加密
- 传输中使用现代 TLS 加密，存储时使用 AES-256 加密。
- 每个文件和每条身份记录使用独立密钥。
- 每个加密项都绑定到它自己的记录。复制到另一条记录后无法打开。
- 密钥按书面政策管理，并与其保护的数据分开存放。备份同样加密。
安全与隐私，源于设计
身份数据是用户分享的最敏感的数据。Zoi ID 在每个环节保护它：强加密、隔离处理、严格的访问控制和短期保留。
隐私源于设计，安全成为默认。
最安全的数据，是你从不持有的数据。Zoi ID 只给你一个答案，证据仅在规则要求的期限内保存。
- 人脸模板
- 从不存储。仅在内存中为一次比对生成，随即消失。
- 证据
- 图像和视频在决策后 90 天删除，或更早删除。
- 加密
- AES-256，每个文件和每条身份记录使用独立的密钥。
- 位置
- 存储在德国（欧盟），加密备份也在欧盟。
- AI
- 在我们自己的基础设施中运行。证件和人脸不会发送给任何第三方 AI 服务。
- 你收到的内容
- 只提供你需要的字段。默认包含：状态、级别、有效期至，以及是否已满 18 岁。
基础设施
- 位于德国（欧盟）的专用基础设施，与 Zoi 的其他所有系统隔离。
- 全球边缘网络保护所有公网流量。
- 面部和证件分析在隔离的服务中运行。
- 欧盟境内的加密备份，以及运行前经过验证的签名版本。
我们自己的 AI，运行在我们自己的基础设施中
人脸、真人检测和证件分析都在 Zoi ID 内部运行。身份数据不会发送给任何第三方 AI 服务，AI 也从不单独决定案件。
不保存面部模板
- 我们从不保存面部模板。用于比对面部的数字只在一次请求期间存在于内存中。
- 只有在用户单独同意时，软件才会比对面部。没有同意时，由审核员比对照片。
- 面部分析在隔离的服务中运行，图片只保存在内存中。
- 我们不会从面部推测民族、情绪或任何其他特征。
审核员访问
- 只有经过培训的实名审核员才能访问，权限按角色设定。
- 审核员每次打开个人数据或文件，都会写入审计日志。每个决定和每个管理操作也一样。
- 审计日志只能追加，保留 10 年。
- 政府证件号码在控制台中默认隐藏，并且从不写入日志。
- 可能命中制裁或 PEP 名单的情况需要两名不同的审核员。审核员只能对自己看过的那个版本做决定。
会话与设备
- 客户端令牌是随机值，绑定一个会话，有效期很短。我们只保存其哈希。
- 设备检查、芯片检查和视频的每个挑战都是随机的、一次性的，并且有效期很短。
- 每次上传都属于一组编号的证据。某个步骤重新上传后，使用过旧文件的检查会重新运行。
- 芯片数据在我们的服务器上用政府证书进行校验。手机发来的任何内容都不会直接被信任。
我们保留数据多久
以下是默认期限。法律保全可以暂停计时。
| 数据 | 保留至 |
|---|---|
| 从未提交的会话 | 创建后 7 天。 |
| 未完成的会话（处理中或审核中） | 最多 60 天，然后过期。 |
| 证件图片、芯片数据、视频 | 最终决定后 90 天。如果此人未达最低年龄，则为 24 小时。撤回同意或要求删除时立即删除。 |
| 身份信息（姓名、出生日期、证件号码、地址） | 只要用户在合作伙伴处的账户存在且身份未被撤销。最长为最后一次验证后 5 年。 |
| 重复检查密钥、决定以及不含个人数据的检查结果 | 最后一次会话后 5 年，用于防止欺诈。 |
| 制裁筛查记录 | 10 年，按制裁记录规定的要求。 |
| 审计日志 | 10 年。 |
| 备份 | 30 天。 |
每次删除都会被记录，并在从备份恢复后再次执行。