Fraude- en beveiligingsbeleid
Geen slogans over encryptie van bankniveau, maar de concrete mechanismen, wie wat aanhoudt, en wat ze niet dekken.
1. Doel en reikwijdte
1.1 Doel. Dit beleid beschrijft de maatregelen die Nelvoi Ltd in stand houdt om fraude te voorkomen, accounts te beschermen en het Platform te beveiligen, en wat je zelf kunt doen om jezelf te beschermen.
1.2 Reikwijdte. Het geldt voor elke gebruiker van het Platform en omvat fraudepreventie, beveiligingsmaatregelen, identiteitsverificatie, incidentbeheer en de verdeling van verantwoordelijkheid tussen ons en jou.
1.3 Over de fase waarin wij zitten. NELVOI is nog niet gelanceerd. De maatregelen hieronder beschrijven het programma zoals het wordt gebouwd en zoals het zal werken; wat vandaag al in werking is, betreft deze website zelf.
Fiatsaldo's staan bij vergunninghoudende uitgevende en bancaire partners, op rekeningen die apart worden gehouden van het eigen bedrijfsgeld.
Apple Pay en Google Pay geven de winkel een eenmalig token. Een winkel die wordt gehackt, kan je kaart niet lekken.
Cryptovaluta valt nergens onder een depositogarantiestelsel. Wij schrijven dat liever hier op dan dat je iets anders aanneemt.
2. Hoe je saldo werkelijk wordt aangehouden
“Je geld is veilig” is de minst bruikbare zin in deze sector. Wat telt, is wie het geld fysiek aanhoudt, of het vermengd is met het geld van het bedrijf zelf, en wat ermee gebeurt als het bedrijf verdwijnt. Dat zijn drie verschillende vragen met drie verschillende antwoorden, afhankelijk van of het saldo fiat of crypto is.
Fiatsaldo's. Geld dat op een kaart wordt geladen, staat bij de vergunninghoudende uitgevende en bancaire partners die het kaartprogramma uitvoeren, op gescheiden rekeningen: apart gehouden van het eigen bedrijfsgeld van NELVOI en aangemerkt als toebehorend aan klanten. Die scheiding maakt dat de saldo's aan klanten kunnen worden terugbetaald in plaats van beschikbaar te zijn voor de schuldeisers van het bedrijf. Het is een ander mechanisme dan een depositogarantie, het beschermt tegen een ander soort falen, en wij halen de twee niet door elkaar: een depositogarantie betaalt je terug als de bank omvalt; scheiding zorgt ervoor dat het geld nooit van het bedrijf was om te verliezen.
Cryptosaldo's. Cryptovaluta die je stuurt, wordt omgezet in een besteedbaar fiatsaldo en niet als beleggingspositie aangehouden: de kaart betaalt in fiat, en de omrekening gebeurt bij binnenkomst. Crypto die tijdens dat proces kortstondig wordt aangehouden, staat bij een vergunninghoudende bewaarpartner en niet in sleutels op onze eigen laptops. Niets hiervan valt waar ook ter wereld onder een depositogarantiestelsel, omdat geen enkel stelsel crypto dekt. Wie je iets anders vertelt, is in de war of wil je iets verkopen.
Wat er gebeurt bij een faillissement. Gescheiden klantgelden zijn geen bedrijfsmiddelen; dat is precies waarom ze gescheiden worden. Bij een faillissement worden ze aangemerkt als klantgeld en terugbetaald via de procedure die geldt in het rechtsgebied van de uitgever. Die procedure kost tijd, weken of maanden, geen uren, en wij hebben liever dat je dat nu weet dan dat je het op het slechtste moment ontdekt.
De eerlijke kanttekening. NELVOI is nog niet gelanceerd, en de alinea's hierboven beschrijven hoe het programma is opgezet, niet een werkende dienst die vandaag je geld aanhoudt. De specifieke uitgevende partner, het rechtsgebied en de regeling voor het veiligstellen van gelden worden op deze pagina en in de voorwaarden genoemd voordat accounts opengaan.
3. Onze maatregelen
Vier lagen. Elke laag kost ons iets, en daaraan zie je dat ze echt zijn.
Identiteitsverificatie
Een door de overheid uitgegeven document dat op echtheid wordt gecontroleerd, een levendheidscontrole dat het gezicht erbij hoort, bevestiging van het woonadres, en screening tegen sanctielijsten en lijsten van politiek prominente personen. Relaties met een hoger risico krijgen verscherpt cliëntenonderzoek, en de screening gaat na het onboarden door, omdat lijsten veranderen.
