隐私政策

1. 我们是谁

Cantorite 游戏由荷兰企业 MVIT 制作（以 Hollowcut 名义发行）。MVIT 是本页所述个人数据的控制者（下称“我们”）。

电子邮箱

[email protected]

企业

MVIT，荷兰，KvK 84170980

与你的数据有关的一切事宜都可以发到这一个地址：咨询问题、行使下文所列的任何权利，以及在你无法自行操作时请我们删除你的账号。

2. 不注册账号游玩

不注册账号时，除非你选择使用在线功能，否则任何关于你的信息都不会离开你的设备。所有游戏都可以在无网络的情况下游玩。游戏会在你的设备上保存以下内容：

• 你的进度：战役、已通过的关卡、最高分、已解锁的内容、统计数据和近期记录。
• 你的设置：画面、声音、语言、操作，以及你已看过哪些提示。
• 存档和回放（如果游戏提供）。

保存位置：在浏览器中，保存在该浏览器为游戏网站提供的存储空间里（本地存储和 IndexedDB）；在 Windows、Android、iOS 和 Steam 应用中，保存在设备上该应用自己的数据文件夹里。部分应用还会在该文件夹中写入一份小型技术日志，以及在发生崩溃时写入崩溃转储文件。崩溃转储文件从不发送；游戏崩溃时实际发送的内容见“崩溃报告”一节。

如何删除：在浏览器中清除该网站的数据，或卸载应用。

在浏览器中，游戏还会把自己的文件（代码、模型、音乐）存入缓存，以便快速加载和离线游玩。该缓存不含任何个人数据。

3. 你的 Cantorite 账号

账号是可选的。一个账号可以用于所有 Cantorite 游戏。它会在你的各台设备之间同步进度，并且是排位赛、排行榜、成就和反馈功能所必需的。

登录

你输入电子邮箱地址后，我们会向你发送一个六位数验证码，有效期 10 分钟。这是唯一的登录方式：没有密码，也不能通过 Google、Apple 或其他账号登录。验证码邮件通过 Cloudflare Email Sending 发送，只包含验证码，没有链接、图片或跟踪。

我们保存的内容

你的电子邮箱地址

用于发送登录验证码，以及识别哪个账号属于你。我们不发送电子报。

你的游戏资料

对于你登录后游玩的每款游戏：该游戏同步的资料，例如进度、外观物品、偏好设置、显示名称和统计数据。Night Freight 还会同步已保存的小队模板、资产、老兵成长和伤势。你的其他设置、存档和回放保留在你的设备上。

登录记录

对于每台已登录的设备：创建时间和最后使用时间。我们只保存登录令牌经过加密转换（哈希）后的副本，从不保存令牌本身。每位玩家在所有游戏和设备上最多有 20 条登录记录，超出时最早的一条会被删除。

日期

账号的创建时间和你最后一次登录的时间。

游戏会把你的登录状态保存在你的设备上：浏览器中保存在本地存储里（不是 Cookie），应用中保存在应用的加密存储里。

为防止滥用（例如有人大量索取验证码），我们会按网络统计请求次数，最多保留一天。你的 IP 地址从不以原样保存：在计数之前，它会被截短为所属网络，并转换为一个带密钥的单向代码。我们不会在日志中记录电子邮箱地址、验证码、令牌或 IP 地址。

保存位置和期限

• 保存在位于欧盟司法管辖区内的 Cloudflare D1 数据库中。
• 验证码 10 分钟后失效。已登录的设备在最后一次使用后保持登录 90 天，最长不超过一年。
• 你的账号及其所有相关数据会一直保留，直到你删除账号。
• 数据库会保留 30 天的历史记录，用于从误操作中恢复。删除账号后的 30 天内，仍可从该历史记录中恢复账号；此后账号将被彻底清除。

删除你的账号

在任意一款 Cantorite 游戏中：打开账号或设置界面，选择删除账号。也可以在网页上操作：cantorite.com/account/delete。删除会移除你的账号、所有游戏资料、所有登录记录、你的成就和解锁进度、你在排行榜和排位赛中的记录，以及你发送过的反馈。如果其中任何一项服务操作失败，则不会删除任何内容，你可以再试一次。你设备上的进度会一直保留，直到你自行清除。无法再登录了？请用该账号的邮箱地址发送邮件至 [email protected]，我们会替你删除。

