冼马隐私政策

分类：Legal / Compliance

状态：签发候选稿（负责人已作批准决定；待基础设施清单及上线一致性核验；未签发前不得作为真实数据处理依据）

Owner：Legal / Security / Product

最后更新：2026-09-29

批准记录：2026-09-28，运营主体唯一负责人姜德文在当前任务中确认本人兼任法务、隐私、安全和产品负责人，并批准推进签发。此记录不等于附录 A/B/C 的事实已核验或本文已正式发布；其他签发值和核验结果仍须归档。

期限裁决：2026-09-28，负责人批准学校数据导出 30 日、备份最长保留 30 日、课堂语音删除后 7 日内完成对象清理、发现涉及学校受托数据的安全事件后 24 小时内首次通知学校。2026-09-29 负责人指定姜博然负责非客服时间安全事件接收、止损和学校首次通知，姜博然失联时转联系姜德文；客服时间姜德文失联时由姜博然接替。腾讯云主机安全接收人及姜博然的手机、邮箱渠道已配置并验证，但尚无实际主机安全事件投递记录；不将桌面演练作为签发条件。本地候选已增加备份到期轮换和提前触发的语音对象清理代码，仍未上线；生产快照清单与清理结果未核验。学校 30 日导出在逐校真实数据准入前验证，不要求预先存在首家学校。在完成 DC-125 的其余通用政策整改与核验前，本候选稿不得签发。

权威来源：documents/EduFlow Pilot 1.0 Canonical Scope.md、documents/EduFlow V0.1 Canonical Decisions.md、当前代码与 Prisma schema；法律依据见第 15 节

内部修订标识：privacy-2026-09-29-working.2（未签发，不作为登录接受版本；线上 privacy-2026-08-31-candidate.1 快照仍独立保留）

发布日期与生效日期：签发时写入不可变版本并同步公布。

运营主体：黑龙江先马科技有限公司

签发门禁。 本文正文已经形成完整候选，但方括号字段不是可对外展示的示例值。运营主体必须在真实数据试点或公开注册前补齐附录 A，确认附录 B/C 与生产实际一致，完成个人信息保护影响评估、儿童信息年度审计安排和法务批准，再生成不可变版本号。任何一项未完成时，冼马仅可使用合成或脱敏数据。

1. 适用范围与快速摘要

本政策适用于冼马提供的“冼马｜校长端”“冼马｜教师端”“冼马｜家长端”、学校专属公开页面以及与其直接关联的服务。EduFlow、如意云枢是历史或技术兼容名称，均指向同一产品体系。

我们按以下原则处理个人信息：

只处理实现明确功能所必需的信息，不因用户拒绝非必要处理而拒绝基本功能；
学校业务数据通常由学校决定处理目的和方式，我们按照学校的书面指令提供受托处理服务；账号安全、平台运维、服务结算与依法履责所需信息由运营主体依法独立处理；
不满十四周岁未成年人的个人信息属于敏感个人信息，另适用《冼马儿童个人信息处理规则》并取得其父母或其他监护人的有效同意；
当前不进行个性化推荐、面向学生的商业广告画像，亦不使用自动化决策对学生作出升学、评价、收费或其他对其权益有重大影响的决定；
签发后的生产方案应核验自有或可配置基础设施的境内存储地区及远程访问路径；对无法选择具体机房的短信等服务，应如实披露已核实范围并持续评估跨境风险，不把未知细节写成确定事实。发现实际出境时，未完成相应法定程序不得向境外提供；
访谈、演示和未签署真实试点文件的阶段只使用合成或脱敏数据。

如您代表学校使用冼马，请同时阅读学校与运营主体签署的《冼马学校数据处理协议（DPA）》。如您是儿童的父母或其他监护人，请同时阅读《冼马儿童个人信息处理规则》和您签署的《冼马家长告知同意书（试点版）》。

