教育小程序隐私说明，需要覆盖哪些学员信息？

教育小程序的隐私说明，应覆盖实际收集的账号、报名、订单、学习记录、作业、客服沟通及使用相关服务产生的信息，并说明谁处理、为什么处理、怎样处理、保存多久和如何行使权利。范围应从真实功能反推，不能照搬别人的长模板，也不能把一份“同意隐私政策”当成所有用途的授权。

先沿学员路径盘点，再写说明

从浏览课程、登录、报名、购买、学习、交作业到联系客服，逐步列出直接填写、系统生成及第三方提供的信息。是否使用手机号、设备信息、音视频、成绩或身份证明，要以实际功能确认；不需要的数据不因模板有这个字段就收集。

付款发生不代表教育机构能够接触完整银行卡或支付密码。说明应按机构真正接触的数据与支付服务方各自处理范围写，不能虚列“收集所有支付信息”。

告知项目与处理依据分别明确

《个人信息保护法》第十七条要求在处理前，以清晰易懂方式告知处理者及联系方式、目的、方式、信息种类、保存期限和权利行使方式等事项。第六条要求最小必要，第十三条规定处理的合法基础；同意只是其中一种，不能先概括收集再事后寻找理由。

以同意为基础的用途应自愿、明确，并提供便捷撤回方式。维持必要课程服务与可选营销用途应区分；拒绝不必要的营销信息处理，不宜被当作禁止学习已购课程的理由。事项变更时应依法告知，涉及同意基础的目的、方式或信息种类变化，还需核对重新同意要求。

第三方服务不能只用“合作伙伴”概括

逐项确认云服务、音视频、客服、统计或其他组件是否实际启用，以及由谁决定处理目的和方式。按委托、共同处理或向其他处理者提供信息等实际关系，分别落实协议、告知、同意及监督义务。不能仅因工具服务商提供了通用隐私文本，就推定机构已完成自己的责任。

如处理敏感个人信息，需继续核对特定目的、充分必要性、严格保护及适用的单独同意等条件；涉及不满十四周岁学员，还需监护人同意和专门规则。法律第五十五条所列相关活动应事前进行个人信息保护影响评估，不能用隐私页面代替评估。

让说明里的权利有实际受理方式

查阅、复制、更正、删除和撤回同意的申请，要有可用的受理渠道及负责人。删除与必要留存也应分清：保存期限依法未届满或技术上难以删除的，依法律条件限制后续处理，而非统一承诺“注销即清空所有记录”。内部备份、员工导出文件和服务商留存同样应纳入管理。

凡科杰建云教育产品页介绍课程、学习记录和学员管理方向，具体账号权限、导出与安全安排应向服务方核对。教育版本、配置维护费用与机构的数据管理责任分开确认，采购产品不等于自动获得完整合规方案。

上线核对时，用获准测试账号对照每个信息输入与权限请求，检查是否已告知相应目的、可选项是否可拒绝、申请渠道是否有人受理。正文准确、界面一致、实际处理受控，三者应同时成立。