4. 各游戏的在线功能

本节所述的所有功能都需要账号（在线对战至少需要一个名字），并且都是可选的。

成就

你在登录状态下解锁成就时，我们会记录解锁了哪个成就以及解锁时间，并关联到你的账号。门户网站上的稀有度数据只统计解锁次数，不会显示任何人的名字。随账号一并删除。

对于可解锁内容，我们还会为每款游戏保存一份你的进度快照：解锁所需的游戏计数（例如战斗胜利次数）以及你拥有哪些可解锁内容。每次新的报告都会替换上一份。随账号一并删除。

统计玩家人数

为了了解每款游戏有多少人在玩、有多少人会回来，我们会按游戏保存一份你活跃过的日期列表。该列表根据上述服务已经记录的信息（登录、资料保存、成就、进度报告和购买）得出，并关联到你的账号。只有我们的团队能看到它，查看页面是需要登录的内部页面；我们用它来统计每日玩家人数、一周后回来的人数等数字，团队自己的账号不计入其中。超过 400 天的日期会被删除，在你删除账号后一天内，你的列表也会被删除。

排行榜和每日成绩

• 排行榜显示显示名称或呼号以及分数，从不显示电子邮箱地址。在后台，你的记录以一个假名玩家代码（由你的账号 ID 生成的带密钥单向代码）保存，而不是账号 ID 本身。
• Chime Walk 和 Night Freight 在你登录时会发送每日、每周和历史成绩：分数、同分判定值、当天的种子、本局哈希值、用时和游戏版本。每日和每周成绩在其周期结束 400 天后删除。离线时取得的成绩会在你重新联网后发送。
• Hush Money 的排行榜会保存你的呼号、你的对局及其分数、奖项和赛季。对局次数保留 30 天（保留中的对局 90 天，未完成的开局 2 天）。
• 你可以随时通过删除账号来删除你的记录。

Harrowfall：在线对战和排位赛

在线对战通过我们的中继服务器以锁步（lockstep）方式进行：每位玩家的游戏运行同一套模拟，中继在玩家之间传递指令，并检查各方游戏是否一致。中继运行在 Cloudflare Workers 上，房间数据保存在 Cloudflare 的欧盟司法管辖区内。

• 经过中继的内容：你的指挥官名称、浏览器类型（Chromium、Firefox、Safari 或其他，不含完整的浏览器信息）、阵营、颜色、徽记和总部外观、连接延迟（ping）、游戏指令，以及大厅聊天。
• 其他人能看到的内容：同一房间的玩家能看到你的指挥官名称、浏览器类型、阵营、颜色、徽记、总部外观和延迟（徽记和总部外观仅在对方开启“显示对手外观”时可见）。聊天内容发送到房间，不会被保存。
• 会保留的内容：最后一位玩家离开房间 10 分钟后，房间数据会被删除，但对局的正式结果除外（胜者，以及每个席位的指挥官名称、阵营和对局统计）。该结果会随房间在欧盟境内保存 30 天，任何知道房间代码的人都可以查看；之后会被删除。
• 服务器日志：中继不在 Cloudflare 保留任何日志：与账号和反馈服务一样，日志记录已关闭。
• 排位队列：为限制同一网络可以建立的连接数，队列会使用一个由你的 IP 地址生成的单向代码，仅在你连接期间保存在内存中。
• 排位赛需要账号。你的积分及其历史、胜负平场次、排行榜名称以及你的排位对局（对手、阵营、结果、积分变化和对局统计）会记录在你的账号中。排位排行榜是公开的：它显示过去 28 天内参加过排位赛的所有人的排行榜名称、积分、段位以及对局数和胜负平场次。删除账号后，你在以前对手的对局列表中会显示为“已删除的玩家”。
• 如果你让遭遇战的 AI 在服务器上运行，游戏会以同样的方式在中继上开一个单人房间，并使用你的指挥官名称。

Harrowfall 的通知（在 iPhone 和 iPad 上）需要你的许可，游戏会在你第一次创建或加入在线房间时请求许可。提醒你在线对局正在等你的通知是在设备本地设置的，不会发送任何内容。开启“在线对战”后，你设备的推送令牌（Apple 提供的、让通知能送达这台设备的代码）及其语言会发送到你所在的房间，以便在你离开期间有玩家加入房间时，中继可以通知你；对局开始或房间关闭时即被删除。开启“新闻”后（在你开启之前默认关闭），推送令牌、语言和主题会由我们位于欧盟的账号服务保存，不与你的账号关联；你关闭“新闻”时，或游戏最后一次使用后 120 天，这些数据会被删除。通知只包含一段简短文字，不含任何个人信息。通知由 Apple 送达。

