隐私政策

最后更新：2026年10月21日

1. 我们是谁

世界共和国（下称“世界共和国”或“我们”）运营世界共和国应用程序以及 https://www.worldrepublic.org 网站（下称“本服务”）。同一个应用程序还以 Raised by Humanity 这一名称在 https://www.raisedbyhumanity.org 提供。该站点运行相同的软件，使用相同的账户和同一个数据库，并由我们运营。本政策中的“本服务”同时指这两个站点，本政策对两者均适用。世界共和国是依据《瑞士民法典》第 60 条及以下条文设立的瑞士协会（Verein），住所地位于瑞士楚格。依据该法典第 60 条第 1 款，它具有法人资格，未在商业登记簿登记。本服务由我们的理事会在匈牙利管理，因此就欧盟《通用数据保护条例》（GDPR）而言，世界共和国设立于欧盟境内，我们在欧盟的主导监管机构是匈牙利国家数据保护与信息自由局（NAIH）。

对于下文所述的大多数处理活动，我们是数据控制者。在身份认证方面，我们是控制者，Amazon Web Services 作为我们的处理者／服务提供方。下文还提到第二家服务提供方 Didit，它对应的是一条目前并未提供的升级路径，见第 4.2 条。

• 隐私事务联系方式：privacy@worldrepublic.org
• 欧盟境内联系人：Balázs Kónya，理事会成员，3626 Hangony, Dózsa György út 5., Hungary（privacy@worldrepublic.org）

2. 适用范围

本政策适用于使用本服务的每一个人，无论其身在何处。如果当地法律赋予您额外权利，这些权利载于第 10 条。此类当地法律包括欧盟和英国的 GDPR、修订后的《瑞士联邦数据保护法》（revFADP）、经 CPRA 修订的《加利福尼亚州消费者隐私法》，以及美国州级的生物特征信息法律（伊利诺伊州 BIPA、得克萨斯州 CUBI、华盛顿州）。

世界共和国目前举办的是不具约束力的测试选举。我们尚未开始接纳会员，参与属于实验性质。

3. 我们收集的信息

3.1 您提供的信息

• 账户信息：如果您使用 Google 登录，我们会收到一个登录令牌和您的 Google 账户标识符。我们保留该标识符，正是它把您的账户与 Google 登录关联起来。我们不存储您的 Google 姓名、邮箱和头像，也不保留令牌，而令牌中就含有这些信息。
• 通行密钥凭据：如果您使用通行密钥（WebAuthn），我们会存储公钥凭据、一个标识符，以及在您登录时确认身份所需的设备元数据。
• 资料信息：用户名。用户名在创建账户时由我们生成，您随时可以在账户设置中更改。在本服务中凡是显示您的地方，都会公开显示该用户名（见第 6 条），因此如果您把它改成自己的真实姓名，公开的就是您的真实姓名。我们还会为每个账户生成一个邀请码；本服务中没有任何地方使用它。
• 您创建的内容：政党名称、简介和链接。
• 对政党的举报：如果您举报某个政党在名录中的条目，我们会保留举报的是哪个政党、您选择的理由、您填写的内容，以及时间。在大多数理由下，我们还会询问您的姓名和一个邮箱地址，因为要求我们接受举报的法律同样要求我们确认已收到举报并告知处理结果，而我们没有其他方式联系到您。有一种理由我们两者都不询问、也都不保留：举报内容涉及儿童性虐待材料。如果您处于登录状态，我们还会记录是哪个账户提交的举报。这是我们唯一持有您所提供邮箱地址的地方；保留多久见第 8 条，我们会用它做什么、不会用它做什么见第 10.1 条。
• 年龄确认：您确认自己已年满 18 岁这一事实，以及确认的时间。我们在身份认证之前询问一次。我们不询问您的出生日期，也不存储出生日期，只记录确认已经作出、确认所针对的年龄，以及时间。
• 您政党的审核结果：第 5.1 条所述的自动审核是默认列出了您的政党，还是将其作为垃圾内容而默认不显示；它给出的理由；是其两项检查中的哪一项（或哪个人）作出的决定；在由模型决定时是哪个模型作出的；以及时间。
• 您政党是否说明了对 AI 的主张：政党的名称或简介是否说明了它对人工智能的主张，以第 5.2 条所述审核的判读为准；它给出的一行文字，其中可能引用您自己的原话；由什么作出的回答（自动分类器或人工）；在由模型作答时是哪个模型；以及时间。
• 将您的政党移出名录的决定：除上述审核之外，内容经我们判断为违法的政党可以被完全移出名录：其页面对任何人都不再打开，无法被找到，也无法获得投票。这是一项不同于上述审核结果、且严厉得多的措施，上述审核结果只影响政党是否默认列出。我们采取该措施时，会保留日期、我们所依据的法律依据、我们就该依据为何适用于您的政党所写下的理由、促成该措施的是他人的举报还是我们自己的审核，以及决定者的标识。除最后一项外，以上内容都会在本服务中向您显示，就显示在您政党自己的页面上；该页面虽然不再向其他任何人打开，但对您仍然打开。我们不会说出作出决定的具体个人，也不会告诉您是谁举报了您（如果确有人举报）。
• 投票记录：您在某场测试选举中投了票这一事实，以及时间。不包括您投给了哪个政党。本政策中所称选票，是指您在测试选举中作出的选择。您的选票不公开：您的选择会计入该政党的得票总数，但不与您的账户存储在一起。除了您投票时您自己的设备上显示的确认之外，本服务中没有任何界面显示您投给了哪个政党，我们也不会公布它。在某些情况下，能够直接访问我们数据库（第 11 条）或其副本的人，仍然可以把一张选票与投出它的人关联起来。第 5.3 条说明这在什么情况下可能发生，以及可能持续多久。
• 交易明细：您提现 WDD 时的目标钱包地址、金额和所选网络。

