Policy för bedrägeri och säkerhet
Inga slagord om kryptering på banknivå, utan de faktiska mekanismerna, vem som håller vad och vad de inte täcker.
1. Syfte och omfattning
1.1 Syfte. Denna policy beskriver de åtgärder Nelvoi Ltd vidtar för att förebygga bedrägerier, skydda konton och säkra Plattformen, samt vad du själv kan göra för att skydda dig.
1.2 Omfattning. Den gäller alla användare av Plattformen och omfattar förebyggande av bedrägerier, säkerhetskontroller, identitetskontroll, incidenthantering och hur ansvaret fördelas mellan oss och dig.
1.3 Om nuvarande skede. NELVOI har ännu inte lanserats. Kontrollerna nedan beskriver programmet så som det byggs och så som det kommer att fungera; det som redan finns på plats i dag gäller själva webbplatsen.
Fiatsaldon ligger hos licensierade kortutgivande partner och bankpartner, på konton som hålls åtskilda från företagets egna rörelsemedel.
Apple Pay och Google Pay ger butiken en engångstoken. En butik som utsätts för dataintrång kan inte läcka ditt kort.
Kryptovalutor omfattas inte av något insättningsgarantisystem, någonstans. Vi skriver det hellre här än låter dig tro något annat.
2. Så förvaras ditt saldo i praktiken
”Dina pengar är trygga” är den minst användbara meningen i den här branschen. Det som spelar roll är vem som faktiskt håller pengarna, om de blandas med företagets egna och vad som händer med dem om företaget försvinner. Det är tre olika frågor, och svaren skiljer sig åt beroende på om saldot är i fiat eller krypto.
Fiatsaldon. Pengar som laddas på ett kort ligger hos de licensierade kortutgivande partner och bankpartner som driver kortprogrammet, på avskilda konton – åtskilda från NELVOIs egna rörelsemedel och märkta som kundernas tillgångar. Det är avskiljandet som gör att saldona kan återbetalas till kunderna i stället för att bli tillgängliga för företagets borgenärer. Det är en annan mekanism än insättningsgaranti, den skyddar mot en annan sorts haveri, och vi tänker inte blanda ihop dem: en insättningsgaranti betalar tillbaka dig om banken går under, avskiljande ser till att pengarna aldrig var företagets att förlora.
Kryptosaldon. Kryptovaluta som du skickar växlas till ett fiatsaldo som går att spendera och hålls inte som en investeringsposition: kortet spenderar fiat, och växlingen sker på vägen in. Krypto som tillfälligt hålls under processen ligger hos en reglerad förvaringspartner, inte i nycklar på våra egna datorer. Ingen del av detta omfattas av ett insättningsgarantisystem någonstans i världen, eftersom inget sådant system täcker krypto. Den som säger något annat är antingen förvirrad eller försöker sälja något.
Vad som händer vid insolvens. Avskilda kundmedel är inte företagets tillgångar, och det är hela poängen med att avskilja dem. Vid insolvens identifieras de som kundernas pengar och återbetalas enligt det förfarande som gäller i utgivarens jurisdiktion. Det förfarandet tar tid – veckor eller månader, inte timmar – och vi vill hellre att du vet det nu än att du upptäcker det i värsta tänkbara ögonblick.
Det ärliga förbehållet. NELVOI har ännu inte lanserats, och styckena ovan beskriver hur programmet är uppbyggt, inte en driftsatt tjänst som håller dina pengar i dag. Den kortutgivande partnern, jurisdiktionen och skyddsarrangemanget kommer att anges på denna sida och i villkoren innan konton öppnas.
3. Våra kontroller
Fyra lager. Vart och ett kostar oss något, och det är så du kan se att de är på riktigt.
Identitetskontroll
En statligt utfärdad id-handling som äkthetskontrolleras, en livenesskontroll av att ansiktet stämmer med handlingen, bekräftelse av bostadsort och kontroll mot sanktionslistor och listor över personer i politiskt utsatt ställning. Relationer med högre risk genomgår fördjupad kundkännedom, och kontrollen fortsätter efter registreringen, eftersom listorna ändras.
