Đối tượng: Hướng dẫn này được viết cho các cán bộ phụ trách tuân thủ, cán bộ quyền riêng tư cấp quận và cố vấn pháp lý của chủ sở hữu thương hiệu, những người phải bảo vệ luồng đồng thuận của phụ huynh và cách xử lý dữ liệu trẻ em đằng sau một cây bút đọc kết nối. Nội dung được xây dựng dựa trên mười một mẫu sản xuất B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2 và Y6 cùng Quy tắc COPPA theo cách FTC Hoa Kỳ thực thi.
Cây bút đọc kết nối là một trong số ít sản phẩm dành cho trẻ em mà một thiết bị duy nhất có thể thu thập hành vi đọc, bản ghi âm giọng nói, vị trí từ việc liên kết Wi-Fi và các mẫu sử dụng có thể nhận dạng trong cùng một phiên. Sự sự tập trung dữ liệu đó chính là điều mà Đạo luật Bảo vệ Quyền riêng tư Trực tuyến Trẻ em (COPPA) được viết ra để giám sát. Một cây bút được xuất đến hộ gia đình Hoa Kỳ mà không có luồng đồng thuận rõ ràng không chỉ là vấn đề tuân thủ; đó còn là rủi ro thu hồi sản phẩm, rủi ro bị FTC điều tra và rủi ro bị nhà bán lẻ kéo sản phẩm khỏi kệ.
Chúng tôi đã xuất hơn 47.000 cây bút đến 47 quốc gia kể từ năm 2023 và chưa nhận được bất kỳ yêu cầu thực thi COPPA nào. Bài viết này đi qua luồng đồng thuận của phụ huynh có thể xác minh, chính sách giảm thiểu dữ liệu, các bề mặt kiểm soát của phụ huynh, SLA xóa dữ liệu, nhật ký kiểm toán và các chỉ số thực địa chứng minh kiến trúc này vận hành ổn định dưới tải sử dụng trong lớp học.
1. Ba ranh giới COPPA trên cây bút đọc
COPPA áp dụng cho các nhà điều hành dịch vụ trực tuyến thu thập thông tin cá nhân từ trẻ em dưới 13 tuổi tại Hoa Kỳ. Cây bút đọc kết nối đáp ứng định nghĩa đó vào khoảnh khắc một đứa trẻ Hoa Kỳ mở phiên đọc đồng bộ trên đám mây. Do đó, cây bút có ba ranh giới cần giám sát. Ranh giới 1 là tạo tài khoản; Ranh giới 2 là thu thập liên tục thông tin cá nhân; Ranh giới 3 là chia sẻ cho bên thứ ba (bao gồm phân tích và báo cáo sự cố).
Chúng tôi coi mỗi ranh giới là một cổng kiến trúc, không chỉ là một chính sách. Ranh giới 1 được kiểm soát bằng xác minh email phụ huynh cộng luồng xác minh qua khoản ủy quyền thẻ tín dụng $0,50 (một trong các phương pháp Đồng thuận của Phụ huynh có thể Xác minh được FTC chấp nhận theo hướng dẫn năm 2024). Ranh giới 2 được kiểm soát bởi công cụ giảm thiểu dữ liệu trong firmware. Ranh giới 3 được kiểm soát bằng việc không có bất kỳ SDK bên thứ ba nào trong firmware của bút; chúng tôi sử dụng không SDK phân tích, báo cáo sự cố hay mạng quảng cáo của bên thứ ba.
| Ranh giới | Sự kiện kích hoạt | Kiểm soát kiến trúc |
|---|---|---|
| Tạo tài khoản | Lần đăng nhập đám mây đầu tiên từ thiết bị của trẻ em Hoa Kỳ | VPC: email + ủy quyền thẻ $0,50 |
| Thu thập liên tục | Phiên đọc, ghi nhớ giọng nói (F8/K7) | Công cụ giảm thiểu dữ liệu, làm mờ geohash |
| Chia sẻ cho bên thứ ba | SDK sự cố, phân tích, quảng cáo | Không có SDK bên thứ ba nào trong firmware |
Mẹo mua hàng: Khi kiểm tra nhà cung cấp bút đọc, hãy yêu cầu xem tệp nhị phân firmware và tìm các tên gói SDK đã biết. Nếu tệp nhị phân chứa SDK phân tích hoặc báo cáo sự cố không thuộc ngăn xếp riêng của nhà cung cấp, bạn sẽ gặp vấn đề COPPA ngay ngày đầu tiên xuất hàng đi Hoa Kỳ.
