Politik for svindel og sikkerhed
Ikke slogans om kryptering i bankklasse, men de konkrete mekanismer, hvem der opbevarer hvad, og hvad de ikke dækker.
1. Formål og omfang
1.1 Formål. Denne politik beskriver de foranstaltninger, Nelvoi Ltd har for at forebygge svindel, beskytte konti og sikre Platformen, og hvad du selv kan gøre for at beskytte dig.
1.2 Omfang. Den gælder for alle brugere af Platformen og omfatter forebyggelse af svindel, sikkerhedskontroller, identitetskontrol, håndtering af hændelser og fordelingen af ansvar mellem os og dig.
1.3 En bemærkning om stadiet. NELVOI er endnu ikke lanceret. Kontrollerne nedenfor beskriver programmet, som det bliver bygget, og som det kommer til at fungere; det, der er på plads i dag, omfatter kun selve dette websted.
Fiat-saldi ligger hos licenserede udsteder- og bankpartnere på konti, der holdes adskilt fra virksomhedens egne driftsmidler.
Apple Pay og Google Pay giver forretningen en engangstoken. En butik, der bliver hacket, kan ikke lække dit kort.
Kryptovaluta er ikke dækket af nogen indskudsgarantiordning, nogen steder. Det skriver vi hellere her, end at du går ud fra noget andet.
2. Sådan opbevares din saldo i praksis
”Dine penge er i sikkerhed” er den mindst brugbare sætning i denne branche. Det afgørende er, hvem der fysisk har pengene, om de er blandet med virksomhedens egne, og hvad der sker med dem, hvis virksomheden forsvinder. Det er tre forskellige spørgsmål, og de har tre forskellige svar, alt efter om saldoen er i fiat eller krypto.
Fiat-saldi. Penge, der indbetales på et kort, ligger hos de licenserede udsteder- og bankpartnere, som driver kortprogrammet, på adskilte konti: holdt adskilt fra NELVOIs egne driftsmidler og identificeret som kundernes. Det er adskillelsen, der gør, at saldiene kan føres tilbage til kunderne i stedet for at være tilgængelige for virksomhedens kreditorer. Det er en anden mekanisme end indskudsgaranti, den beskytter mod en anden type sammenbrud, og vi vil ikke blande de to sammen: En indskudsgaranti betaler dig tilbage, hvis banken går ned, mens adskillelse sikrer, at pengene aldrig var virksomhedens at tabe.
Krypto-saldi. Kryptovaluta, du sender, veksles til en fiat-saldo, du kan bruge, og holdes ikke som en investeringsposition: Kortet bruger fiat, og vekslingen sker på vej ind. Krypto, der midlertidigt opbevares under den proces, ligger hos en reguleret depotpartner og ikke i nøgler på vores egne bærbare computere. Ingen del af dette er dækket af en indskudsgarantiordning noget sted i verden, fordi ingen sådan ordning dækker krypto. Den, der påstår andet, er enten forvirret eller ved at sælge dig noget.
Hvad der sker ved insolvens. Adskilte kundemidler er ikke virksomhedens aktiver, og det er hele pointen med at adskille dem. Ved insolvens identificeres de som kundernes penge og tilbageføres gennem den proces, der gælder i udstederens jurisdiktion. Den proces tager tid, uger eller måneder og ikke timer, og det vil vi hellere fortælle dig nu, end at du opdager det på det værst tænkelige tidspunkt.
Det ærlige forbehold. NELVOI er endnu ikke lanceret, og afsnittene ovenfor beskriver, hvordan programmet er struktureret, ikke en aktiv tjeneste, der opbevarer dine penge i dag. Den konkrete udstederpartner, jurisdiktionen og beskyttelsesordningen bliver navngivet på denne side og i vilkårene, før der åbnes konti.
3. Vores kontroller
Fire lag. Hvert af dem koster os noget, og det er sådan, du kan se, at de er ægte.
Identitetskontrol
Et myndighedsudstedt dokument, der kontrolleres for ægthed, en livstest af, at ansigtet passer til det, bekræftelse af bopæl og screening mod sanktionslister og lister over politisk eksponerede personer. Forhold med højere risiko underkastes skærpet kundekendskabsprocedure, og screeningen fortsætter efter oprettelsen, fordi listerne ændrer sig.
