隐私政策

本文件为本政策的机器翻译版本，仅供参考，尚未经过认证。如本译文与英文原版之间存在任何冲突或不一致，以英文版本为准。查看英文原版。

生效日期及版本：2026 年 9 月 20 日（第 3.0 版）。本《隐私政策》规定了 Khypri AI 通过本平台处理个人数据的方式；对于仍在落实中的保障措施，我们明确说明其尚未完成，而不声称其已臻完备。本政策应与服务条款、安全政策以及数据主体告知书一并阅读，其中后者构成《数字个人数据保护法》（2023 年）第 5 条所要求的逐项告知。

1. 引言、角色与释义

1.1 Khypri AI（本政策中称为"Khypri"、"公司"、"我们"）运营本平台。就通过本平台收集的个人数据而言，Khypri 作为《数字个人数据保护法》（2023 年）项下的数据受托人及《通用数据保护条例》项下的控制者行事；但如学校或其他机构针对其自身学生独立决定处理目的和方式，则由该机构作为数据受托人或控制者，Khypri 代表其并依其书面指示作为数据处理者或处理者行事。

1.2 在本政策中，除文义另有所指外：

1. "该法"指《数字个人数据保护法》（2023 年）及其项下制定的规则，并包括其不时的修订及现行有效版本；
2. "账户"指账户持有人在本平台注册的账户，包括在该账户下创建的每一个学生资料；
3. "账户持有人"指注册账户的成年家长或法定监护人，"您"应作相应解释；
4. "学生"指由账户持有人在该账户下创建并管理其资料的孩子；
5. "平台"指 Khypri AI 的网站、应用程序、应用程序编程接口及相关服务；
6. "个人数据"、"数据主体"、"数据受托人"及"数据处理者"具有该法所赋予的含义，"处理"包括对个人数据进行的收集、记录、存储、使用、共享、限制、删除及任何其他操作；
7. "分处理者"指 Khypri 委托代表其处理个人数据的第三方，详见第 5 节所列；
8. "数据保护官"指第 16 节所载明的 Khypri 数据保护官；及
9. "经核实的请求"指公司已按照第 8 节确认由账户持有人提出的请求。

1.3 对某一法规的引用，包括该法规经不时修订、重新颁布或替代后的版本。标题仅为方便查阅之用，不影响解释。

2. 所处理的个人数据

2.1 公司将处理以下类别的个人数据：

1. 家长／监护人身份数据：账户持有人的完整法定姓名、电子邮箱、手机号码及出生日期。电子邮箱及手机号码亦用于发送第 4.3 节及第 12 节所述的提醒。
2. 儿童身份数据：公司不要求或收集孩子的法定姓名。账户持有人为孩子选择一个显示名称或昵称用以在平台内标识该孩子，并提供其年级／学校及所属教育委员会信息。账户持有人还为孩子创建用户名和密码供其登录使用；密码仅以哈希形式存储。该显示名称（而非法定姓名）会出现在孩子资料显示的一切场合，包括发送用于 AI 处理的任何内容（见第 5 节），以确保即便该数据遭泄露，孩子的真实身份也不会因此暴露。
3. 教育数据：与孩子的显示名称或资料（而非法定姓名）相关联的题目作答、成绩指标、生成的试卷及平台内的学习活动。
4. 技术数据：IP 地址、设备标识符、浏览器类型，以及根据 IP 地址推断的城市级（非精确）地理位置。此类地理位置及基于 IP 的国家识别，仅在账户持有人本人注册和登录期间收集，用于防止欺诈及建议适用于该注册账户持有人的同意年龄规则所属国家（此仅为默认建议，账户持有人可予更正，并非最终判定）。孩子登录时也会记录 IP 地址并可能据此推断城市级位置，但仅出于安全和防欺诈目的；该信息绝不用于追踪孩子的位置或行踪。
5. 年龄核验数据（账户持有人，注册时）：注册时，公司使用设备摄像头估算账户持有人的年龄，并对部分用户读取其自愿提供的身份证件图像中的出生日期。该处理完全在用户自己的浏览器及设备本地进行：摄像头图像及证件图像不会上传至公司服务器，也不会被存储。仅核验结果的输出会被用于允许注册继续进行。
6. AI 对话数据：孩子发送给 AI 辅导老师的消息及其回复，予以保留以便账户持有人查阅，并用于检测严重的安全隐患（见第 4.3 节）。
7. 支付数据：由公司的支付服务提供商直接处理；公司不存储完整的银行卡号。
8. 取消及删除数据：账户持有人取消订阅或删除账户时，从列表中选择的原因及所填写的任何说明，连同套餐信息、最近一次付款凭证及退款审核结果。

