分类：Legal / Compliance
状态：签发候选稿（运营主体与联系渠道已补；处理清单、机制及批准待核验；未签发前不得处理真实儿童信息）
Owner：Legal / Security / Product
最后更新：2026-09-29
权威来源：documents/EduFlow Pilot 1.0 Canonical Scope.md、documents/EduFlow V0.1 Canonical Decisions.md、当前代码与 Prisma schema；与同版本《冼马隐私政策》配套适用
规则版本与生效日期：签发时与同版本《冼马隐私政策》一并确定并公布；本候选稿尚未生效。
运营主体：黑龙江先马科技有限公司
给监护人的重要提示。 本规则专门说明冼马如何处理不满十四周岁未成年人的个人信息。儿童个人信息属于敏感个人信息。请完整阅读，特别关注加粗内容、语音与转写、信息共享、保存期限和权利行使。只有确认您是儿童的父母或其他监护人，并主动完成对应同意后，冼马和学校才可在约定范围内处理儿童信息。课堂语音和转写是可选能力，必须分别选择，不同意不会影响文字课堂记录等不依赖它的基本功能。
1. 适用对象与基本原则
本规则中的“儿童”指不满十四周岁的未成年人，“监护人”指依法对儿童承担监护职责的父母或其他监护人。
本规则适用于冼马｜家长端、教师端、校长端及关联服务对儿童信息的收集、存储、使用、加工、传输、提供、公开、删除等活动。对于十四周岁以上不满十八周岁的未成年人，我们仍遵循最有利于未成年人、目的明确、最小必要和适龄告知原则，但其同意规则依法另行判断。
处理儿童个人信息时，我们和学校遵守以下原则：
- 儿童利益优先：安全、尊严、身心健康和受教育权益优先于经营便利；
- 目的明确、最小必要：不为“以后可能有用”收集信息，不强迫同意非必要处理；
- 知情同意：在处理前以清晰易懂方式告知监护人，并取得与具体目的相匹配的有效同意；
- 功能分层：家庭档案、入学/选课、教学成长、语音、转写分别说明和选择；
- 严格权限：只让当前学校和与该儿童有合法教学/监护关系的最少人员知悉；
- 不作不当利用：不把儿童教学、成长、语音或家庭信息用于广告画像、跨校排名、商业营销或通用模型训练。
2. 各方角色与联系方式
在学校决定为何以及如何处理校内儿童信息的场景中，学校是个人信息处理者，黑龙江先马科技有限公司作为受托人按学校书面指令处理。对于账号安全、平台安全、权利请求协调和依法履责所需处理，运营主体依法承担相应个人信息处理者责任。详细角色划分见《冼马隐私政策》和学校 DPA。
儿童个人信息保护负责人及渠道：
- 运营主体：黑龙江先马科技有限公司
- 儿童个人信息保护负责人：姜德文
- 隐私与权利请求邮箱：911403692@qq.com
- 客服电话及服务时间：18545051290；每周二、周五 14:00–16:00（北京时间）
- 学校联系人：由实际签约学校在其 DPA 中指定；未接入学校的用户可先通过运营主体渠道联系
- 安全事件联系安排：客服服务时间联系姜德文 18545051290，失联时转姜博然 13140738206；其他时间联系姜博然，失联时转姜德文。负责人已确认姜博然同意值守并具备止损、学校首次通知权限；主机安全短信和邮箱接收渠道已验证，尚无实际事件投递记录。
3. 我们为什么、如何处理哪些儿童信息
只有实际启用相应功能时才处理对应信息。标为“可选”的信息或功能，不同意不会影响其他不依赖它的功能。
| 功能与目的 | 儿童信息 | 来源与处理方式 | 是否必要/同意方式 |
|---|---|---|---|
| 家庭孩子档案 | 姓名、性别、生日、年级、就读学校、与监护人关系、家庭孩子标识 | 由监护人在家长端主动填写、修改或删除；未获学校确认前不因此获得任何学校数据 | 姓名及关系是建立档案的必要信息；其他字段依页面标注。监护人同意 |
| 入学、选课与监护关系确认 | 上述档案、目标学校/课程/班级、申请理由、状态、双方操作和审计记录 | 监护人申请或学校发起，另一方确认后才建立正式学生、家长及班级关系 | 相应申请所必需；监护人同意并由学校双向确认 |
| 招生咨询或试听 | 儿童姓名、拟咨询课程/班级/课次及必要备注；家长手机号和联系同意记录 | 已登录监护人主动填写并逐次勾选联系同意；公开浏览和单纯点击不生成实名线索 | 咨询所必需；逐次同意，可随时停止后续联系 |
