Безпека — як NELVOI захищає ваші гроші й дані

1. Мета і сфера застосування

1.1 Мета. Ця Політика описує заходи, яких Nelvoi Ltd вживає для запобігання шахрайству, захисту акаунтів і безпеки Платформи, а також те, що ви можете зробити для власного захисту.

1.2 Сфера застосування. Вона поширюється на кожного користувача Платформи і охоплює запобігання шахрайству, засоби контролю безпеки, перевірку особи, управління інцидентами і розподіл відповідальності між нами та вами.

1.3 Примітка про стадію. NELVOI ще не запущений. Засоби контролю нижче описують програму так, як її будують і як вона працюватиме; те, що діє вже сьогодні, стосується самого цього сайту.

Відокремлені Кошти клієнтів

Фіатні баланси зберігаються в ліцензованих партнерів-емітентів і банків, на рахунках, відокремлених від операційних коштів компанії.

Токенізований Номер вашої картки

Apple Pay і Google Pay передають продавцю одноразовий токен. Зламаний магазин не може злити вашу картку.

Немає Гарантування вкладів для криптовалюти

Криптовалюта не покривається жодною системою гарантування вкладів ніде. Ми воліємо написати це тут, ніж дозволити вам припускати інше.

2. Як насправді зберігається ваш баланс

«Ваші кошти в безпеці» — найменш корисне речення в цій галузі. Важливо, хто фізично тримає гроші, чи змішані вони з власними коштами компанії і що з ними станеться, якщо компанія зникне. Це три різні запитання, і відповіді на них різні залежно від того, фіатний баланс чи криптовалютний.

Фіатні баланси. Гроші, зараховані на картку, зберігаються в ліцензованих партнерів-емітентів і банків, які ведуть карткову програму, на відокремлених рахунках — окремо від операційних коштів NELVOI і з позначенням як кошти клієнтів. Саме відокремлення робить ці баланси такими, що повертаються клієнтам, а не стають доступними кредиторам компанії. Це інший механізм, ніж страхування вкладів, він захищає від іншого збою, і ми не змішуватимемо ці поняття: гарантія банківських вкладів повертає вам гроші, якщо банк збанкрутує, а відокремлення гарантує, що ці гроші ніколи не були тими, які компанія могла б втратити.

Криптовалютні баланси. Криптовалюта, яку ви надсилаєте, конвертується у фіатний баланс для витрат, а не утримується як інвестиційна позиція — картка витрачає фіат, і конвертація відбувається на вході. Криптовалюта, яка тимчасово утримується в цьому процесі, зберігається в регульованого кастодіального партнера, а не в ключах на наших власних ноутбуках. Жодна частина цього не покривається системою гарантування вкладів ніде у світі, бо жодна така система не покриває криптовалюту. Хто стверджує інше, або плутається, або щось продає.

Що відбувається в разі неплатоспроможності. Відокремлені кошти клієнтів не є активами компанії — у цьому весь сенс відокремлення. У разі неплатоспроможності вони визнаються коштами клієнтів і повертаються за процедурою, що діє в юрисдикції емітента. Ця процедура триває довго — тижні чи місяці, а не години, — і ми воліємо, щоб ви знали це зараз, а не з’ясували в найгірший момент.

Чесне застереження. NELVOI ще не запущений, і абзаци вище описують, як структурована програма, а не чинний сервіс, що тримає ваші гроші сьогодні. Конкретний партнер-емітент, юрисдикція і механізм захисту коштів будуть названі на цій сторінці і в умовах до відкриття акаунтів.

3. Наші засоби контролю

Чотири рівні. Кожен коштує нам грошей — саме так можна зрозуміти, що вони справжні.

Перевірка особи

Державний документ, перевірений на справжність, перевірка живості — що обличчя збігається з ним, підтвердження місця проживання і звірка із санкційними списками та списками політично значущих осіб. Відносини з підвищеним ризиком проходять посилену перевірку, а скринінг триває і після реєстрації, бо списки змінюються.