2.2 公司不会向任何用户（无论家长还是孩子）收集音频录音、照片、视频或精确（GPS 级）地理位置信息。第 2.1(e) 条所述的注册年龄核验仅使用用户自己设备上的摄像头，由此产生的任何内容均不会被上传或存储。

2.3 处理目的与法律依据

2.3.1 公司仅按以下所列目的及依据处理各类个人数据：

1. 家长／监护人身份数据 — 目的：账户创建、家长同意验证及沟通联络。依据：账户持有人的同意，或就机构账户而言，与该机构的合同。
2. 儿童身份数据（显示名称、年级／学校、教育委员会） — 目的：在不暴露孩子真实身份的前提下实现内容个性化及课程对齐。依据：账户持有人的同意，或就机构账户而言，与该机构的合同。
3. 教育数据 — 目的：生成和评估学业内容并追踪学习进度。依据：同意，以及公司在提供核心教育服务方面的合法利益。
4. 技术数据 — 目的：安全保障、防止欺诈、服务可靠性，以及在注册时建议适用的同意年龄规则。依据：确保平台安全、可正常运作，以及正确适用特定司法辖区儿童保护规则的合法利益。
5. 支付数据 — 目的：处理订阅费用。依据：与付款方之间的合同。
6. 提醒及联系数据（账户持有人的电子邮箱及手机号码） — 目的：通过 WhatsApp 及电子邮件发送账户、安全及付款提醒和重大儿童安全提醒，并仅在账户持有人已选择接收的情况下发送进度更新及推广信息。依据：同意（必要的"重要提醒"同意及可选的进度更新与推广信息同意）。
7. AI 对话数据 — 目的：辅导教学、使账户持有人能够查阅对话，以及检测严重安全隐患以便及时提醒账户持有人。依据：账户持有人的同意，以及就安全隐患而言，保护可能面临严重伤害风险的孩子。
8. 年龄核验数据 — 目的：确认注册的账户持有人为成年人。依据：同意；仅在用户自己的设备上处理。
9. 取消及删除数据 — 目的：审核退款请求、保留会计所需的记录，以及了解用户离开服务的原因以便改进。依据：与付款方之间的合同，以及公司在改进服务方面的合法利益。

3. Cookie 与追踪

3.1 公司仅使用维持用户登录会话及安全偏好所严格必需的 Cookie。公司不使用第三方营销或广告 Cookie，不构建行为广告画像。详情见Cookie 政策。

3.2 所使用的 Cookie 类别为：

1. 严格必要：登录及安全所需的会话及身份验证 Cookie，若禁用将无法使用本平台；
2. 功能性：偏好 Cookie（例如主题选择），用于在不同访问间保留用户设置；
3. 分析类：注重隐私、经聚合处理的使用情况分析，可能用于了解功能使用情况，不会构建个人行为画像或用于广告投放；及
4. 广告类：无。不使用任何第三方广告或跨站追踪 Cookie。

4. 自动化处理、学习支持报告与儿童安全

4.0 本平台使用人工智能生成练习内容，并对学生的作答提供自动化评估与反馈。当某项自动化评估可能对学生产生重大影响时（例如作为评分性测评的一部分使用），教师仍保留审查、推翻或忽略该 AI 生成评估的能力。数据主体可通过致函 dpo@khypri.com 要求对任何对其造成实质影响的自动化评估进行人工复核。人工智能的使用详见负责任人工智能政策。