| 教务与课堂 | 学生标识、课程、班级、课次、考勤、请假、课堂小结 | 学校和授权教师在当前学校内记录；监护人只查看本人儿童 | 履行学校教育服务与合同所需；学校应完成告知和合法性评估 |
| 课堂评价与家校反馈 | 分数、评价标签、学习内容、课堂活动、教师文字评价、家长反馈及处理状态 | 授权教师记录并发布给本人儿童监护人；学校管理者按职责查看 | 教学反馈所需；禁止记录无关隐私、侮辱性或歧视性内容 |
| 成长档案和报告 | 成长记录类型、标题、内容、时间、来源、核验状态、作品标题及可选 HTTPS 佐证链接、报告 | 学校/授权教师记录，家长在本人儿童范围内查看；不公开、不跨校汇总 | 可按学校服务选择；自由文本和链接应去除无关第三方信息 |
| 课堂语音（可选） | 教师对全班或特定儿童的语音内容、时长、文件类型、大小、哈希、存储键、发布与删除记录；语音中可能包含儿童姓名、声音或学习表现 | 教师主动录制，进入学校隔离的私有对象存储；仅授权教师、学校管理者及对应儿童监护人在发布后访问 | 非文字记录基本功能所必需；须监护人单独选择，学校须同时启用。不得录制与课堂记录无关内容 |
| 语音转文字（可选） | 上述语音、候选文本、教师确认文本、模型/任务和错误状态 | 默认关闭；启用时仅交给附录列明的境内、自托管或合规受托转写服务；候选文本不会自动成为正式记录，必须由教师确认 | 与语音分开选择；服务商或处理地点变化时重新告知并取得所需同意 |
| 课时与订单关联 | 学生标识、课包、课时余额及流水、订单与退款关联状态 | 学校按教学与合同事实处理；儿童不直接操作支付 | 学校履约、对账和审计所需；不向儿童进行金融营销 |
| 安全与权利保护 | 儿童数据访问主体、操作时间、原因、访问/变更/发布/删除记录，相关安全日志 | 系统自动记录必要审计事实；发现风险时用于调查和补救 | 保护儿童权益和履行法定义务所必需 |
我们不以儿童为验证对象收集身份证号码、人脸、指纹、声纹模板、精确位置、通讯录、设备广告标识或与教学无关的健康信息。 课堂语音是内容载体，不用于声纹识别。学校确因法定义务或线下校务需要处理身份证明、医疗/过敏或紧急联系信息的，应在冼马之外建立独立合法流程；在产品另行完成评估、告知和最小化改造前不得把这些信息写入自由文本或上传附件。
4. 监护人告知与同意
4.1 同意取得方式
真实试点中，监护人应使用本人手机号登录家长端，阅读同版本《冼马隐私政策》、本规则和《冼马家长告知同意书（试点版）》，确认与儿童的关系，并对以下项目分别作出选择：
- 建立家庭孩子档案及入学/选课申请；
- 校内教学、课堂评价、成长和课时处理；
- 招生咨询/试听联系（每次提交时单独勾选）；
- 课堂语音；
- 语音转文字；
- 任何未来新增的公开、跨境、画像或其他高风险目的。
签发和真实数据准入前，系统必须实现并验证以下留痕：同意书/规则版本、儿童范围、同意项目、监护人账号、学校、时间、渠道及撤回状态。现有单次招生联系同意记录不能替代该通用儿童同意记录。预勾选、默认同意、一次概括授权全部未来处理或以拒绝非必要处理为由阻止基本功能，均不视为有效同意。
全班语音不能仅凭一名儿童的同意启用。只有系统能逐次证明班内每一名可能被语音识别的儿童均有有效、未撤回的对应同意，才可允许录制和发布全班语音；任何一名儿童未同意、同意状态无法证明或已经撤回时，必须阻断全班语音并退化为不包含该儿童的个体语音或纯文字记录。误录内容须立即隔离并按事件/删除流程处置。
4.2 监护关系核验
Pilot 采用分层核验：
- 监护人以本人手机号登录，声明父亲、母亲或家长关系；
- 家长自行建立的家庭档案不会自动取得学校数据；
- 正式学生和校内家长关系必须由学校与家长双向确认；学校应依据其已有招生、入学或线下监护材料核对，不得只信任客户端自报；
- 存在争议、多人主张监护、账户异常或高风险请求时，学校应暂停线上确认并在线下核验。除非法律要求且已另行完成评估，不向平台上传身份证或户口簿完整影像；可由学校保留“已核验、核验日期、核验人”的最小结果。
如我们有合理理由认为提交人不是监护人，可要求学校协助核验、暂停处理或删除未经授权的信息。提供虚假关系可能导致服务中止，并可能承担相应法律责任。
