赏金女王 Queen of Bounty 隐私保护与数据安全政策

一、我们收集的信息范围与类型

为了向您提供稳定、安全的游戏服务并履行法律义务，我们仅收集实现服务功能所必需的最少信息。具体分为以下三类：

1. 您主动提供的信息

• 注册信息： 当您创建账号时，我们会收集您的手机号码或电子邮箱地址、您设定的用户名及登录密码（经过 SHA-256 加盐哈希处理，我们无法获知您的明文密码）。
• 实名认证信息： 根据监管要求，您在进行大额提现或领取特定奖励时，可能需要提供真实姓名及身份证号码。该信息仅用于合规审查，并采用国密 SM4 算法加密存储。
• 支付信息： 当您进行充值或提现操作时，我们会获取第三方支付平台返回的交易流水号及订单金额，但我们不会存储您的完整银行卡号或支付账户密码。

2. 设备与技术信息

• 日志数据： 包括您的 IP 地址、设备型号、操作系统版本、浏览器类型、访问时间及点击行为。该数据用于排查网络故障与防御 DDoS 攻击，保留周期为 180 天。
• 设备标识符： 我们可能会收集您的设备 MAC 地址、Android ID（仅限安卓端）或 IDFA（仅限 iOS 端），用于检测多开作弊与账号共享行为。

3. 我们不收集的信息

我们郑重承诺，本平台绝不收集您的通讯录、短信内容、相册图片、精确地理位置（仅收集 IP 归属地级别的城市信息）等与服务无关的个人敏感数据。

二、信息使用目的与合法依据

我们严格遵守"最小必要"原则，您的个人信息仅用于以下明确目的：

1. 提供核心服务： 创建并维护您的游戏账号，实现金币充提、倍率结算、排行榜展示等功能。
2. 安全风控： 利用设备信息与行为日志识别异常登录、盗号、作弊及洗钱风险。例如，当同一设备在 1 小时内切换超过 3 个账号时，系统将触发风控锁定。
3. 合规审计： 配合监管机构要求，留存必要的交易记录与实名信息。
4. 服务优化： 基于聚合后的匿名数据（不含个人标识）分析游戏平衡性，用于调整倍率参数与活动设计。

我们处理您个人信息的法律依据包括：您给予的明确同意、为履行与您之间的服务协议所必需、为遵守法律义务所必需，以及基于我们追求合法商业利益的正当利益考量。

三、Cookie 与同类追踪技术说明

为提升登录状态保持的稳定性并分析流量来源，本平台使用 Cookie 及 LocalStorage 技术。

• 必要 Cookie： 用于维持您的登录会话（Session ID）。该 Cookie 为 HttpOnly 类型，无法被 JavaScript 脚本读取，有效期为 24 小时。拒绝该 Cookie 将导致您无法正常登录游戏。
• 分析型 Cookie： 我们使用自研的轻量级统计脚本（非 Google Analytics 等第三方工具）收集页面访问量及热力图数据。该数据完全匿名化，不包含您的账号信息。
• 第三方 SDK： 我们的客户端内嵌了用于崩溃监控的 Bugly SDK（腾讯旗下），该 SDK 仅收集崩溃堆栈日志及设备型号，不涉及用户身份信息。

您可以通过浏览器设置删除或阻止 Cookie，但这可能导致部分个性化功能（如记住登录状态）无法使用。我们的网站不响应"Do Not Track"信号，但您可以通过上述浏览器设置行使选择权。

四、第三方数据共享与委托处理政策

我们承诺，除以下特定情形外，我们绝不对外出售、出租或交换您的任何个人信息：

所有接收您数据的第三方均需签署严格的保密协议，且仅能在我们的指示下处理数据，不得用于任何其他目的。

五、您对个人信息享有的权利

依据 PIPL 规定，您对自身个人信息享有以下权利。您可通过发送邮件至 [email protected] 行使相关权利，我们将在 15 个工作日内予以答复。

• 查阅与复制权： 您可以申请查看我们持有的您的个人信息副本。
• 更正权： 若您的手机号或邮箱发生变更，您可在客户端"账号安全"中自助修改，或联系客服协助更正实名信息中的错误。
• 删除权： 在以下情形下，您可以要求我们删除您的个人信息：处理目的已实现、您撤回同意、我们违反法律处理信息。但请注意，根据《网络游戏管理暂行办法》要求，您的实名信息及交易流水需保留至少 6 个月，此类数据在法定留存期内无法删除。
• 撤回同意权： 您可以在客户端"设置-隐私中心"中随时撤回对营销推送的授权，但撤回不影响撤回前基于同意进行的处理的合法性。
• 注销账号权： 账号注销后，我们将停止为您提供服务，并在 30 日内删除或匿名化处理您的全部个人信息（法律法规另有规定的除外）。

六、信息安全保障措施

我们已采取符合行业标准的技术与组织措施，以防止数据泄露、丢失或被非法访问：

1. 传输加密： 全站启用 TLS 1.3 加密协议，确保数据在传输过程中不可被窃听或篡改。
2. 存储加密： 数据库中的敏感字段（如手机号、身份证号）使用 AES-256 算法进行加密存储；密码使用 bcrypt 算法（cost factor=12）进行不可逆哈希。
3. 访问控制： 实施基于角色的访问控制（RBAC），仅极少数经授权的运维人员可接触生产数据库，且所有操作均记录在审计日志中。
4. 漏洞管理： 每季度委托第三方安全公司进行渗透测试与代码审计。最近一次测试（2024 年 8 月）未发现高危漏洞。

尽管有上述措施，但互联网环境并非绝对安全。若不幸发生个人信息安全事件，我们将在 72 小时内通过站内信、邮件或短信方式告知您，并向属地网信部门报告。

七、政策更新与通知机制

我们可能会根据法律法规变化或业务调整适时修订本隐私政策。重大变更（如收集信息范围扩大、数据使用目的改变）将通过以下方式显著通知您：

• 在客户端登录页面弹出强制阅读弹窗，需点击"同意"后方可继续使用；
• 通过您预留的手机号或邮箱发送政策更新摘要；
• 在本页面顶部展示修订日期及变更摘要。

政策发布后，若您继续使用我们的服务，即视为您接受修订后的政策。本政策最近一次更新日期为 2024 年 11 月 1 日。

八、联系我们与数据保护官

若您对本隐私政策有任何疑问、意见或投诉，请首先通过以下渠道联系我们：

• 隐私专员邮箱： [email protected]
• 数据保护官 (DPO)： 我们已任命专门的数据保护官，直接向 CEO 汇报，邮箱： [email protected]