我们的原则
- 我们只收集这样的数据：没有它们，人民就无法存在；
- 您的数据不得出售；向第三人的转移只发生在下文明确说明的情形中；
- 您随时可以在允许的范围内取得、更正或删除自己的数据；
- 由您决定共同体以什么名字看到您，您也可以随时退出；
- 对我们来说，透明比公司的秘密更重要。
自公布之时起生效
本政策与 Earthlings 宪章不一致时，适用宪章；宪章与宣言不一致时，适用宣言。生物特征数据的处理另在生物特征验证政策中说明，就这一事项发生不一致时，适用该政策。
个人数据控制者。在结构形成的阶段，控制者的职能由项目的创立者履行。随着制度的发展，这一职能将移交给一个组织，该组织的注册信息将在此公布。
数据主体权利的相关请求：privacy@earth-lings.org
最小化。只收集人民运作确实必需的数据。如果一项功能可以不用数据完成，就不用数据完成。
目的限制。为一项目的收集的数据不得用于另一项目的。目的的清单在第 03 节，是穷尽的。
可理解。关于收集或使用数据的每一项决定，都用平常的话解释。如果解释需要法学教育才能读懂，那就说明解释不好。
多数平台把个人数据看作商品。我们把它看作人的尊严的一部分。
内容：您自己选择的化名、电子邮件地址、居住国家、年满 18 岁的确认。
用途：化名是您在 Earthlings 护照上和平台上的公开名字；邮箱用于确认注册和联系；国家用于地理分布的统计；年龄是参与的必备条件。
真实的姓和名不得保存。
保存的是：由证件数据以及姓名与国家的组合生成的不可逆加密哈希值，以及验证的状态（通过或未通过）。
不保存的是：面部与证件的图像、生物特征模板。它们在验证时处理，处理后删除。
用途：使同一个人不得同时拥有两本有效的 Earthlings 护照。
关于哈希值的状态，说准确些。哈希值不可逆：从中读出姓名或证件号码是做不到的。但它能够把某一个具体的人从其他人中区分出来——否则它就无法完成自己的任务。因此这是假名化的数据，而不是匿名的数据，个人数据保护对它们完全适用。
详情见生物特征验证政策。
内容：IP 地址、浏览器与设备类型、操作系统。
用途：安全、发现可疑活动、技术支持。
内容：界面中操作的记录——打开过哪些板块、参加蜂巢单元工作的情况、向支持提出的请求。
用途：改进平台的运作和技术诊断。
这里没有、也不会有什么。在不记名投票中，您的投票内容不得记录，不得与您的账户关联，任何人都不得取得，包括运营平台的人在内。公开投票按其性质是公开的，结果人人可见——这是投票本身的性质，而不是分析的结果。
关于使用情况的数据以汇总的形式使用。这是汇总数据，而不是去标识化的数据：只要记录仍与账户关联，它就仍是个人数据。
内容：钱包地址、关于 Earthlings 护照的记录、交易。
用途：基础设施的运作和您对决定的参与。
账本中的记录按技术的性质无法删除——正因如此，其中没有个人数据：那里有的是假名的地址和关于行为的标记，而不是姓名、不是证件、也不是生物特征。
这与删除权是什么关系（GDPR 第十七条）。删除权在数据由我们保存的地方行使：账户、身份验证的结果、平台的日志——这一切都依您的要求删除，删除之后就无法把账本中的记录与您联系起来。账本中的记录本身不删除，因为谁也删不掉它，包括我们在内：它不在我们的控制之下，也不含可以据以认出您的数据。我们不说这就把问题解决得没有余地——不可变更的账本与删除权之间的关系，在监管机构的实践中尚未定型。我们选择的是这样一种安排：个人数据根本不进入不可变更的部分。
合同的履行（GDPR 第六条第一款 (b) 项）——注册、账户的维护、Earthlings 护照的发放与维护、对决定的参与、交易的处理、基础设施的接入。
明示同意（GDPR 第六条第一款 (a) 项和第九条第二款 (a) 项）——仅仅用于身份验证时生物特征数据的处理，以及信息推送。
这里没有、也不得同时有两项依据。生物特征数据依 GDPR 第九条属于特殊类别的数据，合同的履行和合法利益本身都不足以使它的处理合法。唯一的依据是您的明示同意，您有权随时撤回。撤回的后果在《生物特征验证政策》中说明。
合法利益（GDPR 第六条第一款 (f) 项）——防止重复注册和滥用、平台的安全、技术支持、按非敏感字段维护参与者名册（化名、国家、验证状态）。您有权对基于这一依据的处理提出反对（第 07 节）。
法律义务（GDPR 第六条第一款 (c) 项）——遵守适用的法律要求，以及对国家机关合法请求的答复。
清单是穷尽的：不得为其他目的处理数据。
绝不：第三方的广告与营销；向信息经纪商出售或转移；商业目的的用户画像；平台之外的追踪；上文未列明的任何目的。
这里需要把两种不同的资源分开，因为它们的搭建方式不同。
