隐私政策

tPiy 广告如何运作

tPiy SDK 是游戏中的一个软件组件。当您启动游戏，或离开超过 30 分钟后回到游戏时，SDK 会向我们的服务器询问一次本次会话是否有广告。

如果有，广告文件会在后台下载到您的设备，并在自然的间歇或您选择观看视频换取奖励时展示。每条 tPiy 广告都标有“广告”字样，并带有可打开本页的“为什么显示此广告？”按钮。如果没有 tPiy 广告，游戏会继续使用其他广告合作伙伴，并适用它们各自的隐私政策。

两种模式：受限模式和个性化模式

每次会话开始时，我们的服务器会根据游戏和设备发送的信号，决定对您适用哪一种模式。

只要有任何一项不满足，或者您已反对使用您的数据（请参阅您的玩家 ID），该会话即为受限模式。您可以随时切换到受限模式——请参阅您的选择。

仅通过 IAB 透明度与同意框架（TCF）给予的同意（例如对 TCF 目的的同意）本身并不算数：tPiy 不在 TCF 供应商名单上。但通过 TCF 表示的拒绝，我们会予以遵守（见上文）。

受限模式下我们收集的数据

在受限模式下，SDK 会向我们发送以下数据。它绝不收集您的姓名、电子邮件地址、精确位置（GPS）、通讯录、照片或设备上的任何其他内容。

个性化模式下额外收集的数据

• 标识符：您的广告 ID（IDFA 或 Android 广告 ID）和 IDFV 以原样（不做哈希处理）保存，并与您的安装 ID 和玩家 ID 一同保存。
• 每台设备一个画像：您的画像以广告 ID 为键；没有广告 ID 时以 IDFV 为键，两者都没有时以安装 ID 为键——绝不以玩家 ID 为键。广告 ID 在您设备上的所有应用中相同，IDFV 在同一台 iPhone 或 iPad 上的所有 Zuuks 游戏中相同，因此画像覆盖该设备上的 Zuuks 游戏。如果该标识符发生变化，例如您重置了广告 ID，就会开始一个新的画像。即使玩家 ID 相同，我们也不会合并不同设备的画像。
• 设备详情：设备型号、操作系统版本、屏幕尺寸、语言、时区、网络类型和应用版本。
• 年龄段：以游戏告知的为准（成年人或年龄未知）。
• 大致位置：除国家外，还包括您所在的地区和城市。Cloudflare 根据您的 IP 地址判断位置并传给我们；我们只保留其中这些信息，不保存 IP 地址本身。
• 会话：您开始游戏的时间和游戏时长。
• 游戏进度，例如您的等级。
• 应用内购买：游戏报告的商品、以美元计的价格以及当地价格和币种（未经商店收据核验）。我们将其用于“付费玩家”等消费细分人群。绝不包括银行卡号或其他支付信息。
• 游戏事件：游戏选择发送的事件，例如达成某个里程碑。
• 所有广告互动：展示、完整观看的视频、点击、商店页面浏览和安装。

您的画像和受众细分

在个性化模式下，我们将这些数据合并为玩家画像，并将您归入受众细分。我们使用画像来选择向您展示哪些广告（个性化广告）、衡量广告效果并防范欺诈。

细分人群示例：

• 付费玩家
• 高消费玩家
• 新玩家
• 高活跃玩家

广告主可以选择向某个细分人群展示广告，但从 tPiy 只能收到汇总报告——绝不会收到您的画像、标识符或身份。（您点击应用广告时，广告主的监测合作伙伴可能收到哪些信息，请参阅当您点击广告时。）我们不使用特殊类别的个人数据（例如健康、宗教或政治观点），也不会作出对您产生法律效力或类似重大影响的决定。

