隐私说明与用户数据保护政策

一、我们收集哪些信息？

为了向你提供稳定的下载服务、安全的账号体系以及个性化的游戏推荐，我们仅收集实现上述功能所必需的最少信息。具体分类如下：

• 账号注册信息：当你创建游戏账号时，我们会收集你的手机号码或电子邮箱地址（用于登录验证）、设定的密码（经过不可逆的 bcrypt 加密存储）、以及昵称。
• 设备与技术日志：在你访问本站或使用在线试玩入口时，系统会自动记录你的 IP 地址、浏览器类型（User-Agent）、操作系统版本、访问时间戳以及点击行为流。这些数据仅用于站点安全分析与性能优化，不包含任何可识别个人身份的内容。
• 游戏行为数据：包括角色等级、在线时长、击杀怪物数量、金币获取记录等。该数据仅用于游戏内排行榜展示与反作弊检测，不会用于任何形式的用户画像绘制。
• 客服沟通记录：当你通过邮件或在线工单联系我们时，我们会保存你主动提供的联系方式及对话内容，用于处理你的问题并改进服务质量。

我们特别强调，我们不会收集你的身份证号码、真实姓名、家庭住址、银行卡信息等敏感个人数据。支付流程均由第三方持牌支付机构（如微信支付、支付宝）完成，我们仅接收支付结果的通知，不接触你的完整支付凭证。

二、信息的使用目的与方式

我们承诺，所有收集到的信息均会在明确、合法的目的下使用，且不会超出以下范畴进行二次利用：

1. 提供核心服务：使用账号信息验证你的登录状态，确保你能顺利下载客户端并进入在线试玩入口，同步你的游戏存档进度。
2. 安全风控：利用设备日志与游戏行为数据进行多维度分析，以识别、防范并阻止恶意注册、脚本外挂、账号盗用等违反游戏规则的行为。例如，当同一 IP 在 1 分钟内发起超过 20 次登录请求时，系统会自动触发验证码机制。
3. 服务优化与调研：我们可能会使用聚合后的匿名数据（不包含个人标识）来分析游戏内职业平衡性，或评估新玩法「赏金悬赏令」的参与度，以便调整数值设计。
4. 法律合规：在收到具有法律效力的传票、搜查令或政府监管指令时，我们会依法配合提供必要的数据。

我们承诺，绝不会将你的个人信息出售、出租或交易给任何第三方用于市场营销目的。所有内部数据访问均受权限控制，并记录有完整的审计日志。

三、Cookie 与同类追踪技术说明

为了提升你的访问体验并保障服务安全，我们及我们的授权合作伙伴会在你的设备上存储名为 Cookie 的小型文本文件。具体使用场景如下：

你可以通过浏览器设置随时清除或阻止所有 Cookie。但请注意，禁用「严格必要型」Cookie 将导致你无法正常登录游戏账号。我们目前未接入任何第三方广告联盟，因此不存在跨站追踪型 Cookie（如 DoubleClick 或 Facebook Pixel）。

四、第三方数据共享与委托处理

在以下特定场景中，我们可能需要与关联服务商共享有限的数据，且均会通过书面协议约束其数据安全责任：

• 云服务提供商：我们使用阿里云（新加坡地域）与腾讯云（香港地域）作为服务器托管方。这些服务商仅能接触到机柜层面的硬件运维数据，无法读取业务数据库中的明文内容。
• 短信/邮件推送服务商：当我们需要向你发送验证码或账号安全提醒时，会通过加密 API 将你的手机号或邮箱地址传输给推送服务商。该传输过程使用 TLS 1.3 协议加密，且服务商不得将数据用于任何其他用途。
• 支付渠道：当你购买游戏内服务时，我们仅将订单金额与订单号传递给支付平台。你的支付行为发生在支付平台自己的域名下，受其独立的隐私政策约束。

除上述情况外，未经你的单独同意，我们不会将你的个人信息共享给任何公司、组织或个人。若未来因业务发展需要引入新的数据接收方，我们将通过弹窗或站内信方式单独征求你的授权。

五、你的权利：访问、更正与删除

根据 PIPL 第四章的规定，你对自身的个人信息享有充分的控制权。你可以通过以下途径行使你的合法权利：

1. 查阅与复制

你可以登录游戏官网的「账号中心」—「个人信息」页面，查看我们存储的关于你的基本资料。如需获取数据副本，请发送邮件至 [email protected]，我们将在 15 个工作日内提供一份结构化、机器可读的 CSV 文件。

2. 更正与补充

若你发现绑定的手机号或邮箱已失效，可在账号中心自行修改。如需更正更早期的历史记录，请联系客服进行人工核验。

3. 删除账号与数据

你可以在「账号中心」—「安全设置」—「注销账号」中发起注销流程。注销后，你的所有角色数据、金币、充值记录将被永久删除且不可恢复。注销冷静期为 7 天，期间若你登录游戏则自动取消注销申请。注销完成后，我们将在 30 天内从生产环境及备份介质中彻底清除你的全部个人信息。

4. 撤回同意

对于基于你同意而进行的非必要信息处理（如游戏行为数据分析），你有权随时撤回同意。撤回不影响撤回前基于同意已进行的处理合法性。

六、信息安全保障措施

保护你的数据免受未授权访问、公开披露、篡改或破坏是我们的首要安全目标。我们已部署以下多层安全防护体系：

• 传输加密：全站启用 HTTPS 协议，证书由 Let's Encrypt 签发，密钥强度为 RSA 2048 位。
• 存储加密：数据库中密码字段使用 bcrypt 算法（cost factor 12）加盐哈希存储；游戏内金币交易流水使用 AES-256-GCM 算法进行字段级加密。
• 访问控制：运维人员需通过硬件密钥（YubiKey）+ 动态口令（TOTP）双因素认证后才能登录服务器管理后台。所有敏感操作（如数据导出）均需二次审批。
• 入侵检测：我们部署了基于流量镜像的 IDS（入侵检测系统），能够实时识别并阻断 SQL 注入、暴力破解等常见攻击模式。2024 年全年，系统共拦截恶意扫描请求 1.2 亿次，未发生一起数据泄露事故。

七、政策更新与通知机制

随着法律法规的更新或