3.2 身份认证与生物特征数据

为保证测试选举的公平（一位已认证者只投一票），并防止欺诈和重复账户，我们会核实您是身份唯一、真实在场的本人。生物特征数据另有完整的单独说明，载于第 4 条，请仔细阅读。

3.3 自动收集的信息

• 设备与日志信息：设备和浏览器类型、操作系统，以及类似的技术数据。
• IP 地址：我们处理您的 IP 地址，用于实施频率限制和防止滥用（在我们的频率限制记录中短期存储）。当您首次同意我们的服务条款并知悉本政策时，或在您作出生物特征数据同意时，我们还会将您的 IP 地址和浏览器 User-Agent 作为同意记录的一部分存储，以此证明上述同意。您的 IP 地址和浏览器 User-Agent 还会记录在第 8 条所述的安全记录中：在一次人脸核验中您的设备启动活体检测时，以及您每次下载自己的人脸核验图像时。
• 使用信息：您在本服务中使用了哪些功能、进行了哪些操作。
• 您的数据副本：当您下载第 10.1 条所述的机器可读文件或您的人脸核验图像时，我们会记录曾制作过一份副本、制作的时间、取走的是这两者中的哪一种，以及副本包含记录中的哪些部分（就图像而言，即它们所属的认证部分）。就图像而言，该记录在下载开始时生成，因此一次随后在您设备上失败的下载仍会出现在清单中，并计入上限。我们保留这项记录，是为了让您登录的每一台设备都能读到同一份清单；这是我们唯一能够告知您有人使用您的会话取走了全部数据副本的方式，因为我们没有任何可以联系到您的地址。在屏幕上查看数据不会计入其中，这份清单记下的是离开设备的那一份副本。

3.4 Cookie 与本地存储

我们只使用严格必要的和功能性的 Cookie 与本地存储：

• 登录与安全（会话 Cookie 和账户关联 Cookie）。
• 偏好设置（例如您选择的语言）。
• 功能状态（例如认证后返回原页面）。
• 账户页面的一份副本，保留它是为了让您再次回来时本服务能够立即重新绘制该页面。它包含该页面显示的内容：您的 WDD 余额、您最近的收支记录（包括您每笔提现的目标钱包地址和所在网络），以及您的账户是否已认证、人脸活体核验是否未通过。退出登录会将它替换为一份空副本。在您退出登录之前，它会一直留在设备上，因此如果其他人也使用该设备，请退出登录。

我们不使用广告 Cookie，也不运行任何广告或跨站跟踪 SDK。

4. 生物特征数据（人脸活体核验），请务必阅读

要在测试选举中投票，或者登记政党，您必须完成一次人脸活体核验。本政策将该核验称为人脸核验。人脸核验会处理生物特征数据，这属于敏感／特殊类别个人数据。我们希望就此完全公开透明。

4.1 具体过程

• 您的设备会采集一段简短的实时面部视频，交由 Amazon Web Services (AWS) 的 Amazon Rekognition Face Liveness 处理，以确认有真实的人本人在场（防伪造）。
• AWS 会为该次会话存储一张参考面部图像。无论核验通过与否，AWS 都会存储该图像，因此未通过的核验同样会留下一张图像。您随时可以要求销毁该图像（第 4.4 条）。
• 如果核验成功，我们会将由该图像生成的面部向量（模板）加入一个受保护的 AWS Rekognition 集合。核验若因重复而未通过，则不会向该集合加入任何向量。
• 我们使用该集合，将您的面部向量与其中其他人的面部向量进行一对多比对，以核查同一张脸是否已经在另一个账户上完成认证。

