隐私说明与数据保护政策

一、信息收集范围与类型

我们仅收集为你提供服务所必需的最少信息。根据你与平台互动的不同场景，我们可能收集以下类别的数据：

• 账号注册信息：当你在本站或关联游戏服务器注册账号时，我们会收集你的用户名、邮箱地址、手机号码（用于二次验证）及加密后的登录密码。我们不会以明文形式存储任何密码。
• 设备与技术日志：为保障网站与游戏客户端的安全稳定运行，我们的服务器会自动记录你的IP地址、浏览器类型、操作系统版本、访问时间、点击流日志以及移动设备标识符（如IDFA或OAID）。此类信息属于无法直接识别你个人身份的间接数据。
• 互动与反馈信息：当你通过邮件、在线工单或电话联系我们时，我们会保留完整的沟通记录，包括通话录音（如涉及）及邮件正文，用于处理你的诉求及后续的服务质量回溯。
• 交易与支付信息：若你使用平台的增值服务（如购买道具或订阅会员），我们会记录订单号、交易金额及虚拟商品发放记录。实际的支付行为（如银行卡号、第三方支付账号）由微信支付、支付宝等持牌支付机构处理，我们不会获取也不存储你的完整支付敏感信息。

二、信息使用目的与合法性基础

我们仅会在法律法规允许的范围内，基于以下合法基础使用你的个人信息：

1. 履行合同义务：为你创建并维护游戏账号、发放虚拟道具、提供客户支持服务。
2. 正当利益：用于防范恶意攻击、检测与打击外挂脚本、维护游戏公平性、进行网站访问数据分析以优化产品体验。在进行此类处理前，我们已通过隐私影响评估，确保你的权益不受影响。
3. 法律义务：根据《中华人民共和国网络安全法》及《个人信息保护法》的要求，留存必要的网络日志不少于六个月，配合司法机关的法定调查程序。

我们郑重承诺，绝不会将你的个人信息用于与提供服务无关的用途，例如向第三方出售用户数据。任何超出原授权范围的使用，我们都会重新征得你的明示同意。

三、Cookie 与追踪技术说明

为提升你的访问体验并分析站点流量趋势，我们会使用Cookie及同类技术（如LocalStorage、Web Beacon）。Cookie是存储在您设备终端上的小型文本文件，能够帮助我们记住你的登录状态（有效期7天）及偏好设置（如语言选择）。

我们使用以下类型的Cookie：严格必要型Cookie（用于维持登录会话，无法禁用）；性能分析型Cookie（由自建的Matomo分析平台部署，不向任何第三方传输原始数据）；功能型Cookie（用于记录你已读的通知公告）。我们目前未接入任何第三方广告联盟，因此不存在跨站追踪型Cookie。你可以在浏览器设置中管理或删除Cookie，但请注意，禁用必要型Cookie将导致你无法正常登录账号。

四、第三方数据共享与委托处理

我们不会对外公开或向任何无关第三方提供你的个人信息，但以下情形除外：

• 授权合作伙伴：为了提供稳定的云服务，我们与阿里云、腾讯云等云计算服务商合作，你的日志数据可能存储于其位于中国大陆境内的服务器。我们已与上述服务商签署了严格的《数据处理协议》，要求其遵守我们的隐私标准。
• 游戏服务器运营方：当你在我们推荐的热门目的地（即具体的传奇私服服务器）进行游戏时，为完成账号映射与角色数据同步，我们需将你的必要注册信息（用户名、加密ID）传输给该服务器的运营方。该运营方作为独立的数据控制者，需遵守其自身的隐私政策。
• 执法机构：在收到符合法律规定的传票、搜查令或法院裁定书时，我们可能被强制要求披露特定信息。

除上述情况外，任何涉及向第三方转移个人信息的操作，我们都会通过网站公告或弹窗形式提前通知你，并获取你的单独同意。

五、你的权利：访问、更正与删除

根据《个人信息保护法》，你享有对自身个人信息的充分控制权。你可以通过登录官网“个人中心-账号安全”页面，或发送邮件至 [email protected] 行使以下权利：

• 访问权：获取我们持有的关于你的个人信息副本，我们将在15个工作日内予以提供。
• 更正权：若你发现绑定的邮箱、手机号有误，可随时自行修改或要求我们更正。
• 删除权：在以下情形下，你可以要求我们删除你的个人信息：处理目的已实现、你撤回同意、我们违反法律处理信息。请注意，因游戏运营合规要求，涉及账号交易记录与充值日志的删除请求可能无法立即执行，需遵守相关法律规定的保存期限（通常为3年）。
• 撤回同意权：对于基于你同意而进行的处理活动（如接收营销邮件），你有权随时撤回。
• 注销账号权：你可以在“个人中心”申请注销账号。注销后，你的所有游戏角色数据将被永久删除且不可恢复，请务必在操作前确认已处理完账号内的虚拟财产。

六、信息安全保障措施

保护你的数据安全是我们的首要责任。我们构建了纵深防御体系：

• 传输加密：全站启用TLS 1.3加密协议，确保数据在传输过程中不被窃听或篡改。
• 存储加密：数据库中存储的敏感字段（如密码、密保答案）均使用bcrypt算法进行加盐哈希处理，即使数据库泄露，攻击者也无法还原原始明文。
• 访问控制：内部员工访问用户数据实行“最小权限原则”，所有操作均需通过双因素认证（2FA），并留有完整的审计日志。
• 安全监测：我们的安全运营中心（SOC）7x24小时实时监测异常流量与入侵行为，并定期聘请第三方安全公司进行渗透测试（频率为每季度一次）。

尽管我们采取了上述业界领先的安全措施，但请注意，互联网环境不存在绝对的安全。若不幸发生个人信息安全事件，我们将按照《网络安全法》的要求，在事发后72小时内通过邮件、短信或站内信的方式告知你，并向属地网信部门报告。

七、政策更新与通知机制

随着法律法规的演进及平台业务的发展，我们可能会适时修订本隐私政策。重大变更（如收集目的变化、数据共享方增加）