动动星球儿童个人信息保护规则

致监护人和儿童

动动星球主要面向 7–11 岁儿童及其家长。我们将不满 14 周岁的未成年人称为“儿童”，将儿童的父母或其他依法履行监护职责的人称为“监护人”。

儿童个人信息属于敏感个人信息。儿童档案、问卷及玩法业务处理需先完成监护人授权。邀请测试期间另有默认第一方使用统计，可能早于登录和建档采集，尚无单独统计同意或关闭机制，具体见本规则统计专节。

监护人应完整阅读本规则和《动动星球隐私政策》，根据儿童年龄、理解能力和实际情况向儿童说明重要内容，并决定是否允许儿童使用相关功能。不同意本规则的，请不要创建儿童档案或向儿童开放需要处理儿童个人信息的功能。

1. 适用范围

本规则是《动动星球隐私政策》针对儿童个人信息的专门规则，适用于动动星球团队通过动动星球 iOS App 处理儿童个人信息的活动。

本规则未约定的内容适用《动动星球隐私政策》。本规则与隐私政策不一致时，对儿童权益保护程度更高的条款优先适用。

2. 我们处理哪些儿童个人信息

2.1 儿童基础档案

经监护人同意，我们会处理儿童内部标识符、昵称、出生日期、成长参考性别、角色形象、配饰和档案创建时间，用于创建档案、提供年龄适配内容、展示个性化角色和关联同一儿童的活动记录。

创建儿童档案前，监护人通过一个未预选的总控件一次确认儿童档案摘要、角色形象、成长问卷与匹配结果、玩法事实与账本四类必要云端处理后，昵称、出生年月（客户端截断为年和月）、成长参考性别和角色形象配饰会加密上传至动动星球服务端，用于换机恢复和账号找回；完整出生日期仍仅保存在设备本地，服务端使用儿童内部标识符关联云端档案、活动和点赞记录。一次操作会在服务端形成四类目的各自授权记录。

我们不要求儿童提供真实姓名、身份证号码、学校、班级、家庭住址或联系方式。昵称可以使用不指向真实身份的称呼。

2.2 成长观察和内容建议

经监护人通过四类必要云端处理总控件确认后，我们会处理家长选择或填写的体态、协调、专注、体能、精力、优先方向等观察，以及由固定规则生成的课程方向建议。

完整结构化问卷答案及其问卷版本、答案结构版本会加密上传并保存在服务端。服务端按固定规则生成特征向量和课程方向建议，并将计算规则版本和匹配结果加密保存，用于生成每日任务和建立课程报名关联。自由文本观察仍仅保存在设备本地；问卷答案和派生结果不会写入通用日志、指标标签、审计详情或明文幂等摘要。

这些信息仅用于整理家长观察和提供内容参考，不用于医疗诊断、治疗、康复、健康评分、能力排名、广告画像或对儿童作出具有重大影响的决定。第 2.7 节周排行榜展示按周汇总的 60 秒跳绳活动成绩，不使用成长观察作儿童能力评级或同龄比较。

监护人不应在自由文本中填写与使用目的无关的身份证件、住址、学校、疾病诊断或第三人信息。

2.3 任务、活动和探索记录

儿童使用任务和探索功能时，我们会处理任务内容、开始和结束时间、活动时长、完成状态、退出原因、动作或组数、同行者关系角色、每日任务、周挑战、探索进度、奖励、能量和解锁记录。

完成玩法数据云端处理授权并创建儿童档案后，任务完成摘要（不含同行者关系角色）、每日任务安排请求、周挑战运行记录、探索天数、连续运动天数、奖励领取和能量/碎片账本变动会加密上传至服务端，用于跨设备恢复和防止重复结算。同行参与者关系角色仅保存在设备本地。