Kontosikkerhed
Tofaktorgodkendelse, der kræves ved hævninger, sikkerhedsændringer og tilføjelse af en enhed. Kryptering under overførsel og i hvile. Automatisk udløb af sessioner og en liste over indloggede enheder, som du kan logge ud på afstand. Medarbejderes adgang er rollebaseret, begrænset til det nødvendige og logget.
Transaktionsovervågning
Screening i realtid, adfærdsanalyse af mønstre, der ikke passer til kontoens normale brug, hastighedskontroller og grænser, sanktionsscreening af modparter og automatiske alarmer, som gennemgås af et menneske og ikke lukkes automatisk.
Infrastruktur
Firewalls og indtrængningsdetektering, håndtering af sårbarheder og opdateringer, sikker udviklingspraksis, løbende overvågning og uafhængige penetrationstest som led i programmet før lancering, sammen med udstederpartnerens egen sikkerhedsgennemgang, som ethvert kortprogram skal bestå, før det går i luften.
4. Kontosikkerhed
Kortet og saldoen betyder mindre end den konto, de hænger på. De fleste tab i forbrugerfinansiering begynder med, at en anden får adgang til en konto, ikke med et teknisk brud.
Tofaktorgodkendelse
Tilgængelig på alle konti og påkrævet ved følsomme handlinger: hævninger, ændring af sikkerhedsindstillinger og tilføjelse af en ny enhed. En angriber, der kun har din adgangskode, kommer ingen vegne.
Styring af enheder og sessioner
Alle indloggede enheder vises med seneste aktivitet, og enhver af dem kan logges ud på afstand. Ser en session forkert ud, kan du afslutte den uden at vente på support.
Besked om de handlinger, der betyder noget
En notifikation for hver betaling og for ændringer af sikkerhedsindstillinger, den registrerede e-mail eller telefonnummeret. Det er stilheden, der lader kontoovertagelser gå ubemærket hen i dagevis.
Ventetid ved følsomme ændringer
Ændrer du e-mail eller telefonnummer på en konto, begrænses hævninger midlertidigt. Det er en engangsgene for dig og en alvorlig forhindring for en, der lige har stjålet dine loginoplysninger.
5. Sådan beskytter du dig mod svindel
Disse råd stopper de angreb, der faktisk lykkes. Ingen af dem er tekniske.
En unik adgangskode og tofaktorgodkendelse
Unik, så et brud på et andet websted ikke er et brud på dette. Tofaktor, så en stjålen adgangskode ikke er nok. Brug hellere en godkendelsesapp end sms: Et SIM-kort kan overtages.
Del aldrig en kode
Din adgangskode, en tofaktorkode, dit fulde kortnummer og enhver gendannelsesfrase har vi aldrig brug for, og vi beder aldrig om dem. Den, der beder om dem, er ikke os, uanset hvordan afsenderadressen ser ud.
Find os ved at skrive adressen
Følg ikke links i uventede beskeder. Åbn selv nelvoi.com. Et link, der ser rigtigt ud i en e-mail, er den billigste del af et phishing-sæt.
Mistro hastværk
Pres for at handle med det samme er fællestræk ved næsten al vellykket svindel. En legitim anmodning kan sagtens tåle, at du bruger en time på at tjekke den.
Sikr enheden og e-mailkontoen
Din e-mail er nulstillingsvejen til alt andet, så sikr den mindst lige så godt som dine penge. Hold software opdateret, og undgå finansielle handlinger på offentlige netværk.
Tjek før du bekræfter
Modtager, netværk, beløb, valuta. På en blockchain er en fejl her endelig – se afsnit 7.
6. Hvis noget går galt
Hvad du skal gøre, i rækkefølge. De to første trin er dine, og det er dem, der stopper tabet.
Frys kortet
Ét tryk i kontrolpanelet, fra enhver enhed, du kan logge ind på. Nye betalinger afvises straks, og saldoen bliver, hvor den er. Gør det før alt andet: Det tager sekunder og kan fortrydes.
Skift adgangskode, og log andre enheder ud
Hvis du tror, at en anden har adgang til kontoen og ikke kun til kortet, er det dette trin, der fjerner vedkommende. Begge dele findes i sikkerhedsindstillingerne.
