草稿 — 待合格法律顾问审阅
这是一份完整的草稿，写出来是供批注的，并非已经定稿的文件。在服务上线之前，它必须经由在 United States 以及所服务的每一个市场具备资质的律师审阅。在此之前，它表达的是意向，而非具有约束力的立场，且运营方尚未开展交易。
我们收集的，是核验一张充值券、核验出售或购买它的人、以及把款项送到正确目的地所必需的信息。本页没有任何内容是把商业偏好装扮成法律要求，也没有任何被描述为法律要求的事项对我们而言是可选的。
VoucherPay LLC 从美国 1801 Peninsula Verde Dr 运营本服务。VoucherPay LLC 决定下文所述个人数据的处理方式与处理目的。有关本页的任何内容，请写信至 [email protected]。
平台尚未上线。交易未开放，没有订单在结算。本政策描述本服务开放时将如何处理您的数据，并且自今日起适用于我们已经持有的任何内容——您注册的账户、您发送的咨询、您写给客户支持的消息。
我们收集什么，以及为什么
账户数据
一个电子邮件地址、一个密码，以及您居住的国家。密码以哈希形式存储；我们无法读取它，若您忘记了也无法告诉您。
我们持有这些信息，以便为您提供账户、让您登录、就订单与您联系，并确定本服务在您居住的地方是否可用。有些国家完全不在服务范围内，理由载于受限国家和地区。
身份数据
我们持有多少身份数据，取决于您在滚动十二个月内的累计金额。低于 EUR 1,000 的，我们持有申报身份——您的全名和您的居住国——不持有任何证件。达到或超过 EUR 1,000 的，在任何后续付款之前适用完整验证。无论哪一种，姓名和国家都会被持有，因为两档都要对照制裁名单和政治公众人物名单进行筛查，而一个叫不出名字的人无法被筛查。理由载于我们为何验证身份。
我们收集您的全名、出生日期、居住地址、国籍、您所出示身份证件的类型、其签发国家和有效期、一份证件影像，以及——视检查而定——一张当场拍摄的您本人照片和一份可证明您地址的文件。
我们不存储您的证件号码。当您出示证件时，该号码会被转换为一个单向哈希值，并结合一个与数据库分开保管的秘密值。这使我们能够在同一份证件再次出示时认出它，而无需保留号码本身。单独取得数据库的一份副本，并不能得出任何人的护照或身份证号码。
证件影像存储在网站根目录之外。它们绝不会作为普通文件提供，也无法通过猜测网址访问到。它们经过静态加密，且仅通过一条记录每一次查看的路由，交付给经过身份认证的员工。
我们持有您的身份证件，是因为法律要求，而不是因为它们对我们有用。
交易数据
对于每一份订单：充值券品牌、其面值和币种、5% 的佣金、应付金额、您选择的结算方式、各阶段的时间戳、向发行方核验通话的结果，以及参与其中的两名员工的标识——因为批准订单和放出款项必须由两名不同的操作员完成。
这是监管机构、审计师或法院可以要求我们提供的记录。它也是当您日后询问某份订单发生了什么时，让我们能够诚实作答的记录。
充值券代码与结算收款地址
充值券代码在到达我们这里的那一刻即被加密。它仅对处理该订单的操作员可读，每一次读取都写入审计日志，并且代码在订单结算后即被销毁。在结算之后留存下来的，是收到并核验了某一品牌、某一面值的代码这一事实——而不是代码本身。
您的结算收款地址——钱包地址、银行账户、PayPal 账户地址——出于同样的理由进行静态加密。它是任何闯入此类系统的人的目标，因此受到相应的对待。
技术数据
我们在登录时以及在敏感操作时，记录您的浏览器所报告的 IP 地址和用户代理：修改密码、添加或更改结算收款地址、提交身份证件、下达订单，以及员工对某份证件或某个代码的任何访问。
这是检测账户被盗用的方式，是我们能够判断某项指令来自您本人还是来自掌握了您密码的人的方式，也是我们为制裁筛查和地域筛查确定指令来源地的方式。
往来信件
客户支持工单、投诉，以及操作员在向发行方核验充值券时所作的记录，构成订单记录的一部分，并与之一同保存。
我们不做什么
- 我们不从数据经纪商处购买关于您的数据，也不会在法律要求的筛查之外，用外部来源丰富您的画像。
- 我们不运行广告追踪器，也不使用会在其他站点上跟踪您的第三方分析工具。本站设置维持您登录状态所必需的 cookie，不设置任何以广告为目的的 cookie。
- 我们不出售个人数据，也不使用您的数据、您的证件或您的往来信件来训练模型。
- 我们不会要求客户通过电子邮件或聊天发送充值券代码，而且我们宁愿您从不这样做。如果您已经把代码发给了别人，请阅读发出了充值券代码该怎么办。
谁能够看到它
访问权限按角色授予，而不是按职级，且各角色的范围狭窄。
- 处理您订单的操作员看到充值券代码、订单详情，以及在检查有此需要时看到您的身份证件。
- 放出款项的第二名操作员看到订单和批准记录——双人复核规则的存在，是为了使任何单个人都无法既批准又付款。
- 合规主管在案件、筛查命中或报告有此需要时，看到身份数据和交易数据。
- 少数工程师可以接触生产系统以维持其运行。该访问与其他所有人一样被记录。
- 我们打电话核验时，充值券发行方会得到该充值券的详细信息。发行方不会收到您的身份证件。
