外部信息系统准入管理办法
第一章 总则
第一条 制定目的
为规范校园外部信息系统引进、建设、推广、管理、监督全流程工作，筑牢校园网络安全、信息安全和个人隐私安全防线，杜绝违规入校、强制安装、过度采集信息、隐私泄露等问题，营造安全、规范、有序的校园数字化育人环境，结合js9900金沙办学实际，特制定本办法。
第二条 适用范围
本办法适用于所有入校使用、校内自主建设、第三方合作开发、面向全校师生尤其是学生群体推广使用的外部信息系统（含APP、小程序、公众号、H5应用等），涵盖教学、管理、服务、活动、考勤、测评、生活服务等所有类型应用。全校各二级学院、职能部门、合作第三方单位及全体师生均需严格遵守本办法规定。
第三条 核心原则
坚持“凡进必审、先审后备、合规使用、全程监管、权责明晰、安全可控”的原则，严格把控信息系统准入关口，规范全生命周期管理，坚守非必要不引进、非合规不使用底线，切实保障师生合法权益和校园网络信息安全。审批与备案为两个独立环节，审批由宣传统战部负责，备案由信息技术中心负责，审批通过不代表备案必然通过。
第二章 全链条岗位职责划分
为压实管理责任，明确信息系统引进、建设、推广、管理、监督全环节职责，构建“分工负责、协同联动、全程管控”的管理体系，具体岗位职责如下：
第四条 宣传统战部（审批主体）职责
作为信息系统入校审批主管部门，全面负责所有外部信息系统的准入审核工作。主要职责包括：对校内外拟入校信息系统的合规性、内容导向、使用必要性、服务公益性、风险可控性进行全面审查；负责内容导向、意识形态安全和使用必要性审查；审批通过后出具官方准入审批意见；统筹把控信息系统意识形态、内容安全，杜绝违规、不良、有害信息系统进入校园。
第五条 信息技术中心（备案与技术管理主体）职责
作为信息系统登记备案、技术管控、日常运维管理部门，主要职责包括：负责所有经宣传统战部审批通过的信息系统统一登记备案，建立信息系统台账档案；审核第三方入校信息系统的技术安全、数据传输、存储防护能力；负责信息系统日常技术监管；对js9900金沙自主建设系统负责运行维护和系统升级，对第三方系统负责技术监管和安全核验，第三方系统的日常运维由第三方自行负责；牵头处置信息系统运行中的网络安全、数据安全问题。
第六条 各申请使用/建设部门（主体责任单位）职责
各二级学院、职能部门作为本单位牵头引进、建设、推广信息系统的第一责任主体，主要职责包括：根据教育教学、校园管理实际需求，依规提出信息系统引进或建设申请；如实提交信息系统资质材料、功能说明、数据采集清单、安全保障方案；负责本单位获批信息系统的合规推广、规范使用，杜绝强制师生安装使用；常态化自查信息系统使用过程中的违规行为、数据安全隐患；配合js9900金沙宣传统战部、信息技术中心开展审核、检查、整改工作；在信息系统停用或合作终止后，负责督促第三方彻底销毁数据。
第七条 纪检监察与学生工作部（监督督查主体）职责
纪检监察部门负责对信息系统全流程中责任部门及责任人的履职情况进行监督执纪问责，主要职责包括：监督各部门信息系统审批、备案、推广、使用环节履职情况；对违规责任部门及责任人开展督查问责。
学生工作部配合纪检监察部门负责受理学生投诉、配合调查、维护学生权益，主要职责包括：受理师生关于信息系统违规使用、隐私泄露、强制安装等问题的投诉举报；配合宣传统战部、信息技术中心开展核查处置；及时向学生反馈处理结果。
第八条 第三方合作机构职责
