Політика конфіденційності

Останнє оновлення: 21 жовтня 2026 р.

1. Хто ми

Світова Республіка («Світова Республіка», «ми», «нас» або «наш») керує застосунком і вебсайтом Світової Республіки за адресою https://www.worldrepublic.org (далі — «Сервіс»). Той самий застосунок також надається під другою назвою — Raised by Humanity — за адресою https://www.raisedbyhumanity.org. Цей сайт працює на тому самому програмному забезпеченні, використовує ті самі акаунти й ту саму базу даних, і керуємо ним ми. У цій політиці «Сервіс» означає обидва сайти, і ця політика застосовується до обох. Світова Республіка — це швейцарська асоціація (Verein) за ст. 60 і наступними статтями Цивільного кодексу Швейцарії з місцезнаходженням у Цузі, Швейцарія. Вона має статус юридичної особи за ст. 60(1) Цивільного кодексу і не внесена до торгового реєстру. Сервісом керує з Угорщини наше правління, тож для цілей Загального регламенту ЄС про захист даних (GDPR) Світова Республіка вважається такою, що має заклад у Європейському Союзі, а нашим провідним наглядовим органом там є Національне управління Угорщини із захисту даних і свободи інформації (NAIH).

Для більшості видів обробки, описаних нижче, ми є контролером даних. Для верифікації особи ми є контролером, а Amazon Web Services діє як наш обробник / постачальник послуг. Другого постачальника, Didit, названо нижче у зв’язку зі шляхом додаткової перевірки, який наразі не пропонується, — див. розділ 4.2.

• Контакт з питань конфіденційності: privacy@worldrepublic.org
• Контакт у Європейському Союзі: Balázs Kónya, член правління, 3626 Hangony, Dózsa György út 5., Угорщина (privacy@worldrepublic.org)

2. Сфера дії

Ця політика стосується кожного, хто користується Сервісом, у всьому світі. Там, де місцеве законодавство дає вам додаткові права — зокрема GDPR ЄС і Великої Британії, переглянутий Федеральний закон Швейцарії про захист даних (revFADP), Закон Каліфорнії про приватність споживачів зі змінами, внесеними CPRA, і біометричні закони штатів США (BIPA в Іллінойсі, CUBI в Техасі, закон штату Вашингтон), — ці права описано в розділі 10.

Наразі Світова Республіка проводить тестові вибори, що не мають обов’язкової сили. Ми ще не приймаємо членів; участь є експериментальною.

3. Яку інформацію ми збираємо

3.1 Інформація, яку надаєте ви

• Дані акаунта: якщо ви входите через Google, ми отримуємо токен автентифікації та ідентифікатор вашого акаунта Google. Ідентифікатор ми зберігаємо — саме він пов’язує ваш акаунт із вашим входом через Google. Ми не зберігаємо ваше ім’я, електронну адресу чи фото з Google і не зберігаємо токена, який їх містить.
• Дані ключа доступу: якщо ви користуєтеся ключем доступу (WebAuthn), ми зберігаємо облікові дані відкритого ключа, ідентифікатор і метадані пристрою, потрібні для вашої автентифікації.
• Дані профілю: ім’я користувача, яке ми створюємо, коли ваш акаунт створено, і яке ви можете будь-коли змінити в налаштуваннях акаунта. Ваше ім’я користувача оприлюднюється всюди, де ви з’являєтеся в Сервісі, — див. розділ 6, — тож якщо ви поставите там своє справжнє ім’я, оприлюднено буде саме його. Ми також створюємо код запрошення для кожного акаунта; ніщо в Сервісі його не використовує.
• Вміст, який ви створюєте: назви політичних партій, описи та посилання.
• Скарга на партію: якщо ви скаржитеся на запис партії в реєстрі, ми зберігаємо, на яку партію, яку підставу ви обрали, що ви написали й час. За більшістю підстав ми також просимо ваше ім’я та електронну адресу, бо закон, який зобов’язує нас прийняти вашу скаргу, так само зобов’язує нас підтвердити її отримання й повідомити вам про наше рішення, — а іншого способу зв’язатися з вами в нас немає. За однією підставою ми не просимо ні імені, ні адреси й не зберігаємо ні того, ні того: це скарга на те, що вміст є матеріалами сексуального насильства над дітьми. Якщо ви ввійшли в акаунт, ми також записуємо, з якого акаунта її подано. Це єдине місце, де ми зберігаємо надану вами електронну адресу; розділ 8 каже, як довго, а розділ 10.1 — для чого ми її використовуємо й для чого ні.
• Підтвердження віку: те, що ви підтвердили, що вам 18 років або більше, і коли. Ми запитуємо це один раз, перед верифікацією особи. Ми не запитуємо вашої дати народження й не зберігаємо її — лише те, що підтвердження було надано, вік, щодо якого його надано, і час.
• Результат модерації вашої партії: те, чи автоматична модерація з розділу 5.1 показала вашу партію в списку за замовчуванням, чи відклала її як спам, яку підставу вона навела, яка з двох її перевірок (чи яка людина) ухвалила рішення, яка модель ухвалила його там, де рішення ухвалила модель, і коли.
• Чи каже ваша партія, чого вона хоче щодо ШІ: чи каже назва або опис вашої партії, чого вона хоче щодо штучного інтелекту, — так, як це прочитала перевірка з розділу 5.2; рядок, який вона навела і який може цитувати ваші ж слова; що дало відповідь (автоматичний класифікатор чи людина); яка модель — там, де відповідала модель; і коли.
• Рішення вилучити вашу партію: окремо від описаної вище модерації партію, вміст якої ми вважаємо протиправним, можна цілком вилучити з реєстру — її сторінка перестає відкриватися для будь-кого, партію неможливо знайти, і вона не може отримувати голоси. Це інший і набагато суворіший захід, ніж наведений вище результат модерації, який впливає лише на те, чи показано партію в списку за замовчуванням. Якщо ми його застосовуємо, ми зберігаємо дату, правову підставу, на яку ми спиралися, наше власне письмове пояснення, чому ця підстава стосується вашої партії, те, чи спричинила це чиясь скарга, чи наша власна модерація, і позначку того, хто ухвалив рішення. Усе це, крім останнього, ми показуємо вам у Сервісі, на власній сторінці вашої партії, — вона й далі відкривається для вас, хоча не відкривається більше ні для кого. Ми не називаємо особу, яка ухвалила рішення, і не повідомляємо, хто на вас поскаржився, якщо хтось це зробив.
• Запис про голосування: те, що ви проголосували на певних тестових виборах, і коли. Не те, за яку партію ви проголосували. У цій політиці ваш бюлетень — це вибір, який ви зробили на тестових виборах. Ваш бюлетень конфіденційний: ваш вибір додається до підсумку партії і не зберігається разом із вашим акаунтом. Окрім підтвердження, яке показує ваш власний пристрій під час голосування, жоден екран у Сервісі не показує, як ви проголосували, і ми цього не оприлюднюємо. У деяких випадках той, хто має прямий доступ до нашої бази даних (розділ 11) або до її копії, усе ж може пов’язати бюлетень із людиною, яка його подала. Розділ 5.3 каже, коли це можливо і як довго.
• Дані операції: коли ви виводите WDD — адреса гаманця-отримувача, сума й обрана мережа.

3.2 Верифікація особи та біометричні дані

Щоб тестові вибори були чесними (одна верифікована людина — один голос) і щоб запобігти шахрайству та дублюванню акаунтів, ми перевіряємо, що ви унікальна жива справжня людина. Повне окреме пояснення щодо біометричних даних наведено в розділі 4 — уважно з ним ознайомтеся.

3.3 Інформація, яку збирають автоматично

• Дані пристрою та журналів: тип пристрою й браузера, операційна система та подібні технічні дані.
• IP-адреса: ми обробляємо вашу IP-адресу, щоб застосовувати обмеження частоти запитів і запобігати зловживанням (вона зберігається короткий час у наших записах про обмеження частоти). Ми також зберігаємо вашу IP-адресу та user-agent браузера у складі запису про згоду, коли ви вперше погоджуєтеся з нашими Умовами й підтверджуєте, що ознайомилися з цією політикою, або коли даєте біометричну згоду, — як доказ того, що ви погодилися чи дали згоду. Вашу IP-адресу та user-agent браузера також записують у журнали безпеки, описані в розділі 8: коли ваш пристрій починає перевірку живої присутності під час перевірки обличчя і щоразу, коли ви завантажуєте зображення своїх перевірок обличчя.
• Дані про використання: які функції використано та які дії виконано в Сервісі.
• Копії ваших даних: коли ви завантажуєте машинозчитуваний файл, описаний у розділі 10.1, або зображення своїх перевірок обличчя, ми записуємо, що копію зроблено, коли це сталося, що саме з двох це було і які частини запису вона містила (для зображень — ту частину верифікації, до якої вони належать). Для зображень запис робиться, коли завантаження починається, тож завантаження, яке потім не вдалося на вашому пристрої, однаково з’являється в переліку і зараховується до обмеження. Ми зберігаємо це, щоб на кожному пристрої, де ви ввійшли в акаунт, був той самий перелік, — це єдиний наявний у нас спосіб повідомити вам, що хтось із вашим сеансом зробив копію всього, бо адреси, на яку вам написати, ми не маємо. Перегляд копії на екрані не записується; цей перелік фіксує саме ту копію, яка залишає пристрій.