- 银行和支付服务商收到把款项转给您所必需的信息，对于银行转账而言包括您的姓名和账户信息。
- 审计师、监管机构、执法机关和法院收到合法请求所要求我们提供的信息。
没有人会因为好奇而查看身份证件或充值券代码。每一次查看都可归属到一名具名员工和一份特定订单。
每一次访问都被记录
每当身份证件被查看或充值券代码被解密，系统都会记录是谁做的、什么时间、从何处，以及针对哪份订单。这些日志仅可追加。员工无法编辑或删除它们，我们也无法应要求删除。
您可以向我们索取您自己的身份证件何时被访问过的记录，我们会提供——唯一的例外见 当我们无法告诉您我们做了什么 一节。
关于您的决定没有一项是自动作出的
筛查工具可能对某个姓名、某个国家或某份证件发出标记。它们不决定任何事情。每一个标记都由人复核，每一份订单都由人批准，并由另一个人放出款项。若一份订单被拒绝，是人拒绝的，也可以要求人作出解释，但受下述限制约束。
我们保存多久
身份记录、订单记录和往来信件保留五年，自交易完成或我们与您的关系结束之日起算，以较晚者为准。这是对运营方的反洗钱义务，而不是一种偏好。
在该期限之内，充值券代码是对您有利的例外：一个代码在其订单结算后即被销毁，因为保留它没有任何用处，反而制造风险。
为何删除请求无法推翻它
当数据是为履行法定义务而持有时，删除权让位。若我们应要求删除您的身份档案，我们将无法向监管机构证明我们所作的付款是付给了一位经过验证的人——而这正是该项义务所要防止的那种具体失败。
我们能够做、并且会应要求做的是：关闭您的账户、停止任何非必要的联系、更正任何不准确之处，并将该记录限制在其法定用途之内，使其不再用于日常运营。它只为监管机构而处于留存状态，别无他用。留存期届满时，它即被删除。
您的权利
在上述留存义务的限制下，您可以要求我们：
- 确认我们持有您哪些个人数据，并向您提供一份副本；
- 更正任何错误或过时的信息；
- 删除我们并非必须保存的数据；
- 限制我们使用您数据的方式，或反对某项特定用途；
- 以可携带的形式提供您给予我们的数据；
- 在我们所依据的是同意而非法律或合同时，撤回同意。
请写信至 [email protected]。我们会在答复之前核实您的身份，因为数据查阅请求是攻击他人账户的一种有效手段，而在这件事上我们宁愿啰嗦，也不愿弄错。
我们需要多长时间，取决于您居住国的法律以及需要检索的范围。若该法律规定了期限，我们按其执行。若没有规定，我们在核实和检索允许的情况下尽快答复，并在耗时较长时告知您。
当我们无法告诉您我们做了什么
若就某笔交易或某个账户提交了可疑活动报告，我们可能依法被禁止告知您该报告的存在。这不是我们的自由裁量，也不是投诉能够解开的事情。
在那种情形下，我们既不会确认也不会否认已提交报告，而一项查阅请求可能被不完整地答复，且我们无法说明这一点。我们不会编造另一套说法来填补空白。
请以正确的方式理解这一点。该义务适用于每一件此类事项，包括那些最终未采取任何进一步行动、也未对任何人形成不利结论的事项。我们的沉默是法律的要求；它不是关于您的陈述。
您的数据去往何处
您的数据在法国、在欧盟境内处理。身份证件和充值券代码保存在我们控制的存储中，不会交给第三方处理者作日常处理。
某些支撑性服务——托管基础设施、电子邮件投递——可能在法国境外处理有限的数据。在出现这种情况时，我们要求合同保护措施以及与我们自身相当的安全标准，并且只传输该服务运转所需的最少内容。
另外，在某项义务或有效的法律请求要求时，数据可能向美国主管机关披露，并通过合法渠道向外国主管机关披露。
数据如何受到保护
- 您的浏览器与本服务之间的一切内容采用传输加密。
- 身份证件、充值券代码和结算收款地址采用静态加密。
- 用于哈希证件号码的秘密值与数据库分开保管，因此仅窃得一份副本并不足够。
- 身份证件存储在网站根目录之外，仅通过经身份认证、留有审计记录的路由提供。
- 基于角色的访问控制，使操作员只能接触到自己正在处理的订单，而接触不到其余部分。
- 批准一份订单与放出其款项需要两名不同的操作员。
- 对证件和代码的访问采用仅可追加的审计日志。
- 密码以哈希形式存储，绝不以可读形式保存。
- 在登录时以及每一次敏感操作时记录 IP 地址和用户代理。
没有系统是绝对安全的，而一份声称并非如此的政策，其价值还不如这句话。若发生泄露影响到您的数据，我们会按法律要求告知您和相关主管机关，说明发生了什么，并告诉您应当怎么做。
年龄
本服务不向未满 18 周岁的人开放。若我们发现某位账户持有人未满 18 周岁，该账户将被关闭。已经产生的记录仍受留存义务约束。
本政策的变更
本政策变更时，修订后的版本将在本页发布并注明日期。若某项变更对您数据的使用方式产生重大影响，我们会写信告知您。变更不追溯适用于已按早先版本处理的数据。
若您对我们处理数据的方式不满意
请先写信至 [email protected]，因为其中大多数问题可以直接解决。若这样仍未解决，请使用投诉程序，该程序由未参与原决定的人复核。您也有权向对我们或对您有管辖权的数据保护监管机构投诉，而先使用我们的程序并不剥夺该项权利。