Вступает в силу с момента публикации
При расхождении настоящей Политики с Уставом применяется Устав, а при расхождении Устава с Декларацией - Декларация. Общие правила обработки персональных данных - в Политике конфиденциальности. В учредительный период - с 22 октября 2026 года до принятия Декларации - подписание Декларации и вступление в народ приостановлены: народа, определённого принятым текстом, ещё нет. Подтверждение личности в этот период проводится бесплатно, и по его итогам выдаётся временный документ участника учреждения, а не паспорт (документ «Учредительный период», часть 2, пункт 5). Временный документ выпускается в том же контракте, что и паспорт (документ «Где мы сейчас»). Настоящая Политика применяется и к такому подтверждению; сказанное в ней о подписании и паспорте относится к основному режиму после принятия Декларации.
Она служит одной цели: подтвердить, что за каждым голосом стоит один живой, единственный человек. Это основа доверия между незнакомыми людьми - и ничего больше. Система спроектирована так, чтобы хранить как можно меньше.
Человек важнее документов. Ваша принадлежность к народу определяется вашим свободным выбором, а не паспортом или гражданством. Задача проверки - не признание извне, а подтверждение простого факта: вы это вы, и вы один.
1. Подтверждение уникальности, а не контроль. Проверка защищает народ от множественных регистраций и для слежения не используется.
2. Принадлежность подтверждается лично. Государственные документы остаются на своём месте: проверка лишь сверяет личность, ничего не заменяя.
3. Доверие через проверку. В сообществе без центральной власти подтверждённая уникальность создаёт базовый слой доверия. Это не гарантирует добросовестности в конкретной сделке, но устраняет анонимную множественность аккаунтов как источник манипуляций.
4. Защита от злоупотреблений. Отказ от хранения изображений и шаблонов, хеши с секретным ключом сервера и практическая невозможность восстановить изображение из сохранённых данных сделаны так, чтобы система не могла быть использована для массового наблюдения.
Настоящая Политика определяет обработку биометрических данных при подписании Декларации, получении статуса earthling и участии в инфраструктуре народа, а в учредительный период - при подтверждении личности для временного документа участника учреждения.
Биометрические данные относятся к специальной категории персональных данных по статье 9 GDPR и обрабатываются исключительно на основании вашего явного согласия (статьи 6(1)(a) и 9(2)(a) GDPR).
Это единственное основание: ни исполнение договора, ни законный интерес специальную категорию данных сами по себе не легализуют.
Проверка добровольна. Вы вправе отозвать согласие в любой момент, обратившись на privacy@earth-lings.org.
Что происходит при отзыве:
Мы не вправе погасить ваш паспорт за вас. Устав (статья 21) допускает гашение паспорта не самим держателем только в двух случаях - аннулирование недействительной выдачи по решению Ассамблеи и технический перевыпуск по вашему же заявлению; помимо вашей воли паспорт может быть погашен только в первом из них. Отзыва согласия среди этих случаев нет, и платформа не хранит ваших ключей; но пока права владельца контракта не переданы мультиподписи, выпуск и погашение паспорта технически доступны одному ключу (документ «Где мы сейчас»). Запись в реестре после отзыва согласия остаётся. До принятия Декларации Ассамблеи нет (Устав, статья 38), и временный документ участника учреждения помимо воли держателя гасится в порядке документа «Учредительный период» (часть 2, пункт 5).
Полный перечень и правовые основания - в Политике конфиденциальности. Для проверки требуются:
Реальные имя и фамилия не сохраняются. Данные документа используются только в момент проверки, для сверки лица с документом и подтверждения уникальности; после её завершения от них остаются лишь тип и страна выдачи документа и необратимые хеши. Ваш псевдоним остаётся именем, под которым вас видят другие участники.
Чего статус не даёт. Паспорт не даёт гражданства и резидентства, визовых прав, силы в государственных учреждениях и не заменяет документов вашей страны. Народ Earthlings не обладает международной правосубъектностью и не может представлять чьи-либо интересы в судах или перед государственными органами. Полный перечень - в документах Путь earthling и SBT-паспорт.
Документ → лицо → проверка живого присутствия → сверка документа и лица → результат → хранение результата
Что остаётся после проверки. Фотографии, сканы документов и биометрические шаблоны не сохраняются. Остаются: статус проверки, тип и страна выдачи документа, числовые оценки проверки, причины отказа и необратимые хеши, вычисленные с секретным ключом сервера, - хеш номера документа и один общий хеш имени, фамилии и даты рождения из документа; сами номер документа, имя, фамилия и дата рождения не сохраняются.