3.4 Файли cookie та локальне сховище

Ми використовуємо лише строго необхідні та функціональні файли cookie й локальне сховище:

• Автентифікація та безпека (файли cookie сеансу й прив’язки акаунта).
• Налаштування (наприклад, обрана вами мова).
• Функціональний стан (наприклад, повернення на сторінку після верифікації).
• Копія екрана вашого акаунта, яку зберігають, щоб Сервіс міг одразу намалювати його знову, коли ви повернетеся. Вона містить те, що показує цей екран: ваш баланс WDD, ваші останні операції — зокрема адресу гаманця-отримувача та мережу кожного зробленого вами виведення — і те, чи верифіковано ваш акаунт, чи у вашій перевірці живої присутності було відмовлено. Вихід з акаунта замінює її порожньою копією. Доки ви не вийдете, вона залишається на пристрої, тож виходьте з акаунта, якщо цим пристроєм користуються інші люди.

Ми не використовуємо рекламних файлів cookie й не використовуємо жодних рекламних SDK чи SDK для міжсайтового стеження.

4. Біометричні дані (перевірка живої присутності) — уважно прочитайте

Щоб проголосувати на тестових виборах і щоб зареєструвати партію, ви маєте пройти перевірку живої присутності. У цій політиці ця перевірка має назву перевірка обличчя. Перевірка обличчя обробляє біометричні дані, які є чутливими персональними даними / даними особливої категорії. Ми хочемо бути цілком прозорими щодо цього.

4.1 Що відбувається

• Ваш пристрій записує коротке відео вашого обличчя наживо, яке обробляє Amazon Web Services (AWS) Amazon Rekognition Face Liveness, щоб підтвердити присутність справжньої живої людини (захист від підробки).
• AWS зберігає еталонне зображення обличчя для цього сеансу. AWS зберігає це зображення незалежно від того, пройдено перевірку чи ні, тож перевірка, яку не пройдено, однаково залишає зображення. Ви можете будь-коли зробити так, щоб це зображення знищили (розділ 4.4).
• Якщо перевірку пройдено, ми додаємо вектор обличчя (шаблон), створений із цього зображення, до захищеної колекції AWS Rekognition. Перевірка, якій відмовлено як дублікату, не додає до колекції жодного вектора.
• Ми використовуємо цю колекцію, щоб виконати порівняння «один до багатьох» з векторами облич інших користувачів і перевірити, чи те саме обличчя вже верифіковано на іншому акаунті.

Відмова автоматична. Якщо порівняння знаходить збіг, у верифікації цього акаунта відмовляють у ту саму мить — самим порівнянням, — і жодна людина не бере участі в цьому рішенні. Єдине, що зважують, — це те, наскільки вектор обличчя, створений із вашого скану, схожий на вектор, який уже є в колекції, і вимірюють це за єдиним фіксованим порогом схожості; ніщо інше про вас у це не входить. Акаунт, якому відмовлено, не може голосувати на тестових виборах чи реєструвати партію, і відмова залишається чинною для цього акаунта, доки її не змінить людина.

Ви можете попросити, щоб це переглянула людина. Напишіть на privacy@worldrepublic.org або запитайте в нашій Спільноті підтримки — ми відповімо протягом одного місяця. Людина порівнює еталонне зображення з вашої перевірки із зображенням, яке зберігається для акаунта, з яким стався збіг, — там, де обидва ще існують (будь-яке з них могло вже бути знищене за розділом 4.5), — і може скасувати відмову та верифікувати вас.

Якщо зображень уже немає, на цьому справа не закінчується. Якщо обличчя, з яким збіглася ваша перевірка, відтоді знищено — бо той акаунт видалено або бо людина, якій він належав, відкликала свою згоду, — людина може натомість зняти відмову, щоб ви могли пройти перевірку ще раз. Це не рішення про те, що вас верифіковано: нова перевірка виконується повністю, з тим самим порівнянням, і може відмовити вам знову. Щоб обидва шляхи були можливі, ми зберігаємо запис про збіг разом із перевіркою, якій відмовлено: з яким акаунтом стався збіг і наскільки близьким було порівняння (розділ 8).

4.2 Додаткова перевірка через Didit

Цей шлях наразі не пропонується, і жодну перевірку неможливо розпочати. Його описано тут, бо він розроблений.

Задум полягає в додатковій перевірці через Didit, постачальника послуг верифікації особи, для того, кому перевірка обличчя відмовила помилково, — через хибний збіг як дублікат між схожими між собою людьми. Вона запитувала б вашу явну згоду й доручала б Didit перевірити документ і селфі від нашого імені.

Сьогодні нічого з цього не працює: у Сервісі немає екрана, який це пропонує, а шлях, що запустив би перевірку, відхиляє кожен запит. Didit не зберігає жодних наших даних верифікації. Якщо перевірка обличчя вам відмовила, відкритий для вас шлях — це шлях із розділу 4.1: запитайте в нашій Спільноті підтримки, і людина може переглянути обидва записи та знову відкрити вам верифікацію.

Якщо додаткову перевірку колись запропонують, цей розділ визначить, що вона збирає і що отримуємо ми, ще до того, як вона це робитиме.

4.3 Повідомлення про постачальників послуг (AWS і Didit)

Світова Республіка користується послугами постачальників для верифікації особи. Біометричні ідентифікатори та біометричну інформацію («біометричні дані»), а саме скани геометрії вашого обличчя й пов’язані з ними зображення та шаблони обличчя, ці постачальники (AWS; а також Didit, якщо додаткову перевірку з розділу 4.2 колись запропонують) можуть збирати, зберігати та використовувати від імені Світової Республіки з метою підтвердити, що ви унікальна, жива, справжня людина, і запобігти створенню дублікатів акаунтів та шахрайських акаунтів. Світова Республіка знищує біометричні дані, які AWS зберігає від її імені, коли первісну мету їх збирання досягнуто, коли ви просите про видалення або раніше, якщо цього вимагає закон. Didit не зберігає жодних наших біометричних даних чи даних про особу, бо додаткова перевірка не пропонується. Якщо її колись запропонують, умови, за яких Didit може зберігати ці дані та зобов’язаний їх видалити, буде спершу узгоджено й викладено тут. Біометричні дані можуть передаватися між Світовою Республікою та її постачальниками послуг у міру потреби для надання цієї послуги.

4.4 Ваша згода і ваш вибір

В основі цієї перевірки лежать дві речі, і ми називаємо обидві.

Сама перевірка необхідна для послуги, про яку ви нас просите. Тестові вибори, на яких одна верифікована людина має один голос, неможливо провести, якщо не показано, що кожен виборець зареєстрований лише один раз, а способу, який менше втручався б у ваше приватне життя, ми сьогодні не маємо. Оскільки перевірка обробляє біометричні дані, потрібне й друге: ваша явна згода, яку ви активно даєте самі, — і саме на цю підставу ми спираємося щодо самих біометричних даних. Ми запитуємо цю згоду на початку перевірки обличчя і без неї не обробляємо жодних біометричних даних.

Чого вам коштує відмова. Перевірка обличчя сьогодні — єдиний шлях до голосування. Якщо ви від неї відмовитеся, ви не зможете голосувати на тестових виборах і не зможете зареєструвати нову партію. Більше вам це не коштує нічого: ви й далі можете тримати WDD, виводити WDD, очолювати партію, яку зареєстрували раніше, і користуватися рештою Сервісу. Перед будь-якими виборами, результат яких когось зобов’язує, ми запропонуємо шлях до голосування, який не використовує перевірки обличчя.

Ви можете відкликати цю згоду будь-коли, і для цього вам не потрібно видаляти акаунт. У застосунку відкрийте Акаунт → Верифікація → Видалити мої дані обличчя. Відкликання набирає чинності негайно і знищує і еталонні зображення, і шаблон обличчя, з яким ми порівнюємо. Якщо вам потрібна копія зображень, спершу завантажте їх на тому самому екрані (розділ 10.1). На ваш акаунт, ваш баланс WDD, будь-яку партію, яку ви очолюєте, і будь-який уже відданий вами голос це не впливає. Ви не зможете голосувати знову, доки не пройдете нову перевірку обличчя, — а пройти її ви вільні будь-коли, якщо тільки вашій перевірці вже не відмовлено як дублікату іншого акаунта (автоматична відмова, описана в розділі 4.1). Відкликання знищує дані, але не змінює цього рішення; щоб оскаржити його, напишіть на privacy@worldrepublic.org.

