草垛寻针 2 隐私政策

最后更新：2026-11-11 · 使用条款

本页面为方便阅读而提供的译文。仅德语版本具有法律约束力。

1. 责任方

应用“草垛寻针 2”中数据处理的责任方为 BRUNIQO, Alessandro Brüning, Katharina-Bräckeler-Straße 4a, 41462 Neuss, Germany（德国）。电子邮件：support@bruniqo.de。更多信息请见法律声明（Impressum）。

本政策适用于 iOS 应用“草垛寻针 2”（德语名称：Nadel im Heuhaufen 2）及其游戏服务器。访问本网站时，适用网站隐私政策。

本政策同样适用于 Google Play 上的 Android 应用“Nadel im Heuhaufen”。Android 上的不同之处（通过 Google 或 Apple 登录、通过 Google Play 购买、用于广告的广告 ID）见第 14 节。

2. 概述

你无需“通过 Apple 登录”即可单人游玩；你的存档保存在你的设备上，但游玩时需要连接到我们的游戏服务器。共享农场、在线账户恢复、账户点数购买以及激励视频点数领取，需要使用相应的在线服务。本地游戏资金与在线账户点数是相互独立的余额。

Unity LevelPlay 对集成的 ironSource Ads、Unity Ads 和 Liftoff Monetize (Vungle) 广告网络的广告进行聚合投放。应用内的个性化广告选择与 iOS 跟踪权限相互独立（第 6 节）。我们不使用独立的第三方游戏分析服务；广告 SDK 会为广告分析而处理数据。我们使用错误报告服务 Sentry 记录应用和游戏服务器中的崩溃和错误，以便修复；为此，应用还会报告每次使用的开始和结束（第 7 节）。应用不会请求 GPS 定位，也不会访问通讯录、相机或麦克风。仅当你想在自愿反馈中附上截图时，系统选择器才会把你明确选择的图片传递给应用；这不会请求访问你的整个照片图库。

2.1 自愿反馈

你可以通过“账号与点数”中的“发送反馈”或在线账户区域报告错误或提出改进建议，未登录时同样可以。只有当你点击“发送”时，应用才会向我们的游戏服务器传输所选类别、你的描述、应用语言、发送前显示的应用版本、构建号、平台和操作系统版本，以及（如已提供）你可选填的回复电子邮件地址和你选择的图片。服务器会将该消息以电子邮件形式转发至 feedback@bruniqo.de，该地址指向支持邮箱 support@bruniqo.de。回复电子邮件地址并非必填；如果不提供，我们将无法通过这种方式回复你。截图绝不会被自动截取。发送前请检查所选图片是否包含私人信息和他人的数据。这种自愿反馈与第 7 节中自动发送的 Sentry 崩溃和错误报告是相互独立的数据流。

为避免重复尝试多次发送同一条消息，游戏服务器会将一个随机请求 ID 连同状态和时间保存 24 小时。这张技术性发送记录表不包含描述、电子邮件地址或图片。这 24 小时仅适用于该技术性发送回执，不适用于支持邮箱中收到的电子邮件内容。

3. 通过 Apple 登录

如果你想使用在线账户，请通过“通过 Apple 登录”进行登录。应用不会向 Apple 请求你的姓名或电子邮件地址。我们的服务器直接与 Apple 核实登录，并向 Apple 兑换一次性授权码。

我们不会以明文保存 Apple 提供的用户标识符，而只保存使用密钥（HMAC）派生出的不可逆校验值。该校验值对应一个随机生成的内部账户标识符。我们还会以加密形式保存 Apple 签发的刷新令牌，以便在你删除账户时向 Apple 撤销与你的 Apple 账户的关联。

登录后，应用会收到一个随机会话令牌，保存在你设备的钥匙串中。在服务器上，我们只保存它的哈希值。会话最长有效 30 天；“退出登录”会立即结束会话。如果你在另一台设备上登录，在你确认后，之前的会话将结束。

4. 玩家档案和游戏进度

对于你的账户，我们会保存你的显示名称（默认为“Spieler”）、你的角色外观、等级和经验值等游戏数值、你的个人点数、永久获得的工具，以及你当前和最近访问过的农场。

本地单人存档保留在你的设备上。对于每个在线农场，服务器会保存游戏状态，例如挖掘进度、已建成的设施和机器、农场的资金、研究、装备和保留期限。游戏状态由游戏操作日志生成，该日志记录了哪个玩家账户执行了哪项操作。