公开网站不使用 cookie 文件：既不用于认证，也不用于个性化，更不用于分析。浏览器中保存的只有一样——您选择的界面语言，存放在设备的本地存储中。这是一项技术设置，而不是标识符：它不与您的身份关联，也不发送到服务器。
平台是您登录账户的地方，使用技术上必需的会话 cookie 文件——没有它们就无法登录。它们不得用于分析，不得用于广告，也不得用于平台之外的追踪，并在退出账户时删除。
分析用和广告用的 cookie 文件，网站上没有，平台上也没有，第三方追踪器不得安装。
数据默认留在人民的基础设施之内。例外只限于三种情形。
技术供应商。身份验证由人民自己的系统完成。基础设施的运作使用主机托管和攻击防护的供应商。他们严格按照我们的指示行事，不得取得参与者的个人数据。
合法的要求。数据只依已生效的法院裁判或与之相当的合法要求转移，每一次都对该要求的正当性作出核验。已执行的要求应通知参与者，除非裁判本身禁止这样做；汇总情况在透明度报告中公布。
决定的公开数据。有一部分数据按自治的性质是公开的：提案、投票的结果、共同资金的流动。不记名投票中的投票内容不属于这一类。
基础设施的搭建，使得不存在这样一个单一的点：它一旦被攻破，全部数据就会暴露。Earthlings 护照的账本存在于分布式网络中，而不在我们的服务器上，无论平台是否运作，它都保持可验证。
发生事件时。如果发生影响您数据的安全事故，我们将在发现之时起 72 小时内通知您，并告知已采取的措施。
取得。取得自己数据的副本，以及关于这些数据如何处理的说明。
更正。更正不准确或不完整的数据。
删除。删除分布式账本之外的数据。账本中的记录按技术的性质无法删除；退出时 Earthlings 护照被销毁，账本中留下一个假名的标记，表明归属曾在某一段时期存在。这是过去的事实，而不是持续着的归属。
处理的限制（GDPR 第十八条）。在核验数据的准确性或反对的理由是否成立期间，要求暂停处理。
反对（GDPR 第二十一条）。对基于合法利益的处理提出反对。我们将停止处理，除非我们证明存在优先于您利益的、令人信服的合法依据。
可携带。以机器可读的形式取得自己的数据，并把它们转移给另一个控制者。
同意的撤回（GDPR 第七条第三款）。随时撤回对生物特征数据处理的同意或对信息推送的同意。撤回不影响收到撤回之前处理的合法性；后果在《生物特征验证政策》中说明。
不受自动化决定的约束（GDPR 第二十二条）。您有权不受这样一种决定的约束：它仅仅基于自动化的处理，并对您产生重大的后果。
这在实践中意味着什么。身份验证被自动拒绝并不是终局的：您有权陈述自己的意见，并要求由人来复核；在两次自动尝试未成功之后，复核无须另行申请。
在平台上分析提案的辅助工具不作决定：它们的结论具有建议的性质，依据会公开，由人来审议是有保障的。
投诉。向您所在国家的数据保护监管机构提出投诉。
退出。随时终止参与：您用自己的密钥销毁 Earthlings 护照，账户被标记为已终止，数据与您身份之间的联系被切断。
怎样行使。多数功能在个人中心即可使用。其余事项：privacy@earth-lings.org。我们在 48 小时内答复，并在 30 天内办结请求。
成为 earthling 之后，人依自己的选择继续是 earthling。任何多数的决定，包括特定多数的决定，都不得剥夺他对人民的归属。退出只能依参与者本人自愿的意志表达实现。
有效的账户。数据在参与人民的期间内保存。
退出之后。数据与身份之间的联系被切断，账户个人数据的处理停止。不可逆的哈希值以假名化的形式保存，仅仅为了使同一个人不得同时拥有两本有效的 Earthlings 护照；它们不限制重新加入的权利。
技术日志。IP 地址和时间戳——最长 12 个月，用于安全和事件的调查。
分布式账本的记录。按技术的性质长期保存。Earthlings 护照被销毁时，记录标记为已销毁，不再给予任何访问权限；其中本来就没有个人数据。
人民是跨国的，数据可能在不同的司法管辖区处理。
基础设施的选择依据技术能力和人权保护的水平，而不是依据政治归属。
年满 18 岁方可参与。这与义务的性质有关：签署《宣言》、参与决定、支配结算资金。
18 岁是无条件的要求，父母或监护人的同意不得替代它。
如果得知未满 18 岁的人完成了注册，账户立即暂停，账本之外的数据删除。Earthlings 护照同时被销毁：或者由持有人自己销毁，或者在他不这样做时，依照对无效发放的注销程序办理，因为年龄是发放的条件（宪章第二十一条）。年满 18 岁后可以按一般条件加入。
面向青年的教育活动通过单独的项目开展，不要求在人民中注册。
本政策随技术和法律的发展而更新。变更连同生效日期一并公布。
发生重大变更时：
关于本政策的问题：privacy@earth-lings.org