动动星球隐私政策

特别提示

动动星球是面向儿童及其家长的亲子运动与探索应用。本产品主要服务于 7–11 岁儿童，相关儿童均未满 14 周岁。

请您作为儿童的父母或其他监护人，在为儿童创建档案或允许儿童使用动动星球前，完整阅读本政策、《动动星球儿童个人信息保护规则》以及相应的单独授权说明。儿童档案、问卷及玩法业务处理需先完成监护人授权；邀请测试期间默认第一方统计的采集时点与边界另见本政策统计专节。

儿童个人信息属于敏感个人信息。儿童出生日期、成长观察、活动记录、跳绳结果以及实时图像处理可能对儿童权益产生较高影响。请您重点阅读以显著方式提示的处理目的、处理方式、保存期限、可能影响及权利行使方法，并根据儿童实际情况作出决定。

动动星球不提供医疗诊断、治疗、康复或专业评估服务。成长观察、动作次数、活动时长和课程建议仅用于组织亲子活动和展示使用记录，不代表对儿童身体、心理、认知或疾病状况的判断。

1. 适用范围

本政策适用于由动动星球团队运营的动动星球 iOS App，以及我们通过该 App 提供的家长账号、邮箱验证、儿童档案、云同步、活动任务、动作识别、课程报名关联、提醒和相关支持服务。

本政策不适用于第三方独立提供并自行决定个人信息处理目的和方式的服务。我们接入第三方服务时，会在本政策和《第三方信息共享与 SDK 清单》中说明其主体、处理目的和信息范围。

2. 我们如何收集和使用个人信息

2.1 注册和登录家长账号

当您使用邮箱注册或登录时，我们会处理：

• 邮箱地址；
• 邮箱验证码的发送时间、邮件主题和内容模板、发送/投递状态、校验结果和频率限制记录；
• 我们生成的家长账号标识、动动号、账号状态、登录令牌和会话时间；
• 为保障账号安全所必需的登录时间、IP 地址、App 版本、设备类型、操作系统版本和异常结果。

我们使用上述信息验证邮箱控制权、建立家长账号、保持登录状态、防止验证码滥用、识别异常登录并处理账号安全问题。邮箱和验证码不用于营销订阅、广告或儿童画像。动动号是系统分配的 8 位数字公开账号标识，可在家长设置中查看，用于客服和账号找回，管理端可按动动号检索账号。账号注销后，动动号与账号解除关联，但号码无限期保留且不再分配给新账号，不再关联个人信息。

邮箱验证码由阿里云邮件推送（DirectMail）受托发送。该服务处理收件邮箱、发件信息、邮件主题和正文（包含验证码）、发送时间、供应商邮件标识及发送/投递状态和必要失败原因。邮件服务的签约主体、实际服务地域、转委托方和保存期限以最终合同、控制台配置和服务商公开文件为准；我们不会要求服务商将这些信息用于广告、画像或与验证码无关的目的。当前设计不使用其他已知境外邮件服务，正式发布前仍须核验邮件服务的数据处理路径。

如您拒绝提供邮箱，将无法使用当前邮箱注册登录通道，但不影响您访问无需账号即可查看的公开内容（如有）。当前账号认证使用邮箱（手机号通道暂未开放），生产环境已禁用手机号认证通道；微信登录已列入后续计划，当前仍显示"即将支持"且未接入微信 SDK、OAuth 或账号绑定；Apple 登录的开放状态以登录页面显示为准。微信等渠道开放前，我们会明确实际字段、接收方、保存期限和账号绑定/解绑/删除规则，更新本政策并在依法需要时重新取得同意。

当您选择“通过 Apple 登录”时，Apple 会向我们提供该开发者范围内的稳定登录标识，以及您选择共享的邮箱或 Apple 隐藏邮箱。我们校验 Apple 的授权结果，用于识别家长账号；首次使用仍须验证邮箱控制权，已有邮箱账号也只有完成验证码验证后才会关联。我们不会仅凭相同邮箱合并账号或迁移儿童数据。隐藏邮箱可用于验证码、账号恢复和 PIN 重置；请保持 Apple 邮件转发可用。

