信息收集范围与类型

根据您与平台交互方式的不同，我们收集的数据分为三类：主动提供的信息、自动采集的信息以及第三方共享的信息。主动提供的信息包括：当您注册社区账号时提交的邮箱地址、用户名及选填的生日（用于年龄验证）。当您参与投稿或反馈活动时，我们可能会收集您的微信或支付宝账号（仅用于发放奖励）。

自动采集的信息涵盖：设备类型、操作系统版本、浏览器 User-Agent、屏幕分辨率、语言偏好、访问来源页面、点击流数据以及大致的地理位置（精确到城市级别，基于 IP 地址推断）。我们使用这些数据来优化页面布局与内容呈现方式，例如针对移动端用户自动显示简化版规则表格。自动采集的信息不包含您的精确 GPS 坐标。

第三方共享信息特指，当您通过社交平台（如 Google、Twitter）授权登录时，我们从该平台获取的公开资料（头像、昵称）及 OAuth 令牌。我们不会获取您的社交平台好友列表或私密信息。

信息使用目的与方式

所有收集的信息仅用于以下明确目的：第一，提供与维护核心服务——包括确保网页版入口的稳定连接、推送《麻将胡了2》版本更新通知、加载您保存的偏好设置（如牌面主题、音量大小）。第二，个性化内容推荐——基于您的阅读历史，我们可能向您推荐与您关注版本（初代或 2 代）相关的策略文章。该推荐逻辑基于关键词匹配，不涉及用户画像的跨站追踪。

第三，安全与反欺诈——我们使用 IP 地址与设备指纹来检测异常流量、防止恶意爬虫抓取内容以及应对 DDoS 攻击。第四，法律合规——在收到具有法律效力的法院命令或监管机构要求时，我们可能在法律允许的范围内披露必要信息。除上述用途外，我们绝不将您的数据用于任何形式的直接营销或出售给第三方广告网络。

我们不会进行任何形式的「大数据杀熟」。所有注册用户无论访问频次高低，所看到的文章内容与下载资源均保持一致。对于通过 A/B 测试优化页面布局的行为，我们保证测试变量仅限于界面元素（如按钮颜色、文字大小），不涉及价格或权限差异。

Cookie 与追踪技术说明

本平台使用 Cookie 与类似技术（如 LocalStorage、SessionStorage）来提升您的访问体验。我们使用的 Cookie 分为三类：严格必要型 Cookie——用于维持会话状态，防止跨站请求伪造（CSRF），此类 Cookie 无法禁用，否则网站核心功能将失效；功能型 Cookie——用于记住您的语言偏好与字体大小设置，有效期 180 天；分析型 Cookie——由我们自建的 Matomo 分析系统生成，用于统计页面访问量、热门文章排行等聚合数据。我们刻意不使用 Google Analytics 等第三方分析工具，以避免您的数据流向境外广告服务器。

关于「Do Not Track」（DNT）信号：本平台尊重浏览器的 DNT 设置。当检测到 DNT 启用时，我们将自动禁用所有非必要 Cookie 与追踪脚本。此外，您可以通过浏览器设置随时清除已存储的 Cookie。请注意，清除 Cookie 可能导致您需要重新登录社区账号或重置显示偏好。

我们不会使用任何跨站追踪技术（如 Canvas 指纹识别、EverCookie）来跨域名识别您的身份。设备指纹技术仅用于安全防护场景，且该数据会在 30 天后自动脱敏删除。

第三方数据共享与跨境传输政策

我们严格限制向第三方共享您的个人数据。目前，我们仅与以下三类服务提供商共享必要的数据，且均签署了具有法律约束力的数据处理协议（DPA）：第一，云基础设施提供商（阿里云新加坡节点）——存储加密后的数据库备份；第二，邮件服务商（SendGrid）——用于发送密码重置邮件与工单回复通知，共享的数据仅限于您的邮箱地址；第三，法律顾问团队——仅在发生纠纷或合规审查时，在保密协议约束下提供必要数据。

我们不会将您的个人数据出售、出租或交易给任何第三方营销机构。若未来因业务重组、并购或破产导致数据控制权发生转移，我们将通过站内显著公告及邮件方式提前 30 天通知您，并确保数据接收方继续履行本政策所规定的义务。所有跨境数据传输均遵循 GDPR 第 46 条规定的标准合同条款（SCC）进行。

用户权利：访问、修改与删除

根据 PIPL 与 GDPR，您对自身个人数据享有以下权利：访问权——您可以邮件请求获取我们持有的关于您的全部个人数据副本，我们将在 10 个工作日内提供结构化、机器可读的 JSON 文件；更正权——若您的注册信息（如邮箱、用户名）发生变更，您可在账号设置中自行修改，或联系客服协助更正；删除权（被遗忘权）——您可以随时请求删除您的账号及关联数据，我们将在 15 个工作日内彻底清除数据库中的相关记录，但基于法律义务（如税务记录）需要保留的数据除外。

限制处理权——在您对数据准确性提出异议期间，您可以要求我们暂停处理该数据；数据可携带权——您有权要求我们将您的个人数据直接传输给您指定的另一数据控制者；撤回同意权——对于基于同意而进行的处理（如接收邮件推送），您可以随时通过邮件中的退订链接撤回同意。

行使上述权利均不收取任何费用。我们将在收到请求后的 48 小时内确认您的身份（通过注册邮箱发送验证链接），并启动处理流程。若我们拒绝您的请求，将提供书面说明理由，并告知您有权向网信部门或当地数据保护机构投诉。为保障账号安全，涉及删除账号的请求需通过注册邮箱发送，不接受第三方代操作。

信息安全保障措施

我们采用了多层纵深防御体系来保护您的数据安全。物理层面，服务器位于新加坡的 Tier 3+ 数据中心，配备 24 小时安保、生物识别门禁与柴油发电机冗余。网络层面，所有外部访问均强制使用 TLS 1.3 加密，并部署 Web 应用防火墙（WAF）以拦截 SQL 注入与 XSS 攻击。数据层面，数据库中的密码字段使用 bcrypt 算法（cost factor 12）进行哈希处理，即使数据库泄露，攻击者也无法逆向还原原始密码。

我们每年委托独立的