隐私说明与数据保护政策 - 赏金女王 Queen of Bounty

一、信息收集范围与类型

为了向您提供稳定、安全的游戏服务并履行法律义务，我们可能在以下场景中收集必要的信息。我们严格遵循"最小化收集"原则，仅收集与提供服务直接相关的数据。

• 账号注册信息： 当您创建账号时，我们会收集您的用户名、加密后的登录密码（使用bcrypt算法加盐哈希处理）、注册邮箱地址或手机号码。这些信息是您登录游戏与找回账号的唯一凭证。
• 实名认证信息： 根据监管要求，部分地区的玩家需要进行实名认证。我们会收集您的真实姓名与身份证号码（或护照号码），该数据仅用于年龄验证与防沉迷系统识别，并经过高级加密存储。
• 设备与技术日志： 在您运行客户端时，我们会自动收集您的IP地址、设备型号、操作系统版本、浏览器UA标识、MAC地址（仅用于设备指纹识别）以及游戏内的操作日志（如战斗记录、物品获取记录）。此信息用于反作弊分析与性能优化。
• 交易与支付信息： 当您进行虚拟物品购买时，我们会记录交易时间、交易金额、支付渠道单号，但绝不会收集或存储您的完整银行卡号、CVV码或支付密码。支付过程由PCI-DSS认证的第三方支付网关完成。
• 客服沟通记录： 当您联系我们的客服团队时，我们可能会记录您提供的聊天内容、截图以及用于问题定位的日志文件。

二、信息使用目的与合法性基础

我们仅会在法律允许的范围内，基于明确的合法性基础使用您的个人信息。具体使用目的与对应的法律依据如下：

1. 履行合同义务： 为了向您提供游戏服务、处理您的充值请求、发放虚拟奖励，我们必须使用您的账号信息与交易信息，这是履行《用户服务协议》的必要环节。
2. 基于您的同意： 在向您发送营销活动推送、个性化广告推荐或进行用户调研前，我们会通过弹窗形式征得您的单独同意。您有权随时撤回该同意。
3. 履行法律义务： 为了配合司法机关的调查、执行法院判决或遵守税务部门的监管要求，我们可能在必要时披露您的特定信息。
4. 合法商业利益： 我们使用设备日志与操作数据进行反作弊分析、服务器负载均衡优化以及游戏平衡性调整。在开展此类处理前，我们已进行数据保护影响评估（DPIA），确保我们的商业利益不凌驾于您的个人权利之上。

我们郑重承诺，绝不会将您的个人信息出售给任何第三方。所有数据处理行为均记录在内部数据处理登记册（Record of Processing Activities）中。

三、Cookie 与追踪技术说明

为了提升网站访问体验与游戏登录效率，我们及我们的授权合作伙伴会在您的设备上存储名为"Cookie"的小型文本文件。我们使用的Cookie类别如下：

• 严格必要型Cookie： 此类Cookie是网站运行所必需的，例如实现登录状态保持、会话ID管理以及负载均衡路由。您无法选择禁用此类Cookie，否则将导致无法正常访问网站。
• 性能分析型Cookie： 我们使用自研的统计脚本（非Google Analytics）来收集匿名化的访问量、页面停留时长、跳出率等聚合数据。这些数据仅用于优化我们的网站布局与内容，不包含任何个人身份信息。
• 功能偏好型Cookie： 用于记住您的语言选择、界面主题偏好以及音量设置等个性化选项。

您可以通过浏览器设置自行管理或清除Cookie。但请注意，禁用某些必要Cookie可能会影响您使用网站的全部功能。我们目前未采用任何跨站追踪技术（如指纹追踪Canvas Fingerprinting）来构建用户画像。

四、第三方数据共享与委托处理

我们不会对外公开披露您的个人信息，但在以下特定情形下，我们可能会与第三方共享必要的数据，且该等共享均受严格的合同约束：

• 支付服务提供商： 为了完成交易，我们必须将您的订单号与交易金额传输给合作的支付网关（如Skrill、PayPal等）。该等提供商仅能访问完成交易所必需的最少信息。
• 云计算服务商： 我们的游戏服务器与数据库托管在阿里云（Aliyun）及亚马逊AWS的海外节点上。该等服务商为我们提供基础设施服务，并已通过ISO 27001认证，承诺遵守严格的数据安全标准。
• 法律合规机构： 若收到具有法律效力的传票、搜查令或法院指令，我们可能被迫披露相关信息。我们会对此类请求进行严格的法律审查，并在法律允许的范围内通知您。

我们禁止任何第三方将我们共享的数据用于本政策所述目的之外的任何用途。所有第三方数据处理者均需签署《数据处理协议》（DPA），明确其数据安全义务与责任。

五、您的权利与数据主体请求

根据GDPR及您所在地区的适用法律，您对您的个人信息享有以下权利。您可以通过联系我们的数据保护官（DPO）来行使这些权利。

• 访问权： 您有权获取我们持有的关于您的个人信息副本，以及处理目的、接收方类别等信息。
• 更正权： 若您发现您的个人信息存在错误或不完整，您有权要求我们进行修改或补充。
• 删除权（被遗忘权）： 在特定条件下（如您撤回同意且无其他合法处理依据），您有权要求我们删除您的个人数据。
• 限制处理权： 当您对数据的准确性提出异议时，您可以要求我们在核实期间暂停处理您的数据。
• 数据可携权： 您有权以结构化、机器可读的格式获取您提供给我们的数据，并要求我们将其传输给另一数据控制者（技术上可行的情况下）。
• 撤回同意权： 若处理基于您的同意，您有权随时撤回该同意，且撤回不影响撤回前基于同意进行的处理的合法性。

您可以通过发送邮件至 [email protected] 提交您的请求。我们将在收到请求后的一个月内予以答复。若您的请求特别复杂或您提交了多项请求，我们可能会依法延长两个月的处理期限，并通知您延期的原因。

六、信息安全保障措施与政策更新

我们采用了业界领先的安全技术与组织管理措施，以保护您的数据免受未经授权的访问、泄露、篡改或销毁。具体措施包括：

• 传输加密： 所有数据在传输过程中均使用TLS 1.3协议进行加密，确保数据在公网传输时无法被窃听或篡改。
• 存储加密： 数据库中的敏感字段（如手机号、邮箱）采用AES-256算法进行静态加密存储。加密密钥由独立的密钥管理系统（KMS）保管，并定期轮换。
• 访问控制： 我们实施了基于角色的访问控制（RBAC）机制，仅授权员工在"最小权限"原则下访问必要的数据。所有访问操作均记录在不可篡改的审计日志中。
• 安全审计： 我们的信息安全管理体系每年接受ISO/IEC 27001认证机构的监督审核，并定期聘请第三方渗透测试公司（如奇安信）对我们的系统进行漏洞扫描与模拟攻击测试。

本隐私政策可能会根据法律法规的变化或业务功能的调整进行更新。任何重大变更，我们将通过网站首页显著公告、游戏内弹窗或电子邮件的方式提前通知您。变更后的政策自公告之日起生效。若您继续使用我们的服务，即视为您接受修订后的政策。

若您对本政策或您的个人信息处理有任何疑问、意见或投诉，请首先