冼马学校数据处理协议（DPA）

分类：Legal / Compliance

状态：签署候选模板（待双方主体、商业主协议、生产分包商、期限与法务批准；未签署前不得导入真实学校/儿童数据）

Owner：Legal / Security / Product

最后更新：2026-09-29

期限裁决：2026-09-28，负责人已批准导出 30 日、备份最长保留 30 日、课堂语音删除后 7 日内清理、事件发现后 24 小时内首次通知。2026-09-29 负责人指定姜博然在非客服时间接收告警并有权止损、向学校发出首次通知，姜博然失联时转姜德文；客服时间姜德文失联时由姜博然接替。主机安全接收渠道已验证，但尚无实际事件投递记录；不以桌面演练作为模板签署前提。清理、导出与应急机制其余缺口整改并验证前，本模板不得签署，详见 DC-125↗。

权威来源：documents/EduFlow Pilot 1.0 Canonical Scope.md、documents/EduFlow V0.1 Canonical Decisions.md、当前代码与 Prisma schema；与同版本《冼马隐私政策》《冼马儿童个人信息处理规则》配套适用

DPA 版本：[DPA_VERSION]

生效日期：[DPA_EFFECTIVE_DATE]

关联主协议：[MASTER_AGREEMENT_NAME_VERSION_AND_DATE]

签署门禁。 本 DPA 不是对当前产品已具备真实数据处理资格的声明。双方须补齐所有方括号字段及附件，确认生产基础设施、删除/导出、权利请求、安全事件和儿童信息年度审计流程已经验证，并由授权代表签署。未满足门禁时，试用、访谈和演示只能使用合成或不可逆脱敏数据。

第一条　协议主体

甲方（委托方/学校）：[SCHOOL_LEGAL_NAME]

• 统一社会信用代码/办学主体证照编号：[SCHOOL_REGISTRATION_ID]
• 地址：[SCHOOL_ADDRESS]
• 数据保护联系人及职务：[SCHOOL_DATA_CONTACT]
• 联系方式：[SCHOOL_CONTACT_DETAILS]

乙方（受托方/冼马运营主体）：[OPERATOR_LEGAL_NAME]

• 统一社会信用代码：[UNIFIED_SOCIAL_CREDIT_CODE]
• 注册地址：[REGISTERED_ADDRESS]
• 数据保护/个人信息保护负责人：[PRIVACY_OFFICER]
• 隐私邮箱：[PRIVACY_EMAIL]
• 安全事件紧急渠道候选：每周二、周五 14:00–16:00（北京时间）联系姜德文 18545051290，失联转姜博然 13140738206；其他时间联系姜博然，失联转姜德文。逐校签署时在附件 6 固定学校和运营主体的实际渠道。

鉴于甲方使用冼马｜校长端、教师端、家长端及关联服务开展学校招生、教学、成长、协作和课时管理，双方就甲方委托乙方处理学校数据订立本协议。

第二条　定义与文件效力

1. 适用数据保护法律：包括现行《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《网络数据安全管理条例》《未成年人网络保护条例》《儿童个人信息网络保护规定》《个人信息保护合规审计管理办法》及对双方处理活动具有约束力的其他法律、行政法规、部门规章和强制性国家标准。
2. 甲方数据：甲方或其授权用户向服务提交、在服务中产生，或乙方为甲方处理的个人信息、重要数据（如经识别）、业务数据及其备份、日志和衍生数据，不包括乙方为自身账号安全、平台安全、合同结算和法定义务独立决定处理的最小数据。
3. 个人信息、敏感个人信息、儿童、处理、委托处理、共同处理、单独同意：按适用法律定义。儿童指不满十四周岁的未成年人。
4. 个人信息安全事件：已经或可能导致个人信息泄露、篡改、丢失、毁损、非法获取、非法利用或不可用的事件。
5. 子受托人：乙方为履行本协议而委托处理甲方数据的第三方，不包括不接触甲方数据的一般供应商。
6. 书面指令：本 DPA、主协议、附件 1、甲方经授权管理员在产品中作出的配置/操作，以及双方通过约定工单或签章文件确认的指令。口头或个人聊天消息只有经授权联系人在约定渠道确认后才构成指令。