2. Luồng Đồng thuận của Phụ huynh có thể Xác minh
Luồng VPC bắt đầu khi phụ huynh đăng ký cây bút lần đầu. Phụ huynh nhập địa chỉ email; chúng tôi gửi liên kết xác nhận có thời hạn 24 giờ. Khi email được xác nhận, chúng tôi yêu cầu thẻ tín dụng của phụ huynh và thực hiện ủy quyền $0,50 sau đó hủy ngay. Bộ xử lý thẻ trả về điểm đối sánh độ tin cậy cao; nếu điểm vượt 0,85 (theo thang của tổ chức phát hành), chúng tôi chấp nhận VPC. Nếu điểm dưới 0,85, chúng tôi chuyển sang luồng xác thực dựa trên tri thức: phụ huynh trả lời bốn câu hỏi từ hồ sơ công khai, trong khung thời gian 10 phút.
Bản ghi VPC được lưu trong bảng riêng trong cơ sở dữ liệu tài khoản phụ huynh. Bản ghi gồm phương pháp xác minh đã dùng, dấu thời gian, địa chỉ IP của phiên xác minh, dải BIN của thẻ (không bao gồm toàn bộ PAN) và điểm xác minh. Bản ghi là bất biến: mọi nỗ lực sửa bản ghi VPC đều được ghi nhận và từ chối. SLA xóa trên tài khoản phụ huynh kích hoạt xóa cứng bản ghi VPC và tất cả bản ghi hồ sơ trẻ em phái sinh trong vòng 7 ngày; thời gian xóa trung vị thực tế chúng tôi đo được là 4,2 giờ.
3. Giảm thiểu dữ liệu theo mẫu
Không phải mọi mẫu đều thu thập cùng một dữ liệu. Các bút phổ thông B1, B2 và P2 được thiết kế để dùng ngoại tuyến và chỉ đồng bộ dữ liệu sử dụng khi phụ huynh bật đồng bộ đám mây một cách tường minh. Mặc định là ngoại tuyến; phụ huynh phải đánh dấu vào ô trong quá trình đăng ký để chọn tham gia. F8 và K7 ghi bản ghi âm giọng nói; các bản ghi này được lưu cục bộ theo mặc định và chỉ tải lên khi có sự đồng thuận tường minh cho từng bản ghi. Q6, Q8, L5, T2 và Y6 xuất xưởng với đồng bộ đám mây bật mặc định vì các chương trình học đường yêu cầu như vậy, nhưng bảng điều khiển của phụ huynh có thể tắt đồng bộ đám mây bất kỳ lúc nào.
Các loại dữ liệu được thu thập theo từng mẫu được tóm tắt trong bảng dưới đây. Số trường telemetry trên mỗi mẫu là chỉ số đơn giản nhất; càng thấp càng tốt, và mẫu phổ thông B1 có bề mặt nhỏ nhất với 4 trường.
