文档版本：2026.08.16.1
更新日期：2026年8月16日
生效日期：2026年8月16日
当前状态：工程合规稿，待外部律师就本版本和 SHA-256 书面签核；本文件不得表述为“律师审定”或“律师已签核”。
成都瀚熙科技有限责任公司（以下简称“瀚熙科技”或“我们”）重视个人信息权益。本政策依据《中华人民共和国个人信息保护法》等适用法律，就 GrowingX、GrowingX-G 及 jcppc.net（统称“本服务”）中由我们自主决定或受机构委托进行的个人信息处理作出说明。
本政策是个人信息处理告知文件，不构成对所有活动的一揽子同意。需要同意、单独同意或监护人同意的，我们将在具体场景另行以显著方式取得；下载、登录、浏览或继续使用不能替代该等选择。
本政策适用于我们在中国大陆提供本服务时开展的个人信息处理。本服务是机构管理 SaaS 工具；我们不是培训机构，不决定机构的招生、教学、收费、退费或培训交付。
本政策不适用于机构在线下、其他系统或其自有渠道中独立开展且未委托我们处理的活动，也不适用于跳转后的第三方独立服务。第三方服务只有在完成实际生产集成和披露核验后方可上线；不能因本政策提及某类能力而推定已接入任何第三方。
| 数据与活动 | 决定目的和方式的一方 | 瀚熙科技角色 | 适用文件 |
|---|---|---|---|
| 账号注册、登录认证、账号安全、平台安全运营、直接客服、法定义务 | 瀚熙科技 | 个人信息处理者 | 本政策 |
| 机构录入、导入、生成或管理的学员、监护人、员工、客户、排课、训练、签到、订单、课消、财务、薪酬及相关附件 | 机构 | 仅依合法指示的受托处理方 | DPA、机构告知及本政策相关说明 |
| 我们若超出机构合法指示，自主决定机构控制数据的新目的或方式 | 瀚熙科技 | 就超出部分依法承担个人信息处理者责任，并构成对 DPA 的违反 | 适用法律、本政策及 DPA |
机构控制数据与账号数据可能在同一界面出现，但角色按具体处理目的分别判断，不因技术存储位置或产品名称而合并。我们不会以提供 SaaS、运维、安全或客服为由概括取得对机构控制数据的自主使用权。
本政策与《用户服务协议》《儿童个人信息保护政策》《机构数据委托处理协议》（DPA）及《软件使用规则》配套适用。涉及机构控制数据的委托处理，以 DPA 为准；涉及未满14周岁儿童个人信息，以儿童政策的更严格规则为准。简明隐私说明仅简化表达，不能改变本政策。
中文文本是中国大陆服务的权威文本。英文是逐条对照文本；不一致时以中文及法律强制性规定为准。
我们只在实际提供相应功能且完成必要核验时处理下表信息。若某项功能尚未启用，下表不应理解为我们已在收集；具体页面的即时告知、实际产品版本和可核验数据流共同确定处理事实。
| 场景 | 最小必要信息 | 目的 | 主要合法性基础 | 基本期限原则 |
|---|---|---|---|---|
| 账号创建与认证 | 手机号或邮箱、密码验证值、账号 UUID、认证状态 | 创建账号、登录和找回 | 订立/履行用户请求的服务；必要时同意 | 账号期内；终止后按争议、安全和法定最短期限限制保存 |
| 账号与平台安全 | IP、访问时间、认证/操作/接口日志、设备和应用基础信息、异常标记 | 防止未授权访问、调查异常、保障系统安全 | 履行网络安全法定义务及提供安全服务所必需 | 按适用法律和安全必要期限；到期删除或匿名化 |
| 机构账号与授权代表核验 | 机构信息、授权代表姓名/职务/联系方式、签约证据 | 确认机构主体和代表权限 | 订立/履行机构合同及法定义务 | 合同期及终止后争议、审计或法定最短期限 |
| 直接客服与权利请求 | 联系方式、沟通内容、工单、身份/授权核验材料 | 响应咨询、投诉和个人信息权利 | 履行请求、法定义务；超出必要部分取得同意 | 工单结案及合理举证期；高风险材料及时最小化删除 |
| 软件订阅与开票（如实际启用） | 订单 UUID、套餐、金额、开票抬头及依法必要的税务信息 | 软件服务结算和开票 | 履行合同及法定义务 | 依法定财务、税务期限 |