Skriv til support
[email protected], helst fra adressen på kontoen. Fortæl, hvad der skete og hvornår. Vi svarer inden for én hverdag, og anmeldelser af kompromitterede konti går forrest i køen.
Vi undersøger og handler
Vi kan fryse kort, blokere en enhed, udstede et nyt kortnummer og bevare transaktionsoplysningerne til en tvist. Det, vi ikke kan, er at tilbageføre en gennemført blockchain-overførsel. Det kan ingen.
7. Hvor ansvaret ligger
7.1 Vores. At opretholde kontrollerne i afsnit 3, undersøge anmeldelser hurtigt, fryse det, der skal fryses, bevare transaktionsoplysningerne og underrette dig og myndighederne, hvor et brud kræver det.
7.2 Dit. At holde loginoplysninger og enheder sikre, slå de sikkerhedsfunktioner til, vi stiller til rådighed, gennemgå transaktioner, før du bekræfter dem, og hurtigt anmelde alt uautoriseret.
7.3 Det, vi ikke kan gøre om. Som det fremgår af vilkårene og betingelserne, hæfter vi ikke for tab, der skyldes loginoplysninger, du selv har videregivet, uautoriseret adgang gennem kompromitteret godkendelse, phishing eller social manipulation, hvor du selv har givet oplysningerne, eller transaktioner, du har autoriseret – heller ikke hvis du blev narret til at autorisere dem. Det er ikke et forbehold, vi gemmer væk: Det er grunden til, at afsnit 5 findes, og grunden til, at svindel med autoriserede betalinger er den sværeste type at rette op på overalt i finansverdenen.
7.4 Det, ingen kan gøre om. En gennemført blockchain-overførsel kan ikke tilbageføres af os, vores partnere eller nogen anden. Hvor en inddrivelse er teknisk mulig, forsøger vi den og tager ikke betaling for forsøget.
8. Håndtering af hændelser
8.1 Procedure. Vi har dokumenterede procedurer for hændelseshåndtering til at opdage og inddæmme hændelser, undersøge grundårsager, gennemføre korrigerende foranstaltninger og underrette de berørte.
8.2 Underretning. Hvis en hændelse berører dine personoplysninger eller din konto, underretter vi dig, når og som gældende lov kræver det, uden unødig forsinkelse, med det, vi ved, og det, vi anbefaler dig at gøre. Vi udskyder ikke en underretning for at formulere en, der lyder bedre.
8.3 Retshåndhævelse. Vi samarbejder med politi og tilsynsmyndigheder, der efterforsker svindel og cyberkriminalitet, og kan indberette mistænkelig aktivitet uden at give dig besked, hvor loven tillader eller kræver det – se politikken mod hvidvask for, hvorfor vi nogle gange ikke kan fortælle dig det.
9. Kontrollerne er dine, ikke noget, du skal ansøge os om
De fleste skader på en konto sker i timen, før nogen når frem til support. Derfor ligger det, der stopper dem, i appen og ikke bag en telefonkø.
- Frys med ét tryk — nye betalinger afvises straks, saldoen bliver, hvor den er
- Skift nummeret — gratis og uden at flytte kontoen eller pengene
- Bekræftelse på din telefon — 3-D Secure ved betalinger med højere risiko, så et stjålet nummer ikke er nok
- Oplysninger bag ny godkendelse — det fulde nummer vises kun, når du beder om det
10. Hvad dette ikke dækker
At være ligefrem om begrænsningerne er vigtigere end en længere liste af beroligende ord.
Kryptovaluta er ikke omfattet af indskudsbeskyttelse. Statslige indskudsgarantiordninger beskytter bankindskud, ikke krypto-saldi. Aktiver i krypto bærer markedsrisiko og er ikke forsikret mod den.
Blockchain-overførsler er endelige. Sender du midler til den forkerte adresse eller på det forkerte netværk, kan ingen tilbageføre dem. Tjek altid netværket, før du sender: Det er den almindeligste måde, folk mister penge på, og det har intet med vores sikkerhed at gøre.
Ingen fra NELVOI vil nogensinde bede om din adgangskode, din 2FA-kode eller dit fulde kortnummer. Den, der gør det, udgiver sig for at være os. Vores eneste supportadresse er [email protected].
