动动星球监护人同意及敏感个人信息单独授权书

重要说明

本授权书供未满 14 周岁儿童的父母或其他监护人阅读和确认。请您在为儿童创建档案、填写成长观察或启用相机动作识别前，连同《动动星球隐私政策》和《动动星球儿童个人信息保护规则》完整阅读。

儿童个人信息属于敏感个人信息。处理不当可能导致儿童受到歧视、名誉受损、人身或财产安全受危害。动动星球按最小必要原则处理儿童信息：成长问卷自由文本、同行参与者关系仅保存在当前设备本地；相机画面和人体关键点仅在设备内存实时处理，不保存、不上传；家长账号认证数据，以及您完成四类必要云端处理授权后的儿童档案摘要、角色形象、完整结构化成长问卷、匹配结果和玩法结算数据由服务端加密处理。

本授权书包含四类儿童核心服务所需目的以及相机、通知等功能选择。四类必要云端处理会在同一页面逐项说明，并由一个未预选的总控件一次确认全部四类目的；该总控件不包含相机画面、通知、Live Activity 或未来新增处理目的。四类必要目的缺少完整确认时，不创建可进入核心功能的儿童档案。相机等功能选择仍可单独拒绝，App 在儿童已完成必要授权后的启动阶段申请通知权限，允许通知后按当前偏好安排每日与未完成提醒，收到点赞的系统推送按下文规则发送。

1. 监护人声明

点击确认前，您声明并保证：

1. 您已年满 18 周岁，具有完全民事行为能力；
2. 您是相关儿童的父母、依法确定的其他监护人，或已获得监护人的明确授权；
3. 您有权代表儿童作出本授权，并愿意承担维护账号、设备和家长门禁安全的责任；
4. 您填写的信息真实、准确，并会在信息发生变化时及时更正；
5. 您会结合儿童的年龄和理解能力，以儿童能够理解的方式说明相关处理，并听取儿童意见；
6. 如监护关系、授权范围或设备控制权发生变化，您会及时停止使用，并通过“家长中心 → 设置 → 数据管理”处理可自行操作的账号和数据；当前尚无监护关系争议的专门人工受理渠道。

我们会结合成年人/监护人声明、家长邮箱（手机号通道暂未开放）控制权验证、家长 PIN 和系统生物识别结果验证操作者，但这些措施不能单独证明法定监护关系。发生冒用、父母双方争议、监护权变更或删除请求冲突时，我们可以暂停相关高风险操作；受理责任人、最少证明材料、处理时限和材料保存期限仍待确定，不得超范围收集。

2. 必要处理一：创建和维护儿童档案

2.1 处理内容

在您通过第 4 节总控件一次确认四类必要云端目的后，动动星球在设备本地处理儿童内部标识符、昵称、出生日期、成长参考性别、角色形象和配饰、档案创建时间。

2.2 目的和必要性

上述信息用于区分同一设备上的儿童、提供年龄适配内容、展示角色形象，并将活动记录与正确的儿童档案关联。出生日期和成长参考性别可能对儿童权益产生较高影响；发布前应继续评估能否缩减为出生年月、年龄段或可选项。

2.3 处理方式、保存和影响

• 建档过程中资料可在当前设备内存中暂存；只有完成第 4 节总控件确认四类必要目的并通过服务端原子提交后，儿童档案才建立为可进入核心功能的权威记录；
• 完成四类必要目的的完整授权后，昵称、出生年月、成长参考性别和角色形象配饰会加密上传至动动星球服务端，用于换机恢复和账号找回；
• 本地数据保存至您执行“删除孩子本地档案”“删除全部本地数据”，或依法需要提前删除之时；
• 您未通过第 4 节总控件完整确认四类必要云端处理时，不能创建儿童档案，也不能使用依赖儿童档案的个性化任务、进度和记录功能；
• 您可以在家长区域更正儿童档案，或通过“删除孩子本地档案”仅删除本机档案及关联本地数据，云端档案不受影响。App 内删除云端相关数据的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”；删除操作通常无法恢复。

