LEGAL GrowingX
Children's Personal Information Protection Policy
更新日期：2026年8月16日 · 生效日期：2026年8月16日
English文档版本：2026.08.16.1
更新日期：2026年8月16日
生效日期：2026年8月16日
当前状态：工程合规稿，待外部律师就本版本和 SHA-256 书面签核；本文件不得表述为“律师审定”或“律师已签核”。
成都瀚熙科技有限责任公司（以下简称“瀚熙科技”或“我们”）依据《中华人民共和国个人信息保护法》《儿童个人信息网络保护规定》《未成年人网络保护条例》等制定本政策。
本政策是《隐私政策》项下针对未满14周岁儿童的专门规则。请父母或其他监护人（以下简称“监护人”）在机构为儿童建档、开通受控账号或启用涉及儿童信息的功能前完整阅读。若不同意非必要处理，儿童仍可使用不依赖该信息的基本功能；若不同意提供某项核心功能严格必要的信息，该项功能可能无法提供。
核心提示：未满14周岁儿童的全部个人信息依法属于敏感个人信息。手机号、设备信息、日志、订单/课消、推送标识、昵称等不能因为看似普通或主要用于安全而标为“非敏感”。
| 处理活动 | 机构角色 | 瀚熙科技角色 |
|---|---|---|
| 机构决定为儿童建档、排课、训练、签到、订单课消、评价或展示 | 个人信息处理者，对目的、必要性、告知、监护人同意和权利响应负责 | 依据机构合法指示及 DPA 受托处理 |
| 儿童/监护人直接账号认证、平台安全、我们直接受理的隐私投诉 | 视具体活动提供必要协助 | 对自主决定的目的和方式承担个人信息处理者责任 |
| 我们超出机构指示自行使用机构控制的儿童数据 | 不因此免除机构监督责任 | 就超出部分依法承担个人信息处理者责任，并构成 DPA 违约 |
提供表单、验证码或电子同意模板仅是技术协助，不表示我们保证机构已取得合法有效的监护人同意。
涉及儿童个人信息时，本政策优先于一般《隐私政策》；机构控制数据同时适用 DPA，二者按更严格保护要求共同执行。简明说明不得减损本政策。
中文文本是中国大陆服务的权威文本，英文逐条对照；不一致时以中文和法律强制性规定为准。
| 年龄 | 账号方式 | 个人信息规则 | 授权要求 |
|---|---|---|---|
| 未满14周岁 | 不得自助注册；机构发起受控邀请 | 本政策；全部个人信息按敏感个人信息 | 监护验证和监护人明确同意 |
| 已满14周岁不满18周岁 | 不得自助注册；机构发起受控邀请 | 《隐私政策》及未成年人保护规则 | 监护验证授权并在监护指导下使用 |
| 已满18周岁 | 可按产品规则自助注册 | 《隐私政策》 | 本人依法选择 |
年龄可依据机构已有档案、监护人提供的出生信息和其他合理证据核验。仅根据课程名称、班级或行为画像推断年龄不能替代核验。
无法确认是否未满14周岁、年龄信息矛盾或有合理理由怀疑实际使用者/被记录者为儿童时，在合理确认前按儿童标准保护并暂停非必要处理。监护人可请求更正年龄分层；核验材料应最小化、限制访问，并在目的完成后及时删除或按法定最短期限限制保存。
只有在实际启用相应功能、机构具备合法目的和监护人完成相应授权后，才可处理下列信息。本表是风险与合规范围，不证明任一可选功能已经上线。
| 场景 | 可能涉及的儿童个人信息 | 儿童信息敏感性 | 目的和必要性边界 |
|---|---|---|---|
| 建档/受控账号 | 姓名、昵称、性别、出生日期、手机号（如有）、照片、机构/校区/班级 | 是，全部敏感 | 识别正确学员、账号和教学关系 |
| 监护绑定 | 儿童标识、监护关系、监护人联系方式与授权记录 | 是，关联儿童的部分全部敏感 | 建立可追溯的监护授权和权利通道 |
| 排课、签到、训练 | 课程、到课时间、点状位置（如启用）、训练内容、等级、评价、请假 | 是，全部敏感 | 机构明确的教学和安全管理 |
| 照片、视频、音频 | 儿童人像、声音、时间地点及附件元数据 | 是，全部敏感 | 经明确授权的训练记录、反馈或必要证据 |
| 订单和课消 | 课包、订单 UUID、课消、退款状态、关联联系方式 | 是，全部敏感 | 机构履行培训合同和核对课时 |
| 赛事、成绩或展示 | 姓名/昵称、头像、成绩、排名、作品 | 是，全部敏感 | 仅限监护人单独同意的具体展示范围 |
| 设备、安全和日志 | IP、设备/应用基础信息、推送标识、访问/操作/接口/异常日志 | 是，全部敏感 | 账号安全、审计和防止未授权访问 |
