Polityka przeciwdziałania oszustwom i bezpieczeństwa
Nie hasła o szyfrowaniu klasy bankowej – konkretne mechanizmy, kto co przechowuje i czego one nie obejmują.
1. Cel i zakres
1.1 Cel. Niniejsza Polityka opisuje środki, które Nelvoi Ltd utrzymuje w celu zapobiegania oszustwom, ochrony kont i zabezpieczenia Platformy, oraz to, co Ty możesz zrobić, by chronić siebie.
1.2 Zakres. Ma zastosowanie do każdego użytkownika Platformy i obejmuje zapobieganie oszustwom, mechanizmy bezpieczeństwa, weryfikację tożsamości, zarządzanie incydentami oraz podział odpowiedzialności między nami a Tobą.
1.3 Uwaga o etapie. NELVOI jest przed uruchomieniem. Poniższe mechanizmy opisują program w takiej postaci, w jakiej jest budowany i w jakiej będzie działać; to, co istnieje już dziś, obejmuje samą tę stronę internetową.
Salda w walutach fiat są przechowywane u licencjonowanych partnerów wydających i bankowych, na rachunkach oddzielonych od własnych środków operacyjnych firmy.
Apple Pay i Google Pay przekazują sprzedawcy jednorazowy token. Zhakowany sklep nie może ujawnić Twojej karty.
Kryptowaluty nie są objęte żadnym systemem gwarantowania depozytów, nigdzie. Wolimy napisać to tutaj, niż pozwolić Ci zakładać inaczej.
2. Jak naprawdę przechowywane jest Twoje saldo
„Twoje środki są bezpieczne” to najmniej użyteczne zdanie w tej branży. Liczy się to, kto fizycznie przechowuje pieniądze, czy są zmieszane z własnymi pieniędzmi firmy i co się z nimi stanie, jeśli firma zniknie. To trzy różne pytania i mają trzy różne odpowiedzi w zależności od tego, czy saldo jest w walucie fiat, czy w kryptowalucie.
Salda w walutach fiat. Pieniądze załadowane na kartę są przechowywane u licencjonowanych partnerów wydających i bankowych, którzy prowadzą program kartowy, na rachunkach wydzielonych – oddzielonych od własnych środków operacyjnych NELVOI i oznaczonych jako należące do klientów. Wydzielenie sprawia, że te salda podlegają zwrotowi klientom, zamiast być dostępne dla wierzycieli firmy. To inny mechanizm niż gwarancja depozytów, chroni przed innym rodzajem awarii i nie będziemy tych dwóch rzeczy mieszać: gwarancja depozytów bankowych wypłaca Ci pieniądze, jeśli bank upadnie; wydzielenie sprawia, że pieniądze nigdy nie były własnością firmy, którą mogłaby stracić.
Salda w kryptowalutach. Kryptowaluta, którą wysyłasz, jest przeliczana na saldo w walucie fiat do wydawania, a nie przechowywana jako pozycja inwestycyjna – karta wydaje walutę fiat, a przeliczenie następuje przy wpływie. Kryptowaluta przechowywana przejściowo w trakcie tego procesu znajduje się u regulowanego partnera powierniczego, a nie w kluczach na naszych własnych laptopach. Żadna część tego nie jest objęta systemem gwarantowania depozytów nigdzie na świecie, bo żaden taki system nie obejmuje kryptowalut. Kto twierdzi inaczej, albo się myli, albo coś sprzedaje.
Co dzieje się w razie niewypłacalności. Wydzielone środki klientów nie są aktywami firmy – to cały sens ich wydzielenia. W razie niewypłacalności są identyfikowane jako pieniądze klientów i zwracane w trybie obowiązującym w jurysdykcji wydawcy. Ten proces wymaga czasu – tygodni lub miesięcy, nie godzin – i wolimy, żebyś wiedział o tym teraz, niż odkrył to w najgorszym momencie.
