隐私政策

1. 简介

NoxVerify Ltd.（"NoxVerify"、"我们"或"我们的"）是一家在土耳其北塞浦路斯共和国（TRNC）注册的身份验证平台。我们为全球各类组织提供 Know Your Customer（KYC）、Know Your Business（KYB）和 Know Your Merchant（KYM）验证服务。

本隐私政策描述了在您使用我们的平台、访问我们的网站或与我们的服务互动时，我们如何收集、使用、共享和保护个人数据。本政策适用于 NoxVerify 平台的所有用户，包括租户管理员、分析师以及作为验证流程对象的个人（"申请人"）。

数据保护官： [email protected]

2. 我们收集的数据

根据您与我们服务的互动方式，我们会收集以下类别的个人数据：

身份数据

全名、出生日期、国籍、政府签发的身份证号码（护照号码、国民身份证号、税务识别号）、性别和出生地。

联系数据

电子邮件地址、电话号码、邮政地址和商业联系信息。

证件数据

身份证件（护照、国民身份证、驾驶执照、居留许可）的图像、商业注册文件、公司章程以及在验证过程中提交的其他证明文件。

生物识别数据

自拍照片、活体检测视频帧以及用于生物识别比对的衍生面部特征向量。有关生物识别数据处理的详细信息，请参阅第9节。

筛查数据

反洗钱（AML）筛查、制裁名单核查、政治公众人物（PEP）数据库搜索以及负面媒体筛查的结果。

设备数据

在验证会话期间收集的 IP 地址、浏览器用户代理字符串、操作系统、设备类型、屏幕分辨率和设备指纹数据。

使用数据

在平台上执行的操作（页面浏览、按钮点击、API 调用）、时间戳、会话时长和功能使用模式。

3. 处理的法律依据

我们根据适用的数据保护法律，基于以下法律依据处理个人数据：

4. 我们如何使用数据

我们将收集的个人数据用于以下目的：

• 身份验证：处理身份证件和生物识别数据以验证申请人的身份。
• 文件真实性：通过 OCR 提取和文件分析评估提交身份证件的真伪和完整性。
• 生物识别比对：执行活体检测和面部比对，确认出示证件的人与证件上显示的人为同一人。
• 制裁和 PEP 筛查：对照全球制裁名单、PEP 数据库和负面媒体来源核查申请人。
• 欺诈检测：分析设备数据、行为模式和文件特征，以检测并防止欺诈性验证尝试。
• 合规报告：为租户和监管机构生成审计跟踪、案件记录和合规报告。
• 服务改进：分析汇总的使用模式以改进平台性能、可靠性和用户体验。

5. 数据共享

我们与以下类别的接收者共享个人数据：

次级处理者

我们聘请受信任的次级处理者协助提供我们的服务。这些包括云基础设施提供商、文件验证提供商、生物识别比对提供商和筛查数据提供商。所有次级处理者均受数据处理协议约束，要求其按照至少与本政策相同的标准保护个人数据。

监管机构

当适用法律或法规要求时，我们可能向监管机构披露个人数据，包括 AML/CTF 报告义务以及对监管查询或检查的回应。

执法机构

只有在受到有效法律程序（法院命令、传票或同等法律文书）强制要求时，我们才会向执法机构披露个人数据。在法律允许的情况下，我们将通知受影响方。

我们不会向第三方出售个人数据。我们不会与广告商或营销公司共享个人数据。

6. 国际数据传输

作为全球性平台，为提供我们的服务，个人数据可能在司法管辖区之间传输。我们为所有国际数据传输实施适当的保障措施，包括：

• 欧盟委员会通过的标准合同条款（SCC）（委员会执行决定（EU）2021/914）。
• 充分性决定：我们依赖相关数据保护机构发布的充分性决定。
• 适用的认证机制和具有约束力的公司规则。
• 数据驻留选项：企业版套餐的租户可以配置司法管辖区锁定存储，以确保特定类别的数据保留在指定的地理区域内。

7. 数据保留

我们仅在收集所需目的所必需的期限内保留个人数据，遵循以下准则：

• KYC/AML 验证记录：根据适用司法管辖区的要求保留，通常为验证日期或业务关系结束之日起的 5 至 10 年。
• 生物识别数据：验证完成后删除。如因争议解决或法律诉求而需要保留，最长保留期为 3 年。
• 账户数据：在租户账户存续期间加上账户关闭后 1 年内保留。
• 审计日志：保留 10 年，以支持监管检查和合规审计。
• 使用和分析数据：以汇总、匿名形式保留。个人层面的使用数据在 2 年后删除。