校外信息系统开发、运营合作机构，需严格遵守js9900金沙信息系统相关管理规定，配合js9900金沙完成审批备案、安全检测、合规核查工作；严格按照审批范围采集、使用数据，严禁超范围采集学生信息、违规授权、数据外泄；接受js9900金沙常态化监督检查，及时整改各类合规及安全问题；签署《网络与信息安全责任书》。在服务终止后彻底清理相关数据，并向信息技术中心提交数据清除证明材料，必要时接受js9900金沙委托的第三方专业机构审计，审计费用由第三方合作机构承担；未履行义务的，js9900金沙有权终止合作、纳入合作黑名单，并依法追究违约责任及法律责任。
第三章 准入审批与登记备案管理
第九条 审批备案硬性要求
所有拟进入校园、面向师生提供服务、要求师生参与使用的信息系统，包括校外第三方引进系统和校内自主建设系统，必须先经js9900金沙宣传统战部审批同意，再到信息技术中心完成登记备案，审批备案齐全后方可入校推广、投入使用。未完成审批备案流程的信息系统，一律视为违规入校信息系统，禁止在校园内推广、运行和使用。
第十条 审批流程
1. 申请提交：责任部门填写《信息系统入校审批备案申请表》，同步提交信息系统资质证书、功能介绍、服务场景、数据采集范围、隐私保护方案、安全检测报告、运营主体资质等全套材料，报送宣传统战部。
2. 合规审核：宣传统战部对信息系统的使用必要性、内容导向、合规性、公益性、风险隐患进行全面审核，一般应于5个工作日内出具审批通过或不予通过意见，情况复杂的可延长至10个工作日，不予通过的需书面说明理由。
3. 公示告知：审批通过的信息系统，在校内公示3个工作日，接受师生监督，公示无异议或异议不成立的，进入备案环节。
第十一条 备案流程
1. 材料报送：申请部门持宣传统战部审批通过文件及全套申报材料，报送信息技术中心申请登记备案。
2. 技术核验：信息技术中心对信息系统技术安全性、数据防护能力、系统稳定性进行核验，必要时可进行渗透测试或代码审计。技术核验不通过的，信息技术中心应书面说明理由，退回申请部门整改；整改后仍不通过的，不予备案，并报宣传统战部撤销审批意见。核查无误后完成登记备案，录入信息系统管理台账，标注备案编号、使用范围、有效期等信息。
3. 台账管理：信息技术中心建立动态管理台账，实时更新信息系统上线、变更、停用、注销信息，实现全程可追溯管理。
第十二条 禁止性规定
未经宣传统战部审批、未在信息技术中心登记备案的信息系统，任何部门、个人不得强制要求学生安装、注册、登录、使用，不得将信息系统安装使用情况与学生考勤、成绩、评优、评奖、综测等学业、考评事项挂钩，不得将其作为享受校园基本服务（如就餐、洗浴、门禁）的前置条件。
第四章 安装使用与授权管理规范
第十三条 安装推广规范
信息系统推广使用坚持自愿原则，严禁一切变相强制安装使用行为。严禁采用默认勾选安装、捆绑安装、静默安装、诱导跳转安装等方式，强迫学生下载、安装、注册信息系统；严禁以班级、学院、社团为单位，统一要求学生安装注册，不得将信息系统使用情况作为硬性任务下达给学生；严禁任何单位、个人以任何形式强制或变相强制学生安装使用信息系统；确需全员使用的刚性系统（如教务、一卡通），应由js9900金沙官方统一部署，不得通过第三方施压。
第十四条 用户授权规范
信息系统申请用户权限、获取学生授权时，必须遵循“最小必要、公开透明、明示授权”原则，清晰告知学生授权用途、使用范围、留存期限，并提供便捷的撤回授权途径。严禁采用默认勾选同意、捆绑授权、隐瞒权限用途等方式，强迫学生开放隐私权限、设备权限；不得以非必要授权为条件限制学生使用核心服务。必要授权是提供服务的前提，非必要授权不得强制。学生撤回非必要授权后，不影响其享受基本校园服务，但可能影响依赖该授权的特定功能。
第五章 信息采集与数据安全管理
第十五条 信息采集管控