文件冲突时，涉及数据处理的内容按以下顺序适用：双方签署的特别数据处理补充条款、本 DPA 正文、DPA 附件、主协议、产品说明。法律有更严格要求的从其规定。本 DPA 不扩大冼马 Pilot 交付范围，也不把演示、Sandbox 或未来功能视为已购买/已启用服务。

第三条　角色划分

1. 对附件 1 所列学校招生、学生/家长关系、教学、成长、课堂语音、课时、协作及学校经营数据，甲方决定处理目的和方式，是个人信息处理者；乙方仅按甲方合法指令处理，是受托人。
2. 对用户账号认证、平台和网络安全、反滥用、乙方服务计费、合同管理、乙方法定义务及本协议审计所必需的最小个人信息，乙方依法独立决定处理目的和方式，并按《冼马隐私政策》承担责任。
3. 一方超出本协议自行决定新的处理目的或方式的，就超出部分独立承担个人信息处理者责任。任何一方不得借“共同处理”或“委托处理”之名规避法定义务。
4. 双方如未来共同决定某项处理目的和方式，应在启用前另行书面约定各自权利义务、个人权利响应和事件责任；未签署前该处理保持关闭。

第四条　处理范围与指令

1. 委托处理的主体、期限、性质、目的、信息种类、数据主体和操作见附件 1；保存与退出见附件 4。
2. 乙方仅在履行主协议、DPA 和甲方指令所必要的范围内访问、存储、使用、加工、传输、提供、删除甲方数据，不得：
   • 用于乙方或第三方广告、跨校画像、数据出售/交换、通用人工智能模型训练；
   • 将甲方数据与其他学校数据混合授权、跨租户查询或用于与服务无关的产品研究；
   • 擅自公开、向独立个人信息处理者提供或向境外提供；
   • 超出附件期限保留可识别数据。
3. 甲方通过具有有效校长/副校长权限的账号发出产品内指令。涉及全量导出、批量删除、期限变更、子受托人例外或其他高风险操作时，乙方可要求由附件 6 授权联系人二次确认。
4. 乙方认为甲方指令违反适用法律时，应立即告知甲方并暂停该指令，但为防止紧迫损害所必需的措施除外。双方协商形成合法替代方案；乙方不得仅因甲方要求而执行明显违法处理。
5. 乙方为维护服务所作的纯技术变更不得实质扩大目的、信息种类、接收方或地点。发生实质变化时，须先更新附件、完成评估和必要告知/同意。

第五条　甲方义务

甲方承诺并负责：

1. 对每项个人信息处理具有合法、正当、必要、明确的目的和适用合法基础，在提交乙方前完成真实、准确、完整、显著的告知；法律要求时取得有效的单独或书面同意并保留证据。
2. 处理不满十四周岁儿童信息前，向监护人提供同版本《冼马儿童个人信息处理规则》和家长告知同意书，核验监护关系并取得监护人同意；语音、转写、公开、跨境分别处理，不使用概括或预勾选同意。
3. 只导入附件 1 批准且为当前功能所必需的信息；禁止在自由文本、语音、图片、视频或链接中提交无关身份证明、医疗健康、生物识别、精确定位、其他家庭成员或第三方信息。
4. 保证数据来源合法、内容准确，并及时更正；不得提交国家秘密、工作秘密、未经识别评估的重要数据，或法律禁止通过本服务处理的数据。
5. 指定数据与儿童信息负责人，建立内部权限、保密、培训、权利请求、事件上报、保存/删除和供应商管理制度。
6. 为每名用户分配独立账号，按最小权限配置有效 Membership/角色，至少每季度复核权限，并在离职、换岗、离校、监护关系变化或不再履职时立即撤权。
7. 受理学生、家长、教师、员工等个人的权利请求并及时向乙方发出可执行指令；不得要求乙方通过产品功能规避个人权利。
8. 在启用敏感个人信息、儿童信息、公开、委托处理、向其他处理者提供、自动化决策或跨境处理前完成个人信息保护影响评估并至少保存三年；按法律要求开展合规审计。
9. 不将生产数据导入开发、演示、Sandbox 或个人设备，不共享账号或验证码，不绕过审计导出和传播甲方数据。

