我们的原则
- 我们只收集这样的数据：没有它们，人民就无法存在；
- 您的数据不得出售；向第三人的转移只发生在下文明确说明的情形中；
- 您随时可以在允许的范围内取得、更正或删除自己的数据；
- 由您决定共同体以什么名字看到您，您也可以随时退出；
- 对我们来说，透明比公司的秘密更重要。
Earthlings 人民隐私政策
自公布之时起生效
本政策与 Earthlings 宪章不一致时，适用宪章；宪章与宣言不一致时，适用宣言。生物特征数据的处理另在生物特征验证政策中说明，就这一事项发生不一致时，适用该政策。在创立期——自二〇二六年十一月二十二日起至《宣言》通过之时止——签署《宣言》和加入人民都已暂停：由已通过的文本所确定的人民还不存在。这一期间的身份验证免费进行，验证完成后发给创立的参与者一份临时证件，而不是护照（《创立期》文件，第二部分第 5 点）。临时证件在与护照相同的合约中发放（《我们现在在哪里》文件）。本政策也适用于这样的验证；其中关于签署、会费和护照所说的，指的是《宣言》通过之后的基本制度。
第 01 节 谁对您的数据负责
个人数据控制者。在结构形成的阶段，控制者的职能由项目的创立者履行。随着制度的发展，这一职能将移交给一个组织，该组织的注册信息将在此公布。
数据主体权利的相关请求：privacy@earth-lings.org
三项原则
最小化。只收集人民运作确实必需的数据。如果一项功能可以不用数据完成，就不用数据完成。
目的限制。为一项目的收集的数据不得用于另一项目的。目的的清单在第 03 节，是穷尽的。
可理解。关于收集或使用数据的每一项决定，都用平常的话解释。如果解释需要法学教育才能读懂，那就说明解释不好。
多数平台把个人数据看作商品。我们把它看作人的尊严的一部分。
第 02 节 收集哪些数据
账户数据
内容：您自己选择的化名、电子邮件地址、居住国家、年满 18 岁的确认。
用途：化名是其他参与者在平台上看到您时所用的名字，也是您的护照上载明的名字；它在公开的护照查验中和名册中都不显示；邮箱用于确认注册和联系；国家用于地理分布的统计、用于护照页面和平台上的个人资料；年龄是参与的必备条件。
真实的姓和名不予保存。
身份验证数据
保存的是：验证的状态、证件的种类和签发国家、验证的数值评分、拒绝的理由，以及以服务器的秘密密钥计算出的不可逆哈希值——证件号码的一个哈希值，以及证件上的名、姓和出生日期合在一起计算出的一个共同哈希值；证件号码、名、姓和出生日期本身不予保存。
不保存的是：面部与证件的图像、生物特征模板。它们在验证时处理，处理后删除。
用途：使同一个人不得同时拥有两本有效的 Earthlings 护照。
关于哈希值的状态，说准确些。哈希值不可逆，并且以服务器的秘密密钥计算：从中读出姓名或者证件号码是做不到的，没有密钥也无法用穷举去猜出它们。但它能够把某一个具体的人从其他人中区分出来——否则它就无法完成自己的任务。因此这是假名化的数据，而不是匿名的数据，个人数据保护对它们完全适用。
详情见生物特征验证政策。
技术数据
内容：IP 地址、浏览器与设备类型、操作系统。
用途：安全、发现可疑活动、技术支持。
关于平台使用情况的数据
内容：界面中操作的记录——打开过哪些板块、参加蜂巢单元工作的情况、向支持提出的请求；聊天中的消息、投票权的转交、声誉和参与的标记；如果您填写了位置，则到城市、地区和时区为止。
用途：改进平台的运作和技术诊断。
这里没有、也不会有什么。您一票的内容不应当为任何人所取得，包括运营平台的人在内；您是否参与了投票，也不予公布。公开的是投票的结果以及受转交者投出的转交给他的票——这是投票本身的性质，而不是分析的结果。从技术上保障这一点的手段还在选定之中，而现在的情况我们直说：在已经部署的公开的投票渠道中，票和钱包地址是公开的，其中没有进行过实质性的投票；蜂巢单元中的票由平台与账户一同保存，平台向单元的其他参与者显示结果以及异议及其理由，而运营平台的人在技术上能够取得所保存的票。