该拒绝是自动作出的。如果比对发现一致，该账户的认证会在那一刻由比对本身判定为未通过，没有任何人参与这一决定。衡量的唯一一点，是由您这次扫描生成的面部向量与集合中已有向量的相似程度，并以单一固定的相似度阈值为准；除此之外，有关您的其他任何情况都不会进入这一判断。未通过认证的账户无法在测试选举中投票，也无法登记政党；除非有人更改该决定，否则它对该账户持续有效。

您可以要求由人来查看这一决定。请写信至 privacy@worldrepublic.org，或在我们的帮助社区提问，我们会在一个月内答复。在两张图像都仍然存在的前提下，会有人将您这次核验的参考图像与为与之一致的账户保留的那一张进行比对（其中任何一张都可能已按第 4.5 条销毁），并且可以撤销该拒绝、为您完成认证。

即使图像已经不在，事情也不会就此结束。如果与您这次核验一致的那张脸此后已经销毁，无论是因为该账户已删除，还是因为其背后的人撤回了同意，都可以由人解除该拒绝，让您重新进行一次核验。这并不等于认定您已通过认证：新的核验会完整运行，接受同样的比对，也可能再次判定您未通过。为了使这两条途径都能走通，我们会将这次一致的记录与未通过的核验一并保留：与哪个账户一致，以及比对的接近程度（第 8 条）。

4.2 转交 Didit 的升级路径

该路径目前并未提供，也无法启动任何核验。此处加以说明，是因为它已经设计完成。

其设想是，当人脸核验误拒某人时（即长相相似的两个人之间出现错误的重复一致），将其升级转交给身份认证服务提供方 Didit。该路径会征求您的明确同意，并由 Didit 代表我们核验一份证件和一张自拍照。

目前这一切都没有运行：本服务中没有提供该路径的界面，启动核验的那条接口也会拒绝所有请求。Didit 不持有我们的任何认证数据。如果您的人脸核验未通过，可走的途径就是第 4.1 条中的那一条：在我们的帮助社区提问，有人可以查看两条记录，并重新开启认证。

如果日后提供该升级路径，本条会在其投入使用之前载明它收集什么、我们又会收到什么。

4.3 服务提供方告知（AWS 与 Didit）

世界共和国在身份认证服务方面使用服务提供方。生物特征标识符和生物特征信息（下称“生物特征数据”），具体指对您面部几何特征的扫描以及相关的面部图像和模板，可能由这些服务提供方（AWS；以及 Didit，如果第 4.2 条所述的升级路径日后提供）代表世界共和国收集、存储和使用，目的是核实您是身份唯一、真实在场的本人，并防止出现重复或欺诈账户。对于 AWS 代表其存储的生物特征数据，世界共和国会在收集这些数据的初始目的实现时、在您要求删除时，或在法律要求更早销毁时，将其销毁。Didit 不持有我们的任何生物特征数据或身份数据，因为该升级路径并未提供。如果日后提供，Didit 可以在何种条件下持有这些数据、又必须在何种条件下删除这些数据，将先行确定并在此载明。为提供本服务所必需时，生物特征数据可能在世界共和国与其服务提供方之间传输。

4.4 您的同意与选择

这项核验背后有两个依据，我们把两者都写明。

核验本身是为提供您所要求的服务所必需的。一位已认证者只投一票的测试选举，只有在能够证明每位选民都只登记了一次的前提下才能举办，而我们今天没有侵入性更低的办法来证明这一点。由于该核验会处理生物特征数据，还需要第二项依据：您明确的、主动作出的同意，这正是我们就生物特征数据本身所依据的条件。我们在人脸核验开始时征求该同意，未经同意不会处理任何生物特征数据。

拒绝会让您失去什么。人脸核验是目前唯一的投票途径。如果您拒绝，就无法在测试选举中投票，也无法登记新的政党。除此之外您不会失去任何东西：您仍然可以持有 WDD、提现 WDD、领导您此前登记的政党，并使用本服务的其余部分。在任何结果对任何人具有约束力的选举之前，我们会提供一条不使用人脸核验的投票途径。

您随时可以撤回该同意，并且不必为此删除账户。在应用中打开账户 → 身份认证 → 删除我的人脸数据。撤回立即生效，并会销毁所有参考图像以及我们用于比对的面部模板。如果您需要这些图像的副本，请先在同一界面下载（第 10.1 条）。您的账户、WDD 余额、您领导的任何政党，以及您已经投出的任何一票，都不受影响。在完成新的人脸核验之前，您将无法再次投票，而这次新的核验您随时可以进行；但如果您的核验此前已因与另一个账户重复而未通过（即第 4.1 条所述的自动拒绝），则不在此列。撤回同意会销毁数据，但不会改变那项决定；如需对其提出异议，请联系 privacy@worldrepublic.org。