信息系统仅可采集与教学服务、校园管理、公共服务直接相关、必要刚需的学生信息，严格禁止超范围、超权限采集学生个人信息。严禁采集学生家庭私密信息、生物识别信息（无合规审批前提下）、消费隐私、社交信息、位置轨迹等与业务服务无关的个人信息；采集学生信息必须明确告知采集目的、使用场景、存储期限，杜绝无理由、过度采集信息。敏感个人信息的类型和范围，参照《中华人民共和国个人信息保护法》等法律法规执行。
第十六条 数据存储与防护
信息系统学生数据由js9900金沙及合规运营主体统一安全存储，落实数据加密、访问权限管控、备份恢复等安全防护措施，定期开展数据安全检测。第三方系统数据应存储在js9900金沙指定或认可的境内服务器，数据所有权归js9900金沙和学生，第三方仅可在授权范围内处理。未经js9900金沙审批，数据不得出境。信息技术中心负责常态化核查信息系统数据采集、存储、使用情况，及时整改过度采集、违规存储等问题。
第十七条 隐私数据保密规定
严格落实个人隐私数据保密制度，严禁任何单位、个人以任何形式向第三方机构、无关人员泄露、倒卖、传输学生隐私数据。未经js9900金沙正式审批同意，不得将个人数据用于审批范围外的其他用途，不得对外共享、对接第三方平台。第三方合作机构不得私自导出、留存、使用个人数据，服务终止后需彻底清理相关数据并报备js9900金沙核查,并提供数据清除证明材料。
第六章 监督检查与责任追究
第十八条 常态化监督机制
js9900金沙建立信息系统常态化督查、定期排查、随机抽查机制。宣传统战部、信息技术中心、学生工作部、教务处、保卫处等相关管理部门联合开展学期专项检查、年度全面核查，重点核查信息系统审批备案情况、安装使用合规性、授权规范、信息采集、数据安全、隐私保护等内容，及时发现并整改各类违规问题。畅通师生投诉举报渠道，对师生反映的信息系统强制安装、隐私泄露、违规采集信息等问题，应于5个工作日内受理，15个工作日内核查处置并反馈结果；情况复杂的，可延长至30个工作日，但应告知投诉人延期理由。
第十九条 违规行为界定
凡存在以下行为的，一律认定为违规行为，纳入追责范围：
1. 未经宣传统战部审批、未在信息技术中心备案，私自引进、建设、推广信息系统的；
2. 强制或变相强制学生安装、注册、使用未审批备案信息系统的；
3. 采用默认勾选、捆绑安装、强制授权等违规方式推广信息系统的；
4. 超业务范围采集学生个人隐私信息、过度获取用户权限的；
5. 违规向第三方泄露、共享、倒卖个人隐私数据的；
6. 信息系统运行存在安全漏洞、隐患，未及时整改引发信息安全问题的；
7. 篡改信息系统审批备案信息、违规拓展使用功能和数据采集范围的；
8. 未按规定履行数据安全保护义务，造成数据泄露或滥用的。
第二十条 责任追究
对存在上述违规行为的部门，责令立即整改、停用违规信息系统，全校通报批评；对直接责任人及分管负责人，依规进行约谈问责、绩效考核扣分；造成学生隐私泄露、网络安全事故、不良校园影响的，依规追究纪律责任；涉嫌违法的，移交司法机关处理。第三方合作机构违规的，立即终止合作，纳入js9900金沙合作黑名单，依法追究其违约责任及法律责任，并保留追偿经济损失的权力。
第七章 附则
第二十一条 办法落地
本办法发布后，全校各部门需对现有在用信息系统开展全面自查整改，未完成审批备案的，自本办法发布之日起30日内限期补办手续，补办手续需按照新系统准入标准进行实质审查，不符合安全、合规要求的，一律停用；逾期未整改的一律停用。
第二十二条 解释与施行
本办法由js9900金沙宣传统战部、信息技术中心共同负责解释。
本办法自发布之日起正式施行。原有相关外部信息系统准入管理规定与本办法不一致的，以本办法为准。
湖南化工职业技术大学信息技术中心
2026.9.30