Apple 登录使用 iOS 系统的 AuthenticationServices。授权码、身份令牌和一次性校验信息仅用于认证；Apple 撤销凭据加密保存，仅用于解绑、换绑或账号注销时撤销原授权。Apple 在首次授权时可能返回姓名；当前版本不将该姓名保存为账号资料，也不将它作为账号归属依据。我们不向 Apple 发送儿童档案、成长问卷或运动记录，不使用上述登录信息进行广告或跨服务追踪。Apple 独立处理其账号认证与隐藏邮箱转发，具体主体、地域和期限受 Apple 当地适用条款约束；我们会在开放前完成相应的数据处理评估。

注销动动星球账号会立即终止本服务会话，并异步请求 Apple 撤销授权；Apple 暂时不可用不会恢复已关闭的账号。撤销凭据在撤销成功后删除，失败时仅为重试加密保留，最长 30 天；缺少可撤销凭据时记录该状态。您可在家长设置的“登录方式”中绑定、解除绑定或更换 Apple 账号。操作前须通过当前账号邮箱验证码验证；换绑只有在新 Apple 授权校验成功后才替换原绑定。解绑和换绑后，其他设备需要重新登录，当前账号、邮箱和儿童数据仍保留。为保证账号恢复，使用 Apple 隐藏邮箱作为登录邮箱时，须先更换为可独立收信的邮箱才能解绑或换绑。原 Apple 撤销任务完成前，该 Apple 身份暂不能重新绑定，以免旧撤销影响新授权。您也可在 Apple 账号设置中停止使用 Apple 登录，但该操作本身不会删除动动星球账号和儿童数据。

2.2 设置本机家长门禁

您可以设置 6 位家长 PIN，并选择使用 Face ID 或 Touch ID 进入家长区域。

• 原始 PIN 仅在输入过程中短暂存在于设备内存。我们在设备 Keychain 中保存随机盐值、PIN 派生值和计算参数，不保存明文 PIN，也不将 PIN 上传至服务器。
• Face ID、Touch ID 或其他系统生物特征模板由 Apple 和设备安全系统管理。动动星球仅接收验证成功、失败或不可用的结果，不取得、保存或上传生物特征模板。
• 为防止反复尝试，我们在 Keychain 中保存 PIN 失败次数和临时锁定截止时间。

本机家长门禁用于防止儿童误入家长区域，不能替代家长妥善保管设备和账号的责任。

2.3 创建儿童档案与云同步

经监护人同意，我们会处理：

• 儿童内部标识符；
• 昵称；
• 出生日期；
• 成长参考性别；
• 基础角色形象和配饰选择；
• 档案创建时间。

我们使用这些信息创建和展示儿童档案、提供年龄适配内容、保持角色外观和关联同一儿童的活动记录。

关于云端处理： 创建儿童档案前，产品会在同一页面逐项列明儿童档案摘要、角色形象、成长问卷与匹配结果、玩法事实与账本四类必要云端处理，并通过一个未预选的总控件由监护人一次性确认全部四类目的。完成授权后，为支持换机恢复、账号找回和云端进度保障，儿童档案摘要会加密上传至动动星球服务端，包括昵称、出生年月（出生日期在客户端截断为年和月后上传）、成长参考性别和角色形象配饰。一次确认会在服务端形成四类目的各自授权记录；它不代表对相机画面、通知或未来新增目的的同意。

儿童档案、问卷和玩法云端业务数据需取得明确授权；独立安装统计的采集时点见统计专节。您可以在家长区域撤回孩子的云端处理授权；撤回开始后停止新增上传，已上传数据按隐私流程删除或匿名化，并立即阻断儿童核心功能。未完成必要授权时不能创建儿童档案，客服也无法从服务器读取或恢复仅保存在您设备上的儿童档案。

2.4 成长观察与内容建议

经监护人通过四类必要云端处理总控件确认后，我们会处理：

• 家长选择的身高/体态、专注和体能等关注方向；
• 家长对坐姿、身高感受、动作协调、任务投入、提醒需求和日常精力的观察；
• 家长主动填写的其他体态或专注观察；
• 家长选择的优先方向；
• 由固定规则生成的课程方向建议。

完成成长观察时，完整结构化问卷答案、问卷版本和答案结构版本会加密上传并保存在动动星球服务端；服务端按固定规则生成特征向量和课程方向建议，并将计算规则版本和匹配结果一并加密保存，用于生成每日任务和建立课程报名关联。自由文本观察不属于该结构化提交，仍仅保存在设备本地。问卷答案和派生结果不会进入通用日志、指标标签、审计详情或明文幂等摘要。

