隐私政策

我们处理哪些数据、处理目的，以及你享有的权利。

文档版本：2026-10-29 · 1.0.29

数据控制者

Planet Coolkee 服务的数据控制者为 Jakub Netza，以 JAKUBNETZA.COM JAKUB NETZA 名义经营，地址为 ul. Tartaczna 15, 83-050 Kolbudy，波兰，税号 NIP 6040034416，REGON 221130600。如对你的数据有疑问或请求，请联系 support@orivion.studio 或上述邮寄地址。

我们处理的数据

我们处理访客或玩家账号标识符、与 Apple 或 Google 登录关联的标识符、会话数据、你的昵称、设置及所选头像部件。登录服务提供商也可能向我们提供其身份验证确认中包含的信息。我们不会索取你的 Apple 或 Google 密码。

游戏存档包括已完成的阶段、星星、XP、资源、当前棋盘，以及核验结果所需的操作顺序。交易、建造和竞赛涉及报价、交易记录、参与情况、已放置物品及其状态。这些记录也用于解决进度争议，并防止重复结算。

对于购买，我们处理商品和交易标识符、商店确认，以及核验购买、交付购买内容和办理退款所需的信息。完整支付信息由你提供给相应商店，而不是本游戏。

对于广告，我们处理你在游戏中选择的年龄段、隐私设置、所请求奖励的标识符、观看完成确认，以及下一次奖励可用的时间。广告 SDK 可能根据你的选择和提供商政策处理设备数据、标识符及广告信息。

当你使用消息、举报或反馈功能时，我们会处理你提交的内容及其与账号、接收方或所举报事项的关联。反馈附带的诊断信息仅限表单中说明的范围。请勿提供密码、银行卡信息或敏感信息。

好友功能会保存邀请码、好友请求和已接受的好友关系。Echo 从一开始就显示昵称，并要求双方同意后才能聊天。完整个人资料的分享为可选项，且可以撤销。我们保存消息、已读标记、分享设置、举报和审核决定。星球坐标指的是游戏中的虚拟地图位置。

在线服务还会处理技术信息，例如 IP 地址、请求标识符、应用版本和平台、错误信息，以及用于限制滥用的假名化信息。

对决 · 1.0.29

对决（自 1.0.29 版本起）：我们记录竞技场、对局随机种子、对手、你的操作、结果、入场费及奖励或退款，以便服务器重放对局、进行一次性结算并解决结果争议。你以往的成绩也用于选择电脑对手的强度。玩家挑战包含参与者、展示的个人资料、竞技场和结果。

游戏统计

服务统计（A 层）：我们从为运行游戏而已同步的游玩记录中，汇总已接受的开始次数、完成次数、领取奖励次数和活跃天数。记录使用已有的账号标识符、应用构建版本、平台类别和 UTC 日期；不会加入广告标识符，也不会将玩家撰写的内容复制到这些计数中。这一层不会增加单独的客户端分析事件流。我们还会根据同样的记录，统计按游戏模式、星球和关卡划分的汇总数据（包括胜率、平均星星数和平均游戏时长），以及闯关进度（到达的最远星球）、活动所在的星期几和小时（按华沙时间显示）、游戏会话的大致时长和游戏内操作的类型，例如在你自己的星球上建造。

报告使用账号首次出现在服务联系元数据中的日期；若较早的元数据不可用，则使用新系统首次观察到该账号的日期。这并非经过核实的安装日期。报告仅包含汇总统计数据（例如总数、比例、平均值和分布），不提供针对单个玩家的记录行，且仅供游戏开发者查看。由于本游戏玩家较少，某项统计数据可能只涉及少量账号，甚至只有一个账号。所有者、质量保证和测试账号会根据内部标记和内部排除名单予以排除。

可选使用统计（B 层，自 1.0.29 版本起）默认关闭。如果你选择在设置中启用，游戏会记录预先定义的教程步骤、打开的标签页和商店分类、所提供商品的购买流程阶段，以及奖励广告的提供、开始和完成阶段。这些观察记录本身不能证明购买已发生或广告奖励已发放。它们在收集时会关联已有账号和离线存档环境，并非匿名数据。其中不含广告标识符、IP 地址、昵称、消息内容、收据令牌或自由填写的属性。

年龄未知或属于 13–15 岁年龄段的用户无法启用可选统计。游戏会读取已知的年龄段；若年龄段未知，你可以为分析单独选择一个粗略年龄范围。我们不会询问出生日期。选择年龄段不会启用统计，也不会初始化广告。正常游玩和领取常规游戏奖励不以启用可选统计为条件。