4.1 学习支持报告 — 目的与法律依据

4.1.1 本平台旨在作为学校评估其学生方式的延伸，记录学生的测验及题目作答，以生成账户持有人可查看的表现分析。就此而言：

1. 功能：该处理属于学习支持功能，仅限于学生在平台内自身的学业活动，且仅用于（一）为学生及账户持有人提供关于学生对知识点理解程度及测验表现的诚实、公正的画面，及（二）帮助学生学习，例如识别薄弱主题及调整题目难度；
2. 排除事项：该处理不得用于定向广告、营销、参与度最大化，或任何针对孩子且超出学业工作范围的目的；公司不会为孩子构建行为画像或广告画像，该数据也绝不会与广告商共享或出售；
3. 法律依据：该处理系履行账户持有人（或学校）代表孩子所要求的核心教育服务所必需。公司在处理孩子的任何数据之前均征求账户持有人的明确同意；若未获同意，则不会处理该孩子的任何数据。若账户由学校开设，处理则依据该学校作为数据受托人或控制者所下达的合同指示进行；及
4. 家长可见性：账户持有人可随时查阅学生的进度报告，该数据不得在账户持有人不知情的情况下，被用于支持学生学习之外的决定。

4.2 支持团队访问权限

4.2.1 公司客户支持团队对学生学业记录（进度、证书及活动）的访问受支持 PIN 码管控。每位账户持有人拥有一个六位字符的支持 PIN 码（字母及数字），该码在账户注册时生成，显示于账户持有人的资料页中，并每十（10）天自动更换一次。支持人员无法查看该 PIN 码：只有当账户持有人需要帮助时，才会将其提供给支持团队成员，由该人员输入验证。只有输入正确时，学生的学业记录才会被开启，且仅限于该账户，开放时长限定为三十（30）分钟，一旦生成新的 PIN 码，该次访问权限即刻终止。多次输入错误将被锁定，PIN 码的每一次输入、验证及更新均会记录相关员工信息。公司的管理员可查看 PIN 码，管理员及支持人员均可生成新的 PIN 码。支持访问在其他方面依角色受到限制（见第 13.1 节）。

4.3 儿童安全监测与提醒

4.3.1 为帮助保护孩子的安全，AI 辅导老师与孩子的对话会被自动检查是否存在对孩子安全或福祉构成严重风险的迹象，包括自我伤害、虐待、暴力、欺凌或严重痛苦。除协助孩子学习之外，检查对话的唯一目的即在于此；该项检查不用于广告投放或构建行为画像。

4.3.2 一旦检测到严重隐患，AI 将以支持性的引导作出回应，该隐患将被记录在孩子的资料中，公司将立即通过 WhatsApp 及电子邮件提醒账户持有人，说明隐患的严重程度及类型。若提醒未被确认，后续数小时内将发送进一步提醒。在首次提醒发出约十五（15）分钟后，公司还将发送一份一至两句话的简要摘要，该摘要借助第 5 节所列 AI 提供商之一协助生成。公司的支持团队也可能就某项提醒与账户持有人联系。

4.3.3 提醒仅会发送至账户上登记的手机号码及电子邮箱，依据必要的"重要提醒"同意，为保护可能面临严重伤害风险的孩子而发送。提醒并非紧急服务的替代品；若孩子面临即时危险，应联系当地紧急服务号码。由于该等提醒对孩子的安全至关重要，该同意属于必要同意，在账户存续期间始终有效（见第 8A 节）。