这些信息用于帮助家长整理观察、设置活动偏好和提供内容参考。相关规则不调用生成式 AI，不进行医疗诊断，不依据成长观察将儿童与其他儿童进行能力排名，也不用于广告或营销画像。第 2.12 节周排行榜展示按周汇总的 60 秒跳绳活动成绩，不使用成长观察作儿童能力评级或同龄比较。

您可以在家长区域查阅和更正上述信息；“删除孩子本地档案”仅删除本机档案及关联本地数据，云端档案和问卷记录不受影响。如需通过 App 删除云端相关业务记录，应使用“撤回孩子的云端处理授权”或“注销动动星球账号”。请勿在自由文本中填写与使用目的无关的身份证件、住址、学校、疾病诊断或其他人员信息。

2.5 任务、活动和探索记录

儿童使用任务和探索功能时，我们会生成并保存：

• 任务、课程、星球和内容版本；
• 开始时间、结束时间、最近活动时间、总时长和有效活动时长；
• 完成、中断、主动结束或技术错误等状态和原因；
• 目标时长、实际时长、计入时长、完成动作数和完成组数；
• 同行者关系角色，例如父母、祖辈、照顾者、兄弟姐妹或朋友；当前版本不要求填写同行者真实姓名；
• 每日任务、周挑战、完成次数和提醒状态；
• 星球进度、奖励、库存、能量余额、能量交易和解锁记录；
• 用于防止重复结算的内部完成指纹。

我们使用这些信息展示活动历史和探索进度、恢复中断任务、计算奖励、避免重复结算以及向家长提供使用记录。

关于云端处理： 完成玩法数据云端处理授权并创建儿童档案后，上述记录中的任务完成摘要（任务与内容版本、起止时间、状态、结束原因、时长和完成指纹）、每日任务安排请求、周挑战运行记录、探索天数、连续运动天数、活动奖励领取以及能量/碎片余额变动会加密上传至服务端，用于跨设备恢复、防止重复结算和维护权威账本。星球解锁和商店兑换通过服务端命令处理。同行参与者关系角色仅保存在设备本地，不会上传。

您撤回孩子的云端处理授权后，我们停止新增上传，云端玩法数据按隐私流程删除，并阻断依赖这些数据的儿童核心功能；在重新完成必要授权前，设备端缓存也不能用于继续儿童核心服务。

服务端还保存每周挑战分配、周次、挑战和内容版本、接受／进行中／完成／放弃／过期状态、进度来源、家长确认及时间、单项奖励和整周奖励结算记录，用于跨设备恢复与防止重复领奖。它们属于玩法数据云端处理范围，随儿童云端撤回或账号注销进入删除流程，并纳入现有活动事实导出。

2.6 相机和设备端动作识别

App 不在启动阶段申请相机权限。每次开始跳绳测试前，须在线提交监护人确认，服务端记录确认时间、App 版本和确认界面版本标识（uiSnapshotID，不是屏幕截图）；在完成本次确认并允许系统相机权限后，动动星球会调用前置或后置摄像头获取实时画面，并在当前设备上使用 Apple Vision 人体与手部识别分析人体关键点、身体位置、动作节奏和跳跃次数。

处理过程中可能在设备内存短暂生成像素帧、人体关键点、骨架坐标、置信度和模型中间结果。当前版本：

• 不拍照或录像；
• 不将原始相机画面写入儿童档案或设备文件；
• 不上传原始画面、人体关键点或模型中间结果；
• 不使用画面识别儿童身份；
• 不将画面用于训练模型、广告或向第三方提供。

测试完成后，我们会在设备本地保存测试开始和结束时间、测试时长、检测次数、家长手工校对次数（如有）、峰值频率、结束原因、摄像头模式以及用于判断识别质量的捕获/跟踪帧率摘要。每个儿童在本机最多保留最近 50 条跳绳测试记录，家长可以通过“清除本机跳绳记录”清除本机记录；云端摘要不受该操作影响。

