隐私说明与数据保护政策

一、信息收集范围与类型

本平台仅收集与你使用模拟器服务直接相关的必要信息，并遵循"最小化收集"原则。我们不会收集与麻将胡了训练无关的敏感个人数据，例如身份证号码、银行账户信息、精确地理位置（仅收集城市级别的模糊位置）。具体收集的信息分为以下三类：

1. 用户主动提供的信息

• 注册信息：手机号码或电子邮箱地址、用户名、登录密码（经bcrypt算法加密存储，平台无法查看明文）。
• 个人资料（可选）：昵称、头像、所在城市、麻将偏好规则类型。
• 反馈与工单信息：当你联系客服时，我们收集你提交的问题描述、日志文件、截图以及为验证身份而提供的必要信息。

2. 使用过程中自动收集的信息

• 设备信息：设备型号、操作系统版本、设备唯一标识符（IDFA/OAID）、浏览器类型、屏幕分辨率。
• 日志信息：访问时间、IP地址（用于安全风控与地域统计分析）、操作记录（如点击的模块、训练时长）、崩溃日志。
• 对局数据：模拟训练中的手牌序列、决策点、胡牌结果等匿名化处理后的游戏行为数据。

3. 第三方来源信息

当你使用第三方账号（如微信、Apple ID）授权登录时，我们会从该第三方获取你的公开资料（如昵称、头像）。我们不会从任何数据交易平台购买个人数据。

二、信息使用目的与方式

我们承诺将你的个人信息仅用于以下明确且合法的目的，不会超出必要范围进行处理。具体使用场景包括：

1. 提供核心服务：创建和管理你的账号，运行模拟器训练功能，保存训练进度与历史记录，实现云同步服务。
2. 优化与改进：分析用户行为模式（均经过匿名化处理），用于改进卡点预测算法、调整训练课程难度曲线、优化界面交互设计。例如，如果数据显示大量用户在某个教学关卡中途退出，我们会重新设计该关卡的内容结构。
3. 安全保障：检测并防止欺诈、恶意攻击、外挂使用等违反服务协议的行为。IP地址与设备标识符在此场景下会被保留最长180天。
4. 个性化推荐：根据你的历史训练数据与偏好设置，推荐适合你水平的进阶课程或实战场景。你可以随时在"设置-隐私中心"中关闭个性化推荐功能，关闭后你将看到通用内容推送。
5. 法律合规：当法律法规、司法机关或行政机关有明确要求时，我们将依法提供必要的信息。

我们明确禁止将你的数据用于任何形式的广告精准投放。本平台不接入第三方广告联盟，因此不存在基于用户画像的广告推送行为。

三、Cookie与追踪技术说明

本平台使用Cookie及类似技术（如LocalStorage、IndexedDB）来提升用户体验与保障服务安全。这些技术存储在你设备上的数据量非常有限，并且绝不包含明文密码或支付信息。具体使用场景如下：

• 必要型Cookie：用于维持登录状态（有效期7天）、记住语言偏好（有效期1年）以及防止跨站请求伪造攻击（CSRF Token，会话级有效）。禁用此类Cookie将导致无法正常登录和使用模拟器。
• 功能型Cookie：用于记录你的训练进度（如当前所在关卡、已完成的情景练习），以便下次访问时无缝续接。此数据保存在本地，有效期30天。
• 分析型Cookie：我们使用自研的轻量级分析脚本（非第三方工具）统计页面访问量、功能使用频率等聚合数据。该脚本不跨域追踪用户，且所有IP地址在存储前均经过脱敏处理（移除最后一段）。

你可以在浏览器设置中管理或删除Cookie。请注意，删除所有Cookie后，你需要重新登录账号，但你的训练数据不会丢失（已存储在云端）。另外，我们目前不响应浏览器的"Do Not Track"（DNT）信号，因为行业尚未形成统一标准，但我们提供了比DNT更精细化的隐私控制选项。

四、第三方数据共享政策

我们高度重视数据安全，原则上不会向任何第三方出售、出租或交易你的个人数据。仅在以下有限场景下，我们可能与特定类型的服务提供商共享必要信息，且所有接收方均需签署严格的数据处理协议（DPA）：

除上述场景外，在以下特殊情况下我们可能披露数据：（1）获得你的明确授权同意；（2）依据法律法规或具有管辖权的司法机关的强制要求；（3）为保护本平台合法权益（如追究违约责任）所必需。我们承诺，任何未经授权的数据披露行为都将受到内部严肃追责。

五、用户权利与数据管理

根据《个人信息保护法》及GDPR相关规定，你对你所拥有的个人数据享有以下完整权利。你可以通过"设置-隐私中心"自助操作大部分事项，或通过邮件联系[email protected]行使以下权利：

1. 知情权：本隐私说明即为知情权的具体实现，我们每半年会更新一次隐私政策，并在更新时通过站内信通知。
2. 访问权：你可以在"设置-个人资料"中查看所有已收集的个人信息，包括注册数据、设备信息列表、登录日志。
3. 更正权：如发现个人信息有误，你可随时自行修改昵称、头像等资料。手机号与邮箱的修改需通过身份验证后进行。
4. 删除权：你可以申请删除账号及全部关联数据。删除操作将在7个工作日内完成，完成后数据将进入30天的"冷静期"（仅用于法律纠纷处理），期满后彻底物理删除。请注意，删除账号是不可逆操作，所有训练记录与会员权益将同时失效。
5. 撤回同意权：对于基于同意而进行的处理（如个性化推荐），你可以随时撤回同意，撤回不影响撤回前基于同意进行的处理的合法性。
6. 可携带权：你可以申请以结构化、机器可读的格式（如JSON）获取你的核心数据（包括个人资料与对局记录），我们将在15个工作日内提供下载链接。

六、信息安全保障措施

我们采用"纵深防御"的安全架构，从物理层、网络层、系统层、应用层四个维度保护你的数据安全。具体技术措施包括：

• 传输加密：所有数据交互均通过TLS 1.3协议加密传输，密钥长度为256位。我们定期更新SSL证书，确保加密强度始终处于行业前沿。
• 存储加密：数据库中的敏感字段（如手机号、邮箱）使用AES-256-GCM算法进行加密存储，加密密钥由独立的密钥管理系统（KMS）保管，与数据库权限分离。
• 访问控制：内部员工访问用户数据遵循"最小权限原则