Accountbeveiliging
Tweestapsverificatie, verplicht voor opnames, beveiligingswijzigingen en het toevoegen van een apparaat. Versleuteling tijdens verzending en in opslag. Automatisch verlopen van sessies en een lijst van aangemelde apparaten die je op afstand kunt afmelden. Toegang voor medewerkers is rolgebaseerd, zo beperkt mogelijk en wordt gelogd.
Transactiemonitoring
Screening in realtime, gedragsanalyse op patronen die afwijken van het normale gebruik van een account, snelheidscontroles en limieten, sanctiescreening van tegenpartijen, en automatische meldingen die door een mens worden beoordeeld in plaats van automatisch gesloten.
Infrastructuur
Firewalls en inbraakdetectie, kwetsbaarheidsbeheer en patching, veilige ontwikkelpraktijken, doorlopende monitoring, en onafhankelijke penetratietests als onderdeel van het programma vóór de lancering, naast de eigen beveiligingsbeoordeling van de uitgevende partner, die elk kaartprogramma moet doorstaan voordat het live gaat.
4. Accountbeveiliging
De kaart en het saldo doen er minder toe dan het account waar ze aan hangen. De meeste verliezen in consumentenfinanciën beginnen met iemand anders die in een account komt, niet met een technische inbraak.
Tweestapsverificatie
Beschikbaar op elk account en verplicht voor gevoelige handelingen: opnames, het wijzigen van beveiligingsinstellingen, het toevoegen van een nieuw apparaat. Een aanvaller met alleen je wachtwoord komt nergens.
Beheer van apparaten en sessies
Elk aangemeld apparaat staat in een lijst met zijn laatste activiteit, en elk ervan kan op afstand worden afgemeld. Ziet een sessie er voor jou niet goed uit, dan kun je hem beëindigen zonder op de klantenservice te wachten.
Meldingen bij de handelingen die ertoe doen
Een melding bij elke betaling, en bij wijzigingen van beveiligingsinstellingen, het geregistreerde e-mailadres of het telefoonnummer. Stilte is hoe een accountovername dagenlang onopgemerkt blijft.
Een wachttijd bij gevoelige wijzigingen
Het wijzigen van het e-mailadres of telefoonnummer van een account beperkt tijdelijk de opnames. Voor jou is het één keer ongemak; voor iemand die net je inloggegevens heeft gestolen, een serieuze hindernis.
5. Jezelf beschermen tegen fraude
Dit stopt de aanvallen die werkelijk slagen. Geen ervan is technisch.
Een uniek wachtwoord, en tweestapsverificatie
Uniek, zodat een lek bij een andere site geen lek bij deze is. In twee stappen, zodat een gestolen wachtwoord alleen niet genoeg is. Kies een authenticator-app boven sms: een simkaart kan worden overgezet.
Deel nooit een code
Je wachtwoord, een tweestapscode, je volledige kaartnummer en een herstelzin hebben wij nooit nodig en vragen wij nooit. Wie erom vraagt, is niet ons, hoe het afzenderadres er ook uitziet.
Bereik ons door het adres in te typen
Volg geen links in berichten die je niet verwachtte. Open nelvoi.com zelf. Een link die er in een e-mail goed uitziet, is het goedkoopste onderdeel van een phishingkit.
Wantrouw haast
Druk om onmiddellijk te handelen is het gemeenschappelijke kenmerk van bijna elke geslaagde oplichting. Een legitiem verzoek overleeft het als je een uur neemt om het na te gaan.
Beveilig het apparaat en het e-mailaccount
Je e-mail is de herstelroute voor al het andere; beveilig die minstens zo goed als je geld. Houd software bijgewerkt en vermijd financiële handelingen op openbare netwerken.
Controleer voordat je bevestigt
Ontvanger, netwerk, bedrag, valuta. Op een blockchain is een fout hier definitief; zie deel 7.
6. Als er iets misgaat
Wat je doet, in volgorde. De eerste twee stappen zijn van jou, en juist die stoppen het bloeden.
Bevries de kaart
Eén tik in het dashboard, of vanaf elk apparaat waarop je kunt aanmelden. Nieuwe betalingen worden direct geweigerd en het saldo blijft waar het is. Doe dit vóór al het andere: het kost seconden en is omkeerbaar.
Wijzig je wachtwoord en meld andere apparaten af
Denk je dat iemand anders toegang heeft tot het account en niet alleen tot de kaart, dan is dit de stap die diegene buiten zet. Beide staan in de beveiligingsinstellingen.
Schrijf naar de klantenservice
[email protected], zo mogelijk vanaf het adres dat bij je account hoort. Zeg wat er is gebeurd en wanneer. Wij antwoorden binnen één werkdag, en meldingen van een gekaapt account gaan voor in de wachtrij.
