法律文件
未成年人个人信息保护说明
本说明依据《中华人民共和国个人信息保护法》第三十一条、《未成年人保护法》及《儿童个人信息网络保护规定》制定，专门说明我们如何处理未满 14 周岁儿童的个人信息。这是隐私政策的特别补充；两者不一致时，以本说明为准。
一、我们的基本立场
小智同学会进入孩子的书桌、听到孩子说话、参与孩子每天的学习。正因为它离孩子这样近，我们把未成年人保护放在产品设计的第一位，而不是事后的合规补丁。
我们坚持三个判断标准，并以此决定每一项功能是否做、怎么做：
- 孩子的信息不是资产。我们不需要从孩子身上获取尽可能多的数据，只需要刚好足够让他把今天的作业做完。
- 监护人的知情权不可绕过。凡涉及孩子信息的能力，监护人都必须能开关、能查看、能删除。
- 技术上做不到，就不写进承诺。本说明中的每一项技术性保证，都对应产品中真实存在的能力边界，而不是措辞上的保证。
二、五项核心承诺
以下五项承诺与我们在互联网信息服务备案材料中提交的说明完全一致：
| # | 承诺 | 对应做法 |
|---|---|---|
| 1 | 收集儿童个人信息均取得监护人明确同意，并在注册环节设置家长授权流程 | 孩子账号必须由监护人创建并绑定设备后才能启用；不支持孩子独立注册 |
| 2 | 仅收集实现教育辅助功能所必需的最小化信息，不收集与功能无关的敏感信息 | 不收集位置、通讯录、相册、人脸、声纹；语音仅在孩子主动向 AI 提问时留存原话 |
| 3 | 儿童信息的访问、修改、删除均由监护人代为操作，并提供便捷的撤回同意与账号注销通道 | 家长端提供查阅、修改、删除、逐项关闭、注销的完整入口 |
| 4 | 采用加密存储与传输、权限最小化等安全措施保护儿童数据 | 全程 HTTPS / WSS；登录口令不可逆存储；设备独立凭据；后台操作留痕 |
| 5 | 内容审核与交互设计均符合未成年人网络保护要求，不向儿童推送不适宜内容 | 内容库先行审核后发布；无广告、无推荐信息流、无陌生人社交 |
三、涉及儿童的信息清单
以下是我们处理的、与孩子直接相关的全部信息。清单之外的儿童信息，我们不收集。
| 信息 | 是否属于敏感个人信息 | 为什么需要 |
|---|---|---|
| 昵称、年级、班级、入学年份 | 否 | 按年级与班级组织学习内容与课程表 |
| 个性签名、孩子自主填写的联系方式 | 否（默认仅同年级可见，可设为不公开） | 同学录中的自我介绍，由孩子自愿填写 |
| 学习记录、作业完成情况、错题 | 否 | 生成学习情况并向监护人汇报 |
| 孩子向 AI 提问的原话 | 是（可能反映孩子的表达与认知） | 内容安全审核与问题定位，保留 90 日 |
| 设备屏幕截屏 | 是（可能包含孩子的实时画面） | 仅由监护人逐次主动发起，保留 24 小时 |
| 孩子发出的同学留言正文 | 否 | 班级范围内的小范围交流，可被拉黑与关闭 |
| 设备序列号、在线状态 | 否 | 设备绑定与管理、故障排查 |
关于「孩子自主填写」的字段：个性签名与联系方式由孩子自愿填写，不填不影响任何功能。这两项默认只在同年级同学之间可见，监护人可以把每个字段单独设为「不公开」，设置后对所有人（包括同班同学）都不可见。
四、监护人同意的取得与撤回
4.1 如何取得同意
- 创建环节。监护人注册账号并创建孩子档案时，我们会明确告知将收集哪些信息、用于什么目的、保留多久，由监护人确认。
- 绑定环节。孩子账号必须与监护人的设备绑定后才能真正启用；未绑定设备的账号不具备使用能力。
- 多监护人。可增加次要监护人共同管理，其权限由主要监护人授予并可设有效期；主要监护人可随时撤回授权，撤回后次要监护人立即失去访问权限。
4.2 如何撤回同意