完成玩法数据云端处理授权后，上述跳绳测试摘要（不含相机画面和人体关键点）会加密上传至服务端，用于跨设备恢复历史记录和支持家长校对同步。您撤回该授权后，停止上传并阻断儿童核心功能；本地缓存不构成可继续使用的儿童核心服务。

拒绝相机权限将无法使用依赖摄像头的动作识别，但不影响不需要相机的其他功能。

2.7 设备运动数据

在碎片罐等视觉效果页面中，动动星球可能短暂读取设备重力方向，使画面中的物体随设备倾斜移动。相关数值仅在设备内存中用于动画，不保存、不上传，也不用于判断儿童运动表现。您可以通过“减少动态效果”停止该处理，或使用不依赖传感器的交互方式。

2.8 设置和本地提醒

我们会在设备本地保存：

• 每周活动目标、任务强度和亲子任务偏好；
• 每日提醒、未完成提醒、星期、时间和免打扰时段；
• 音量、音效、触感、动作倒计时、示范自动播放、减少动态效果、生物识别开关和家长区域自动锁定时间。

App 在儿童完成必要授权后的启动阶段申请通知权限。允许系统通知后，会按当前提醒偏好安排本地通知；初始偏好为周一至周五 18:30 每日运动提醒、20:00 未完成提醒，免打扰时段为 21:00 至次日 08:00。未完成提醒结合本机已同步的当天完成情况安排，完成活动后更新，离线或系统调度可能使状态延迟。家长可在“家长中心 → 设置 → 提醒设置”修改时间、星期或分别关闭提醒，也可在 iOS“设置”中关闭动动星球通知。拒绝通知不影响主动打开 App。本地运动提醒使用通用正文。收到点赞的 APNs 提醒可能含点赞者昵称，详见下文。

2.9 任务进行中的实时活动（Live Activity）和 AirPlay

实时活动功能默认开启。儿童开始任务后，在系统允许时，系统会自动在锁屏和灵动岛显示任务实时活动，内容包括任务标题、当前动作名称、阶段状态、计时和进度百分比。该内容由系统在设备上展示，不包含儿童姓名、昵称、出生日期或其他身份信息；任务结束后实时活动随之结束。

您可以在 iOS“设置”中关闭实时活动展示，App 内无关闭开关。

AirPlay 投屏能力默认开启，可将任务示范视频和声音输出到外部显示器。投屏画面可能被其他人看到，监护人应评估接收设备和周围环境的安全性。可通过 iOS“设置”中的 AirPlay（隔空播放）相关设置关闭，App 内无关闭开关。

2.10 运行安全和故障排查

App 当前在设备本地记录通用运行错误类别和错误描述，用于启动、存储、内容、任务及安全故障排查。我们不会主动将本地日志上传至服务器，也不会在日志中记录邮箱、手机号、验证码、PIN、儿童自由文本、相机画面或人体关键点。

正式服务端会保存为保障账号与网络安全所必需的访问和安全日志。安全审计记录最长保留 180 天，并限制运维和安全人员访问；部署侧访问日志与备份地域的核验属于正式上线门禁。本地完整诊断日志不自动上传，但白名单错误事件会进入第一方统计。

2.11 我们当前不处理的信息

除非我们另行更新政策并取得必要授权，当前版本不处理儿童身份证件、精确位置、通讯录、麦克风录音、HealthKit 数据、可穿戴设备数据、广告标识符、儿童照片或视频，也不提供真实货币支付、订阅、广告、AI 对话、儿童社区或由用户自行发布内容的公开分享功能。周排行榜的跨家庭展示和点赞范围见第 2.12 节。App 内“星际碎片”仅为通过活动获得并用于兑换的服务内记录，当前不能以人民币或其他真实货币购买。

2.12 周排行榜与点赞

周排行榜属于玩法数据云端处理的一部分。取得玩法数据云端处理（gameplay_cloud）同意后，服务端会按周跨所有家庭聚合儿童的 60 秒跳绳成绩，解密档案昵称后返回并展示昵称、预设头像、名次、本周成绩和历史累计获赞数。监护人可以查看，其他家庭的儿童也可以查看昵称和成绩并点赞。当前没有独立的排行榜同意，也没有家长单独关闭排行榜的入口。

这里的“匿名昵称”是指不要求使用真实姓名的档案昵称，并不表示相关数据已不可识别或完成法律意义上的匿名化。请勿在昵称中填写真实姓名、学校、联系方式等可识别儿童身份的信息；昵称和活动成绩可能被其他家庭看到。