为改进平台，关于使用情况的数据以汇总的形式使用。这是汇总数据，而不是去标识化的数据：只要记录仍与账户关联，它就仍是个人数据。
分布式账本的数据
内容：钱包地址、关于 Earthlings 护照的记录、交易。
用途：基础设施的运作和您对决定的参与。
名册中的记录按技术的性质无法删除——正因如此，发放时不把姓名、证件、生物特征和验证的哈希值写入其中。发放时写入名册的是钱包地址、护照记录的编号、据以把记录与身份验证系统的数据相联系的参与者标识符，以及发放的时间；发放与销毁都在名册中留下标记。这些是化名数据，在我们这里与您的账户相联系。
这与删除权是什么关系（GDPR 第十七条）。删除权在数据由我们保存的地方行使：账户和平台的日志依您的要求删除，但钱包地址、护照记录的编号、化名和国家除外；而对于归属于人民的人，账户的删除只与退出一同进行；上文所列的身份验证数据仍然保留，其中包括哈希值——为的是使同一个人不可能拥有两本有效的护照。名册中的记录本身不删除，因为谁也删不掉它，包括我们在内：它不在我们的控制之下，而姓名、证件、生物特征和验证的哈希值都不写入其中。我们不说这就把问题解决得没有余地——不可变更的名册与删除权之间的关系，在监管机构的实践中尚未定型。我们选择的是这样一种安排：姓名、证件、生物特征和验证的哈希值都不进入不可变更的部分。
处理的法律依据
合同的履行（GDPR 第六条第一款 (b) 项）——注册、账户的维护、Earthlings 护照的发放与维护、对决定的参与、交易的处理、基础设施的接入。
明示同意（GDPR 第六条第一款 (a) 项和第九条第二款 (a) 项）——仅仅用于身份验证时生物特征数据的处理。信息推送的依据是同意（GDPR 第六条第一款 (a) 项）。
这里没有、也不得同时有两项依据。生物特征数据依 GDPR 第九条属于特殊类别的数据，合同的履行和合法利益本身都不足以使它的处理合法。唯一的依据是您的明示同意，您有权随时撤回。撤回的后果在《生物特征验证政策》中说明。
合法利益（GDPR 第六条第一款 (f) 项）——防止重复注册和滥用、平台的安全、技术支持、按非敏感字段维护参与者名册（化名、国家、验证状态）。您有权对基于这一依据的处理提出反对（第 07 节）。
法律义务（GDPR 第六条第一款 (c) 项）——履行欧洲联盟法或者成员国法加于我们的义务。
第 03 节 数据如何使用
清单是穷尽的：不为其他目的作任何处理。
- 您的账户的运作以及平台功能的使用；
- 参与者唯一性的确认；
- 就平台运作的问题与您联系；
- 技术支持；
- 依据关于使用情况和访问的汇总数据，改进平台、网站和身份验证页面；
- 安全与防止滥用；
- 决定机制的运作，而在创立期内则是受理对文集各文件的建议，并连同答复一并公布（《创立期》文件）；
- 关于平台运作变更的通知。
绝不：第三方的广告与营销；向信息经纪商出售或转移；商业目的的用户画像；平台之外的追踪；上文未列明的任何目的。
第 04 节 cookie 文件与浏览器中的存储
这里需要把三种不同的资源分开，因为它们的搭建方式不同。
公开网站不使用 cookie 文件：既不用于认证，也不用于个性化，更不用于分析。浏览器中保存的只有一样——您选择的界面语言，存放在设备的本地存储中。这是一项技术设置，而不是标识符：它不与您的身份关联。
