至30个工作日，我们将书面通知您延长期限及原因。我们不会因您行使合法权利而向您收取任何费用，但重复、无根据或过度的请求除外。
信息安全保障措施：技术与管理双重防护体系
我们采用行业领先的安全技术保护您的数据：传输层使用TLS 1.3协议加密，确保数据在传输过程中不被窃听或篡改；存储层对敏感字段（如手机号、银行卡号）进行AES-256加密，加密密钥存储于独立的硬件安全模块（HSM）中；访问控制方面，我们实施基于角色的最小权限原则，仅极少数运维人员可接触生产数据库，且所有敏感操作均记录审计日志。我们每季度委托第三方安全公司进行渗透测试，2024年最后一次测试结果为"未发现高危漏洞"。
在管理层面，我们制定了《内部数据安全管理办法》，要求所有员工签署保密协议并接受年度数据安全培训。同时，我们建立了数据泄露应急响应预案（Incident Response Plan），一旦发生安全事件，将在72小时内向相关监管机构报告，并通过邮件或站内信通知受影响的用户。尽管我们采取了上述措施，但请您理解，互联网环境不存在绝对安全，我们建议您也采取积极措施保护自身数据，例如使用高强度独立密码、启用双因素认证（2FA）、不在公共设备上保存登录状态。
政策更新通知机制与联系我们
本政策可能因法律法规变化、业务功能调整或技术迭代而进行修订。重大变更（如收集目的变化、第三方共享范围扩大）将通过以下方式通知您：在平台首页顶部展示显著公告，并/或向您的注册邮箱发送邮件通知。修订后的政策自公告发布之日起7日后生效。若您不同意修订后的条款，您有权在生效日前注销账户。我们建议您定期查阅本页面以获取最新版本，页面底部将显示"最后更新日期"。
如您对本政策内容或您的个人信息处理有任何疑问、意见或投诉，请通过以下渠道联系我们：数据保护官（DPO）邮箱为[email protected]，或邮寄至香港特别行政区湾仔区告士打道XXX号XX大厦XX楼（平台法务部收）。我们将在15个工作日内对您的咨询进行实质性回复。若您对我们的答复不满意，您有权向您所在地的数据保护监管机构提出投诉。