Безпека акаунта

Двофакторна автентифікація, обов’язкова для виведення коштів, зміни налаштувань безпеки і додавання пристрою. Шифрування під час передавання і зберігання. Автоматичне завершення сесій і перелік пристроїв із входом, які можна відключити віддалено. Доступ співробітників — рольовий, з мінімальними привілеями і з журналюванням.

Моніторинг транзакцій

Скринінг у реальному часі, поведінкова аналітика для виявлення дій, нетипових для звичного використання акаунта, перевірки частоти операцій і ліміти, звірка контрагентів із санкційними списками та автоматичні сповіщення, які розглядає людина, а не закриває система.

Інфраструктура

Фаєрволи і виявлення вторгнень, управління вразливостями і оновлення, безпечна розробка, безперервний моніторинг і незалежне тестування на проникнення в межах передзапускової програми — поряд із власною перевіркою безпеки партнера-емітента, яку має пройти кожна карткова програма перед запуском.

4. Безпека акаунта

Картка і баланс важать менше, ніж акаунт, до якого вони прив’язані. Більшість втрат у споживчих фінансах починається з того, що хтось сторонній потрапляє в акаунт, а не з технічного злому.

Двофакторна автентифікація

Доступна в кожному акаунті і обов’язкова для чутливих дій: виведення коштів, зміни налаштувань безпеки, додавання нового пристрою. Зловмисник із самим лише вашим паролем нікуди не потрапить.

Контроль пристроїв і сесій

Кожен пристрій із входом показаний з останньою активністю, і будь-який можна відключити віддалено. Якщо сесія здається вам підозрілою, її можна завершити, не чекаючи підтримки.

Сповіщення про важливі дії

Сповіщення про кожен платіж і про зміни налаштувань безпеки, зареєстрованої електронної пошти чи номера телефону. Саме тиша дозволяє захопленню акаунта лишатися непоміченим днями.

Період очікування після чутливих змін

Зміна електронної пошти чи номера телефону в акаунті тимчасово обмежує виведення коштів. Для вас це одноразова незручність, а для того, хто щойно вкрав ваші дані для входу, — серйозна перешкода.

5. Як захиститися від шахрайства

Ці правила зупиняють атаки, які справді вдаються. Жодне з них не технічне.

Унікальний пароль і двофакторна автентифікація

Унікальний — щоб витік на іншому сайті не став витоком тут. Двофакторна — щоб самого вкраденого пароля було недостатньо. Віддавайте перевагу застосунку-автентифікатору, а не SMS: SIM-картку можна підмінити.

Ніколи не повідомляйте код

Ваш пароль, код двофакторної автентифікації, повний номер картки і фраза відновлення нам ніколи не потрібні, і ми їх ніколи не запитуємо. Хто їх просить — не ми, хай би як виглядала адреса відправника.

Заходьте до нас, набираючи адресу

Не переходьте за посиланнями з несподіваних повідомлень. Відкривайте nelvoi.com самостійно. Посилання, що виглядає правильно в листі, — найдешевша частина фішингового набору.

Не довіряйте терміновості

Тиск діяти негайно — спільна риса майже кожного вдалого шахрайства. Законний запит переживе годину, яку ви витратите на перевірку.

Захистіть пристрій і поштову скриньку

Ваша електронна пошта — шлях скидання для всього іншого; захищайте її щонайменше так само, як гроші. Оновлюйте програмне забезпечення і не виконуйте фінансових дій у публічних мережах.

Перевіряйте перед підтвердженням

Отримувач, мережа, сума, валюта. У блокчейні помилка тут остаточна — див. розділ 7.

6. Якщо щось пішло не так

Що робити, по порядку. Перші два кроки залежать від вас, і саме вони зупиняють втрати.

Заморозьте картку

Один дотик в особистому кабінеті або з будь-якого пристрою, з якого можете увійти. Нові платежі відхиляються негайно, а баланс лишається на місці. Зробіть це раніше за все інше — це секунди, і це можна скасувати.

Змініть пароль і вийдіть з акаунта на інших пристроях

Якщо ви вважаєте, що хтось отримав доступ до акаунта, а не лише до картки, саме цей крок його позбавляє доступу. Обидві дії є в налаштуваннях безпеки.