密码应以不可逆验证值等安全方式处理；我们不会要求或保存银行卡密码、支付密码或其他支付认证秘密。短信验证码仅可用于当次、即时的身份或交易验证，不得以明文持续保存或用于其他目的。任何外部支付或开票服务如未完成供应商核验，不得接收生产个人信息。
机构可按其业务配置处理以下类别；实际字段、目的、期限和合法性基础由机构告知并负责，且受 DPA 限制。我们不会因下表列举而取得自主处理权。
| 类别 | 示例 | 受托目的 |
|---|---|---|
| 学员、监护人和客户档案 | 姓名、出生日期、联系方式、监护关系、所属机构/校区 | 档案、关联和服务管理 |
| 员工和教练 | 姓名、岗位、联系方式、机构/校区角色、权限 | 账号、组织和权限管理 |
| 教学与训练 | 课程、排课、签到、训练记录、等级、评价、请假 | 履行机构配置的教学管理流程 |
| 订单与经营 | 机构培训订单、课包、课消、退款状态、成本和薪酬记录 | 机构经营记录和统计 |
| 内容与附件 | 头像、照片、视频、课程资料、证明材料、工单附件 | 文件存储、展示和机构授权协作 |
| 技术与审计 | 与机构数据操作相关的日志、导入导出记录、权限变更 | 安全、审计和故障处理 |
儿童档案中的每一项个人信息均为敏感个人信息，不因字段看似普通、来自日志、设备或订单记录而降低分类。机构不得通过自定义字段超范围录入与明确培训目的无关的高风险信息。
以下是上线前必须遵守的规则，不表示当前版本已经调用相关权限或已接入第三方：
| 潜在功能/权限 | 上线前必须完成 | 用户选择和限制 |
|---|---|---|
| 相机/相册/文件 | 核验实际字段、用途、保存位置；在用户主动拍摄、选择或上传时逐场景告知 | 拒绝仅影响该上传功能，不影响无关基本功能 |
| 麦克风 | 核验是否确需音频；默认不得因视频功能概括取得 | 仅在用户主动录制且明确选择时开启 |
| 精确位置 | 完成敏感个人信息影响评估，说明必要性和权益影响 | 不持续后台定位；拒绝时提供可行替代方式（如适用） |
| 通知/推送 | 核验推送标识、内容、供应商和初始化时点 | 非必要通知可关闭；未完成供应商核验不得向外部传输 |
| 通讯录、广告标识符或类似高风险权限 | 证明特定目的和充分必要并单独评估 | 未完成告知和选择前不得读取；不需要时不得申请 |
| 任何第三方 SDK/插件 | 动态测试其联网、字段、频率、权限和境外访问；完成合同和公开披露 | 非必要 SDK 在告知/选择前不得初始化、联网或读取标识符 |
产品、采购、信息安全和隐私合规必须以实际包体、网络请求、生产配置和合同共同核验。仅有代码、文档或厂商品牌不能作为隐私披露事实。
信息可能来自：（1）您直接提交；（2）您使用已启用功能时由系统生成；（3）机构作为处理者录入或导入；（4）经核验且已在供应商清单披露的服务商按明确目的返回。我们不会从来源不明的数据经纪人购买个人信息，也不会以公开可见为由超出合理范围处理。
只有在具有特定目的、充分必要性并采取严格保护措施时，方可处理敏感个人信息。实际启用相关功能前，我们将完成个人信息保护影响评估，以显著方式说明必要性及对权益的影响，并依法取得单独同意或其他适用合法基础。
| 潜在类别 | 风险与限制 |
|---|---|
| 精确位置/行踪 | 仅限明确触发的场景，不进行未披露的持续轨迹分析 |
| 身份证明/特定身份 | 仅在机构或代表核验、争议处理等确有必要时最小化收集并限制访问 |
| 健康与运动风险记录 | 由机构证明教学安全目的和必要性，不得扩展用于营销或不当评价 |
| 人像照片、视频及可能的生物识别 | 普通影像不当然等同人脸识别模板；如用于身份识别或生物特征处理，须另行严格评估和告知 |
| 金融账户相关信息 | 只处理履行明确结算所必需的最小信息；不保存支付密码等认证秘密 |
| 儿童个人信息 | 儿童的全部个人信息均为敏感个人信息，适用儿童政策和监护人同意 |
未满14周岁儿童不得自助注册。机构发起邀请后，监护人须完成手机号控制验证、监护关系声明、机构已有档案匹配和明确授权；OTP 单独不能证明监护身份。争议、异常或高风险场景须增强核验。完整规则见儿童个人信息保护政策。