撤回同意后，您的下一次会话将处于受限模式，您的画像也不再更新。如需删除画像，请向我们提交删除请求。

您的玩家 ID

我们不做的事

• 未经您主动同意，我们绝不会为您建立画像；对于已知未满 18 岁的玩家以及面向儿童的应用，我们一律不建立画像。
• 我们绝不会通过 SDK 收集您的姓名、精确位置（GPS）、通讯录、照片或银行卡信息。
• 我们不出售个人数据，也绝不会把您的画像、标识符或身份提供给广告主。（在个性化模式下，从您的设备直接到达广告主监测合作伙伴的信息，请参阅当您点击广告时。）
• 我们不将特殊类别的个人数据用于广告，也不会把 tPiy 的数据与展示 tPiy 广告的 Zuuks 游戏以外的应用的数据或数据经纪商的数据合并。

当您点击广告时

如果广告推广的是应用，点击后会在游戏内打开该应用的 App Store 页面（iOS），或打开 Google Play 应用（Android）。根据游戏的设置，商店页面也可能在视频广告结束时自动打开。网站类广告会在游戏内的浏览器中打开网站。

广告主的跟踪链接——仅限个性化模式。许多广告主会通过 AppsFlyer 或 Adjust 等监测合作伙伴衡量其应用的安装。如果广告主为其应用广告向我们提供了这样的跟踪链接，且您的会话处于个性化模式，那么在您点击广告时以及商店页面自动打开时，SDK 会从您的设备在后台调用该链接。通过这次调用，监测合作伙伴会收到您的 IP 地址和设备的用户代理（user agent，即对发起调用的软件的技术描述），并可借此把这次点击与之后的应用安装关联起来。tPiy 不会在链接中添加您的任何标识符，例如广告 ID 或玩家 ID。法律依据：您对个性化广告的同意。

在受限模式下，SDK 绝不会在后台调用跟踪链接。无论处于哪种模式，如果应用的商店页面无法直接打开——例如广告主没有为其应用提供商店地址、只提供了跟踪链接——点击广告可能会在您的浏览器中打开该链接，再由它把您带到商店。与您打开任何网页一样，监测合作伙伴此时会收到您的 IP 地址和浏览器的用户代理。

从那一刻起，适用商店、广告主或其监测合作伙伴自己的隐私政策；tPiy 无法控制它们收集哪些数据。

儿童和未成年人

展示 tPiy 广告的所有 Zuuks 游戏均为 13 岁以上分级，其中只展示“所有人”或“12 岁以上”分级的广告。

已知未满 18 岁的玩家始终处于受限模式：没有画像，没有细分，也没有个性化广告。玩家是成年人、未成年人还是年龄未知，由游戏告知我们。

对于面向儿童或面向包含儿童在内的混合受众的应用，tPiy 不保存设备标识符，也不保存设备标识符或 IP 地址的哈希值，并且不进行安装衡量；面向儿童的应用只展示“所有人”分级的广告。在这些应用中，玩家 ID 仅在奖励事件和发往游戏服务器的奖励通知中保存和使用，以便游戏发放奖励。

如果您认为我们持有儿童的数据，请发送邮件至 [email protected]，我们会将其删除。

法律依据

在适用 GDPR、英国 GDPR、瑞士《联邦数据保护法》、土耳其 KVKK 或类似法律的情况下，我们依据以下法律依据处理数据（另请参阅列表后的说明）：

个性化模式：收集额外数据、建立您的画像和细分、展示个性化广告，以及在您点击应用广告时调用广告主的跟踪链接

您的同意——根据 GDPR、英国 GDPR 和 KVKK，为您在游戏隐私弹窗中给予的明确同意（在 iOS 上还需同时允许跟踪）。您可以随时撤回，撤回不影响此前的处理。