同行者当前仅以“妈妈”“爸爸”“祖辈”“照顾者”“兄弟姐妹”“朋友”等关系角色记录，不要求填写真实姓名。

2.4 相机和动作识别

App 不在启动阶段申请 iOS 相机权限。每次开始跳绳动作识别前，我们会向监护人说明相机用途、设备端处理边界和可能影响，并在线提交本次确认；服务端记录确认时间、App 版本和确认界面版本标识（uiSnapshotID，不是屏幕截图）。系统权限本身不替代监护人同意。只有完成本次在线确认、儿童进入该功能且系统权限有效时，动动星球才会通过 Apple Vision 人体与手部识别在设备上实时处理画面、人体关键点、骨架坐标、置信度和动作节奏。

当前版本不保存、不上传原始相机画面、人体关键点或模型中间结果，不使用画面识别儿童身份，也不将画面用于模型训练或广告。测试结束后在设备本地保存次数、时长、结束原因、摄像头模式和必要识别质量摘要，每个儿童最多保留最近 50 条记录；完成玩法数据云端处理授权后，该结果摘要（不含画面和关键点）会加密上传用于跨设备恢复历史记录。

2.5 设置、提醒、实时活动和设备传感器

我们会在设备本地处理儿童活动目标、任务偏好、提醒时间和免打扰时段。App 在儿童完成必要授权后的启动阶段申请通知权限。允许系统通知后，会按当前提醒偏好安排本地通知；初始偏好为周一至周五 18:30 每日运动提醒、20:00 未完成提醒，免打扰时段为 21:00 至次日 08:00。未完成提醒结合本机已同步的当天完成情况安排，完成活动后更新，离线或系统调度可能使状态延迟。家长可在“家长中心 → 设置 → 提醒设置”修改时间、星期或分别关闭提醒，也可在 iOS“设置”中关闭动动星球通知。拒绝通知不影响主动打开 App。实时活动功能默认开启，任务开始后在系统允许时，系统会自动在锁屏和灵动岛显示任务标题、动作名称和进度，不包含儿童姓名或其他身份信息；可通过 iOS“设置”关闭，App 内无关闭开关。AirPlay 投屏能力也默认开启，可将任务示范视频和声音输出到外部显示器，画面可能被他人看到，监护人应评估使用环境和接收设备的安全性；可通过 iOS“设置”中的 AirPlay（隔空播放）相关设置关闭，App 内无关闭开关。App 可能短暂读取设备重力方向控制视觉动画；相关数据不保存、不上传，也不用于评估儿童表现。

2.6 当前不处理的儿童信息

当前版本不处理儿童身份证件、手机号、精确位置、通讯录、麦克风录音、HealthKit 数据、可穿戴设备数据、广告标识符、照片或视频，也不提供真实货币支付、订阅、儿童社区、公开主页或由用户自行发布内容的公开分享功能。周排行榜的跨家庭展示和点赞范围见第 2.7 节。App 内“星际碎片”仅为活动获得的服务内记录，当前不能以人民币或其他真实货币购买。

家长账号当前使用邮箱（手机号通道暂未开放），不应提供儿童手机号。 Apple 快捷登录开放时仅用于验证家长身份，首次仍须验证家长邮箱，支持 Apple 隐藏邮箱；此授权不替代儿童云端处理同意，也不向 Apple 发送儿童档案、问卷或运动记录。

2.7 周排行榜与点赞

周排行榜属于玩法数据云端处理的一部分。取得玩法数据云端处理（gameplay_cloud）同意后，服务端会按周跨所有家庭聚合儿童的 60 秒跳绳成绩，解密档案昵称后返回并展示昵称、预设头像、名次、本周成绩和历史累计获赞数。监护人可以查看，其他家庭的儿童也可以查看昵称和成绩并点赞。当前没有独立的排行榜同意，也没有家长单独关闭排行榜的入口。

这里的“匿名昵称”是指不要求使用真实姓名的档案昵称，并不表示相关数据已不可识别或完成法律意义上的匿名化。请勿在昵称中填写真实姓名、学校、联系方式等可识别儿童身份的信息；昵称和活动成绩可能被其他家庭看到。

