儿童保护牵头负责
一项统一的排序原则：当两项政策都可能适用于某一问题时，以更好地保护儿童的解决方案为准。
明确的问责制
框架中的每项决定都有明确的负责人及明确的决策权：DSL、DPO、技术负责人、首席执行官、独立审查员、董事会。
独立升级处理
当某项问题涉及首席执行官或上报路径中的任何人员时，由外部独立审查员处理该案件，而非由 Class2Class 雇用的任何人员处理。
透明并经过审查
该框架每年审查一次。案件情况将纳入年度透明度报告。法规依据在每个周期都会进行核查。
谁决定什么，他们又对谁负责。
六个明确角色，各自拥有明确的决策权和问责机制，不存在模糊之处。
| 角色 | 人员 | 决策权 | 负责事项 |
|---|---|---|---|
| 首席执行官 | Jørgen Balle Olesen jorgen@class2class.org |
批准所有政策的最终决定权；批准战略决策的最终决定权；仅由首席执行官签署高严重性案件的处理结果 | Class2Class 的整体诚信；向董事会汇报；本框架 |
| 数据保护官 | Giancarlo Mena dpo@class2class.org |
负责数据保护制度；负责本框架；负责反腐败政策；共同调查涉及个人数据的儿童保护案件 | GDPR 第 39 条规定的职责；合规记分卡；跨领域报告 |
| 指定儿童保护负责人 | Anton Skriver anton@class2class.org |
负责儿童保护政策；负责儿童保护案件的分派；共同负责年度儿童安全风险评估 | 《联合国儿童权利公约》第 19 条规定的职责；儿童保护案件的处理结果 |
| 技术负责人 | Leonard Abrahamian | 落实平台层面的保护措施；保全证据；共同调查人工智能功能相关案件 | 平台层面的儿童保护控制措施；人工智能系统清单的准确性 |
| 独立审查人 | 对外参与 class2class.org@gmail.com |
对涉及首席执行官或无法在内部处理而又不存在利益冲突的案件作出最终决定 | 欧盟举报人保护指令下升级处理路径的独立性 |
| 董事会 (或指定的独立监督联系人) |
待任命 | 监督首席执行官；接收年度透明度报告；在适当情况下处理首席执行官的罢免事宜 | 治理诚信；监督高管层面的利益冲突 |
问题的去向
| 如果问题涉及…… | 首次联系 | 如果存在利益冲突或无法联系 |
|---|---|---|
| 儿童保护事项 | DSL（儿童保护负责人）：Anton Skriver | 首席执行官 |
| 数据保护事项 | DPO（数据保护官）：Giancarlo Mena | 首席执行官 |
| 反腐败事项 | DPO（数据保护官）：Giancarlo Mena | 首席执行官 |
| 违反行为准则 | 直属经理 + DPO（数据保护官） | 首席执行官 |
| 上述转报路径中的任何人 | 首席执行官 | 独立审查人 |
| 首席执行官（CEO） | 独立审查人 | Datatilsynet（丹麦数据保护局）/ 主管机关直接举报 |
每个渠道均允许通过专用渠道进行匿名举报 匿名举报表.
三项政策背后的支撑。
三项核心政策建立在一系列运营程序、登记册和外部审查之上。以下是各项支持内容的对应关系图。
面向公众
- 伦理准则（A1）整个 Class2Class 社区的价值观和行为期望
- 儿童友好型隐私摘要（A7）面向 13 至 18 岁学生的权利与保护通俗版说明
运营程序
- 举报处理与吹哨人程序（B2）每份举报所经过的渠道：接收、转办、调查、结果和记录
- 年度儿童安全风险评估（B7）《儿童保护政策》所界定的年度运营风险评估
- 家长数据主体访问请求（DSAR）程序（B8）供家长主张其子女数据权利的运营程序
- AI事件报告程序(B6)当儿童保护或反腐败案件涉及人工智能时并行运行
独立及外部
- 独立审查员职权范围（C1）外部审查员处理涉及首席执行官利益冲突案件所依据的条款
- 外部审查范围文件（C2）对治理体系进行的一次性独立审查
- 年度透明度报告（C3）关于儿童保护、反腐败及行为准则案件的年度公开报告（汇总且匿名）
- 儿童保护承诺声明（C4）每位代表每年续签的签署声明
数据保护基础
- 处理活动记录（ROPA）（D1）处理活动记录：记录每一项数据流
- 数据保护影响评估（DPIA）（D2）数据保护影响评估：识别并缓解高风险处理活动
- GDPR 第 9 条 / 第 5(1)(f) 条合规（D3）已声明的特殊类别数据及安全承诺
- 数据泄露应对程序（D4）当案件同时构成个人数据泄露时并行运行
