Earthlings 生物特征验证政策

• 生物特征在验证的当时被处理，并不予保存；
• 为了防止同一个人拥有两本有效的护照，保存不可逆的密码学哈希值；
• 退出之后可以在任何时候回来；
• 与证件上一致的姓与名，用于与证件核对；其他参与者看到的是您选择的化名；
• 生物特征服务于信任，而不是控制；
• 自有的验证系统、数据的最小化。

它只服务于一个目的：确认每一票的背后都站着一个活着的、唯一的人。这是互不相识的人之间信任的基础——仅此而已。系统在设计上力求尽可能少地保存。

人比证件更重要。您对人民的归属由您的自由选择决定，而不是由国家护照或国籍决定。验证的任务不是外部的承认，而是确认一个简单的事实：您就是您，并且只有一个您。

1. 唯一性的确认，而不是控制。验证保护人民免于同一个人的重复加入，并且不被用于监视。

2. 归属由本人亲自确认。国家证件仍在它们原来的位置：验证只是核对身份，不替代任何东西。

3. 通过验证建立信任。在没有中央权力的共同体之中，经确认的唯一性形成信任的基础层。这并不担保某一笔具体交易中的诚信，但消除了作为操纵来源的匿名多重账户。

4. 防止滥用。不保存图像和模板，以服务器的秘密密钥计算哈希值，以及在实际上无法从所保存的数据复原图像——这些做法都是为了使这一系统不能被用于大规模监视。

按 GDPR 第九条，生物特征数据属于特殊类别的个人数据，对它的处理仅仅依据您的明确同意（GDPR 第六条第一款 (a) 项和第九条第二款 (a) 项）。

这是唯一的依据：合同的履行和合法利益，就其本身而言并不使特殊类别数据的处理合法化。

验证是自愿的。您有权在任何时候撤回同意，为此写信到 privacy@earth-lings.org。

撤回时会发生什么：

• 生物特征数据的处理停止（验证之后它们本来就不予保存）；验证的结果（第 04 节）予以保存：它不是生物特征数据；
• 不可逆的唯一性哈希值同样予以保存。它是从证件数据、而不是从生物特征计算出来的，因此不在 GDPR 第九条所指的同意范围之内，依其他根据保存。没有它，一个人就可能凭同一份证件数据取得第二本护照：哈希值使这样的尝试能够被识别出来，包括他本人的尝试，而绕过验证发放的护照将被注销（《宣言》第八条）；
• 归属和投票权不因撤回同意而受影响，账户也不因此被删除；对于归属于人民的人，账户的删除只与退出一同进行；
• 护照由您自己销毁，用您自己的密钥，如果您决定退出的话：撤回同意并不销毁护照。

完整的清单与法律依据见《隐私政策》。验证需要：

• 化名——由您选择，用于护照和登录平台；
• 电子邮件地址——用于联系；
• 证件与面部的核验——连同与证件上一致的拉丁字母姓与名；此外还要填写居住国家，并确认年满十八周岁。验证依赖于证明身份的证件：没有证件的人今天无法进入。这与《宣言》第八条相抵触，仍然是一个未决的问题：保障已经写下，但尚未兑现。

真实的姓与名不予保存。证件数据只在验证的当时使用，用于把面部与证件比对并确认唯一性；验证结束之后，从中留下的只有证件的种类和签发国家以及不可逆的哈希值。您的化名仍然是其他参与者看到您时所用的名字。

• Earthlings 护照——对人民之归属的确认；
• 在 DAO 全体大会中的投票权：一人一票；
• 基础设施的接入——参与项目、服务、协调；
• 提出建议的权利，以及参与每一个问题的决定。

• 证件——把数据与证明身份的官方证件比对；
• 面部几何特征——关键点与比例；
• 活体——目前是依单张面部照片的基础被动检测：它只针对简单的伪造——翻拍照片或者翻拍屏幕——对录像和面具不提供防护，而照片可以用文件上传。按 ISO/IEC 30107 标准所描述的呈现攻击检测模型进行的检测尚未引入；所声明的抵御水平以及独立检验的结果，将在引入时公布。

1. 通过安全连接接收证件与面部的图像。
2. 活体检测。
3. 特征的提取——证件数据与面部关键点。
4. 数学模板的建立——一组描述特征的数字。模板只在验证进行期间存在于内存之中。
5. 把生物特征与证件比对，并检验唯一性。
6. 结果的保存——不含图像和模板。

• 销毁护照本身并不删除数据：账户数据依您的要求删除，而删除之后留下的是钱包地址、护照记录的编号、化名、国家、验证的结果与评分以及不可逆的哈希值；
• 假名化的哈希值被保存下来，唯一的目的是防止同一个人拥有两本有效的护照；
• 回来的权利保留：重新加入时，系统确认先前的护照已被销毁，然后发放新的护照；
• 从哈希值复原图像是做不到的；从它们读出姓名或者证件号码也做不到，而没有服务器的秘密密钥，也无法用穷举去猜出它们。

护照智能合约的代码以 MIT 许可证开放，并已在区块链浏览器中完成验证：浏览器已确认源代码与已部署合约完全一致（《我们现在在哪里》文件）。

身份验证系统的代码是封闭的——正是因为它处理个人数据，公开它会使绕开防护变得容易。这是自觉的选择，而不是默不作声；附有理由的清单见文件《我们现在在哪里》。

作为封闭的交换，我们承担以下义务：

• 独立的安全审计计划在业务扩展之前进行；报告予以公布；
• 技术文档可供研读；
• 安全报告定期公布；
• 对验证数据的访问日志接受审计；目前并非所有访问都有日志记录。

生物特征数据处理的伦理问题，提交独立理事会审议——它是一个不从属于平台运营者的机关。《宣言》通过之后，在理事会组建之前，这一阶段略过，而这类问题公开讨论的期限加倍（宪章第三十九条）；在《宣言》通过之前没有理事会（宪章第三十八条）。

《宣言》通过之后，修改本政策的建议提交全体大会投票；在通过之前，关于它们的决定由《宣言》的作者依《创立期》文件的程序（第二部分第 2 点）作出。

• 证件与面部数据的接收和处理；
• 证件的识别，并从机器可读区提取数据；
• 活体检测；
• 照片与证件的比对；
• 唯一性的确认。

不保存的：真实的姓与名；国家护照和证件的号码；确切的出生日期；居住地址；照片和生物特征模板；电话号码，双因素认证的情形除外。

保存的：化名；电子邮件地址；年满十八周岁的确认；居住国家（用于统计）；身份验证的状态；与护照的关联；取得资格的日期；钱包地址；验证当时的 IP 地址和浏览器类型——保存不超过 12 个月。

名册依照 GDPR 遵循数据最小化的原则。只保存为确认唯一性、以及为参与决定而与护照关联所必需的东西；究竟保存什么，见上文、见下面的框和《隐私政策》。

照片和扫描件在验证之后立即删除，但验证的结果仍然有效并且可以查验。