点赞记录保存双方儿童内部标识、周次、来源指标、时间和消息序号，不记录点赞动机或评论。我们使用这些关系记录统计和展示点赞数。当前账号数据导出不含点赞关系和收赞明细；App 收赞页可查看收到的赞，相关复制能力尚未提供。

周榜是监护人可见、其他家庭儿童也可访问的匿名昵称活动记录展示，不构成医疗或能力评价，不用于儿童能力评级、同龄比较、广告或营销。第 2.2 节关于不依据成长观察进行能力排名的承诺，不表示本功能不展示活动成绩名次。

云端儿童数据因撤回云同步或注销账号被删除时，相关榜单和点赞记录一并删除；撤回云同步后停止相应处理并删除相关记录。“删除孩子本地档案”等本机清理操作不触发云端删除。App 内删除相关云端数据的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”。

收到的赞与系统推送

周排行榜展示昵称、按档案映射的小男孩或小女孩预设头像、名次、本周成绩和历史累计获赞数；不向其他家庭返回原始性别字段。成绩按北京时间周一至周日统计，获赞跨周累计。每个孩子每周可给多个孩子分别点赞，对同一个孩子最多一次，切换榜单指标不会增加次数，点赞后不能取消。

每次有效点赞形成一条“收到的赞”记录，包含发送者和接收者的儿童内部标识、来源指标、周次、服务端时间及消息序号。收赞页显示发送者昵称、预设头像、时间和周次，跨周保留；已读水位用于同步不同设备的未读状态。点赞与消息用于本功能，不用于广告、营销或能力评价。

在允许系统通知的设备上，我们使用 Apple Push Notification service（APNs）发送收到点赞的提醒，即使 App 未打开也可能收到。设备推送标识在服务端加密保存；向 Apple 提交推送标识、发送者昵称、提醒正文、接收孩子及账号的内部标识和批次定位标识，用于投递与打开正确的收赞页。锁屏预览可能显示点赞者昵称，监护人可在 iOS“设置”中关闭通知或隐藏预览。系统通知展示受系统设置和调度影响；拒绝通知不影响 App 内查看消息。

第一个赞可即时提醒，之后五分钟内的赞适当合并；App 内仍逐条保留记录。已经确认已读的待发消息不再提醒，推送任务最长保留二十四小时，过期后不补发。退出登录、会话撤销或推送标识失效后停止对相应注册投递；更换账号时更新标识归属。离线退出时 App 停止远程通知注册，服务端状态在恢复连接或下一次有效注册后收敛。

撤回孩子云端处理或注销账号导致相关云端儿童数据删除时，关联点赞、收赞记录、消息状态以及待发送任务和投递引用一并清理。双方任一孩子的相关云端数据被删除后，该点赞不再计入累计值。本机记录清理不替代云端删除。

邀请测试期间的第一方使用统计

邀请测试期间默认开启第一方产品使用统计，从 App 配置统计服务及启动、进入页面或进行操作时开始，可能早于注册、登录和儿童建档。当前没有供家长使用的统计关闭开关，也没有单独的统计同意记录。 统计用于了解使用流程、任务完成、跳绳表现和运行故障；不接入第三方分析 SDK，不用于广告或跨应用跟踪。

每条事件包含事件标识、随机安装标识、会话标识、发生时间、家长／儿童／系统角色、儿童在本机的档案序号（适用时）、App 版本与构建号、系统版本、设备机型、网络类型，以及经过白名单限制的操作字段。操作字段包括页面和入口、登录或授权结果、内容标识、任务状态和时长、跳绳次数和帧率摘要、设备热状态与低电量模式、周挑战状态、奖励类别、设置变更类别、提醒安排及错误类别。服务器补充接收时间，并记录服务端结算和操作结果。后台任务使用临时随机标识。

统计不包含账号 ID、儿童 ID、邮箱、昵称、出生日期、成长问卷答案、原始相机画面、人体关键点、自由文本、完整请求地址或广告标识符。安装标识用于关联同次安装中的操作，不与账号建立映射；本机档案序号不是儿童身份标识。这不表示统计已经完全匿名化：同一安装的行为仍可关联，且家庭共用设备上的记录可能混合。 网络连接仍需处理 IP，限流使用按日散列，不把 IP 写入统计事件。