有一种例外情形，与第 4.5 条就账户删除所述的相同：如果您撤回同意时，您投过票的某场测试选举仍在进行，您的同意会立即终止，但生物特征数据本身要到该场选举结束时才销毁；除非您在此之前完成一次新的人脸核验，那么这次新的同意即告成立，不会销毁任何数据。正如第 4.5 条所述，销毁的等待绝不会超过 14 天：在您撤回同意 14 天之后才结束的选举，完全不会延后销毁。您也可以选择删除整个账户（第 9 条），或联系我们行使第 10 条中的任何权利。

4.5 留存与销毁

我们保留生物特征数据的时间，仅限于认证和防止重复所需的期限。以下情形中最早发生的一项出现时，我们即销毁这些数据：目的实现时、您提出删除请求时、您的账户删除时，或自您最后一次与本服务互动起满 3 年时。有一项记录会保留得更久：我们的生物特征数据留存与销毁政策第 1 条所述的安全日志条目，它记下您的眼睛、鼻子和嘴的位置以及您头部的角度。我们书面的生物特征数据留存与销毁政策完整列明了上述每一项触发情形，该政策第 2 条列出了什么算作一次互动。销毁包括删除 AWS 的参考图像（Amazon S3）和面部向量（Rekognition 集合）。

有一种例外情形，范围有限，写在这里是因为您应当在行动之前知道它：如果您在投过票的某场测试选举仍在进行时删除账户，或依据第 4.4 条撤回生物特征数据同意，我们会将您的生物特征数据保留至该场选举结束，届时再销毁。如果您撤回同意后又在该场选举结束前重新完成认证，待执行的销毁即告取消，因为新的人脸核验构成新的同意；账户删除绝不会以这种方式取消。已经投出的票无法再从该政党的得票总数中取出，因此仍会计入结果，而人脸核验是唯一能够阻止同一个人另行认证一个新账户、在同一场选举中投第二次票的手段。这一延后绝不会超过该场选举的剩余时间，也绝不会超过 14 天：在您操作 14 天之后才结束的选举，完全不会延后销毁。删除中的其他任何事项都不会等待。

4.6 生物特征数据在何处处理

您的面部模板和参考图像由 AWS 在欧盟（爱尔兰）处理和存储。相关的认证元数据（例如置信度分数和存储引用）保存在我们的主数据库中（见第 7 条）。

5. 我们如何使用信息，以及我们的法律依据

5.1 对政党登记的自动审核

当您登记政党或对其进行编辑时，会先由程序审核，然后才默认列出。这一步骤没有任何人参与。

• 它读取什么：政党的名称、简介、网站链接和领导人的用户名，除此之外不涉及您的任何信息。
• 它决定什么：该政党是出现在默认列表、搜索结果和选举的参选政党名单中，还是作为垃圾内容而默认不显示。默认不显示的政党并没有被移除：它仍然留在自己的网址上，选择显示全部政党后就能找到，也可以为它投票。
• 依据的理由：为本服务之外的事物做推广（包括冒充本服务或已有的知名政党）、提出向个人出钱买票、煽动暴力，以及淫秽内容。政治观点绝不构成理由，并且审核必须引用它所标记的内容。
• 它如何决定：由一个大语言模型，即 Z.ai 的 GLM-5.3 Flash，将上述规则应用于文本。该模型不可用时，由同一厂商的 GLM-5.3 应用同样的规则。两者都在美国的 Baseten 上运行（第 6 条和第 7 条），Baseten 在请求得到响应后不保留其中任何内容，也不用其进行训练。第二项检查是一条固定规则，将政党名称与已有知名政党的名称进行比较。结果、所依据的理由、由哪一项检查作出决定，以及在由模型决定时是两个模型中的哪一个，都会与该政党一并保留（第 8 条）。
• 为什么可以由程序来决定：一个其中每一条目都是真实政党登记的名录，属于您登记政党时所要求的服务的一部分，这正是这一决定可以由程序作出的原因。政党登记同时也表达政治观点。该决定绝不依据这些观点作出：上述理由针对的是一份登记所做的事，而不是它所谈论的主题，任何登记都不会因为它主张什么而被标记。之所以读取这些观点，只是因为它们就在被检查的文本之中，而您把政党登记为在公开名录中公布，本身就是您自己将它们公开。投票、持有 WDD 或使用其他任何功能，都不需要您登记政党。
• 您可以怎么做：政党领导人可以在政党页面上看到结果和理由。编辑政党会重新提交审核。您可以通过该提示中链接的帮助社区，或写信至 privacy@worldrepublic.org，要求由人来复核这一结果。