2. 我们是谁，以及各方角色

运营主体信息如下：

名称：黑龙江先马科技有限公司
统一社会信用代码：91230604MAKMTNXL69
注册地址：黑龙江省大庆市让胡路区聚贤街25号大庆昆仑唐人中心1号商服81号
常用办公地址：黑龙江省大庆市让胡路区聚贤街25号大庆昆仑唐人中心1号商服81号
个人信息保护负责人/隐私负责人：姜德文
隐私与权利请求邮箱：911403692@qq.com
客服电话及服务时间：18545051290；每周二、周五 14:00–16:00（北京时间）
安全事件联系安排：客服服务时间联系姜德文 18545051290，失联时转姜博然 13140738206；其他时间联系姜博然，失联时转姜德文。值守责任和接替顺序已由负责人确认。

不同场景下的个人信息处理角色如下：

场景	主要决定方	运营主体的角色
学校导入或在校内创建学生、家长、班级、课程、教学、成长、课时和学校经营数据	学校	受托人；仅按学校合法、明确、合理且必要的书面指令处理
家长建立家庭孩子档案并发起入学/选课申请	家长主动提交；学校审核后决定校内处理	对家庭档案和申请安全履行平台责任；校内数据按 DPA 受托处理
用户账号、登录验证、身份与角色安全、反滥用、审计和权利请求	运营主体	独立个人信息处理者
SaaS 订购、服务计费、合同履行、争议处理与法定义务	运营主体与签约学校各自决定相应目的	对各自决定的处理承担责任
学校主动发布的学校、课程、教师资料和校园内容	学校决定发布内容；平台执行发布与安全规则	学校与运营主体依实际决定范围分别承担责任；教师个人信息公开前须具备合法基础和必要授权

学校不得把儿童同意、家长同意、员工管理或其他本应由学校履行的义务笼统转嫁给运营主体；运营主体也不得超出学校指令将学校业务数据用于自身营销、跨校画像、模型训练或与提供服务无关的目的。

3. 我们处理哪些个人信息

下表中的“必要”是针对相应功能，不代表每位用户都会被收集全部信息。未使用某功能时，我们不应为该功能收集信息。

场景	信息类型	必要性、目的与处理方式
注册、登录与账号安全	手机号、验证码验证结果、用户 ID、账号状态、登录会话、角色与学校 Membership、登录/安全日志；可选邮箱	手机号用于登录、身份匹配、邀请和必要通知；会话与日志用于认证、授权、防滥用和安全审计。验证码明文不得长期保存
个人资料	姓名、头像、头像颜色、可选性别与生日；教师简介、教龄	用于本人资料、校内协作和经授权的教师/校长公开介绍；性别、生日及图片均应按功能必要性选择提供
家庭与儿童档案	儿童姓名、性别、生日、年级、就读学校、家长与儿童关系、家庭孩子 ID	用于家长管理家庭孩子、发起入学/选课申请和匹配正式学生；此类信息按敏感个人信息加强保护
学校招生与关系确认	家长姓名/手机号、儿童姓名及上述档案字段、意向、备注、来源、目标课程/班级/课次、联系同意版本与时间、申请及审核记录	用于咨询/试听联系、双向确认入学与选班、CRM 跟进和争议审计；公开浏览或单纯点击不会自动生成实名线索
教学与成长	课程、班级、课次、考勤、请假、教师评价、评分与标签、课堂小结、家长反馈、成长记录/报告、作品标题与可选 HTTPS 佐证链接	用于提供教学记录、家校反馈、成长档案和学校教务；只向当前学校和有权教师、家长展示，不进入匿名公开页面
课堂语音与转写	语音内容、文件类型、大小、时长、哈希、私有对象键、上传/发布/删除记录；如启用转写，还包括候选文字、教师确认文字、模型/任务状态	仅用于课堂记录语音及可选转写。转写默认关闭，候选文字须由教师确认；具体适用《儿童个人信息处理规则》及学校选择
学校运营与协作	学校成员、部门、任务、审批、消息/通知、操作人、时间、原因和审计记录	用于校内协作、权限治理、业务追溯和服务安全
课时与财务	课包、订单、金额、支付/退款状态、渠道标识、对账差异、课时余额与不可变流水、审批理由	用于合同履行、课时核算、对账和审计。当前 Sandbox 不发生真实资金交易；真实渠道启用前须另行更新清单和告知
学校公开内容（仅限签发时已验证启用的媒介）	学校名称、说明、主题色、已发布课程/班级最小招生信息、经批准的教师/校长介绍及头像、校园内容，以及附录确认启用的图片/视频	由学校主动发布，供匿名浏览；不得包含学生、家长、教职联系方式、私密课堂/成长记录、内部财务或未发布教务。未完成真实上传、存储、恢复、播放和端侧验证的媒介不得列为已启用
设备与服务日志	请求时间、接口、响应状态、必要的 IP/代理来源、安全指纹、浏览/分享/CTA 的随机事件键、故障和审计日志；终端本地的登录令牌、学校/角色上下文与界面偏好	用于保持会话、排错、安全防护、限流和去重。公开内容的来源地址仅用于短期限流时，不应作为长期画像持久化

