合规

谁负责什么

中心决定收集什么、为什么收集。我们是它的服务提供方，只按中心的指示处理记录。软件能提供帮助，但中心仍需对自己的告知、同意和政策负责。本页不构成法律意见。

FERPA

FERPA 适用于接受美国教育部资金的学校。私人辅导中心通常不在其内，但为学校或学区服务的中心可能适用。适用时，我们在中心的直接管控下工作，只为提供服务使用记录，中心可以导出记录，也可以要求我们删除。

FERPA 并不涵盖所有私立中心。是否适用于贵中心，取决于它与学校或学区的合同。我们不说软件能让中心“符合 FERPA”，因为并没有这种认证。

COPPA

对于 13 岁以下的孩子，中心会先取得家长同意，我们只为中心处理孩子的信息。没有广告，绝不出售儿童信息，也不建立用户画像。系统没有出生日期或证件号码字段。家长可向中心申请查看、更正或删除。

加州（CCPA 和 CPRA）

我们是服务提供方：不出售个人信息，不为跨情境行为广告而共享，只用于提供服务。相关权利见隐私政策。

各州学生隐私法

一些州有专门针对学生数据的法律，主要约束学校及其聘请的公司。概括来说：

• 加州 SOPIPA：禁止用于 K-12 学校用途的服务投放定向广告、建立画像和出售学生信息，并要求合理的安全措施。这三件事我们都不做。
• 纽约州教育法 2-d：适用于纽约州的学校、学区及其聘请的供应商。学区可要求供应商签署书面的数据保护条款并快速报告泄露。学区提出时，我们可以书面商谈此类条款。
• 其他州：伊利诺伊、科罗拉多等许多州有类似法律。是否适用于私立中心，取决于它与学校的合同。
• 按此方向设计，并非认证：我们不声称符合其中任何一部法律。请向律师咨询哪些适用于贵中心。

邮件与短信（CAN-SPAM 与 TCPA）

CAN-SPAM 规范商业邮件，TCPA 规范短信和电话。中心是它要求软件发送的消息的发送方，因此需要由中心取得同意。软件按支持这一点来设计。

无障碍（ADA 与 WCAG 2.1 AA）

我们希望残障人士也能使用本网站和各个应用。我们朝 WCAG 2.1 AA 级努力，美国法院和机构常以它作为 ADA 的参照标准。我们尚未做过独立的无障碍审核，所以不声称已经符合。

• 本网站：有跳到正文的链接、图片的替代文字、每页都标明语言，版面在手机上可用。
• 办公室、家长和导师应用尚未按 WCAG 检查。
• 发现障碍？请使用联系表单，写明页面和问题。我们力争在一个工作日内答复，并着手修复。

付款、税和导师报酬

软件目前在资金和税方面做什么，哪些留给中心及其会计。

目前已有的安全措施

• 由服务器而不只是界面决定每个人能看什么。没有账务权限的员工看不到金额。
• 员工、导师、家长和学生可使用验证器应用及恢复码，也可使用邮件验证码登录。
• 以加盐的 scrypt 哈希保存。多次失败会被限速，会话 12 小时后结束。
• 每次改动都记录是谁、什么时候做的。日志只增不改，记录无法编辑或删除。
• 所有流量使用 HTTPS。保存的凭据用 AES-256-GCM 加密，密钥在数据库之外。异地备份用中心自己保管的口令加密。
• 每晚一份副本，保留 14 份。上次恢复测试在 2026 年 10 月 5 日。
• 只有获授权的办公室员工才能连接或断开外部服务，保存的凭据只显示为掩码。

我们不作的声明

MeetMyTutor 目前没有 SOC 2 报告、ISO 27001 认证、HITRUST、HIPAA 证明或任何其他第三方认证，我们也不声称“通过 FERPA 认证”或“通过 COPPA 认证”，因为不存在这类认证。除非与中心书面约定，我们不提供已签署的数据处理协议或安全问卷答复。

本页描述的是软件目前的运作方式。它不是保证，也不能替代中心自己的法律意见。

事件与联系

如果我们得知中心的记录被未经许可地访问，会不无故拖延地通知中心，以便其履行对家庭的义务。

问题、安全报告以及关于我们数据做法的请求：联系表单。更多详情见信任与数据。

美国每个州都有自己的数据泄露通知法。通常要求数据所有者（这里是中心）通知受影响的家庭，有时还要通知州政府部门。因为我们是替中心保管记录，所以会尽早以书面方式把我们所知告诉中心，方便它赶上自己的期限。这不构成法律意见。