| Mẫu | Mặc định đồng bộ đám mây | Thu thập giọng nói | Trường telemetry | Độ chính xác geohash |
|---|---|---|---|---|
| B1 / B2 | Chọn tham gia | Không | 4 | 25 km |
| P2 | Chọn tham gia | Không | 5 | 25 km |
| F8 | Chọn tham gia theo từng bản ghi | Cục bộ + chọn tham gia đám mây | 9 | 25 km |
| K7 | Chọn tham gia theo từng bản ghi | Cục bộ + chọn tham gia đám mây | 9 | 25 km |
| KF1 | Chọn tham gia | Không | 7 | 25 km |
| Q6 / Q8 | Bật | Không | 8 | 25 km |
| L5 / T2 / Y6 | Bật | Không có | 11 | 25 km |
4. Làm mờ Geohash để Bảo vệ Quyền Riêng tư Vị trí
Bút không thu thập tọa độ GPS. Thiết bị chỉ thu thập BSSID (địa chỉ MAC của điểm truy cập Wi-Fi) của mạng gia đình khi bút đang sạc, đây là một tín hiệu vị trí thô. Để tránh bị liên kết ngược về một địa chỉ cụ thể, chúng tôi làm mờ BSSID về geohash 25 km trước khi lưu trữ. Geohash được tính toán tại dịch vụ enrichment của nhà máy, nơi chỉ nhận BSSID cùng một salt xoay vòng mỗi 24 giờ. BSSID gốc được loại bỏ trong vòng 200 ms kể từ lúc tiếp nhận; chỉ geohash được giữ lại.
Độ chính xác 25 km là một lựa chọn có chủ đích: đủ chính xác để bảng điều khiển của phụ huynh hiển thị "con bạn đã sử dụng bút tại Riyadh hôm nay" mà không tiết lộ địa chỉ nhà. Đối với triển khai tại trường, chúng tôi đi xa hơn: geohash được thay bằng mã quận/huyện của trường, do đội IT của trường thiết lập trong quá trình cấu hình tenant. Do đó, một mạng lưới 12.000 bút tại Riyadh chỉ thấy "Trường A, Quận Phía Bắc" thay vì bất kỳ geohash nào.
5. Bảng điều khiển dành cho Phụ huynh
Bảng điều khiển phụ huynh hiển thị sáu hạng mục dữ liệu: tổng số phút đọc trong tuần này, sách đã mở, điểm bài kiểm tra từ vựng, ghi nhớ giọng nói (chỉ F8, K7), tóm tắt vị trí (cấp thành phố) và cài đặt thiết bị. Bảng điều khiển có thể truy cập từ trình duyệt và ứng dụng iOS/Android. Truy cập yêu cầu xác thực lại mỗi 30 phút; số lần thất bại bị giới hạn tốc độ 5 lần/phút/IP và 10 lần/giờ/tài khoản.
Bảng điều khiển cũng cung cấp các nút điều khiển của phụ huynh: giới hạn thời gian mỗi ngày (0 đến 240 phút), khóa giờ ngủ (khoảng thời gian bút từ chối phát âm thanh), bộ lọc nội dung từ vựng (chỉ cấp G, hoặc cho phép nội dung trường học) và tùy chọn ngôn ngữ (một trong 12 ngôn ngữ được hỗ trợ). Mỗi nút có hiệu lực trong vòng 6 giây sau khi được bật/tắt. Nhật ký kiểm tra của bảng điều khiển ghi lại mọi thay đổi nút cùng mốc thời gian và người thực hiện; phụ huynh có thể xuất nhật ký dưới dạng CSV để lưu trữ riêng.
| Kiểm soát của phụ huynh | Mặc định | Phạm vi | Độ trễ hiệu lực |
|---|---|---|---|
| Giới hạn thời gian hằng ngày | 60 phút | 0-240 phút | 6 giây |
| Khóa giờ ngủ | 21:00-07:00 | Bất kỳ khung 1 giờ nào | 6 giây |
| Bộ lọc từ vựng | Cấp G | G / PG-13 trường học | 6 giây |
| Đồng bộ đám mây | Tắt (B1/B2/P2), Bật (các dòng khác) | Bật / Tắt | 6 giây |
| Đám mây ghi nhớ giọng nói | Tắt (F8/K7) | Bật / Tắt / theo bản ghi | 6 giây |
| Xóa tài khoản | không áp dụng | Kích hoạt | SLA 7 ngày, trung vị 4,2 giờ |
6. SLA Xóa dữ liệu và Quyền Xóa của Phụ huynh
COPPA trao cho phụ huynh quyền xóa thông tin cá nhân của con mình và chấm dứt việc thu thập tiếp theo. Chúng tôi tôn trọng cả hai quyền này. Phụ huynh nhấp vào "Xóa tài khoản của con tôi" trong bảng điều khiển sẽ kích hoạt chuỗi xóa, xóa hồ sơ trẻ, lịch sử đọc, kết quả kiểm tra từ vựng, ghi nhớ giọng nói và bản ghi VPC. Chuỗi xóa chạy bất đồng bộ; thời gian hoàn thành trung vị qua 2.025 yêu cầu của chúng tôi là 4,2 giờ và SLA chúng tôi công bố là 7 ngày.
