隐私说明：麻将胡了数据收集、使用与保护政策全解
本隐私政策适用于《麻将胡了》游戏客户端、官方网站（pc.pg-majianghule-mj.com.cn）以及相关的在线服务。PG SOFT 深知个人信息安全的重要性，因此我们依据《中华人民共和国个人信息保护法》（PIPL）、《通用数据保护条例》（GDPR）及马耳他《数据保护法》制定了本政策。请您在使用本游戏前仔细阅读以下条款，特别是关于提现功能所涉及的金融数据采集部分。
信息收集范围与类型
我们收集的信息分为三大类：基础账号信息、游戏行为数据以及金融验证数据。基础账号信息包括您的注册手机号、电子邮箱、用户名及加密密码（采用 bcrypt 算法加盐哈希存储）。游戏行为数据包括但不限于：对局记录、翻倍模式的操作日志、连胡次数统计、虚拟积分变动流水。这些数据用于反作弊分析与游戏平衡性调优。
当您启用提现功能时，我们需要额外收集您的真实姓名、身份证号码、银行卡号及开户行信息。请注意，根据中国人民银行关于非银行支付机构的规定，这些金融数据必须通过持牌支付通道（如支付宝、微信支付）进行传输，PG SOFT 本身并不直接存储您的完整银行卡号，而是由支付机构生成一个不可逆的令牌（Token）返回给我们。该令牌仅用于识别您的收款账户，无法反向还原出卡号信息。
信息使用目的与法律依据
我们处理您的个人信息仅基于以下合法目的：第一，履行游戏服务合同——即向您提供麻将胡了对局、翻倍模式计算及积分结算功能，这是处理您游戏行为数据的直接依据。第二，满足法律合规义务——例如根据反洗钱法（AML）要求，对涉及提现的账户进行交易监控，该数据保留期限为交易发生后至少 5 年。
第三，基于您的明确同意——例如在您参与线上赛事或营销活动时，我们可能会将您的游戏昵称与公开战绩展示在排行榜上。此类同意可以随时通过"设置"→"隐私中心"撤回。第四，基于我们的合法商业利益——包括分析用户流失原因以优化游戏设计，但此类分析仅使用脱敏后的聚合数据，不涉及个人身份信息。我们承诺，绝不会将您的个人信息出售给任何第三方用于广告营销。
Cookie 与追踪技术说明
本网站及游戏客户端使用 Cookie 与类似技术来提升服务体验。我们使用的 Cookie 主要分为三类：必要性 Cookie（用于维持登录会话，若禁用则无法正常游戏）；功能性 Cookie（用于记住您的音效设置与画质偏好）；分析性 Cookie（由我们自研的统计系统部署，不涉及第三方广告商）。
具体而言，我们在您的设备上部署一个名为"mh_session"的会话 Cookie，其有效期仅为 30 分钟，关闭浏览器即失效。另外，为了统计翻倍模式的成功率分布，我们会使用一种名为"局部共享对象"（LSO）的 Flash 存储技术，该技术可以记录您最近 100 次翻倍操作的结果时间戳，但不会读取您电脑上的其他文件。您可以通过游戏客户端内的"清除本地数据"按钮随时删除这些 LSO 文件。
第三方数据共享政策
在特定情形下，我们可能需要与以下类别的第三方共享您的信息，且共享范围严格限定于提供服务所必需的最小字段。第一类是支付服务商（如支付宝、PayPal、Skrill），共享字段仅为用户 ID 与提现金额，用于完成资金划转。第二类是云计算服务商（如亚马逊 AWS），您的游戏存档与行为日志存储于 AWS 东京节点，该服务商已通过 SOC 2 Type II 审计。
第三类是监管机构与执法部门。当马耳他博弈管理局（MGA）、中国公安机关或其他具有管辖权的机构依法发出调取令时，我们将在核实文书真实性后提供必要的数据。第四类是集团关联公司。PG SOFT 旗下设有负责游戏发行的子公司，该子公司可能接触到您的账号信息以进行区域化运营，但不得将数据用于任何其他商业目的。除此之外，我们不会在未获得您单独同意的情况下，将您的个人信息与非关联第三方共享。
用户权利：查看、修改、删除与撤回同意
根据 PIPL 与 GDPR，您对您的个人信息享有充分的权利。访问权：您可以在游戏内"个人中心"→"数据档案"中查看我们持有的关于您的全部数据，包括游戏对局记录与提现流水。更正权：若您的手机号或邮箱发生变更，可随时在账号设置中自助修改；若身份证信息有误，则需联系客服人工核验后更正。
删除权：您有权要求我们删除您的账号及全部关联数据。请注意，删除账号是一个不可逆操作，且若您名下有未完成的提现申请，需先取消该申请方可执行删除。为履行反洗钱法的保留义务，与提现相关的财务记录将在账号删除后继续保留 5 年，但会与您的身份信息进行隔离脱敏处理。撤回同意权：您可以通过"设置"→"隐私中心"随时撤回对营销类信息处理的同意，撤回不影响撤回前基于同意进行的处理的合法性。
信息安全保障措施
我们采用多层安全架构来保护您的数据。在传输层，所有客户端与服务器之间的通信均启用 TLS 1.3 协议加密，密钥长度为 256 位。在存储层，您的密码使用 bcrypt 算法（cost factor 为 12）进行哈希处理，即使数据库泄露，攻击者也无法通过彩虹表破解。在访问控制层，我们实施了基于角色的权限管理（RBAC），只有极少数运维人员拥有访问生产数据库的权限，且每次访问均需通过硬件密钥（YubiKey）进行多因素认证。
此外，我们建立了安全事件应急响应机制（CSIRT）。若发生数据泄露事件，我们将在 72 小时内向监管机构报告，并在 24 小时内通过站内信与短信通知受影响的用户。2023 年全年，PG SOFT 共拦截了 1.2 亿次针对游戏服务器的恶意攻击，成功率为 99.99%，未发生一起数据泄露事故。我们建议您也采取必要的安全措施：使用独立且复杂的密码、开启登录二次验证、不要在公共场所的电脑上保存登录状态。
政策更新通知机制与联系方式
本隐私政策可能因法律法规变化或业务功能调整而更新。重大变更（如信息收集范围扩大、数据共享对象增加）将在游戏登录界面以弹窗形式向您展示，并在获得您的明示同意后方可生效。非重大变更（如措辞优化、排版调整）将在本页面顶部显示"最近更新日期"，并默认在发布后 7 日生效。
若您对本政策或您的个人信息处理有任何疑问、投诉或建议，请通过以下渠道联系我们的数据保护官（DPO）：发送邮件至 [email protected]，邮件标题请注明"隐私请求"。我们将在 15 个工作日内予以答复。若您对我们的处理方式不满意，您有权向马耳他信息与数据保护专员办公室（IDPC）或您所在地的监管机构提出申诉。