你的数据
隐私政策
最后更新：2026年10月24日
本译文仅供参考；仅以法语版本为准。
简而言之：我们只保存让游戏运行、防止作弊所必需的最少数据。不收集姓名、出生日期、地址、电话，没有广告，绝不出售。你可以随时在你的账号中下载或删除你的数据。
1. 谁是负责人
数据控制者是本网站的发布者：NITO LTD，1 Poulton Close, Dover, Kent CT17 0HL, Royaume-Uni。如对你的数据有任何问题，请联系：contact@rbxtcg.com。
该公司设立于英国，欧盟认可英国提供充分的数据保护。如果你居住在欧盟，《通用数据保护条例》（GDPR）的规定适用于你。
2. 数据及其用途
| 数据 | 用途 | 法律依据 |
|---|---|---|
| 电子邮箱、密码（绝不以明文存储）、如果你使用 Discord 登录则还有 Discord 标识符 | 创建你的账号、让你登录、找回你的账号 | 履行你所请求的服务（合同） |
| 昵称 | 玩游戏，出现在稀有抽卡动态、排行榜和你的好友那里 | 合同 |
| 年龄声明（“已满 15 岁”或“未满 15 岁且经家长同意”）及其日期 | 执行为未满 15 岁玩家设立的保护措施 | 法律义务 |
| 游戏活动：卡牌、宝石、充能次数、保底计数、任务、心愿单、好友、交易 | 让游戏正常运行 | 合同 |
| 补充包开启日志和货币变动日志 | 出现问题时提供帮助、证明抽卡符合公布的概率、检测欺诈 | 合同和正当利益 |
| 设备指纹和 IP 地址指纹（见第 3 条）、安全日志、处罚 | 一台设备一个账号，打击机器人、作弊和账号农场 | 正当利益（游戏的安全与公平） |
| 宝石购买记录：商品、金额、日期、Stripe 支付标识符、状态、对立即交付的同意 | 发放宝石、处理退款和争议、执行购买规则、记账 | 履行合同；法律义务（会计） |
任何数据都不会用于广告、商业画像，也不会被出售。不会完全通过自动化方式作出任何产生法律效力的决定：防滥用限制（尝试次数、上限）会自动生效，但冻结或封禁由专人决定，并附有你可以查看和申诉的原因。
3. 设备和 IP 地址
为了限制多重账号，你的浏览器会收到一个随机标识符（Cookie rtcg_device，页面脚本无法读取）。你的 IP 地址会在注册、登录或开启试玩补充包时被读取。两者都不会以明文保存：我们只保存一个用密钥计算出的指纹（HMAC-SHA-256），无法据此还原地址。对于 IPv6 地址，只考虑表示宽带订阅的那一部分。
这些指纹会在最后一次使用后 90 天 删除（无账号试玩补充包则在过期后 7 天删除）。我们不使用任何“浏览器指纹”（字体、显卡等）。
如果一个账号在被冻结或封禁期间被删除，其设备指纹会被保留 90 天，且与该账号不再关联，以防止在同一设备上立即重新创建账号。
4. 其他玩家能看到什么
你的昵称（排行榜、好友、交易），以及当你抽到稀有卡牌时，首页抽卡动态中的一条记录。你可以在你的个人资料中退出该动态。请选择一个不是你真实姓名的昵称。玩家之间没有自由聊天功能。
5. 未满 15 岁
本网站对所有年龄开放。注册时，每位玩家都要说明自己是否已满 15 岁；未满 15 岁的玩家需声明一位家长（或其法定代理人）同意。对于这些账号，昵称默认不会出现在公开动态中，而且我们不会比其他玩家多收集任何数据。
家长可以随时通过 contact@rbxtcg.com 要求我们提供其孩子账号的数据或删除该账号。
6. 保存多久
| 数据 | 期限 |
|---|---|
| 账号（电子邮箱、昵称、年龄声明）、卡牌、货币、任务、好友、货币日志、处罚 | 直到账号被删除 |
| 补充包开启日志 | 2 年，或直到账号被删除 |
| 与账号关联的设备指纹和 IP 地址指纹 | 最后一次使用后 90 天 |
| 无账号试玩补充包（及其指纹） | 过期后 7 天 |
| 安全日志 | 指纹在 90 天后清除，事件记录在 1 年后删除 |
| 数据库备份 | 大约 7 天后被替换 |
| 宝石购买记录（商品、金额、日期、Stripe 支付标识符、状态） | 购买后 6 年（会计义务）；如果你的账号被删除，这些记录会与账号解除关联 |
这些期限通过每晚的自动删除来执行。
7. 还有谁会收到这些数据
只有网站所必需的技术服务商，各自仅限于其职责范围：
| 服务商 | 职责 | 数据 | 国家 |
|---|---|---|---|
| Vercel Inc. | 网站托管 | IP 地址和请求（技术日志） | 美国 |
| Supabase Inc. | 数据库和身份验证 | 电子邮箱、昵称、游戏数据、哈希值 | 美国（数据存放在为项目选择的区域） |
| Cloudflare, Inc. (Turnstile) | 注册、登录和试玩补充包时的人机验证 | 验证时的 IP 地址和浏览器技术信号 | 美国 |
| Sendinblue SAS (Brevo) | 发送电子邮件（登录验证码、删除账号） | 电子邮箱地址、邮件内容 | 法国 |
| Discord Inc. | 使用 Discord 登录，仅在你选择时 | Discord 标识符以及 Discord 提供的电子邮箱 | 美国 |
| Pwned Passwords (Have I Been Pwned) | 检查密码是否已经泄露 | 密码指纹的前 5 个字符，不含任何能识别你身份的信息 | 澳大利亚 |
| Stripe Payments Europe, Ltd. | 宝石购买的支付 | 账号标识符、商品、金额、电子邮箱，以及在 Stripe 输入的支付信息（我们永远看不到你的银行卡） | 爱尔兰（可能传输至美国） |
其中一些位于欧盟以外。这些传输依据《通用数据保护条例》（GDPR）规定的保障措施（充分性认定，包括欧盟—美国数据隐私框架，或欧盟委员会的标准合同条款）。
8. 你的权利
- 下载你的数据（访问权和可携带权）：你的账号中的“下载我的数据”按钮。
- 删除你的账号（删除权）：在你的账号中，通过邮件发送的验证码完成。所有内容都会被删除；卡牌会被销毁（其编号仍保持占用，但与你再无任何关联）。
- 更正数据（更正权）、反对某项处理或要求限制处理：请写信到 contact@rbxtcg.com。
- 如果你认为你的权利没有得到尊重，可以向你所在国家的数据保护机构投诉：在法国是 CNIL（cnil.fr/fr/plaintes），在英国是 ICO（ico.org.uk）。
我们会在一个月内回复。为了确认请求确实来自你本人，我们可能会要求你用账号的邮箱来信。
9. 安全
加密连接（HTTPS）、由我们的身份验证服务商对密码进行哈希处理、页面脚本无法读取的会话 Cookie、按玩家设定规则限制数据库访问。数据库备份大约 7 天后被替换：已删除的数据在此之前可能仍保留在备份中。
Cookie：完整列表和你的设置见Cookie页面。
10. 变更
如果本政策发生重大变更，我们会在变更生效前在网站上说明。页面顶部的日期即为最新版本的日期。