5. 向分处理者及其他方披露

5.1 公司不出售个人数据。个人数据仅会披露给以下类别的服务提供商，且仅限于运营平台所必需的范围：

1. 托管与电子邮件：BigRock，用于托管及账户与营销邮件的发送。随着业务规模扩大，公司可能新增或替换为 Amazon Web Services（AWS）或 Google Cloud 作为额外或替代的托管基础设施，本政策将在此前予以更新。
2. 消息传递：Meta Platforms（WhatsApp Business Platform），用于向账户持有人的手机号码通过 WhatsApp 发送一次性验证码、账户与安全提醒及儿童安全提醒。Meta 会收到账户持有人的手机号码及消息内容。消息仅发送给账户持有人，绝不发送给孩子。
3. 身份验证：Firebase Authentication（Google），仅用于验证和登录账户持有人，接收账户持有人的电子邮箱、手机号码及凭证。孩子使用账户持有人创建的用户名和密码登录，该凭证由公司自身系统验证，孩子的任何数据均不会发送至 Firebase；与孩子相关的全部数据仅存储和处理于 Khypri AI 及／或 My Paper Genie 的数据库中。
4. AI 处理：OpenAI 及 Google（Gemini / Vertex AI），用于生成和评估学业内容，以及准备第 4.3 节所述的简要安全摘要。教育相关输入内容以及安全摘要所需文本可能被发送至这些提供商进行推理运算，且仅以孩子的显示名称或资料标识（见第 2 节）。由于公司从未收集孩子的法定姓名，在发送内容用于处理前，也就没有真实姓名需要移除。公司目前依赖这些提供商已公开发布的 API 数据使用政策，其中声明 API 输入内容不用于模型训练；目前尚未与任何一方签署正式的数据处理协议，公司按照其标准条款使用其服务。
5. 支付：Razorpay，用于处理订阅付款。
6. 分析：Google Analytics，仅用于公司公开营销网站（而非学习平台内部）的聚合使用情况分析，仅在用户于 Cookie 提示栏中接受分析类 Cookie 后运行，默认为拒绝状态。

5.2 第 5.1 节所列供应商目前均未与公司签署正式的数据处理协议，公司按照其标准的、公开可查的条款使用其服务。随着公司供应商关系的变化，本清单将保持更新。包含数据存储地点详情的完整现行清单载于分处理者页面。

5.3 公司还可能在法律要求、法院或主管机关命令要求，或为保护孩子免受严重伤害而有必要时披露个人数据。

6. 保留与删除

6.1 保留。个人数据将在账户处于活跃状态期间予以保留，此后仅按本第 6 节的规定处理。详情载于数据保留与删除政策。

6.2 账户持有人删除。账户持有人可随时请求删除账户（包括其下的每一个学生资料），方式为：(a) 在平台内，于资料设置中选择"删除我的账户"选项，并通过输入账户注册邮箱确认请求；或 (b) 依照第 8 节向数据保护官提出书面请求。

6.3 即时效力。删除请求在平台内提出或经公司核实后：(a) 账户及每一个学生资料将立即停用，登录随即终止；(b) 账户上记录的每一项同意均视为已撤回，撤回情况将予记录；(c) 任何订阅将被取消，不再产生进一步扣费；及 (d) 公司将向注册邮箱发送确认函，说明删除将于何日起执行。

6.4 冷静期与时限。删除将在请求提出七（7）天的冷静期后执行（如以书面方式提出请求，数据保护官可设定不超过二十一（21）天的其他期限）；在此期间，可通过从注册邮箱向数据保护官发送书面请求取消该请求并恢复账户。依第 6.3(c) 条取消的订阅不会因账户恢复而重新生效。删除无论如何都将在经核实的请求提出后三十（30）天内完成，第 6.6 节另有规定的除外。删除完成后提出的恢复请求将无法执行。

6.5 删除范围。删除时：(a) 账户及每一个学生资料中的个人数据，包括学习活动、聊天对话、考试及练习记录、上传的文件及由此衍生的文本和向量、登录历史、验证码、通过联系表单从注册邮箱发送的消息，以及发送至该邮箱的邮件副本，将被删除；(b) 账户及每一个学生资料上的身份信息（姓名、电子邮箱、电话号码、出生日期、照片、密码哈希及位置信息）将被不可逆地删除或替换，使依第 6.6 节保留的任何记录不再能识别到具体个人；(c) 存放于公司身份验证提供商处的登录凭证将被移除；及 (d) 安全事件记录及消息发送记录将仅以去标识化形式保留（严重程度、类型、模板、状态及时间），对话文本、联系方式及消息内容将被删除。