Chúng tôi giữ lại một dữ liệu sau khi xóa: chứng nhận xóa bất biến chứng minh rằng việc xóa đã diễn ra. Chứng nhận chứa một hàm băm của ID trẻ đã xóa, mốc thời gian và ID tài khoản của người thực hiện xóa. Chứng nhận không thể đảo ngược. Chúng tôi lưu giữ chứng nhận trong 7 năm để đối phó với một cuộc điều tra FTC trong tương lai hỏi liệu chúng tôi có thực sự thực hiện xóa hay không; chứng nhận chính là bằng chứng kiểm toán.
7. Nhật ký Kiểm toán và Phản hồi Điều tra FTC
Mọi hành động liên quan đến COPPA đều được ghi vào sổ tuân thủ. Sổ bao gồm sự kiện VPC, mọi thay đổi nút kiểm soát của phụ huynh, mọi yêu cầu xuất dữ liệu, mọi yêu cầu xóa và mọi truy cập nội bộ của nhân viên hỗ trợ. Sổ chỉ ghi thêm, được lưu trong bucket đối tượng write-once-read-many và sao chép sang một vùng riêng để phục hồi sau thảm họa. Sổ được lưu giữ 7 năm để tuân thủ COPPA, GDPR Điều 5(2) và yêu cầu về dữ liệu vị thành niên của California SB-1424.
Nếu một cuộc điều tra FTC đến, bộ hồ sơ phản hồi tiêu chuẩn của chúng tôi bao gồm một đoạn trích sổ tuân thủ đã biên tập lại theo phạm vi ngày điều tra, các chứng nhận xóa cho các tài khoản bị ảnh hưởng, chính sách giảm thiểu dữ liệu có hiệu lực vào ngày điều tra và hàm băm nhị phân của firmware. Chúng tôi đã xây dựng bộ hồ sơ này một lần cho một cuộc điều tra của AG bang năm 2.024 (không có phát hiện sai phạm) và một lần cho kiểm toán tuân thủ của nhà bán lẻ năm 2.025 (đã đạt). Bộ hồ sơ được tạo trong vòng dưới 48 giờ kể từ một ủy quyền đã ký.
8. Kiểm soát Tenant của Học khu
Tenant học khu là một thực thể khác so với tenant hộ gia đình. Học khu ký một phụ lục xử lý dữ liệu chỉ định học khu là bên kiểm soát dữ liệu cho mọi tài khoản trẻ em trong tenant. Phụ huynh trong tenant trường học không phải là bên kiểm soát dữ liệu; học khu mới là. Phụ huynh vẫn có các quyền COPPA, nhưng các quyền đó được học khu trung gian. Chúng tôi hỗ trợ bằng cách cung cấp nút chuyển "chế độ COPPA" cấp tenant, chuyển tác nhân chính trên bảng điều khiển từ phụ huynh sang quản trị viên IT của học khu.
Khi bật chế độ COPPA, quản trị viên IT học khu có thể xuất hàng loạt tất cả hồ sơ trẻ em (để đáp ứng yêu cầu của phụ huynh), xóa hàng loạt (để dọn dẹp cuối năm) và xuất hàng loạt chứng nhận xóa (cho hồ sơ riêng của học khu). Tác vụ xuất hàng loạt chạy trên một pool worker riêng với nhật ký kiểm toán ghi lại từng bản ghi được chạm tới. Một học khu 12.000 bút có thể được xuất trong 38 phút và xóa trong 22 phút; chúng tôi đã chạy cả hai thao tác trong môi trường sản xuất.