Один виняток — той самий, що його розділ 4.5 описує для видалення акаунта: якщо тестові вибори, на яких ви голосували, ще тривають, коли ви відкликаєте згоду, ваша згода припиняється одразу, але самі біометричні дані знищують після завершення цих виборів, — якщо тільки ви до того часу не пройдете нову перевірку обличчя, і тоді ця нова згода залишається чинною, а нічого не знищують. Як викладено в розділі 4.5, знищення ніколи не чекає довше ніж чотирнадцять днів: вибори, які завершуються пізніше ніж через чотирнадцять днів після вашого відкликання, не затримують знищення взагалі. Ви також можете натомість видалити весь свій акаунт (розділ 9) або звернутися до нас, щоб скористатися будь-яким із прав, наведених у розділі 10.

4.5 Зберігання та знищення

Ми зберігаємо біометричні дані лише доти, доки вони потрібні для верифікації та запобігання дублікатам. Ми знищуємо їх, коли мету досягнуто, на ваш запит про видалення, коли ваш акаунт видалено, або через три роки після вашої останньої взаємодії із Сервісом — залежно від того, що настане першим. Один запис зберігається довше: запис у журналі безпеки, який зазначає положення ваших очей, носа і рота та кут, під яким повернута ваша голова; його описано в розділі 1 нашої Політики зберігання та знищення біометричних даних. Наша письмова Політика зберігання та знищення біометричних даних викладає кожну з цих підстав повністю, а розділ 2 тієї політики перелічує, що вважається взаємодією. Знищення охоплює видалення еталонного зображення в AWS (Amazon S3) і вектора обличчя (колекція Rekognition).

Один виняток — обмежений і викладений тут, бо вам варто знати про нього, перш ніж діяти: якщо ви видаляєте акаунт — або відкликаєте свою біометричну згоду за розділом 4.4 — тоді, коли тестові вибори, на яких ви голосували, ще тривають, ми зберігаємо ваші біометричні дані до завершення цих виборів і знищуємо їх тоді. Якщо ви відкликали згоду, а потім проходите верифікацію знову до завершення виборів, знищення, що очікує на виконання, скасовується, бо нова перевірка обличчя є новою згодою; видалення акаунта в такий спосіб не скасовується ніколи. Відданий голос неможливо вилучити з підсумку партії, тож він залишається зарахованим, і перевірка обличчя — єдине, що не дає тій самій людині верифікувати новий акаунт і проголосувати вдруге на тих самих виборах. Затримка ніколи не перевищує часу, що залишився до завершення виборів, і ніколи не перевищує чотирнадцяти днів: вибори, які завершуються пізніше ніж через чотирнадцять днів після вашої дії, не затримують знищення взагалі. Ніщо інше у видаленні не чекає.

4.6 Де обробляють біометричні дані

Ваші шаблони обличчя та еталонні зображення обробляє й зберігає AWS у Європейському Союзі (Ірландія). Пов’язані метадані верифікації (наприклад, показники впевненості та посилання на сховище) зберігаються в нашій основній базі даних (див. розділ 7).

5. Як ми використовуємо інформацію і на яких правових підставах

5.1 Автоматична модерація реєстрацій партій

Коли ви реєструєте партію або редагуєте її, програма перевіряє її, перш ніж вона з’явиться у списках за замовчуванням. Жодна людина не бере участі в цьому кроці.

• Що вона читає: назву партії, опис, посилання на вебсайт та ім’я користувача лідера — і нічого іншого про вас.
• Що вона вирішує: чи з’являється партія у списках за замовчуванням, у пошуку та в переліку партій на виборах, чи відкладається як спам. Відкладену партію не видаляють: вона залишається за власною адресою, її можна знайти, обравши показ усіх партій, і за неї можна проголосувати.
• Підстави: реклама чогось поза Сервісом (зокрема видавання себе за Сервіс чи за відому партію), пропонування окремим людям плати за голоси, підбурювання до насильства й непристойність. Політичні погляди ніколи не є підставою, а модерація зобов’язана процитувати те, що вона позначила.
• Як вона вирішує: велика мовна модель, GLM-5.3 Flash від Z.ai, застосовує ці правила до тексту. Коли ця модель недоступна, ті самі правила застосовує GLM-5.3 того самого розробника. Обидві працюють на Baseten у Сполучених Штатах (розділи 6 і 7), який не зберігає нічого з жодного запиту після того, як на нього відповів, і не навчається на ньому. Друге, фіксоване правило порівнює назву партії з назвами відомих партій. Результат, його підставу, те, яка перевірка ухвалила рішення, і — там, де рішення ухвалила модель, — яка саме з двох моделей, зберігають разом із партією (розділ 8).
• Чому це може вирішувати програма: реєстр, у якому кожен запис є справжньою реєстрацією партії, — частина послуги, заради якої ви реєструєте партію, і саме це дозволяє, щоб таке рішення ухвалювала програма. Реєстрація партії до того ж виражає політичні погляди. Це рішення ніколи не ухвалюють на підставі цих поглядів — наведені вище підстави стосуються того, що реєстрація робить, а не того, про що вона, і реєстрацію ніколи не позначають за те, що вона обстоює. Ці погляди прочитують лише тому, що вони є в тексті, який перевіряють, а оприлюднюєте ви їх самі, реєструючи партію для публікації в публічному реєстрі. Вам не потрібно реєструвати партію, щоб голосувати, тримати WDD чи користуватися будь-чим іншим.
• Що ви можете зробити: лідер партії бачить результат і підставу на сторінці партії. Редагування партії знову відправляє її на модерацію. Ви можете попросити людину переглянути цей результат через Спільноту підтримки, посилання на яку є в цьому повідомленні, або написавши на privacy@worldrepublic.org.

5.2 Чи каже партія, чого вона хоче щодо ШІ

Raised by Humanity — це кампанія про те, як слід регулювати штучний інтелект. Щоб визначити, які партії займають щодо цього позицію, той самий запит, у якому відбувається модерація з розділу 5.1, ставить і друге, окреме запитання.

• Що воно запитує: чи міг би той, хто стежить за публічною дискусією про ШІ, зрозуміти з назви або опису партії, чого вона хоче щодо ШІ, — як його слід створювати, використовувати, поширювати, обмежувати чи регулювати. Враховується будь-яка позиція, за чи проти, і жодна не важить більше за іншу. Партії не обов’язково вживати слово «ШІ». Згадка про ШІ, як і його використання чи продаж, — це не позиція.
• Що воно читає: ті самі поля, що й у розділі 5.1, у тому самому запиті, — назву партії, опис, посилання на вебсайт та ім’я користувача лідера. Нічого понад це не надсилається, і нікуди більше це не надсилається.
• Що воно записує: відповідь — каже, чого хоче щодо ШІ, чи не каже — разом з одним рядком, що цитує слова, на які воно спиралося, моделлю, яка відповіла, і часом відповіді. Це зберігається разом із партією (розділ 8).
• Що воно змінює: один вигляд, і лише для читача, який про нього просить. Увімкнення фільтра «Показати лише партії з позицією щодо ШІ» у списку партій або в переліку партій на виборах показує лише ті партії, відповідь для яких — що вони кажуть, чого хочуть щодо ШІ. Фільтр вимкнено, хіба що читач його ввімкне. Відповідь не бере участі в модерації з розділу 5.1. Без цього фільтра відповідь нічого не змінює в тому, що хтось бачить, зокрема у списках за замовчуванням, у пошуку та в переліку партій на виборах, і ніколи не впливає на жодне голосування. Якщо це зміниться, цей розділ скаже про це з того дня, коли це станеться.
• Як воно вирішує: ті самі моделі, що й у розділі 5.1, — GLM-5.3 Flash від Z.ai або GLM-5.3, коли ця модель недоступна, — які працюють на Baseten у Сполучених Штатах; Baseten не зберігає нічого із запиту після того, як на нього відповів, і не навчається на ньому.
• Що ви можете зробити: кожне редагування партії ставить це запитання знову, і нова відповідь замінює попередню. Відповідь є в копії ваших даних, яку вам надає Сервіс (розділ 10). Ви можете попросити людину переглянути її або заперечити проти неї, написавши на privacy@worldrepublic.org. Якщо відповідь така, що ваша партія не каже, чого вона хоче щодо ШІ, картка вашої партії повідомляє про це, поки у вас увімкнено цей фільтр.
• Чому це запитання може читати політичну позицію: це єдине місце, де Сервіс читає те, що партія обстоює, а не лише те, що вона робить. Він читає лише слова, які оприлюднила сама партія, на одну тему, і ставиться до кожної позиції на цю тему однаково. Ви самі оприлюднюєте ці слова, реєструючи партію для публікації в публічному реєстрі. Вам не потрібно реєструвати партію, щоб голосувати, тримати WDD чи користуватися будь-чим іншим.