点赞记录保存双方儿童内部标识、周次、来源指标、时间和消息序号，不记录点赞动机或评论。我们使用这些关系记录统计和展示点赞数。当前账号数据导出不含点赞关系和收赞明细；App 收赞页可查看收到的赞，相关复制能力尚未提供。

周榜是监护人可见、其他家庭儿童也可访问的匿名昵称活动记录展示，不构成医疗或能力评价，不用于儿童能力评级、同龄比较、广告或营销。第 2.4 节关于不依据成长观察进行儿童排名的承诺，不表示本功能不展示活动成绩名次。

云端儿童数据因撤回云同步或注销账号被删除时，相关榜单和点赞记录一并删除；撤回云同步后停止相应处理并删除相关记录。“删除孩子本地档案”等本机清理操作不触发云端删除。App 内删除相关云端数据的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”。

收到的赞与系统推送

周排行榜展示昵称、按档案映射的小男孩或小女孩预设头像、名次、本周成绩和历史累计获赞数；不向其他家庭返回原始性别字段。成绩按北京时间周一至周日统计，获赞跨周累计。每个孩子每周可给多个孩子分别点赞，对同一个孩子最多一次，切换榜单指标不会增加次数，点赞后不能取消。

每次有效点赞形成一条“收到的赞”记录，包含发送者和接收者的儿童内部标识、来源指标、周次、服务端时间及消息序号。收赞页显示发送者昵称、预设头像、时间和周次，跨周保留；已读水位用于同步不同设备的未读状态。点赞与消息用于本功能，不用于广告、营销或能力评价。

在允许系统通知的设备上，我们使用 Apple Push Notification service（APNs）发送收到点赞的提醒，即使 App 未打开也可能收到。设备推送标识在服务端加密保存；向 Apple 提交推送标识、发送者昵称、提醒正文、接收孩子及账号的内部标识和批次定位标识，用于投递与打开正确的收赞页。锁屏预览可能显示点赞者昵称，监护人可在 iOS“设置”中关闭通知或隐藏预览。系统通知展示受系统设置和调度影响；拒绝通知不影响 App 内查看消息。

第一个赞可即时提醒，之后五分钟内的赞适当合并；App 内仍逐条保留记录。已经确认已读的待发消息不再提醒，推送任务最长保留二十四小时，过期后不补发。退出登录、会话撤销或推送标识失效后停止对相应注册投递；更换账号时更新标识归属。离线退出时 App 停止远程通知注册，服务端状态在恢复连接或下一次有效注册后收敛。

撤回孩子云端处理或注销账号导致相关云端儿童数据删除时，关联点赞、收赞记录、消息状态以及待发送任务和投递引用一并清理。双方任一孩子的相关云端数据被删除后，该点赞不再计入累计值。本机记录清理不替代云端删除。

2.13 邀请测试期间的第一方使用统计

邀请测试期间默认开启第一方产品使用统计，从 App 配置统计服务及启动、进入页面或进行操作时开始，可能早于注册、登录和儿童建档。当前没有供家长使用的统计关闭开关，也没有单独的统计同意记录。 统计用于了解使用流程、任务完成、跳绳表现和运行故障；不接入第三方分析 SDK，不用于广告或跨应用跟踪。

每条事件包含事件标识、随机安装标识、会话标识、发生时间、家长／儿童／系统角色、儿童在本机的档案序号（适用时）、App 版本与构建号、系统版本、设备机型、网络类型，以及经过白名单限制的操作字段。操作字段包括页面和入口、登录或授权结果、内容标识、任务状态和时长、跳绳次数和帧率摘要、设备热状态与低电量模式、周挑战状态、奖励类别、设置变更类别、提醒安排及错误类别。服务器补充接收时间，并记录服务端结算和操作结果。后台任务使用临时随机标识。

统计不包含账号 ID、儿童 ID、邮箱、昵称、出生日期、成长问卷答案、原始相机画面、人体关键点、自由文本、完整请求地址或广告标识符。安装标识用于关联同次安装中的操作，不与账号建立映射；本机档案序号不是儿童身份标识。这不表示统计已经完全匿名化：同一安装的行为仍可关联，且家庭共用设备上的记录可能混合。 网络连接仍需处理 IP，限流使用按日散列，不把 IP 写入统计事件。