受限模式：选择和投放情境广告（设备和应用信息、用于判断国家的 IP 地址、广告事件）

我们为提供让游戏保持免费的广告而享有的正当利益。关于在您的设备上存储安装 ID 和广告记录，请参阅下方关于设备存储的说明。

频次限制、防范欺诈和效果衡量，包括通过玩家 ID 匹配交叉推广安装

我们以及广告主、发布商和 Zuuks 的正当利益。您可以提出反对——请参阅您的玩家 ID。

向游戏服务器发送包含您玩家 ID 的奖励通知

合同：发放您选择观看广告所换取的奖励。

受限模式下的广告 ID 和 IDFV

在欧洲经济区、英国、瑞士和土耳其以外：我们在频次限制、防范欺诈和效果衡量方面的正当利益。在 iOS 上，只有在您允许跟踪时才能获取广告 ID，您也可以随时在设备设置中关闭它。在欧洲经济区、英国、瑞士和土耳其，我们只有在您同意时才会保存这些标识符；未经同意则不保存，即使是哈希值也不保存（如果游戏尚未征求您的同意，SDK 仍可能发送它们，我们的服务器会将其丢弃）。

处理您的请求、举报和留言

我们的法定义务（例如依据 GDPR 和《数字服务法》）以及我们回复您的正当利益。

待公布 我们在未征得您同意的情况下，将安装 ID、已展示的 tPiy 广告列表以及 SDK 的其他文件存储在您的设备上（请参阅我们保存数据的时间），因为我们认为这种存储是提供广告服务所严格必需的（属于欧盟电子隐私规则及各国实施法律中的例外）。这一例外是否适用、抑或需要征得同意，正由我们的法律顾问审查；结果将在本页公布。

待公布 以上法律依据为我们自己的评估，尚未经我们的法律顾问确认。审查结果将在本页公布。

我们保存数据的时间

• 广告事件连同设备标识符和 IP 地址的带密钥哈希值、玩家 ID 以及游戏发送的奖励附加数据，在我们的数据库中保存 14 天。随后转入封闭归档：所有标识符（包括玩家 ID）仅以带密钥哈希值保存，奖励附加数据仅以哈希形式保存或完全不保存；并在 13 个月后删除。
• 个性化模式下的行为数据（会话、游戏进度、购买和游戏事件）保存在用我们自己的密钥加密、且只以带密钥哈希值保存标识符的归档中，最长 25 个月。
• 您的画像在我们最后一次在 Zuuks 游戏中见到您后 13 个月删除。
• 删除请求会删除您的画像，并对能与您关联的一切进行匿名化处理或删除：广告事件及其归档、行为数据归档、点击和安装记录、奖励通知以及覆盖记录。删除之前已开始的会话中后来才到达的广告事件会以同样方式匿名化，仅为计费而保留；这些会话中的行为数据会被丢弃。已删除的数据会在 3 天内从我们的数据库变更日志中消失，并在 35 天内从我们加密的数据库备份中消失。为使删除持续有效，我们会将已删除标识符的带密钥哈希值保存 26 个月。我们不可更改的审计日志会永久保留我们查询过、删除过或列入反对名单的标识符的带密钥哈希值。您的请求记录会在请求结案后 3 年内保留您提供给我们的标识符，有关该请求的提醒邮件会在我们的发送队列中保留 90 天（邮箱中的副本请参阅本网站的访客）。如果您之后在同意的情况下重新开始会话，将建立一个新的画像。
• 反对名单：如果您提出反对，您标识符的带密钥哈希值会一直保留在我们的反对名单中，直到您撤回反对。
• 点击记录在您每次点击应用广告时（无论来自哪个广告主）创建，包含您的玩家 ID、IDFV 和广告 ID 的带密钥哈希值，在 8 天后删除；已匹配的安装在 90 天后删除。
• 发送到游戏服务器、包含玩家 ID 和奖励附加数据的奖励通知保存 30 天。
• 覆盖记录：为统计一项推广活动每天覆盖了多少台不同设备，我们按推广活动和日期保存设备的带密钥哈希值，保存 100 天。
• 汇总统计（例如按推广活动、游戏、国家和日期统计的展示次数）不包含设备标识符或玩家 ID，为计费和报告而保存。
• 数据库变更日志和备份：我们的数据库会将其变更日志（用于数据库副本和数据恢复）保留 3 天；我们加密的数据库备份在 35 天后过期。
• 在您的设备上，SDK 会在游戏数据中保存以下内容，直到您删除：安装 ID（保存在一个小型状态文件中，该文件还记录我们的服务器最近一次决定的模式，以及是否已为安装衡量报告过游戏的首次启动）；过去 24 小时内展示过的 tPiy 广告列表；等待发送的广告事件；以及在我们的服务器决定您的会话模式之前记录的、或在个性化模式下等待发送的行为数据（会话、进度、购买、游戏事件）——行为数据只有在模式为个性化时才会发送，否则会被删除。等待发送的广告事件和行为数据超过 24 小时后会被丢弃。下载的广告文件会被缓存（最多 150 MB），并优先删除最早的文件。