目的与法律依据

我们为履行合同而处理账号、同步、购买及所请求游戏功能所必需的数据。法律义务是处理会计及消费者权利相关必要数据的依据。

服务安全、防范欺诈、处理举报及确立权利请求，可能以数据控制者的合法利益为依据，并兼顾玩家的权利。在需要同意时，我们会以同意为依据，尤其涉及某些广告操作或访问设备标识符时。拒绝可选处理不会阻止基础游戏功能。服务统计（A 层）以我们了解游戏使用情况并改进游戏的合法利益为依据。反对权：你可以随时对这些统计提出反对，最简便的方式是通过“个人资料 → 反馈”提交，这样请求会自动关联你的账号；也可以通过本政策中的联系方式提出。我们记录你的反对后，从下一次每小时更新起，你的账号将不再计入新的统计；此前已生成的汇总数据可能会保留到被删除为止，最长 180 天。为尊重你的反对，我们会将你的账号标识符保存在内部排除名单中，并在账号删除后的下一次每小时更新时将其从名单中移除。

操作和交易核验用于维护游戏公平。如果你对账号限制或奖励被拒绝有异议，可以联系我们要求说明并申请复核。

只有在你明确选择后，我们才会处理可选使用统计；你可以按上述方式撤回该选择。此选择与广告同意相互独立，不改变账号同步、所请求游戏功能或购买所必需的数据处理。

数据可见性与接收方

其他玩家可以看到你通过相应功能和设置分享的信息，例如昵称、头像、等级、公开报价或公开星球。消息面向指定接收方；获授权的支持人员在处理举报或保护服务时可能访问这些消息。你的登录账号、电子邮箱和支付信息不属于公开游戏资料。

我们使用 Cloudflare 提供在线服务和存储游戏数据，使用 Apple 和 Google 处理登录及购买，并使用 Google AdMob 及其同意管理平台提供广告。实际使用的服务取决于你的平台、功能和设置。这些提供商可能根据所提供的服务，作为数据处理者或独立数据控制者。在具有适当法律依据时，信息也可能披露给获授权的顾问或有关机关。

将数据传输至欧洲经济区以外时，需要适当保障，例如充分性决定或标准合同条款。你可以向数据控制者询问某项具体处理所适用的保障措施。

保留与删除

在账号持续保有期间，我们会按所选服务的需要保留进度、资源和账号关联。用于交易结算、重复检测、投诉或权利请求的记录，会按下述期限保留。

游戏会话在你最后一次联网使用游戏后最多保持 365 天有效；每次联网使用都会续期。删除账号会立即结束该账号的所有会话。过期会话记录会在到期 30 天后删除，短期登录验证请求则在到期约一天后删除。普通收件箱消息和反馈提交会在 180 天后删除。Echo 历史记录会按参与者权限保留可见，直至账号删除。结束聊天或拉黑对方会阻止后续联系，但不会自动清除历史。获授权的审核人员可以审查举报。

删除账号时，我们会立即在同一次服务器操作中删除你的昵称、头像和个人资料、登录关联与会话、云存档和进度（包括永夜星系冒险）、金币和物品、星球建筑与装饰、好友、Echo 聊天、你发送或收到的收件箱消息、反馈、你的举报和拉黑记录、马拉松对局与成绩、对决数据（包含操作及结果的对局、入场费、奖励与退款、入账凭证、你发出或收到的挑战、挑战设置和教程记录）、与账号关联的游戏统计记录（包括可选统计的选择和事件），以及奖励历史。正在进行的市场报价会撤下，你的星球会转为私密并重命名为“星球”。如果你与另一位玩家之间支付入场费的对决挑战尚未分出结果，但对方的对局已经到达服务器，我们会退还对方的入场费。

保留的数据会经过假名化处理，仅关联随机账号 ID，不包含你的昵称、头像或登录数据。购买记录（商店交易 ID、商品、金额和日期）最多保留至购买当年结束后的 5 年，用于投诉、退款、商店结算和会计处理，并防止同一笔购买被重复使用。删除标记（随机 ID 及账号创建和删除日期）用于阻止再次使用该账号及其购买，保留至删除当年结束后的 5 年。与该 ID 关联的技术性游戏记录也会保留相同期限，例如空钱包、公共地图上的私密星球，以及星球、市场和竞赛操作日志；这些日志可能包含你输入过的星球名称。不含你姓名的记录可能保留在其他玩家的共享历史中：竞赛结果仍可能以没有姓名或头像的“玩家”显示，历史马拉松领奖台不显示姓名，而已完成的市场交易，以及其他玩家提交的举报或拉黑记录，也可能继续保留在其记录中。

