En cuanto a la ROM, si viene con una estable, (8.0.*. 0) actualizaría vía OTA y no me complicaría la vida. instalaría la app Cerberus, (para localizar y bloquear el móvil si lo pierde o se lo quitan) desinstalarla Youtube e instalaria Yotube kids y pondria contraseña para pagos en Google Play. Luego puedes ir bloqueando apps con contraseña según te interese (o ella se lo gane..).
La tablet de mis críos esta así. Ellos la usan pero yo controlo lo que instalan.
Saludos.