5.2 政党是否说明了对 AI 的主张

Raised by Humanity 是一项关于人工智能应当如何治理的倡导活动。为了分辨哪些政党对此表明了立场，承载第 5.1 条所述审核的同一个请求，还会另外提出一个独立的问题。

• 它询问什么：一个关注 AI 公共讨论的人，能否从政党的名称或简介中看出该政党对 AI 的主张，即 AI 应当如何开发、使用、共享、限制或治理。任何立场都算数，无论赞成还是反对，并且没有哪一种立场比另一种更有分量。政党不必使用“AI”这个词。提到 AI，或者使用、销售 AI，都不算是一种立场。
• 它读取什么：与第 5.1 条相同的字段，并且在同一个请求中读取，即政党的名称、简介、网站链接和领导人的用户名。除此之外不发送任何内容，也不发送到其他任何地方。
• 它记录什么：回答（说明了对 AI 的主张，或未说明），附有一行引用其所依据文字的内容，以及作答的模型和时间。这些内容与该政党一并保留（第 8 条）。
• 它改变什么：它只改变一种视图，并且只对提出要求的查看者生效。在政党列表或选举的参选政党名单中打开“仅显示关注 AI 治理的政党”后，只会显示回答为说明了对 AI 的主张的政党。除非查看者将其打开，否则该筛选保持关闭。该回答不参与第 5.1 条所述的审核。不使用该筛选时，该回答不会改变任何人看到的内容，包括默认列表、搜索结果和选举的参选政党名单，也绝不会影响任何投票。如果这一点有所改变，本节将从改变当天起写明。
• 它如何决定：使用与第 5.1 条相同的模型，即 Z.ai 的 GLM-5.3 Flash，该模型不可用时则使用 GLM-5.3。它们在美国的 Baseten 上运行，Baseten 在请求得到响应后不保留其中任何内容，也不用其进行训练。
• 您可以怎么做：每次编辑政党都会重新提出这一问题，新的回答会取代旧的回答。该回答包含在本服务提供给您的数据副本中（第 10 条）。您可以写信至 privacy@worldrepublic.org，要求由人复核该回答，或对其提出反对。如果回答是您的政党未说明对 AI 的主张，那么在您打开该筛选期间，您的政党卡片会注明这一点。
• 为什么可以读取政治立场：这是本服务唯一一处读取政党主张什么、而不仅仅是它做什么的地方。它只读取政党自己公布的文字，只涉及一个主题，并对该主题上的每一种立场一视同仁。您把政党登记为在公开名录中公布，本身就是您自己将这些文字公开。投票、持有 WDD 或使用其他任何功能，都不需要您登记政党。

5.3 您的选票

您投票时，我们的服务器会同时收到您是谁以及您的选择，因为它必须先核实您有权投票，然后统计这一票。它把两者分开存储，存为在同一时刻一并保存的三条记录：一条记下您在该场选举中投过票以及时间；一条记下您对统计您投票的同意，其中写明选举和日期；还有一条给该政党的得票总数加上一票。没有任何记录把您的选择与您的账户存储在一起。在某些情况下，您的选票仍然可能与您关联起来，本条说明在什么情况下会这样。

• 选举进行期间。我们的数据库会给它保存的每一次更改标上一个编号。这三条记录是在同一次更改中保存的，因此带有同一个编号。所以在一场选举进行期间，能够直接访问我们数据库（第 11 条）的人，可以查出每个政党最近一张选票是谁投的，并且通过观察得票总数的变化，查出在此期间每一张选票是谁投的。借助直接读取数据库存储的工具，他们还可以从数据库尚未清除的旧版本得票总数中，查出近期其他选票是谁投的。我们的测试选举接受投票的时间为 3 天，本服务在任何一场选举中接受投票的时间都绝不会超过 14 天。
• 选举结束之后。一场选举结束后不久，通常在几分钟之内，我们会在另一次单独的更改中重写它的得票总数。此后，在我们的主数据库（即本服务运行所用的那个数据库）中，就没有任何记录把一张选票与投出它的人关联起来。旧版本的得票总数在被覆盖之前，可能仍留在数据库的存储中，而上述那些工具仍然可以读取它们。
• 在我们提供方的恢复历史和备份中。我们的数据库提供方会保留数据库的恢复历史，我们目前将其设为大约 6 小时。它可以关联在这段时间内投出的任何一张选票，也可以把得票总数恢复成我们重写之前的样子，连同其中保留的关联。该提供方还保留其自己的备份，并表示这些备份保存 30 天；这些备份涵盖哪些内容，我们尚未与其确认。这些备份，以及在得票总数重写之前制作的任何一份数据库副本（第 11 条），都会保留这些关联，直至它们到期或被删除；而我们删除的副本，在这些备份到期之前仍可能留存在其中。
• 在我们公布的内容中。选举结束后，我们会公布每个政党的得票总数（第 6 条）；选举进行期间，我们只显示总共投出了多少张选票。如果一场选举中的每个人都投给了同一个政党，那么对于任何知道他们投过票的人来说，得票总数就显示出了他们每个人是怎么投的。而当投票的人很少时，知道其他人怎么投的人，就能推算出其余的人怎么投。