统计发送至动动星球服务端。只有获授统计读取权限的管理人员可查看汇总、安装事件和数据明细，并导出当前筛选范围的 Excel 分析与事件明细；普通客服只读角色无此权限。导出可能包含安装及会话标识、事件时间、设备和操作字段，供内部产品分析与故障排查使用，不提供给广告商。

本地待上传队列按事件发生时间保留 7 天，在写入或读取队列时清理；长期未运行的设备在下次队列处理时清理。服务端原始事件按发生时间保留 90 天；去重及接收计数记录保留 90 天；按日汇总、留存分组和安装首次行为记录保留 730 天，其中安装首次行为记录从最近一项已记录里程碑计算。服务端每日维护到期清理，关闭新统计接收后仍执行清理；任务失败会记录并重试。

账号导出、撤回儿童云端处理和注销账号只处理能按账号或儿童关联的业务数据及其删除例外。由于未建立账号与安装的关联，这些操作无法按账号定位、导出或删除独立安装统计，也不会重置本机统计队列和安装标识；服务器统计按上述期限清理，汇总不会因账号操作回溯扣减。导出副本和删除任务结果会明确这一范围。卸载后重新安装会生成新的安装标识，已上传记录仍按期限清理。已下载到管理人员设备上的分析副本不受服务器定期清理直接控制，应按内部访问和删除要求处置。

上述默认统计规则限于邀请测试。正式上线前需要提供统计关闭或单独授权机制，同步更新告知文本、产品实现和同意记录；当前默认开启不能解释为正式版本的永久规则。

服务端还保存每周挑战分配、周次、挑战和内容版本、接受／进行中／完成／放弃／过期状态、进度来源、家长确认及时间、单项奖励和整周奖励结算记录，用于跨设备恢复与防止重复领奖。它们属于玩法数据云端处理范围，随儿童云端撤回或账号注销进入删除流程，并纳入现有活动事实导出。

3. 儿童信息的保存位置

儿童成长问卷中的自由文本、同行参与者关系、相机画面、人体关键点、设备倾斜数据和儿童设置保存在安装动动星球的设备本地，不上传至动动星球服务器。结构化成长问卷按下表加密上传。

家长邮箱（手机号通道暂未开放）、验证码记录、家长账号和登录安全日志由服务端处理。创建儿童档案前，监护人通过一个未预选的总控件一次确认以下四类必要云端处理后，相应儿童信息会加密上传至动动星球服务端：

服务端以加密形式存储上述字段。第 2.7 节周排行榜还会解密昵称并跨家庭展示名次、成绩和点赞数，点赞关系保存点赞者和被点赞者的儿童内部标识；该处理属于玩法数据云端处理的一部分。总控件的一次确认会形成四类目的各自监护人同意状态和证据；未取得完整授权的服务端接口会拒绝相应上传。总控件不包含相机画面、通知、Live Activity 或未来新增处理目的的授权。

监护人可以在家长区域撤回孩子的云端处理授权；撤回开始后我们立即停止新增上传并阻断儿童核心功能，云端儿童信息按隐私流程删除或匿名化。撤回不会注销家长账号，但在重新完成必要授权前不能恢复儿童核心功能。

4. 我们如何取得监护人同意

首次创建儿童档案前，我们会要求操作者：

1. 使用家长邮箱（手机号通道暂未开放）完成账号控制权验证；
2. 作出成年人及监护人声明，并设置家长 PIN；系统生物识别可作为后续操作者验证方式；
3. 阅读隐私政策、本规则和授权书；
4. 在同一页面逐项查看四类必要云端处理，通过一个未预选的总控件一次确认全部四类目的；
5. 对相机实时图像处理等不属于上述总控件的敏感处理，在每次使用前在线提交清晰、具体的监护人确认，服务端记录确认时间、App 版本和确认界面版本标识（uiSnapshotID，不是屏幕截图）。