Hush Money、Night Freight 和 Chime Walk

这些游戏使用上文所述的账号、资料同步、成就和排行榜。Chime Walk 和 Night Freight 的网页试玩版是非公开的测试版本，运作方式相同。

Night Freight 的合作突袭通过我们运行在 Cloudflare Workers 上的突袭服务器进行，每场突袭都保存在 Cloudflare 的欧盟司法管辖区内。加入突袭需要账号。一场突袭会保存它的五字母代码、种子、首领和模式选择、每个席位的阵营、小队和攻击选择（哪些单位和攻击，不含名字）、准备和就绪时间，以及玩家所走的每一步。每个席位还会保存一个由突袭代码和你的账号 ID 生成的单向代码，以确保一个账号只占一个席位。你加入时，账号会话会通过账号服务验证，但从不保存在突袭中；该席位提交行动使用的是另一个仅限本场突袭的令牌。已开始的突袭在最后一次保存的更改后 48 小时删除。从未开始的突袭在创建 24 小时后删除。突袭服务器不在 Cloudflare 保留任何日志。

Night Freight 的提醒在你允许之前默认关闭。提醒你突袭即将结束的通知以及每日挑战的提醒是在手机本地设置的，不会发送任何内容。开启突袭提醒后，你手机的推送令牌（Apple 或 Google 提供的、让通知能送达这部手机的代码）、语言和时区会随突袭席位一起保存，并随突袭一起删除，以便在轮到你行动或盟友已行动时，突袭服务器可以通知你。开启赛季提醒后，推送令牌、语言和主题会由我们位于欧盟的账号服务保存，不与你的账号关联；你关闭该提醒时，或游戏最后一次使用后 120 天，这些数据会被删除。通知只包含一段简短文字，不含任何个人信息。通知由 Apple（iPhone）或 Google（Android，通过 Firebase Cloud Messaging）送达。

Chime Walk 的新区域通知在你同意之前默认关闭（游戏会在第一个区域之后询问一次），你也可以在“设置”中开启。开启后，你手机的推送令牌、语言和主题会由我们位于欧盟的账号服务保存，不与你的账号关联，以便在更新带来新区域时向你发送一条通知。你关闭该通知时、Apple 或 Google 告知我们令牌已失效时，或游戏最后一次使用后 120 天，这些数据会被删除。通知只包含一段简短文字，不含任何个人信息。通知由 Apple（iPhone）或 Google（Android，通过 Firebase Cloud Messaging）送达。

购买

所有游戏都完全免费。可选购买的物品仅限外观或不提供任何游戏优势的物品（包括房间装饰）；我们不出售任何游戏玩法。在提供购买的游戏中，由 Apple、Google 或相应的商店处理付款；我们从不接收银行卡信息。为了验证和恢复所有权，我们位于欧盟的购买服务会保存你的账号 ID、游戏、商品、外观权益、商店交易编号或购买令牌、测试/正式环境状态、购买状态和时间。我们会把该编号和一个不透明的账号标识发送给 Apple 或 Google，以进行验证和核查退款。原始购买编号不包含在你的数据导出中，也不会写入日志。删除账号会移除所有权和原始购买记录，只保留购买编号和账号 ID 的单向哈希值，用于防止重复使用以及与删除操作冲突的写入。当前版本无法自动把已删除账号的购买转移或恢复到新创建的账号；如果你的账号有购买记录，请在删除前联系我们。

支持者、赛季徽章和致谢名单

如果你购买了某款游戏的支持者礼包，你在该游戏排行榜上的名字会以金色显示，并带有支持者徽章；如果你购买了赛季礼包，在赛季进行期间，你的记录会带有该赛季的徽章。由于这是公开记录的一部分，所有能看到排行榜的人都能看到。为此，我们的购买服务会告诉排行榜服务哪些假名玩家代码拥有支持者礼包或赛季礼包，以及购买时间。在游戏中，你还可以选择是否在游戏的致谢名单中显示你的名字，位于“支持者”或对应赛季名下。该选项在你开启之前默认关闭，你也可以随时在游戏设置中关闭；致谢名单只显示你公开的排行榜名称（在 Harrowfall 中，是你最后一次参加排位赛时使用的名称），不显示其他任何内容。你的选择会与你的购买记录一起保存在欧盟境内，包含在你的数据导出中，并随账号一并删除。退款后，徽章、金色名字和致谢名单中的条目都会被移除。