5.3 Ваш бюлетень

Коли ви голосуєте, наш сервер отримує водночас і те, хто ви, і ваш вибір, бо він має перевірити, що ви можете голосувати, а потім зарахувати голос. Зберігає він ці дві речі окремо, у трьох записах, збережених разом: запис про те, що ви проголосували на цих виборах, і коли; запис про вашу згоду на зарахування голосу, у якому названо вибори й день; і ще один голос, доданий до підсумку партії. Жоден запис не зберігає вашого вибору разом із вашим акаунтом. У деяких випадках ваш бюлетень усе ж можна пов’язати з вами, і цей розділ каже, коли саме.

• Поки вибори тривають. Наша база даних позначає кожну зміну, яку вона зберігає, власним номером. Усі три записи зберігаються в межах однієї зміни, тож мають однаковий номер. Тому, поки вибори тривають, той, хто має прямий доступ до нашої бази даних (розділ 11), міг би з’ясувати, хто подав останній бюлетень за кожну партію, а стежачи за тим, як змінюються підсумки, — хто подав кожен бюлетень за цей час. За допомогою інструментів, які читають сховище бази даних напряму, він міг би також з’ясувати, хто подав інші нещодавні бюлетені, — зі старіших версій підсумків, яких база даних ще не прибрала. Наші тестові вибори приймають бюлетені три дні, а Сервіс ніколи не приймає бюлетенів на одних виборах довше ніж чотирнадцять днів.
• Після завершення виборів. Невдовзі після завершення виборів, зазвичай протягом кількох хвилин, ми переписуємо їхні підсумки окремою зміною. Після цього жоден запис у нашій основній базі даних — тій, на якій працює Сервіс, — не пов’язує бюлетень із людиною, яка його подала. Старіші версії підсумків можуть залишатися в сховищі бази даних, доки їх не буде перезаписано, і ті самі інструменти все ще можуть їх прочитати.
• В історії відновлення та резервних копіях нашого постачальника. Наш постачальник бази даних зберігає історію відновлення бази даних, яку ми зараз налаштували приблизно на шість годин. За нею можна пов’язати будь-який бюлетень, поданий за цей час, і вона може повернути підсумки такими, якими вони були до того, як ми їх переписали, разом зі зв’язками, які вони містили. Постачальник також зберігає власні резервні копії, які, за його заявою, він зберігає 30 днів; ми ще не уточнили в нього, що саме охоплюють ці резервні копії. Ці резервні копії, а також будь-яка копія нашої бази даних (розділ 11), зроблена до того, як підсумки було переписано, зберігають ці зв’язки, доки не спливе їхній строк або доки їх не буде видалено, а копія, яку ми видаляємо, може залишатися в цих резервних копіях, доки не спливе їхній строк.
• У тому, що ми оприлюднюємо. Ми оприлюднюємо підсумок кожної партії, щойно вибори завершилися (розділ 6); поки вони тривають, ми показуємо лише те, скільки бюлетенів подано загалом. Якщо на виборах усі голосують за одну й ту саму партію, підсумки показують, як проголосував кожен із них, будь-кому, хто знає, що вони голосували. А коли голосує дуже мало людей, той, хто знає, як проголосували інші, може вирахувати решту.

Ніщо в Сервісі не використовує нічого з цього, щоб пов’язати бюлетень із людиною, яка його подала.

Оскільки ваш вибір розкриває ваші політичні погляди, ми запитуємо вашу явну згоду, перш ніж його зарахувати. На екрані, де ви віддаєте свій голос, на кожних тестових виборах є непозначений прапорець, який запитує цю згоду, і його треба позначити, перш ніж голос буде віддано; наш сервер відхиляє бюлетень без неї. Ми записуємо цю згоду разом із виборами, версією та мовою тексту, біля якого ви поставили позначку, і днем. Разом із нею ми не записуємо ні IP-адреси, ні браузера, а з часу — лише день, бо її зберігають у ту саму мить, що й запис про те, що ви проголосували, а точний час став би другим записом того, коли ви проголосували. Ви можете відкликати цю згоду (розділ 10).

6. Як ми передаємо інформацію

Ми не продаємо ваших персональних даних. Цей розділ визначає, хто отримує інформацію про вас і в якій ролі. Частину її опрацьовують для нас постачальники послуг — за нашими вказівками й без жодної власної мети. Частина потрапляє до компанії, яка сама вирішує, що робити з цією інформацією, і цей розділ називає таких одержувачів. Частину ми зобов’язані розкрити, щоб дотриматися закону, а в разі злиття, придбання чи передавання активів те, що ми зберігаємо, перейшло б до покупця з дотриманням передбачених законом запобіжників — крім ваших біометричних даних, які ніколи так не переходять. А частину Сервіс оприлюднює для інших людей.

Постачальники послуг, які діють для нас. Ці постачальники обробляють інформацію за нашими вказівками й без жодної власної мети. Didit названо в переліку нижче лише для повноти — сьогодні він нічого для нас не обробляє:

• Google Workspace — розміщує наші поштові скриньки, зокрема privacy@worldrepublic.org та legal@worldrepublic.org. Усе, що ви пишете нам на будь-яку з цих адрес, і все, що ви надсилаєте разом із цим, — зокрема те, що ви надсилаєте, аби показати, що запит ваш (розділ 10.3), — обробляє Google як наш постачальник. Операційні сповіщення, описані нижче в пункті про Amazon Web Services, теж надходять електронною поштою, і одна з адрес, на які вони приходять, — на нашому власному домені. Тож сповіщення, яке містить адресу гаманця-отримувача, обробляє також і Google. Вхід через Google — це інші відносини, і цей розділ викладає їх нижче.
• Amazon Web Services (AWS) — чотири речі. Amazon Rekognition Face Liveness, Amazon S3 (еталонні зображення) та Amazon Cognito (тимчасові гостьові облікові дані) — як наш постачальник послуг для біометричної верифікації (регіон ЄС). Amazon Simple Notification Service, що передає наші операційні сповіщення. AWS CloudTrail, що веде журнал аудиту безпеки наших хмарних акаунтів і наш журнал доступу до зображень перевірок обличчя (розділ 8). І Amazon Simple Email Service, що передає два повідомлення, які ми маємо надіслати тому, хто поскаржився на партію: що ми отримали скаргу і що ми вирішили. Ці повідомлення надходять на адресу, яку ця людина нам дала, і містять назву партії, дату й обліковий номер; вони ніколи не містять обраної підстави чи того, що людина написала. Сповіщення повідомляє нам, що щось потребує уваги, — наприклад, виведення, яке пішло не так, акаунт, який досяг одного з установлених нами обмежень на те, як часто він може діяти, реєстрація партії, яку не змогла прочитати автоматична модерація, або знищення біометричних даних, яке не завершилося. Це приклади, а не весь перелік. Сповіщення може містити адресу гаманця-отримувача, суму й мережу виведення та обліковий номер, який ми даємо цьому виведенню у власних записах, внутрішній ідентифікатор акаунта й ідентифікатор партії. Якщо переказ було надіслано, сповіщення може містити також хеш цієї транзакції в блокчейні та обліковий номер, який надав їй платіжний постачальник. Сповіщення ніколи не містить власної назви чи опису партії і ніколи не містить того, що про неї сказала автоматична модерація.
• Didit — верифікація особи в разі додаткової перевірки. Наразі не пропонується і не зберігає жодних наших даних (розділ 4.2). Див. Verification Privacy Notice та End User Terms for Identity Verification від Didit.
• Coinbase — виконує виведення WDD у блокчейні; отримує адресу отримувача, суму, мережу та обліковий номер, який ми даємо цьому виведенню у власних записах, — і нічого більше.
• Neon — хостинг бази даних для даних Сервісу. Наша база даних працює в Сінгапурі, а Neon обробляє дані також і у Сполучених Штатах (розділ 7).
• Vercel — хостинг застосунку та журнали інфраструктури. Наш застосунок працює в Сінгапурі, а Vercel обробляє дані також і у Сполучених Штатах (розділ 7). Його AI Gateway також передає запит на модерацію партії з розділів 5.1 і 5.2 — один запит — до Baseten і нікуди більше.
• Baseten — виконує мовні моделі, які модерують реєстрації партій (розділи 5.1 і 5.2); отримує назву партії, опис, посилання та ім’я користувача лідера, не зберігає нічого з цього після того, як на запит відповіли, і не навчається на цьому (Сполучені Штати).

Актуальний перелік субобробників ми надаємо на запит.

Google, коли ви входите. Вхід через Google — це обмін між вами і Google, і Google сам вирішує, що робити з цим обміном. Тут Google діє не лише за нашими вказівками, тож у цьому Google не є нашим постачальником послуг. Ми отримуємо токен автентифікації та ідентифікатор вашого акаунта Google і зберігаємо тільки ідентифікатор (розділ 3.1). Те, що Google робить із входом, регулює власна політика конфіденційності Google (policies.google.com/privacy).