| 客服、投诉和权利请求 | 沟通内容、工单、证明材料、请求处理记录 | 是，全部敏感 | 响应监护人、处置争议或履行法定义务 |
监护人自身独立个人信息按其信息性质分类；但其与特定儿童的关系、授权和沟通记录属于儿童个人信息的组成部分，按敏感个人信息保护。
机构和我们不得以提升体验、方便管理或未来可能使用为由，收集与明确场景无关的儿童身份证号、户籍、健康病史、生物识别模板、连续轨迹、通讯录或其他高风险信息。确有特定且充分必要的，应另行完成影响评估、显著告知和监护人同意，并设置更短期限。
自定义字段、批量导入和附件上传同样受本政策约束。机构不得把无关信息写入备注、文件名、图片或自由文本规避最小必要要求。
监护人同意必须建立在合理、可审计的监护验证上，至少组合下列步骤：
仅完成 OTP 或儿童本人勾选，均不构成监护人授权。机构工作人员代点、口头推定或批量勾选也不能替代监护人的可验证选择。
监护邀请和 OTP 必须：
具体有效期和次数阈值应以安全评估、产品实现和风控证据为准；未经验证不得在公开政策中虚构固定参数。
发生监护人之间争议、档案不匹配、异常设备/频率、儿童安全风险、重大权利请求、敏感数据导出、账户接管嫌疑或其他高风险情形时，应暂停相关高风险操作并增强核验。可按最小必要原则要求人工回访、机构既有书面档案、法定监护证明或其他可靠证据。
增强材料应与日常业务数据分离、限定儿童保护负责人及获批人员访问、记录审批和查看，并在核验或争议目的完成后及时删除；法律要求保留的，仅限制保存最小证据。
记录至少包括机构和儿童标识、监护关系声明、核验方式和结果、同意事项、政策版本/哈希、主动选择、服务端时间、失败/撤回历史和经批准的增强核验结论。机构和我们按角色分别保存可验证证据。
前述同意与核验记录，以及对儿童个人信息的处理情况记录、影响评估报告，自记录形成之日起保存不少于三（3）年；法律、行政法规或主管部门规定更长期限的，从其规定。
目的、方式、信息种类、必要性、期限、展示、供应商、跨境或 AI 训练发生实质变化时，重新告知并重新取得相应监护人同意。监护人可便捷撤回；撤回不影响此前合法处理，但此后停止依赖该同意的处理并依法删除或限制。
儿童个人信息仅可用于监护人被明确告知且同意的具体教学管理、安全、客服和法定义务目的。拒绝或撤回非必要处理，不得成为拒绝提供基本功能的理由。
我们和机构均不得：
相机、相册、麦克风、位置、推送等功能仅在实际产品完成权限、数据流、保存、供应商和影响核验后上线，并在用户主动触发时逐场景申请。未核验功能仅是上线门禁，不是本政策所述的既成处理事实。
训练影像只能用于监护人被告知的具体存档、反馈或必要证据，不得自动转用于宣传、人脸识别建库、情绪/行为画像或模型训练。精确位置只能在明确触发时按最小精度和频率处理，不得未披露地持续后台定位或形成轨迹。
排行榜、赛事、作品、训练影像或其他公开/半公开展示须单独说明对象、渠道、范围、期限和风险，并取得监护人单独同意。监护人可撤回并要求停止后续展示；机构负责其自主发布渠道，我们在受托范围内协助下线。
儿童个人信息不得交由未完成生产启用、签约法定主体、数据字段、地点、期限、跨境、安全和合同核验的外部供应商、SDK、插件或接口处理。当前公开状态见供应商与分包商清单。
截至本版本生效日：当前无已核验可公开项。未列入或未核验者不得处理生产儿童个人信息。 代码依赖、测试账号、候选配置或品牌推测不构成例外。
机构委托我们处理儿童个人信息前应完成影响评估并签署 DPA。我们进一步委托时须完成安全评估、签署书面协议并依 DPA 提前通知机构；分包商仅可按明确目的、期限和指示处理，并承担不低于本政策的保护义务。未获合法授权不得进一步分包。
向其他个人信息处理者提供、转移或公开儿童个人信息，须依法完成影响评估、显著告知和监护人单独同意，法律另有规定的除外。儿童个人信息原则上境内存储；确需向境外提供或境外远程访问的，须完成适用法定机制、告知境外接收方等事项并取得监护人单独同意。未完成核验不得上线。
儿童个人信息仅保存实现具体目的所必要的最短期限。机构应在建档时确定各类别期限，我们按 DPA 指示执行；安全日志、同意证据和争议材料仅按法定或必要举证期限限制保存，不得再用于教学、营销或训练。
目的实现或不再必要、期限届满、监护人撤回同意、儿童/监护人终止服务、处理违法或有效删除请求成立时，应及时删除。备份在受控轮换内隔离，不得恢复用于业务；恢复时重新执行删除。