2.4 授权范围

儿童档案信息属于第 4 节四类必要云端处理总控件列明的第一类目的。产品不得在本节另设会造成误解的预选控件；总控件一次确认后，服务端按“儿童档案摘要”目的单独记录授权证据。

3. 必要处理二：成长观察和内容建议

3.1 处理内容

在您通过第 4 节总控件一次确认四类必要云端目的后，动动星球处理您选择或填写的体态、坐姿、动作协调、专注、提醒需求、日常精力、成长目标、优先方向及相关自由文本，并通过固定规则生成内容方向建议。

完成第 4 节四类必要目的的完整授权后，完整结构化问卷答案及问卷版本、答案结构版本会加密上传；服务端按固定规则生成特征向量和课程方向建议，并将计算规则版本和匹配结果加密保存，用于生成每日任务和建立课程报名关联。自由文本观察仍仅保存在设备本地。

3.2 目的、风险和边界

这些信息仅用于帮助家长组织亲子活动和选择本地内容，不用于医疗诊断、治疗、康复、心理测评、教育评价或身体能力排名。自由文本可能意外包含病史、残障、身份信息或第三人的信息，请不要填写与活动选择无关的内容。

处理不当可能造成对儿童健康、能力或发展的错误推断。产品不得根据这些信息作出对儿童产生显著不利影响的自动化决定，不得用于广告、营销、商业画像或与其他家庭比较。

3.3 保存、拒绝和撤回

• 问卷可在提交失败重试期间保留进程内副本；完成四类必要目的授权后，结构化答案、版本和服务端匹配结果加密保存到账号；
• 您可更正问卷；如需删除云端问卷记录，应通过“撤回孩子的云端处理授权”或“注销动动星球账号”处理。撤回后停止新增处理并删除相关云端记录；“删除孩子本地档案”仅删除本机相关数据，不删除云端问卷；
• 未确认或撤回四类必要云端处理授权后，儿童核心功能保持受限，不会恢复为本机或通用可玩模式；您仍可进行授权管理、导出、删除和重新授权等成人操作。

3.4 授权范围

结构化成长问卷和匹配结果属于第 4 节四类必要云端处理总控件列明的第三类目的；自由文本仍仅在设备端处理。总控件一次确认后，服务端按“成长问卷与匹配结果”目的单独记录授权证据。

收到的赞与系统推送

周排行榜展示昵称、按档案映射的小男孩或小女孩预设头像、名次、本周成绩和历史累计获赞数；不向其他家庭返回原始性别字段。成绩按北京时间周一至周日统计，获赞跨周累计。每个孩子每周可给多个孩子分别点赞，对同一个孩子最多一次，切换榜单指标不会增加次数，点赞后不能取消。

每次有效点赞形成一条“收到的赞”记录，包含发送者和接收者的儿童内部标识、来源指标、周次、服务端时间及消息序号。收赞页显示发送者昵称、预设头像、时间和周次，跨周保留；已读水位用于同步不同设备的未读状态。点赞与消息用于本功能，不用于广告、营销或能力评价。

在允许系统通知的设备上，我们使用 Apple Push Notification service（APNs）发送收到点赞的提醒，即使 App 未打开也可能收到。设备推送标识在服务端加密保存；向 Apple 提交推送标识、发送者昵称、提醒正文、接收孩子及账号的内部标识和批次定位标识，用于投递与打开正确的收赞页。锁屏预览可能显示点赞者昵称，监护人可在 iOS“设置”中关闭通知或隐藏预览。系统通知展示受系统设置和调度影响；拒绝通知不影响 App 内查看消息。

第一个赞可即时提醒，之后五分钟内的赞适当合并；App 内仍逐条保留记录。已经确认已读的待发消息不再提醒，推送任务最长保留二十四小时，过期后不补发。退出登录、会话撤销或推送标识失效后停止对相应注册投递；更换账号时更新标识归属。离线退出时 App 停止远程通知注册，服务端状态在恢复连接或下一次有效注册后收敛。

撤回孩子云端处理或注销账号导致相关云端儿童数据删除时，关联点赞、收赞记录、消息状态以及待发送任务和投递引用一并清理。双方任一孩子的相关云端数据被删除后，该点赞不再计入累计值。本机记录清理不替代云端删除。