当你在某个农场中游玩时，该农场的其他成员可以看到你的显示名称、你的角色外观、其在游戏世界中的位置和活动，以及你发送的快捷聊天消息。这也适用于有你不认识的玩家加入的公开同伴队伍。快捷聊天消息是预设短语；无法发送自由文本、语音消息或图片。位置是虚拟游戏世界中的坐标，而不是你设备的所在位置。

已登录账户的使用统计。如果你的账户已登录，我们会为其连接过我们服务器的每个日历日（UTC）记录一个日期标记，并同时记录平台（iOS 或 Android）。对于新账户，我们还会保存账户创建日期和平台。我们仅将其用于汇总数据，例如有多少账户处于活跃状态，以及有多少账户在 1 天、7 天和 30 天后回访。不包含一天中的具体时间、游戏内容、位置和设备详情。日期标记最多在 31 天后删除，创建日期在 32 天后删除；在账户删除或提出异议时，二者均立即删除。没有账户的玩家不会获得日期标记；下一段介绍应用的匿名游戏统计。

应用的匿名游戏统计。为了让我们能够有针对性地改进游戏，并经济地开展为游戏提供资金的广告，应用会在你的设备上进行计数（即使你在没有账户的情况下游玩也是如此），并大约每天一次或在应用切换到后台时，向我们自己的游戏服务器发送按日汇总的计数器。计数内容包括：会话的次数及其持续时长（仅按区间，例如“1 至 5 分钟”）、游戏分钟数、会话开始时所在的四小时时段（UTC）、加载所用的时长、会话结束时所在的界面、自安装以来已过去的天数（按区间）以及应用是否在 1 天、7 天或 30 天后再次被打开、首次达成过哪些初始步骤、打开了哪些菜单以及执行了哪些游戏操作（例如所建造机器的类型、研究领域、回合结束及其时长区间）、商店中的步骤（打开、开始购买、完成或取消，不含商品）、按区间计的同伴规模，以及按区间计的技术详情（按内存划分的设备等级、帧时间、内存警告、游戏视图的重启、操作系统主版本、应用语言、连接中断）。对于广告，应用按格式、广告位和广告网络统计：广告被加载、不可用或展示的次数，加载所用的时长（按区间），由广告 SDK 报告的每条广告预估收入的每日总和（国家仅以粗略的国家组表示），每个会话中出现了多少条广告，以及会话是否在全屏广告后不久结束；此外还统计 iOS 跟踪许可和广告选择的分布情况，以及免广告是否已启用或已购买。每个计数器仅附带平台、应用构建号、日历日（UTC），并在适用时附带“访客”或“账户”，但不含设备、安装、账户或广告 ID，不含确切时间，也不含单个事件。每次上传都带有一个独立的随机数，以便在连接中断后重复进行的上传不会被重复计数；该随机数每次上传都会重新生成，不指明任何设备，并最多在九天后删除。服务器会检查每个值，丢弃未知的值，并仅保存按平台和构建号计的每日总和。如果你已登录并已对使用统计提出异议（第 12 节），应用不会统计或发送上述任何内容，并会丢弃尚未发送的内容；在游戏服务器于启动后确认你的异议状态之前，所有内容都保留在你的设备上。发送时，出于技术原因会传输你的 IP 地址；它仅被短暂处理以防止滥用（第 7 节）。