所有未满18周岁的用户均不得自助注册，应由机构邀请、监护人验证授权并在监护指导下使用。我们每年自行或委托专业机构，对全部未成年人个人信息处理遵守法律法规的情况开展合规审计，并依法及时向网信等部门报告审计情况；审计范围不得仅限未满14周岁儿童，也不因系统未准确标注年龄而排除可能涉及的未成年人。
是否构成“未成年人用户数量巨大或具有显著影响的平台”、是否触发大规模个人信息处理者义务或特定审计频度，由届时有效法律、监管规则、业务事实和主管机关认定；本政策不自设固定数量替代法定判断。
| 目的 | 可能适用的合法性基础 | 选择机制 |
|---|---|---|
| 创建和履行用户请求的账号/软件服务 | 订立、履行个人作为一方当事人的合同所必需 | 不提供必要信息可能无法创建或使用相应核心功能 |
| 履行网络安全、审计、财税或监管义务 | 履行法定义务所必需 | 在法律允许范围内限制到最小范围 |
| 非必要营销、调研或个性化分析 | 充分知情下自愿、明确同意 | 默认关闭，可便捷撤回，不影响其他基本功能 |
| 敏感个人信息 | 特定目的、充分必要、严格保护及适用的单独同意/其他法定基础 | 逐场景显著告知；拒绝仅影响该必要场景 |
| 儿童个人信息 | 监护人同意及其他适用基础 | 监护验证、明确授权和儿童专门规则 |
| 机构控制数据 | 机构的合法性基础及对我们的合法指示 | 由机构主导告知、同意和权利响应；我们按 DPA 协助 |
处理目的、方式或种类发生实质变化时，我们不会以旧同意覆盖新目的；将重新告知并在依法需要时重新取得同意。撤回同意不影响撤回前处理的效力，不影响基于其他合法基础的必要处理。
网站或应用只有在实际部署后，才可使用实现登录会话、安全防护所必需的 Cookie、本地存储或类似技术。非必要分析、广告或跨站跟踪技术不得在告知和选择前启动。我们不因本条概括描述而声明已使用任何特定第三方分析或广告工具。
您可通过浏览器、设备或应用内设置管理非必要技术。拒绝非必要技术不得影响基本功能；清除必要会话数据可能导致重新登录。儿童场景不得使用此类技术进行个性化商业广告或未披露画像。
外部供应商只有在实际生产启用、签约法定主体、产品、字段、目的、地点、期限、跨境及合同义务均完成核验后，方可处理生产个人信息并列入供应商与分包商清单。
截至本版本生效日，当前无已核验可公开项。未列入公开清单或尚未核验的供应商、SDK、插件或接口不得处理生产个人信息。 我们不会在隐私政策中以“可能”“候选”“视实际集成”为由列出云、短信、支付、推送、地图或其他未核验厂商，也不会要求个人通过邮件索取本应公开的已接入清单。
向其他个人信息处理者提供个人信息前，我们将依法告知接收方名称/姓名、联系方式、目的、方式和种类，并取得单独同意（法律另有规定除外）。因合并、分立、解散、破产等需要转移的，将告知接收方并要求其继续受原目的约束；变更目的的，重新取得同意。
公开个人信息仅在具有明确合法基础、完成影响评估并依法取得单独同意时进行。机构自行决定排行榜、赛事或宣传展示的，应独立履行告知、单独同意和撤回/下线义务；我们仅按合法指示提供技术功能。
我们审查请求机关、权限、法律依据和范围，仅在合法、必要范围内提供，并保留处理记录。法律允许时将通知机构或相关个人。未经中国主管机关批准，不向外国司法或执法机构提供存储于中国境内的个人信息。
中国大陆境内收集和产生的个人信息原则上存储在中国大陆。任何境外提供或境外远程访问上线前，必须确认真实数据流，完成适用的安全评估、认证、标准合同备案或其他合法机制，开展影响评估，向个人告知境外接收方等法定事项并取得单独同意（法律另有规定除外）。
就机构控制数据，机构和我们分别履行各自法定义务，并须遵守 DPA 的书面指示和跨境条款。未完成供应商及跨境核验的境外功能不得处理生产个人信息。
我们实行按目的确定的最短必要期限，不以“业务需要”无限期保存。账号、日志、签约证据、工单和机构控制数据分别依据实际目的、法定留存、机构指示和 DPA 设置期限；具体期限应在产品数据清单和处理记录中可审计。