本服务中没有任何部分利用上述任何一点把一张选票与投出它的人关联起来。

由于您的选择会透露一项政治观点，我们会在统计它之前征求您的明确同意。在每一场测试选举中，您投票的界面上都有一个未勾选的方框，用于征求这项同意，必须勾选它才能投出选票；没有这项同意的选票，我们的服务器会拒绝接受。我们记录这项同意时，会一并记下所在的选举、您勾选的那段文字的版本和语言，以及日期。我们不随它记录任何 IP 地址或浏览器信息，而且只记录日期，因为它与您投过票的记录是在同一时刻保存的，一个精确的时间就会成为您何时投票的第二份记录。您可以撤回这项同意（第 10 条）。

6. 我们如何共享信息

我们不出售您的个人信息。本条说明谁会收到与您有关的信息，以及以何种身份收到。其中一部分由服务提供方按我们的指示、并且不为其自身任何目的而代我们处理。另一部分会到达某家自行决定如何处理该信息的公司，本条会点明这些接收方。还有一部分是我们为遵守法律而必须披露的；在合并、收购或资产转让中，我们所持有的信息会在合法保障措施的前提下转移给受让方，但您的生物特征数据除外，它绝不会以这种方式转移。此外还有一部分，是本服务向其他人公布的。

代我们行事的服务提供方。这些提供方按我们的指示处理信息，不为其自身的任何目的。下面的列表中列出 Didit 只是为了完整起见，它今天不为我们处理任何信息：

• Google Workspace：托管我们的邮箱，其中包括 privacy@worldrepublic.org 和 legal@worldrepublic.org。您写给这两个地址中任何一个的内容，以及随信发送的任何材料（包括您为证明某项请求确实出自本人而发送的材料，见第 10.3 条），都由 Google 作为我们的提供方处理。下面 Amazon Web Services 条目中所述的运营告警也通过电子邮件送达，其送达的地址之一位于我们自己的域名下。因此，载有目标钱包地址的告警同样由 Google 处理。使用 Google 登录属于另一种关系，本条在下文对该关系另有说明。
• Amazon Web Services (AWS)：四项用途。其一，Amazon Rekognition Face Liveness、Amazon S3（参考图像）和 Amazon Cognito（临时访客凭据），作为我们在生物特征认证方面的服务提供方（欧盟区域）。其二，Amazon Simple Notification Service，用于传送我们的运营告警。其三，AWS CloudTrail，用于保存我们云账户的安全审计日志和我们的人脸核验图像访问记录（第 8 条）。其四，Amazon Simple Email Service，用于传送我们应当发给政党举报人的两条消息：我们已收到举报，以及我们的处理结果。这两条消息发送到该人提供给我们的邮箱地址，其中载有政党名称、日期和一个编号；绝不会载有所选择的举报理由或该人填写的内容。告警的作用是告诉我们有事需要处理，例如某笔提现出错、某个账户触及我们就其操作频率设定的某项限制、自动审核无法读取某份政党登记，或者某次生物特征数据销毁没有完成。这些只是举例，并非全部。告警可能载有目标钱包地址、一笔提现的金额和网络、我们在自己记录中为该笔提现编定的编号、某个账户的内部标识符，以及某个政党的标识符。在转账已经发出的情况下，告警还可能载有该笔交易在区块链上的哈希值，以及支付服务提供方为其编定的编号。告警绝不会载有政党自己的名称或简介，也绝不会载有自动审核对它的评定内容。
• Didit：升级转交后的身份认证。目前并未提供，且不持有我们的任何数据（第 4.2 条）。参见 Didit 的《核验隐私告知》（Verification Privacy Notice）和《身份核验最终用户条款》（End User Terms for Identity Verification）。
• Coinbase：执行 WDD 的链上提现；收到目标地址、金额、网络，以及我们在自己记录中为该笔提现编定的编号，除此之外别无其他。
• Neon：为本服务的数据提供数据库托管。我们的数据库运行在新加坡，Neon 同时也在美国进行处理（第 7 条）。
• Vercel：应用托管和基础设施日志。我们的应用运行在新加坡，Vercel 同时也在美国进行处理（第 7 条）。其 AI Gateway 还会把第 5.1 条和第 5.2 条中的政党审核请求作为同一个请求传送给 Baseten，而不传送给其他任何地方。
• Baseten：运行审核政党登记的语言模型（第 5.1 条和第 5.2 条）；收到政党的名称、简介、链接和领导人用户名，在请求得到响应后不保留其中任何内容，也不用其进行训练（美国）。