内部玩家档案。为了让我们能够根据实际的游戏过程改进价格、优惠、广告位和游戏平衡，尤其是在购买和广告方面，我们在自己的游戏服务器上为每个账户保存一份内部玩家档案。它与上文所述的你账户的游戏数据相互分开，不会在游戏中显示，即使对你也不显示。该档案由一份事件记录（包含日期和精确到分钟的时间）以及据此计算出的指标组成。服务器会记录其自行入账或核实的内容：登录、点数包的购买（点数包、点数、标价和币种、商店，以及任何首购奖励或优惠奖励）、退款和冲销、每一次点数花费及其类型（例如增益、工具、天赋点或永久机器）、价格以及你的两项余额（购买的点数和广告点数）在花费前后的数值、其他点数发放、激励视频（已预留、已取消、经广告网络确认以及已入账）、已接受和已过期的优惠、在在线农场中完成的回合及其结果（找到针或农场被重置），以及通过手工、机器或采矿离开草垛的稻草所占的比例、无效的奖励码，以及你在线游玩的日期和一天中的时段。首次创建档案时，服务器会一次性地用你账户已有的入账记录补充事件记录。此外，应用每天会为你的账户发送一份包含固定计数器的每日报告：已展示和已打开的优惠、按格式和广告位划分的广告展示次数、因广告频次控制而未展示的广告、提供的激励视频、由广告 SDK 报告的预估广告收入的每日总和、游戏分钟数（独自游玩、在自己的农场中或在他人的农场中）、iOS 跟踪权限和你的广告选择的状态、应用语言、粗略的国家组以及应用构建号。服务器还会将应用在单人农场中一个回合结束时发送的回合报告作为每日计数器接收（回合数以及按同样划分的稻草比例）。我们将这些值标记为设备报告的数据；服务器会根据固定的列表和上限对其进行检查，丢弃未知的值，并且绝不将其用于余额、购买或点数发放。服务器根据上述所有数据计算各项指标，例如每位玩家的收入、距首次购买的时间以及分类，例如按购买、广告和游玩行为分类，其中包括游玩风格（主要靠手工、机器或采矿）。该档案以一个简短代码保存，该代码由服务器使用密钥（HMAC）从你的账户 ID 派生而来；档案中不包含账户、交易、安装或广告 ID，不包含 IP 地址、精确位置，也不包含自由文本。如果你在没有账户的情况下游玩并观看激励视频，你的应用会从服务器获得一个随机访客标识符，服务器只保存其哈希值；服务器以同样的方式为其保存一份访客档案，在你登录时该访客档案会并入你账户的档案。只有我们作为运营方才能通过受保护的运营方访问途径访问该档案；显示单个档案的分析仅限内部使用，我们既不向第三方也不向广告网络提供该档案。如果你已对使用统计提出异议（第 12 节），则不会创建档案。

5. 通过 Apple 购买点数

你通过 Apple 的应用内购买来购买包含 50、100、500 或 1,000 点数的点数包。支付完全由 Apple 处理；我们不会收到任何支付或银行卡数据。

购买时，应用会向 Apple 传递一个与你的游戏账户关联的随机购买标识符，以便将该购买计入你的账户。我们的服务器会核实 Apple 签名的交易，并将点数恰好入账一次。对于每笔购买，我们会保存交易编号、产品、入账的点数以及任何退款状态。Apple 会就退款通知我们的服务器；已退款的点数将从你的余额中扣除。如果由于已退款的点数此前已被花掉，导致你的余额低于零，则在你购买价值为负数金额两倍的点数之前，游玩、工具、解锁、无广告和与他人一起游玩将被限制；你购买的每一点数都会计入你的账户（使用条款，第 3 条）。你的账户、点数购买、账户删除和反馈仍然可用。为此，我们会将未结金额、仍缺少的点数以及哪些购买已计入其中与你的账户一并保存。如果你的账户在登录时或开始游玩时触发该限制，我们的运营方每天最多会收到一条消息，其中包含一个简短代码（化名），而不是你的账户标识符、你的等级、这些金额和时间（依据 GDPR 第 6 条第 1 款 f 项，用于主张我们的债权）。

就退款申请向 Apple 提供的信息。如果你向 Apple 申请退款，Apple 可能会向我们询问消耗情况。仅当你在购买时同意了购买按钮下方的文字，我们的服务器才会向 Apple 提供以下信息：点数是否已交付、已购买点数中已被花掉的比例、游戏无需购买即可游玩，以及我们的退款建议。除交易编号外，我们不会发送姓名、游戏状态或其他标识符。未经你同意，我们不会答复 Apple。我们会在你的账户中保存你是否同意、何时（服务器时间）同意以及同意的文本版本；你可以随时在“账户”下撤回同意，待答复的请求随后将被丢弃。法律依据是你的同意（GDPR 第 6 条第 1 款 a 项）。

首购记录清单。在面向首次购买者的优惠中，点数包首次购买的奖励只应发放一次，即使有人创建了新账户也是如此。为此，在通过 Apple 或 Google Play 购买后，我们的服务器会以使用密钥（HMAC）派生出的不可逆校验值记录已发生过购买：一个由你账户的登录标识符生成；对于通过 Apple 进行的购买，另一个由 Apple 为本游戏分配给你的 App Store 账户的标识符（appTransactionId）生成。Google Play 不提供此类标识符；因此在那里只使用登录标识符。我们随每个校验值只保存一个月份：最后一次购买的月份，或在我们不知道该月份时，创建该条目的月份。为此，我们不会保存你的姓名、电子邮件地址或任何明文标识符。条目会在该月份结束后 25 个月删除；在此之前，即使你删除账户，条目也会保留，否则就可以通过删除账户并新建账户再次获得奖励。法律依据是我们保护优惠免遭滥用的合法利益（GDPR 第 6 条第 1 款 f 项）。我们不会将这些条目提供给第三方。