Uczciwe zastrzeżenie. NELVOI jest przed uruchomieniem, a powyższe akapity opisują strukturę programu, a nie działającą usługę, która dziś przechowuje Twoje pieniądze. Konkretny partner wydający, jurysdykcja i sposób zabezpieczenia środków zostaną wskazane na tej stronie i w regulaminie przed otwarciem kont.
3. Nasze mechanizmy kontroli
Cztery warstwy. Każda ma dla nas koszt, i po tym poznasz, że są prawdziwe.
Weryfikacja tożsamości
Dokument wydany przez państwo sprawdzony pod kątem autentyczności, test żywotności potwierdzający, że twarz do niego pasuje, potwierdzenie miejsca zamieszkania oraz sprawdzenie w wykazach sankcyjnych i wykazach osób zajmujących eksponowane stanowiska polityczne. Relacje o podwyższonym ryzyku podlegają wzmożonej należytej staranności, a sprawdzanie trwa także po onboardingu, bo wykazy się zmieniają.
Bezpieczeństwo konta
Uwierzytelnianie dwuskładnikowe, wymagane przy wypłatach, zmianach ustawień bezpieczeństwa i dodawaniu urządzenia. Szyfrowanie w trakcie przesyłania i w spoczynku. Automatyczne wygasanie sesji i lista zalogowanych urządzeń, które możesz zdalnie wylogować. Dostęp pracowników jest oparty na rolach, ograniczony do niezbędnego minimum i rejestrowany.
Monitorowanie transakcji
Sprawdzanie w czasie rzeczywistym, analiza behawioralna wykrywająca wzorce niezgodne ze zwykłym użyciem konta, kontrole częstotliwości i limity, sprawdzanie kontrahentów pod kątem sankcji oraz automatyczne alerty przeglądane przez człowieka, a nie zamykane automatycznie.
Infrastruktura
Zapory sieciowe i wykrywanie włamań, zarządzanie podatnościami i aktualizacje, bezpieczne praktyki programistyczne, ciągłe monitorowanie oraz niezależne testy penetracyjne w ramach programu przed uruchomieniem, obok własnego przeglądu bezpieczeństwa partnera wydającego, który każdy program kartowy musi przejść przed startem.
4. Bezpieczeństwo konta
Karta i saldo znaczą mniej niż konto, do którego są przypisane. Większość strat w finansach konsumenckich zaczyna się od tego, że ktoś inny dostaje się do konta, a nie od włamania technicznego.
Uwierzytelnianie dwuskładnikowe
Dostępne na każdym koncie i wymagane przy wrażliwych działaniach: wypłatach, zmianie ustawień bezpieczeństwa, dodawaniu nowego urządzenia. Atakujący z samym Twoim hasłem nie dojdzie nigdzie.
Kontrola urządzeń i sesji
Każde zalogowane urządzenie jest na liście z ostatnią aktywnością i każde z nich można zdalnie wylogować. Jeśli sesja wygląda podejrzanie, możesz ją zakończyć bez czekania na wsparcie.
Powiadomienia o działaniach, które mają znaczenie
Powiadomienie o każdej płatności oraz o zmianach ustawień bezpieczeństwa, zarejestrowanego adresu e-mail lub numeru telefonu. Cisza to sposób, w jaki przejęcia kont pozostają niezauważone przez wiele dni.
Okres karencji przy wrażliwych zmianach
Zmiana adresu e-mail lub numeru telefonu na koncie tymczasowo ogranicza wypłaty. Dla Ciebie to jednorazowa niedogodność, dla kogoś, kto właśnie ukradł Twoje dane logowania – poważna przeszkoda.
5. Jak chronić się przed oszustwami
To zatrzymuje ataki, które naprawdę się udają. Żaden z tych punktów nie jest techniczny.
Unikalne hasło i uwierzytelnianie dwuskładnikowe
Unikalne, by wyciek z innej strony nie był wyciekiem z tej. Dwuskładnikowe, by samo skradzione hasło nie wystarczyło. Wybieraj aplikację uwierzytelniającą zamiast SMS: kartę SIM można podmienić.
