# 通千算智AI教案 · 数据处理协议（DPA）

> 版本：v1.0 ｜ 生效日期：2026-11-11 ｜ 适用主体：通千算智AI教案运营方（以下简称"服务方"）与采购学校/教育机构（以下简称"客户"）
> 本协议为《通千算智AI教案服务协议》的附件，与服务协议具有同等法律效力。

---

## 一、定义

| 术语 | 含义 |
|------|------|
| 个人数据 | 指受《个人信息保护法》《数据安全法》及教育部相关规定保护的、可识别特定自然人身份或反映其活动情况的信息，包括但不限于教师姓名、手机号、学生错题记录、学情画像等 |
| 处理 | 包括收集、存储、使用、加工、传输、提供、公开、删除等操作 |
| 子处理者 | 服务方为履行服务而委托处理个人数据的第三方服务商 |
| 客户数据 | 客户在使用服务过程中上传、输入或由服务生成的全部数据 |

## 二、数据处理范围与目的

### 2.1 处理的个人数据类型

| 角色 | 数据类型 | 处理目的 |
|------|----------|----------|
| 教师 | 姓名、手机号、所属学校/学科、AI 工具使用记录、生成内容历史 | 账号管理、功能交付、用量统计、客服支持 |
| 学生（间接） | 错题记录、知识点掌握度、学情画像（不含姓名/身份证） | 错题闭环、个性化推荐、班级学情分析 |
| 管理员 | 姓名、手机号、邮箱、操作审计日志 | 组织管理、安全审计、合规留痕 |

### 2.2 处理法律依据

- 履行合同所必需（《个保法》第 13 条第 2 项）
- 取得个人同意（教师注册时勾选隐私政策；学生数据经学校作为监护人代理授权）
- 法定义务（教育移动应用备案、等保测评要求的日志留存）

## 三、数据安全措施

### 3.1 技术措施

| 措施 | 说明 |
|------|------|
| 传输加密 | 全站 HTTPS（TLS 1.2+）；API 调用均走加密通道 |
| 存储加密 | 敏感字段 AES-256 加密；数据库访问白名单 IP |
| 访问控制 | RBAC 角色权限矩阵；管理端操作需 ADMIN_KEY + IP 白名单 |
| 审计日志 | 全量操作审计，保留 ≥180 天，不可篡改 |
| 数据隔离 | 多租户 org_id 字段级强制过滤；查询层中间件拦截跨校访问 |
| 备份与恢复 | 每日增量备份 + 每周全量备份；异地灾备；RPO < 24h |
| AI 输出安全 | Prompt 注入防护；PII 泄露检测；输出内容审核过滤 |

### 3.2 组织措施

- 指定数据安全负责人，定期安全培训
- 最小权限原则，离职即时回收权限
- 年度安全自评估，配合客户安全审计
- 安全事件 24 小时内通知客户

## 四、子处理者清单

详见 [子处理者清单](./dpa-subprocessors.md)。服务方承诺：

1. 新增或变更子处理者前 **≥30 日**书面通知客户
2. 客户有权在通知期内以合理理由反对变更；双方协商替代方案
3. 所有子处理者均签署不低于本协议标准的数据保护条款

## 五、数据跨境

- 客户数据存储于中国大陆境内服务器（当前部署地：香港特别行政区，IP 104.233.149.236）
- AI 模型 API 调用涉及向子处理者传输脱敏后的文本片段（不含学生姓名/身份证号），传输目的地见子处理者清单
- 不主动向境外提供任何可识别个人的原始数据

## 六、数据主体权利响应

| 权利 | 响应方式 | 时限 |
|------|----------|------|
| 查阅/复制 | 客户管理端自助导出 / 联系服务方 | 15 个工作日 |
| 更正/补充 | 客户管理端自助修改 / 联系服务方 | 15 个工作日 |
| 删除/注销 | 账户注销后 30 日内彻底删除 | 30 日 |
| 撤回同意 | 关闭 AI 功能开关 / 注销账户 | 即时生效 |
| 数据可携带 | 导出 JSON/CSV 格式全量数据 | 15 个工作日 |

## 七、数据保留与删除

| 数据类型 | 保留期限 | 删除方式 |
|----------|----------|----------|
| 教师账户数据 | 账户存续期 + 注销后 30 日 | 硬删除 |
| 学生错题/学情 | 学期结束后 1 年（可配置） | 到期自动归档 → 30 日后硬删除 |
| AI 生成内容 | 用户主动删除即删；未删除的随账户注销删除 | 硬删除 |
| 审计日志 | ≥180 日（等保要求） | 超期自动轮转覆盖 |
| 备份数据 | 最近 30 日滚动保留 | 自然过期 |

## 八、安全事件响应

1. **发现**：7×24 监控告警 + 人工巡检
2. **评估**：1 小时内完成影响范围评估
3. **通知**：确认泄露后 **24 小时内**书面通知客户（含事件描述、影响范围、已采取措施、后续计划）
4. **处置**：48 小时内完成遏制与修复
5. **复盘**：5 个工作日内提交事件报告
6. **监管报告**：按《个保法》第 57 条要求向主管部门报告

## 九、客户义务

1. 确保录入数据的合法性，已取得必要授权
2. 妥善保管管理端凭据，不共享 ADMIN_KEY
3. 及时通知服务方数据主体权利请求
4. 配合服务方完成安全审计与合规检查

## 十、协议变更与终止

- 法律法规变化或服务升级需修改本协议时，服务方提前 30 日通知
- 协议终止后，服务方在 30 日内完成数据删除/返还，并出具删除证明
- 保密条款与数据安全义务在协议终止后持续有效

## 十一、联系方式

| 事项 | 联系方式 |
|------|----------|
| 数据安全负责人 | dpo@tongqiansuanzhi.com |
| 安全事件紧急联系 | security@tongqiansuanzhi.com（24h） |
| 一般咨询 | support@tongqiansuanzhi.com |

---

*本协议未尽事宜，依照《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《教育部教育移动互联网应用程序备案管理办法》及相关法律法规执行。*