第六条　乙方义务

乙方承诺并负责：

1. 仅按本协议和合法书面指令处理甲方数据；处理目的、方式或种类变化时不得静默启用。
2. 指定个人信息保护/数据安全联系人，落实附件 3 的安全措施和与风险相适应的管理制度。
3. 对获准处理甲方数据的人员进行背景适当性、保密和数据保护培训，以最小知悉范围授权；离岗或职责变化时及时撤权。保密义务不因劳动/合作关系终止而消灭。
4. 保持学校租户隔离、角色和孩子关系授权、操作审计、备份与恢复能力；不得为运维便利提供通用跨校账号或绕过服务层的日常写入口。
5. 协助甲方履行告知、同意证明、个人权利、影响评估、合规审计、安全评估、监管咨询和事件通知义务。
6. 维护实际处理清单、数据流、子受托人、存储地点、权限和保存期限记录，并向甲方提供合理必要的信息。
7. 服务终止或指令到期时按附件 4 返还、删除或匿名化；除法律要求外不留存副本。
8. 不得基于甲方数据训练通用模型。若未来甲方明确要求封闭的学校专用模型处理，双方应另行签署目的、训练/推理数据、模型输出、反向识别、保留和退出条款；未签署前功能关闭。

第七条　儿童与敏感个人信息特别保护

1. 双方确认附件 1 中的儿童身份、监护关系、课堂/成长、语音、课时和相关信息属于或可能构成敏感个人信息，应有特定目的、充分必要性和严格保护措施。
2. 乙方为儿童信息指定负责人，最小化访问人员。签发前必须实现并验证工作人员访问儿童信息的审批、访问原因/范围/时间记录和技术限制；在该能力就绪前，乙方工作人员不得查看真实儿童业务内容。
3. 乙方至少每年自行或委托专业机构对未成年人个人信息处理进行合规审计，并按规定将审计情况报告有关部门；甲方提供其职责范围内的必要证据和整改配合。
4. 课堂语音使用学校隔离的私有对象存储，不提供永久公开 URL，不作声纹识别。全班语音只有在系统逐次证明班内每一名可能被识别儿童均有有效、未撤回的对应同意时才可录制和发布；任何一名儿童缺少同意、状态无法证明或撤回时，必须阻断全班语音并退化为不包含该儿童的个体语音或纯文字记录。语音资产和发布操作必须引用可审计同意依据。转写默认关闭，仅可使用附件 2 已批准的境内受托服务，候选文字须教师确认后方可进入正式记录。
5. 双方不得向儿童进行商业营销、用教学/成长信息作广告画像，或通过自动化决策作出对儿童权益有重大影响的教育评价、分班、收费或奖惩决定。
6. 儿童作品、照片、活动影像或记录公开不在本 DPA 默认指令范围内；甲方须另行逐项完成合法性基础、单独同意和影响评估，双方签署特别指令后方可处理。

第八条　安全措施

1. 乙方实施附件 3 所列措施，包括但不限于：加密传输、密钥分离、身份认证、学校隔离、最小权限、私有对象存储、日志审计、事务/幂等保护、备份恢复、漏洞和事件管理。
2. 生产环境与开发/测试/演示隔离。生产不得启用开发万能验证码、公开调试接口、未经批准的 Sandbox、外部转写或示例密钥。
3. 甲方负责其终端、账号、人员与本地导出文件安全；乙方负责其服务端、网络边界、代码、数据库、缓存、对象存储、备份和子受托人安全。双方发现对方控制范围内风险时及时通知。
4. 乙方每年至少进行一次与服务风险相适应的安全评估/测试，并对重大问题跟踪整改。摘要或第三方报告可按保密约定向甲方提供。
5. 乙方未经授权不得把甲方数据用于测试。问题复现优先使用合成或脱敏数据；确需最小生产样本时须经甲方授权、审批、隔离、限时访问和销毁留痕。