9. Kiểm toán SDK Bên thứ ba và Mạng Quảng cáo
Firmware bút không chứa bất kỳ SDK phân tích, báo cáo sự cố hay mạng quảng cáo bên thứ ba nào. Ứng dụng di động chỉ chứa đúng một trình báo cáo sự cố first-party (của chính chúng tôi) và không có SDK phân tích. Chúng tôi không sử dụng Facebook SDK, Google Firebase, Adjust, Branch hay bất kỳ bên thứ ba nào khác có thể nhận dữ liệu trẻ em. Chúng tôi đã từ chối ba đề xuất hợp tác thương mại trong năm 2.025 vì đối tác yêu cầu các định danh cấp thiết bị vi phạm COPPA.
Kiểm toán được thực hiện bởi một hãng bên ngoài mỗi 12 tháng. Hãng này dịch ngược mã nhị phân firmware, quét các chữ ký SDK đã biết và kiểm tra mọi cuộc gọi mạng theo tên miền đích. Lần kiểm toán gần nhất (Q2 2.026) trên firmware 3.3.1 cho Q6/Q8 phát hiện không có SDK bên thứ ba nào và 47 tên miền first-party, tất cả đều phân giải về hạ tầng của chúng tôi. Bản tóm tắt được cung cấp cho các đối tác OEM và CISO học khu theo NDA.
10. Chỉ số Thực địa và Lập trường COPPA
Chúng tôi theo dõi sáu KPI COPPA hằng tháng: tỷ lệ hoàn thành VPC (trung vị 96,4%), tỷ lệ hoạt động 30 ngày của bảng điều khiển phụ huynh (trung vị 71,2%), thời gian hoàn thành yêu cầu xóa (trung vị 4,2 giờ, p95 6,8 giờ), tỷ lệ chấp nhận nút kiểm soát của phụ huynh (trung vị 58,6% hộ gia đình Mỹ bật ít nhất một nút), tỷ lệ ghi thành công của sổ kiểm toán (99,99%) và số lượng điều tra FTC (đến nay là 0). KPI được báo cáo trên cổng đối tác OEM và đưa vào báo cáo tuân thủ hằng năm.
Kiến trúc COPPA được thiết kế cố ý bảo thủ. Chúng tôi không thu thập bất cứ thứ gì mà chúng tôi không thể bảo vệ trước một cuộc điều tra FTC, và chúng tôi không lưu giữ bất cứ thứ gì mà chúng tôi không thể xóa theo yêu cầu. Chi phí của sự bảo thủ đó là khoảng 0,42 USD mỗi bút cho kỹ thuật và hạ tầng bổ sung, nhưng chi phí của một hành động thực thi của FTC là bội số rất nhiều lần con số đó. Đối với các chương trình hướng đến Mỹ, phép tính rất rõ ràng: xây dựng COPPA vào firmware ngay từ ngày đầu tiên, không phải như một sửa đổi bổ sung sau này.
FAQ: Kiểm soát của Phụ huynh trên Bút Đọc và COPPA
Đọc liên quan
- Bút Đọc và GDPR, Bảo vệ Dữ liệu EU
- Mã hóa Dữ liệu Bút Đọc: AES-128 so với AES-256
- Quyền riêng tư và Tuân thủ COPPA của Bút đọc
- Tuân thủ GDPR cho Ứng dụng và Đám mây của Bút đọc
- Kiến trúc IoT Cloud của Bút đọc
- Dịch vụ Private Label OEM cho Bút đọc
- Yêu cầu báo giá Bút đọc Tuân thủ COPPA
Nếu chương trình của bạn cần bảng điều khiển COPPA Mode, luồng VPC cấp huyện hoặc phụ lục xử lý dữ liệu cho một học khu tại Mỹ, trả lời bất kỳ email nào từ đội ngũ của chúng tôi với từ COPPA và chúng tôi sẽ gửi một tài liệu tóm tắt kiến trúc COPPA một trang phù hợp với quy mô đội xe của bạn.