运营者：深圳市熵豆科技有限公司
统一社会信用代码：91440300MAKKU21T4L
报告版本：PIPIA-V1.0
评估基准日：2026年11月6日
报告编号：SD-PIPIA-20261106-01
依据《中华人民共和国个人信息保护法》第五十五条，处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向他人提供个人信息，以及处理不满十四周岁未成年人的个人信息，均应当事前进行个人信息保护影响评估，并对处理情况进行记录。
依据第五十六条，个人信息保护影响评估应当包括：①处理目的、处理方式等是否合法、正当、必要；②对个人权益的影响及安全风险；③所采取的保护措施是否合法、有效并与风险程度相适应。评估报告和处理记录应当至少保存三年。
本产品（「全程守护」）的核心用户是不满十四周岁的未成年人，处理的答题录音属于敏感个人信息，并集成了无障碍服务、使用情况访问等高侵入性系统权限。据此，本评估为强制性评估，非自愿性自查。
本报告即第五十六条要求的评估报告，同时作为处理活动的书面记录，自出具之日起保存三年，并按规定接受网信、公安等监管部门的核查。
| 项目 | 内容 |
|---|---|
| 产品名称 | 全程守护 |
| 版本 | 2.2.5-2510 |
| 客户端构成 | 家长端、学生端、老师端（三个独立安装包，同一后端服务） |
| 家长端包名 | com.guoyun |
| 学生端包名 | com.guoyun.child |
| 老师端包名 | com.guoyun.teacher |
| 运营者 | 深圳市熵豆科技有限公司 |
| 个人信息保护负责人 | 刘燕（法定代表人） |
| 联系方式 | shangdoutech@qq.com / 13927309727 |
| 服务器地域 | 中国境内（腾讯云 广州、上海），不出境 |
| 合规文本 | 《隐私政策》V2.0、《儿童个人信息处理规则》、《用户协议》、《未成年人保护合规声明》 |
| 类别 | 依据 |
|---|---|
| 法律 | 《个人信息保护法》第 13、14、28、29、31、55、56 条；《网络安全法》第 21、41、42 条；《未成年人保护法》第 72、74 条（第 74 条：针对未成年人使用其产品和服务设置时间管理、权限管理等功能） |
| 行政法规与规章 | 《未成年人网络保护条例》；《儿童个人信息网络保护规定》；《App违法违规收集使用个人信息行为认定方法》；《常见类型移动互联网应用程序必要个人信息范围规定》 |
| 技术核验 | 客户端依赖清单（app/build.gradle）、AndroidManifest.xml 权限声明、服务端数据表结构、定时删除任务配置 |
| 方法 | 处理活动梳理 → 必要性逐项判定（可否用更少信息实现同一目的）→ 风险赋值（可能性×影响）→ 缓解措施有效性验证 |
下表逐项列明本产品的个人信息处理活动。"必要性"一栏回答的是"能否用更少的信息或更低侵入的方式实现同一目的"，而不是"这个功能要不要做"。
| 项目 | 内容 |
|---|---|
| 信息项 | 监护人手机号码 |
| 处理目的 | 注册与登录、账号唯一标识、短信验证码校验、账号安全风控 |
| 收集方式 | 用户主动输入，短信验证码回填校验 |
| 必要性 | 必要。手机号是本产品账号体系的唯一标识与找回凭据；不收集则无法建立账号、无法区分不同家庭的数据归属，无法用更低侵入方式替代（邮箱注册对家长群体的可达性更低，且同样属于个人信息） |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 2 项（履行合同所必需）；第 13 条第 1 款第 1 项（同意） |
| 保存期限 | 账号存续期间；账号注销后 15 个工作日内删除或匿名化 |
| 项目 | 内容 |
|---|---|
| 信息项 | 孩子昵称、年级 |
| 处理目的 | 建立孩子档案、多孩子区分、按年级匹配题目难度与教材进度 |