Наша Спільнота підтримки. Розділи 4.1 і 5.1 направляють вас до нашої Спільноти підтримки, якщо ви хочете, щоб автоматичне рішення переглянула людина. Ця спільнота — публічний канал у Telegram. Те, що ви там пишете, читає Telegram і всі інші учасники цього каналу. Ми не контролюємо цей канал. Якщо ви волієте не писати публічно, напишіть натомість на privacy@worldrepublic.org: цей шлях веде до тієї самої людини, і його викладено в розділі 10.1.

Розкриття, якого вимагає закон, і перехід Сервісу до іншої організації. Ми можемо розкривати інформацію, щоб дотриматися закону або відповісти на законні запити державних органів. Ми також можемо розкривати інформацію в разі злиття, придбання чи передавання активів (з дотриманням передбачених законом запобіжників). Ваші біометричні дані ніколи не є частиною такого передавання. Ми не продаємо їх, не здаємо в оренду, не торгуємо ними й не отримуємо з них вигоди в інший спосіб і не передаємо їх покупцеві разом з усім іншим, що ми зберігаємо. Окрім постачальника, який зберігає їх для нас і за нашими вказівками (розділ 4.3), ми розкриваємо біометричні дані лише тоді, коли ви на це погоджуєтеся, коли цього вимагає закон або коли до цього зобов’язує чинний ордер чи судова повістка. Злиття, придбання й передавання активів не належать до жодного з цих випадків.

Те, що оприлюднює Сервіс. Частину того, що ви робите, показують іншим людям. Це не передавання постачальникові. Це оприлюднення, і його неможливо скасувати, попросивши постачальника зупинитися:

• Реєстр партій. Якщо ви реєструєте партію, у реєстрі оприлюднюють назву партії, опис, посилання, ваше ім’я користувача і загальну суму WDD, нараховану партії у вигляді фінансування. Реєстр відкритий: будь-хто може читати його без акаунта, а пошукові системи можуть його індексувати.
• Виведення. Виведення WDD — це публічна транзакція в блокчейні. Адреса отримувача, сума, мережа, час і обліковий номер, який ми даємо цьому виведенню у власних записах, оприлюднюються в блокчейні — не нами — і ніхто не може їх звідти прибрати. Ми записуємо цей обліковий номер у транзакцію, щоб можна було довести, що виведення зроблено один-єдиний раз. Цей обліковий номер не є ідентифікатором вашого акаунта. Кожне виведення має власний обліковий номер, і один обліковий номер належить лише одному виведенню. Щоб перевірити, що виведення відбулося, ми просимо публічний блокчейн-сервіс знайти для нас цю транзакцію. Ці сервіси бачать те, що блокчейн уже оприлюднив, — адресу, суму та обліковий номер — і нічого іншого з того, що ми зберігаємо про вас.
• Результати виборів. Підсумкову кількість голосів кожної партії оприлюднюють, щойно вибори завершилися. Поки вибори тривають, підсумку жодної партії не показують — лише те, скільки бюлетенів подано загалом. Ми оприлюднюємо лише підсумки й ніколи — окремий бюлетень. Якщо всі проголосували за одну й ту саму партію, підсумки все ж можуть показати, як проголосували ви, тому, хто знає, що ви голосували; а якщо проголосувало дуже мало людей — тому, хто також знає, як проголосували інші (розділ 5.3). Розділ 5.3 каже, коли бюлетень можна пов’язати з вами в нашій базі даних.

Ваше ім’я користувача — це те ім’я, яке з’являється в усьому цьому, і обираєте його ви (розділ 3.1).

7. Міжнародне передавання даних

Наше місцезнаходження — у Швейцарії, на яку поширюється рішення ЄС про належний рівень захисту даних, а ще ми маємо осідок у Європейському Союзі (розділ 1). Ваші дані обробляють більш ніж в одній країні:

• Біометричні дані (шаблони обличчя та еталонні зображення) обробляє і зберігає AWS у Європейському Союзі (Ірландія).
• Журнал аудиту безпеки наших хмарних акаунтів і наш журнал доступу до зображень перевірок обличчя (розділ 8): записи про вас зберігаються в Європейському Союзі — в Ірландії, де виконується перевірка обличчя, і в Німеччині, де ми зберігаємо наші копії.
• Дані акаунта та застосунку зберігаються в нашій базі даних у Neon, а віддає їх Vercel. Обидва працюють у Сінгапурі, і частина цих даних потрапляє також до Сполучених Штатів: угода Vercel про обробку даних зазначає, що його основні потужності обробки розташовані у Сполучених Штатах, а Neon укладає договір через материнську компанію зі Сполучених Штатів, умови якої називають постачальника зі Сполучених Штатів для моніторингу інфраструктури. Цим шляхом передаються журнали запитів і сервера — ваша IP-адреса, user-agent вашого браузера, сторінка, яку ви запросили, і, у деяких записах про помилки, внутрішній ідентифікатор акаунта.
• Реєстрації партій, що проходять модерацію (назва, опис, посилання, ім’я користувача лідера), надсилаються до Baseten у Сполучених Штатах для автоматичної модерації з розділів 5.1 і 5.2 і там не зберігаються.
• Дані виведення — адреса отримувача, сума, мережа та обліковий номер, який ми даємо цьому виведенню у власних записах — надходять до Coinbase, компанії, що базується у Сполучених Штатах. Ми не з’ясували, у яких країнах сама Coinbase обробляє ці дані.
• Операційні сповіщення передає Amazon Simple Notification Service (розділ 6), і сповіщення може містити адресу гаманця-отримувача, суму й мережу виведення та обліковий номер, який ми даємо цьому виведенню у власних записах, внутрішній ідентифікатор акаунта й ідентифікатор партії. Якщо переказ було надіслано, сповіщення може містити також хеш цієї транзакції в блокчейні та обліковий номер, який надав їй платіжний постачальник. Сповіщення ніколи не містить власної назви чи опису партії і ніколи не містить того, що про неї сказала автоматична модерація. Цей сервіс працює в тому регіоні Amazon, який ми для нього налаштували, і цей регіон може бути поза Європейським Союзом. Далі сповіщення надходить електронною поштою, і одна з адрес, на які воно приходить, — на нашому власному домені, який Google Workspace розміщує у Сполучених Штатах (розділ 6).
• Повідомлення тому, хто поскаржився на партію, передає Amazon Simple Email Service у Європейському Союзі (Ірландія) — у тому самому регіоні, що й біометричні дані, за тією самою угодою.
• Дані входу надходять до Google, який обробляє ці дані у Сполучених Штатах та в інших країнах.
• Додаткова перевірка документа, що посвідчує особу, з розділу 4.2 нікуди нічого не надсилає, бо вона не пропонується і жодну перевірку неможливо розпочати. Компанія Didit, яка укладає договори з клієнтами в Європі, — це Didit Identity Spain, S.L., і Didit заявляє, що його основні системи обробки розташовані в Європейському економічному просторі. Це заява самого Didit, і ми її самостійно не підтверджували. Перш ніж цей шлях запропонують, ми підтвердимо в цьому розділі, де оброблялася б перевірка, і назвемо запобіжник, який її покриває.
• Те, що ви пишете на privacy@worldrepublic.org або на legal@worldrepublic.org, обробляє у Сполучених Штатах Google Workspace (розділ 6).

На Сінгапур не поширюється рішення ЄС чи Швейцарії про належний рівень захисту даних, а на Сполучені Штати воно поширюється лише щодо одержувачів, сертифікованих за Data Privacy Framework. Ми не спираємося на один запобіжник для всіх цих передавань. Ми радше скажемо вам, який запобіжник покриває якого одержувача, ніж назвемо інструмент, якого ми не маємо:

• Vercel, а через шлюз Vercel і Baseten: Стандартні договірні положення Європейської Комісії та International Data Transfer Addendum Великої Британії — обидва включено до угоди Vercel про обробку даних. Ми не з’ясували, чи містить ця угода також доповнення, якого вимагає швейцарське право. Окремої угоди з Baseten ми не маємо.
• Google, щодо наших поштових скриньок: стандартні умови Google Workspace, які включають доповнення Google про обробку даних і Стандартні договірні положення.
• Google, щодо входу: жодного нашого власного. Google сам вирішує, як він опрацьовує вхід, тож тут Google діє не лише за нашими вказівками, і угоди про обробку даних з Google щодо входу ми не маємо. Google заявляє, що він сертифікований за EU–US Data Privacy Framework. Окремого інструмента для цього передавання ми не отримували.
• AWS: угода AWS про обробку даних. Ваші біометричні дані зберігаються в Європейському Союзі (Ірландія) і взагалі не передаються за межі Європейського Союзу. Коли ви завантажуєте копію зображень власних перевірок обличчя (розділ 10.1), ваш браузер отримує їх безпосередньо з AWS у Європейському Союзі (Ірландія), хоч би де ви були: вони не проходять через наші сервери, і ми не зберігаємо жодної копії того, що ви завантажуєте. Операційні сповіщення, описані вище, передаються за тією самою угодою, у тому регіоні Amazon, який ми для цих сповіщень налаштували. Повідомлення, які ми надсилаємо тому, хто поскаржився на партію, передаються за тією самою угодою, у Європейському Союзі (Ірландія).
• Neon: стандартні умови Neon, які застосовуються автоматично, коли ми користуємося Neon. Положення про передавання для цього договору містяться в умовах материнської компанії Neon, і ми їх ще не отримали.
• Coinbase: стандартні умови Coinbase для розробників. Наскільки ми розуміємо, ці умови містять додаток про передавання, але ми цього ще не підтвердили.