目的已实现、不再必要、保存期限届满、您撤回同意、账号/服务终止或处理违法时，我们依法删除；法律期限未届满或技术上难以立即删除的，停止除存储和必要安全保护之外的处理。备份在受控轮换期内隔离并到期覆盖，恢复备份时重新执行删除。
匿名化只有在通过不可复原测试和合理的重新识别风险评估后方可作为删除之外的选择。单纯移除姓名、替换 UUID、散列或分表不当然构成匿名化。
我们根据风险采取内部制度、分类分级、传输保护、身份认证、最小权限、机构/校区范围控制、日志审计、备份恢复、人员保密培训、供应商准入和应急响应。具体对机构承诺的控制以 DPA 及经验证的安全附件为准；路线图、未启用配置或测试能力不是现有承诺。
涉及儿童个人信息的访问实行更严格的最小权限。工作人员访问须经儿童个人信息保护负责人或其授权管理人员审批，记录访问主体、时间、目的、范围和操作，并防止无授权复制、下载或外传。
发生或可能发生泄露、篡改、丢失、未授权访问等事件时，我们立即采取补救措施；在 DPA 下向机构作无不当延迟的初步通报（最迟不超过知悉后二十四（24）小时，涉及儿童或其他敏感个人信息的不超过十二（12）小时）、持续更新并提供结案报告。依法需要时向主管部门报告并告知个人；通知包含信息种类、原因和可能危害、补救措施、个人可采取的措施及联系方式。信息尚未查清不构成延迟通报的理由。
您依法享有知情、决定、限制或拒绝处理、查阅、复制、更正、补充、删除、解释处理规则、撤回同意、注销账号、符合条件时转移个人信息，以及对自动化决策要求说明和拒绝仅以自动化方式作出重大影响决定等权利。
您可通过产品内入口或发送邮件至 support@growing-x.com 提交请求。我们仅收集防止冒用所必需的核验信息，一般在核验后15个工作日内响应；复杂情形将说明原因和预计时间。拒绝请求时说明理由，您可依法投诉或起诉。
涉及机构控制数据的，请优先联系机构；机构作为个人信息处理者主导响应，我们依据 DPA 提供检索、导出、更正、删除、限制处理等技术协助。机构未响应时，您可联系我们转交和跟进，但这不改变法定角色。
我们指定隐私与儿童保护职能负责人作为儿童个人信息保护专门联系人，负责监督专门规则、访问审批、影响评估、年度审计、投诉和事件响应。专门渠道为 support@growing-x.com；涉及儿童请在主题注明“儿童个人信息保护”。您也可联系儿童所在机构。
监护人可代表儿童行使本政策第十章权利，并查阅监护授权记录。我们不会将儿童本人勾选视为监护人同意，不会把 OTP 单独视为监护关系证明，也不会因拒绝非必要处理而拒绝儿童使用基本功能。
自动化建议、统计或内容生成功能只有在完成实际功能、数据流和影响核验后方可上线。我们不以本政策声明任何未核验 AI 功能已在处理个人信息，也不会仅依靠自动化决策对个人作出产生重大影响的决定，或通过自动化决策向未成年人进行商业营销。
匿名化与去标识化严格区分：
我们建立个人信息保护合规审计制度，按有效法律、监管规则和适用国家标准确定一般审计频度；未成年人个人信息处理每年审计，范围覆盖全部未满18周岁个人信息，并依法及时向网信等部门报告审计情况。
处理目的、方式、种类、期限、供应商、跨境或儿童规则发生实质变化时，除法律要求或为防止现实、紧迫的安全损害必须立即生效外，我们将至少提前七（7）个自然日显著告知，并最迟在生效日依法重新取得同意或监护人同意。仅属非重大文字、链接或联系方式修订的，通知后生效且不阻断既有使用。继续使用本身不替代依法需要的确认。每一发布版本保留文档代码、版本、生效日、公开 URL 和内容哈希，旧版本不覆盖。
最新中文版本：https://jcppc.net/privacy。英文对照：https://jcppc.net/privacy-en。
运营主体：成都瀚熙科技有限责任公司
一般隐私及儿童个人信息保护专门邮箱：support@growing-x.com
官方网站：https://jcppc.net
注册地址：中华人民共和国四川省成都市（以营业执照载明地址为准）
如您认为个人信息权益受到侵害，可向我们或相关机构投诉，也可依法向国家及地方网信、工业和信息化、公安、市场监督管理等有权部门投诉举报，或向有管辖权的人民法院提起诉讼。
（完）