匿名化必须达到不能识别、不能复原并通过重新识别风险评估。去标识化、移除姓名、替换 UUID、散列或汇总不足以当然构成匿名化；在达到匿名化标准前仍是敏感个人信息。
停止运营产品或服务时，立即停止新增收集，依法通知监护人并删除持有的儿童个人信息；法律另有最低保存义务的，仅限制保存最小范围。
我们指定隐私与儿童保护职能负责人作为儿童个人信息保护专门负责人/联系人，监督政策、影响评估、访问审批、年度审计、供应商、权利请求和事件响应。渠道：support@growing-x.com（主题请注明“儿童个人信息保护”）。
工作人员按最小授权访问儿童个人信息。每次非自动化必要访问、导出或增强核验材料查看，应经儿童个人信息保护负责人或其授权管理人员审批，并记录申请人、审批人、时间、目的、儿童/机构范围、操作和结果。禁止无授权复制、下载、截屏、外传或扩大知悉范围。
我们按风险实施分类分级、传输保护、身份认证、机构/校区范围控制、操作审计、异常监测、备份恢复、人员保密培训、离职回收和应急响应。机构也须对其员工和终端实施不低于适用法律及 DPA 的控制。
监护人可代表儿童依法请求知悉、决定、限制/拒绝、查阅、复制、更正、补充、删除、解释规则、撤回同意、注销受控账号、取得授权记录，以及对自动化决策行使相应权利。能够理解其行为的儿童意见也应在符合其年龄和认知能力的方式下予以尊重，但不能替代法定监护人同意。
可通过产品入口、儿童所在机构或 support@growing-x.com 提交。我们和机构仅收集防止冒用所必需的核验材料，一般在核验后15个工作日内响应；拒绝时说明理由。争议或高风险请求适用第4.3条增强核验。
机构控制数据由机构主导响应，我们按 DPA 提供检索、导出、更正、删除和限制处理等协助。监护人可向我们反映机构未响应情况，我们将转交、留痕并按合同与法律跟进。
机构作为儿童机构控制数据的个人信息处理者，应当：
我们发现机构指示违法、缺少监护授权或明显危及儿童权益时，将通知机构并暂停相关处理；必要时限制功能、采取保护措施或依法报告。
涉及儿童的 AI、推荐、分析或内容生成功能只有在实际功能、数据流和影响评估完成后方可上线。本政策不表示任何未核验功能已处理儿童信息。
我们每年自行或委托专业机构，对全部未满18周岁未成年人个人信息处理遵守法律法规的情况开展合规审计，并依法及时向网信等部门报告审计情况。审计覆盖年龄识别、监护授权、必要性、敏感分类、权限审批、供应商、跨境、权利响应、AI、事件、保存和删除；无论系统是否准确识别年龄，可能涉及未成年人的处理均纳入风险核查。
处理儿童敏感个人信息、委托处理、公开、向其他处理者提供、自动化决策或跨境前，相关个人信息处理者依法开展个人信息保护影响评估并至少保存法定期限。机构完成其作为处理者的评估和年度审计；我们在 DPA 范围内提供必要证据。
是否属于未成年人用户数量巨大或有显著影响的平台、是否触发大规模处理者义务或特定报送，由有效法律、监管规则、实际业务和主管机关判断。本政策不编造固定触发量。
发生或可能发生儿童个人信息泄露、篡改、丢失或未授权访问时，立即启动应急响应、控制影响、保全证据并采取补救措施。我们对机构作无不当延迟的初步通报，持续提供重大进展，并在处置完成后提供原因、影响、措施和改进的结案报告；订单可约定可履行的具体时限，但不因未约定绝对小时数而延迟。
机构作为处理者主导判断和履行对监管及监护人的通知；我们依法协助。若法律要求我们直接报告或通知，我们将履行自身义务。通知应清晰、适龄并包含可能危害、补救、监护人可采取的措施和专门联系方式。
目的、方式、种类、期限、展示、供应商、跨境、AI 或权利机制发生实质变化时，除法律要求或为防止现实、紧迫的安全损害必须立即生效外，至少提前七（7）个自然日显著告知，并最迟在生效日依法重新取得监护人同意。仅属非重大文字、链接或联系方式修订的，通知后生效且不阻断既有使用。继续使用不替代依法需要的确认。版本记录包含文档代码、版本、生效日、URL 和内容哈希，旧版本不覆盖。
运营主体：成都瀚熙科技有限责任公司
儿童个人信息保护专门联系人/渠道：隐私与儿童保护职能负责人；support@growing-x.com（主题注明“儿童个人信息保护”）
官方网站：https://jcppc.net
注册地址：中华人民共和国四川省成都市（以营业执照载明地址为准）
监护人可向我们或机构投诉，也可依法向国家及地方网信、工业和信息化、公安、市场监督管理等有权部门投诉举报，或向有管辖权的人民法院提起诉讼。最新政策：https://jcppc.net/children-privacy。
（完）