每一层都有安全
保护从一开始就融入 Zoi ID 的构建和运行方式，从第一行代码到保留期的最后一天。
全程加密
传输中和存储时都加密，每个文件和每条身份记录使用独立密钥。
数据留在欧盟
身份数据存放在德国，使用 Zoi ID 专用的基础设施。
不保存面部模板
面部比对在隔离的服务中进行，只在内存中处理。不保存任何生物特征模板。
最小权限访问
实名员工、按角色设定的权限，以及只能追加的审计记录，覆盖每次查看和每个决定。
双人决策
可能命中制裁或 PEP 名单的情况需要两名独立审核员。申诉由另一名审核员决定。
经过测试和验证
每次变更都会自动进行安全测试。每个版本都经过签名，并在运行前验证。
数据驻留
身份数据在德国（欧盟）存储和处理。从其他地方的访问仅限实名员工，并且始终记录在日志中。
- 存储
- 位于德国的专用基础设施，与 Zoi 的其他所有系统隔离。
- 备份
- 离开我们的基础设施之前先加密，并保存在欧盟。
- 网络边缘
- 全球边缘网络保护每一个连接。申请人的数据不存放在那里。
- 来自欧盟以外的访问
- 仅限实名、经过培训的审核员和管理员。每次打开个人数据，都会写入审计日志。
- 公司与角色
- Zoi Labs LLC，美国怀俄明州的公司。对合作伙伴的最终用户而言是处理者。对制裁记录、安全日志和反欺诈指纹而言是控制者。
- 数据传输
- 数据处理协议包含欧盟标准合同条款（Module Two）。
- 传输中使用现代 TLS 加密。
- 存储时使用 AES-256 加密，每个文件和每条身份记录使用独立密钥。
- 每个加密内容都绑定到它自己的记录。复制到另一条记录后无法打开。
- 密钥按书面政策管理，并与其保护的数据分开存放。
- 备份在离开我们的基础设施之前加密。
- 不保存面部模板。面部只在内存中比对，且只用于一次请求。
访问与运维
严格控制谁能看到什么，并记录他们的每一个操作。
- 最小权限访问：实名账户、按角色设定的权限，只在工作需要时才能访问。
- 每次查看个人数据、每个决定和每个管理操作，都会写入只能追加的审计日志，保留 10 年。
- 审核员在获得访问权限之前，需按书面手册完成培训。
- 人脸、真人检测和证件分析在我们自有基础设施内的隔离服务中运行。身份数据不会发送给任何第三方 AI 服务。
- 合作伙伴的 API 密钥有权限范围，只以哈希形式保存。每个 Webhook 都带有签名。
- 合作伙伴控制台支持通行密钥和身份验证器应用，并记录对密钥、设置和成员的每一次更改。
- 每次删除都有记录，并会在从备份恢复后再次执行。
- 我们只使用合成数据进行开发和测试。
持续的安全测试
自动检查在每次变更时运行，并按固定周期运行。高严重性的发现会阻止发布。
- 对全部代码进行静态分析
- 扫描依赖中的已知漏洞，并及时进行安全更新
- 在每次提交和完整历史中扫描密钥等机密信息
- 基础设施和配置扫描
- 对读取芯片、证件和图片的代码进行模糊测试
- 对 Web 应用和 API 进行动态测试
事件响应与业务连续性
出现问题时有清晰的计划，对依赖我们的合作伙伴有明确的承诺。
- 响应计划
- 书面的事件响应计划涵盖遏制、评估和通知，并为我们服务的每个市场设定了时限。
- 通知合作伙伴
- 如果发生影响你的用户的个人数据泄露，我们会及时通知你，最迟不超过 36 小时。
- 监管机构
- 在由我们负责的情况下，我们会在法律规定的时限内（通常为 72 小时）通知监管机构和受影响的人。
- 业务连续性
- 欧盟境内的加密备份，以及书面的分步恢复流程。
数据保留
以下是默认期限。法律保全可以暂停计时。
| 数据 | 保留至 |
|---|---|
| 从未提交的会话 | 创建后 7 天。 |
| 未完成的会话（处理中或审核中） | 最多 60 天，然后过期。 |
| 证件图片、芯片数据、视频 | 最终决定后 90 天。如果此人未达最低年龄，则为 24 小时。撤回同意或要求删除时立即删除。 |
| 身份信息（姓名、出生日期、证件号码、地址） | 只要用户在合作伙伴处的账户存在且身份未被撤销。最长为最后一次验证后 5 年。 |
| 重复检查密钥、决定以及不含个人数据的检查结果 | 最后一次会话后 5 年，用于防止欺诈。 |
| 制裁筛查记录 | 10 年，按制裁记录规定的要求。 |
| 审计日志 | 10 年。 |
| 备份 | 30 天。 |
每次删除都会被记录，并在从备份恢复后再次执行。
分处理方
为 Zoi ID 处理个人数据的公司。每家都受书面数据处理协议约束。
| 公司 | 职责 | 所在地 |
|---|---|---|
| Hetzner Online GmbH | 服务器托管。存放 Zoi ID 保存的全部内容，静态时始终加密。 | 德国（欧盟） |
| Cloudflare, Inc. | 网络防护、TLS、DNS，以及加密备份的存储。 | 全球边缘网络。备份在欧盟。 |
| Google LLC | Play Integrity：对应用和设备给出“是”或“否”的回答。不含身份数据。 | 美国 |
| Apple Inc. | App Attest：证明请求来自正版 iOS 应用。不含身份数据。 | 美国 |
新增或更换分处理方之前，我们会提前 30 天通知合作伙伴，合作伙伴可以提出异议。
- 告诉我们你发现了什么，以及如何复现。
- 只使用你自己的测试账户和合成数据。不要打开他人的数据。
- 不要进行拒绝服务攻击、社会工程，也不要对我们的分处理方做测试。
- 公开之前，请给我们时间修复问题。