Напишіть у підтримку

На [email protected], за можливості з адреси, прив’язаної до акаунта. Опишіть, що сталося і коли. Ми відповідаємо протягом одного робочого дня, а повідомлення про компрометацію акаунта розглядаються позачергово.

Ми розслідуємо і діємо

Ми можемо заморозити картки, заблокувати пристрій, перевипустити номер картки і зберегти записи про транзакції для оскарження. Чого ми не можемо — скасувати завершений переказ у блокчейні; цього не може ніхто.

7. Розподіл відповідальності

7.1 Наша. Підтримувати засоби контролю з розділу 3; оперативно розслідувати повідомлення; заморожувати те, що потребує заморожування; зберігати записи про транзакції; повідомляти вас і органи влади, коли цього вимагає порушення.

7.2 Ваша. Зберігати в безпеці дані для входу і пристрої; вмикати функції безпеки, які ми надаємо; перевіряти транзакції перед підтвердженням; оперативно повідомляти про будь-що несанкціоноване.

7.3 Чого ми не можемо скасувати. Як зазначено в Умовах і положеннях, ми не несемо відповідальності за збитки, що виникли через розкриті вами дані для входу, через несанкціонований доступ унаслідок скомпрометованої автентифікації, через фішинг або соціальну інженерію, коли інформацію надали ви, або через транзакції, які ви авторизували, — навіть якщо вас обманом змусили їх авторизувати. Це не застереження, яке ми ховаємо: це причина існування розділу 5 і причина, з якої шахрайство з авторизованим платежем найважче виправити будь-де у фінансах.

7.4 Чого не може скасувати ніхто. Завершений переказ у блокчейні не можемо скасувати ні ми, ні наші партнери, ні будь-хто інший. Там, де повернення технічно можливе, ми спробуємо і не братимемо плати за спробу.

8. Управління інцидентами

8.1 Процедура. Ми підтримуємо задокументовані процедури реагування на інциденти, щоб виявляти й локалізувати їх, розслідувати першопричини, впроваджувати коригувальні заходи і повідомляти постраждалих.

8.2 Повідомлення. Якщо інцидент зачіпає вашу персональну інформацію або ваш акаунт, ми повідомимо вас так і тоді, як цього вимагає чинне законодавство, без невиправданої затримки, з тим, що нам відомо, і з тим, що ми рекомендуємо зробити. Ми не затримуватимемо повідомлення заради того, щоб дописати краще сформульоване.

8.3 Правоохоронні органи. Ми співпрацюємо з правоохоронними органами і регуляторами, які розслідують шахрайство та кіберзлочини, і можемо повідомляти про підозрілу діяльність без попередження вас там, де закон це дозволяє або вимагає, — у політиці протидії відмиванню коштів пояснено, чому ми іноді не можемо вам про це сказати.

Що контролюєте ви

9. Засоби контролю — ваші, а не ті, про які треба просити нас

Більшість шкоди акаунту стається за годину до того, як хтось дотягнеться до підтримки. Тому те, що її зупиняє, — у застосунку, а не за телефонною чергою.

Заморозити одним дотиком — нові платежі відхиляються негайно, баланс лишається на місці
Замінити номер — безкоштовно і без переміщення акаунта чи грошей
Підтвердження на вашому телефоні — 3-D Secure для платежів з підвищеним ризиком, тож вкраденого номера недостатньо
Реквізити — після повторної автентифікації — повний номер показується лише тоді, коли ви його запитуєте

Як працюють картки

Абстрактний рендер: три важелі на панелі, середній перемкнутий в інший бік

10. Чого це не покриває

Відверто сказати про межі важливіше, ніж подовжити перелік заспокоєнь.

Криптовалюта не покривається захистом вкладів. Державні системи гарантування вкладів захищають банківські депозити, а не криптовалютні баланси. Активи в криптовалюті несуть ринковий ризик і не застраховані від нього.

Перекази в блокчейні остаточні. Якщо ви надіслали кошти не на ту адресу або не в тій мережі, ніхто не зможе це скасувати. Завжди перевіряйте мережу перед відправленням — це найпоширеніший спосіб втратити гроші, і з нашою безпекою він не пов’язаний.

