客户资料 · 草案

隐私政策

本文为草案，不构成法律意见。它以平实语言描述 PWE Studio 目前的实际行为，便于与事实逐条核对。本文尚未经澳大利亚律师复核。若本文与已签署的服务协议不一致，以签署协议为准。其中两节——儿童相关同意与数据留存与删除——建议在正式商业依赖前由澳大利亚执业律师复核。

我方最近一次内部复核：2026 年 10 月 14 日 · 适用于 PWE Studio v10.22.4 及之后版本。

一 · 我们是谁

PWE GROUP PTY LTD（ABN 55 606 664 546，ACN 606 664 546），以 PWE Studio 名义经营，向创意类工作室——美术、音乐、舞蹈、辅导及类似教学机构——提供 PWE Studio 软件。

我们在澳大利亚经营，处理个人信息时参照《1988 年隐私法》（联邦）与澳大利亚隐私原则。该法是否以及如何适用于某一具体工作室，取决于该工作室自身情况，应由其自行的顾问判断。

所在地：Caulfield North, Melbourne, Victoria, Australia（澳大利亚维多利亚州墨尔本 Caulfield North）
隐私咨询与投诉：info@pwestudio.site
隐私事务联系人：Lee L

二 · 责任如何划分

这一点比听起来更重要，因为 PWE Studio 有两种交付形态，责任归属并不相同。

订阅（SaaS）

由工作室决定收集哪些学员与家庭信息及其目的，并与这些家庭保持直接关系。我们托管并处理这些信息，用于提供、保护与支持服务。我们不出售、不挖掘，也不用于我方自身营销。

独立版（买断自持）

工作室在自有基础设施上运行本软件。学员与家庭信息不会到达我方，我方也不持有任何副本。托管、备份、访问控制与事故响应由工作室自行负责，我方仅能提供建议。

除上述两种形态外，我方另会保存少量关于工作室作为我方客户的信息：联系人姓名、业务邮箱与电话、账务信息与支持往来记录。这属于我方自有记录，直接受本政策约束。

三 · 产品处理哪些信息

类别	典型内容	目的
咨询与报名	学员名与姓、手机号、可选邮箱、可选备注，以及工作室自行配置的补充问题	联系家庭并安排合适课程
教学记录	课程报名、排课归属、出勤、课时余额与调整、教师记录	开展课程并准确记录课时
学员作品	课堂作品照片、标题、日期与教师点评	向该学员本人的家庭呈现成长过程
访问	六位学员访问码、员工账号与角色、会话 Cookie、重要操作的审计记录	让正确的人看到正确的记录，并可还原事件过程

产品只向家庭索取必要信息，不索取身份证件、政府编号、健康信息或银行卡号，这些也不应填入任何字段。报名表单在采集处即展示收集说明，家庭所作的同意会与其当时所见说明的版本一并记录。

四 · 儿童信息与作品公开同意

创意类工作室的学员多为儿童，因此这是产品中设计最为保守的部分。

默认私有

学员作品照片在上传时即为私有。可见范围限于具备相应角色的工作室员工，以及持有该学员访问码的家庭，此外无人可见。原始文件从不公开提供；公开视图与家庭视图使用生成的派生文件，且每次请求都会校验所属工作室。

谁能看到某位学员的记录

家庭使用学员姓名、登记手机号与工作室发放的六位访问码解锁学员专区。该组合只显示这一名学员的课时余额、下次课、出勤与作品，不包含任何其他学员的信息。尝试次数受限，多次失败后临时锁定。周课表导出不含学员或监护人身份。另有一份日名单用于签到运营，可能包含学员姓名；仅拥有数据导出权限的员工可下载，下载前明确标记为私密文件，且从不包含监护人姓名。

公开展示需要单独且留痕的决定

将学员作品展示在工作室公开网站或宣传材料上，是一项独立决定，绝不因报名而被默认。报名表中设有单独的可选同意项；勾选时必须填写授权人姓名及其与学员的关系——成年学员本人、家长，或其他获授权的监护人。每次同意事件都会记录授权人、所声明的关系、方式与时间，便于工作室日后证明其被授权公开的范围。

撤回同意

同意可随时撤回，无需说明理由，联系工作室即可。撤回会作为独立事件记录在原同意旁，作品恢复为私有。有两点需要如实说明：工作室已经印制的材料，或第三方已在别处复制的内容，我方无法收回；撤回只取消公开展示，并不删除教学记录，后者适用第七节。

确认作出同意者是否确实对该儿童具有授权，是工作室的责任，而非我方。产品记录该项声明，但无法核实亲属关系。

五 · 信息保存位置

订阅客户的数据保存在澳大利亚境内，位于运行本服务的主机上：Oracle Cloud 墨尔本区域（ap-melbourne-1），PostgreSQL 与应用同机，媒体文件存放在主机自己的存储上。2026 年 9 月 17 日之前，数据保存在 Amazon Web Services 悉尼区域，当天完成迁移。数据库每晚备份，媒体每月备份。每份备份先在主机上加密，再离开主机，由 Cloudflare 存放在它的大洋洲区域；Cloudflare 不持有密钥。大洋洲的范围比澳大利亚大，所以我方不把这份加密副本说成保存在澳大利亚境内。传输使用 TLS 加密，HTTP 请求跳转至 HTTPS，应用不可从互联网直接访问。

