孩子的作业与作答记录，
是需要格外小心对待的一类信息
YAMI处理的内容，是孩子写过的作业照片与作答记录。它们属于未成年人个人信息， 受《中华人民共和国个人信息保护法》与《未成年人网络保护条例》约束。 处理不满十四周岁儿童的个人信息，还须取得监护人同意。
你在看的是哪一层
「YAMI」现在有两层东西，它们的数据处理方式完全不一样， 混在一起讲最容易讲成一句空话。所以先分开。
本网站（你现在打开的这个）
这是一个介绍站 + 预约内测站。它没有登录、没有账号， 也不读取任何孩子的内容。
产品本身（内测版）
YAMI的产品端已经有服务端与数据库，通过微信登录以「家庭」为单位使用： 家长发起，孩子不注册、不登录。
下面几节讲的都是这一层 —— 它处理的是孩子的作业照片与作答记录， 也是这份说明真正要交代的部分。
我们处理什么，不收集什么
以家庭为单位，按「完成学习诊断所必需」来定范围。
会处理的内容
- 家庭名（你可以不填孩子真名）
- 微信身份标识 —— 用来认出「这是哪个家庭」
- 会话凭据的指纹，不是凭据本身
- 错题照片与孩子在该知识点上的作答
- 诊断结果、训练单与复测结论
- 日报、周报与阶段报告
明确不收集
- 手机号
- 通讯录
- 位置信息
- 相册（只取你主动拍的那一张）
- 孩子的真实姓名、学校、班级、学号、考试排名
body 的字段里
塞进新的个人信息，这道检查是看不见的。它是「新增字段必须显式决定」的闸门，
不是「我们已经证明最小化」的结论。
留多久，什么时候删
这一节是具体的数字，不是「我们会妥善保管」。
12
个月
家庭停用或注销后，数据保留 12 个月，给你留出反悔复启的时间； 超过这个期限，系统自动、永久删除这个家庭的全部数据。
7
天
登录会话的有效期。过期即清理，重新登录即可继续 —— 不会留着一个长期有效的凭据。
活跃
期间一直保留
家庭正常使用时，孩子的学习数据会一直保留 —— 掌握度与错题轨迹需要长期历史才有意义，删掉就失去价值。
这四件事，家长可以直接做
不是「联系我们代为处理」—— 这四件事在服务端已经做好，并有自动化测试覆盖， 以家庭为单位生效。
但要如实说：家长看得见的界面入口还没有做出来。 目前能被直接调用的是接口层，正式上线前会补上家长侧的操作界面。
权限只认一件事：这次请求来自哪个家庭。 这个身份由登录会话解析得出，没有第二个来源； 试图跨家庭访问会明确报错，而不是静默返回空数据 —— 「被挡下来了」和「查无数据」必须分得开。
- 导出 —— 拿到这个家庭的全部数据
- 删除 —— 永久删除，需要显式确认
- 停用 —— 开始计算 12 个月的保留期
- 复启 —— 保留期时钟归零，数据回来
我们怎么证明数据真的删掉了
「已删除」是一句最容易说、最难验证的话。所以我们把它做成四件可以被检查的事。
级联删除
删一个家庭，由数据库的级联规则一路清空它名下的全部记录 —— 不靠一段可能漏表的应用代码。
留下回执
删除与写回执在同一个事务里：要么数据没了、回执也在，要么什么都没发生。 回执记下删除前逐表有多少行 —— 事后没人能再去数那些行。
可重入
同一次清理作业重放不会删第二遍 —— 失败重跑是安全的，不会因为重试而误伤。
默认干跑
清理工具默认只观察、不删除。真删需要两个显式开关同时打开 —— 静默地从「观察」变成「删除」是这里唯一不可接受的失败方式。 而且「只干跑过」与「真删过」会分别留下记录，分得清。
凭据只存指纹，日志一律脱敏
会话凭据
登录凭据的明文只在签发那一刻存在；数据库里存的是它的单向指纹。 即便数据库被整个拿走，也没法用里面的东西冒充一个家庭登录。
日志
自由文本与结构化日志统一过一道脱敏：身份标识、会话密钥、凭据、密钥一律遮蔽，
Bearer … 形状整体遮蔽。日志里不留可直接利用的个人信息。
七条我们给自己定下的规矩
上面是具体做了什么。下面是这些做法背后的约束条件 —— 它们写在前面，是为了让你在决定要不要用之前，就能判断这套东西你认不认。
最小必要
我们只处理完成学习诊断所必需的内容：题目本身、孩子的作答痕迹、诊断结果与练习记录。 与诊断无关的信息一律不采集 —— 不要求填写孩子的真实姓名、学校、班级、学号、考试排名， 也不申请与拍照无关的手机权限。如果某条信息对「这道题错在哪一步」没有帮助，我们就不问。
监护人同意
YAMI由家长作为监护人发起并提供信息。处理不满十四周岁儿童的个人信息， 须取得监护人同意 —— 这是法律的要求，也是我们的设计前提。 正式上线前将发布的《儿童个人信息保护规则》会逐项说明： 我们处理哪些信息、用来做什么、保存多久、你如何随时撤回同意。 在你同意之前，我们不开始处理孩子的任何内容。
家长是入口
孩子端不注册、不登录、不单独留存账号。 使用时由家长在自己的微信入口发起，孩子不接触账号体系 —— 没有学生登录入口，没有面向孩子的独立账号。 这样做有两层考虑：一层是数据上尽可能少地产生孩子的独立身份记录； 另一层是行为上不让YAMI成为孩子手里的东西。孩子在纸上做题，手机在家长手里。