5. 反馈

你可以在游戏中向我们发送错误报告或建议。在提供该功能的游戏中，你需要登录，以免服务被垃圾信息淹没。发送前，表单会显示随报告一起发送的内容。

报告包含的内容

• 你写的内容、你选择的类别，以及（如果你填写）问题的严重程度。
• 你账号的电子邮箱地址，以便我们向你询问详情，除非你开启了匿名发送。即使匿名发送，报告在后台仍会关联到你的账号，但仅用于执行频率限制以及在你要求时删除报告；阅读报告的人看到的是“匿名”。
• 技术信息：游戏及其版本、平台、你当时是否在对局中、游戏设置、帧率、游戏最近的错误信息（已过滤电子邮箱地址和令牌）、你的语言，以及你的设备信息：操作系统和浏览器版本、显卡芯片、处理器核心数、内存、屏幕和网络连接。匿名发送时，设备信息会被简化为粗略的类别，并且不包含你的语言和完整的浏览器信息。
• 对局或关卡的存档（如果游戏提供）。可以关闭。存档中可能包含其中玩家的名字，即使你选择匿名发送也是如此。
• 截图（仅当你添加时）。

如果你处于离线状态，未发送的报告会保存在你的设备上，在你重新联网后发送。

保存位置、查看者和期限

• 保存在欧盟司法管辖区内的 Cloudflare D1 和 R2 中。
• 只有运营游戏的小团队能够查看，查看需通过一个要求个人登录的非公开网站。
• 截图和存档在 180 天后删除，报告的其余部分在两年后删除。
• 你可以随时在游戏的反馈界面中删除某一份或全部报告。删除账号也会删除这些报告。
• 为限制滥用，我们会按账号和按网络统计报告数量，最多保留一天；网络只以带密钥的单向代码形式保存，从不保存 IP 地址。

GitHub（欧盟境外）

我们在 GitHub（GitHub, Inc.，隶属于 Microsoft）的私有仓库中跟踪游戏开发工作，GitHub 将数据存储在美国。当某份报告需要处理时，我们团队中的成员可能会把它转成一个 GitHub issue。不会自动向 GitHub 发送任何内容。

• issue 中包含报告的内容、类别和严重程度，以及技术信息（版本构建、设备、显卡芯片、浏览器版本、设置、最近的错误），外加一个只有我们团队能打开的链接。
• 其中从不包含你的电子邮箱地址或账号。截图和存档从不复制到 GitHub，它们保留在我们位于欧盟的存储中。
• 团队成员会在创建 issue 前阅读内容，并可以删去部分信息。
• 如果你之后删除了报告，由它创建的 issue 仍会保留。请发送邮件至 [email protected]，我们会从中删除你写的内容。

GitHub 依据其数据保护条款处理这些数据，包括其针对向欧盟境外传输数据的保障措施。

6. 崩溃报告

当游戏崩溃，或遇到无法恢复的错误时，会向我们发送一份崩溃报告，以便我们找到并修复问题。此功能默认开启，你可以随时在游戏设置中通过发送崩溃报告关闭。崩溃报告是匿名的：不需要账号，报告也从不与你的账号关联。

报告包含的内容

• 错误信息，以及错误发生在游戏代码中的位置（堆栈跟踪）。
• 游戏及其版本、平台、操作系统及其版本、设备型号，以及游戏引擎或浏览器的版本。
• 关于你当时在游戏中所处位置的少量信息，例如界面、关卡、模式或回合，以及崩溃前最后发生的几件事（例如“关卡 2-3 已开始”）。从不包含你的名字、电子邮箱地址、消息或你输入的任何内容。
• 如果某个应用意外退出，下次启动时会发送一份相关报告，并附上游戏自身技术日志的末尾部分（如有）。

在保存报告之前，我们的服务器会删除电子邮箱地址、登录令牌、文件夹路径中的用户名（例如 C:\Users\<用户名>）以及网址中的查询部分。无法立即发送的报告会保存在你的设备上，稍后发送。

保存位置、查看者和期限

• 保存在欧盟司法管辖区内的 Cloudflare D1 中。
• 只有运营游戏的小团队能够查看，使用的是与反馈相同的非公开网站。
• 每份报告在 90 天后删除。按日期和游戏版本统计的数量会一直保留，直到该崩溃一年内未再发生，然后同样删除。
• 我们不保存你的 IP 地址。为限制滥用，我们会按网络统计报告数量，最多保留一天，且只以带密钥的单向代码形式保存。
• 当某个崩溃需要处理时，我们团队中的成员可能会把它转成一个 GitHub issue（见上文“GitHub（欧盟境外）”），其中包含错误、堆栈跟踪以及版本和设备信息，从不包含任何能识别你身份的信息。