平台是您登录账户的地方，使用技术上必需的会话 cookie 文件——没有它们就无法登录。它们不用于分析，不用于广告，也不用于平台之外的追踪，并在退出账户时删除。身份验证页面（id.earth-lings.org）设置技术上必需的问卷 cookie elp_form_session——它有效期为 24 小时，没有它就无法完成问卷——以及保存所选语言、有效期为一年的 cookie earthlings_lang；在浏览器的本地存储中，该页面保存所选语言，以及关于已接受的协议的标记和钱包地址。
分析用和广告用的 cookie 文件，三种资源上都没有，第三方追踪器也不安装。三者的访问都由人民自己的统计计数器（stats.earth-lings.org）记录，它同样不使用 cookie 文件：它得到页面的地址、IP 地址、浏览器和设备的类型、屏幕的尺寸以及页面上的操作，其中包括语言的切换，用于访问的汇总统计。
第 05 节 向第三人转移数据
数据默认留在人民的基础设施之内。例外只限于三种情形。
技术供应商。身份验证由人民自己的系统完成。为了基础设施的运作，参与者的数据由下列各方取得：承载基础设施的主机托管供应商；邮件服务 Zoho——信件和来函；Web3Auth——以邮箱、Google 或者 Apple 登录并创建钱包；Cloudflare Turnstile——保护问卷不受自动请求侵扰（浏览器信号和 IP 地址）；脚本分发网络 jsDelivr、cdnjs 和 esm.sh——加载页面时的 IP 地址；Polygon 网络的节点、WalletConnect 和 Snapshot——钱包地址、IP 地址以及由钱包签名的操作；支付服务 NOWPayments——基本制度下缴纳会费时的邮箱地址和钱包地址；GitHub——创立期建议的公开登记册，其中公布建议本身及对它的答复（《创立期》文件）。
合法的要求。数据只依已生效的法院裁判或与之相当的合法要求转移，每一次都对该要求的正当性作出核验。已执行的要求应通知参与者，除非裁判本身禁止这样做；汇总情况在透明度报告中公布。
决定的公开数据。有一部分数据按自治的性质是公开的：提案，其中包括创立期的建议连同对它们的答复（《创立期》文件）、投票的结果、共同资金的流动。来信中的建议，公布的是它的正文；未经寄件人同意，不公布他的姓名和联系方式，而如果他要求署名，则只公布他所指明的名字。亲自投出的一票的内容以及具体某人是否参与了投票，都不属于这一类；受转交者投出的转交给他的票是公开的。
第 06 节 数据的保护
技术措施
- 传输时的加密；
- 面部和证件的图像以及生物特征模板在验证之后不予保存；
- 哈希值以服务器的秘密密钥计算；密钥保存在数据库之外；
- 对基础设施攻击的防护；
- 备份；
- 随基础设施的发展开展独立的安全审计。
组织措施
- 只有为具体任务确有需要的人才能取得数据；目前并非每一次调取都记入日志；
- 事件处理的规程；
- 向人民透明地报告。
去中心化作为一项安全措施
去中心化目前只保护名册：身份验证系统的数据库连同据以计算哈希值的密钥，以及平台的数据库，都在同一台服务器上，它一旦被攻破，其中保存的数据就会暴露。护照名册存在于分布式网络中，而不在我们的服务器上，无论平台是否运作，它都保持可验证。
发生事件时。如果发生影响您数据的安全事故，我们将在发现之时起 72 小时内通知您，并告知已采取的措施。
第 07 节 您的权利
取得。取得自己数据的副本，以及关于这些数据如何处理的说明。
更正。更正不准确或不完整的数据。
删除。删除分布式名册之外的数据，第 02 节所列的除外（关于删除权的框）；对于归属于人民的人，账户的删除只与退出一同进行。名册中的记录按技术的性质无法删除；退出时护照被销毁，名册中留下一个化名的标记，表明归属曾在某一段时期存在。这是过去的事实，而不是持续着的归属。
处理的限制（GDPR 第十八条）。在核验数据的准确性或反对的理由是否成立期间，要求暂停处理。