我们不要求儿童提供身份证号码、人脸/指纹等生物识别、精确定位、通讯录或与教育服务无关的健康信息。学校或用户不得在自由文本、语音、图片、视频或外部链接中上传不必要的上述信息；发现后我们有权隔离并通知学校整改。

4. 我们处理个人信息的目的与法律基础

我们依场景使用一项或多项合法基础：

取得个人在充分知情前提下自愿、明确作出的同意；处理敏感个人信息、公开个人信息、向其他处理者提供信息或法律要求的其他场景，另行取得单独同意；
为订立、履行个人作为一方当事人的合同所必需，或按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
为履行法定职责或法定义务所必需；
为应对突发公共卫生事件，或紧急情况下保护自然人的生命健康和财产安全所必需；
在合理范围内处理个人自行公开或其他已经合法公开的信息；
法律、行政法规规定的其他情形。

基于同意开展的处理，在目的、方式或信息种类发生变化时，我们将重新告知并在需要时重新取得同意。撤回同意不影响撤回前基于同意已进行处理的效力，也不影响我们基于其他合法基础继续保存必要的合同、审计或争议记录。

麦克风：仅在教师主动录制课堂语音时申请；拒绝不会影响不依赖语音的课堂记录功能。家长端不应因基本浏览申请麦克风权限。
相机/相册或文件选择：仅在用户主动选择头像、公开内容图片/视频或课堂资料时调用；上传前应显示用途和范围。
剪贴板：仅在用户主动复制分享链接时使用，不读取与该动作无关的剪贴板内容。
Cookie/本地存储：用于登录会话、学校和角色上下文、CSRF 防护、随机事件去重键、界面偏好及故障恢复。不同端可能使用安全 Cookie 或终端本地存储；退出登录应清除可清除的会话材料。

我们当前不因基本功能申请精确地理位置、通讯录、蓝牙、运动健康或广告标识权限。新增权限前必须完成必要性评估并更新本政策和端内告知。

6. 委托处理、共享、转让与公开

6.1 受托服务商

为提供基础设施或专门功能，我们可能委托经评估的服务商处理必要信息。正式启用前应完成必要告知，并以适用的已签服务协议及必要的补充条款约定委托处理的法定事项；法律不当然要求每个服务商另签一份独立 DPA。附录 B 应按实际可核验的信息记录服务商、处理目的、信息种类、期限与退出安排；不能把尚未取得的精确机房地址或完整运营商分包名单写成已经核实的事实。当前候选架构可能涉及：

境内云服务器、网络、PostgreSQL、Redis、备份和私有 S3 兼容对象存储；
拟启用的阿里云国内短信服务；生产短信发送当前关闭。启用后，冼马调用阿里云 SendSms 发送手机号、短信签名、模板代码和六位验证码参数，服务商可形成发送状态及明细。阿里云官方说明发送明细保留 3 年。企业账号已签《通信能力技术服务协议》8.0；在对真实手机号启用前，仍需核对适用条款的委托处理事项、发布准确的短信处理告知、完成本项影响评估并验证安全控制。精确地域及下游链路透明度持续跟踪，但不因无法获得每个机房或运营商名单而自动阻断成人验证码；
经学校与监护人选择启用的自托管语音转写服务；当前默认关闭，不得在未更新附录 B 时调用外部公共转写 API；
未来经单独评估的真实支付渠道；当前仅有 Sandbox 模拟，不代表微信或支付宝真实处理。