| 收集方式 | 家长在家长端主动录入 |
| 必要性 | 必要。年级直接决定题库匹配，缺失则答题功能无法正常出题；昵称仅用于家长端内区分（允许使用化名，不要求真实姓名） |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 2 项；第 31 条（处理不满十四周岁未成年人个人信息应取得监护人同意） |
| 保存期限 | 账号存续期间；账号注销后 15 个工作日内删除 |
| 特别说明 | 产品不要求填写孩子真实姓名、身份证号、出生日期、学校班级（班级/学校仅老师端可选填） |
| 项目 | 内容 |
|---|---|
| 信息项 | Android ID、设备型号、系统版本、应用安装标识；家长账号与孩子设备的绑定关系、绑定时间 |
| 处理目的 | 设备绑定、防止换机冒用、多设备管理、安全风控 |
| 收集方式 | 系统接口读取，绑定关系建立时上传服务端 |
| 必要性 | 必要。设备管控是本产品的基础能力，无设备标识则无法确定"管控哪台设备"，也无法防止绑定关系被冒用 |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 2 项 |
| 保存期限 | 绑定关系存续期间；解绑后 30 日内删除 |
| 特别说明 | 不采集 IMEI、MAC、OAID 等不可重置标识；不使用设备标识进行跨应用追踪或广告归因 |
| 项目 | 内容 |
|---|---|
| 信息项 | 前台应用包名、应用名称、启动与退出时间、累计使用时长 |
| 处理目的 | 向家长展示孩子设备使用情况；按家长设定的规则限制应用与使用时段 |
| 收集方式 | 用户授权"使用情况访问"（PACKAGE_USAGE_STATS）后，由系统接口读取 |
| 必要性 | 必要。该信息即产品核心功能本身（时长统计与应用限制），不可省略、不可降级 |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 1 项、第 14 条（单独同意）；第 31 条（监护人同意） |
| 保存期限 | 自生成之日起 6 个月，到期自动删除 |
| 特别说明 | 仅记录应用包名与时长，不读取应用内内容、聊天记录、输入内容、截图 |
| 项目 | 内容 |
|---|---|
| 信息项 | 锁屏触发时间、解锁时间、解锁方式、答题是否通过；题目标识、作答选项、是否正确、作答耗时、得分 |
| 处理目的 | 锁屏答题解锁的判定依据；向家长生成学习报告 |
| 收集方式 | 功能运行时本地生成并同步服务端 |
| 必要性 | 必要。解锁判定必须依据答题结果，否则"答题解锁"机制不成立 |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 2 项 |
| 保存期限 | 自生成之日起 6 个月（锁屏记录）/ 12 个月（答题结果与学习任务），到期自动删除 |
| 特别说明 | 答题结果不用于任何形式的自动化学业评价、不向学校或第三方提供、不与广告关联 |
| 项目 | 内容 |
|---|---|
| 信息项 | 孩子拍摄或从相册选取的作业/试卷图片（单张） |
| 处理目的 | ①提交学习任务给家长查看；②拍照识别题目，辅助生成同类练习题（仅家长布置的练习） |
| 收集方式 | 用户主动拍摄或主动选择单张上传 |
| 必要性 | 必要（就"任务提交"与"拍照出题"两项功能而言）。不做后台静默采集，不读取相册全部内容 |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 2 项（任务提交）；第 13 条第 1 款第 1 项、第 14 条（拍照识别，单独同意） |
| 保存期限 | 自上传之日起 90 日，到期自动删除；用户可提前申请删除 |
| 流转说明 | 送大模型识别前去除账号标识与设备标识，仅传输图片内容；服务端不将图片用于模型训练 |