统计发送至动动星球服务端。只有获授统计读取权限的管理人员可查看汇总、安装事件和数据明细，并导出当前筛选范围的 Excel 分析与事件明细；普通客服只读角色无此权限。导出可能包含安装及会话标识、事件时间、设备和操作字段，供内部产品分析与故障排查使用，不提供给广告商。

本地待上传队列按事件发生时间保留 7 天，在写入或读取队列时清理；长期未运行的设备在下次队列处理时清理。服务端原始事件按发生时间保留 90 天；去重及接收计数记录保留 90 天；按日汇总、留存分组和安装首次行为记录保留 730 天，其中安装首次行为记录从最近一项已记录里程碑计算。服务端每日维护到期清理，关闭新统计接收后仍执行清理；任务失败会记录并重试。

账号导出、撤回儿童云端处理和注销账号只处理能按账号或儿童关联的业务数据及其删除例外。由于未建立账号与安装的关联，这些操作无法按账号定位、导出或删除独立安装统计，也不会重置本机统计队列和安装标识；服务器统计按上述期限清理，汇总不会因账号操作回溯扣减。导出副本和删除任务结果会明确这一范围。卸载后重新安装会生成新的安装标识，已上传记录仍按期限清理。已下载到管理人员设备上的分析副本不受服务器定期清理直接控制，应按内部访问和删除要求处置。

上述默认统计规则限于邀请测试。正式上线前需要提供统计关闭或单独授权机制，同步更新告知文本、产品实现和同意记录；当前默认开启不能解释为正式版本的永久规则。

3. 系统权限

允许通知权限后，App 会按第 2.8 节所述默认或已保存设置自动安排提醒；通知权限不替代监护人对儿童个人信息或其他敏感个人信息处理的同意。相机不在启动阶段申请权限，仅在每次在线提交监护人确认、儿童进入对应功能且系统权限有效时实际调用。

4. 我们如何委托处理、共享、转让和公开披露

4.1 委托处理

为提供正式邮箱账号服务，我们计划委托以下服务商处理必要信息：

我们会通过合同约定处理目的、期限、方式、信息种类、保护措施、转委托限制和删除义务，并监督受托方。受托方只能按照我们的指示处理信息。

4.2 共享

第 2.12 节所述昵称、预设头像、名次、本周成绩和历史累计获赞数会在周排行榜中向其他家庭展示，当前依据玩法数据云端处理同意提供，没有独立的排行榜同意。除此之外，除取得您的单独同意或法律法规另有规定外，我们不会向能够独立决定处理目的和方式的第三方共享儿童个人信息或家长账号信息。新增共享对象时，我们会告知接收方名称、联系方式、处理目的、处理方式和信息种类，并依法取得单独同意。

4.3 转让

如因合并、分立、重组、资产转让或类似交易需要转让个人信息，我们会告知接收方名称和联系方式，并要求接收方继续履行本政策。接收方变更原处理目的或方式的，应重新取得必要同意。

4.4 公开披露

周排行榜按第 2.12 节说明跨家庭展示儿童昵称、预设头像、名次、本周成绩和历史累计获赞数，其他家庭的儿童可以查看并点赞；该展示当前没有独立同意或家长关闭入口。除该已说明的展示外，我们不公开披露儿童个人信息。新增公开披露时，我们会依法进行影响评估并取得必要的单独同意，法律法规另有规定的除外。

5. 数据存储地点与出境

动动星球核心服务计划使用阿里云华北2（北京）地域在中华人民共和国境内承载账号、儿童云端数据和安全日志；阿里云供应商合同主体及具体处理边界尚未完成核验。日志、备份、远程运维和转委托是否始终位于华北2（北京）仍需根据最终资源和合同单独核验。

邮箱验证码由阿里云邮件推送（DirectMail）受托发送，处理范围限于家长邮箱和包含验证码的邮件内容、发送及投递状态，不包含儿童档案、成长问卷、活动记录、相机画面或人体关键点。当前设计不使用境外邮件服务；正式发布前须根据最终合同、控制台和子处理者清单核验邮件服务是否在中国境内处理、是否存在境外访问或转委托，以及保存与删除机制。若实际路径发生境外处理，应在启用前重新完成相应评估和告知，或更换服务。