Kontosäkerhet
Tvåfaktorsautentisering, som krävs vid uttag, säkerhetsändringar och när en enhet läggs till. Kryptering under överföring och i lagring. Sessioner som löper ut automatiskt och en lista över inloggade enheter som du kan logga ut på distans. Personalens åtkomst är rollbaserad, begränsad till minsta möjliga behörighet och loggad.
Transaktionsövervakning
Kontroll i realtid, beteendeanalys av mönster som avviker från kontots normala användning, frekvenskontroller och gränser, sanktionskontroll av motparter samt automatiska varningar som granskas av en person i stället för att stängas automatiskt.
Infrastruktur
Brandväggar och intrångsdetektering, sårbarhetshantering och uppdateringar, säker utvecklingspraxis, kontinuerlig övervakning och oberoende penetrationstester som en del av programmet före lansering, tillsammans med den kortutgivande partnerns egen säkerhetsgranskning, som varje kortprogram måste klara innan det går live.
4. Kontosäkerhet
Kortet och saldot betyder mindre än kontot de hänger på. De flesta förluster inom konsumentfinans börjar med att någon annan tar sig in på ett konto, inte med ett tekniskt intrång.
Tvåfaktorsautentisering
Finns på alla konton och krävs för känsliga åtgärder: uttag, ändring av säkerhetsinställningar och när en ny enhet läggs till. En angripare som bara har ditt lösenord kommer ingen vart.
Kontroll över enheter och sessioner
Varje inloggad enhet visas med sin senaste aktivitet, och alla kan loggas ut på distans. Om en session ser fel ut kan du avsluta den utan att vänta på supporten.
Aviseringar om det som spelar roll
En avisering för varje betalning och vid ändring av säkerhetsinställningar, registrerad e-postadress eller telefonnummer. Det är i tystnaden som kontokapningar förblir oupptäckta i flera dagar.
Karenstid vid känsliga ändringar
Om du ändrar e-postadress eller telefonnummer på ett konto begränsas uttag tillfälligt. Det är ett engångsbesvär för dig och ett allvarligt hinder för den som nyss har stulit dina inloggningsuppgifter.
5. Så skyddar du dig mot bedrägerier
Det här stoppar de attacker som faktiskt lyckas. Inget av det är tekniskt.
Ett unikt lösenord och tvåfaktorsautentisering
Unikt, så att ett intrång på en annan webbplats inte blir ett intrång här. Tvåfaktor, så att ett stulet lösenord inte räcker. Välj hellre en autentiseringsapp än sms: ett SIM-kort kan bytas ut.
Dela aldrig en kod
Ditt lösenord, en tvåfaktorskod, ditt fullständiga kortnummer och en återställningsfras behövs aldrig av oss och efterfrågas aldrig av oss. Den som ber om något av detta är inte vi, oavsett hur avsändaradressen ser ut.
Nå oss genom att skriva in adressen
Följ inte länkar i oväntade meddelanden. Öppna nelvoi.com själv. En länk som ser rätt ut i ett mejl är den billigaste delen av ett nätfiskepaket.
Misstro brådska
Press att agera omedelbart är det gemensamma draget i nästan alla lyckade bedrägerier. En legitim begäran tål att du tar en timme på dig att kontrollera den.
Skydda enheten och e-postkontot
Din e-post är vägen till att återställa allt annat, så skydda den minst lika väl som dina pengar. Håll programvaran uppdaterad och undvik finansiella åtgärder på offentliga nätverk.
Kontrollera innan du bekräftar
Mottagare, nätverk, belopp, valuta. På en blockkedja är ett fel här slutgiltigt – se avsnitt 7.
6. Om något går fel
Vad du ska göra, i ordning. De två första stegen är dina, och det är de som stoppar blödningen.
Frys kortet
Ett tryck i kontrollpanelen, från vilken enhet du än kan logga in på. Nya betalningar nekas direkt och saldot ligger kvar. Gör detta före allt annat: det tar några sekunder och går att ångra.
Byt lösenord och logga ut andra enheter
Om du tror att någon annan har tillgång till kontot och inte bara till kortet är det här steget som stänger ute personen. Båda finns i säkerhetsinställningarna.