| 项目 | 内容 |
|---|---|
| 信息项 | 孩子朗读/答题的音频文件 |
| 处理目的 | 打卡场景下核验"孩子本人已完成朗读任务"，防止代做 |
| 收集方式 | 用户主动点击录音按钮，松开或结束即停止采集 |
| 必要性 | 必要但范围受限。仅在家长开启"录音打卡"任务时启用；语音识别在设备端由 Vosk 离线完成，音频不因识别目的上传 |
| 法律依据 | 《个人信息保护法》第 28 条（敏感个人信息）、第 29 条（单独同意）、第 14 条、第 31 条 |
| 保存期限 | 自上传之日起 30 日，到期自动删除；用户可提前申请删除 |
| 特别说明 | 音频可能包含声纹特征，按敏感个人信息管理：单独同意、单独告知、加密存储、最短期限、到期强制删除；不用于声纹识别、身份核验建模或任何模型训练 |
| 项目 | 内容 |
|---|---|
| 信息项 | 任务标题、科目、要求、截止时间、完成状态 |
| 处理目的 | 家长布置任务、孩子提交、双方查看进度 |
| 收集方式 | 家长端输入，孩子端提交状态 |
| 必要性 | 必要。任务信息即功能本身 |
| 法律依据 | 《个人信息保护法》第 13 条第 1 款第 2 项 |
| 保存期限 | 自生成之日起 12 个月，到期自动删除 |
影响路径：本产品的服务对象主要是不满十四周岁的未成年人，其个人信息属于敏感个人信息。一旦泄露或被滥用，可能影响儿童的人身安全（如结合昵称、年级、设备信息推断就读学校与作息）、造成心理压力（使用记录被非监护人查看），且儿童不具备自主辨识与救济能力。
具体风险点：
结论：该影响真实存在且不可完全消除，属于本产品固有的高风险处理活动。缓解措施见第四章 R1–R4。
影响路径：音频可能包含声纹特征。声纹在技术上可用于身份识别，一旦泄露且被第三方获取，存在被用于伪造语音、身份冒用的可能；录音内容还可能包含家庭环境音、旁人对话等非目标信息。
具体风险点：
结论：影响等级高，但因"仅打卡场景启用 + 设备端识别 + 30 日强制删除 + 单独同意"，风险敞口已压缩至可控区间。
影响路径：作业照片可能包含孩子手写姓名、班级、学校印章、桌面环境等可识别信息；也可能拍摄到家庭成员或居住环境。
具体风险点：
结论：影响可识别、可控制。缓解措施见 R5–R7。
影响路径：本产品使用"使用情况访问（PACKAGE_USAGE_STATS）"与"无障碍服务（AccessibilityService）"两项高侵入性系统权限，具备读取前台应用与限制应用展示的能力。权限被滥用或越界，将直接干预用户对自有设备的正常使用。
具体风险点：
结论：影响等级高，属于监管重点核查项。缓解措施见 R8–R11。
| 权益维度 | 影响判断 |
|---|---|
| 知情权 | 通过《隐私政策》《儿童个人信息处理规则》首次启动弹窗、权限逐项说明保障 |
| 决定权 | 所有非必要权限可拒绝；拒绝后仅对应功能不可用，不影响账号与基础功能 |
| 查阅复制权 | 家长端内可查看全部已收集信息；可申请导出 |
| 删除权 | 支持逐项删除（照片、录音、任务）与整账号注销 |
| 公平对待 | 无自动化决策产生法律效果；不因拒绝可选信息而降低服务质量 |
| 财产权益 | 不涉及支付信息、不涉及金融账户 |
风险赋值方式：风险等级 = 发生可能性（低/中/高）× 影响程度（低/中/高）。缓解措施须为已落地或有明确落地时点的措施，不接受"计划中"占位。
| 编号 | 风险描述 | 可能性 | 影响 | 风险等级 | 缓解措施 | 落地状态 |
|---|---|---|---|---|---|---|
| R1 | 家长账号被盗导致儿童信息泄露 | 中 | 高 | 高 | 短信验证码登录；异地/新设备登录二次校验；登录态有效期限制；异常登录告警 | 已落地 |
| R2 | 家庭成员共用账号导致越权查看 | 中 | 中 | 中 | 一个家长账号可绑定多个孩子，但绑定关系变更需验证码确认；变更记录留痕 | 已落地 |
