隐私说明与数据保护政策

一、信息收集范围与类型

我们仅收集实现平台功能所必需的最小化数据。根据收集场景的不同，具体分为以下三类：

1. 注册与实名信息

当你创建账号时，需要提供手机号码或邮箱地址作为登录凭证。根据行业监管要求，进行充值或提现操作前必须完成实名认证，届时需提供真实姓名与身份证号码。上述信息仅用于身份核验与反洗钱审查，平台不存储身份证照片原件，仅保留哈希脱敏值。

2. 设备与技术日志

为保障网络安全与对局公平性，系统会自动记录你的 IP 地址、设备型号、操作系统版本、浏览器 UA 标识、应用版本号以及操作时间戳。此类信息用于识别异常登录、脚本作弊及分布式攻击，保存期限为 180 天，到期后自动匿名化处理。

3. 交易与对局数据

包括充值订单号、支付渠道流水号、充值金额、游戏币变动明细、每局对局的押注额与结果。这些数据是处理退款、解决争议以及计算“推广一个送38”奖励的依据，将依据财税法规保存至少 5 年。

二、信息使用目的与方式

你的个人信息将被用于以下明确目的，超出以下范围的使用将另行征得你的单独同意：

• 提供核心服务：创建并维护你的账号，处理充值/提现请求，计算并发放游戏奖励。
• 安全风控：实时监测并拦截盗号、撞库、批量注册、外挂脚本等风险行为。系统会基于设备指纹与行为模型进行自动决策，若判定为高风险操作，将临时冻结提现功能并触发人工复核。
• 客户支持：当你联系客服时，我们需要调取账号基础信息与最近对局记录以定位问题。
• 法律合规：配合监管机构调取特定用户数据，或响应法院、检察院的合法书面要求。

我们承诺：绝不将你的个人信息用于任何形式的用户画像精准广告营销，绝不向第三方出售或出租你的数据。内部数据访问采用“最小权限”原则，仅风控与客服团队的核心成员拥有访问权限，且每次访问均留有审计日志。

三、Cookie 与追踪技术说明

平台使用 Cookie 及同类技术（包括 LocalStorage、SessionStorage）以提升访问体验。具体使用场景如下：

你可以在浏览器设置中禁用或清除 Cookie，但请注意：禁用“严格必要 Cookie”将导致无法正常登录账号，进而影响所有游戏功能与充值操作。我们目前不响应“Do Not Track”（DNT）信号，因为行业尚未形成统一标准。

四、第三方数据共享政策

在以下有限场景中，我们可能向特定第三方披露你的部分信息。所有第三方均需签署保密协议，并接受我们的合规审计。

1. 支付服务机构：当你选择“🎮赏金女王🎮充值方式”中的微信、支付宝或银联通道时，订单金额与商户编号会传输至对应支付平台以完成清算。我们不会向其提供你的身份证号或游戏行为数据。
2. 实名认证服务商：根据监管要求，姓名与身份证号将加密传输至具备资质的公安数据核验接口，核验完成后仅返回“一致/不一致”的布尔结果。
3. 云服务提供商：服务器托管于国内头部云厂商（阿里云/腾讯云），该等厂商仅能接触到加密存储的二进制数据，无法解密读取内容。
4. 司法机关：在收到具有法律效力的调取令、搜查令或案件协查函时，我们将依法提供指定范围内的数据。

除上述四类场景外，我们不会向任何商业伙伴、广告联盟或数据经纪商共享你的个人身份信息。跨境数据传输仅发生在 USDT（TRC-20）充提币场景中涉及的区块链公开地址，该地址本身不包含任何身份信息。

五、用户权利：查看、修改与删除

依据 PIPL 第四章，你对自己的个人信息享有以下完整权利。你可以通过“用户中心 → 账号安全”或联系在线客服行使这些权利。

• 查阅权：随时查看账号中存储的实名信息（脱敏显示）、绑定手机/邮箱、登录设备记录。
• 更正权：若你的手机号或邮箱已变更，可自助修改。若实名认证信息（姓名/身份证号）录入错误，需联系客服提交更正申请，该操作每自然年限 2 次。
• 删除权：你可以申请注销账号。注销后，我们将删除或匿名化处理你的全部个人数据，但依据《网络游戏管理暂行办法》及财税法规需留存的交易流水（不含身份信息）将保留 5 年。
• 撤回同意权：对于基于“同意”处理的非必要数据（如分析统计 Cookie），你可随时撤回授权。
• 可携带权：你可以申请导出近 90 日内的对局记录与充值明细，格式为 CSV 文件，平台将在 7 个工作日内通过加密邮件发送。

注销账号为不可逆操作，请务必在注销前提取账户内全部余额并结清推广奖励。注销审核期为 15 个自然日（冷静期），期间可联系客服取消注销请求。

六、信息安全保障措施

我们采取“纵深防御”策略保护你的数据免受未授权访问、泄露或篡改：

• 传输加密：全站启用 TLS 1.3 协议，使用 256 位 ECDHE 密钥交换。支付接口额外叠加双向证书认证。
• 存储加密：数据库中身份证号、支付账号等敏感字段使用 AES-256-GCM 算法加密存储，密钥由独立硬件安全模块（HSM）保管，与数据库分离部署。
• 访问控制：内部系统采用基于角色的访问控制（RBAC），员工访问生产数据需通过二次认证（TOTP + 短信）。
• 入侵检测：部署 IDS/IPS 系统与 Web 应用防火墙（WAF），实时拦截 SQL 注入、XSS 攻击、暴力破解等常见威胁。2024 年全年共拦截攻击尝试 2,847,221 次。
• 灾备与恢复：核心数据每日凌晨 3:00 进行增量备份，每周日进行全量备份。备份数据存储于异地灾备中心，RPO（恢复点目标）≤ 15 分钟，RTO（恢复时间目标）≤ 4 小时。

若不幸发生数据安全事件，我们将在 72 小时内通过站内信、短信或邮件通知受影响用户，并向属地网信部门报告，同时提供减轻危害的补救措施指引。