除上述加密备份副本（可能位于大洋洲内、澳大利亚以外）外，我方不会为自身目的将工作室的个人信息传输至境外。工作室若打开「AI 起草」，即选择在每次起草时把记录中的一小部分发往境外处理，具体内容见第十一节。你发送给我方的支持往来邮件，可能经由你自己选用的邮件服务商传输。我们自己网站上的留言与助手对话处理方式不同，见第十节。

六 · 如何保护，以及仍缺什么

已具备

每个工作室的数据限定在其自身租户内，所有需认证的路由都携带该上下文。员工角色分离——主理人、管理者、教师、前台——并按最小权限授予。密码以 PBKDF2-HMAC-SHA256 存储，每条密码独立加盐，迭代 600,000 次。会话使用 HttpOnly Cookie 并设置同站策略。学员访问尝试受速率限制并会锁定。重要管理操作写入审计。原始媒体私有，访问需校验归属。删除工作室需要明确的生命周期状态与确认。

我方披露的缺口

特权账号尚未强制多因素认证，这是我方优先级最高的安全事项。上传的媒体每月而不是每晚复制到主机之外。没有运行监控与备份失败告警，也没有值班名单，因此故障依靠运维检查发现，而非自动告警。除已签署订单另有约定外，不存在合同化可用性承诺。

我们列出缺口，因为只列举控制措施的隐私政策其实是销售材料。澳大利亚网络安全中心将多因素认证、补丁更新与经演练的备份视为小企业的基础措施；我方将 MFA 与异地备份副本视为应偿还的工作，而非可选的锦上添花。

七 · 留存与删除

在工作室仍为客户期间，其记录会保留至其运营课程与核对课时所需的期限。保留与删除由工作室决定，并可随时在产品内更正或删除某条学员记录。

订阅结束后，我方会在限定期限内提供标准导出，随后按约定的删除计划删除或去标识化，除法律要求更长留存的情形。备份的失效时间长于线上删除，因为备份是某一时点的副本；具体期限应写入生产备份计划与签署协议，而不写在本页。

需律师复核。儿童教学记录的留存期限，以及删除请求与记录保存义务之间的关系，须在获得澳大利亚法律意见后确定，本节方可视为定稿。

八 · 查阅、更正与投诉

若你是学员或家庭成员，请先联系你的工作室——关系由其持有，且可直接处理相应记录。若工作室无法解决，或你的问题涉及我方作为软件供应商所持有的信息，请发送邮件至 info@pwestudio.site。我方会确认收到请求，以不产生新风险的方式核实你的身份，并在合理期限内答复。

本页不设具体答复时限。支持响应目标仅在已签署订单载明时存在，且属首次响应目标，而非解决时限承诺。依隐私法提出的请求，将在该法律要求的期限内答复；在本页另写一个数字并不会缩短它。

我方目前公布所在地而非街道地址，因此书面请求请通过电子邮件提出。若你确需以邮寄方式往来，请与我方联系，我方将为该请求提供通信地址。

若你对我方答复不满，可向澳大利亚信息专员办公室（OAIC）投诉。我方希望先有机会处理，但该途径始终属于你的权利。

九 · 发生问题时

在怀疑发生数据事故时，我方会：控制访问并保全证据；确认受影响的工作室、人员与数据类型；轮换已暴露的凭据并注销会话；评估可能造成的损害；不无故延迟地通知受影响工作室的联系人；商定由谁主导向家庭与监管机构的通知；仅基于已核验的证据进行恢复；并记录原因、决策与后续验证。

澳大利亚「可通报数据泄露」（NDB）制度要求受约束实体在泄露可能造成严重损害时，通知受影响个人及专员。哪一方受约束、由谁通知，须在事发时评估而非预先假定——通常是工作室与家庭之间存在直接关系。

数据泄露通知与安全报告请发送至 info@pwestudio.site，收件人 Lee L（隐私事务联系人）。若你认为学员信息已经外泄，请在邮件主题中说明，并不要在邮件正文中附上外泄的数据本身。

十 · 我们自己的网站：留言与 AI 助手

第二至九节讲的是工作室保存在产品里的信息。本节讲的是另一件事：当你访问 pwestudio.online 上的 PWE Studio 页面——产品介绍、定价、使用手册与这些文件——并在那里给我们留言时，会发生什么。本节不适用于工作室自己的官网、报名表单，也不适用于已登录用户的任何操作。