Там, де передавання покриває рішення про належний рівень захисту даних — Європейський Союз і Швейцарія визнають одне одного, — ми спираємося на це рішення, і жодного додаткового інструмента не потрібно.

Ще дві речі, які вам краще знати, ніж припускати. Ми не проводили оцінки впливу передавання для жодного з названих вище передавань. Ми не спираємося на жодні додаткові заходи, крім заходів безпеки з розділу 11. Ми працюємо над тим, щоб запровадити інструменти, яких бракує, і оновлюватимемо цей розділ у міру того, як кожен із них буде запроваджено.

Ви можете попросити в нас копію названих вище запобіжників. Напишіть на privacy@worldrepublic.org (розділ 10.1).

8. Зберігання даних

9. Видалення акаунта

Ви можете видалити свій акаунт у Сервісі. Видалення знищує біометричні дані, які AWS зберігає від нашого імені, і прибирає ваші записи верифікації. Воно знищує ваші дані для входу — зв’язок з вашим акаунтом Google і будь-який ключ доступу, — тож увійти в цей акаунт знову неможливо. Якщо ви після цього ввійдете знову, ви отримаєте новий і порожній акаунт. Воно замінює ваше ім’я користувача випадково згенерованим і прибирає IP-адресу та відомості про пристрій, збережені разом із вашими записами про згоду. У межах нашої бази даних ці зміни вносять до нашої основної бази даних — тієї, на якій працює Сервіс. Наш постачальник бази даних зберігає історію відновлення бази даних, яку ми зараз налаштували приблизно на шість годин, а також власні резервні копії, які, за його заявою, він зберігає 30 днів; ми ще не уточнили в нього, що саме охоплюють ці резервні копії. Те, що ми видаляємо, залишається в цій історії та цих резервних копіях, доки не спливе їхній строк. Копію нашої бази даних ми робимо лише для того, щоб випробувати зміну в Сервісі або відновитися після збою, і видаляємо її, коли цю роботу завершено. Копія, зроблена до того, як ви видалили акаунт, зберігає те, що в ній було, доки її не видалять, а після цього може залишатися в резервних копіях постачальника, доки не спливе їхній строк. Те саме стосується кожного запису, який, згідно з розділом 8, ми видаляємо з нашої бази даних.

Видалення акаунта також анулює ваш баланс WDD і скасовує ваші потоки нарахувань — винагороди, які ще надходили вам поступово. Це умова Умов користування, а не питання конфіденційності, і викладена вона в розділі 8.5 Умов користування. Якщо ви хочете зберегти свій баланс, виведіть його, перш ніж видаляти акаунт. Щоб знищити свої біометричні дані, вам не обов’язково видаляти акаунт: розділ 4.4 описує цей окремий шлях, і він залишає ваш баланс WDD недоторканим.

Видалення прибирає не все, і ми радше назвемо те, що залишається, ніж назвемо його анонімним. Ваш акаунт має внутрішній ідентифікатор, який ми не видаляємо, і майже всі ці записи залишаються прив’язаними до цього ідентифікатора:

• Те, що ви голосували на кожних тестових виборах, і коли — але не те, за яку партію ви проголосували: цього не зберігають разом із вашим акаунтом. Розділ 5.3 каже, коли бюлетень усе ж можна пов’язати з людиною, яка його подала. Запис про те, що ви проголосували, зберігають, щоб явка на кожних виборах залишалася правдивою.
• Ваш запис про WDD — кожна винагорода, нарахована вам, яка зберігається як потік, що поступово вивільняв її на ваш баланс, кожна зміна цього потоку і кожне зроблене вами виведення: адреса гаманця-отримувача, сума й мережа, а там, де виведення не вдалося надіслати, — запис про цю спробу. Ваш баланс обнуляють, а ваші потоки нарахувань прибирають, але запис про те, що було нараховано і що виплачено, залишається. Це наш запис про WDD, які ми нарахували, і про WDD, які ми виплатили (розділ 8).
• Код запрошення, згенерований для вашого акаунта, який ніщо в Сервісі не використовує (розділ 3.1).
• Доказ кожної згоди, яку ви надали, і кожної, яку ви відкликали — який документ, яка версія, коли, мова й екран, на якому було показано заяву про згоду, а для згоди на зарахування голосу — які вибори (розділ 8).
• Те, що ви підтвердили, що вам 18 років або більше, і коли — зберігається як доказ того, що ми запитали, а ви відповіли (розділ 3.1). Дати народження ми не зберігаємо, тож немає жодної дати народження, яку можна було б видалити.
• Партія, яку ви зареєстрували, яка залишається в реєстрі. Випадково згенероване ім’я користувача замінює обране вами ім’я користувача як ім’я лідера цієї партії.
• Операційні сповіщення про те, що щось пішло не так, і їхні копії в поштових скриньках, куди вони надходять — сповіщення може містити адресу гаманця-отримувача, суму й мережу виведення та обліковий номер, який ми даємо цьому виведенню у власних записах, внутрішній ідентифікатор акаунта й ідентифікатор партії. Якщо переказ було надіслано, сповіщення може містити також хеш цієї транзакції в блокчейні та обліковий номер, який надав їй платіжний постачальник. Сповіщення ніколи не містить власної назви чи опису партії і ніколи не містить того, що про неї сказала автоматична модерація. Сповіщення — це повідомлення про одну подію, а не запис, який зберігають під вашим акаунтом, тож воно містить ті з цих ідентифікаторів, які мала та подія. Видалення вашого акаунта їх не видаляє (розділ 8).
• Журнали сервера та помилок, які наші хостинг-провайдери й провайдери бази даних зберігають протягом строку, якого ми не контролюємо. Рядок журналу може містити внутрішній ідентифікатор вашого акаунта, адресу, з якої надійшов запит, і сторінку, яку він запитував. Видалення вашого акаунта цих журналів не видаляє (розділ 8).
• Журнал аудиту безпеки наших хмарних акаунтів і наш журнал доступу до зображень перевірок обличчя (розділ 8, де сказано, скільки зберігається кожен із них). Їхні записи можуть містити внутрішній ідентифікатор вашого акаунта або називати один із ваших сеансів перевірки обличчя. Записи про ваші перевірки обличчя можуть також містити ідентифікатор, який AWS присвоїла вашому браузеру. Записи про ваші перевірки живої присутності та про ваші власні завантаження зображень ваших перевірок обличчя також містять IP-адресу та user-agent браузера, а запис про додавання вашого обличчя до колекції зазначає, де на еталонному зображенні розташовані ваші очі, ніс і рот і під яким кутом повернута ваша голова, але ніколи не містить самого зображення чи шаблону. Знищення даних вашого обличчя, яке запускає видалення, додає власні записи, і видалення вашого акаунта не видаляє жодного з цих записів.
• Дати на самому акаунті — коли акаунт було створено, коли він востаннє змінювався і коли його видалено.

Ці записи псевдонімізовані, а не анонімні, і цю різницю варто назвати. Жоден із них не містить вашої електронної адреси. Жоден із них не містить вашого імені чи обраного вами імені користувача. Майже всі ці записи залишаються прив’язаними до того самого внутрішнього ідентифікатора, тож їх усе ще можна прочитати як записи одного акаунта. Деякі види записів є винятками з цього, і кожен із них названо вище: операційне сповіщення — це повідомлення про одну подію, а не запис, який зберігають під акаунтом, а рядок журналу сервера чи помилок, як і запис у журналі аудиту безпеки чи в нашому журналі доступу до зображень перевірок обличчя, містить внутрішній ідентифікатор лише подекуди. Адреса гаманця-отримувача — це більше, ніж псевдонімний ідентифікатор: це постійний ідентифікатор у публічному блокчейні, і кожен, хто вже знає якусь вашу адресу, може бачити платежі, зроблені на цю адресу. Називати ці записи анонімними було б неправдою, тож ми їх так не називаємо.

Ви можете зберегти копію своїх даних, перш ніж видаляти акаунт, і це варто зробити спершу (розділ 10.1). Щойно акаунт видалено, цього шляху вже немає: копію створюють для акаунта, у який увійшли, а у видалений акаунт увійти неможливо. До того ж потім ми не мали б жодного способу пересвідчитися, що запит щодо видаленого акаунта надходить від людини, якій цей акаунт належав (розділ 10.3). Копія в застосунку не містить зображень із ваших перевірок обличчя; їх завантажують окремо, у розділі Акаунт → Верифікація, і, як і копію, їх неможливо завантажити після видалення акаунта.

