隐私说明，说人话。

以游客身份游玩

创建或加入房间时，浏览器会收到一个游客 cookie。它保存一个随机令牌，让这台设备在刷新或断线后回到自己的座位；服务器只保存它的哈希。有效期 30 天。在价格页点「以后愿意为它付费」时，如果这台设备还没有这个 cookie，也会收到它，只用来计这一次点击和限流。

我们还用一个 cookie 记住你的语言选择（一年），并在浏览器本地存储里保存少量显示设置，例如配色主题。这些都不用于广告，也不会在其他网站上追踪你。

从其他网站（搜索引擎、AI 助手、社交网站或任何其他网站）来到我们的公开页时，浏览器标签页会在会话存储（sessionStorage）里记下落在我们哪个页面、来自哪类网站以及是哪个网站（例如 Google、ChatGPT、Reddit，或只记「其他网站」）。关闭标签页就会清除；只有你在 30 分钟内创建房间时才会发给我们，见「统计数据」。

单人谜题的作答进度（问过的问题、你怀疑和划掉的人、结果）和每天玩过的记录（连续天数）只保存在这个浏览器的本地存储（localStorage）里，刷新后能接着玩；清除本站数据就会删除。每次提问和提交答案会发到我们的服务器回答和判定，服务器不记录是谁在玩（见「统计数据」）。分享的成绩链接里只带每道题用了几次，不带你的身份。

昵称在房间里是公开的

你填写的昵称会展示给同房间的所有人、公屏，并出现在一起游戏的玩家的对局结果和历史记录里。

登录后，昵称框会预填你的默认名字：默认是你的 Google 名字或 Discord 显示名，也可以在账号页改成别的名字。如果不想公开，加入前改掉即可。

使用 Google 登录（可选）

登录后可以在不同设备上保留对局记录。登录时，Google 会向我们提供一个固定的账号标识、你的邮箱以及 Google 是否已验证该邮箱、你的名字和头像地址。账号标识我们只保存哈希。

这些信息只用于登录、生成默认昵称，以及在你自己的账号页展示。邮箱、Google 名字和头像只有你自己能看到：不会展示给其他玩家，不会出现在公屏、对局结果或统计里。我们不会给你发邮件，也不会用邮箱匹配或合并账号。

头像由你的浏览器直接从 Google 加载，而且只在账号页加载。登录会话有效期 7 天。

使用 Discord 登录（可选）

用 Discord 登录同样可以在不同设备上保留对局记录。我们只向 Discord 申请最基本的「identify」权限，不申请你的邮箱、服务器、好友或消息。Discord 随后会发来你的账号标识、用户名、显示名、头像和少量账号设置（例如语言）；我们只保留账号标识、显示名和头像，其余直接丢弃。账号标识我们保存为哈希，但你在 Discord 上的头像地址里含有你的 Discord 用户 ID，所以在保留头像期间，我们也持有这个 ID。

这些信息只用于登录、用显示名生成默认昵称，以及在你自己的账号页展示。我们从不使用你的 Discord 用户名，因为它能在整个 Discord 上认出你。Discord 名字和头像只有你自己能看到，和 Google 资料一样。

在本站，Discord 账号和 Google 账号是两个独立的账号：换另一种方式登录会得到一个新账号和它自己的对局记录，我们不会把它们关联或合并。

头像由你的浏览器直接从 Discord 加载，而且只在账号页加载，因此 Discord 能看到这次请求和你的 IP 地址。读取完你的资料后，我们会请 Discord 收回给我们的访问权限，我们从不保存它。登录会话有效期 7 天。

对局与结果

对局进行中，服务器保存角色、词语、个人投票等秘密状态，只把每位玩家有权看到的内容发给他。这些私密状态在终局 7 天后删除。公开记录（谁参与了、终局揭晓的角色、胜方，以及对局中大家都看得到的内容，例如每个座位的组队投票、任务里有几张失败牌）长期保留，没有期限，方便大家回看。秘密选择（例如谁出了哪张任务牌）在 7 天后不再保留。

统计数据

我们在自己的数据库里记录少量产品事件，例如创建房间、完成一局。每个事件带一个由设备标识加密钥计算出的假名，从不包含昵称、房间码、角色、词语、投票或账号。

单人谜题是例外：取题和提交答案只记一条不带假名的计数，只有游戏、语言、是当天的题、往期还是再来一局、难度，以及答对与否。

在公开页面上，我们使用第三方服务 PostHog 做分析，用于帮助开发和改进产品，不用于广告。

我们还按固定的页面类别、语言、来源网站类别与浏览器或爬虫类别统计已发布公开页面的请求。这些计数不含访客标识、原始网址、搜索词、来源网址或完整浏览器识别字符串，也不与房间事件关联。