4. 统一授权：四类必要儿童云端处理

4.1 处理内容

产品会在同一页面逐项列明以下四类必要云端处理。您通过一个未预选的总控件一次确认后，动动星球才会将相应儿童数据加密上传至服务端，用于换机恢复、账号找回、跨设备进度保障和防止重复结算：

1. 儿童档案摘要：昵称、出生年月、成长参考性别；
2. 角色形象：角色形象和配饰配置；
3. 成长问卷与匹配结果：完整结构化答案、问卷/答案结构/计算规则版本、派生特征和课程方向建议（不含自由文本）；
4. 玩法事实与账本：任务完成摘要、跳绳测试结果摘要（不含画面和关键点）、周挑战运行记录、探索天数、连续运动天数、奖励领取、能量/碎片余额变动、星球解锁和兑换命令，以及基于 60 秒跳绳成绩生成的周排行榜和点赞关系。

服务端按上述四类目的分别记录同意状态并加密存储。每日任务下发时，服务端会依据当前有效问卷记录建立课程报名关联（家长账号、儿童标识、课表版本、问卷记录版本、开始日期和时区）。完整问卷及派生结果不会进入通用日志、指标标签、审计详情或明文幂等摘要。

周排行榜与点赞属于上述第四类玩法数据云端处理的一部分。取得玩法数据云端处理（gameplay_cloud）同意后，服务端按周跨所有家庭聚合儿童 60 秒跳绳成绩，解密档案昵称后返回并展示昵称、预设头像、名次、本周成绩和历史累计获赞数；监护人和其他家庭的儿童均可查看，其他家庭的儿童可以点赞。当前没有独立的排行榜同意或家长单独关闭入口。点赞关系保存双方儿童内部标识、周次、来源指标、时间和消息序号，不记录动机或评论，当前账号数据导出不含点赞关系和收赞明细；App 收赞页可查看收到的赞，相关复制能力尚未提供。

“匿名昵称”指不要求真实姓名的档案昵称，不表示相关数据已不可识别或完成法律意义上的匿名化，请勿填写可识别儿童真实身份的信息。周榜是监护人可见、其他家庭儿童也可访问的匿名昵称活动记录展示，不构成医疗或能力评价，不用于儿童能力评级、同龄比较、广告或营销；第 3 节关于成长观察不用于能力排名的说明不排除本节活动成绩名次展示。

4.2 边界和影响

• 成长问卷自由文本、同行参与者关系、相机画面、人体关键点和完整设备偏好不会作为业务资料上传；
• 上传内容不含儿童身份证件、联系方式或精确位置；出生日期在上传前截断为年和月；
• 未确认或撤回四类必要云端处理授权后，不创建可进入儿童核心功能的档案；已存在档案立即进入受限状态，账号仅保留授权管理、导出、删除和重新授权等成人操作；
• 您可以在家长区域“数据管理”中随时撤回孩子的云端处理授权；撤回开始后停止新增上传，云端数据将按隐私流程删除或匿名化，相关榜单和点赞记录随云端儿童数据删除。通过 App 删除云端数据的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”；本机清理不触发云端删除。

4.3 确认控件要求

产品应使用一个未预选的总控件，并在控件附近逐项列明第 4.1 节四类上传内容及其必要性：

[ ] 我已阅读并理解以上四类必要儿童云端处理（儿童档案摘要、角色形象、成长问卷与匹配结果、玩法事实与账本），同意将相应数据加密上传至动动星球服务端，用于提供核心服务，并知悉可以在家长区域撤回。

该总控件不包含相机画面、通知、Live Activity 或未来新增目的；服务端须在同一版本下分别记录四类目的的同意状态、时间、文本快照和撤回状态。

5. 单独授权：相机实时动作识别

5.1 处理内容

App 不在启动阶段申请 iOS 相机权限。每次开始跳绳测试前，在您和儿童主动进入该功能、完成本项说明并在线提交监护人确认，且 iOS 相机权限有效后，动动星球才调用前置或后置摄像头取得实时像素帧，并在设备端使用 Apple Vision 人体与手部识别处理人体关键点、骨架坐标、置信度及中间推理结果，用于校准、跟踪和计数。