我们要求受托人仅按指令处理，不得超目的留存或使用，并对其采取合同、权限、加密、审计和删除监督措施。受托关系终止时，受托人应按约返还或删除信息。

6.2 向其他个人信息处理者提供或共同处理

除法律另有规定外，如需向另一独立个人信息处理者提供个人信息，我们将告知接收方名称/姓名和联系方式、处理目的、方式及信息种类，并在法律要求时取得单独同意、完成个人信息保护影响评估。未经上述流程，不把学校业务数据出售、交换或提供给数据经纪商、广告平台或跨校营销方。

6.3 业务变更

发生合并、分立、重组、解散、被宣告破产或资产转移时，我们将告知接收方名称和联系方式，并要求接收方继续受原处理目的和方式约束；接收方变更原目的或方式的，应重新取得必要同意。

6.4 公开

只有学校或个人主动发起发布、具备相应权限和合法基础时，才公开学校宣传信息或教师/校长介绍。我们不公开儿童、家长、教职联系方式、私密课堂/成长记录、家长反馈、内部财务或未发布数据。公开个人信息前依法取得单独同意并完成影响评估；撤回发布或失去资格后，公开入口应及时失效。

7. 跨境提供

已核实的生产云主机位于中国北京市（腾讯云北京六区）。签发前仍须核对实际备份、副本和远程访问路径；未核验一致时不得接入真实学校/儿童业务数据。阿里云短信当前关闭，启用前另行核对该链路并更新受托服务商清单，不把未知机房或下游信息写成已核实事实。签发后的默认配置不得主动向中华人民共和国境外提供个人信息，也不得允许境外远程访问生产个人信息。

如未来确有跨境必要，我们将在处理前另行告知境外接收方名称/姓名和联系方式、处理目的、方式、信息种类及个人向境外接收方行使权利的方式，取得单独同意，完成个人信息保护影响评估，并依法通过安全评估、个人信息保护认证、标准合同备案或其他适用机制。未完成相应程序前该功能保持关闭。

8. 保存期限与删除

我们仅在实现目的所必要的最短期限内保存信息。学校受托数据的具体期限以 DPA 附件 1 为准；没有完成期限配置的学校不得导入真实数据。

数据	保存规则
账号与基础资料	账号存续期间；注销申请完成身份核验后进入最多 30 日必要处置期，法律或争议保留除外
登录、操作和网络安全日志	自形成之日起不少于 6 个月；超过期限后仅在安全调查、法定义务或争议所必需时继续最小保存
阿里云短信发送明细（启用后由服务商处理）	阿里云官方说明保留历史 3 年；此期限不等于冼马本地验证码明文保存 3 年
学校业务数据	服务期内按学校指令保存；合同终止后提供 30 日导出窗口，随后从在线业务系统删除或不可逆匿名化
招生咨询/试听线索	以学校配置并经家长告知的最短周期为准；目的完成、同意撤回且无其他合法基础或学校依法指示时删除
课堂语音与转写	随对应课堂记录或按学校设置的更短期限保存；删除后对象应在 7 日内完成清理，不得超过 DPA 附件 1
备份	滚动覆盖周期不超过 30 日；恢复时重新应用已到期删除清单，不用于日常查询或新目的
财务、合同、审计和争议材料	按适用法律要求及争议时效保存，仅供相应法定/审计目的使用

达到期限后，我们删除、不可逆匿名化或隔离至仅为法定义务所需的受限档案。技术上难以立即从备份中单条删除的，相关信息将被隔离、不再作其他处理，并随备份轮换永久清除。

9. 安全保护

我们采取与风险相适应的组织和技术措施，包括：

学校级数据隔离、基于有效用户/Membership/角色及孩子关系的最小权限控制；
传输加密、密钥与业务数据分离、私有对象存储、备份和恢复验证；
重要写操作的事务、幂等、不可变流水和操作审计；
开发/演示与生产隔离，生产默认关闭万能验证码、Sandbox 支付和未经批准的转写；
签发前实现并验证儿童个人信息的最小知悉范围、访问审批与不可变访问记录；能力未就绪时，运维人员不得查看真实儿童业务内容；
员工保密、培训、权限复核、供应商评估、漏洞处置和安全事件应急处置；
定期个人信息保护合规审计；处理未成年人个人信息时至少每年开展一次专项合规审计并按规定报告。