给我们留言时

保存什么：姓名、邮箱、工作室名称（如果你填了）、所选主题、你写的内容、所在的页面和时间。
防滥用：我们按 IP 地址限制发送频率。保存的是处理过、不能还原成原地址的形式。
用来做什么：只用于回复你、跟进这一次咨询。不用于群发营销，不出售，不提供给第三方。
谁会看到：留言会以邮件发到我们的工作邮箱（由 Google 提供），由 PWE 的人阅读。
保留多久：最后一次联系后 24 个月。

请不要在表单里填写学员或家庭的个人信息、密码、访问码或付款信息。表单用于联系我们，不用于传送记录。

使用 AI 助手时

这些页面可能提供一个助手 PWE Assist，回答关于 PWE Studio 的问题。它是 AI 模型，不是真人。

保存什么：你输入的问题、助手的回答、你所在的页面、时间。
防滥用：与留言相同——按 IP 地址限制频率，保存的是不能还原成原地址的形式。
谁在回答：回答由 Anthropic 公司的 AI 模型 Claude 生成，我们通过它的 API 调用。生成回答时，你的问题和这些页面上的相关文字会发给 Anthropic 处理，处理可能在澳大利亚境外进行。按 Anthropic 对 API 客户的说明，它默认不用这些内容训练模型，并在 30 天内从它的系统里删除（被它判定为违反使用政策的内容，以及法律要求它保留的除外）。对话的记录由我们保存，不由 Anthropic 保存，见下面「这些信息在哪里」。
回答的性质：助手只根据这些页面上公开的内容回答，可能出错。它不提供法律、财务或合规方面的意见，也不解释本政策或服务条款——它会指给你原文。
它看不到什么：它无法访问任何工作室的记录，查不了学员、余额或账号，也不应该把这些告诉它。
浏览器里：只存一个会话编号和「窗口是否开着」，用来在你换页面时接上对话；关掉标签页就没有了。不为它设置 Cookie。
谁会看到：我们的人会读助手没答上的提问，用来把这些页面没写清楚的地方补上。它们和对话保存在同一处，同样在 90 天后删除。
保留多久：对话在 90 天后删除。如果你从这段对话里留了言，它随那条留言一起保留。

这些信息在哪里

留言与对话由我们保存在 Cloudflare 的数据库服务里，与任何工作室的数据分开存放。我们请求把它们放在大洋洲区域；但 Cloudflare 是全球网络，处理可能发生在澳大利亚境外。Anthropic 只在生成回答时处理内容，不是这些记录的存放处；它短期保留的那一份在美国。这一切都不涉及工作室自己的记录——学员、课程、课时与作品始终保存在我们位于墨尔本的主机上（见第五节），不会发给助手，也不会发给 Anthropic。

你的选择

不留言、也不使用助手，就不会产生上面两类记录；你可以直接打电话或发邮件。想查看、更正或删除某条留言或某段对话，请写信到 info@pwestudio.site，告诉我们大致时间和你留的邮箱。第八节说明了我们如何处理这类请求。

十一 · 在后台用 AI 起草消息

工作室可以打开「AI 起草」。在店主打开之前它是关闭的，店主可以随时关闭。打开后，员工可以请 AI 起草成长报告的评语，或起草给家长的消息：课时快用完的提醒、连续缺课后的问候、付款提醒、补课邀请，以及约课申请的回复。

系统不会替工作室给家长发送任何消息。草稿只显示给请求它的员工。是否发送、发送什么，由员工修改后从自己的邮箱或手机发出。
起草时发送的内容：学员的名（不含姓）、对家长的称呼、与这条消息有关的数字和日期（如剩余课时、发票号与金额、到期日、上课时间）、工作室名称及其写好的语气说明和付款方式、员工在起草框里写下的要点；起草成长报告评语时，另含该周期的出勤数字和课堂笔记。电话、邮箱、住址、生日和照片从不发送，也不发送任何其他学员的信息。
谁在处理：草稿由 Anthropic 公司的 AI 模型 Claude 生成，我们通过它的 API 调用。处理可能发生在澳大利亚以外，包括美国。Anthropic 不用这些内容训练模型，最多保留 30 天后从其系统中删除（被它判定为违反使用政策的内容，以及法律要求它保留的除外）。
我们保存什么：每次起草保存一条记录：谁、在什么时候、为哪一类记录起草，以及处理的字数和估算费用。草稿本身和发送的内容都不保存。
工作室的责任：是否使用由工作室决定。打开即表示工作室已告知家长，其记录中的一小部分可能以这种方式在境外处理。不希望这样的家长，可以请工作室不要为其起草消息。
草稿可能出错。界面会列出每份草稿所依据的事实，并标出与工作室记录对不上的数字或日期。员工应在发送前读完每份草稿。

十二 · 本政策的变更

产品内的收集说明带有版本号，家庭的同意会与其所见版本一并记录。若本政策的变更会实质影响信息处理方式，我方将在变更生效前书面告知订阅中的工作室。