# 数据安全隐私保护与成果使用方案

> 适用范围：学校家庭教育跟踪指导项目全过程  
> 核心原则：家庭数据首先服务家庭；学校成果以聚合、脱敏和可核验为主  
> 说明：本文件是项目执行要求，不替代学校法务、网信或个人信息保护专业审核

## 一、数据使用目的

项目只为以下目的处理信息：

1. 为家长提供家庭教育问题梳理和持续指导；
2. 形成家庭本人可查看的跟踪记录；
3. 统计项目参与和服务过程；
4. 形成学校聚合、脱敏的需求和成果报告；
5. 处理服务投诉、平台异常和必要的安全事项；
6. 在获得单独授权并通过审批后开展研究或宣传。

不得为了显得专业、扩大宣传或方便内部管理而收集无关信息。

## 二、数据分层

| 层级 | 内容举例 | 默认使用人 | 学校默认权限 |
| --- | --- | --- | --- |
| L1公开项目信息 | 项目介绍、课程安排、使用说明 | 学校和家长 | 可查看 |
| L2参与数据 | 领取、登录、有效参与、活动参加 | 项目运营、学校项目负责人 | 仅聚合 |
| L3家庭服务数据 | 问题、因素、建议、反馈、变化 | 家长本人、授权服务人员 | 不直接查看 |
| L4身份和联系方式 | 姓名、手机号、账号、身份映射 | 必要的运营或学校责任人员 | 原则上不进入报告 |
| L5高敏数据 | 自伤、暴力、虐待、性侵、失联等 | 必要的现实责任人员 | 按风险机制最小范围升级 |

L3-L5不得通过班级群、公开表格或普通邮件扩散。

## 三、最小必要原则

### 家庭服务需要

- 家长或主要照料人身份信息；
- 孩子代称、年龄或学段；
- 家长主动提供的具体问题；
- 影响判断所必需的家庭背景；
- 建议、反馈和可观察变化。

### 学校成果需要

- 家庭数量和参与漏斗；
- 问题类别和学段聚合；
- 建议反馈和持续跟踪状态；
- 经过审核的脱敏案例；
- 课程和学校工作转化建议。

### 默认不需要

- 身份证号；
- 详细住址；
- 学生证件照片；
- 账号密码；
- 与当前问题无关的病历；
- 家庭成员与项目无关的隐私；
- 学校用于评价、排名或处分的材料。

## 四、学校和项目方的权限边界

### 学校可以获得

- 项目进度和履约情况；
- 聚合统计和需求分布；
- 脱敏案例和变化证据；
- 课程、活动和工作建议；
- 风险事项的必要脱敏汇总和现实支持状态。

### 学校默认不得获得

- 家长原始对话；
- 家庭身份与编码的映射表；
- 未经授权的个体档案；
- 与学校工作无关的隐私；
- AI未确认的推测和人格判断。

### 项目方必须做到

- 按授权范围处理数据；
- 对服务人员实行最小必要访问；
- 记录个体报告分享和权限变更；
- 报告编制时完成去标识化；
- 发现事件按约定及时通知和处置。

## 五、脱敏规则

成果报告和学校附件至少做到：

- 用随机家庭编码替代姓名；
- 删除手机号、微信号、住址和精确身份；
- 不同时呈现班级、学段、独特事件和精确日期等组合信息；
- 改写容易被熟人识别的细节；
- 小样本分类合并到更高层级；
- 只保留说明问题和变化所必需的内容；
- 报告前由项目方和学校共同审核。

不得在学校文件中同时放置家庭编码和身份映射。

## 六、授权分层

以下授权必须分别说明，不得用一次总勾选替代：

1. 参加基础服务；
2. 处理服务必要信息；
3. 向学校提供聚合脱敏成果；
4. 向学校查看个体报告；
5. 用于内部复盘；
6. 用于课题研究；
7. 用于对外宣传；
8. 接收与跟踪事项有关的提醒。

拒绝可选授权不影响基础服务。

## 七、成果使用规则

### 1. 学校内部使用

可用于德育、家长学校、心理健康教育和家校沟通工作的聚合分析。

### 2. 对外汇报

需确认：

- 学校名称和项目周期；
- 数据来源和统计口径；
- 案例已脱敏或取得授权；
- 报告中的数字为真实数据；
- 对外发布范围和审批人。

### 3. 研究使用

需另行确认研究目的、范围、伦理和授权要求。项目样例不得直接作为真实研究结果。

### 4. 宣传使用

学校名称、活动照片、家长评价、个体案例和专家照片分别审核授权，不默认一并授权。

## 八、数据质量规则

- 领取家庭、使用家庭、形成档案家庭和持续反馈家庭分开统计；
- 一户家庭可以有多个问题，问题数不等于家庭数；
- “有效”只表示有明确反馈，不表示长期改善；
- “正向变化”必须有日期、场景和家长反馈或档案更新；
- 未反馈、无效、退出和信息不足必须保留；
- AI推测不直接作为学校结论；
- 每个正式数字要能追溯到平台字段、活动台账或问卷。

## 九、保存、归档和删除

项目启动前双方应填写：

- 数据保存位置：【填写】；
- 保存期限：【填写】；
- 访问人员：【填写】；
- 备份方式：【填写】；
- 项目结束后的处理方式：【归档／删除／返还】；
- 家庭撤回或更正的处理流程：【填写】；
- 安全事件通知方式：【填写】。

项目结束后：

1. 关闭不再需要的项目权限；
2. 删除临时名单、重复导出和无关副本；
3. 将正式交付物与身份映射分开保存；
4. 按双方确认的期限归档或删除；
5. 记录处理结果。

## 十、数据事件处置

发现误发、越权查看、账号泄露、丢失、恶意传播或其他异常时：

1. 立即停止继续传播；
2. 保留必要的事件证据；
3. 通知项目负责人和学校指定联系人；
4. 判断涉及范围和风险；
5. 按学校和适用规则通知相关人员；
6. 采取撤回、改密、权限关闭、删除和补救；
7. 形成事件记录和改进措施。

不得隐瞒事件、私下删除证据或自行判断“不会造成影响”。

## 十一、家长的数据权利

在平台和项目能力范围内，家长可以：

- 了解信息使用目的；
- 纠正错误资料；
- 对不准确的因素和建议提出否定；
- 删除不希望保留的内容；
- 暂停或退出；
- 撤回可选授权；
- 询问学校报告中的使用范围。

涉及身份、授权和高敏事项时，由指定联系人按流程处理。

## 十二、报告发布前检查

- [ ] 统计周期明确；
- [ ] 模拟数据已全部替换；
- [ ] 数据口径已经核对；
- [ ] 原始对话未进入报告；
- [ ] 家庭编码与身份映射分离；
- [ ] 案例已经脱敏；
- [ ] 小样本不构成重新识别；
- [ ] 高敏内容已最小化；
- [ ] 学校和项目方确认发布范围；
- [ ] 研究、宣传和个体分享授权独立存在。