你还可以通过观看可选的激励视频获得点数（第 6 节）。点数还用于支付与他人一起游玩的一次性解锁，即向访客开放你的农场以及加入其他玩家的农场。私人世界仍然免费。只有我们的服务器才会核对价格和你的余额。

6. 广告与跟踪

片头动画结束后，应用会通过 Unity LevelPlay 展示横幅广告、在游戏自然间歇偶尔展示的全屏广告以及可选的激励视频。片头动画期间不会展示全屏广告。仅在以下时点才可能展示全屏广告：一轮结束后、研究完成后、建造完成后、出售后、订单完成后、你关闭商店或账户并返回游戏时、你从菜单或离线游戏返回时、你离开农场时，以及应用在后台停留至少一分钟后你返回应用时。活跃游玩期间不会被全屏广告打断。默认设置为：安装后的第一个全屏广告最早在活跃游玩三分钟后出现，之后两个全屏广告之间至少间隔五分钟的活跃游玩，每小时最多四个全屏广告。游戏服务器会在固定限度内设定这些数值（第一个广告最早在一到三十分钟后出现，间隔二到六十分钟，每小时一到十二个全屏广告）；如我们更改这些数值，将更新本文本。激励视频只有在你自己点击时才会开始。广告网络为 Unity Technologies 的 Unity LevelPlay（原 ironSource）；通过 LevelPlay 聚合，可能会投放来自其他广告合作伙伴的广告。

ironSource Ads、Unity Ads 和 Liftoff Monetize (Vungle) 通过 Unity LevelPlay 集成。Unity 和 Liftoff 可能依据各自的条款在欧盟境外（包括美国）处理数据。其Unity 隐私政策和 Liftoff 隐私政策说明了责任归属、接收方、保存期限、数据传输以及数据保护权利。

视已安装的应用版本和已启用的广告配置而定，Chartboost LLC（LoopMe 集团的一部分）还可能通过 Unity LevelPlay 提供插屏广告。这可能涉及处理 IP 地址、设备和应用信息、可用的广告标识符，以及广告展示和互动数据。你在应用和操作系统中的广告与跟踪选择继续适用。有关数据处理、接收方、数据传输和隐私权利的详细信息，请见 Chartboost/LoopMe 隐私声明。

应用启动时首先显示片头动画。片头动画结束或被跳过之后、广告 SDK 启动之前，你需要在应用内明确选择个性化广告或非个性化广告。此前授予的 iOS 跟踪权限不能替代这一选择。只有在你选择个性化广告之后，应用才会在需要时另行请求 iOS 应用跟踪透明度（ATT）权限。仅当你在应用内同意且 ATT 当前允许时，才会启用个性化。如果你选择非个性化广告或拒绝 ATT 权限，应用会将这些限制传递给广告 SDK；没有 ATT 权限时无法获取 IDFA。非个性化广告并不意味着不处理任何数据。

你可以在应用设置中撤回同意，对未来的处理生效，也可以在“设置”→“隐私与安全性”→“跟踪”下更改 iOS 权限。返回应用时，应用会再次检查权限、更新广告设置，并丢弃尚未展示的缓存广告。正在展示的全屏广告可以播放完毕。撤回同意不会锁定游戏玩法，也不会影响已有的购买权益。

Unity LevelPlay 及其集成的广告合作伙伴为投放、衡量和结算广告以及防范欺诈而处理数据，包括 IP 地址、设备型号、操作系统、语言、设备或安装标识符，以及广告浏览和点击。Liftoff Monetize (Vungle) 还明确列出了粗略位置、设备标识符、广告数据、产品交互、技术性能数据和 ATT 状态，用于第三方广告和广告分析。粗略位置可由 IP 地址推导得出；应用不会请求 GPS 定位。在允许跟踪时，还包括 IDFA 以及与来自其他应用或公司的数据之间的被允许的关联。设备和安装标识符是假名化的，而非匿名的。

激励视频：激励视频是可选的，领取点数需要在线账户。视频开始前，服务器会显示其奖励和剩余额度；当前政策为每次一点数，且在 24 小时内最多可有十次已预留或已完成的合格观看。如果广告未能开始，其预留将被释放。只有在服务器回调验证通过后才会发放点数；延迟的确认可能稍后到达。