运营工件
- 举报工作簿（E1）DSL 和 DPO 使用的案件跟踪工具
- 匿名举报表单（E2）在线提供，无需登录，不收集电子邮件
- 合规计分卡（E3）按季度对 8 个领域合规状况的快照
相互关系
- 一个问题，并行程序涉及人工智能和个人数据的儿童保护案件可并行运行 B2、B6、B9 和 D4，并以最高严重级别决定处理时间线。
- 一个结果，两种表述每一件已结案的案件都会计入《合规记分卡》，并（汇总后）计入《年度透明度报告》
我们自我要求所遵循的标准。
Class2Class 将其儿童保护与治理框架建立在一套明确界定的法律和基于权利的承诺之上。该清单并非详尽无遗，而是我们自我要求所遵循的标准。
《联合国儿童权利公约》(UNCRC)
最大利益原则；表达意见的权利；隐私权；免受暴力、虐待和剥削的保护。
《通用数据保护条例》（GDPR）与《丹麦数据保护法》
合法性基础、公平性、数据最小化、违规通报、数据保护影响评估（DPIA）、家长监护权核实（第8条）。
欧盟《数字服务法》第28条
网络平台上的未成年人保护。
欧盟《人工智能法》第4、5、6、50、73条
人工智能素养；禁止性行为；风险分类；透明度；严重事件报告。
欧盟《吹哨人指令》（2019/1937）
有效的举报渠道；保护举报人免受报复。
欧盟《无障碍法案》， 微型企业背景
自愿性最佳实践方法；增长触发观察清单。
《联合国反腐败公约》（UNCAC）
预防性政策；行为准则；私营部门标准；吹哨人保护。
《丹麦刑法典》
针对侵害儿童犯罪（第24、25章）、贿赂（第144条、第299条）以及诈骗/侵占（第278至286条）的刑法底线。
美国《儿童在线隐私保护法》（COPPA）
针对与 Class2Class 合作的学校中13岁以下学生的学校授权框架。
欧盟《儿童更好互联网》(BIK+)
针对有未成年用户的平台的设计与运营期望。
一个真实案件如何在系统中流转。
以下是一个简短的实例。这正是该框架的用意：儿童优先，在相关情况下并行开展程序，保存证据，并在每个步骤由指定负责人承担责任。
合作学校的教师使用平台内的举报按钮。该 举报处理程序（B2） 将案件转交给数据保护负责人（DSL）安东。
安东将其归类为 高 依据《儿童保护政策》（B9）第10.2条。识别儿童身份的图像被发布到超出其学校授权范围之外，《年度儿童安全风险评估》（B7）将此视为同意与儿童数据风险。
技术负责人（莱昂纳德）在1小时内从项目空间中删除这些图像，并撤销用于提供这些图像的签名链接。数据保护负责人（DSL）联系双方学校，以便合作学校告知相关家庭。
由于该活动的项目封面是根据上传的材料生成的， AI事件报告程序(B6) 并行开展，以确定这些图像是否已传送至模型提供方。由于可识别身份的儿童照片属于个人数据， 数据泄露应对程序（D4） 与儿童保护案件同步启动。
数据保护负责人（DSL）主导儿童保护方面的工作，数据保护官（DPO）负责数据方面的工作。存储访问日志用于确定哪些人能够接触这些图像以及持续时间。证据依据B9第10.3条予以保存。
图像被删除，上传的教师在恢复上传权限前须重新完成图像同意指引，并将该案件记入儿童保护案件登记册（B9第11条），同时交叉引用B6、D4以及举报工作手册（E1）。
该案件以汇总形式反映在 年度透明度报告（C3）中。数据保护官（DPO）评估是否需要通报：如违规行为属于应通报情形，依据GDPR第33条于72小时内向丹麦数据保护局（Datatilsynet）通报，并将合作学校作为控制者告知，以便其履行对家庭的义务。
该案件将纳入下一次《年度儿童安全风险评估》（B7）。如整改措施涉及产品变更，例如在包含人脸的上传前提供更清晰的同意提示，则将通过标准开发流程执行，并由数据保护官和数据保护负责人（DSL）签署确认儿童保护影响。
常见治理问题。
以下是合作伙伴、学校及合作者在审阅 Class2Class 运作方式时经常提出的核心问题。
为什么儿童保护是本框架的首要事项？
因为我们的用户是教师，我们通过他们的课堂接触儿童，包括在获得经核实的家长同意后参与的13岁以下儿童。我们在教育环境中开展工作，并通过教师接触青少年，因此儿童保护是我们的出发点。其他所有承诺（反腐败、行为准则、数据保护、人工智能素养、无障碍）都是对儿童保护的强化或支持，而非与之相竞争。
实际上，这意味着：当两项政策都可能适用于同一问题时，以更好保护儿童的解决方案为准。当某项处罚决定需要在机构成本与儿童安全之间权衡时，以儿童安全为准。框架第2节载有完整的优先次序原则。
这些政策适用于哪些人？
三项核心政策针对不同的受众：