测试完成后，结果摘要保存在设备本地；完成第 4 节四类必要目的授权后，次数、时长、峰值频率、捕获模式和质量指标等摘要会加密上传。每个儿童默认仅保留最近 50 条本地跳绳测试记录。

5.2 处理边界

• 原始相机画面不保存、不上传，不用于人脸识别、身份确认、广告或训练模型；
• 人体关键点和中间推理结果仅在内存中处理，退出测试或对象释放后清除；
• 动动星球不取得 Face ID/Touch ID 生物特征模板，相机动作识别也不用于识别具体个人；
• 相机取景可能包含儿童以外的人或家庭环境。请调整拍摄范围，避免第三人入镜，并勿在私密环境使用。

5.3 可能影响和替代方案

动作识别可能因光线、遮挡、衣着、机位或设备性能产生漏计、误计。测试结果仅为活动记录，不代表健康水平或运动能力。拒绝或关闭相机权限时，自动计数功能不可用；产品应提供退出、手工校对或不使用该测试的选择，不得阻止使用其他功能。

5.4 确认控件要求

本项须在每次使用相机动作识别前由监护人确认并在线提交，服务端记录确认时间、App 版本和确认界面版本标识（uiSnapshotID，不是屏幕截图）。即使此前已授予系统相机权限，也不能替代本次确认。产品在每次开始跳绳前显示：

[ ] 我已了解并同意以上相机使用方式

控件上方说明设备端实时处理、识别误差与避免第三人入镜；确认不会将相机画面或关键点上传。确认记录的在线提交范围由本节说明。

系统权限弹窗不能替代本项单独授权；本项授权也不能替代 iOS 相机权限。只有本次在线确认完成、系统权限有效且用户进入相机功能时，才开始实际处理画面；未能完成本次在线确认时不能开始测试。uiSnapshotID 是由确认界面说明生成的版本标识，不上传屏幕截图；相机画面和人体关键点仍不保存、不上传。

6. 通知安排与关闭方式

App 在儿童完成必要授权后的启动阶段申请通知权限。允许系统通知后，会按当前提醒偏好安排本地通知；初始偏好为周一至周五 18:30 每日运动提醒、20:00 未完成提醒，免打扰时段为 21:00 至次日 08:00。未完成提醒结合本机已同步的当天完成情况安排，完成活动后更新，离线或系统调度可能使状态延迟。家长可在“家长中心 → 设置 → 提醒设置”修改时间、星期或分别关闭提醒，也可在 iOS“设置”中关闭动动星球通知。拒绝通知不影响主动打开 App。

本地运动提醒标题和正文保持通用，内部请求标识含本机儿童 UUID。APNs 收赞提醒可能显示点赞者昵称，关闭本地运动提醒不会关闭 APNs；请在 iOS 设置中管理系统通知与锁屏预览。通知选择不与四类儿童云端处理总控件捆绑。

7. 实时活动展示

Live Activity 默认开启。儿童开始任务后，在系统允许时，系统会自动在锁屏和灵动岛展示任务标题、当前动作、阶段、计时和进度，不显示儿童姓名、昵称、出生日期或其他身份信息。任务结束后实时活动随之结束。

Live Activity 不属于第 4 节总控件的授权范围。您可以在 iOS“设置”中关闭，App 内无关闭开关。

AirPlay 投屏能力默认开启，可将任务示范视频和声音输出到外部显示器。画面可能被他人看到，监护人应评估使用环境和接收设备的安全性；可通过 iOS“设置”中的 AirPlay（隔空播放）相关设置关闭，App 内无关闭开关。