6.6 因法律或合理问责而保留的记录。尽管有前述规定，公司仍将保留下列记录，且仅将其用于保留该记录的目的：(a) 付款、订单、订阅及信用分类账记录，保留期限依适用税务及会计法律要求；(b) 已给予及撤回的同意记录，仅包含标识符及回答内容，连同变更的带日期历史记录及每次显示的具体措辞，作为同意及其撤回的证据；及 (c) 欺诈及安全黑名单。支持团队往来函件在提出删除请求时会逐一审查，除非因法律允许的目的而有必要保留，否则将予删除。

7. 国际传输

7.1 个人数据可能在数据主体所在国家以外的服务器上进行处理，包括通过公司的消息传递（Meta／WhatsApp）及 AI 提供商。

7.2 若欧盟或欧洲经济区人员的数据被传输至欧洲经济区以外，该传输将受标准合同条款管辖，该条款目前正在最终确定中，尚未与所有供应商全面签署完毕。

7.3 若印度数据主体的个人数据被传输至印度境外，公司将采取符合该法有关跨境传输要求的保护措施。详情载于跨境数据传输政策。

8. 数据主体权利的行使

8.1 如需行使本政策所述的任何权利（包括查阅、更正、删除、限制处理、数据可携或反对处理），数据主体应使用与账户关联的电子邮箱发送请求至 dpo@khypri.com；如为代表孩子提出的请求，则使用经核实的账户持有人邮箱。以下流程将适用：

1. 确认收悉：公司将在三（3）个工作日内确认收到请求。
2. 身份验证：公司可能要求提供足以确认请求人系账户持有人，或系账户持有人所属学生的家长或监护人的信息，以防止未经授权访问孩子的数据。
3. 履行：查阅、更正及数据可携请求将在十五（15）天内完成；删除请求依第 6 节，在三十（30）天内完成。
4. 格式：如请求获取数据副本，将以结构化、常用且机器可读的格式（JSON 或 CSV）提供。
5. 升级处理：如请求人对答复不满意，欧盟／欧洲经济区居民可向其当地监管机构投诉，印度居民可在印度数据保护委员会投入运作后向其申诉。

8.2 账户持有人还可依第 6.2 节直接在平台内行使删除权，并可在资料设置中查看及更正账户及每一个学生资料的详细信息。账户持有人还可通过在资料中选择"导出我的数据"，以单一 JSON 格式文件下载账户及其下每一个学生资料的数据副本。下载前，系统会提醒账户持有人该文件未加密；每五（5）分钟仅可下载一次，且每次下载均会被记录（记录下载人及时间，绝不记录文件内容）。

8A. 撤回同意

8A.1 账户持有人可以像给予同意一样便捷地撤回同意。撤回方式取决于同意的性质：

1. 可选同意——通过电子邮件及 WhatsApp 发送的进度更新及每周摘要、通过电子邮件发送的推广信息及提醒，以及分析类 Cookie——可随时在账户设置中撤回（在资料中撤回账户持有人自身的同意，在孩子的设置面板中撤回涉及该孩子的进度更新同意）。撤回将立即生效，且此后仍可重新给予同意。
2. 必要同意——同意服务条款和本政策、确认账户持有人为成年人、"重要提醒"同意，以及对孩子学业数据进行分析的同意——是运营本服务及保障孩子安全所必需的。这些同意在账户存续期间持续有效，并在账户设置中显示为锁定状态。撤回必要同意需通过删除账户实现，此后将停止对孩子数据的一切进一步处理。

8A.2 如需彻底撤回同意并关闭账户，账户持有人可 (a) 按第 6.2 节所述在平台内使用"删除我的账户"选项，(b) 在数据主体告知书页面使用"撤回全部并关闭账户"选项，或 (c) 从账户持有人经核实的邮箱向数据保护官 Debasmita Maharana 发送邮件至 dpo@khypri.com，主题注明"Withdraw Consent"。一旦确认身份，公司将停止对孩子数据的一切进一步处理，并依第 6 节予以删除，除非账户持有人另行要求保留该数据。

8A.3 撤回同意不影响撤回之前基于该同意所进行的任何处理的合法性。公司保留每项同意给予或变更时间及当时所显示措辞的带日期记录，以便向数据主体说明其此前同意的内容。

