# 隐私与儿童保护政策（草案 v0.2）

> **状态**：草案。需由执业地儿童保护机构 / 法律顾问复核后生效。生效前对外只作"草案"引用，不声称已合规。
> **适用对象**：中心协调员、项目技术人员、内容与翻译人员、评估人员、合作机构工作人员。
> **v0.2 变更**：改为两种硬件形态（中心式先 / 手持式后）；删除全部远程真人接触条款；新增传递式麦克风的卫生与交接规则。

## 1. 适用范围与基本立场

本政策覆盖 VoiceBridge 试点期间涉及儿童的一切数据处理与人员行为。三条基本立场：

1. **儿童利益优先于项目效率。** 冲突时先停设备，再谈方案。
2. **默认不收集。** 能不采集的个人信息不采集；能不留的原始数据不留。
3. **可解释、可撤回。** 监护人随时可要求停止其子女使用并删除相关记录。

## 2. 数据最小化清单

| 数据 | 是否采集 | 说明 |
|---|---|---|
| 儿童姓名 | 否 | 设备侧只用匿名编号如 `C-07`。**中心式阶段不把设备分配给任何儿童个人，因此不存在"编号—姓名"的对应关系**；后续若部署手持机，该对应只存在于中心纸质名册，从不上传 |
| 语音原始录音 | **否** | 实时转写后即丢弃音频流，服务端不落盘 |
| 转写文本 | 仅元数据 | 只保留时长、话题标签、是否命中敏感词；不保留逐字文本 |
| 使用记录 | 是 | 设备编号、时间、时长、会话次数 |
| 设备位置 | 站点级 | 只记所属中心，不做设备级定位 |
| 监护人联系方式 | 是（纸质） | 由中心保管，用于知情同意与紧急联络，不上云 |
| 人脸 / 影像 | 否 | 项目不做影像采集；宣传素材需单独书面授权 |
| 低置信度样本 | 仅计数 | 记录"因识别不确定而拒绝回答"的次数，不记录内容 |

第三方 API（ASR/LLM/TTS）：只选用承诺"不留存请求内容、不用于模型训练"的服务档位；请求侧剥离标识符；不满足即不接入。

## 3. 知情同意

- 使用前取得**监护人书面知情同意**（当地语言），说明：设备用途、AI 会听到孩子说话、不录音留存、可随时退出。
- 儿童本人在首次使用前由协调员口头说明："这是用来练习说话的，你可以随时停下来。"
- 同意书由中心保管，项目方只保留"某中心已收集 N 份同意"的汇总数。
- **未取得同意的儿童不得使用设备。**

## 4. 设备管理与使用场景

- 设备归项目 / 合作方所有，由中心协调员保管，**任何形态都不由儿童带回家**。
- **中心式（第一阶段）**：一台主机 + 传递式有线近场麦，共享使用，不分配给个人。
- **手持式（后续阶段）**：编号绑定使用者，存放中心，每日清点，不外带。
- 仅在学习中心开放时段、**协调员在场**时可使用。协调员不在场 = 设备不启用。
- 单次会话上限 10 分钟，单日上限 40 分钟，超时自动结束。
- **麦克风是儿童唯一直接接触的部件**：由协调员负责每日清洁，并始终留在中心内；破损即更换，不修补后继续共用。
- 设备丢失 24 小时内上报并远程停用。

## 5. 内容安全

- 问答走**白名单 + 敏感词双层过滤**；白名单按真实提问逐周补充，不开放自由对话。
- 涉及自伤、虐待、性内容、暴力、政治敏感等话题：立即中止，返回固定话术，并向协调员告警。
- 被拦截的请求由人工（协调员 + 内容负责人）每周复核，**只记录类别，不记录原话**。
- **识别不确定时不猜**：先请孩子重复；仍不确定则交给协调员。
- 协调员可随时一键中止全场会话，无需说明理由。

## 6. 无远程真人接触

- 设备只与云端 AI 通信，**不接远程志愿者或教师，不做设备间通话**。
- 因此不存在"线上的陌生人"这一风险面，但代价是：**回答出错时，唯一能纠正的人是现场协调员。**
- 协调员是流程中的**强制项**，不是可选项。

## 7. 人员行为规范

所有接触系统者须签署《儿童保护与保密承诺》，并遵守：

- 不与儿童建立私下联系（不加私人社交账号、不留个人电话、不单独约见）。
- 不在未经授权时拍摄、录制儿童影像或声音。
- 发现疑似虐待、忽视、剥削：**48 小时内**报告儿童保护联络人，由其对接当地主管部门；报告人身份保密。
- 违反者立即停止接触儿童，移交合作方处理。

## 8. 数据保留与删除

| 数据 | 保留期 | 到期处理 |
|---|---|---|
| 会话元数据（时长、次数） | 试点结束后 12 个月 | 聚合为统计值后删除明细 |
| 敏感词告警（仅类别） | 24 个月 | 归档为年度计数 |
| 诊断音频样本（需单独同意） | 最长 30 天 | 自动删除 |
| 服务器日志（含 IP） | 30 天 | 自动轮转 |
| 监护人同意书（纸质） | 按当地规定 | 由合作方处置 |

删除请求通过中心提出，**7 个工作日内**完成并书面回执。

## 9. 安全事件响应

1. **发现**：任何人发现疑似泄露、丢失、不当内容，立即报协调员。
2. **止损**：2 小时内远程停用相关设备；必要时全站暂停。
3. **评估**：24 小时内判断是否涉及儿童个人信息及人数。
4. **告知**：涉及儿童安全的，48 小时内告知监护人与合作方，并按当地法律上报。
5. **复盘**：7 天内书面复盘，公开摘要（不含身份信息），修订本政策。

## 10. 透明度

- 网站公开本政策全文与修订记录。
- 月度公布：在线率、使用场次与参与人次、**意图路由准确率**（近场 WER 作为诊断量一并公开）、弃权率、安全事件数（0 也写 0）。
- 不公开任何可识别个体的信息。

## 11. 联络人与修订

- 儿童保护联络人：＿＿＿＿（邮箱 ＿＿＿＿，电话 ＿＿＿＿）
- 合作方现场负责人：＿＿＿＿
- 修订记录：
  - v0.1 / 2026-10-27 / 初稿
  - **v0.2 / 2026-10-29 / 改为双形态；删除远程真人接触；新增麦克风卫生与交接规则；中心式阶段无编号—姓名对应**