Віддані вами голоси залишаються зарахованими. Ваш вибір є частиною підсумку партії і не зберігається разом із вашим акаунтом, тож з нього немає нічого, що ми могли б видалити окремо. Видалення акаунта фіксує вашу згоду на їх зарахування як відкликану — у день видалення. Якщо тестові вибори, на яких ви голосували, ще тривають, коли ви видаляєте акаунт, ваші біометричні дані знищують після завершення цих виборів, а не одразу (див. розділ 4.5).

10. Ваші права

Залежно від того, де ви живете, ви можете мати наведені нижче права. Скористатися ними зазвичай не коштує вам нічого (розділ 10.5), і за те, що ви ними скористалися, до вас не ставитимуться інакше.

• ЄС/ЄЕП і Велика Британія (GDPR / GDPR Великої Британії): доступ, виправлення, стирання, обмеження обробки, переносимість даних, заперечення проти обробки та відкликання згоди. Якщо рішення щодо вас ухвалено виключно автоматизованими засобами і воно має для вас істотні наслідки — відмова, описана в розділі 4.1, і рішення про показ у списку з розділу 5.1, — ви також маєте право домогтися втручання людини з нашого боку, висловити свою позицію та оскаржити рішення; пишіть на privacy@worldrepublic.org. Обидва ці рішення ми ухвалюємо автоматизованими засобами, бо кожне з них необхідне для послуги, про яку ви нас попросили. Щодо відмови ця послуга — тестові вибори, на яких одна верифікована людина має один голос. Щодо рішення про показ у списку ця послуга — реєстр, у якому кожен запис є справжньою реєстрацією партії. Відмова ухвалюється щодо даних особливої категорії — ваших біометричних даних, — і підстава, на яку ми при цьому спираємося, — це явна згода, яку ви даєте під час перевірки обличчя (розділ 4.4). Рішення про показ у списку ніколи не ухвалюють на підставі політичних поглядів, які виражає реєстрація; ці погляди прочитують лише як частину тексту, що перевіряється, а оприлюднюєте ви їх самі, реєструючи партію для публікації (розділ 5.1). Відповідь із розділу 5.2 відрізняється в обох цих пунктах: для неї справді прочитують позицію, яку партія публікує про ШІ, і вона нічого не змінює в тому, як показано вашу партію, хіба що читач попросить показати лише ті партії, які кажуть, чого хочуть щодо ШІ (розділ 5.2). Ви можете попросити людину переглянути її і можете заперечити проти неї, бо тут ми спираємося на наш законний інтерес (розділ 10.6). Ви можете подати скаргу до свого місцевого наглядового органу; для цілей GDPR ЄС нашим провідним наглядовим органом є угорський NAIH (розділ 14).
• Швейцарія (revFADP): доступ, виправлення, видалення, переносимість даних (ст. 28 revFADP), заперечення проти обробки і право подати скаргу до Федерального уповноваженого із захисту даних та інформації (FDPIC). Щодо автоматичної відмови, описаної в розділі 4.1, ви також можете викласти свою позицію і попросити, щоб це рішення переглянула людина.
• Бразилія (LGPD): підтвердження того, що ми обробляємо ваші дані, доступ, виправлення, знеособлення або видалення, переносимість, інформація про те, кому ми передавали ваші дані, і відкликання згоди.
• Каліфорнія (CCPA/CPRA): знати, видаляти, виправляти, відмовитися від продажу чи передавання (ми не продаємо і не передаємо) і обмежити використання чутливих персональних даних (до яких належать біометричні дані).
• Біометричні закони (BIPA в Іллінойсі, CUBI в Техасі, закон штату Вашингтон): ми отримуємо вашу згоду, перш ніж збирати біометричні дані, ніколи їх не продаємо, не здаємо в оренду, не торгуємо ними й не отримуємо з них вигоди в інший спосіб і дотримуємося письмового графіка зберігання та знищення. Вони ніколи не є частиною злиття, придбання чи передавання активів (розділ 6).

Ви можете будь-коли відкликати згоду на зарахування вашого бюлетеня (розділ 5.3): у застосунку відкрийте Акаунт → Верифікація → Відкликати згоду на обробку голосів. Відкликання охоплює всі вибори, на яких ви голосували, і ми записуємо день, коли ви відкликаєте згоду (розділ 8). Відкликання не впливає на законність зарахування ваших голосів до того, як ви її відкликали. Уже зарахований голос залишається в підсумку партії: ваш вибір є частиною цього підсумку і не зберігається разом із вашим акаунтом, тож з нього немає нічого, що ми могли б видалити окремо (розділ 9). Відкликання не скорочує описаних у розділі 5.3 періодів, протягом яких бюлетень ще можна пов’язати з вами. Коли ви голосуватимете наступного разу, вашу згоду запитають знову.

10.1 Як ними скористатися

Є два шляхи. Перший відповідає на доступ і переносимість одразу, без звернення до когось.

• У застосунку. Відкрийте налаштування акаунта; у розділі Акаунт є рядок Ваші дані. Він створює копію всього, що ми зберігаємо про вас і до чого можемо дістатися з вашого акаунта, — сторінку, яку ви можете прочитати, і машинозчитуваний файл, який ви можете передати іншому сервісу. Її створюють у мить, коли ви просите, для акаунта, який просить, і ніде не зберігають: ми не залишаємо собі жодної копії, і немає посилання, яке можна було б комусь надіслати. Це наша відповідь на доступ і на переносимість, і просити нас про неї не потрібно. Ця копія не містить зображень, які залишили в нас ваші перевірки обличчя: вони лишаються поза файлом, створеним для того, щоб його передавали далі. Натомість завантажте їх у розділі Акаунт → Верифікація, де вони надходять окремим файлом — кожне зображення, що зберігається за вашими власними перевірками обличчя, і ніколи жодне, що зберігається за чужими. Видалення акаунта — на тому самому екрані.
• Письмово. Усе інше — виправлення, обмеження обробки, заперечення, запитання про дані, які зберігають наші постачальники (розділи 4.3 і 6), або скаргу на рішення — надсилайте на privacy@worldrepublic.org.

Вхід не залишає нам вашої електронної адреси (розділ 3.1), тож зазвичай ми можемо відповісти лише на ту адресу, з якої ви нам пишете. Є один виняток, і він вузький. Якщо ви скаржитеся на партію, ми зберігаємо адресу, яку ви вказали в цій скарзі, і використовуємо її для цієї скарги й ні для чого іншого: щоб підтвердити, що ми її отримали, і щоб повідомити вам про наше рішення. Ми не використовуємо її, щоб відповісти на інше запитання, щоб повідомити вам про зміну в цій політиці чи щоб надіслати вам щось, чого ви не просили. Вона також є частиною запису про рішення — саме тому розділ 8 зберігає її, а не відкидає, щойно обидва повідомлення надіслано.

10.2 Скільки часу це в нас забирає

Balázs Kónya, член правління, відповідає за відповіді на запити, надіслані на privacy@worldrepublic.org, у межах наведених нижче строків. Ми не обіцяємо коротшого внутрішнього строку, ніж вимагає закон: ціль, за якою ніхто не працює, гірша за дотриманий законний строк, і наведені нижче строки — це ті, за якими ми працюємо.

Відлік починається від дня, коли ваш запит надходить до нас, — не від дня, коли ми закінчуємо вас ідентифікувати, і не від дня, коли ми знаходимо те, про що ви попросили. За GDPR і GDPR Великої Британії ми відповідаємо без невиправданої затримки і в будь-якому разі протягом одного місяця з дня отримання. Якщо запит складний або якщо ви подали кілька запитів, ми можемо взяти ще до двох місяців; протягом першого місяця ми повідомимо вам, що робимо це, і чому.

Там, де закон за місцем вашого проживання встановлює щось інше, ми робимо саме так:

• Велика Британія. Якщо нам обґрунтовано потрібно більше інформації, щоб ідентифікувати вас або знайти те, про що ви попросили, відлік зупиняється з дня, коли ми запитали, до дня, коли ви відповіли. Ми запитаємо лише там, де справді не можемо рухатися далі без цього.
• Бразилія. Ми підтверджуємо, чи обробляємо ваші дані, і надаємо вам доступ до них у спрощеній формі негайно, а в повному обсязі — протягом 15 днів від вашого запиту.
• Швейцарія. Як правило, ми відповідаємо протягом 30 днів. Відповідь містить те, що вимагає ст. 25(2) revFADP, зокрема одержувачів або категорії одержувачів, яким передають ваші дані, а якщо їх передають за кордон — до якої країни і на які запобіжники ми спираємося; розділи 6 і 7 викладають і те, і те наперед.
• Каліфорнія. Ми підтверджуємо отримання протягом 10 робочих днів і відповідаємо протягом 45 днів; цей строк ми можемо один раз продовжити ще на 45 днів, якщо повідомимо вам чому.