我们会结合成年人/监护人声明、家长邮箱（手机号通道暂未开放）控制权验证、家长 PIN 和系统生物识别结果验证操作者。上述措施不能单独证明法定监护关系。发生冒用、父母双方争议、监护权变更或删除请求冲突时，受理责任人、最少证明材料、处理时限和材料保存期限仍待确定；只有在法律要求或确有必要时，我们才会另行说明并收集最少必要的监护证明。

App 在儿童已完成必要授权后的启动阶段申请通知权限，不在启动阶段申请相机权限；允许通知后按当前偏好安排每日与未完成提醒，收到点赞的系统推送按下文规则发送。相机、通知或 Face ID 权限弹窗不替代监护人对儿童个人信息处理的同意；拒绝相机或通知权限不影响不依赖相应权限的功能。

我们会记录同意主体对应的家长账号、文本名称、文本版本、同意时间、同意事项和撤回状态。四类必要云端目的虽然由一个总控件一次确认，服务端仍分别记录每一目的的同意证据。重大处理变化发生时，我们会重新取得同意。

如我们发现儿童未经监护人同意提供了个人信息，或操作者并非有权作出决定的监护人，我们会停止相关处理，并在合理验证后及时删除信息。

5. 最小必要与儿童参与

我们遵循以下规则：

• 不因好奇、备用或不确定的未来用途收集儿童信息；
• 能在设备本地完成的处理，优先在设备本地完成；
• 能使用年龄段、关系角色或内部标识符实现目的时，不要求真实姓名、证件、地址或精确位置；
• 可选信息和可选功能不与核心服务强制捆绑；
• 不诱导儿童反复运动、过量运动、付费、分享或提供更多个人信息；
• 不通过排名、惩罚、断签或羞辱性表达刺激儿童；
• 用儿童能够理解的语言说明相机、活动记录和删除结果；
• 允许监护人根据儿童年龄和能力决定是否让儿童参与相关选择。

6. 自动化处理和内容建议

动动星球当前只使用固定规则，由服务端根据家长提交的结构化问卷生成课程方向并准备每日任务。该处理不调用 AI，不跨应用跟踪儿童，不进行广告画像，也不产生医疗或教育评价。

监护人可以通过成长档案查阅、更正用于计算的原始信息；当前尚无人工解释规则的专门受理渠道。未来如使用 AI、云端画像或可能对儿童权益产生重大影响的自动化决策，我们会在启用前另行说明、评估并提供拒绝或人工处理渠道。

7. 委托处理、共享和公开披露

7.1 委托处理

云同步功能由动动星球服务端承载，儿童档案摘要、角色形象、结构化成长问卷、版本、派生匹配结果和玩法数据以加密形式存储于服务端数据库。核心云基础设施服务商为阿里云，地域为华北2（北京），供应商合同主体及具体处理边界尚未完成核验；其受托提供主机、数据库、日志和备份能力，不用于广告或模型训练。日志、备份、远程运维和转委托是否始终位于该地域仍需根据最终资源和合同核验。

家长邮箱验证码由阿里云邮件推送（DirectMail）受托发送，处理范围限于家长邮箱、包含验证码的邮件内容、发送时间、供应商邮件标识、发送/投递状态和必要失败原因，不接收儿童档案、成长问卷、活动记录、相机画面或人体关键点。当前设计不使用境外邮件服务；正式发布前须核验阿里云邮件推送的签约主体、实际服务地域、境外访问或转委托、保存与删除机制，若实际发生境外处理，应先完成相应评估和告知或更换服务。

如未来新增受托处理儿童个人信息的服务商，我们会进行安全评估，在合同中明确处理目的、期限、方式、信息种类、保护措施和双方责任，并对受托方处理活动进行监督。受托方不得超出我们的指示处理，不得转用于广告或模型训练。