9. 《数字个人数据保护法》（2023 年，印度）

9.1 可验证的家长同意。只有家长或法定监护人才能在本平台注册；学生无法直接创建账户。注册过程会采集账户持有人的出生日期、成年身份的自我声明及设备端年龄核验，随后对账户持有人的电子邮箱及手机号码进行验证。只有在账户持有人自身资料完善之后，才能添加学生资料——在没有已验证的账户持有人作为前提的情况下，学生资料无法单独存在。详见可验证家长同意政策。

9.2 不进行行为画像分析。公司不会在学业工作范围之外追踪学生的浏览行为或活动，不投放定向广告。

9.3 更正与删除。账户持有人可随时查看、更正孩子的数据，或依第 6 节及第 8 节的方式要求将其删除。

9.4 申诉处理与提名。该法项下的查询及申诉可依第 16 节联系数据保护官（dpo@khypri.com）。数据主体也可通过致函数据保护官行使该法项下可行使的任何提名权。

10. 通用数据保护条例（欧盟）

10.1 法律依据。处理基于同意（账户持有人或机构），并在适用情形下，基于学校作为控制者的合法利益。

10.2 权利。查阅、更正、限制处理、数据可携及删除请求可发送至 dpo@khypri.com，并依第 8 节处理。

10.3 数据泄露通知。公司承诺在发现个人数据泄露事件后七十二（72）小时内，依第 14 节通知受影响用户及相关监管机构。

11. 《儿童在线隐私保护法》（美国）

11.1 适用范围。《儿童在线隐私保护法》适用于美国境内十三（13）岁以下的儿童。

11.2 最小化收集。公司不向十三岁以下儿童收集任何音频、视觉媒体或精确地理位置信息。

11.3 可验证的家长同意。由于只有家长或监护人才能注册，且必须在将孩子添加至账户前验证自身身份，十三岁以下的儿童无法自行给予同意或创建独立账户。

11.4 家长权利。家长可随时通过联系 dpo@khypri.com 或依第 6.2 节删除账户，查阅或要求删除其孩子的数据。

11.5 不附加条件。参与本服务不得以披露超出合理必要范围的数据为前提条件。

12. 营销与服务通讯

12.1 公司仅在账户持有人已通过可选的"通过电子邮件接收推广及提醒"同意选择接收的情况下，才会发送推广或营销通讯（包括优惠、套餐续订优惠及产品更新）。该同意可随时在账户设置中撤回；每封推广邮件均含有指向账户设置的链接，账户持有人也可致函 dpo@khypri.com。涉及孩子的进度更新及每周摘要，仅在账户持有人已为该孩子开启该功能时才会通过电子邮件及／或 WhatsApp 发送，且可以同样方式关闭。

12.2 部分消息不属于营销信息，无论账户持有人的营销选择如何均会照常发送，因为它们构成账户运营及孩子安全保障的一部分：账单收据、安全通知、套餐到期及余额通知，以及重大儿童安全提醒（见第 4.3 节）。此类消息依据必要的"重要提醒"同意通过 WhatsApp 及电子邮件发送。详情载于通讯政策。

13. 安全保障措施

13.0 个人数据在传输过程中使用 TLS 1.3 加密，在静态存储时使用 AES-256 加密。公司正致力于其信息安全管理实践的 ISO 27001 认证；该认证正在进行中，尚未取得。

13.1 访问控制（基于角色的访问控制与最小权限原则）

13.1.1 对个人数据的内部访问，包括孩子的学业记录、账户持有人的详情及支付信息，受建立于最小权限原则之上的基于角色的访问控制管理。每位员工的默认访问权限为零，仅在某一角色履行职能确实需要特定数据时方予授权。