8. 账号认证信息说明

当前测试版本使用家长邮箱和邮箱验证码建立账号。 Apple 快捷登录开放时仅用于验证家长身份，首次仍须验证家长邮箱，支持 Apple 隐藏邮箱；此授权不替代儿童云端处理同意，也不向 Apple 发送儿童档案、问卷或运动记录。邮件由阿里云邮件推送（DirectMail）受托发送，处理范围限于家长邮箱、邮件主题和正文（包含验证码）、发送时间、供应商邮件标识、发送/投递状态和必要失败原因，不接收儿童档案、成长问卷、活动记录、相机画面或人体关键点。核心云基础设施服务商为阿里云，地域为华北2（北京），供应商合同主体及具体处理边界尚未完成核验。账号认证使用邮箱（手机号通道暂未开放），生产环境已禁用手机号认证通道，微信登录为未来计划、当前未上线的占位按钮。服务端处理邮箱、验证码发送与校验记录、家长账号标识、动动号、登录令牌及必要安全日志，用于身份验证、维持登录和防止滥用。正式发布前须确认阿里云邮件推送的签约主体、实际服务地域、转委托、保存和删除机制；若实际发生境外处理，应先完成相应评估和告知或更换服务。

邮箱和与账号关联的动动号属于家长个人信息，不是儿童云端业务处理授权的一部分。账号注册页面应另行取得隐私政策同意，并不得默认勾选。

8.1 保存期限和服务商基线

测试阶段采用以下内部基线：验证码和验证记录最长 24 小时；撤销或到期令牌记录最长再保留 30 天；安全审计记录最长 180 天；数据导出副本最多保留 7 天；删除或撤回 checkpoint 交付信息最多保留 7 天；服务端备份在主数据进入删除流程后最长 30 天轮换清除；已撤回或被替代的同意证据自撤回或替代之日起保留 3 年。云端儿童数据和账号主数据随账号存续，撤回云同步或注销后停止日常使用并进入删除流程。

动动号是 8 位数字公开账号标识，可在家长设置中查看，用于客服和账号找回，管理端可按动动号检索账号；账号存续期间与账号关联，注销后解除关联，号码无限期保留且不再分配给新账号，不再关联个人信息。

上述数值仍须经法务批准后才能成为正式对外承诺。阿里云签约主体以及核心服务日志、备份、远程运维和转委托是否始终位于华北2（北京），阿里云邮件推送侧期限、账号主数据删除时限、iOS/iCloud 备份边界和法定延长保存例外仍待确认。

8.2 邀请测试期间的第一方使用统计

邀请测试期间默认开启第一方产品使用统计，从 App 配置统计服务及启动、进入页面或进行操作时开始，可能早于注册、登录和儿童建档。当前没有供家长使用的统计关闭开关，也没有单独的统计同意记录。 统计用于了解使用流程、任务完成、跳绳表现和运行故障；不接入第三方分析 SDK，不用于广告或跨应用跟踪。

每条事件包含事件标识、随机安装标识、会话标识、发生时间、家长／儿童／系统角色、儿童在本机的档案序号（适用时）、App 版本与构建号、系统版本、设备机型、网络类型，以及经过白名单限制的操作字段。操作字段包括页面和入口、登录或授权结果、内容标识、任务状态和时长、跳绳次数和帧率摘要、设备热状态与低电量模式、周挑战状态、奖励类别、设置变更类别、提醒安排及错误类别。服务器补充接收时间，并记录服务端结算和操作结果。后台任务使用临时随机标识。

统计不包含账号 ID、儿童 ID、邮箱、昵称、出生日期、成长问卷答案、原始相机画面、人体关键点、自由文本、完整请求地址或广告标识符。安装标识用于关联同次安装中的操作，不与账号建立映射；本机档案序号不是儿童身份标识。这不表示统计已经完全匿名化：同一安装的行为仍可关联，且家庭共用设备上的记录可能混合。 网络连接仍需处理 IP，限流使用按日散列，不把 IP 写入统计事件。

统计发送至动动星球服务端。只有获授统计读取权限的管理人员可查看汇总、安装事件和数据明细，并导出当前筛选范围的 Excel 分析与事件明细；普通客服只读角色无此权限。导出可能包含安装及会话标识、事件时间、设备和操作字段，供内部产品分析与故障排查使用，不提供给广告商。