广告 SDK 会收到一个保存在设备钥匙串中的随机安装标识符，而不是 Apple 标识符或登录令牌。一个不透明的一次性预留标识符将广告观看与我们服务器上发起请求的账户关联起来。奖励记录是私有的。已处理事件的哈希值在账户删除后可能在不与账户关联的情况下保留，以防止重复发放奖励。

广告位的测试变体。为比较广告位，应用可能会将某次安装分配到一个测试变体。为此，应用会一次性生成一个 0 到 99 之间的随机数并保存在你的设备上；在从我们的游戏服务器获取广告设置时，只传输这个数字。该数字不是标识符：许多安装共用同一个数字，应用也不会为此创建或发送任何设备、安装、账户或广告 ID。变体只会改变应用传递给 LevelPlay 的广告位内部名称，从而在上述限制范围内改变选择哪些全屏广告以及它们出现的频率。为此不会收集任何额外数据。

可选的广告衡量（仅限 iOS）。一旦应用提供该功能，你可以在“账户”下开启可选设置“自愿帮助改进广告”。在你开启之前它是关闭的，并且独立于你对个性化广告的选择。只有当你开启它时，应用才会创建一个单独的随机衡量标识符。它只保存在这台设备的钥匙串中，不与你的账户、显示名称、Apple ID 或广告标识符（IDFA）关联。应用会使用该标识符向我们自己的游戏服务器发送：应用构建号、你使用应用的时间点（每分钟最多一条记录）、本可展示广告的游戏间歇，以及广告是否展示及展示或未展示的原因、已展示广告的格式和广告位，以及（在 LevelPlay 向应用报告的情况下）每次广告的收入、投放广告的网络和国家/地区，还有激励视频是否被提供、开始、完成并入账。为此我们不保存账户数据或 IP 地址。如果你已登录并且已对使用统计提出异议，应用不会发送任何衡量数据。

目的是衡量广告的变现效果并测试广告频率。测试期间，你的安装可能被随机分配到一个组，该组在相同时点看到全屏广告的次数更少、间隔不同或来自不同的广告合作伙伴。上述限制（默认每小时最多四个全屏广告，服务器端最多十二个）以及仅限现有游戏间歇的限制适用于每个组。我们不会与广告合作伙伴或其他第三方共享衡量数据。

如果你关闭该设置，数据收集会立即停止，应用会在下次连接到服务器时删除与你的衡量标识符关联的所有数据；在此之前，应用会显示“待删除”。

匿名广告使用计数器。为了让我们了解同意对话框、广告间歇和激励视频是否按预期运行，应用会向我们自己的游戏服务器发送按日汇总的计数器：广告同意对话框和 iOS 应用跟踪透明度对话框显示了多少次、每种选择各做出了多少次，广告间歇被请求、因无可用广告或因频率限制而跳过、展示或因错误而结束的次数，激励视频被提供、开始和完成的次数，以及应用在后台停留较长时间后被重新打开的次数，每种情况在适用时均附有广告位名称。其他仅有的信息是平台（iOS 或 Android）、应用构建号和日历日（UTC）。计数器不包含设备、安装、账户或广告标识符（IDFA 或 Android 广告 ID），也不含一天中的具体时间；服务器按日、平台和构建号对其进行汇总。发送时，出于技术原因会传输你的 IP 地址；游戏服务器仅在内存中短暂处理它以防止滥用（第 7 节），且不会保存。由于这些计数器无法归属于任何个人，因此没有针对它们的单独设置；我们在此说明，是为了让你知道应用发送了什么。

7. 技术连接数据和设备

每次连接到游戏服务器时，都会在技术上传输你的 IP 地址。游戏服务器仅在内存中使用它，以限制每个地址的请求数，从而抵御滥用和过载。它不会将其保存到游戏数据库中，也不会将其与你的账户关联。对于可选广告衡量的注册、衡量事件、匿名广告使用计数器（第 6 节）和匿名游戏统计（第 4 节），游戏服务器还会按网络（即每个 IPv4 地址，或对于 IPv6 为每个 /64 前缀）和日历日（UTC）统计请求数，使用计数器的上传还按小时统计。统计所用的键是网络的加盐哈希：它由游戏服务器每次启动时新生成的随机值构成，并且与该随机值一样仅保存在内存中。不保存任何地址。对于广告衡量的注册，游戏服务器还会在该统计键之下，为当前日历日保存已注册衡量标识符的哈希值（SHA-256，未加盐），使同一衡量标识符的重复注册只计一次；该值同样仅保存在内存中，并且不会用于新的日历日。应用与服务器之间的连接通过 HTTPS 加密。