11. Spørgsmål om sikkerhed
Kundemidler opbevares på adskilte konti hos regulerede partnere, adskilt fra virksomhedens penge, og det gør, at de kan føres tilbage til kunderne og ikke behandles som virksomhedens aktiver. Det er ikke det samme som indskudsgaranti, og vi vil ikke kalde det det.
De indsendes til en reguleret leverandør af identitetskontrol, som foretager kontrollen. Vi modtager resultatet og de oplysninger, loven kræver, ikke en kopi af alt, hvad du har uploadet.
Log ind fra en anden enhed, og frys dine kort, eller skriv til [email protected], så fryser vi dem for dig. Din saldo bliver, hvor den er: Den er knyttet til din verificerede konto, ikke til din enhed.
Uafhængige penetrationstest indgår i programmet før lancering, sammen med vores udstederpartners egen sikkerhedsgennemgang, som ethvert kortprogram skal bestå, før det går i luften.
Nej, og det er værd at være præcis om hvorfor. Indskudsgarantiordninger – FSCS i Storbritannien, FDIC i USA, EU's direktiver om indskudsgaranti – dækker indskud i licenserede banker. En kortsaldo hos en reguleret e-penge- eller udstederpartner beskyttes i stedet gennem adskillelse: Dine penge holdes adskilt fra virksomhedens, så de forbliver dine og ikke bliver et aktiv i forretningen. Krypto-saldi er ikke dækket af noget som helst, nogen steder. En udbyder, der hævder, at krypto-saldi er forsikret, beskriver noget andet end indskudsgaranti.
Vi kan fryse en konto, og i nogle situationer er vi juridisk forpligtet til det. Hvidvasklovgivningen pålægger regulerede virksomheder og deres partnere at tilbageholde eller afvise transaktioner i bestemte situationer, og i nogle jurisdiktioner forbyder den også at fortælle dig hvorfor på det tidspunkt. Vi kan ikke tage dine penge til eget brug: Adskilte midler er ikke vores. Politikken mod hvidvask beskriver, hvad der udløser en gennemgang, og hvad vi kan og ikke kan fortælle dig.
I de fleste tilfælde kan det ikke genskabes, og det er den almindeligste måde, folk mister penge i krypto på. Det har intet med en udbyders sikkerhed at gøre. Sender du USDT på den forkerte kæde eller til en adresse for et andet aktiv, er midlerne som regel tabt. Tjek netværket, før du bekræfter. Hvor en inddrivelse er teknisk mulig, prøver vi, men vi kan ikke love noget, og vi tager ikke betaling for forsøget.
Vi beder aldrig om din adgangskode, en tofaktorkode, dit fulde kortnummer eller din gendannelsesfrase, hverken via e-mail, telefon eller chat, og heller ikke på nogen anden måde. Vores eneste supportadresse er [email protected], og vores eneste websted er nelvoi.com. Beder en besked om noget af dette, er den ikke fra os, uanset hvordan afsenderadressen ser ud. Videresend den til [email protected], og slet den.
Vi sælger ikke personoplysninger. Oplysninger deles med de parter, der er nødvendige for at drive tjenesten – leverandøren af identitetskontrol, udsteder- og bankpartnerne, der opbevarer saldi og behandler betalinger, og kortnetværkene, der dirigerer transaktioner – og med myndigheder, hvor loven kræver det. Privatlivspolitikken angiver kategorierne og begrundelserne.
Uafhængige penetrationstest indgår i programmet før lancering, sammen med vores udstederpartners egen sikkerhedsgennemgang, som ethvert kortprogram skal bestå, før det går i luften. Kortprogrammer er desuden omfattet af de PCI DSS-krav, der gælder for håndtering af kortdata. Det er en af grundene til, at fulde kortnumre håndteres af udstederplatformen og ikke gemmes hos os.
Læs videre
- Er et kryptokort sikkert? Risiciene er reelle, men det er ikke dem, folk er bekymrede for. Her er, hvad der faktisk beskytter pengene, og hvad intet beskytter dem mod. Læs →
- Verificering, og hvorfor der ikke er nogen vej uden om Alle kortudstedere spørger, hvem du er, før de udsteder noget. Her er, hvad der faktisk kontrolleres, og hvad der får en kontrol til at blive afvist. Læs →
Intet i denne kategori endnu.
Dette dokument findes på flere sprog. Ved uoverensstemmelser mellem versionerne har den engelske version forrang.