监护人可在家长端随时通过以下方式撤回同意，撤回后相应处理活动立即停止：
- 关闭「问 AI」能力 —— 停止记录并向模型发送孩子的提问；
- 关闭同学留言 —— 停止孩子之间的留言功能；
- 逐字段关闭档案可见性 —— 停止向同学展示签名与联系方式；
- 撤回次要监护人授权 —— 停止其访问孩子的信息；
- 注销账号 —— 终止全部信息处理并按期限删除数据。
撤回同意不影响撤回前基于同意已进行的处理活动的效力。若您撤回同意，可能导致部分功能无法继续使用，我们会明确告知具体影响。
五、监护人如何行使权利
监护人对孩子的个人信息享有查阅、复制、更正、删除、撤回同意、注销账号等权利，并可通过以下入口自主操作，无需联系我们：
| 权利 | 操作入口 |
|---|---|
| 查阅 | 家长端「学习报告」「作业」「同学录」；管理后台的内容与通知记录 |
| 更正 | 家长端孩子档案编辑 |
| 删除 | 家长端可删除单个作业、单条记录；管理后台可删除语音留痕 |
| 撤回同意 | 家长端能力开关；管理后台同学录可见性设置 |
| 注销账号 | 家长端「账号设置」，或通过第九节联系我们 |
需要由我们协助处理的请求（如获取数据副本），我们将在完成身份核验后 15 个工作日内答复。
六、我们明确不做的事
以下均为产品层面的主动放弃，而非暂时未实现：
- 不做连续监听。设备不会在待机状态下录音并上传。
- 不做持续监控。不提供定时截屏、连续截屏或无人值守的自动截屏。截屏只能由监护人逐次主动发起。
- 不做公开社交。没有公开主页、没有陌生人私信、没有关注与粉丝、不支持图片与附件。留言仅在同班同学之间。
- 不做广告变现。不向孩子推送广告，不用孩子的信息做广告定向，不向第三方出售儿童信息。
- 不做能力排名。不提供孩子之间的成绩排名或公开比较。
- 不做人脸与声纹识别。不采集、不使用生物识别信息。
- 不用儿童数据训练对外模型。孩子的语音与提问原话不会用于训练对外提供的通用模型。
七、设备端的能力边界
我们把一些保护措施直接做进了数据结构与系统设计，使其在技术上难以被绕过：
- 设备运行日志与孩子原话物理隔离。用于排障的设备日志在设计上就不包含孩子的语音内容与提问原话，避免一份需要长期留存的日志意外变成语音档案。
- 语音只在明确提问时留存。只有孩子主动触发「问 AI」能力时才会记录问题原文；其他语音指令（问时间、报作业等）不留存原话。
- 截屏必须逐次授权。每次截屏都需要监护人在家长端单独发起，记录中同时保存发起人身份，便于事后审计。
- 设备凭据可单独吊销。每台设备使用独立凭据，凭据泄露可单独作废，不影响其他设备。
- 孩子账号无法登录后台。家长端与管理后台的登录体系与孩子账号完全隔离。
八、内容安全
- 内容库中的听写词库、口算题库、复习内容等，均由我们先行审核后发布，不采用开放抓取的内容源。
- 孩子在同学留言中发送的内容会进行安全检查；发现欺凌、骚扰或不当内容时，我们有权限制发送并向监护人告知。
- AI 生成的回答面向儿童场景，但仍可能存在不准确或不适宜之处。我们建议监护人定期查看孩子与机器人的问答记录，并及时通过反馈渠道告诉我们不合适的内容。
- 本服务不提供新闻、直播、短视频等可能包含不适宜内容的模块。
九、投诉与联系
如您发现孩子在平台上遭受欺凌、收到不当内容，或认为我们对儿童个人信息的处理存在问题，请通过以下方式联系我们。请在标题或抬头中注明「未成年人保护」，我们会优先处理：
- 未成年人保护专用邮箱：hi@tudou.tech
- 客服电话：400-000-0000
- 运营主体：土豆科创有限公司（广东省深圳市南山区科技园）
若您对我们的答复不满意，也可以向网信、电信、公安及市场监管等主管部门投诉举报。