反对（GDPR 第二十一条）。对基于合法利益的处理提出反对。我们将停止处理，除非我们证明存在优先于您利益的、令人信服的合法依据。
可携带。以机器可读的形式取得自己的数据，并把它们转移给另一个控制者。
同意的撤回（GDPR 第七条第三款）。随时撤回对生物特征数据处理的同意或对信息推送的同意。撤回不影响收到撤回之前处理的合法性；后果在《生物特征验证政策》中说明。
不受自动化决定的约束（GDPR 第二十二条）。您有权不受这样一种决定的约束：它仅仅基于自动化的处理，并对您产生重大的后果。
这在实践中意味着什么。身份验证被自动拒绝并不是终局的：您有权陈述自己的意见并要求由人复核；在两次自动尝试未成功之后，由人复核无须另行申请即行进行。
如果在平台上使用辅助工具分析提案，它们并不作决定：它们的结论具有建议的性质，依据会公开，由人来审议是有保障的。
投诉。向您所在国家的数据保护监管机构提出投诉。
退出。随时终止参与：您用自己的密钥销毁护照。销毁护照本身并不删除数据：账户数据依您的要求删除。
怎样行使。多数功能在个人中心即可使用。其余事项：privacy@earth-lings.org。我们在 48 小时内答复，并在 30 天内办结请求。
归属的不可让渡
成为 earthling 之后，人依自己的选择继续是 earthling。任何多数的决定，包括特定多数的决定，都不得剥夺他对人民的归属。退出只能依参与者本人自愿的意志表达实现。
第 08 节 保存期限
有效的账户。数据在参与人民的期间内保存。
退出之后。销毁护照本身并不删除数据：账户数据依您的要求删除，第 02 节所列的除外（关于删除权的框）。不可逆的哈希值以假名化的形式保存，仅仅为了使同一个人不可能同时拥有两本有效的护照；它们不限制重新加入的权利。
技术日志。IP 地址和时间戳——最长 12 个月，用于安全和事件的调查。
分布式名册的记录。按技术的性质长期保存。护照被销毁时，记录标记为已销毁，不再给予任何访问权限；发放时姓名、证件、生物特征和验证的哈希值都不写入其中。
第 09 节 国际传输
人民是跨国的，数据可能在不同的司法管辖区处理。
- 项目的基础设施设在欧洲联盟，位于芬兰；如果设置地点变更，将在此处说明；
- 邮件服务按其自己的条件处理地址和信件，并且可能在欧洲经济区之外处理；与它没有签订单独的合同条款；
- 数据通过加密连接传输；
- 您可以查询自己的数据保存在何处。
基础设施的选择依据技术能力和人权保护的水平，而不是依据政治归属。
第 10 节 年龄限制
年满 18 岁方可参与。这与义务的性质有关：签署《宣言》、参与决定、支配结算资金。
18 岁是无条件的要求，父母或监护人的同意不得替代它。
如果得知未满 18 岁的人完成了注册，账户立即暂停，并把依据和提出异议的期限告知本人，对异议作出答复，而决定可以依宪章的程序申诉（《宣言》第四条）；在《宣言》通过之前没有可供申诉的机关。如果在审议异议之后这一点得到证实，名册之外的数据予以删除。护照同时被销毁：或者由持有人自己销毁，或者在他不这样做时，依照对无效发放的注销程序办理，因为年龄是发放的条件（宪章第二十一条）；而在《宣言》通过之前，创立的参与者的临时证件依《创立期》文件的程序（第二部分第 5 点）销毁。年满 18 岁后可以按一般条件加入。
面向青年的教育活动通过单独的项目开展，不要求在人民中注册。
第 11 节 本政策的变更
本政策随技术和法律的发展而更新。变更连同生效日期一并公布。
发生重大变更时：
- 不少于 30 天之前的电子邮件通知；
- 下次登录时在平台上的通知；
- 变更清单的公布；
- 如果变更对您不可接受，可以提出反对。
关于本政策的问题：privacy@earth-lings.org