儿童保护政策 ， 适用于代表 Class2Class 行事的每一位人员（员工、董事会成员、志愿者、顾问、合作教师、非政府组织合作伙伴），并保护与我们项目相关的每一名儿童。
反腐败政策 ， 适用于上述同一类代表，并在合同关系涉及时适用于供应商和捐赠者。
行为准则 ， 每位 Class2Class 代表均须通过签署的个人声明（每年更新）受其约束，并全天候适用，包括工作期间、平台上、公共场合，以及在个人场合中其行为可能被合理地与 Class2Class 联系在一起时。
可以如何举报问题或事件？
根据问题的性质，共有五种渠道：
儿童保护 ， 数据保护负责人（DSL）安东·斯基弗，邮箱 anton@class2class.org
数据保护 ， 数据保护官（DPO）詹卡洛·梅纳，邮箱 dpo@class2class.org
反腐败或一般性问题 — support@class2class.org
对报告路径中某团队成员的担忧 ， 首席执行官（CEO）约尔根·巴勒·奥勒森，邮箱 jorgen@class2class.org
对首席执行官的投诉 ， 独立审查员,地址: class2class.org@gmail.com
每个渠道均允许通过专用渠道进行匿名举报 匿名举报表。出于善意作出的举报受到免受报复的保护。
三项政策涵盖哪些主题？
儿童保护 涵盖伤害类型（性虐待、身体和心理暴力、情感伤害、忽视、剥削）、预防与筛查（包括如 børneattest等无犯罪记录核查）、《与儿童相处行为准则》、伤害迹象、应对程序、数字化儿童保护以及跨境考量。
反腐败 涵盖贿赂、欺诈、利益冲突、礼品与款待、公平招聘与采购、捐赠者尽职调查，以及对疑似腐败的举报，与《丹麦刑法典》、《联合国反腐败公约》及《经合组织反贿赂公约》保持一致。
行为准则 涵盖约束每位代表的行为准则，包括诚信、反歧视、反骚扰、利益冲突、禁止贿赂与欺诈、物质使用、组织资源、保密、公开代表身份及社交媒体。该准则全天候适用，并须每年签署。
什么是独立审查员，为什么设立这一角色？
独立审查员是由外部聘请的人员，负责处理涉及首席执行官的投诉，或无法在内部处理而可能产生利益冲突的投诉。审查员不是 Class2Class 的员工，也不向 Class2Class 管理层汇报，并对转交给其处理的案件拥有最终决定权。
设立该角色是为了满足欧盟《举报人保护指令》关于独立性的要求。举报渠道地址为 class2class.org@gmail.com；审查员的条款记载于《独立审查员职权范围》中。
该框架多久审查一次？
该框架由数据保护官（DPO）每年审查一次，并征求数据安全负责人（DSL）、技术负责人和首席执行官的意见。审查内容包括：确认已任命的指定角色已到位，联系渠道处于有效状态；监管依据是否仍为现行版本；每项核心政策及配套程序是否已按其各自周期完成审查；运营文件是否准确；以及《年度透明度报告》是否如实反映当年的状况。
下一次预定审查将于此日期或之前进行： 2027年4月30日。审查报告将用于《合规记分卡》和《年度透明度报告》。
如果我是正在对 Class2Class 进行尽职调查的合作学校，该怎么办？
您来对地方了。上文链接的三项核心政策（儿童保护、反腐败、行为准则）以及配套基础设施部分，基本涵盖了您所需的大部分内容。如需了解合同安排，请联系数据保护官，邮箱为 dpo@class2class.org ，索取现行的数据处理协议模板。该协议全面涵盖《通用数据保护条例》第28条第3款的要求，包括分包处理方、传输机制、违规通知服务水平协议以及针对人工智能的专门技术与组织措施。
如您需要其他文件，例如《年度儿童安全风险评估》、《处理活动记录》（ROPA）、《数据保护影响评估》（DPIA）、分包处理方清单，请写信给数据保护官，我们将为您提供。
- 儿童保护Anton Skriver，anton@class2class.org
- 数据保护Giancarlo Mena（数据保护官）, dpo@class2class.org
- 反腐败或一般事项support@class2class.org
- 对首席执行官的投诉独立审查员 , class2class.org@gmail.com
- 提出投诉Datatilsynet , dt@datatilsynet.dk
想深入了解某项具体政策？
上方三项核心政策均链接至其完整的机构文件。如需运营程序及审计证据文件（B7 风险评估、B8 家长数据主体访问请求、处理活动记录（ROPA）、数据保护影响评估（DPIA）、数据处理协议模板），请写信至 dpo@class2class.org.
发送邮件给数据保护官