Ніхто з NELVOI ніколи не запитає ваш пароль, код 2FA чи повний номер картки. Хто це робить, видає себе за нас. Наша єдина адреса підтримки — [email protected].

11. Запитання про безпеку

Що буде з моїми грошима, якщо компанія збанкрутує?

Кошти клієнтів зберігаються на відокремлених рахунках у регульованих партнерів, окремо від коштів компанії, — саме це дозволяє повернути їх клієнтам, а не вважати активами компанії. Це не те саме, що страхування вкладів, і ми не описуватимемо це так.

Хто бачить мої документи, що посвідчують особу?

Вони передаються регульованому провайдеру верифікації, який проводить перевірку. Ми отримуємо результат і дані, яких вимагає закон, а не копію всього, що ви завантажили.

Що робити, якщо я загубив телефон?

Увійдіть з іншого пристрою і заморозьте картки або напишіть на [email protected], і ми заморозимо їх за вас. Баланс лишається на місці — він прив’язаний до вашого верифікованого акаунта, а не до пристрою.

Чи проводите ви зовнішнє тестування безпеки?

Незалежне тестування на проникнення — частина передзапускової програми, поряд із власною перевіркою безпеки нашого партнера-емітента, яку має пройти кожна карткова програма перед запуском.

Чи застраховані мої гроші?

Ні, і варто точно пояснити чому. Системи гарантування вкладів — FSCS у Великій Британії, FDIC у Сполучених Штатах, директиви ЄС про гарантування вкладів — покривають депозити в ліцензованих банках. Баланс картки в регульованого партнера з електронних грошей або емітента натомість захищений відокремленням: ваші гроші зберігаються окремо від коштів компанії, тож лишаються вашими, а не стають активом бізнесу. Криптовалютні баланси не покриваються нічим і ніде. Будь-який постачальник, що заявляє про страхування своїх криптовалютних балансів, описує щось інше, ніж страхування вкладів.

Чи може NELVOI заморозити або забрати мої гроші?

Ми можемо заморозити акаунт, а в деяких ситуаціях зобов’язані за законом. Законодавство про протидію відмиванню коштів зобов’язує регульовані компанії та їхніх партнерів утримувати або відхиляти транзакції у визначених обставинах, а в деяких юрисдикціях ще й забороняє повідомляти вам причину в той момент. Забрати ваші гроші для власного використання ми не можемо — відокремлені кошти не наші. Політика протидії відмиванню коштів описує, що запускає перевірку і що ми можемо й не можемо вам сказати.

Що буде, якщо я надішлю криптовалюту не в тій мережі?

Здебільшого це неповоротно, і це найпоширеніший спосіб втратити гроші в криптовалюті — він не пов’язаний із безпекою жодного постачальника. Надіслати USDT не в тому блокчейні або на адресу для іншого активу зазвичай означає, що кошти зникли. Перевіряйте мережу перед підтвердженням. Там, де повернення технічно можливе, ми спробуємо, але не можемо цього обіцяти і не братимемо плати за спробу.

Як мені зрозуміти, що повідомлення справді від вас?

Ми ніколи не запитаємо ваш пароль, код двофакторної автентифікації, повний номер картки чи фразу відновлення — ні електронною поштою, ні телефоном, ні в чаті, ніколи. Наша єдина адреса підтримки — [email protected], а єдиний сайт — nelvoi.com. Якщо повідомлення просить щось із цього, це не ми, хай би як виглядала адреса відправника. Перешліть його на [email protected] і видаліть.

Чи продаєте ви мої дані або передаєте їх іншим?

Ми не продаємо персональні дані. Дані передаються сторонам, необхідним для роботи сервісу, — провайдеру верифікації, що проводить перевірку особи, партнерам-емітентам і банкам, що тримають баланси й обробляють платежі, і платіжним системам, що маршрутизують транзакції, — а також органам влади там, де цього вимагає закон. Політика конфіденційності перелічує категорії і підстави.