在适用法律要求的范围内，租户可以配置自定义保留政策。当法律要求或诉讼待决时，法律保留可以覆盖标准保留时间表。

8. 您的权利

根据您所在的司法管辖区，您可能对您的个人数据拥有以下权利：

• 访问权：确认我们是否处理您的个人数据并获取该数据副本。
• 更正权：要求更正不准确的个人数据。
• 删除权（"被遗忘权"）：要求删除您的个人数据，但需遵守法律保留义务。
• 限制处理权：在特定情况下限制对您个人数据的处理。
• 数据可携带权：以结构化、常用、机器可读的格式接收您的个人数据。
• 反对权：反对基于正当利益的处理，包括画像。
• 撤回同意权：如果处理基于同意，您可以随时撤回该同意。

要行使您的权利，请联系我们： [email protected]。我们将在 30 天内（或您所在司法管辖区数据保护法规定的较短期限内）回复您的请求。

如果您是其数据由租户提交的申请人，请首先联系该租户，因为他们是您的验证数据的数据控制者。

9. 生物识别数据

生物识别数据是一种特殊类别的个人数据，根据我们的政策受到额外保护：

• 收集：生物识别数据（自拍照片和活体视频帧）仅在申请人明确知情同意的情况下收集。
• 目的限定：生物识别数据专门用于活体检测以及与身份证件照片进行面部比对。不用于监控、营销或任何其他目的。
• 共享限制：生物识别数据不会出于广告或营销目的与第三方共享。仅与我们的生物识别比对次级处理者共享以进行验证。
• 保留：验证完成后即删除生物识别数据。在法律要求延长保留以解决争议的司法管辖区，最长保留期为 3 年。
• 衍生数据：面部特征向量（数学表示形式）按照与源生物识别数据相同的时间表删除。

10. Cookies

我们使用 Cookies 和类似技术来运营和改进我们的平台。有关我们使用的 Cookies 以及如何管理您的偏好的详细信息，请参阅我们的Cookie 政策。

11. 儿童

NoxVerify 不会故意收集或处理 18 岁以下个人的个人数据。我们的 KYC 验证服务仅设计用于成年人身份验证。如果我们意识到无意中收集了未成年人的个人数据，我们将立即采取措施删除此类数据。

12. 安全

我们采用强有力的技术和组织安全措施来保护个人数据，包括：

• AES-256 加密用于静态数据。
• TLS 1.3 加密用于传输中的数据。
• 符合 SOC 2 Type II 标准的安全实践和控制。
• 由独立安全评估员定期进行渗透测试。
• 基于角色的访问控制，遵循最小权限原则。
• 对所有数据访问和处理活动进行全面的审计日志记录。
• 事件响应程序，包含定义的升级路径和通知时间表。

13. 变更

我们可能会不时更新本隐私政策。对于重大变更，我们将通过电子邮件提前至少三十（30）天通知注册的租户管理员，并在我们的网站上发布更新后的政策。本政策顶部的"最后更新"日期将相应修订。

14. 特定司法管辖区权利

欧盟（GDPR）

如果您位于欧洲经济区（EEA），您享有《通用数据保护条例》（EU）2016/679 下的权利。我们处理的法律依据列于上述第 3 节。您有权向您当地的监管机构提出投诉。

土耳其（KVKK）

如果您位于土耳其，您的个人数据将根据《土耳其第 6698 号个人数据保护法》（KVKK）进行处理。如果您向我们提出的请求在 30 天内未得到满意解决，您有权向个人数据保护委员会（KVKK 委员会）申请。

加利福尼亚（CCPA / CPRA）

如果您是加利福尼亚州居民，您享有《加州消费者隐私法》（经 CPRA 修订）下的权利。我们不出售您的个人信息。您有权了解我们收集的个人信息、删除您个人信息的权利、选择退出个人信息出售的权利（尽管我们不出售数据）以及不受歧视的权利。

巴西（LGPD）

如果您位于巴西，您的个人数据将根据《通用数据保护法》（LGPD）进行处理。您享有的权利包括确认处理、访问数据、更正、匿名化、数据可携带性、删除以及关于共享数据的信息。如果您的权利未得到满意处理，请联系 ANPD（国家数据保护机构）。

中国（PIPL）

如果您位于中华人民共和国，您的个人信息将根据《个人信息保护法》（PIPL）进行处理。您享有知情权、决定权、限制权、拒绝权、访问权、复制权、更正权和删除您个人信息的权利。跨境传输需根据中国网络安全管理部门的要求进行安全评估、签订标准合同或获得认证。

韩国（PIPA）

如果您位于韩国，您的个人数据将根据《个人信息保护法》（PIPA）进行处理。您享有访问、更正、删除和暂停处理您个人数据的权利。根据 PIPA 的要求，我们任命了一名隐私官。

15. 联系方式

如有隐私相关问题，请联系我们：