谁会接收数据

• 作为游戏发布商的 Zuuks 在您获得奖励时会收到您的玩家 ID、奖励和交易编号，以便游戏向您发放奖励；同时也会收到其游戏内广告的汇总统计。SDK 还会把每条已展示广告的收入告知游戏，游戏可依据其自身的隐私政策将其记录在自己的分析工具中。
• 作为我们服务提供商（处理者）的 Zuuks：我们的文件存储、归档和备份保存在 tPiy 与 Zuuks 共用的 Cloudflare 账户中，Zuuks 还可能托管我们数据库的副本。有关规范这一安排的协议，请参阅跨境传输。
• Cloudflare, Inc.（美国）为我们传送服务：内容分发网络、DNS、安全和文件存储。来自游戏的请求经由 Cloudflare 到达我们；Cloudflare 在每次请求时都会把您的 IP 地址连同它据此推断的大致位置（例如城市、地区、邮政编码、坐标和时区）传给我们，我们只保留您所在的国家（在个性化模式下还包括地区和城市）以及该地址的带密钥哈希值。广告文件通过 Cloudflare 分发，我们的归档（包括个性化模式行为数据的加密归档）和加密的数据库备份存放在 Cloudflare。
• 广告主可以定向细分人群，但从 tPiy 只会收到汇总统计——绝不会收到您的画像、标识符或身份。
• 广告主的监测合作伙伴（例如 AppsFlyer 或 Adjust）会在以下情况下收到您的 IP 地址和设备的用户代理：SDK 从您的设备调用广告主的跟踪链接时（仅限个性化模式，即您点击应用广告或其商店页面自动打开时）；以及无论处于哪种模式，因商店页面无法直接打开、点击广告会在您的浏览器中打开此类链接时。请参阅当您点击广告时。
• 在法律要求时，政府机关和法院。
• 我们不出售个人数据。

待公布 运行我们数据库和广告服务服务器的服务器托管服务商：服务商名称和服务器所在地将在本页公布。

跨境传输

tPiy 位于阿拉伯联合酋长国，我们的服务提供商在包括美国（Cloudflare）在内的多个国家开展业务。因此，您的数据可能在您所在国家以外处理，包括在欧盟、英国和土耳其以外。

待公布 关于 Zuuks 代我们进行的处理，tPiy 与 Zuuks 之间的协议，以及我们在向其他国家传输个人数据时采用的保障措施（例如标准合同条款），将在本页公布。

您的选择

• 撤回同意 / 切换到受限模式：使用游戏的隐私设置；在 iOS 上，打开“设置”›“隐私与安全性”›“跟踪”，关闭该游戏的跟踪；在 Android 上，打开“设置”›“隐私”›“广告”，删除您的广告 ID。您的下一次会话将处于受限模式，画像也不再更新。菜单名称因设备而异。
• 删除您的数据：提交删除请求。我们会删除您的画像，并对能与您关联的一切进行匿名化处理或删除——请参阅我们保存数据的时间。如果您之后在同意的情况下再次游戏，将建立一个新的画像。
• 安装 ID：删除游戏数据或重新安装游戏，即会生成新的随机安装 ID。
• 提出反对：通过隐私请求表单提交反对。我们会把您的标识符列入反对名单：此后您将始终处于受限模式，您的玩家 ID 也不再用于交叉推广衡量——请参阅您的玩家 ID。