Nigdy nie udostępniaj kodu
Twoje hasło, kod dwuskładnikowy, pełny numer karty i jakakolwiek fraza odzyskiwania nigdy nie są nam potrzebne i nigdy o nie nie prosimy. Kto o nie prosi, nie jest nami, niezależnie od tego, jak wygląda adres nadawcy.
Docieraj do nas, wpisując adres
Nie klikaj linków w niespodziewanych wiadomościach. Otwórz nelvoi.com samodzielnie. Link, który w e-mailu wygląda poprawnie, to najtańsza część zestawu phishingowego.
Nie ufaj presji czasu
Nacisk na natychmiastowe działanie to wspólna cecha niemal każdego udanego oszustwa. Uzasadniona prośba przetrwa godzinę, którą poświęcisz na jej sprawdzenie.
Zabezpiecz urządzenie i konto e-mail
Twój e-mail to droga resetu do wszystkiego innego; zabezpiecz go co najmniej tak dobrze jak pieniądze. Aktualizuj oprogramowanie i unikaj operacji finansowych w sieciach publicznych.
Sprawdź przed potwierdzeniem
Odbiorca, sieć, kwota, waluta. W blockchainie błąd w tym miejscu jest ostateczny – zobacz sekcję 7.
6. Jeśli coś pójdzie nie tak
Co robić, po kolei. Pierwsze dwa kroki należą do Ciebie i to one zatrzymują straty.
Zablokuj kartę
Jedno dotknięcie w panelu albo z dowolnego urządzenia, na którym możesz się zalogować. Nowe płatności są natychmiast odrzucane, a saldo zostaje na miejscu. Zrób to przed wszystkim innym – zajmuje sekundy i jest odwracalne.
Zmień hasło i wyloguj pozostałe urządzenia
Jeśli sądzisz, że ktoś inny ma dostęp do konta, a nie tylko do karty, ten krok go usuwa. Obie opcje są w ustawieniach bezpieczeństwa.
Napisz do wsparcia
[email protected], jeśli możesz – z adresu przypisanego do konta. Opisz, co się stało i kiedy. Odpowiadamy w ciągu jednego dnia roboczego, a zgłoszenia przejęcia konta są obsługiwane poza kolejką.
Badamy sprawę i działamy
Możemy zablokować karty, zablokować urządzenie, wydać nowy numer karty i zabezpieczyć zapis transakcji na potrzeby reklamacji. Nie możemy natomiast cofnąć zakończonego przelewu w blockchainie – nikt nie może.
7. Podział odpowiedzialności
7.1 Nasza. Utrzymywanie mechanizmów z sekcji 3; niezwłoczne badanie zgłoszeń; blokowanie tego, co wymaga blokady; zabezpieczanie zapisu transakcji; powiadamianie Ciebie i organów, gdy wymaga tego naruszenie.
7.2 Twoja. Zabezpieczanie danych logowania i urządzeń; włączanie udostępnianych przez nas funkcji bezpieczeństwa; sprawdzanie transakcji przed ich potwierdzeniem; niezwłoczne zgłaszanie wszystkiego, co nieautoryzowane.
7.3 Czego nie możemy cofnąć. Zgodnie z Regulaminem nie ponosimy odpowiedzialności za straty wynikające z ujawnionych przez Ciebie danych logowania, z nieautoryzowanego dostępu przez przejęte uwierzytelnienie, z phishingu lub socjotechniki, gdy to Ty podałeś informacje, ani z transakcji, które autoryzowałeś – nawet jeśli zostałeś podstępem nakłoniony do ich autoryzacji. Nie jest to zastrzeżenie, które ukrywamy: to powód, dla którego istnieje sekcja 5, i powód, dla którego oszustwo na autoryzowaną płatność jest najtrudniejszym do naprawienia rodzajem oszustwa w całych finansach.
7.4 Czego nikt nie może cofnąć. Zakończonego przelewu w blockchainie nie możemy cofnąć ani my, ani nasi partnerzy, ani nikt inny. Tam, gdzie odzyskanie jest technicznie możliwe, podejmiemy próbę i nie pobierzemy za nią opłaty.