目的限定
这些内容只用于一件事：学习诊断与练习生成。 不用于广告投放，不做用户画像，不进行与学习诊断无关的数据分析， 也不把孩子的作业内容对外提供。这条不是「我们会努力做到」，而是我们给自己划的线： 一个功能如果需要拿孩子的作业数据去换别的收益，这个功能就不做。
不下没有依据的结论
这条既是产品设计，也是我们对数据的态度。当证据不够时，界面会明确显示 「证据不足 3 道题，暂不显示掌握度分数」， 而不是用一个模糊的分数把话说满。「粗心」这两个字在YAMI的全库被禁用 —— 因为它既不是错因，也不可验证。对孩子的判断，我们宁可说「还看不出来」， 也不给一个听起来确定、实际上没有依据的结论。
可查阅、可更正、可删除
孩子的记录属于你为孩子保管的东西，家长应当能够查看、导出并申请删除。 这三件事在产品端已经按家庭为单位实现 （见上文「这四件事，家长可以直接做」），删除需要显式确认。 家长侧的界面入口尚未做好，正式上线前补齐。 正式政策中还会写明：可删除哪些内容、从哪里删除、撤回同意后我们的处理方式。
安全边界
关于数据存在哪里、存多久、怎么加密，我们不打算用一句「我们非常重视安全」带过。 保留期已经写明了（停用后 12 个月自动删除、会话 7 天）， 凭据与日志的处理方式也写明了。 仍然待公布的是：数据存储的具体位置、加密方式的逐项说明， 以及第三方服务清单（OCR 与模型服务的供应商、用途、涉及的数据范围）。 这几项会在正式政策里逐条列出，不打包成一句承诺。
孩子的作业内容，不走家长自己填的接口
YAMI的 OCR、数学识别与模型服务由平台统一托管， 家长无需自行配置 API Key，也不需要挑选模型。
这一点直接关系到孩子的作业内容经不经过第三方。如果让家长自己去找一个接口、填一个 Key， 那么孩子的作业照片就会经由家长自行填写的第三方服务流转 —— 它去了哪里、被怎么保存， 家长说不清，平台也管不到。这不是我们愿意接受的方式。
平台统一托管意味着：接入哪些服务、数据如何传输、留存多久，由我们统一决定并统一约束， 而不是散落在无数个家长自行填写的配置里。上线前，我们会把这些第三方服务逐项列进清单， 写明名称、用途与涉及的数据范围。
家长零配置
不需要 API Key，不需要选模型，不需要懂技术。
统一入口
内容怎么流转由平台统一约束，不散落在个人配置里。
清单待公布
第三方服务清单将在上线前的正式政策中逐项公布。
在把照片交出去之前，你可以先做六件事
平台该做的部分由我们负责。但你手上的那一步，其实能挡掉大部分不必要的信息 —— 这些动作不花钱，也不影响诊断效果。
拍照前，遮掉姓名与班级
作业本页眉上通常印着孩子的姓名、班级甚至学号。用手指按一下、或用一张纸压住再拍， 诊断只需要题目和作答，这些信息我们不需要。
只上传错题本身
不要为了「让 AI 更了解孩子」而把整本作业、整张卷子、成绩单都传上去。 一次拍一道错题，够用，也更少。
不用孩子的真实姓名
YAMI不需要知道孩子叫什么，也能诊断这道题错在哪。需要称呼时，用一个小名就够了 —— 我们本来也不收集真实姓名。
拍完的照片，自己留一份
手机相册里的原图是你自己的备份。想知道我们这边存了什么、要删掉什么， 拿着你手上的这份记录，会更容易核对。
孩子的隐私，也属于孩子
即使你作为监护人同意，也建议让孩子知道「作业照片会用来做诊断」。 让孩子参与这个决定，比替他决定更合适。
不用了，就把整个家庭删掉
不再需要YAMI时，用产品里的删除入口一次性删掉整个家庭的全部数据， 不必逐条清理；只想先停一停的话，用「停用」，12 个月内随时可以复启。
我们做不到什么
一份只讲自己做到了什么的隐私说明，是最不值得读的。以下是几件我们确实还做不到的事。
- 家长侧的操作界面还没做——导出、删除、停用、复启在服务端已经实现并有自动化测试覆盖，但还没有家长看得见的入口。
- 没有合规认证——我们没有通过任何隐私或安全认证。上面那些自动检查是工程手段，不是证书。
- 「最小必要」没有被证明——那道检查只看列名、不看数据流，
jsonb里的内容它看不见。 - 日志脱敏依赖清单——没被列进脱敏名单的字段会漏出去，我们没法声称「绝对干净」。
- 第三方服务清单还没公布——OCR 与模型服务的供应商、用途、数据范围，上线前才会逐项列出。
- 数据存储位置与加密方式还没逐项写明——目前只能说结论，不能说细节。
- 正式法律文本尚未发布——《隐私政策》与《儿童个人信息保护规则》仍在制定中，本页不能替代它们。
- 预约数据只能通过邮件删除——「家长自助删除」的入口还没做。现在要删，只能发邮件到 privacy@yamilearn.com 由我们手动处理。
- 预约数据没有备份，也没有自动过期——目前只是一台服务器上的一个数据文件。上线前会补上备份与清理策略。