Wij onderzoeken en handelen
Wij kunnen kaarten bevriezen, een apparaat blokkeren, een nieuw kaartnummer uitgeven en de transactiegegevens bewaren voor een geschil. Wat wij niet kunnen, is een voltooide blockchainoverdracht terugdraaien; niemand kan dat.
7. Waar de verantwoordelijkheid ligt
7.1 Bij ons. Het in stand houden van de maatregelen uit deel 3; meldingen snel onderzoeken; bevriezen wat bevroren moet worden; de transactiegegevens bewaren; jou en de autoriteiten informeren waar een inbreuk dat vereist.
7.2 Bij jou. Inloggegevens en apparaten veilig houden; de beveiligingsfuncties inschakelen die wij aanbieden; transacties nakijken voordat je ze bevestigt; alles wat niet door jou is goedgekeurd snel melden.
7.3 Wat wij niet ongedaan kunnen maken. Zoals vastgelegd in de Algemene voorwaarden zijn wij niet aansprakelijk voor verliezen die voortvloeien uit inloggegevens die je hebt prijsgegeven, uit ongeautoriseerde toegang via gecompromitteerde authenticatie, uit phishing of social engineering waarbij je de informatie zelf hebt verstrekt, of uit transacties die je hebt goedgekeurd, ook als je tot die goedkeuring bent misleid. Dit is geen voorbehoud dat wij verstoppen: het is de reden dat deel 5 bestaat, en de reden dat fraude met zelf goedgekeurde betalingen overal in de financiële wereld de moeilijkste soort is om te herstellen.
7.4 Wat niemand ongedaan kan maken. Een voltooide blockchainoverdracht kan niet worden teruggedraaid door ons, door onze partners of door wie dan ook. Waar herstel technisch mogelijk is, proberen wij het en rekenen wij niets voor de poging.
8. Incidentbeheer
8.1 Procedure. Wij hanteren gedocumenteerde procedures voor incidentrespons om incidenten op te sporen en in te dammen, de oorzaken te onderzoeken, corrigerende maatregelen te treffen en de betrokkenen te informeren.
8.2 Melding. Raakt een incident je persoonsgegevens of je account, dan informeren wij je zoals en wanneer de toepasselijke wet dat vereist, zonder onnodige vertraging, met wat wij weten en wat wij je aanraden te doen. Wij stellen een melding niet uit om een beter klinkende versie af te maken.
8.3 Opsporingsdiensten. Wij werken samen met opsporingsdiensten en toezichthouders die fraude en cybercriminaliteit onderzoeken, en kunnen verdachte activiteit melden zonder je daarvan op de hoogte te stellen waar de wet dat toestaat of vereist; zie het antiwitwasbeleid over waarom wij het je soms niet kunnen vertellen.
9. De knoppen zijn van jou, niet iets om bij ons aan te vragen
De meeste schade aan een account ontstaat in het uur voordat iemand de klantenservice bereikt. Daarom zit wat het stopt in de app, niet achter een telefonische wachtrij.
- Bevriezen met één tik — nieuwe betalingen worden direct geweigerd, het saldo blijft staan
- Nummer vervangen — gratis, en zonder het account of het geld te verplaatsen
- Bevestiging op je telefoon — 3-D Secure bij betalingen met een hoger risico, zodat een gestolen nummer niet genoeg is
- Gegevens achter een nieuwe aanmelding — het volledige nummer wordt alleen getoond als je erom vraagt
10. Wat hier niet onder valt
Eerlijk zijn over de grenzen is belangrijker dan een langere lijst geruststellingen.
Cryptovaluta valt niet onder depositobescherming. Depositogarantiestelsels van overheden beschermen banktegoeden, geen cryptosaldo's. Vermogen dat in crypto wordt aangehouden, draagt marktrisico en is daar niet tegen verzekerd.
Blockchainoverdrachten zijn definitief. Stuur je geld naar het verkeerde adres of over het verkeerde netwerk, dan kan niemand dat terugdraaien. Controleer altijd het netwerk voordat je verstuurt: dit is de meest voorkomende manier waarop mensen geld verliezen, en het heeft niets met onze beveiliging te maken.
Niemand van NELVOI zal ooit om je wachtwoord, je 2FA-code of je volledige kaartnummer vragen. Wie dat wel doet, doet zich voor als ons. Ons enige supportadres is [email protected].
11. Vragen over beveiliging
Klantgelden worden aangehouden op gescheiden rekeningen bij vergunninghoudende partners, apart van het bedrijfsgeld, en dat is wat het mogelijk maakt ze aan klanten terug te betalen in plaats van ze als bedrijfsmiddelen te behandelen. Dit is niet hetzelfde als een depositogarantie, en zo zullen wij het ook niet noemen.