由于报告不与你关联，我们无法查找“你的”报告来向你展示或删除。如果你认为某份报告中含有个人信息，请发送邮件至 [email protected]，我们会找到并删除它。

7. 我们不做的事

• 没有数据分析、没有广告、没有归因、没有跟踪像素，也不为营销目的建立用户画像。所有游戏中都没有广告、分析、归因或崩溃报告类 SDK。
• 除上文所述、可以关闭的匿名崩溃报告外，不进行任何崩溃或错误上报。崩溃转储文件和游戏引擎自带的崩溃处理程序都只留在设备上。
• 不使用设备标识符或广告标识符。
• 网页游戏加载时不会向任何第三方发出请求：字体和文件都来自我们自己的网站。指向其他网站的链接只有在你点击时才会加载。
• 我们的网站不设置任何 Cookie。我们的托管服务商可能会采取严格必要的安全措施，以保护服务免受攻击。
• 我们不会出售你的数据，也不会把数据提供给任何人用于其自身目的。

8. 代表我们处理数据的服务商

Cloudflare

托管网站，账号、成就、排行榜、反馈和在线对战服务及其数据库和存储，并发送登录邮件。它作为处理者为我们工作。我们存储的数据保存在其欧盟司法管辖区内。与任何网络一样，Cloudflare 会在其遍布全球的数据中心处理你的 IP 地址，以便向你提供游戏。

GitHub

仅用于根据反馈和崩溃报告创建的 issue，如上文所述（美国）。

Apple 和 Google（通知）

仅当你允许 Night Freight 的提醒、Harrowfall 的通知或 Chime Walk 的新区域通知时：Apple 的推送服务（iPhone、iPad）和 Google 的 Firebase Cloud Messaging（Android）会把通知和你设备的推送令牌送达你的设备，这一过程在欧盟境外进行。游戏中不含 Firebase 的任何其他功能。

Google、Apple 和 Valve

如果你通过 Google Play、Apple App Store、Steam 或 Microsoft Store 获取游戏或在其中购买物品，购买、下载、更新和付款适用该商店自己的隐私条款。它们是正式的销售方。我们不会收到你的商店账号或支付信息。

9. 我们使用你的数据的理由（法律依据）

• 为你提供你所要求的服务（履行合同）：你的账号、进度同步、在线对战和排位赛、成就、排行榜以及你的购买。
• 你的同意：你选择发送的反馈，以及你选择的附件。你可以通过删除报告来撤回同意。
• 我们的正当利益：保障服务安全、正常运行（防止滥用的限制），修复你报告的问题和游戏上报的崩溃（你可以通过关闭崩溃报告提出反对），包括上文所述的 GitHub issue，以及统计有多少玩家在玩、有多少人会回来（“统计玩家人数”一节中的活跃日期）。

10. 你的权利

根据 GDPR，你有权：

• 查看我们持有的关于你的个人数据，并获取副本；
• 更正这些数据（你可以在个人资料中修改显示名称）；
• 删除这些数据（你可以在任意游戏中或在 cantorite.com/account/delete 删除你的账号和反馈）；
• 以通用的机器可读格式导出带走这些数据（提供导出功能的游戏中可以使用）；
• 限制我们使用这些数据，或反对我们的使用方式；
• 随时撤回同意，这不影响撤回之前已经进行的处理。

对于无法在游戏中自行完成的事项，例如获取你数据的完整副本，请发送邮件至 [email protected]。我们会在一个月内答复。为了确认是你本人，我们可能会请你用账号的电子邮箱地址确认该请求。

如果你对我们处理数据的方式不满意，可以向荷兰数据保护机构 Autoriteit Persoonsgegevens，或你所居住的欧盟国家的监管机构投诉。我们希望你能先给我们一个与你一起解决问题的机会。

11. 儿童

不注册账号时，只要符合游戏年龄分级的要求，任何年龄都可以游玩。要注册账号或发送反馈，你必须年满 16 周岁，或获得父母或监护人的许可。我们不核实年龄。这些游戏并非面向儿童。如果你认为有儿童在未获得此类许可的情况下向我们提供了个人数据，请发送邮件至 [email protected]，我们会将其删除。

12. 本政策的变更

当某款游戏或服务开始以不同方式处理数据时，我们会更新本页及其日期。如有重要变更，我们也会在游戏中告知你。