Политика биометрической верификации Earthlings

• биометрия обрабатывается в момент проверки и не сохраняется;
• чтобы у одного человека не могло быть двух действующих паспортов, сохраняются только необратимые криптографические хеши;
• вернуться после выхода можно в любой момент;
• псевдоним вместо реального имени - ваш выбор;
• биометрия служит доверию, а не контролю;
• собственная система проверки, разделение хранилищ, минимизация данных.

Она служит одной цели: подтвердить, что за каждым голосом стоит один живой, единственный человек. Это основа доверия между незнакомыми людьми - и ничего больше. Система спроектирована так, чтобы её нельзя было использовать для слежения.

Человек важнее документов. Ваша принадлежность к народу определяется вашим свободным выбором, а не паспортом или гражданством. Задача проверки - не признание извне, а подтверждение простого факта: вы это вы, и вы один.

1. Подтверждение уникальности, а не контроль. Проверка защищает народ от множественных регистраций, но не создаёт базы для слежения.

2. Принадлежность подтверждается лично. Государственные документы остаются на своём месте: проверка лишь сверяет личность, ничего не заменяя.

3. Доверие через проверку. В сообществе без центральной власти подтверждённая уникальность создаёт базовый слой доверия. Это не гарантирует добросовестности в конкретной сделке, но устраняет анонимную множественность аккаунтов как источник манипуляций.

4. Защита от злоупотреблений. Разделение хранилищ, шифрование и практическая невозможность восстановить изображение из сохранённых данных сделаны так, чтобы система не могла быть использована для массового наблюдения.

Биометрические данные относятся к специальной категории персональных данных по статье 9 GDPR и обрабатываются исключительно на основании вашего явного согласия (статьи 6(1)(a) и 9(2)(a) GDPR).

Это единственное основание: ни исполнение договора, ни законный интерес специальную категорию данных сами по себе не легализуют.

Проверка добровольна. Вы вправе отозвать согласие в любой момент, обратившись на privacy@earth-lings.org.

Что происходит при отзыве:

• обработка прекращается, а сохранённые хеши удаляются;
• поскольку подтверждённая уникальность является условием права голоса, дальнейшее участие в голосованиях становится невозможным;
• паспорт гасите вы сами, собственным ключом, как при обычном добровольном выходе.

Полный перечень и правовые основания - в Политике конфиденциальности. Для проверки требуются:

• псевдоним - на ваш выбор, используется в паспорте и для входа на платформу;
• адрес электронной почты - для связи;
• проверка документа и лица.

Реальные имя и фамилия не сохраняются. Данные документа используются только в момент проверки - для сверки лица с документом и подтверждения уникальности - и после её завершения удаляются. Ваш псевдоним остаётся вашим публичным именем.

• паспорт - подтверждение принадлежности к народу;
• право голоса в DAO Ассамблее: один человек - один голос;
• доступ к инфраструктуре - участие в проектах, сервисы, координация;
• право вносить предложения и участвовать в решениях по каждому вопросу.

• документ - сверка данных с официальным документом, удостоверяющим личность;
• геометрия лица - ключевые точки и пропорции;
• живое присутствие - защита от фотографий, видеозаписей и масок. Проверка строится по модели обнаружения атак предъявления, описанной в стандарте ISO/IEC 30107; заявленный уровень устойчивости и результаты независимой проверки публикуются при вводе системы в промышленную эксплуатацию.

1. Получение изображения документа и лица по защищённому соединению.
2. Проверка живого присутствия.
3. Извлечение признаков - данных документа и ключевых точек лица.
4. Построение математического шаблона - набора чисел, описывающих характеристики. Шаблон существует только в оперативной памяти в течение проверки.
5. Сверка биометрии с документом и проверка уникальности.
6. Сохранение результата - в зашифрованном виде.

• связь между данными проверки и вашей личностью разрывается;
• псевдонимизированные хеши сохраняются исключительно для того, чтобы у одного человека не могло быть двух действующих паспортов;
• право вернуться сохраняется: при повторном вступлении система убеждается, что прежний паспорт погашен, и выпускает новый;
• восстановить из хешей изображение или установить личность практически невозможно.

Код смарт-контракта паспорта открыт под лицензией MIT и проверяем в обозревателе сети.

Код системы проверки личности закрыт - именно потому, что он работает с персональными данными и его публикация облегчила бы обход защиты. Это осознанный выбор, а не умолчание; перечень с причинами - в документе Где мы сейчас.

Взамен закрытости мы принимаем на себя следующее:

• независимый аудит безопасности планируется до расширения операций; отчёт публикуется;
• техническая документация доступна для изучения;
• отчёты о безопасности публикуются регулярно;
• журналирование доступа к данным проверки ведётся и подлежит аудиту.

Вопросы этики обработки биометрических данных выносятся на рассмотрение Независимого Совета - органа, не подчинённого тем, кто эксплуатирует платформу. До формирования Совета такие вопросы рассматривает DAO Ассамблея, а сроки публичного обсуждения удваиваются (Устав, статья 39).

Предложения об изменении настоящей Политики выносятся на голосование Ассамблеи.

• получение и обработка данных документа и лица;
• распознавание документа с извлечением данных из машиночитаемой зоны;
• проверка живого присутствия;
• сверка фотографии с документом;
• подтверждение уникальности.

Что не хранится: реальные имена и фамилии; номера паспортов и документов; точные даты рождения; адреса проживания; фотографии и биометрические шаблоны; номера телефонов, кроме случаев двухфакторной аутентификации.

Что хранится: псевдоним; адрес электронной почты; подтверждение возраста 18+; страна проживания (для статистики); статус подтверждения личности; связь с паспортом; дата получения статуса.

Реестр следует принципу минимизации данных в соответствии с GDPR. Хранится только необходимое: подтверждённая уникальность, связь с паспортом для участия в решениях, внутренний идентификатор для распределения вознаграждений.

Фотографии и сканы удаляются сразу после проверки, но её результат остаётся действительным и проверяемым - подобно тому, как государство не хранит постоянно биометрических образцов при выдаче паспорта, хотя факт выдачи остаётся действительным.