1. 基于角色而非个人：访问权限授予既定角色（例如支持、工程、内容／课程及数据保护官），而非直接授予个人，因此一个人能看到什么由其职能决定。
2. 最小权限：某一角色的访问权限仅限于其所需的数据类别及操作。支持访问仅限于相关角色及职能，且支持人员只有在正确输入第 4.2 节所述账户持有人的支持 PIN 码后，方可开启学生的学业记录。
3. 职责分离：运营平台所需的工程访问权限，与导出或批量查看个人数据的能力相分离，日常工程工作无需查看单个孩子的数据。
4. 限时且可撤销的访问权限：角色变更或离职时相应访问权限即被移除，临时性或提升级别的访问权限（如支持 PIN 码会话）会自动到期。
5. 访问日志记录：内部角色对个人数据的访问均予记录，以便追溯至具体角色及原因。
6. 定期审查：定期审查访问权限，以移除超出当前实际所需范围的访问权限；该审查流程正在规范化为固定周期，目前尚未完全成熟。

13.1.2 本节规范公司自身的内部访问。它不同于学校作为其自身学生数据受托人时的内部访问控制机制，也不同于第 5 节所列的分处理者——后者仅接收其中所述的经假名化、经过筛选的数据。

13.2 身份验证、密码及凭证

13.2.1 孩子使用账户持有人为其创建的用户名及密码登录本平台；该凭证由公司自身系统验证，绝不发送至 Firebase，且密码从不以录入形式存储：其在公司服务器上被转换为经加盐的单向哈希值，采用刻意缓慢的行业标准算法（PBKDF2），因此任何人（包括公司）均无法还原该密码，存储值的副本也无法通过预先计算的列表被逆推。以较旧、较弱格式存储的密码，会在孩子下一次登录时转换为此格式；若某一旧格式密码在公司设定的淘汰旧格式的日期前仍未被转换，账户持有人须在资料设置中重新设置该密码。孩子无法注册或创建账户。账户持有人的身份验证由 Firebase Authentication（Google）负责处理，该服务代表公司管理凭证存储、密码哈希及登录安全，公司自身不存储家长密码。孩子的任何数据均不会发送至 Firebase，包括孩子的显示名称及学业活动（如第 2 节所述，公司从未收集孩子的法定姓名）。一旦账户持有人的身份经 Firebase 验证，与孩子相关的所有数据（资料、题目作答、进度及生成的试卷）均仅在 Khypri AI 及／或 My Paper Genie 自身的数据库中创建、存储及处理，与身份验证层完全分离。

1. 密码：公司从不以明文形式存储或处理密码；Firebase 代表公司实施行业标准的哈希及加盐处理。
2. 多因素身份验证：公司支持并鼓励在账户上使用多因素身份验证（例如注册时的电子邮箱或手机一次性验证码验证，作为额外的登录步骤可供选用）。将多因素身份验证作为每次登录的强制性要求正在规划中，尚未全面强制实施。
3. API 密钥及服务凭证：用于将公司系统连接至第 5 节所列分处理者（包括 AI 提供商、支付处理及托管服务）的凭证，存储于加密的密钥管理系统中，而非源代码或明文配置文件中，并依第 13.1 节限定为每项集成所需的最低权限。
4. 会话安全：登录会话使用安全的、限时的令牌，会话可被撤销（例如在密码变更或疑似账户被盗用时）。

14. 个人数据泄露

14.1 如发生个人数据泄露事件，公司将遵循以下流程，详情载于个人数据泄露响应政策：

1. 遏制：一经发现泄露事件，立即识别并加以遏制；
2. 评估：评估受影响数据及人员的范围；
3. 通知：在发现后七十二（72）小时内，向受影响用户及相关机构（在适用情形下包括印度数据保护委员会）发出通知，说明泄露性质及涉及的数据；及
4. 补救：采取纠正措施以防止再次发生，并在适当情形下为受影响用户提供可采取的保护性措施指引。

15. 修订

15.1 公司可不时修订本政策。作出重大变更时，上述生效日期及版本将予更新，并在法律要求的情形下，直接通知受影响用户。

16. 联系方式与申诉处理

16.1 依据该法、通用数据保护条例或儿童在线隐私保护法提出的任何问题、更正、删除或申诉请求，应联系数据保护官Debasmita Maharana，邮箱 dpo@khypri.com。

16.2 公司将在三（3）个工作日内确认收到所有请求，并依第 8 节在三十（30）天内处理经核实的删除请求。申诉的提出及处理方式载于申诉处理政策。