8. Zarządzanie incydentami
8.1 Procedura. Utrzymujemy udokumentowane procedury reagowania na incydenty, które służą wykrywaniu i ograniczaniu incydentów, badaniu przyczyn źródłowych, wdrażaniu środków naprawczych i powiadamianiu osób, których dotyczą.
8.2 Powiadomienie. Jeśli incydent dotyczy Twoich danych osobowych lub Twojego konta, powiadomimy Cię w sposób i w terminie wymaganym przez obowiązujące prawo, bez zbędnej zwłoki, podając to, co wiemy, i to, co zalecamy zrobić. Nie będziemy opóźniać powiadomienia, by dopracować jego lepsze brzmienie.
8.3 Organy ścigania. Współpracujemy z organami ścigania i organami nadzoru badającymi oszustwa i cyberprzestępczość, i możemy zgłaszać podejrzaną aktywność bez powiadamiania Ciebie, gdy prawo na to zezwala lub tego wymaga – dlaczego czasem nie możemy Ci tego powiedzieć, wyjaśnia polityka przeciwdziałania praniu pieniędzy.
9. Mechanizmy kontroli są Twoje, nie trzeba o nie prosić
Większość szkód na koncie dzieje się w ciągu godziny, zanim ktokolwiek dodzwoni się do wsparcia. Dlatego to, co je zatrzymuje, jest w aplikacji, a nie za kolejką na infolinii.
- Blokada jednym dotknięciem — nowe płatności są natychmiast odrzucane, saldo zostaje na miejscu
- Wymiana numeru — bezpłatnie i bez przenoszenia konta ani pieniędzy
- Potwierdzenie na Twoim telefonie — 3-D Secure przy płatnościach podwyższonego ryzyka, więc skradziony numer nie wystarczy
- Dane za ponownym uwierzytelnieniem — pełny numer jest pokazywany tylko wtedy, gdy o niego poprosisz
10. Czego to nie obejmuje
Otwartość co do granic znaczy więcej niż dłuższa lista zapewnień.
Kryptowaluty nie są objęte ochroną depozytów. Państwowe systemy gwarantowania depozytów chronią depozyty bankowe, nie salda w kryptowalutach. Aktywa przechowywane w kryptowalutach niosą ryzyko rynkowe i nie są przed nim ubezpieczone.
Przelewy w blockchainie są ostateczne. Jeśli wyślesz środki na zły adres lub w złej sieci, nikt nie może tego cofnąć. Zawsze sprawdzaj sieć przed wysłaniem – to najczęstszy sposób, w jaki ludzie tracą pieniądze, i nie ma on nic wspólnego z naszym bezpieczeństwem.
Nikt z NELVOI nigdy nie poprosi o Twoje hasło, kod 2FA ani pełny numer karty. Kto to robi, podszywa się pod nas. Nasz jedyny adres wsparcia to [email protected].
11. Pytania o bezpieczeństwo
Środki klientów są przechowywane na wydzielonych rachunkach u regulowanych partnerów, oddzielnie od pieniędzy firmy, co pozwala zwrócić je klientom, zamiast traktować jako aktywa firmy. To nie to samo co gwarancja depozytów i nie będziemy tego tak opisywać.
Są przekazywane regulowanemu dostawcy weryfikacji, który przeprowadza sprawdzenie. My otrzymujemy wynik i dane wymagane prawem, a nie kopię wszystkiego, co przesłałeś.
Zaloguj się z innego urządzenia i zablokuj karty albo napisz na [email protected], a zablokujemy je za Ciebie. Saldo zostaje na miejscu – jest przypisane do Twojego zweryfikowanego konta, nie do urządzenia.
Niezależne testy penetracyjne są częścią programu przed uruchomieniem, obok własnego przeglądu bezpieczeństwa naszego partnera wydającego, który każdy program kartowy musi przejść przed startem.
