结论速览
- 能不出校，前提是选本地化部署。人脸特征值、抓拍照片、通行记录全部存放在学校或教育局指定机房，不上传厂商服务器。
- 中小学多数用的是云端托管。原因是大多数中小学没有专用机房和服务器运维能力，这种情况下数据会存放在厂商云环境，需要用授权、日志、撤回机制来控制。
- 视频流和结构化数据要分开看。即使在云端方案里，原始视频通常不离开校内监控网，上传的是抓拍结果和比对记录，两者风险级别不同。
- 有一处是硬红线：学生宿舍房间内部不得安装图像采集设备。这是《公共安全视频图像信息系统管理条例》第八条的明确禁止项，与部署方式无关。
三种部署形态，数据存放位置完全不同
| 形态 | 数据存放在哪 | 谁负责运维 | 典型适用 |
|---|---|---|---|
| 云端托管（SaaS） | 厂商云服务器，按年支付存储与流量费用 | 厂商 | 没有专用机房的中小学、幼儿园；部署周期短 |
| 本地化部署 | 学校机房，或教育局统一机房 | 学校／教育局信息中心（厂商提供技术支持） | 有独立机房的高校；整区县统筹的教育局 |
| 软硬一体机 | 学校机房，设备上架即可用 | 学校（厂商远程支持） | 想本地化但缺少服务器选型能力的学校 |
为什么中小学普遍选云端
不是技术偏好，而是现实条件。大多数中小学没有专用服务器机房，也没有专职运维人员。本地化部署意味着学校要自己承担服务器供电、散热、硬盘更换、系统升级、数据备份这些工作，一旦出问题停的是本校的门禁和预警。
云端方案把这部分转移给厂商，学校只需按年支付存储与流量费用（通常在数千元到两万余元区间，与开通的业务类型和学生人数有关），部署周期也短。
什么情况下必须本地化
- 高校：一般有独立机房、专线固定 IP、UPS、防火墙，具备本地化条件，且多数要求系统本地部署。
- 整区县统筹：教育局统一建设时，通常在教育局或政务云本地化部署，各校数据汇聚到区县平台。
- 主管部门明确要求数据不出校：这种情况按招标文件执行，没有讨论空间。
「数据不出校」具体指哪些数据
这句话在不同供应商口中的含义可能不一样，签合同前要把四类数据逐一问清。
| 数据类型 | 本地化部署 | 云端托管 |
|---|---|---|
| 原始视频流 | 校内监控网，NVR 存储 | 通常仍在校内 NVR，不因上云而外传 |
| 抓拍照片 | 校内服务器 | 云端对象存储 |
| 人脸特征值（模板） | 校内数据库 | 云端数据库 |
| 通行、考勤、归寝等业务记录 | 校内数据库 | 云端数据库 |
需要区分两个概念：「视频流不出校」和「人脸数据不出校」。云端方案里，视频分析通常在校内服务器或一体机上完成，上传的是结构化结果（谁、什么时间、出现在哪个点位），原始视频帧并不整体上传。但抓拍照片和特征值属于人脸信息，会进入云端。
选了云端之后，还能控制什么
如果受条件限制只能选云端，数据位置不由学校决定，但下面四个环节仍然可以控制，而且这四个环节正是合规检查最看重的部分。
告知与单独同意
采集前向监护人告知使用场景与用途，取得单独同意。人脸信息属于敏感个人信息，不能混在通用的隐私政策里一笔带过。
撤回渠道
家长可以撤回授权。撤回后停用该学生的人脸识别，通行改为校园卡或人工核验，其余功能不受影响。
分级授权与二次验证
轨迹追踪这类高隐私应用需二次密码登录；查询范围按角色限定，班主任只能看本班。
调用日志
谁在什么时间查了谁、出于什么事由，全部留痕可追溯。这一项在合规检查中几乎是必查项。
这四项不是「云端方案的补偿措施」，而是无论哪种部署都必须具备的要求。《公共安全视频图像信息系统管理条例》第十六条要求管理单位采取授权管理、访问控制、信息调用登记等措施，防止视频图像信息被滥用或泄露。
一条常被忽略的红线：宿舍房间内部不能装
这条与部署方式无关，只与安装位置有关，但实际项目中经常被问起：「宿舍归寝能不能在房间里装个摄像头，直接看人在不在床上？」
答案是不能。