互联网服务不存在绝对安全。用户应妥善保管手机、验证码和登录设备；学校应及时撤销离职或不再履职人员的权限，不得共享账号。

10. 安全事件

发生或可能发生个人信息泄露、篡改、丢失时，我们将立即启动应急预案、采取补救措施并依法向主管部门报告。需要通知个人时，我们将以站内通知、短信、电话、邮件或其他有效方式告知事件类型、可能影响、已采取措施、个人可采取的措施及联系人；难以逐一告知时，将依法采取合理有效的公告方式。

涉及学校受托数据时，我们还按 DPA 约定在发现后不迟于 24 小时向学校提供首次通知；该时间是合同协作时限，不替代法定报告或个人通知义务。涉及儿童信息时从严优先处置。

11. 您的权利

在法律规定范围内，您或儿童监护人可请求：

知情、决定、限制或拒绝处理；
查阅、复制；符合规定时请求转移；
更正、补充；
删除；
撤回基于同意的授权；
注销账号；
要求解释本政策或对自动化决策作出说明（当前无对个人权益有重大影响的自动化决策）；
对逝者相关个人信息依法行使权利。

提交方式：发送邮件至 911403692@qq.com，或致电 18545051290。为保护信息安全，我们可能核验请求人与账号、儿童或学校的关系，但不收集超出核验所需的信息。

我们将在收到请求后及时响应，并原则上在 15 个工作日内完成或说明进展；复杂请求依法需要延期的，会说明原因。学校受托数据请求可能转交学校决定，我们会提供必要协助。拒绝请求时，我们将说明理由和投诉途径。法律允许拒绝或无法删除的最小信息将被隔离并限制用途。

撤回儿童信息处理同意可能导致依赖该信息的家庭档案、入学、课堂记录、语音或成长服务无法继续，但不影响不依赖该信息的公开浏览和其他基本功能。我们不会因不同意非必要处理而拒绝基本功能。

12. 儿童与未成年人保护

不满十四周岁的未成年人称为儿童。处理儿童个人信息前，我们应以显著、清晰易懂的方式向监护人告知，并取得监护人同意；法律要求时取得单独或书面同意。儿童个人信息的具体目的、范围、保护、权利、监护关系核验、撤回和删除规则见《冼马儿童个人信息处理规则》。

十四周岁以上不满十八周岁的未成年人同样获得增强保护。我们使用适龄语言提供告知，遵循最有利于未成年人的原则，不诱导过度披露，不以商业营销或画像为目的处理教学与成长数据。

若发现未经有效监护人授权收集了儿童个人信息，请通过 911403692@qq.com 联系我们；核验后我们将停止相关处理并依法删除或按其他合法基础处置。

13. 学校、教师和用户的责任

学校在向冼马提交任何个人信息前，应确认其拥有合法处理依据并完成必要告知、同意和内部审批；不得以“使用平台”为由绕过学校自身义务。
学校应只导入当前服务所需字段，准确维护成员权限，处理家长/儿童请求，并及时发出删除、纠正或限制处理指令。
教师只能记录与当前教学相关、客观、适当的信息，不得在自由文本或语音中加入无关健康、家庭、身份或评价性隐私。
家长应保证有权代表儿童作出决定，提供准确关系信息，并避免上传其他儿童或家庭成员的无关信息。
任何用户不得爬取、批量导出、转发、公开或利用其有权查看的信息侵害他人权益。

14. 政策更新、投诉与争议

我们会记录政策版本。处理目的、方式、信息种类、共享/跨境对象、儿童规则或权利路径发生重大变化时，将以显著方式重新告知；基于同意且依法需重新同意的，未取得前不启用变化后的处理。

您可通过第 2 节渠道投诉。我们原则上在 15 个工作日内答复。您也可向网信、公安、市场监管、教育等有权部门投诉举报，或依法向有管辖权的人民法院提起诉讼。

本政策的成立、生效、履行和解释适用中华人民共和国法律。学校 DPA 另有合法有效的管辖约定时，学校与运营主体之间从其约定；该约定不限制个人依法寻求救济的权利。

15. 主要法律依据

本候选稿基于截至 2026-09-28 可核验的以下现行规则；如适用小型个人信息处理者简化措施，仍须核实实际处理人数和具体适用条件，不能据此免除儿童个人信息的专门保护义务：