第九条　子受托人

1. 甲方对附件 2 所列子受托人给予一般书面授权。乙方应与每一子受托人签署不低于本 DPA 保护水平的合同，并对其履约进行监督；乙方不因转委托免除责任。
2. 新增或实质更换子受托人前，乙方至少提前 [SUBPROCESSOR_NOTICE_DAYS] 日通知甲方，说明名称、联系方式、服务、信息种类、地点、期限和安全措施。涉及儿童语音、跨境或处理目的变化的，不适用默示授权，须甲方明确书面批准并完成必要监护人告知/同意。
3. 甲方可在通知期内基于合理的数据保护理由提出异议。双方优先采用不涉及该子受托人的配置或其他合规替代方案；无法解决且变更实质增加风险时，甲方可终止受影响服务而不承担未发生期间费用，主协议另有更有利约定的从其约定。
4. 子受托关系终止时，乙方确保其返还或删除甲方数据并取得可核验证明。

第十条　跨境与政府调取

1. 甲方数据默认存储和处理在中华人民共和国境内的 [PRC_STORAGE_REGIONS]。未经甲方事先书面批准和法定程序，乙方及子受托人不得向境外提供或允许境外远程访问。
2. 如未来确需跨境，双方须在启用前完成个人信息保护影响评估、单独告知与同意，并依法完成安全评估、个人信息保护认证、标准合同备案或其他适用机制；儿童数据从严处理。未完成前功能关闭。
3. 收到行政、司法或监管机关要求提供甲方数据时，乙方应核验请求的合法性、权限和范围，在法律允许时及时通知甲方，仅提供依法必须的最小信息，并记录请求和响应。法律禁止通知时，乙方在允许范围内提供统计或延迟通知。

第十一条　个人权利请求

1. 乙方直接收到涉及甲方受托数据的查阅、复制、转移、更正、补充、删除、限制、拒绝、撤回或解释请求时，应在 2 个工作日内转交甲方，不擅自决定实体结果；紧急儿童安全请求立即转交。
2. 甲方负责核验请求人身份、监护关系和合法性，并在法定/公开承诺期限内作出决定。乙方在收到完整、合法、可执行指令后，于 [PROCESSOR_REQUEST_COMPLETION_DAYS] 个工作日内完成技术操作或说明客观限制。
3. 乙方提供合理的检索、导出、更正、删除、限制、同意版本和审计支持。超出标准能力且产生显著成本的，双方可事先协商费用，但不得以费用阻碍法定权利。
4. 拒绝或无法删除时，甲方说明法律依据；乙方对需保留信息实施隔离、限制访问和用途，并在依据消失后删除。

第十二条　个人信息安全事件

1. 乙方发现或合理怀疑个人信息安全事件后，立即启动预案、控制影响、保存证据并开展调查；不得等待完全查清后才通知甲方。
2. 乙方应在发现后不迟于 24 小时向甲方附件 6 紧急联系人发出首次通知，并持续更新。首次通知至少包含当时已知的：
   • 事件发生/发现时间、性质与状态；
   • 涉及系统、学校、数据主体类别与大致数量；
   • 涉及信息种类、敏感/儿童信息情况；
   • 可能影响；
   • 已采取和计划采取的措施；
   • 事件联系人及下次更新时间。
3. 乙方配合甲方依法向主管部门和个人通知，提供事实、影响评估和补救建议。未经甲方同意不以甲方名义对外表态，但法律要求乙方直接报告/通知的除外。
4. 事件关闭后 [INCIDENT_REPORT_DAYS] 个工作日内，乙方提供根因、时间线、影响、数据范围、处置、恢复、改进和证据保存情况的书面报告。通知或合作不构成责任承认。
5. 甲方控制范围内发生事件时，应立即通知乙方并采取措施，乙方提供合理技术协助。