应用仅在你设备上其自身的存储区域中保存自己的技术性能日志。它不会传输给我们。这与广告 SDK 按第 6 节所述处理的性能数据以及崩溃和错误报告中的技术细节（见下文）是分开的。

崩溃和错误报告（Sentry）。为了发现并修复应用和游戏服务器中的崩溃和错误，我们使用 Sentry 服务（第 10 节）。仅当应用崩溃、停止响应或发生技术错误时，应用才会发送报告。报告包含堆栈跟踪（错误发生时程序的哪些部分处于活动状态）、错误消息、错误发生前最后的技术事件（例如应用启动、屏幕切换或进入后台）、应用版本和构建号、操作系统版本、设备型号、更多技术性设备详情（如语言设置、时区、可用存储空间和电池电量）、内存和游戏视图（WebView）的状态、设备的图形能力，以及你是单人游玩还是在线游玩。加入码和奖励码、访问令牌、电子邮件地址及类似标识符在发送前会被屏蔽。

为了让我们了解某个应用版本是否比之前的版本崩溃更频繁并能迅速修复错误，应用还会在每次使用开始和结束时发送一份会话报告，其中包含应用版本、状态（例如正常结束或崩溃）和一个随机生成的安装编号。即使你在没有账户的情况下游玩，这同样适用；这些报告不属于第 4 节中的使用统计。安装编号仅用于确定每个应用版本的崩溃率。它是一个独立的编号，不是提供给广告 SDK 的安装标识符（第 6 节）。Sentry 仅以哈希形式保存它；它不与你的账户、显示名称、广告标识符或 IP 地址关联。安装编号、限制每日报告数量的计数器，以及在发送之前尚无法发送的报告和会话报告（例如崩溃后或没有网络连接时），都保存在你的设备上；删除应用即可将它们一并删除。

游戏服务器也会向 Sentry 报告其错误，包含错误消息、堆栈跟踪和服务器环境的详细信息，但不包含请求内容、IP 地址或账户数据。从应用发送时，会在技术上传输你的 IP 地址；Sentry 不会保存它。这些报告不用于跟踪或广告；我们不会据此创建用户画像，也不进行屏幕录制。Sentry 最迟在 90 天后自动删除报告和会话报告。

8. 保存期限

9. 删除你的账户

你可以随时在应用中通过“删除账户”删除你的账户，然后通过 Apple 确认你的身份。从设备上删除应用不会删除你的账户。账户删除会产生以下结果：

10. 接收方和托管

BRUNIQO 自行运营游戏服务器，该服务器租用自 Hetzner Online GmbH（Industriestr. 25, 91710 Gunzenhausen，德国）。托管所需的数据中心和服务器硬件均由该公司提供。

我们使用 Apple 的服务进行登录、应用内购买和退款通知。Apple 依据其自身的隐私政策处理数据，并且根据其基础设施也可能在欧盟境外处理数据。

对于崩溃和错误报告（第 7 节），我们使用 Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA（美国）作为 GDPR 第 28 条规定的处理者。Sentry 将报告和会话报告存储在欧盟（德国法兰克福）。Sentry 在欧盟境外的美国处理我们 Sentry 账户的管理数据，例如组织、项目和用户账户的详细信息。由于 Sentry 是一家美国公司，不能排除来自美国的访问，例如在提供支持的过程中。对于向美国的传输，我们依据欧盟委员会关于欧盟-美国数据隐私框架的充分性决定（Sentry 已获该框架认证），并同时依据 Sentry 数据处理协议中的欧盟标准合同条款作为替代。

Unity LevelPlay、Unity Ads 和 Liftoff Monetize (Vungle) 被集成用于广告和激励视频。第 6 节说明了它们的数据处理，包括广告分析。

11. 法律依据

我们处理你的账户、游戏运行、多人功能、点数购买和账户删除，是为了履行使用合同（GDPR 第 6 条第 1 款 b 项）。按 IP 地址限制请求以及在账户删除后保留购买残留数据，是基于我们在安全运营和正确处理退款方面的合法利益（GDPR 第 6 条第 1 款 f 项）。

个性化广告、对广告标识符的访问以及跟踪，基于你的同意（GDPR 第 6 条第 1 款 a 项，TDDDG 第 25 条第 1 款），你可以随时撤回，对未来生效。展示非个性化广告以资助免费游戏，基于我们的合法利益（GDPR 第 6 条第 1 款 f 项）。为激励视频入账是为了履行使用合同（GDPR 第 6 条第 1 款 b 项）。