Skriv till supporten
[email protected], från adressen på kontot om du kan. Berätta vad som hänt och när. Vi svarar inom en arbetsdag, och anmälningar om kapade konton går före i kön.
Vi utreder och agerar
Vi kan frysa kort, blockera en enhet, utfärda ett nytt kortnummer och bevara transaktionsuppgifterna inför en tvist. Det vi inte kan göra är att återkalla en genomförd blockkedjeöverföring – det kan ingen.
7. Hur ansvaret fördelas
7.1 Vårt ansvar. Att upprätthålla kontrollerna i avsnitt 3, utreda anmälningar skyndsamt, frysa det som behöver frysas, bevara transaktionsuppgifterna och underrätta dig och myndigheterna när ett intrång kräver det.
7.2 Ditt ansvar. Att skydda inloggningsuppgifter och enheter, aktivera de säkerhetsfunktioner vi tillhandahåller, granska transaktioner innan du bekräftar dem och skyndsamt anmäla allt som är obehörigt.
7.3 Det vi inte kan göra ogjort. Enligt de allmänna villkoren ansvarar vi inte för förluster som beror på inloggningsuppgifter du har röjt, på obehörig åtkomst genom komprometterad autentisering, på nätfiske eller social manipulation där du lämnade ut informationen eller på transaktioner du har godkänt, även om du lurades att godkänna dem. Det är ingen ansvarsfriskrivning vi gömmer undan: det är skälet till att avsnitt 5 finns, och skälet till att bedrägerier med kundgodkända betalningar är den svåraste sorten att gottgöra inom hela finansvärlden.
7.4 Det ingen kan göra ogjort. En genomförd blockkedjeöverföring kan inte återkallas av oss, våra partner eller någon annan. Där det är tekniskt möjligt att återvinna medlen försöker vi, och vi tar inte betalt för försöket.
8. Incidenthantering
8.1 Förfarande. Vi har dokumenterade rutiner för incidenthantering för att upptäcka och begränsa incidenter, utreda grundorsaker, genomföra korrigerande åtgärder och underrätta de berörda.
8.2 Underrättelse. Om en incident påverkar dina personuppgifter eller ditt konto underrättar vi dig enligt vad tillämplig lag kräver, utan onödigt dröjsmål, med vad vi vet och vad vi rekommenderar att du gör. Vi fördröjer inte en underrättelse för att hinna formulera en som låter bättre.
8.3 Brottsbekämpning. Vi samarbetar med brottsbekämpande myndigheter och tillsynsmyndigheter som utreder bedrägerier och it-brottslighet, och vi kan rapportera misstänkt aktivitet utan att meddela dig om lagen tillåter eller kräver det – se policyn mot penningtvätt för varför vi ibland inte kan berätta det för dig.
9. Kontrollerna är dina, inget du behöver ansöka om hos oss
Den mesta skadan på ett konto sker under timmen innan någon når supporten. Därför finns det som stoppar den i appen, inte bakom en telefonkö.
- Frys med ett tryck — nya betalningar nekas direkt, saldot ligger kvar
- Byt ut numret — gratis, utan att konto eller pengar behöver flyttas
- Bekräftelse i telefonen — 3-D Secure vid betalningar med högre risk, så att ett stulet nummer inte räcker
- Kortuppgifter bakom ny autentisering — hela numret visas bara när du ber om det
10. Vad detta inte täcker
Att vara rak med begränsningarna är viktigare än en längre lista med försäkringar om att allt är tryggt.
Kryptovalutor omfattas inte av insättningsskydd. Statliga insättningsgarantisystem skyddar bankinsättningar, inte kryptosaldon. Tillgångar i krypto bär marknadsrisk och är inte försäkrade mot den.
Blockkedjeöverföringar är slutgiltiga. Om du skickar medel till fel adress eller på fel nätverk kan ingen återkalla det. Kontrollera alltid nätverket innan du skickar. Det här är det absolut vanligaste sättet att förlora pengar, och det har inget med vår säkerhet att göra.
Ingen från NELVOI kommer någonsin att be om ditt lösenord, din 2FA-kod eller ditt fullständiga kortnummer. Den som gör det utger sig för att vara vi. Vår enda supportadress är [email protected].