4.3 同意变更与撤回
处理目的、方式、信息种类、接收方、处理地点或儿童权益影响发生实质变化时，我们将重新告知并在法律要求时重新取得同意。监护人可通过第 2 节邮箱或电话渠道撤回部分或全部同意；端内入口在正式启用前另行核验并公布。
撤回语音/转写同意后，不再产生新的相应处理；已有内容按监护人请求、学校合法指令和适用法律删除或改为文字记录。撤回校内基础处理同意可能使学校无法继续通过冼马提供相应教学服务，学校应说明可替代安排，不得影响不依赖该信息的公开浏览。
5. 使用、自动化决策与公开限制
- 儿童信息仅用于第 3 节所列具体目的，不用于跨校学生画像、排行榜、商业广告、出售数据或训练通用人工智能模型。
- 当前不使用自动化决策对儿童作出分班、升学、奖惩、收费、能力定性或其他对其权益有重大影响的决定。统计和确定性业务规则不得替代教师/学校的专业判断。
- 语音转写只产生待教师确认的候选文字；不得自动写入课堂记录、成长档案或作为学生评价依据。
- 学校公开页不得出现儿童姓名、头像、联系方式、作品、课堂/成长记录或语音。未来确需公开儿童作品或活动影像时，必须另行逐项告知用途、范围、期限和撤回方式，取得单独同意并完成影响评估；本规则不构成该授权。
- 不向儿童发送商业营销，不以儿童拒绝个性化或非必要处理为由降低教学服务质量。
6. 访问权限和内部管理
儿童信息按当前学校、用户、有效 Membership、角色、教学班和监护关系逐次授权：
- 家长仅可查看本人已确认关系的儿童；家庭档案本身不能读取学校数据；
- 教师仅可访问本人被授权的班级、课次和学生；
- 校长、副校长仅在当前学校管理职责范围内访问；
- 平台运维人员不得以后台便利为由查看业务内容；签发前必须实现并验证运维访问审批、范围/期限限制和不可变访问记录。该能力未就绪时，不允许运维人员查看真实儿童业务内容；
- 账号共享、批量导出、跨校查询和在个人聊天工具传播儿童信息均被禁止。
学校应至少每季度复核成员权限，并在离职、换岗、学生离校、监护关系变化或合同终止时立即撤权。运营主体至少每年开展一次未成年人个人信息专项合规审计，并按规定将审计情况报告有关部门。
7. 委托、共享、转让和跨境
儿童信息只可委托给为提供服务所必需、经过评估并受合同约束的服务商。签发时适用的完整清单见同版本《冼马隐私政策》附录 B 和学校 DPA 附件 2，至少包括服务商名称、联系方式、目的、信息种类、地点、期限、安全措施和退出删除方式。
签发与启用规则：
- 签发版本必须填明境内处理地区并与实际基础设施、远程访问路径核验一致；未填实或未验证时不得接入真实儿童数据；
- 课堂语音存入学校隔离的私有对象存储，不生成永久公开地址；
- 语音转写默认关闭。未列明实际服务商、地区和处理链路前不得发送真实儿童语音；
- 短信和真实支付只有在附录列明实际供应商、地区、字段、期限并完成必要告知、评估和同意后方可启用；不得依据开发入口或配置项推定已经获准处理；
- 不向数据经纪商、广告平台或其他学校提供儿童信息。
向另一独立个人信息处理者提供、公开或向境外提供儿童信息前，应依法逐项告知、取得单独同意、完成个人信息保护影响评估并履行其他法定程序。监护人不同意时相关高风险功能保持关闭。
8. 保存期限与删除
儿童信息按实现目的所必要的最短期限保存，且不得长于同版本《冼马隐私政策》和学校 DPA 中对应期限：
| 信息 | 期限或确定方式 |
|---|---|
| 未提交/未确认的家庭档案 | 由监护人管理；删除请求核验后从在线系统删除，法律或争议保留除外 |
| 入学/选课申请与监护确认 | 按申请状态、学校合法档案要求和争议期确定；未成功且无继续处理必要时及时删除或匿名化 |
| 校内学生、教学、成长与课时数据 | 在有效校内关系及学校 DPA 指令期内；离校或服务终止后按学校预设的归档/删除计划执行 |
| 招生联系数据 | 达成或终止咨询目的、撤回联系同意且无其他合法基础时删除；学校不得无限期保留沉默线索 |
| 课堂语音/转写 | 随对应课堂记录或学校设置的更短期限；监护人撤回且无其他合法基础时停止新增并处理既有内容 |
| 安全与访问日志 | 不少于 6 个月；超过后仅在安全调查、法定义务或争议所必需时最小保存 |