7.2 共享、转让和公开披露

第 2.7 节周排行榜会向其他家庭展示儿童的昵称、预设头像、名次、本周成绩和历史累计获赞数，其他家庭的儿童可查看并点赞；当前依据玩法数据云端处理同意提供，没有独立的排行榜同意或家长关闭入口。除该已说明的展示和本规则所述委托处理外，我们当前不向第三方共享、转让或公开披露儿童个人信息。

未来确有必要向独立第三方提供儿童个人信息时，我们会告知接收方名称、联系方式、处理目的、处理方式、信息种类和可能影响，依法进行保护影响评估并取得监护人单独同意。

除第 2.7 节已说明的周排行榜展示或法律法规另有规定外，我们不会公开披露儿童个人信息，也不会出售儿童个人信息。

8. 保存期限和删除

儿童信息按以下规则保存：

• 成长问卷自由文本、同行参与者关系、儿童设置：保存在设备本地，至监护人执行“删除孩子本地档案”“删除全部本地数据”或卸载 App；
• 结构化成长问卷、版本和匹配结果：加密保存在服务端，随账号存续；监护人撤回云同步或注销账号后停止日常使用并进入删除流程；
• 活动、进度和奖励记录（本地部分）：保存至监护人执行相应本机清理操作、“删除孩子本地档案”“删除全部本地数据”或卸载 App；
• 云端档案摘要、角色形象、结构化成长问卷、版本、匹配结果、玩法结算和跳绳摘要：随账号存续加密保存，用于恢复和结算；撤回云同步或注销账号后停止日常使用并进入删除流程，备份副本最长 30 天轮换清除；
• 跳绳测试结果：每个儿童最多保留最近 50 条（本地），监护人可通过“清除本机跳绳记录”随时清除本机记录，云端摘要保留；云端同步的摘要随云同步撤回或注销删除；
• 周排行榜和点赞记录：随相关云端儿童数据保存，撤回云同步或注销账号导致云端儿童数据删除时一并删除，备份副本最长 30 天轮换清除；“删除孩子本地档案”等本机清理操作不触发云端删除；
• 相机帧、人体关键点和设备倾斜数据：仅在相应功能运行时存在于内存，处理完成后不保存；
• 待发送通知：至通知触发、失效、提醒关闭、儿童档案删除或本地数据删除。
• 数据导出副本：生成后最多保留 7 天；到期、撤回或注销后删除或撤销访问；
• 删除或撤回 checkpoint 交付信息：最多保留 7 天供设备确认状态，期满停止交付；
• 安全审计记录：最长 180 天；
• 已撤回或被替代的监护人同意证据：自撤回或被替代之日起保留 3 年，仅用于证明同意、处理争议和履行法定义务，期满删除或匿名化。

iOS 或用户启用的系统备份可能影响本地数据的实际副本存续。设备或 iCloud 中的历史备份须由用户按系统设置管理；统计队列目录已排除系统备份。

上述数值为测试阶段采用的当前内部基线，仍须经法务批准后才能成为正式对外承诺。账号主数据删除期限、其他访问日志类别、阿里云邮件推送侧保存期限、iOS/iCloud 备份边界及法定延长保存例外仍待确认；这些事项须在正式上线前完成核验，当前文本仅适用于邀请测试。

9. 监护人和儿童的权利

监护人可以依法：

• 查阅儿童档案、成长观察、活动记录、跳绳结果和设置；
• 更正不准确或不完整的信息；
• 获取儿童个人信息副本；
• 清除本机跳绳记录、清除本机探索缓存、删除孩子本地档案或删除全部本地数据；上述操作不删除云端数据；
• 撤回四类必要云端处理授权，或撤回相机等设备端处理的单独同意；
• 要求解释推荐规则；
• 对儿童信息处理提出咨询、投诉或举报。