本地待上传队列按事件发生时间保留 7 天，在写入或读取队列时清理；长期未运行的设备在下次队列处理时清理。服务端原始事件按发生时间保留 90 天；去重及接收计数记录保留 90 天；按日汇总、留存分组和安装首次行为记录保留 730 天，其中安装首次行为记录从最近一项已记录里程碑计算。服务端每日维护到期清理，关闭新统计接收后仍执行清理；任务失败会记录并重试。

账号导出、撤回儿童云端处理和注销账号只处理能按账号或儿童关联的业务数据及其删除例外。由于未建立账号与安装的关联，这些操作无法按账号定位、导出或删除独立安装统计，也不会重置本机统计队列和安装标识；服务器统计按上述期限清理，汇总不会因账号操作回溯扣减。导出副本和删除任务结果会明确这一范围。卸载后重新安装会生成新的安装标识，已上传记录仍按期限清理。已下载到管理人员设备上的分析副本不受服务器定期清理直接控制，应按内部访问和删除要求处置。

上述默认统计规则限于邀请测试。正式上线前需要提供统计关闭或单独授权机制，同步更新告知文本、产品实现和同意记录；当前默认开启不能解释为正式版本的永久规则。

服务端还保存每周挑战分配、周次、挑战和内容版本、接受／进行中／完成／放弃／过期状态、进度来源、家长确认及时间、单项奖励和整周奖励结算记录，用于跨设备恢复与防止重复领奖。它们属于玩法数据云端处理范围，随儿童云端撤回或账号注销进入删除流程，并纳入现有活动事实导出。

9. 如何撤回授权和删除信息

您可以通过家长区域的"成长档案""数据管理"和“数据管理”入口：

• 更新、删除或重置成长问卷；如需停止对应云端处理，应撤回四类必要云端处理总授权；
• 撤回孩子的云端处理授权（撤回开始后儿童核心功能受限，云端数据按隐私流程删除）；
• 每次使用相机动作识别前选择是否确认；每次确认均须在线提交，服务端记录确认时间、App 版本和确认界面版本标识（uiSnapshotID，不是屏幕截图）；可拒绝本次确认或在 iOS“设置”中关闭相机权限；
• “清除本机跳绳记录”：只清本机，云端摘要保留；
• “清除本机探索缓存”：仅清本机缓存，云端探索进度保留；
• “删除孩子本地档案”：仅删除本机档案及关联本地数据，云端档案不受影响；
• “删除全部本地数据”：仅清本机数据，不删除云端数据；
• 在 App 内提交家长账号注销和服务端数据删除申请；
• 尚未提供专门人工隐私受理渠道，具体边界见第 11 节。

上述四项本机清理操作仅清理本机业务数据；同页的云端操作另行处理。App 内触发云端删除的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”；榜单和点赞记录随云端儿童数据删除，注销账号不自动删除本机数据。

撤回不影响撤回前基于有效同意进行的处理。对于仅保存在您设备上的信息，运营者通常无法远程读取或代为恢复；您应在仍持有设备时通过 App 完成操作。法律规定必须保留的信息将在期限内隔离保存，不再用于原目的，期限届满后删除或匿名化。

10. 授权记录

为证明同意真实、具体且可撤回，当前云端授权和法律确认记录包括：

服务端按儿童档案、角色形象、成长问卷与匹配结果和玩法数据四类目的保存同意状态；客户端在建档前逐项展示四类必要目的，并使用一个未预选的总控件一次确认全部四类后，才提交上述四类授权并完成留痕。相机动作识别则在每次使用前在线记录监护人确认、确认时间、App 版本和确认界面版本标识（uiSnapshotID，不是屏幕截图），不以历史首次确认替代本次确认。

11. 联系我们

运营者：动动星球团队。

当前邀请测试未提供对外公布的隐私邮箱、客服电话、邮寄地址或专门负责人联系方式。“关于和帮助”提供说明与法律文件，不是人工受理渠道。已实现的查阅、更正、导出、撤回和注销操作请使用本文件列明的 App 入口；产品暂不能受理的其他请求或监护关系争议，尚无专门人工渠道。您仍可依法向有管辖权的监管部门投诉或向有管辖权的人民法院寻求救济。正式上线前须建立并公布人工受理渠道。