正确的宿舍归寝实现方式有两种，采集点都在房间外部：
- 无感抓拍：在宿舍楼或楼层出入口安装抓拍机，学生进出时自动抓拍识别，配合电子班牌补签处理漏抓。
- 刷脸门禁 + 人行闸机：在出入口设置通道设备，刷脸通行并记录。高校多用这种方式，中学因为集中进出容易拥堵，更常用无感抓拍。
两种方式的共同点是：只记录「谁进了哪栋楼、什么时间进出」，不涉及房间内部的画面。这既是合规要求，也是学生和家长最能接受的边界。
同理，公共厕所的防欺凌设备必须是纯音频的语音识别装置，不采集图像。这一点在产品形态上就应满足，不需要学校另行判断。
验证方法：让对方当场演示五件事
部署方式、数据位置这些说法，看材料不如看演示。下面五件事都能在实际系统里当场验证，建议在选型阶段要求演示。
-
数据库和存储的实际位置
登录后台，看服务器地址是内网 IP 还是公网域名。本地化部署应该看到内网地址；如果是云端，让对方说明数据落在哪个地域的哪个存储服务上。
-
撤回一个学生的授权
现场操作撤回，看人脸特征值是否真的被删除、该学生的通行记录是否转为卡片方式、其余功能是否正常。有些系统只是把记录标记为无效，数据仍然留着，这种情况要问清楚。
-
查一次轨迹，看日志记了什么
用某个账号查一名学生的轨迹，然后到日志里看这条记录：操作人、时间、被查询人、查询事由是否都有。缺「事由」字段的系统，在合规检查时会被追问。
-
换一个低权限账号登录
用班主任账号登录，确认只能看到本班学生；用安保账号登录，确认看不到心理筛查等敏感模块。分级授权是否真实生效，换账号一试就知道。
-
导出一次数据
问清楚管理员能否批量导出人脸照片或特征值，导出行为是否留痕。能一键导出全量人脸数据的系统，本身就是风险点。
五件事都能顺利演示，说明这套系统的数据管控是实做的，不是写在方案里的。如果某一项被以「需要申请」「演示环境不支持」为由跳过，建议记下来，在合同里写成验收条款。
常见问题
选择云端部署，人脸数据是不是就等于交给厂商了？
数据存放在厂商云环境，厂商作为受托方按委托处理协议承担安全义务，但数据的所有权和使用决定权仍属于学校。学校需要通过合同约定处理目的、期限、方式，以及合同终止后的数据删除义务。如果主管部门明确要求数据不出校，则应选择本地化部署。
本地化部署后，学校需要自己维护服务器吗？
日常运维由学校信息中心负责，主要工作是硬盘更换、系统升级、数据备份、供电与散热保障；厂商提供远程技术支持和版本升级。如果学校缺少运维能力，可以选择软硬一体机形态，设备上架即用，厂商远程支持，比自行采购服务器再装软件省事。
学校机房条件一般，能上本地化部署吗？
要看具体条件：是否有独立空间、稳定供电、UPS、空调散热、固定内网 IP。缺少 UPS 和散热条件时，服务器故障率会明显升高，这种情况建议先用云端，等机房条件具备后再迁移。
人脸数据存在云端，家长会不会有意见？
家长关心的通常是三件事：数据给谁用、能不能撤回、会不会外传。建议在告知同意书里直接写明数据存放位置、保存期限、撤回方式，比含糊表述「我们重视隐私」更能取得信任。已有学校把部署方式写进家长告知书，反而减少了沟通成本。
从云端迁移到本地，原来的数据能带走吗？
技术上可以导出迁移，但是否收费、迁移后云端数据如何处理，取决于合同约定。建议在签约时明确：迁移配合义务、迁移费用、迁移完成后云端数据的删除时限。
宿舍归寝不用房间内摄像头，怎么判断学生到底在不在？
通过出入口的进出门记录判断：学生进楼后未再外出，视为在寝；晚归、未归、久进未出都会触发预警并推送给宿管和班主任。配合电子班牌补签，可以处理漏抓情况。这种方式记录的是进出行为，不涉及房间内部画面。
心理筛查的数据和普通通行数据要不要分开存？
建议分开。心理健康筛查结果属于敏感个人信息，可见范围应比通行记录更窄，默认仅心理健康教师和学校指定的授权人员可查看个体结果，其他角色只看匿名统计趋势。存储上如果条件允许，独立库表、独立授权，便于分级管控。