儿童在具备相应理解能力时，也可以在监护人协助下向我们表达访问、更正或删除意愿。我们会优先考虑儿童的最佳利益，不因监护人和儿童意见不一致而简单忽略儿童的合理诉求。

产品内路径包括：

• 档案查阅与更正：家长中心 → 成长档案；
• 本机跳绳记录清除：家长中心 → 设置 → 数据管理 → 清除本机跳绳记录（只清本机，云端摘要保留）；
• 本机探索缓存清除：家长中心 → 设置 → 数据管理 → 清除本机探索缓存（仅清本机缓存，云端探索进度保留）；
• 本机儿童档案删除：家长中心 → 设置 → 数据管理 → 删除孩子本地档案（仅删除本机档案及关联本地数据，云端档案不受影响）；
• 全部本地数据删除：家长中心 → 设置 → 数据管理 → 删除全部本地数据（仅清本机数据，不删除云端数据）；
• 撤回云同步：家长中心 → 设置 → 数据管理 → 撤回孩子的云端处理授权；
• 数据副本导出：家长中心 → 设置 → 数据管理 → 申请数据导出；
• 账号注销：家长中心 → 设置 → 数据管理 → 注销动动星球账号（仅处理云端账号，不自动删除本机数据）。

上述四项本机清理操作仅清理本机业务数据；同页的云端操作另行处理。App 内触发云端删除的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”，相关榜单和点赞记录随云端儿童数据删除。当前数据导出载荷不含点赞关系、收赞明细和独立安装统计；App 收赞页可查看收到的赞，相关复制能力尚未提供。

为防止未经授权的操作，我们会结合成年人/监护人声明、账号控制权、家长 PIN 和系统生物识别结果重新验证操作者。监护关系争议的受理与复核流程仍待确定；当前没有专门人工受理渠道或已公布的答复时限。仅保存在设备本地且从未上传的信息无法由客服直接读取或远程恢复，我们会提供设备内操作指引。

撤回同意不影响撤回前处理活动的合法性。撤回儿童核心服务所需的云端处理授权后，我们会停止对应处理并阻断儿童核心功能；撤回相机等设备端可选处理的同意时，只停止依赖该处理的功能。

10. 安全保护措施

除隐私政策列明的通用措施外，我们针对儿童信息采取：

• 指定儿童个人信息保护负责人；
• 对处理儿童信息的人员进行最小授权、审批、审计和培训；
• 服务端存储的儿童数据采用加密存储，并与家长账号认证数据实施访问分离和最小授权；
• 对儿童敏感信息、相机处理、云同步、供应商和新功能开展个人信息保护影响评估；
• 对相机画面和人体关键点实施设备端、内存内处理；
• 对删除儿童档案等操作进行家长身份重新验证；
• 定期验证数据删除、通知取消、备份清理和权限撤回是否有效；
• 依法开展未成年人个人信息处理合规审计，记录问题、整改和复核结论；
• 禁止在普通日志、客服工单和分析系统中记录儿童自由文本、相机画面或人体关键点。

如发生或可能发生儿童个人信息泄露、篡改或丢失，我们会立即采取补救措施，依法向监管部门报告，并以适当方式通知监护人。通知会使用清晰语言说明事件、影响、措施和可采取的行动。

11. 规则更新和停止运营

儿童信息的处理目的、范围、云同步、服务商、保存期限、相机或传感器用途发生重大变化时，我们会以 App 弹窗、短信、推送或其他显著方式通知监护人，并在依法需要时重新取得同意。

我们会在本规则顶部标明版本、更新日期和生效日期，并提供历史版本查阅方式。

如动动星球停止运营，我们会依法提前通知监护人，停止处理儿童个人信息，并对持有的儿童个人信息进行删除或匿名化处理，法律法规另有规定的除外。

12. 联系我们

运营者：动动星球团队。

当前邀请测试未提供对外公布的隐私邮箱、客服电话、邮寄地址或专门负责人联系方式。“关于和帮助”提供说明与法律文件，不是人工受理渠道。已实现的查阅、更正、导出、撤回和注销操作请使用本文件列明的 App 入口；产品暂不能受理的其他请求或监护关系争议，尚无专门人工渠道。您仍可依法向有管辖权的监管部门投诉或向有管辖权的人民法院寻求救济。正式上线前须建立并公布人工受理渠道。