信息收集范围与类型：最小化收集，按需获取

我们秉持「数据最小化」原则，仅收集为您提供服务所必需的信息。具体分为以下三类：第一类为「设备信息」，包括设备型号、操作系统版本、唯一设备标识符（IDFA / OAID）、网络类型（Wi-Fi / 5G / 4G）以及 IP 地址。这些信息用于保障游戏兼容性、网络连接优化及基础反作弊检测。第二类为「游戏行为数据」，包括对局记录、牌局结果、任务完成进度、虚拟货币变动日志。此类数据用于计算您的段位、胜率以及发放「每日一单」奖励，不涉及您的真实身份。第三类为「账号信息」，仅在您主动绑定手机号或邮箱时收集，用于实现跨设备云存档与账号找回功能。

特别说明：游客模式（无需注册）下，我们不会收集您的姓名、身份证号或通讯录。我们也不支持通过第三方社交账号（如微信、QQ）直接登录，以避免不必要的隐私暴露。所有数据在传输过程中均使用 TLS 1.3 协议加密，存储时使用 AES-256 算法进行静态加密。

信息使用目的与方式：为您提供个性化体验

我们收集的数据仅用于以下四个核心目的：第一，核心功能运营——包括创建游戏房间、匹配对手、计算番型、发放奖励，以及处理您参与的「每日一单」活动。第二，安全与风控——利用设备标识和行为特征识别异常登录、脚本外挂、金币盗刷等违规行为。例如，当同一设备在 1 小时内切换超过 5 个游客身份时，风控系统将自动触发验证码机制。第三，产品优化分析——我们通过聚合数据（不涉及个人身份）分析游戏关卡难度、服务器负载情况，以便调整匹配算法和资源分配。第四，客户服务——当您联系客服时，我们可能调取您的对局日志以快速定位问题。

我们不会使用您的数据向您推送广告。游戏内的「活动推荐」均基于您当前的任务进度，而非用户画像。我们也不会将您的数据用于任何形式的自动化决策（如信用评估）。

Cookie 与追踪技术说明：提升响应速度

麻将胡了官网使用 Cookie 及类似技术（如 LocalStorage、IndexedDB）来提升您的浏览体验。我们使用的 Cookie 均为「严格必要型」或「功能型」。严格必要型 Cookie 用于维持登录状态（游客会话标识）及负载均衡路由，若禁用此类 Cookie，您将无法正常进入游戏。功能型 Cookie 用于记忆您的音效偏好、画质设置及上次访问的房间类型，有效期不超过 30 天。

我们目前未接入任何第三方广告追踪 SDK（如 Facebook Pixel、Google Ads），因此不存在跨站追踪行为。游戏客户端内集成的「崩溃日志收集」模块（如 Bugly），仅上报崩溃堆栈和机型信息，不包含任何个人身份字段。您可以在设备的「设置 - 隐私 - 跟踪」中关闭广告标识符的授权，这不会影响游戏核心功能，但可能导致部分个性化推荐（如每日一单的专属任务）无法精准推送。

第三方数据共享政策：严格限制，法律合规

我们仅在以下四种情形下，可能向第三方披露您的信息，且均遵循「最少必要」原则：第一，技术服务提供商——如云服务器提供商（阿里云）、短信验证码服务商（阿里云 SMS），他们仅能访问为完成服务所必需的数据，并签署了严格的保密协议。第二，法律合规要求——若监管机构、法院或行政机关依法要求，我们会在法律允许的范围内提供必要的信息。第三，业务转让——若发生合并、收购或资产重组，您的数据可能作为资产的一部分进行转移，我们将提前 30 日在官网发布公告通知您。第四，获得您的明确同意——例如您主动参与第三方举办的联合活动时。

我们不会将您的数据用于任何与麻将胡了无关的商业用途。在跨境传输方面，由于我们的服务器部署于中国境内（上海、深圳节点），您的数据默认存储于境内。若未来因业务需要扩展至海外节点，我们将单独征求您的授权，并采取数据脱敏、加密传输等措施保障安全。

用户权利：查看、修改、删除与注销

我们尊重并保障您对个人数据的控制权。您拥有以下五项核心权利：第一，访问权——您可以通过「设置 - 隐私中心」查看我们收集了您的哪些数据（游客模式下仅显示设备与行为数据）。第二，更正权——若您发现绑定的手机号或邮箱有误，可在「账号安全」中自行修改，或联系客服协助更正。第三，删除权——您可以随时在「设置 - 账号管理」中申请注销账号，注销后我们将于 15 个工作日内删除您的所有个人信息及对局记录，但根据法律法规要求需要保留的日志（如安全审计日志）除外。第四，撤回同意权——您可以通过关闭设备权限（如麦克风、存储）来撤回部分授权，撤回不影响撤回前基于同意已进行的处理。第五，投诉权——若您认为我们的处理侵害了您的权益，您有权向网信部门或 PG 官方投诉。

对于游客模式用户，您可以在游戏内「设置 - 清除本地数据」中一键抹除本机上的所有缓存数据。请注意，此操作不可逆，且会导致游客账号下的金币与战绩清零。若您想保留数据，请务必先绑定手机号。

信息安全保障措施：纵深防御体系

我们构建了「端 - 管 - 云」三位一体的安全防护体系。在终端侧，客户端集成了 Root/越狱环境检测、模拟器识别及调试器反附加机制，防止恶意代码注入。在传输侧，所有数据通过 TLS 1.3 加密，并采用证书固定（Certificate Pinning）技术防止中间人攻击。在云端，我们部署了 Web 应用防火墙（WAF）、入侵检测系统（IDS）以及数据库审计系统，核心数据库采用主从热备 + 异地灾备架构，数据冗余度达到 3 副本。

此外，我们每年至少开展两次由第三方安全公司（如奇安信）执行的渗透测试与漏洞扫描。2024 年度测试中，我们共修复了 17 个中低危漏洞，未发现高危或严重漏洞。我们的安全团队 7×24 小时监控异常流量，一旦发现数据泄露风险，将在 2 小时内启动应急响应预案，并在 72 小时内通过短信或邮件通知可能受影响的用户。

政策更新通知机制与联系方式

随着法律法规的变化