Хеши не запрещают вернуться. Они лишь не дают одному человеку иметь два действующих паспорта одновременно: при повторном вступлении система находит совпадение, убеждается, что прежний паспорт погашен, и выпускает новый.
Точно о статусе хешей. Хеш необратим и вычисляется с секретным ключом сервера: прочитать из него имя или номер документа нельзя, а без ключа их нельзя и подобрать перебором. Но он позволяет выделить конкретного человека среди других - иначе он не выполнял бы своей задачи. Поэтому по GDPR это псевдонимизированные, а не анонимные данные, и защита персональных данных на них распространяется в полном объёме. Мы не называем их обезличенными, потому что это было бы неточно.
Общие меры описаны в Политике конфиденциальности; ниже - специфические для биометрии.
Защищённая передача. Все данные передаются по защищённым каналам со сквозным шифрованием между вашим устройством и серверами системы проверки.
Ключ хешей. Хеши вычисляются с секретным ключом сервера (HMAC-SHA256); ключ хранится вне базы данных. Шифрования хранимых данных на уровне приложения нет.
Одно хранилище. Хеши и результаты проверки хранятся в одной базе с данными учётной записи; данные платформы - в отдельной базе.
Немедленное удаление исходных материалов. Фотографии и сканы удаляются сразу после завершения проверки.
Контроль доступа. Доступ к данным проверки - только у администраторов, по ключу администратора; многоуровневой аутентификации пока нет, и журналируются не все обращения.
Философия безопасности: чем меньше хранится, тем меньше можно украсть. Изображений, биометрических шаблонов, имени и номера документа мы не храним; что хранится, перечислено в разделе 09 и в Политике конфиденциальности.
Общие права участника - в Политике конфиденциальности и Пользовательском соглашении. Ниже - специфические для биометрии.
Отозвать согласие - в любой момент, порядок и последствия описаны в разделе 02.
Пройти проверку заново. Если внешность значительно изменилась и проверка вас не узнаёт, вы проходите её заново. Шаблон при этом не «обновляется»: он нигде не хранится, сверка каждый раз выполняется с нуля.
Потребовать пересмотра человеком. Автоматический отказ не является окончательным (статья 22 GDPR). Вы вправе изложить свою позицию и оспорить результат. После двух неуспешных автоматических попыток пересмотр человеком проводится без отдельного запроса. Число повторных подач заявки не ограничено.
Подать жалобу в надзорный орган по защите данных вашей страны; порядок - в Политике конфиденциальности.
Перечень исчерпывающий: обработка для иных целей не производится.
Чего мы не делаем. Не отслеживаем местоположение. Поведение не анализируем, кроме сводной статистики посещений, в которой учитываются и шаги анкеты проверки (Политика конфиденциальности, раздел 04). Не продаём данные третьим лицам. Не строим профилей для рекламы. Не используем систему для наблюдения. Не передаём данные государственным органам иначе как по вступившему в силу решению суда или равносильному ему законному требованию, легитимность которого проверяется в каждом случае.
Об исполненных требованиях участник уведомляется, если это не запрещено самим решением. Сводка таких случаев публикуется в отчёте о прозрачности.
Код смарт-контракта паспорта открыт под лицензией MIT; в обозревателе сети контракт не верифицирован, и соответствие исходника развёрнутому контракту нужно проверять самостоятельно (документ «Где мы сейчас»).
Код системы проверки личности закрыт - именно потому, что он работает с персональными данными и его публикация облегчила бы обход защиты. Это осознанный выбор, а не умолчание; перечень с причинами - в документе Где мы сейчас.
Взамен закрытости мы принимаем на себя следующее:
Вопросы этики обработки биометрических данных выносятся на рассмотрение Независимого Совета - органа, не подчинённого тем, кто эксплуатирует платформу. После принятия Декларации, пока Совет не сформирован, этот этап пропускается, а сроки публичного обсуждения таких вопросов удваиваются (Устав, статья 39); до принятия Декларации Совета нет (Устав, статья 38).
После принятия Декларации предложения об изменении настоящей Политики выносятся на голосование Ассамблеи, а до принятия решение о них принимает автор Декларации в порядке документа «Учредительный период» (часть 2, пункт 2).