10.3 Як ми переконуємося, що це ви

Ми не зберігаємо ні вашого документа, що посвідчує особу, ні вашої адреси, тож наведена нижче драбина — це все, що в нас є. Ми йдемо нею вниз і зупиняємося на першому кроці, який вас ідентифікує.

1. Ваш акаунт, у який ви ввійшли. Копію в застосунку і завантаження зображень ваших перевірок обличчя створюють для того акаунта, який їх просить, у мить, коли він просить. Ніщо не ідентифікує вас краще — саме тому це перший шлях у розділі 10.1, а не просто зручність.
2. Ключ доступу, зареєстрований для цього акаунта. Якщо ви не можете дістатися застосунку, ми можемо попросити вас виконати вхід за ключем доступу з тими обліковими даними, які акаунт уже має.
3. Прив’язаний до нього акаунт Google. Якщо ви входили через Google, ми можемо попросити вас показати, що ви контролюєте цей акаунт, увійшовши через нього.
4. Додаткова інформація. Якщо нічого з цього неможливо, ми можемо попросити у вас додаткову інформацію, яка нам обґрунтовано потрібна, щоб пересвідчитися, що запит ваш, — і не більше того.
5. Письмова відмова. Якщо ми все одно не можемо пересвідчитися, ми повідомимо вам про це письмово, у строк, зазначений у розділі 10.2, з нашими причинами і з тим шляхом оскарження, що в розділі 10.4. Ми радше відмовимо в запиті, який не можемо співвіднести з вами, ніж відповімо на нього не тій людині.

Ми ніколи не приймемо адресу гаманця як доказ того, хто ви. Виведення роблять у публічних блокчейнах, тож адресу, якою ви користувалися, може назвати будь-хто, хто читає блокчейн; знання її нічого не доводить, а підписання повідомлення з неї доводило б контроль над ключем, а не над цим акаунтом.

Ми також не проситимемо у вас документ, що посвідчує особу, щоб відповісти на запит. У нас немає документа, що посвідчує особу, з яким його можна було б порівняти, тож він нічого б нам не сказав і коштував би вам більше, ніж вартий сам запит.

10.4 Якщо ми відмовляємо

Якщо ми не вживаємо заходів за вашим запитом, ми повідомимо вам чому, у строк, зазначений у розділі 10.2, і скажемо, що робити далі. Ви можете подати скаргу до органу із захисту даних за місцем свого проживання — для цілей ЄС це угорський NAIH, у Швейцарії — FDPIC, у Великій Британії — ICO (розділ 14) — і можете звернутися до суду. Ні те, ні те не залежить від нашої згоди.

У Великій Британії ви також маєте право поскаржитися безпосередньо нам. Ми підтвердимо отримання скарги протягом 30 днів і повідомимо вам результат без невиправданої затримки. Скарга до нас не є умовою для скарги до ICO.

10.5 Скільки це коштує

Нічого. Якщо запит явно необґрунтований або надмірний — зокрема якщо він повторює той, на який ми вже відповіли, — закон дозволяє нам стягнути розумну плату або відмовити, і якщо ми колись зробимо одне з цього, ми скажемо, що саме і чому. Ми радше відмовимо в одному запиті, назвавши причини, ніж призначимо ціну за решту.

Машинозчитуваний файл і завантаження зображень ваших перевірок обличчя мають спільне невелике обмеження на те, скільки копій можна зробити за будь-які 24 години. Це не плата і не питання потужностей: воно існує для того, щоб той, хто заволодіє вашим сеансом, не міг тихо забирати весь ваш запис знову і знову. Воно ніколи не заважає вам читати копію на екрані й ніколи не заважає вам написати нам.

10.6 Два права, які ми реалізуємо вручну

Доступ, переносимість і видалення є в застосунку і не потребують запиту. Обмеження обробки і заперечення — ні. У нас немає перемикача, який призупиняв би обробку однієї частини вашого запису, залишаючи решту працювати, тож запит про обмеження чи заперечення виконуємо ми, вручну, у кожному випадку окремо, у строки, зазначені в розділі 10.2. Напишіть нам, скажіть, що саме ви хочете зупинити і що у вашій ситуації робить це важливим, — і ми це зважимо й повідомимо вам, що зробили. Ми радше скажемо вам, що це робиться вручну, ніж дозволимо вам здогадатися про це з того, скільки це триває.

11. Безпека

Ми використовуємо TLS під час передавання та сховище з контролем доступу. Прямий доступ до нашої бази даних обмежено людьми, яких ми уповноважуємо забезпечувати роботу Сервісу, нашими постачальниками бази даних і хостингу та програмним забезпеченням, яке ми використовуємо для роботи Сервісу. Копію нашої бази даних ми робимо лише для того, щоб випробувати зміну в Сервісі або відновитися після збою, і видаляємо її, коли цю роботу завершено. Копія містить ті самі дані, а розділ 9 каже, як довго вона зберігає те, що ми видаляємо. Жодна система не є абсолютно захищеною, але ми працюємо над тим, щоб захистити ваші дані.

12. Діти

Сервіс призначений для дорослих — 18 років або більше. Перш ніж верифікувати вашу особу, ми просимо вас підтвердити, що вам 18 років або більше, і не верифікуємо нікого, хто цього не підтвердив. Ми записуємо лише те, що підтвердження було надано, і коли; дати народження ми не запитуємо.

Ми свідомо не збираємо даних ні від кого, кому ще немає 18 років. Якщо ми дізнаємося, що зберігаємо дані про людину, якій ще немає 18 років, ми закриваємо її акаунт і знищуємо її біометричні дані так, як викладає розділ 2 нашої Політики зберігання та знищення біометричних даних. Якщо ви вважаєте, що акаунт має людина, якій ще немає 18 років, напишіть на privacy@worldrepublic.org.

13. Зміни

Ми можемо оновлювати цю політику. Коли ми це робимо, ми публікуємо новий текст на цій сторінці й оновлюємо дату «Останнє оновлення» вище. Зміна в цій політиці набирає чинності тоді, коли ми її публікуємо. Ця політика описує те, що ми справді робимо з вашими даними, тож вона має ставати правдивою в ту саму мить, коли стає правдивим те, що вона описує; відкладати зміну на місяць означало б лише, що цілий місяць ця політика була б хибною. З Умовами користування це не так. Умови користування — це угода між вами і нами, і розділ 14 Умов користування дає вам 30 днів, перш ніж істотна зміна в цій угоді почне застосовуватися до вас.

Одна зміна навмисне повільніша. Якщо ми колись подовжимо строк, протягом якого зберігаємо біометричні дані, довший строк не застосовується до даних, які ми вже зберігаємо, доки зміна не буде оприлюднена протягом 30 днів. Це викладає розділ 6 Політики зберігання та знищення біометричних даних, і він регулює строк, зазначений у розділі 4.5 та в таблиці зберігання в розділі 8.

Ми не можемо надіслати вам сповіщення, коли ця політика змінюється. Вхід не залишає нам ні електронної адреси, ні номера телефону, ні поштової адреси, бо ми свідомо їх не зберігаємо (розділ 3.1), а в Сервісі немає банера чи повідомлення, які могли б вам про це сказати. Якщо ви скаржилися на партію, ми зберігаємо адресу, яку ви вказали в тій скарзі, — і ми не використаємо її ні для цього, ні для чогось іншого, крім тієї скарги (розділ 10.1). Це наслідок того, що ми зберігаємо так мало: окрім адреси, вказаної у скарзі, ми не маємо жодних ваших контактних даних. Розділ 10.1 каже те саме про все інше — ми можемо відповісти лише на ту адресу, з якої ви нам пишете. Тож ця сторінка і є сповіщенням: чинний текст завжди тут, а дата вище — це дата, коли ми востаннє змінили цю політику.

Цю політику написано англійською, і ми публікуємо її іншими мовами. Версія, що застосовується до вас, — це версія тією мовою, якою Сервіс показав її вам. Якщо ця версія та англійський текст розходяться, застосовується те значення, яке для вас сприятливіше.

14. Контакти

• Конфіденційність: privacy@worldrepublic.org
• Контакт у Європейському Союзі: Balázs Kónya, член правління, 3626 Hangony, Dózsa György út 5., Угорщина (privacy@worldrepublic.org)
• Провідний наглядовий орган ЄС: Національне управління Угорщини із захисту даних і свободи інформації (NAIH), Будапешт — naih.hu
• Наглядовий орган Швейцарії: Федеральний уповноважений із захисту даних та інформації (FDPIC), Берн
• Наглядовий орган Великої Британії: Офіс Уповноваженого з питань інформації (ICO), Вілмслоу — ico.org.uk