第十三条　合规证明、评估与审计

1. 乙方按合理请求提供本 DPA 履行所需的政策、架构说明、安全措施、子受托人、测试/审计摘要、事件与删除证明，敏感细节可在保密、脱敏或受控查阅条件下提供。
2. 甲方原则上每十二个月可进行一次常规审计；发生重大事件、监管要求或有合理证据表明严重不合规时可增加专项审计。优先使用文件审计、现有独立报告和远程访谈，仍不足时安排不影响其他客户安全的现场审计。
3. 审计方须独立、具备能力并承担保密义务，不得访问其他学校数据、源代码秘密或削弱系统安全。常规审计由甲方承担自身费用；确认乙方重大违约时，乙方承担合理整改和必要复核成本。
4. 双方对发现的问题按风险分级制定整改计划。乙方不得以“审计尚未完成”为由延迟处置已知的高风险漏洞或违法处理。
5. 双方分别依法保存个人信息保护影响评估和处理活动记录至少三年；儿童年度审计按第七条执行。

第十四条　数据准确性、可携与业务连续性

1. 甲方负责业务数据准确性；乙方不得擅自改变业务含义，并提供合理的更正能力和可追溯记录。
2. 导出格式为附件 4 约定的结构化、通用、机器可读格式，并附必要字段说明、文件清单和校验值。财务/课时不可变流水的导出须保留顺序、引用和审计语义，不得只提供当前余额。
3. 乙方维护备份与恢复能力并定期验证；对象存储（语音/视频）与数据库备份须分别覆盖并可核验关联完整性。
4. 灾难恢复目标：RPO [RPO]，RTO [RTO]。未填入并经过演练前不得向甲方承诺具体 SLA；主协议有更严格、且经验证的约定时从其约定。

第十五条　服务终止、返还与删除

1. 主协议终止或甲方发出合法退出指令后，乙方停止除导出、删除、安全和法定保留外的新处理，并在 30 日导出窗口内允许甲方取得数据。
2. 导出经甲方书面确认或窗口届满后，乙方在附件 4 期限内从在线业务系统、缓存、搜索/临时区和对象存储删除或不可逆匿名化，并随备份轮换清除。子受托人同步执行。
3. 乙方提供包含数据范围、系统范围、完成时间、例外及签发人的删除证明。法律要求保留的最小信息应隔离、限制用途和人员，并列明依据、范围和到期日。
4. 服务终止不得改写或破坏甲方在终止前合法产生的财务、课时、授权和操作审计语义；导出后乙方按期限删除其副本，不以“账本不可变”为由无限期占有甲方数据。
5. 未完成可验证导出与删除前，不视为数据退出义务完成。

第十六条　保密、知识产权与数据使用

1. 双方对履约中获知的个人信息、商业秘密、系统安全信息和未公开业务数据承担保密义务，仅限有必要知悉的人员使用。
2. 甲方数据及其业务内容的权利归甲方或相关权利人；本 DPA 不转移所有权。乙方仅取得履约所需的有限处理权限。
3. 乙方可使用不再识别个人且不能复原、不能定位甲方的匿名化统计改进服务；去标识化数据仍属个人信息时不适用本款。乙方不得以“统计”名义保留可回溯学校或个人的数据。
4. 法律要求披露时，披露方按第十条最小披露并在允许时通知另一方。

第十七条　违约、责任与保险

1. 任一方违反本 DPA，应立即停止违约、采取补救、减少损害并赔偿因其过错给对方造成的可证明损失；对个人和监管机关的责任按适用法律承担。
2. 责任限制、间接损失、总额上限和保险按主协议第 [LIABILITY_CLAUSE_REFERENCE] 条执行，但不得排除或限制法律禁止限制的责任，也不得因责任上限而拒绝法定补救、删除、通知或监管配合。
3. 一方因另一方违法指令、未经授权处理或安全过错受到第三方索赔/行政处理时，责任方应提供合理协助并按过错承担责任。
4. 网络安全/隐私保险（如适用）：[CYBER_INSURANCE_REQUIREMENT]。