Что не хранится: реальные имена и фамилии; номера паспортов и документов; точные даты рождения; адреса проживания; фотографии и биометрические шаблоны; номера телефонов, кроме случаев двухфакторной аутентификации.
Что хранится: псевдоним; адрес электронной почты; подтверждение возраста 18+; страна проживания (для статистики); статус подтверждения личности; связь с паспортом; дата получения статуса; адрес кошелька; IP-адрес и тип браузера на момент проверки - не дольше 12 месяцев.
Реестр следует принципу минимизации данных в соответствии с GDPR. Хранится только необходимое для подтверждения уникальности и связи с паспортом для участия в решениях; что именно хранится - выше, во врезке ниже и в Политике конфиденциальности.
Фотографии и сканы удаляются сразу после проверки, но её результат остаётся действительным и проверяемым.
Реальные имя и фамилия не хранятся. Данные документа обрабатываются только в момент проверки. В системе подтверждения личности остаются псевдоним, адрес почты, страна, адрес кошелька, IP-адрес и тип браузера на момент проверки, а от проверки - статус проверки, тип и страна выдачи документа, числовые оценки проверки, причины отказа и необратимые хеши, вычисленные с секретным ключом сервера, - хеш номера документа и один общий хеш имени, фамилии и даты рождения из документа; сами номер документа, имя, фамилия и дата рождения не сохраняются; в открытый реестр псевдоним не записывается. Поэтому ваше имя или номер документа нельзя раскрыть ни другим участникам, ни администраторам, ни третьим сторонам: их у нас нет.
Можете ли вы восстановить моё лицо из того, что храните? Нет. Биометрический шаблон не сохраняется вовсе: сравнение выполняется в момент проверки, после чего исходные данные удаляются. Остаются результат проверки и необратимые хеши, из которых нельзя получить изображения; прочитать из них имя или номер документа нельзя, а без секретного ключа сервера их нельзя и подобрать перебором.
Что произойдёт, если я потеряю телефон? Данные проверки в безопасности. Приложения нет: проверка проходит в браузере. Если кошелёк создан через вход по почте, Google или Apple, достаточно войти тем же способом на новом устройстве. Если доступ к кошельку утрачен, паспорт перевыпускается на новый адрес по вашему заявлению, и принадлежность не прерывается (Устав, статья 21).
Могут ли похитить мою биометрию? Биометрию похитить нельзя: мы её не храним. Хеши, которые мы храним, вычислены с секретным ключом сервера из данных документа, а не из биометрии, и изображения лица в них нет.
Обязательно ли указывать настоящее имя? Для проверки - да: имя и фамилия, как в документе, нужны для сверки с ним. Реальные имя и фамилия не сохраняются. Данные документа проверяются только в момент проверки; после неё от них остаются лишь тип и страна выдачи документа и необратимые хеши. В повседневном взаимодействии вы известны по псевдониму.
Что происходит с данными при выходе? Гашение паспорта само данных не удаляет: данные учётной записи удаляются по вашему запросу, а после удаления остаются адрес кошелька, номер записи паспорта, псевдоним, страна, результат и оценки проверки и необратимые хеши. Псевдонимизированные хеши сохраняются исключительно для того, чтобы у одного человека не могло быть двух действующих паспортов. Вернуться это не мешает.
Что делать, если внешность значительно изменилась? Пройти проверку заново. Хранимого шаблона, который нужно было бы обновлять, не существует.
Что если проверка отклонена? Причины автоматического отказа показываются на экране проверки - пока служебными кодами, а решение после пересмотра человеком приходит письмом. Можно повторить попытку после их устранения - например, с более качественными изображениями или другим документом. При несогласии вы вправе потребовать пересмотра человеком, а после двух неуспешных автоматических попыток пересмотр человеком проводится без отдельного запроса.
Кому доступны мои реальные имя и фамилия? Никому: они не хранятся. Народ технически не может раскрыть данных, которыми не располагает.
Передаёте ли вы данные государствам? Только по вступившему в силу решению суда или равносильному законному требованию - порядок и уведомление участника описаны в Политике конфиденциальности.
Политика обновляется по мере развития технологий и законодательства. Изменения публикуются с указанием даты вступления в силу.
Порядок изменения - уведомление по электронной почте не менее чем за 30 дней, уведомление на платформе при следующем входе, публикация перечня изменений и право возразить - установлен Политикой конфиденциальности.
По вопросам проверки личности: privacy@earth-lings.org