您的权利

根据您所在的地区——例如欧盟的 GDPR、英国 GDPR、土耳其的 KVKK 或美国各州的隐私法律——您有权访问您的数据，要求更正或删除，限制处理或反对使用，以可携带的格式获取数据，退出定向广告，并随时撤回同意（撤回不影响此前的使用）。您还有权向数据保护机构投诉。如果您提出反对，我们会按您的选择中所述，把您的标识符列入反对名单。

如何行使权利：使用隐私请求表单或发送邮件至 [email protected]。为找到您的记录，我们需要一个标识符：您的安装 ID（部分游戏会在客服页面显示）、玩家 ID、广告 ID，或您游戏账号的电子邮件地址及游戏名称——如是后者，我们会向 Zuuks 查询对应的玩家 ID。

我们可能会请您确认这些数据属于您本人。我们会在一个月内答复；对于复杂的请求，可能最多再需要两个月，届时我们会说明原因。

我们收集的数据

• 账号数据：您的姓名、工作邮箱、在组织中的角色、语言、时区和通知设置。您的密码仅以高强度的单向哈希值保存。
• 两步验证：您身份验证器应用的密钥，加密保存。所有者和财务用户必须开启两步验证。
• 组织数据：公司名称、国家、税号、账单地址和账单邮箱、网站；对于发布商，还包括用于付款的银行信息（IBAN、SWIFT）。
• 安全数据：为阻止密码猜测，我们按电子邮件地址和网络统计登录失败次数，且只以带密钥哈希值保存（为此不保存 IP 地址；员工账号被锁定时我们团队收到的提醒中也不包含网络地址）；此外，对每个已登录的会话记录您浏览器的用户代理（user agent）。
• 访问日志：为运行和保护服务，我们的 Web 服务器会记录对后台的每次请求——时间、请求的地址、响应状态、来源页面以及您浏览器的用户代理。该日志中的网络地址是 Cloudflare 服务器的地址，而不是您的地址。
• 审计日志：后台中每一次更改的记录——谁、做了什么、何时。无法修改或删除。
• 业务记录：推广活动、素材、应用、额度充值、发票、付款以及我们与您的往来通信。

用途

• 根据我们与贵公司的合同提供后台服务——法律依据：履行合同，以及我们与贵公司指定人员合作的正当利益。
• 保障账号和资金安全、防范欺诈并追溯更改——法律依据：正当利益。
• 保存发票和会计记录——法律依据：法定义务。
• 发送服务邮件，例如邀请、密码重置、额度预警和发票通知。只有在获得您许可的情况下，我们才会发送营销邮件。

后台唯一的 Cookie

后台只使用一个 Cookie，且为严格必需：tpiy_rt，一个安全的 HttpOnly 登录 Cookie，用于保持您的登录状态。它只会发送给登录服务，在您退出登录或登录过期时失效，绝不用于分析或广告。

后台还会在浏览器的本地存储中保存少量偏好设置——语言、浅色或深色主题、您上次选择的组织以及登录提示。这些数据只保存在您的设备上。后台不含分析工具，也不含第三方跟踪器。

保存期限

• 账号和组织数据：在账号存续期间保存，之后在法律主张和法定义务所需的期限内保存。
• 发票和会计记录：按税务和会计法规要求的期限保存。
• 审计日志记录了财务和安全事件，因此永久保存。
• 登录令牌在过期 7 天后删除；发送队列中的服务邮件在 90 天后删除；我们 Web 服务器的访问日志在 14 天后删除。

接收方

• Cloudflare（素材、发票和合同的分发、安全防护和存储）、我们的服务器托管服务商、我们的电子邮件服务商（请参阅本网站的访客），以及作为我们服务提供商的 Zuuks（请参阅谁会接收数据）。
• 处理收付款的银行；我们的会计师和税务顾问；法律要求时的政府机关。
• 贵公司组织内的其他用户，按其角色权限。