隐私与儿童保护政策（草案 v0.2）
状态：草案。需由执业地儿童保护机构 / 法律顾问复核后生效。生效前对外只作"草案"引用，不声称已合规。 适用对象：中心协调员、项目技术人员、内容与翻译人员、评估人员、合作机构工作人员。 v0.2 变更：改为两种硬件形态（中心式先 / 手持式后）；删除全部远程真人接触条款；新增传递式麦克风的卫生与交接规则。
1. 适用范围与基本立场
本政策覆盖 VoiceBridge 试点期间涉及儿童的一切数据处理与人员行为。三条基本立场：
- 儿童利益优先于项目效率。 冲突时先停设备，再谈方案。
- 默认不收集。 能不采集的个人信息不采集；能不留的原始数据不留。
- 可解释、可撤回。 监护人随时可要求停止其子女使用并删除相关记录。
2. 数据最小化清单
| 数据 | 是否采集 | 说明 |
|---|---|---|
| 儿童姓名 | 否 | 设备侧只用匿名编号如 C-07。中心式阶段不把设备分配给任何儿童个人，因此不存在"编号—姓名"的对应关系；后续若部署手持机，该对应只存在于中心纸质名册，从不上传 |
| 语音原始录音 | 否 | 实时转写后即丢弃音频流，服务端不落盘 |
| 转写文本 | 仅元数据 | 只保留时长、话题标签、是否命中敏感词；不保留逐字文本 |
| 使用记录 | 是 | 设备编号、时间、时长、会话次数 |
| 设备位置 | 站点级 | 只记所属中心，不做设备级定位 |
| 监护人联系方式 | 是（纸质） | 由中心保管，用于知情同意与紧急联络，不上云 |
| 人脸 / 影像 | 否 | 项目不做影像采集；宣传素材需单独书面授权 |
| 低置信度样本 | 仅计数 | 记录"因识别不确定而拒绝回答"的次数，不记录内容 |
第三方 API（ASR/LLM/TTS）：只选用承诺"不留存请求内容、不用于模型训练"的服务档位；请求侧剥离标识符；不满足即不接入。
3. 知情同意
- 使用前取得监护人书面知情同意（当地语言），说明：设备用途、AI 会听到孩子说话、不录音留存、可随时退出。
- 儿童本人在首次使用前由协调员口头说明："这是用来练习说话的，你可以随时停下来。"
- 同意书由中心保管，项目方只保留"某中心已收集 N 份同意"的汇总数。
- 未取得同意的儿童不得使用设备。
4. 设备管理与使用场景
- 设备归项目 / 合作方所有，由中心协调员保管，任何形态都不由儿童带回家。
- 中心式（第一阶段）：一台主机 + 传递式有线近场麦，共享使用，不分配给个人。
- 手持式（后续阶段）：编号绑定使用者，存放中心，每日清点，不外带。
- 仅在学习中心开放时段、协调员在场时可使用。协调员不在场 = 设备不启用。
- 单次会话上限 10 分钟，单日上限 40 分钟，超时自动结束。
- 麦克风是儿童唯一直接接触的部件：由协调员负责每日清洁，并始终留在中心内；破损即更换，不修补后继续共用。
- 设备丢失 24 小时内上报并远程停用。
5. 内容安全
- 问答走白名单 + 敏感词双层过滤；白名单按真实提问逐周补充，不开放自由对话。
- 涉及自伤、虐待、性内容、暴力、政治敏感等话题：立即中止，返回固定话术，并向协调员告警。
- 被拦截的请求由人工（协调员 + 内容负责人）每周复核，只记录类别，不记录原话。
- 识别不确定时不猜：先请孩子重复；仍不确定则交给协调员。
- 协调员可随时一键中止全场会话，无需说明理由。
6. 无远程真人接触
- 设备只与云端 AI 通信，不接远程志愿者或教师，不做设备间通话。
- 因此不存在"线上的陌生人"这一风险面，但代价是：回答出错时，唯一能纠正的人是现场协调员。
- 协调员是流程中的强制项，不是可选项。
7. 人员行为规范
所有接触系统者须签署《儿童保护与保密承诺》，并遵守：
- 不与儿童建立私下联系（不加私人社交账号、不留个人电话、不单独约见）。
- 不在未经授权时拍摄、录制儿童影像或声音。
- 发现疑似虐待、忽视、剥削：48 小时内报告儿童保护联络人，由其对接当地主管部门；报告人身份保密。
- 违反者立即停止接触儿童，移交合作方处理。
8. 数据保留与删除
| 数据 | 保留期 | 到期处理 |
|---|---|---|
| 会话元数据（时长、次数） | 试点结束后 12 个月 | 聚合为统计值后删除明细 |
| 敏感词告警（仅类别） | 24 个月 | 归档为年度计数 |
| 诊断音频样本（需单独同意） | 最长 30 天 | 自动删除 |
| 服务器日志（含 IP） | 30 天 | 自动轮转 |
| 监护人同意书（纸质） | 按当地规定 | 由合作方处置 |
删除请求通过中心提出，7 个工作日内完成并书面回执。
9. 安全事件响应
- 发现：任何人发现疑似泄露、丢失、不当内容，立即报协调员。
- 止损：2 小时内远程停用相关设备；必要时全站暂停。
- 评估：24 小时内判断是否涉及儿童个人信息及人数。
- 告知：涉及儿童安全的，48 小时内告知监护人与合作方，并按当地法律上报。
- 复盘：7 天内书面复盘，公开摘要（不含身份信息），修订本政策。
10. 透明度
- 网站公开本政策全文与修订记录。
- 月度公布：在线率、使用场次与参与人次、意图路由准确率（近场 WER 作为诊断量一并公开）、弃权率、安全事件数（0 也写 0）。
- 不公开任何可识别个体的信息。
11. 联络人与修订
- 儿童保护联络人：＿＿＿＿（邮箱 ＿＿＿＿，电话 ＿＿＿＿）
- 合作方现场负责人：＿＿＿＿
- 修订记录：
- v0.1 / 2026-10-27 / 初稿
- v0.2 / 2026-10-29 / 改为双形态；删除远程真人接触；新增麦克风卫生与交接规则；中心式阶段无编号—姓名对应