Ze worden ingediend bij een vergunninghoudende verificatiepartner die de controle uitvoert. Wij ontvangen het resultaat en de gegevens die de wet vereist, geen kopie van alles wat je hebt geüpload.
Meld je aan vanaf een ander apparaat en bevries je kaarten, of schrijf naar [email protected] en wij bevriezen ze voor je. Je saldo blijft waar het is: het hangt aan je geverifieerde account, niet aan je apparaat.
Onafhankelijke penetratietests maken deel uit van het programma vóór de lancering, naast de eigen beveiligingsbeoordeling van onze uitgevende partner, die elk kaartprogramma moet doorstaan voordat het live gaat.
Nee, en het is de moeite waard precies te zijn over waarom. Depositogarantiestelsels, het FSCS in het Verenigd Koninkrijk, de FDIC in de Verenigde Staten, de EU-richtlijnen voor depositogarantie, dekken tegoeden bij vergunninghoudende banken. Een kaartsaldo bij een vergunninghoudende e-geldinstelling of uitgevende partner wordt in plaats daarvan veiliggesteld door scheiding: je geld wordt apart gehouden van dat van het bedrijf, zodat het van jou blijft en geen bedrijfsmiddel wordt. Cryptosaldo's worden door helemaal niets gedekt, nergens. Een aanbieder die beweert dat zijn cryptosaldo's verzekerd zijn, beschrijft iets anders dan een depositogarantie.
Wij kunnen een account bevriezen, en in sommige situaties zijn wij daar wettelijk toe verplicht. De antiwitwaswetgeving verplicht vergunninghoudende ondernemingen en hun partners om transacties in omschreven omstandigheden vast te houden of te weigeren, en in sommige rechtsgebieden verbiedt ze ook om je op dat moment te vertellen waarom. Wij kunnen je geld niet voor eigen gebruik afnemen: gescheiden gelden zijn niet van ons. Het antiwitwasbeleid beschrijft wat een beoordeling in gang zet en wat wij je wel en niet kunnen vertellen.
In de meeste gevallen is het niet terug te halen, en dit is de meest voorkomende manier waarop mensen geld verliezen in crypto; het heeft niets te maken met de beveiliging van welke aanbieder dan ook. USDT over de verkeerde keten sturen, of naar een adres voor een andere munt, betekent in de regel dat het geld weg is. Controleer het netwerk voordat je bevestigt. Waar herstel technisch mogelijk is, proberen wij het, maar wij kunnen het niet beloven en rekenen niets voor de poging.
Wij vragen nooit om je wachtwoord, een tweestapscode, je volledige kaartnummer of je herstelzin: niet per e-mail, niet per telefoon, niet in een chat, nooit. Ons enige supportadres is [email protected] en onze enige website is nelvoi.com. Vraagt een bericht om een van die dingen, dan is het niet van ons, hoe het afzenderadres er ook uitziet. Stuur het door naar [email protected] en verwijder het.
Wij verkopen geen persoonsgegevens. Gegevens worden gedeeld met de partijen die nodig zijn om de dienst te laten werken (de verificatiepartner die de identiteitscontrole uitvoert, de uitgevende en bancaire partners die saldo's aanhouden en betalingen verwerken, en de kaartnetwerken die transacties routeren) en met autoriteiten waar de wet dat vereist. Het privacybeleid noemt de categorieën en de redenen.
Onafhankelijke penetratietests maken deel uit van het programma vóór de lancering, naast de eigen beveiligingsbeoordeling van onze uitgevende partner, die elk kaartprogramma moet doorstaan voordat het live gaat. Kaartprogramma's erven ook de PCI DSS-eisen die gelden voor het verwerken van kaartgegevens, en dat is een van de redenen dat volledige kaartnummers door het uitgifteplatform worden verwerkt en niet door ons worden opgeslagen.
Lees verder
- Is een cryptokaart veilig? De risico's zijn echt, maar het zijn niet de risico's waar mensen zich zorgen over maken. Dit is wat het geld werkelijk beschermt, en waar niets het tegen beschermt. Lezen →
- Verificatie, en waarom je er niet omheen kunt Elke kaartuitgever vraagt wie je bent voordat hij iets uitgeeft. Dit is wat er werkelijk wordt gecontroleerd, en waardoor een controle wordt afgewezen. Lezen →
Nog niets in deze categorie.
Dit document is in meerdere talen beschikbaar. Bij een verschil tussen de versies is de Engelse versie leidend.