如果账号使用过“通过 Apple 登录”，我们会请求 Apple 撤销应用的访问权限。在 Apple 确认之前，我们只保留该请求所需的加密登录令牌和 Apple 用户标识符，随后将其删除。用于按时间点恢复数据库的备份（Cloudflare D1）最多保留 30 天，不会用作活跃个人资料。在重大服务器更新前，我们也可能制作数据库维护副本；这些副本仅由开发者离线保存，并在 90 天内删除。

卸载应用会删除设备上保存的游戏数据，但不会删除服务器上的账号。在构建版本 79 及之后的版本中，访客和已绑定账号均可使用“个人资料 → 账号 → 删除账号”，需要联网。在应用内删除账号也会移除该设备上的账号存档及其备份。旧版本的访客可以通过“个人资料 → 反馈”发送请求，该请求会自动关联账号；也可自愿在“个人资料 → 账号 → 保护游戏进度”中绑定 Apple 或 Google 后，再使用删除账号功能。你还可以通过电子邮件申请删除。通过反馈或邮件提交的删除请求会在 30 天内处理。

重置游戏进度不会删除账号、好友或聊天。删除账号是位于“个人资料 → 账号 → 删除账号”的单独操作。你也可以向 support@orivion.studio 提交请求。

对决保留期限：最终决定作出 30 天后，操作记录会在定期清理时删除；结果与服务器重放不符时，该期限为 90 天。最终对局摘要会在 180 天后删除。已关闭挑战在创建 180 天后，且不再有尚未解决的对局依赖它时，才可被清理。尚未解决的核验或奖励记录会保留到能够结算；已确认的胜利不会仅因暂停派发而被取消。待核验状态持续 90 天仍未解决时，会按服务器的超时及退款规则处理。

账号存在期间，会保留单独的最小化入账凭证，其中包含账号和对局标识符、重置代次标识、金币与 XP 数量，以及入账时间。不包含操作记录、对手资料或消息内容。它用于防止重复入账，并在完整对局记录过期后设备才同步时，保留已经获得的奖励。删除账号会同时删除此凭证，以及对决对局、挑战、设置和教程记录。

分析数据保留期限：本地可选事件队列独立于进度日志，最多容纳 128 个事件或 64 KiB，并会清除超过 7 天的事件。服务器上的可选事件会在收到 90 天后通过限量定期清理移除；由服务记录汇总的计数行则在观察到 180 天后移除。首次观察分组和小型对账游标会在账号存在期间保留。关闭同意后的记录仅保留拒绝延迟到达的旧启用请求所需的控制信息；原本符合条件的年龄段会被替换为未知。每日配额计数覆盖当前 UTC 日及此前两日。删除账号会移除所有这些分析记录。除排除名单（反对请求以及质量保证和测试账号）和已排除账号的假名化标记外，内部统计面板仅保存汇总统计数据，不含针对个别玩家的记录行，保存期最长 180 天；不含玩家数据的技术任务日志最长保存 90 天。该面板仅供游戏开发者查看，绝不显示玩家名单、玩家标识符或昵称。

存档快照清理：未被引用的分片快照，只有在相关访问或发布后的 30 天宽限期结束，并再经过 7 天未被引用的隔离期后，才会被考虑清理。删除时会再次检查引用关系及读写租约。当前存档、恢复分支（包括已关闭的分支）和待验证内容仍受保护。当前重置代次的凭证不会仅因时间而过期；较早重置代次的凭证只有在 90 天后，且没有待处理操作或需保留的证明依赖它们时，才会被考虑清理。这些是安全时间窗口，并不保证每份快照都恰好在第 37 天消失。

你的权利

根据法律依据和具体情况，你享有访问、更正、删除、限制处理、数据可携带及反对处理的权利。你可以撤回同意，而不影响此前处理的合法性。你还可以向适当的监管机构投诉；在波兰，该机构为个人数据保护局（UODO）局长。

请通过数据控制者的联系方式提交请求。我们可能需要进行与请求相称的身份验证。通常会在一个月内回复，但法律允许的延期情形除外。当相关机制启用时，你可以通过隐私设置更改广告选择。

你可以随时在设置中撤回对可选统计的同意。游戏会立即停止收集，并删除此设备上的排队事件。在联网且登录同一账号后，游戏还会请求删除服务器上属于该离线上下文的可选事件。离线撤回会在恢复连接后发送。切换账号或重置会使本地选择和待发送队列失效；合并账号也会使服务器端同意失效。之后需要重新选择，一个账号的待发送事件绝不会以另一个账号的身份提交。

未成年人

本游戏面向年满 13 岁的人群。我们会限制向较年幼青少年展示的广告，并且在他们无法有效作出同意的情况下，不会依赖其同意提供个性化广告。年满 13 岁不等于免除所在国家对父母或监护人授权的要求。如果你发现儿童在未获得必要授权的情况下使用服务，请联系我们，以便调查并在需要时删除数据。