| 备份 | 最长 30 日滚动覆盖；恢复时重新应用删除清单。该期限已由负责人批准，自动轮换仍待实现与核验，未完成前本文不得签发 |
线上删除后，对象存储和缓存应在 7 日内完成清理，备份在滚动周期内清除。该 7 日期限已由负责人批准，现有语音对象清理机制仍待对齐和验证，未完成前本文不得签发。因法律要求无法立即删除的，信息将被隔离、限制访问和用途，不再用于日常教学或新目的。
9. 儿童及监护人的权利
监护人可代表儿童，儿童也可在理解能力范围内，通过 911403692@qq.com 或 18545051290 请求：
- 查看处理的儿童信息种类、数量、来源、目的、期限和接收方；
- 查阅、复制；符合规定时请求转移；
- 更正、补充；
- 删除不再必要、违法处理、同意撤回或服务终止的信息；
- 限制或拒绝处理；
- 撤回同意、关闭语音或转写；
- 获取规则解释并投诉。
我们将提供便捷方式，不设置不合理条件。收到请求后核验监护关系和请求范围，原则上在 15 个工作日内完成或告知进展。涉及学校决定的校内数据，我们将立即转交学校并协助落实；拒绝请求时书面说明理由和投诉渠道。
10. 安全事件与儿童保护
发生或可能发生儿童信息泄露、篡改、丢失时，我们立即启动应急预案、停止风险、保全必要证据、采取补救措施，并依法报告主管部门和通知受影响儿童及监护人。通知应说明事件类型、可能影响、已采取措施、监护人可采取的措施及联系人；难以逐一告知时依法发布合理有效的警示。
若在课堂记录、语音、反馈或公开内容中发现儿童私密信息被不当传播，我们将根据权限采取隔离、停止传输、下架、删除和通知学校等措施。通过儿童私密信息发现儿童可能遭受侵害时，我们将依法保存必要记录并向公安机关报告。
11. 学校和教师的特别责任
学校应：
- 在导入真实儿童信息前签署 DPA、完成个人信息保护影响评估和监护人告知同意；
- 指定儿童信息联系人，维护处理清单、保存期限和人员权限；
- 证明招生、入学、在读、离校和监护关系处理的合法基础；
- 不要求家长同意与教育服务无关的处理，不把拒绝语音/转写作为入学或基本教学条件；
- 受理监护人请求并向平台发出准确、可执行的指令；
- 对教师进行适龄沟通、最小记录和保密培训；
- 发现误传、越权、账号共享或监护争议时立即限制访问并通知运营主体。
教师应只记录具体教学事实和必要反馈，不录制无关对话，不将课堂语音下载到个人云盘或发送至个人聊天工具，不在公开内容中展示儿童信息。
12. 规则更新与联系
本规则与《冼马隐私政策》一并保留历史版本。儿童信息种类、目的、方式、服务商、地点、期限或儿童权益影响发生重大变化时，我们将显著通知监护人，并在需要时重新取得同意；未取得前不启用变化后的处理。
如对本规则、监护核验或儿童信息处理有疑问、投诉或紧急删除请求，请联系 911403692@qq.com / 18545051290。您也可依法向网信、公安、教育、市场监管等有权部门投诉举报或向人民法院寻求救济。
附录：通用规则签发与真实数据准入清单
通用规则签发前
- [ ] 《冼马隐私政策》与本规则的主体、版本、日期、联系渠道和受托服务商完全一致；
- [ ] 已核实基础设施地区、实际启用功能及受托处理清单，未验证的语音、转写、支付和公开媒介不写成已启用；
- [ ] 可向监护人提供查阅、复制、更正、删除、撤回及投诉渠道；儿童访问审批、记录、删除和备份机制满足本文所作承诺；
- [ ] 完成儿童信息保护影响评估并建立未成年人信息年度合规审计安排；
- [ ] 运营主体的法务、隐私、安全、产品负责人批准并归档不可变版本。
每所学校、每名儿童真实数据准入前
- [ ] 该学校确定儿童信息负责人、处理清单、合法基础和各类保存期限，并签署该校 DPA；
- [ ] 家长端对该儿童支持分项、非预勾选同意及撤回，保存版本、时间、范围和监护关系核验记录；
- [ ] 学校与家长双向确认监护/入学关系，异常场景有线下核验流程；
- [ ] 若该校启用语音或转写，分别检查学校开关、逐名儿童有效同意、私有播放、删除和转写接收方；
- [ ] 学校与运营主体确定权利请求协作、离职撤权、权限复核和事件通知渠道；逐校签署前填写实际联系人。
通用规则签发不要求先确定首家学校或取得任何具体儿童的签字；签发也不自动批准其真实数据接入。