11. Frågor om säkerhet
Kundernas medel hålls på avskilda konton hos reglerade partner, åtskilda från företagets pengar, och det är det som gör att de kan återbetalas till kunderna i stället för att behandlas som företagets tillgångar. Det är inte samma sak som insättningsgaranti, och vi kommer inte att beskriva det så.
De skickas till en reglerad verifieringsleverantör som utför kontrollen. Vi får resultatet och de uppgifter som lagen kräver, inte en kopia av allt du har laddat upp.
Logga in från en annan enhet och frys dina kort, eller skriv till [email protected] så fryser vi dem åt dig. Ditt saldo ligger kvar: det är knutet till ditt verifierade konto, inte till din enhet.
Oberoende penetrationstester ingår i programmet före lansering, tillsammans med vår kortutgivande partners egen säkerhetsgranskning, som varje kortprogram måste klara innan det går live.
Nej, och det är värt att vara exakt med varför. Insättningsgarantisystem – FSCS i Storbritannien, FDIC i USA, EU:s direktiv om insättningsgarantier – täcker insättningar i licensierade banker. Ett kortsaldo hos en reglerad partner för e-pengar eller kortutgivning skyddas i stället genom avskiljande: dina pengar hålls åtskilda från företagets, så att de förblir dina och inte blir en tillgång i verksamheten. Kryptosaldon täcks inte av något alls, någonstans. En leverantör som påstår att dess kryptosaldon är försäkrade beskriver något annat än insättningsgaranti.
Vi kan frysa ett konto, och i vissa situationer är vi skyldiga enligt lag att göra det. Lagstiftningen mot penningtvätt ålägger reglerade företag och deras partner att hålla inne eller neka transaktioner i fastställda situationer, och i vissa jurisdiktioner förbjuder den också att du får veta varför just då. Vi kan inte ta dina pengar för eget bruk: avskilda medel är inte våra. Policyn mot penningtvätt beskriver vad som utlöser en granskning och vad vi kan och inte kan berätta.
I de flesta fall går det inte att återvinna, och det här är det absolut vanligaste sättet att förlora pengar i krypto. Det har inget med någon leverantörs säkerhet att göra. Att skicka USDT på fel kedja, eller till en adress för en annan tillgång, innebär i regel att medlen är borta. Kontrollera nätverket innan du bekräftar. Där det är tekniskt möjligt att återvinna medlen försöker vi, men vi kan inte lova något och vi tar inte betalt för försöket.
Vi ber aldrig om ditt lösenord, en tvåfaktorskod, ditt fullständiga kortnummer eller din återställningsfras – inte via mejl, inte per telefon, inte i chatt, aldrig. Vår enda supportadress är [email protected] och vår enda webbplats är nelvoi.com. Om ett meddelande ber om något av detta är det inte från oss, oavsett hur avsändaradressen ser ut. Vidarebefordra det till [email protected] och radera det.
Vi säljer inte personuppgifter. Uppgifter delas med de parter som behövs för att driva tjänsten – verifieringsleverantören som utför identitetskontroller, de kortutgivande partner och bankpartner som håller saldon och behandlar betalningar, och kortnätverken som dirigerar transaktioner – och med myndigheter när lagen kräver det. Integritetspolicyn anger kategorierna och skälen.
Oberoende penetrationstester ingår i programmet före lansering, tillsammans med vår kortutgivande partners egen säkerhetsgranskning, som varje kortprogram måste klara innan det går live. Kortprogram omfattas dessutom av de PCI DSS-krav som gäller hantering av kortdata, vilket är ett skäl till att fullständiga kortnummer hanteras av kortutgivningsplattformen och inte lagras hos oss.
Läs vidare
- Är ett kryptokort säkert? Riskerna är verkliga, men det är inte dem folk oroar sig för. Här är vad som faktiskt skyddar pengarna och vad inget skyddar dem mot. Läs →
- Verifiering, och varför det inte går att komma runt den Alla kortutgivare frågar vem du är innan de utfärdar något. Här är vad som faktiskt kontrolleras och vad som gör att en kontroll underkänns. Läs →
Inget i den här kategorin än.
Det här dokumentet finns på flera språk. Vid avvikelser mellan versionerna gäller den engelska versionen.