| R3 | 数据聚合还原儿童画像 | 低 | 中 | 中 | 使用记录仅保留 6 个月；不对外提供；不做跨家庭比对；不用于广告 | 已落地 |
| R4 | 儿童信息被用于模型训练 | 低 | 高 | 中 | 与月之暗面、阿里云协议约定不用于训练；传输前去除身份标识；不传输手机号/设备标识/真实姓名 | 已落地（协议条款可查） |
| R5 | 作业照片含姓名/班级等身份信息 | 高 | 中 | 高 | 上传前引导裁剪；识别环节去除账号与设备标识；90 日到期强制删除；支持随时手动删除 | 已落地 |
| R6 | 照片传输环节被截获 | 低 | 高 | 中 | 全链路 HTTPS（TLS 1.2+）；对象存储私有读，签名 URL 限时访问 | 已落地 |
| R7 | 照片越权访问（跨家庭） | 低 | 高 | 中 | 按账号维度数据隔离；接口鉴权校验资源归属；越权访问记录告警 | 已落地 |
| R8 | 无障碍服务能力越界 | 低 | 高 | 中 | 仅申请"识别前台应用"所需能力，不申请文本读取与模拟点击；权限用途在隐私政策 1.4 节逐项说明；用户可随时关闭 | 已落地 |
| R9 | 权限常驻导致无法卸载/关闭 | 中 | 中 | 中 | 提供"一键关闭管控"入口；关闭后不残留自启；锁屏界面保留家长密码出口 | 已落地 |
| R10 | 录音泄露或被用于声纹建模 | 低 | 高 | 中 | 单独同意后采集；设备端离线识别；30 日强制删除；明确禁止用于声纹建模并写入内部制度 | 已落地 |
| R11 | 录音夹带第三方对话 | 中 | 中 | 中 | 采集前提示"请在独立空间朗读"；录音仅用于打卡核验，不做内容分析 | 已落地 |
| R12 | 数据到期未真实删除（承诺与实现不一致） | 中 | 高 | 高 | 服务端定时任务按各表期限配置删除；删除任务执行日志留存；纳入内部合规审计（季度抽检） | 已落地，季度抽检 |
| R13 | 云服务商侧数据泄露 | 低 | 高 | 中 | 选择境内持证云服务商（腾讯云）；数据加密存储；开启访问审计；签订数据处理协议 | 已落地 |
| R14 | 短信验证码被撞库/轰炸 | 中 | 中 | 中 | 验证码有效期 5 分钟；同号码/同 IP 频次限制；异常频次熔断 | 已落地 |
| R15 | 内部人员越权访问 | 低 | 高 | 中 | 最小权限；运维操作留痕；敏感操作双人复核；访问日志留存 6 个月 | 已落地 |
经上述措施，R1、R5、R12 三项仍为"高"等级。判断依据：
三项残余风险均不构成"拒绝提供服务"的理由，但须持续监控，并在下一年度复核时重新赋值。
| 项目 | 内容 |
|---|---|
| 评估基准日 | 2026年11月6日 |
| 评估完成日 | 2026年11月6日 |
| 评估组织 | 深圳市熵豆科技有限公司 个人信息保护工作组 |
| 评估人 | 刘燕（个人信息保护负责人、法定代表人） |
| 技术核验人 | 客户端与后端研发负责人 |
| 核验材料 | app/build.gradle 依赖清单；AndroidManifest.xml 权限声明；服务端数据表结构与定时删除任务配置；服务器 IP 归属核验（123.207.56.139 → 腾讯云广州节点）；《个人信息保护法》第 55、56 条原文经中央网信办官网（cac.gov.cn）逐字比对；《隐私政策》V2.0；《儿童个人信息处理规则》 |
| 报告编号 | SD-PIPIA-20261106-01 |
| 报告版本 | V1.0 |
| 保存期限 | 自 2026年11月6日 起 3 年（至 2029年11月5日） |
| 复核周期 | 每年一次；处理活动重大变更时即时复核 |
| 下次复核 | 2027年11月6日前 |
| 保管部门 | 个人信息保护工作组（联系人：刘燕，shangdoutech@qq.com） |
深圳市熵豆科技有限公司
粤ICP备2026155361号-1
2026年11月6日