第十八条　期限、变更和终止

1. 本 DPA 自双方签署或约定生效日起生效，在乙方持有任何甲方数据期间持续有效；保密、审计、事件、删除和责任条款在终止后继续有效至义务完成。
2. 法律或服务实质变化需要修改 DPA 时，乙方提供书面变更稿和影响说明。降低保护水平、扩大目的/信息种类/接收方/地点的变更须双方明确签署，不因继续使用而自动视为同意。
3. 一方重大违约且在收到通知后 [CURE_PERIOD_DAYS] 日内未纠正，或违法处理造成紧迫风险时，守约方可暂停受影响处理或终止协议。暂停期间双方优先保护个人权益和数据完整性。

第十九条　通知、法律适用与争议解决

1. 日常数据指令、权利请求和安全事件分别使用附件 6 约定渠道。联系人变化应提前书面通知；紧急联系人变化立即生效。
2. 本 DPA 适用中华人民共和国法律。
3. 因本 DPA 产生的争议，双方先友好协商；协商不成，按以下一种经双方明确选择的方式解决（不得同时保留）：
   • □ 向 [CHOSEN_COURT] 有管辖权的人民法院起诉；
   • □ 提交 [CHOSEN_ARBITRATION_COMMISSION] 按其届时有效规则仲裁，仲裁地为 [ARBITRATION_SEAT]。
4. 争议不影响双方继续履行保护个人权益、安全处置、监管配合和到期删除义务。

第二十条　签署

本 DPA 正文及附件 1—6 构成完整数据处理约定，可采用可靠电子签名或盖章纸质件签署。

1. 通用指令

• 处理期限：主协议有效期，加附件 4 导出/删除期；法定保留除外。
• 处理地点：中华人民共和国境内 [PRC_STORAGE_REGIONS]。
• 处理性质：收集（通过甲方/授权用户提交）、记录、组织、存储、查询、展示、传输、备份、恢复、导出、限制、删除/匿名化；不含默认公开、跨境、广告画像或模型训练。
• 数据主体：甲方负责人/员工/教师、家长、学生/儿童、招生联系人、经授权访客和其他经双方书面确认主体。

2. 处理活动

本表每项必须逐项勾选，并与签发时生产验证证据一致。未完成真实上传、对象恢复、授权播放、下架/删除、端侧和供应商验证的图片/视频媒介保持未勾选；出现在代码、开发配置或本地合成数据中不等于已获准处理真实数据。

3. 明确排除（除非另签特别指令）

• 身份证/户口簿完整影像、人脸/指纹/声纹模板；
• 医疗健康、过敏、残障或心理诊断；
• 精确地理位置、通讯录、设备广告标识；
• 儿童作品/照片/活动影像公开；
• 跨境提供或境外远程访问；
• 面向儿童的广告画像、自动化重大决定、跨校排名或通用模型训练；
• 国家秘密、工作秘密或未经依法识别和特别约定的重要数据/核心数据。

未填完整的行视为未授权/未启用。当前自托管 PostgreSQL、Redis、MinIO 或 whisper.cpp 如由乙方直接控制且不构成第三方子受托人，仍须在生产基础设施清单中记录地点、访问人员和期限。

导出窗口：30 日。导出交付渠道：[SECURE_EXPORT_CHANNEL]。删除证明签发时限：删除完成后 [DELETION_CERTIFICATE_DAYS] 个工作日。

• 事件编号：[INCIDENT_ID]
• 发现时间/时区：[DISCOVERED_AT]
• 发生时间或区间：[OCCURRED_AT_OR_RANGE]
• 当前状态：[CONTAINED/ONGOING/RESOLVED]
• 涉及学校/系统：[SCOPE]
• 数据主体类别与估计数量：[SUBJECTS_AND_COUNT]
• 信息种类、敏感/儿童情况：[DATA_CATEGORIES]
• 可能影响：[LIKELY_CONSEQUENCES]
• 已采取措施：[MEASURES_TAKEN]
• 甲方建议动作：[SCHOOL_ACTIONS]
• 是否已向监管/个人通知：[NOTIFICATION_STATUS]
• 事件负责人和 24×7 联系方式：[INCIDENT_OWNER]
• 下次更新时间：[NEXT_UPDATE_AT]