已登录账户的使用统计：基于我们在可靠运营游戏并有针对性地改进游戏方面的合法利益（GDPR 第 6 条第 1 款 f 项）；仅评估汇总数据。

崩溃和错误报告以及会话报告（Sentry）：基于我们在拥有稳定、安全的应用和可靠的游戏服务器方面的合法利益（GDPR 第 6 条第 1 款 f 项），即发现并修复崩溃和错误。应用未经同意即在你的设备上保存安装编号、报告计数器以及尚未发送的报告和会话报告，并为此读取第 7 节列出的技术性设备详情，因为这对于以稳定、可用的状态提供你正在使用的应用而言是严格必要的（TDDDG 第 25 条第 2 款第 2 项）。

可选的广告衡量，包括在你的设备上保存衡量标识符，基于你的同意（GDPR 第 6 条第 1 款 a 项，TDDDG 第 25 条第 1 款）。你可以随时通过关闭该设置撤回同意，对未来生效。撤回后我们保留哈希值，以落实你的撤回（GDPR 第 6 条第 1 款 c 项和 f 项）。

匿名广告使用计数器：基于我们在保持同意对话框、广告间歇和激励视频正常运行以及经济地开展资助免费游戏的广告方面的合法利益（GDPR 第 6 条第 1 款 f 项）。这些计数器无法归属于任何个人；发送时对 IP 地址的短暂处理用于防止滥用。

应用的匿名游戏统计：基于我们在稳定运行游戏、有针对性地改进游戏以及经济地开展资助免费游戏的广告方面的合法利益（GDPR 第 6 条第 1 款 f 项）。仅对汇总数据进行评估；每日总和无法归属于任何个人。

内部玩家档案：基于我们通过购买和广告经济地运营这款免费游戏、并根据实际的游戏过程改进价格、优惠、广告位和游戏平衡方面的合法利益（GDPR 第 6 条第 1 款 f 项）。该档案经过假名化处理，仅我们作为运营方可以访问，不会被提供给他人，也不会用于个性化广告；你可以随时提出异议（第 12 节）。

12. 你的权利

你享有访问权、更正权、删除权、限制处理权和数据可携带权，以及对基于合法利益的处理提出异议的权利。你也可以向数据保护监管机构投诉，例如北莱茵-威斯特法伦州数据保护和信息自由事务专员（LDI NRW）。请将请求发送至 support@bruniqo.de。

对使用统计提出异议：请写信至 support@bruniqo.de 并附上你的账户 ID（在游戏中的“账户”下，条目“ID”）。我们随后会将你的账户永久排除在统计之外，并删除已有的日期标记和保存的创建日期。从你的应用下一次与游戏服务器联系起，它也不再为你的账户统计或发送匿名游戏统计。由于每日总和不与任何账户关联，我们无法单独删除已发送的计数器。

你对使用统计提出的异议同样适用于内部玩家档案（第 4 节）：我们会立即删除已有的档案及其事件记录，并且不再为你的账户创建档案；此时访客档案会在登录时被删除，而不是被接管。我们在购买和余额方面所需的入账记录不受影响。如果你撤回异议，档案仅从撤回时起重新开始。如你附上账户 ID 向 support@bruniqo.de 提出请求，你将获得访问信息（GDPR 第 15 条），其中包括你的内部玩家档案及其事件记录，即使在我们停止收集之后也是如此。没有账户，我们无法将访客档案归属于任何个人（GDPR 第 11 条第 2 款）。

我们无法将崩溃和错误报告或会话报告归属于任何个人或账户。因此，只有当你向我们提供能让我们找到你的报告的详细信息时，我们才能处理有关个别报告的访问、删除或异议请求（GDPR 第 11 条第 2 款）。

没有你的衡量标识符，我们无法将广告衡量数据归属于个人；关闭该设置会将其删除。对于其他请求，在你提供了能让我们找到相关数据的信息的范围内，我们依据 GDPR 第 11 条第 2 款处理。

13. 变更

当数据流或应用功能发生重大变化时，我们会更新本政策。以本页面发布的版本为准。

14. Android 应用“Nadel im Heuhaufen”（Google Play）

在 Google Play 上，该游戏的名称为“Nadel im Heuhaufen”（包名 de.bruniqo.nadelimheuhaufen）。它与 iPhone 上的草垛寻针 2 是同一款游戏，使用同一个游戏服务器。第 1 至 13 节同样适用于 Android 应用。对于 Android 上的不同之处，本节作为补充适用。