可应请求提供最新的次级处理者清单。

您登录时的 Google。使用 Google 登录，是您与 Google 之间的一次交互，Google 会自行决定如何处理这次交互。在这里 Google 并非仅按我们的指示行事，因此就此事而言，Google 不是我们的服务提供方。我们会收到一个登录令牌和您 Google 账户的一个标识符，并且只保留该标识符（第 3.1 条）。Google 如何处理一次登录，适用 Google 自己的隐私政策（policies.google.com/privacy）。

我们的帮助社区。如果您希望由人来查看某项自动作出的决定，第 4.1 条和第 5.1 条会指引您前往我们的帮助社区。该社区是 Telegram 上的一个公开频道。您在那里写下的内容，Telegram 以及该频道中的其他每一个人都能看到。我们并不控制该频道。如果您不愿在公开场合书写，可以改为写信至 privacy@worldrepublic.org：这条途径会找到同样的人，第 10.1 条对此有说明。

法律要求的披露，以及本服务转由另一组织承接的情形。我们可能为遵守法律或应公共机关的有效请求而披露信息。我们也可能在合并、收购或资产转让中披露信息（以合法保障措施为前提）。您的生物特征数据绝不属于此类转让的一部分。我们不会出售、出租或交易这些数据，也不会以其他方式从中获利，更不会把它连同我们持有的其余信息一并交给受让方。除了代我们、并按我们的指示存储该数据的提供方之外（第 4.3 条），我们只在您同意、法律要求，或有效的搜查令或传票强制要求时，才披露生物特征数据。合并、收购和资产转让都不属于上述任何一种情形。

由本服务公布的内容。您所做的一部分事情会向其他人显示。这不是与提供方之间的共享，而是公布，并且无法通过要求某个提供方停止来撤销：

• 政党名录。如果您登记政党，该政党的名称、简介、链接、您的用户名，以及累计授予该政党的补助金 WDD 总额，都会在名录中公布。名录是公开的：任何人无需账户即可查看，搜索引擎也可以收录。
• 提现。一笔 WDD 提现是一笔公开的区块链交易。目标地址、金额、网络、时间，以及我们在自己记录中为该笔提现编定的编号，都公布在区块链上，而不是由我们公布，任何人都无法将它们删除。我们把该编号写入交易，是为了能够证明一笔提现只进行过一次、且仅此一次。该编号不是您账户的标识符。每笔提现都有自己的编号，一个编号只属于一笔提现。为了核查某笔提现是否已经完成，我们会请一家公开的区块链服务代我们查询该笔交易。这类服务看到的是区块链已经公布的内容，即地址、金额和编号，此外不会看到我们持有的关于您的任何其他信息。
• 选举结果。选举结束后，每个政党的得票总数都会公布。选举进行期间，不显示任何政党的得票总数，只显示总共投出了多少张选票。我们只公布总数，从不公布任何一张单独的选票。如果所有人都投给了同一个政党，那么对于知道您投过票的人来说，得票总数仍然可能显示出您是怎么投的；而如果投票的人很少，对于还知道其他人怎么投的人来说也是如此（第 5.3 条）。第 5.3 条说明了在我们的数据库中，一张选票在什么情况下可以与您关联起来。