Nie, i warto dokładnie powiedzieć dlaczego. Systemy gwarantowania depozytów – FSCS w Wielkiej Brytanii, FDIC w Stanach Zjednoczonych, unijne dyrektywy o gwarantowaniu depozytów – obejmują depozyty w licencjonowanych bankach. Saldo karty przechowywane u regulowanego partnera z sektora pieniądza elektronicznego lub wydającego karty jest zamiast tego zabezpieczone przez wydzielenie: Twoje pieniądze są trzymane oddzielnie od pieniędzy firmy, więc pozostają Twoje, zamiast stać się aktywem przedsiębiorstwa. Salda w kryptowalutach nie są objęte niczym, nigdzie. Dostawca twierdzący, że jego salda w kryptowalutach są ubezpieczone, opisuje coś innego niż gwarancja depozytów.
Możemy zablokować konto, a w niektórych sytuacjach prawo nas do tego zobowiązuje. Przepisy o przeciwdziałaniu praniu pieniędzy nakładają na firmy regulowane i ich partnerów obowiązek wstrzymania lub odmowy transakcji w określonych okolicznościach, a w niektórych jurysdykcjach zabraniają też informowania Cię wówczas o przyczynie. Nie możemy zabrać Twoich pieniędzy na własny użytek – wydzielone środki nie są nasze. Co uruchamia weryfikację i co możemy, a czego nie możemy Ci powiedzieć, opisuje polityka przeciwdziałania praniu pieniędzy.
W większości przypadków jest to nieodwracalne i to najczęstszy sposób, w jaki ludzie tracą pieniądze w kryptowalutach – nie ma nic wspólnego z bezpieczeństwem jakiegokolwiek dostawcy. Wysłanie USDT w złym łańcuchu albo na adres innego aktywa zasadniczo oznacza, że środki przepadły. Sprawdź sieć przed potwierdzeniem. Tam, gdzie odzyskanie jest technicznie możliwe, spróbujemy, ale nie możemy tego obiecać i nie pobierzemy opłaty za próbę.
Nigdy nie poprosimy o Twoje hasło, kod dwuskładnikowy, pełny numer karty ani frazę odzyskiwania – ani e-mailem, ani telefonicznie, ani na czacie, nigdy. Nasz jedyny adres wsparcia to [email protected], a nasza jedyna strona to nelvoi.com. Jeśli wiadomość prosi o którąkolwiek z tych rzeczy, to nie my, niezależnie od tego, jak wygląda adres nadawcy. Prześlij ją na [email protected] i usuń.
Nie sprzedajemy danych osobowych. Dane są udostępniane podmiotom niezbędnym do świadczenia usługi – dostawcy weryfikacji, który przeprowadza sprawdzenie tożsamości, partnerom wydającym i bankowym, którzy przechowują salda i przetwarzają płatności, oraz organizacjom kartowym, które kierują transakcje – a także organom, gdy wymaga tego prawo. Polityka prywatności wymienia kategorie i powody.
Niezależne testy penetracyjne są częścią programu przed uruchomieniem, obok własnego przeglądu bezpieczeństwa naszego partnera wydającego, który każdy program kartowy musi przejść przed startem. Programy kartowe dziedziczą też wymogi PCI DSS dotyczące obsługi danych kart, co jest jednym z powodów, dla których pełne numery kart obsługuje platforma wydająca, a nie przechowujemy ich my.
Czytaj dalej
- Czy karta kryptowalutowa jest bezpieczna? Ryzyka są realne, ale nie te, o które ludzie się martwią. Oto co naprawdę chroni pieniądze i przed czym nie chroni nic. Czytaj →
- Weryfikacja i dlaczego nie da się jej obejść Każdy wydawca kart pyta, kim jesteś, zanim cokolwiek wyda. Oto co naprawdę jest sprawdzane i co sprawia, że weryfikacja wraca odrzucona. Czytaj →
W tej kategorii nie ma jeszcze nic.
Ten dokument jest dostępny w kilku językach. W razie rozbieżności między wersjami rozstrzygająca jest wersja angielska.