儿童成长问卷中的自由文本、同行参与者关系、相机画面、人体关键点和设备倾斜数据保存在您的设备本地，不进入我们的服务器。完成相应四类云端处理授权并创建儿童档案后，第 2.3–2.6 节列明的档案摘要、完整结构化问卷及版本、服务端匹配结果、玩法结算和跳绳测试摘要以加密形式保存在动动星球服务端。第 2.12 节周排行榜和点赞关系由服务端处理，展示时解密昵称并按所述范围返回。iOS 或用户启用的设备备份可能由 Apple 按系统设置处理；我们不会以“仅本地”为由隐瞒系统备份边界。具体系统备份由设备设置和 Apple 规则决定；本机操作不能代替用户管理设备或 iCloud 中的历史备份。统计队列目录已排除系统备份。

6. 信息保存期限

我们仅在实现本政策所述目的所需的最短期限内保存个人信息。当前规则如下：

保存期限届满后，我们将删除或匿名化相关信息。因法定义务、争议处理或安全调查需要延长保存的，我们会将信息隔离并限制为相应目的使用。

7. 我们如何保护个人信息

我们采取与风险相适应的保护措施，包括：

• 对网络传输使用加密连接；
• 对服务端存储的儿童档案摘要、角色形象、结构化成长问卷、派生匹配结果和玩法数据采用加密存储，密钥与数据访问分离管理；
• 对账号、数据库、日志和备份实施分级访问、最小权限和操作审计；
• 登录令牌使用安全存储，不写入普通日志；
• 本机 PIN 使用随机盐值和密钥派生算法处理，Keychain 项仅限本设备解锁后访问；
• 家长区域在 App 进入后台或达到设定时间后重新锁定；
• 删除儿童档案和全部数据等敏感操作要求重新验证家长身份；
• 相机画面和姿态中间结果保持设备端、内存内处理；
• 对邮件和云服务商开展安全评估并约束用途、期限、数据区域和转委托；
• 定期开展儿童个人信息保护影响评估、安全测试和数据清理核验。

如发生或可能发生个人信息泄露、篡改、丢失，我们将立即采取补救措施，并依法向有关主管部门报告、以推送、短信、电话、公告或其他适当方式通知受影响的监护人。通知将说明事件类型、可能影响、已采取措施、您可采取的防范措施和我们的联系方式。

8. 监护人和儿童的权利

监护人可以依法行使以下权利：

• 查阅儿童档案、成长观察、活动记录、跳绳结果和服务端账号信息；
• 更正儿童档案、成长问卷、提醒设置及不准确的账号信息；
• 获取我们处理的个人信息副本；
• 删除儿童档案、活动或跳绳数据，或要求删除服务端信息；
• 撤回对可选处理活动的同意；
• 关闭相机、通知或生物识别等系统权限；
• 注销家长账号；
• 要求解释本政策和推荐规则；
• 对我们的处理活动提出投诉或咨询。

您可以通过以下产品路径行使部分权利：

• 儿童档案更正：家长中心 → 成长档案；
• 本机跳绳记录清除：家长中心 → 设置 → 数据管理 → 清除本机跳绳记录（只清本机，云端摘要保留）；
• 本机探索缓存清除：家长中心 → 设置 → 数据管理 → 清除本机探索缓存（仅清本机缓存，云端探索进度保留）；
• 本机儿童档案删除：家长中心 → 设置 → 数据管理 → 删除孩子本地档案（仅删除本机档案及关联本地数据，云端档案不受影响）；
• 本地数据删除：家长中心 → 设置 → 数据管理 → 删除全部本地数据（仅清本机数据，不删除云端数据）；
• 撤回云同步：家长中心 → 设置 → 数据管理 → 撤回孩子的云端处理授权；
• 数据副本导出：家长中心 → 设置 → 数据管理 → 申请数据导出；
• 账号注销：家长中心 → 设置 → 数据管理 → 注销动动星球账号（注销处理云端账号，不删除本机数据）。