14.1 通过 Google 登录

在 Android 上，你可以通过 Android Credential Manager 使用“通过 Google 登录”创建在线账户。我们的服务器会依据 Google 的公钥核实 Google 签发的登录令牌。我们只保存由你的 Google 账户标识符使用密钥（HMAC）派生出的不可逆值，并将其对应到一个随机的内部账户 ID。我们不保存你的 Google 电子邮件地址、姓名或头像。我们不保存 Google 刷新令牌。

使用 Google 创建的账户是一个独立的账户。Google 账户和 Apple 账户不会合并，点数和购买的工具也不会在它们之间转移。在 Android 上，会话令牌以加密形式保存在你设备上应用的存储空间中，密钥由 Android Keystore 保管。在其他方面，会话适用第 3 节。

14.2 通过 Apple 登录

在 Android 上，你也可以选择“通过 Apple 登录”。应用会在浏览器中打开 Apple 的登录页面。我们的服务器会与 Apple 核实登录，并向 Apple 兑换一次性授权码。我们不会以明文保存你的 Apple 账户标识符；我们只保存一个对应到随机内部账户 ID 的不可逆 HMAC。我们以加密形式保存 Apple 签发的刷新令牌，以便在你删除账户时撤销与你的 Apple ID 的关联。使用 Apple 创建的账户不会与 Google 账户合并；点数和购买的工具不会在它们之间转移。

在 Android 上，会话以加密形式保存在你设备上应用的存储空间中，密钥由 Android Keystore 保管。在其他方面，会话适用第 3 节。

14.3 通过 Google Play 购买点数

在 Android 上，你通过 Google Play Billing 购买点数包。支付完全由 Google 处理；我们不会收到任何支付或银行卡数据。应用会向 Google 传递一个与你的游戏账户关联的随机购买标识符。我们的服务器会通过 Google Play Developer API 直接向 Google 核实每一笔购买，并将其恰好入账一次。对于每笔购买，我们会保存 Google 订单号、产品、发放的点数以及任何退款状态。

Google 通过 Google Play Real-time Developer Notifications（经由 Google Cloud Pub/Sub 送达）就退款和已作废的购买通知我们的服务器。已退款的点数将从你的余额中扣除；对于低于零的余额，相应适用第 5 节。账户删除后，订单号、Google 最近一次通知的时间以及购买标识符的不可逆哈希仍会保留，与第 9 节中针对 Apple 所述相同。

14.4 Android 上的广告和广告 ID

在 Android 上，广告和激励视频同样通过 Unity LevelPlay 运行，使用 Unity Ads、Liftoff Monetize (Vungle)，并视广告配置而定使用 Chartboost。第 6 节相应适用。应用不会询问你的年龄或出生日期。片头动画结束后，你在个性化广告和情境化（非个性化）广告之间进行选择；只有这样广告 SDK 才会启动。早期应用版本在年龄提示后以加密形式保存在你设备上的年龄类别，会在应用下次启动时被删除。你可以随时在应用设置中更改这一选择。

Android 没有应用跟踪透明度（ATT），也没有 IDFA。取而代之的是，广告 SDK 可以读取 Google 的广告 ID（Android 广告 ID）；应用为此声明了 Android 的 AD_ID 权限。应用会将你的选择作为 GDPR 同意传递给 Unity LevelPlay，并另外设置不得出售数据的信号（CCPA）。你可以在 Android 设置中重置或删除广告 ID。广告 SDK 还会收到一个应用加密保存在设备上的随机安装 ID。

14.5 在 Android 上删除你的账户

你在应用中通过“删除账户”删除账户，并通过使用同一提供方（Google 或 Apple）再次登录来确认删除。第 9 节中的后果同样适用；对于 Google 账户，由你的 Google 账户标识符派生出的值取代 Apple 标识符。我们不保存需要撤销的 Google 令牌。删除 Apple 账户时，已保存的 Apple 刷新令牌用于撤销。无需应用或无需登录：如何删除你的账户。

14.6 Google 作为接收方

对于通过 Google 登录以及通过 Google Play 的购买（包括退款通知），我们使用 Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland（爱尔兰）的服务。Google 依据其自身的隐私政策处理数据，并且根据其基础设施也可能在欧盟境外（尤其是美国）处理数据。详情见 Google 隐私权政策。第 11 节中的法律依据相应适用。