附录 A：签发信息表（必须全部完成）

项目	签发值
运营主体全称	黑龙江先马科技有限公司
统一社会信用代码	91230604MAKMTNXL69
注册地址/办公地址	黑龙江省大庆市让胡路区聚贤街25号大庆昆仑唐人中心1号商服81号 / 同注册地址
隐私负责人及渠道	姜德文 / 911403692@qq.com / 18545051290（每周二、周五 14:00–16:00，北京时间）
已核实的生产云主机地区	中国北京市，腾讯云北京六区；备份、副本及远程访问路径仍待核验
DPA 导出窗口	30 日（负责人已批准；机制在逐校真实数据准入前核验）
备份最长保留期	30 日（负责人已批准；自动轮换已有本地候选，待生产核验）
语音删除窗口	删除后 7 日内（负责人已批准；清理机制待核验）
事件首次通知时限	24 小时（负责人已批准的目标；全天首位联系人及双向失联接替已确认，主机安全接收渠道已验证，实际事件投递尚无记录）
版本、发布日期、生效日	签发时以最终不可变版本及公告日期为准；本候选稿尚未生效
法务、隐私、安全、产品批准人	姜德文（兼任以上四项）

附录 B：受托服务商清单（签发前按生产事实填写）

服务商及联系方式	服务	信息种类	目的	地点	期限	子处理者/退出方式
腾讯云轻量应用服务器（Lighthouse）；腾讯云服务协议	云主机和网络；现有部署在主机内运行数据库、缓存和备份	按已启用功能处理的账号、学校业务数据与必要日志	运行服务与灾备	已核验云主机位于中国北京六区；其他副本待核验	服务期与退出保留依适用条款及本政策第 8 节；生产实际副本待核验	适用合同版本、下游协助方与退出迁移/删除执行证据待核验
运营主体自托管 MinIO（运行于上述腾讯云实例的私有容器，非另购腾讯云 COS）	私有对象存储	课堂语音、学校公开视频及元数据	存储与授权播放	源码和当前健康容器指向同机部署；运行时卷及远端副本待核验	按课堂记录、学校指令及第 8 节；删除机制待验证	无独立对象云服务商；对象副本、权限及退出删除仍需生产核验

阿里云短信、外部语音转写和真实支付当前不列为已启用的受托处理链路；启用前须核对实际接收方、地区、字段、期限和退出方式，更新本清单并完成必要告知与评估。

附录 C：通用政策签发与真实数据准入核对

C.1 通用政策签发前

[ ] App/小程序隐私保护指引、权限弹窗、登录页和设置页与本政策同版本；
[ ] 端内提供隐私政策、儿童规则、权利请求和账号注销入口；
[ ] 实际数据库、缓存、对象存储、备份、短信、转写、支付及监控供应商与附录 B 一致；
[ ] 已验证当前启用功能中的更正、删除、撤回、注销、备份到期和公开下架流程；
[ ] 已完成个人信息保护影响评估；儿童、敏感信息、公开、委托及任何跨境场景分别留档；
[ ] 已落实儿童个人信息年度合规审计、最小授权审批和访问记录；
[ ] 生产未启用未披露 SDK、外部转写、真实支付或跨境访问；
[ ] 已进行法务终审并归档签发版本。

C.2 每所学校、每名儿童真实数据准入前

[ ] 与该学校签署 DPA 并补齐该校的处理指令、保存期限、导出/删除渠道、安全事件联系人和附件；通用政策签发不要求预先指定首家学校。
[ ] 验证该校合同终止后的 30 日受控导出窗口及到期删除流程，再接入该校真实业务数据。
[ ] 对涉及的每名儿童完成适用的监护人告知、关系核验和分项同意，并保存与其实际见到的规则一致的版本记录；课堂语音和转写还须通过对应的逐项门禁。
[ ] 核对该校启用的功能、公开内容、服务商和地区，完成该校所需的专项评估与端到端验证；未通过的处理保持关闭。