上述四项本机清理操作仅清理本机业务数据；同页的云端操作另行处理。App 内触发云端删除的路径仅为“撤回孩子的云端处理授权”或“注销动动星球账号”，相关榜单和点赞记录随云端儿童数据删除；本机清理不替代上述操作。当前“申请数据导出”的载荷不含点赞关系和收赞明细，也不包含独立安装统计；App 收赞页可查看收到的赞，相关复制能力尚未提供。

为保护儿童和账号安全，我们会结合成年人/监护人声明、家长邮箱（手机号通道暂未开放）控制权验证、家长 PIN 和系统生物识别结果验证操作者。上述措施不能单独证明法定监护关系；发生冒用、父母双方争议、监护权变更或删除请求冲突时，受理责任人、最少证明材料、处理时限和材料保存期限仍待确定。当前没有专门人工受理渠道或已公布的答复时限。对于无端重复、超出合理技术能力、损害他人合法权益或法律法规规定无需响应的请求，我们可能依法拒绝，并说明理由。

撤回同意不影响撤回前基于同意已经进行的处理。若相应信息是提供核心服务所必需，撤回后我们可能无法继续提供相关功能，但不会以拒绝可选处理为由拒绝其他不相关服务。

9. 账号注销与停止运营

您可以在家长中心的“数据管理”页面申请注销家长账号。注销前我们会验证账号控制权，并告知将删除或保留的数据、尚未完成的请求和可能受影响的权益。注销仅处理云端账号数据，不会自动删除本机儿童档案和本地记录；您应在注销前根据需要先在本机完成删除操作。

账号注销完成后，我们会使登录令牌失效，并在第 6 节约定期限内删除或匿名化邮箱、账号及服务端关联信息，法律法规要求保留的除外。动动号与账号解除关联后，号码无限期保留且不再分配给新账号，不再关联个人信息。卸载 App、删除本机儿童档案或删除全部本地数据均不等同于注销服务端家长账号。

如动动星球停止运营，我们会依法提前以公告、推送、短信或其他合理方式通知您，并停止收集个人信息，对持有的个人信息进行删除或匿名化处理，法律法规另有规定的除外。

10. 儿童个人信息保护

我们遵循正当必要、知情同意、目的明确、安全保障和儿童利益优先原则。我们将：

• 儿童档案、问卷和玩法云端业务在取得监护人确认后处理；邀请测试独立安装统计的默认采集时点及边界见第 2.13 节；
• 对儿童个人信息和其他敏感个人信息取得必要的单独同意；
• 指定儿童个人信息保护负责人，严格限制访问人员；
• 对处理目的、范围、期限、系统和供应商开展个人信息保护影响评估；
• 不基于儿童数据投放定向广告，不出售儿童个人信息；
• 除第 2.12 节明确说明的周排行榜昵称和活动成绩展示外，不公开儿童档案、活动记录、照片或成长观察；
• 为监护人提供查阅、更正、删除、撤回和投诉渠道；
• 用儿童和监护人可以理解的方式说明重要处理活动。

具体规则请阅读《动动星球儿童个人信息保护规则》和《动动星球监护人同意及敏感个人信息单独授权书》。如本政策与儿童规则对儿童个人信息保护的要求不一致，以保护程度更高且符合法律的规则为准。

11. 政策更新

我们可能因功能、数据范围、服务商、法律要求或安全措施变化更新本政策。发生以下重大变化时，我们会通过 App 弹窗、推送、短信或其他显著方式通知监护人，并在依法需要时重新取得同意：

• 处理目的、方式或个人信息种类发生重大变化；
• 儿童档案或活动记录开始上传或云同步；
• 新增相机、照片、位置、HealthKit、AI、支付、广告或社区功能；
• 变更运营主体、主要接收方或数据存储地区；
• 保存期限、权利行使方式或安全措施发生重大变化。

我们会在本政策顶部标明版本、更新日期和生效日期，并保存历史版本供查阅。

12. 联系我们

运营者：动动星球团队。

当前邀请测试未提供对外公布的隐私邮箱、客服电话、邮寄地址或专门负责人联系方式。“关于和帮助”提供说明与法律文件，不是人工受理渠道。已实现的查阅、更正、导出、撤回和注销操作请使用本文件列明的 App 入口；产品暂不能受理的其他请求或监护关系争议，尚无专门人工渠道。您仍可依法向有管辖权的监管部门投诉或向有管辖权的人民法院寻求救济。正式上线前须建立并公布人工受理渠道。