我们也会测量页面加载的快慢。你的浏览器在不使用 cookie、也不在你的设备上存储任何内容的情况下，测量页面加载耗时，并把结果发给我们的服务器。在房间页上，它还会测量连接与重新连接所需的时间，以及你的每个操作多久得到确认，并在页面切到后台或你离开房间时发送。每条结果只包含页面类别（从不包含房间码或账号页的地址）、你的设备看起来是手机还是电脑，以及你所在的位置：国家，在美国和加拿大还包括州或省，来自 Cloudflare 对你这次连接的判断。我们不会随之保存你的 IP 地址或城市，也不把它与任何房间、对局或账号关联。它只用来找出加载较慢的地区，保留 30 天。

创建或加入房间时，这条事件还会记下 Cloudflare 为你的连接判断的国家或地区，以及浏览器或我们的 App 自报的设备类型（手机、平板或电脑）、操作系统和浏览器种类。我们从不保存你的 IP 地址或浏览器的完整标识字符串。

如果你在创建房间前用了「帮你挑一款」，「创建房间」事件还会记下你给出的三个答案（几个人、想玩什么感觉、有没有电视或投影）和它推荐的游戏，只用于统计这个向导的使用情况。

如果你从其他网站过来后 30 分钟内创建了房间，「创建房间」事件还会记下你落在我们哪个页面、来自哪类网站以及是哪个网站（只限一份固定的常见网站名单，其余只记「其他网站」），只用来统计哪些页面和网站让人开始玩。我们从不记录你从哪个网址过来、搜了什么，或你访问过的其他网站。

PartyGame App

手机和平板上的 PartyGame App 第一次打开时就会取得同样的游客 Cookie，之后每次启动都会续期，这样一台设备只算一次，也能找回自己的座位。除了上面的事件，App 还会记录：打开了 App（以及是不是第一次）、扫了一个二维码、进入了公屏模式——只有事件名和同一个假名，没有其他内容。

如果你打开「新游戏上线提醒」，App 会申请通知权限，并把这台设备的推送令牌、它的系统是 iOS 还是 Android，以及 App 的语言交给我们。它们只用来发这类提醒，对局中从不推送。你关掉提醒后，App 一连上我们就删除令牌；这台设备 30 天没用过 App 时也会删除。

默认昵称、收藏的游戏、这台手机开过的房间和 App 的设置保存在手机上，不会整份上传。和网站一样，建房或加入时会发送昵称，App 也会向服务器确认你开过的房间是否还开着。

还有谁参与

网站运行在我们自己运维的服务器上。Cloudflare 作为网络服务商，在你的浏览器与服务器之间传输流量，因此会处理你的 IP 地址和请求信息。只有你选择用 Google 或 Discord 登录时，才会涉及它们的登录服务。如果你在 App 里打开了提醒，Expo 的推送服务（以及经由它的 Apple 或 Google 推送服务）会收到这台设备的推送令牌和每条提醒的文字，用来把提醒送到手机上。如果你购买 Party Pass 或 Party Plus，Stripe 作为登记卖方（merchant of record）代我们向你销售，并处理付款和销售税：卡号、邮箱和账单地址填在 Stripe 的结账页上，不经过我们的页面。我们只给 Stripe 一个内部账号编号，用来把这笔购买对应到你的账号；Stripe 告诉我们你买了什么、到什么时候。Stripe 按它自己的隐私政策保存付款记录。

保留多久

• 游客 cookie 与设备凭据：30 天。
• 公开页面请求计数与页面加载耗时：30 天。
• App 的推送令牌（打开了提醒时）：到你关掉提醒为止（App 一连上即删除），或随设备凭据在 App 最后一次使用 30 天后删除。
• 登录会话：7 天；未完成的登录流程：10 分钟。
• 私密对局状态与投票校验数据：终局后 7 天。
• 对局结果、历史记录及其中的昵称：长期保留，没有期限。删除账号后，其中你的名字会被替换；游客可以通过下方联系方式请我们删除。
• Google 或 Discord 资料与默认昵称：保留到你删除账号为止。
• 购买记录（哪一档、起止时间、Stripe 客户编号）：保留到你删除账号为止。Stripe 按法律要求的期限保存它的付款与发票记录。
• 备份：每次发布新版本前，我们会在同一台服务器上备份数据库。超过 7 天的备份在下一次发布时删除，因此如果较长时间没有发布，备份会保留得更久。

导出与删除

在账号页可以下载你的数据（资料、统计与对局记录，Excel 文件），也可以删除账号。如果距上次登录已超过 5 分钟，两项操作都会要求你重新登录。下载的数据不含购买记录：每笔购买的收据由 Stripe 发到你的邮箱。如果你有 Party Plus 或 Party Pass，删除账号会立即取消它，已付的期限随之作废，不退款。

删除账号会让你在所有设备上退出登录、中止你所在的对局、把其他玩家结果里你的名字替换为占位名，并清除你的邮箱、Google 或 Discord 名字、头像和默认昵称。备份中的副本会保留到该备份被删除为止（见上文）。恢复备份时不会自动重新执行删除：如果我们不得不恢复某个备份，在该备份之后删除的账号可能会恢复，需要再删除一次；遇到这种情况请写信给我们。游客没有账号可删：游客 cookie 按上面的期限过期；过往对局里的昵称可以通过下方联系方式请我们删除。