以上各处出现的名称都是您的用户名，而它由您自己选定（第 3.1 条）。

7. 数据的跨境传输

我们的住所地在瑞士，瑞士已获得欧盟的充分性认定，同时我们也设立于欧盟境内（第 1 条）。您的数据会在不止一个国家处理：

• 生物特征数据（面部模板和参考图像）由 AWS 在欧盟（爱尔兰）处理和存储。
• 我们云账户的安全审计日志，以及我们的人脸核验图像访问记录（第 8 条）：其中与您有关的条目保存在欧盟境内，即人脸核验运行所在的爱尔兰，以及我们存放副本的德国。
• 账户和应用数据保存在我们位于 Neon 的数据库中，并由 Vercel 对外提供。两者都运行在新加坡，其中一部分数据也会到达美国：Vercel 的数据处理协议载明其主要处理设施位于美国，而 Neon 通过一家美国母公司签约，该母公司的条款指明了一家美国提供方负责基础设施监控。以这种方式传输的是请求日志和服务器日志，即您的 IP 地址、浏览器 User-Agent、您请求的页面，以及在部分错误记录中的账户内部标识符。
• 正在接受审核的政党登记（名称、简介、链接、领导人用户名）会发送给美国的 Baseten，用于第 5.1 条和第 5.2 条中的自动审核，并且不会存储在那里。
• 提现明细，即目标地址、金额、网络，以及我们在自己记录中为该笔提现编定的编号，会发送给 Coinbase，一家总部位于美国的公司。Coinbase 自身在哪些国家处理这些数据，我们尚未查实。
• 运营告警由 Amazon Simple Notification Service 传送（第 6 条），告警可能载有目标钱包地址、一笔提现的金额和网络、我们在自己记录中为该笔提现编定的编号、某个账户的内部标识符，以及某个政党的标识符。在转账已经发出的情况下，告警还可能载有该笔交易在区块链上的哈希值，以及支付服务提供方为其编定的编号。告警绝不会载有政党自己的名称或简介，也绝不会载有自动审核对它的评定内容。该服务运行在我们为其配置的那个 Amazon 区域，该区域可能位于欧盟境外。告警随后通过电子邮件送达，其送达的地址之一位于我们自己的域名下，而该域名由 Google Workspace 在美国托管（第 6 条）。
• 发给政党举报人的消息由 Amazon Simple Email Service 在欧盟（爱尔兰）传送，与生物特征数据所在的区域相同，依据的也是同一份协议。
• 登录数据会发送给 Google，Google 在美国及其他国家处理这些数据。
• 第 4.2 条中的证件升级路径不向任何地方发送任何数据，因为它并未提供，也无法启动任何核验。与欧洲客户签约的 Didit 公司是 Didit Identity Spain, S.L.，Didit 表示其主要处理系统位于欧洲经济区内。这是 Didit 自己的说法，我们并未自行核实。在该路径提供之前，我们会在本条中确认核验将在何处处理，并指明适用的保障措施。
• 您写给 privacy@worldrepublic.org 或 legal@worldrepublic.org 的内容由 Google Workspace 在美国处理（第 6 条）。

新加坡不在欧盟或瑞士的充分性认定范围内，美国则仅对经《数据隐私框架》认证的接收方适用。我们并非对上述所有传输都依赖同一项保障措施。与其援引一份我们并不持有的法律文件，我们宁愿告诉您哪一项保障措施适用于哪一个接收方：

• Vercel，以及通过 Vercel 网关到达的 Baseten：适用欧盟委员会的标准合同条款和英国的国际数据传输附录，两者都已纳入 Vercel 的数据处理协议。该协议是否同时包含瑞士法律所要求的补充内容，我们尚未查实。我们与 Baseten 之间没有单独的协议。
• Google，就我们的邮箱而言：适用 Google 的标准 Workspace 条款，其中纳入了 Google 的数据处理附录和标准合同条款。
• Google，就登录而言：我们没有任何属于自己的保障措施。Google 自行决定如何处理一次登录，因此在这里它并非仅按我们的指示行事，我们也没有就登录与 Google 签订数据处理协议。Google 表示其已通过欧盟与美国之间的《数据隐私框架》认证。就这项传输，我们没有取得任何单独的法律文件。
• AWS：适用 AWS 的数据处理协议。您的生物特征数据保存在欧盟（爱尔兰），完全不会传输至欧盟境外。当您下载自己人脸核验图像的副本时（第 10.1 条），无论您身在何处，您的浏览器都直接从位于欧盟（爱尔兰）的 AWS 获取这些图像：它们不经过我们的服务器，我们也不保留您所下载内容的任何副本。上文所述的运营告警依据同一份协议传送，所在的是我们为这些告警配置的那个 Amazon 区域。我们发给政党举报人的消息同样依据该协议传送，位于欧盟（爱尔兰）。
• Neon：适用 Neon 的标准条款，我们使用 Neon 时它自动适用。该合同的跨境传输条款载于 Neon 母公司的条款之中，我们尚未取得。
• Coinbase：适用 Coinbase 的标准开发者条款。据我们了解，这些条款附有一份跨境传输附件，但我们尚未确认这一点。

在某项传输已被充分性认定覆盖的情况下（欧盟与瑞士互相承认对方），我们即依据该认定，无需其他法律文件。

还有两件事，您应当知道，而不是只能靠猜测。对于上文列出的任何一项传输，我们都没有做过传输影响评估。除第 11 条中的安全措施之外，我们没有依赖任何补充措施。我们正在着手补齐缺失的法律文件，每补齐一项，都会更新本条。

您可以向我们索取上述保障措施的副本。请写信至 privacy@worldrepublic.org（第 10.1 条）。

8. 数据留存

9. 账户删除

您可以在本服务中删除账户。删除会销毁 AWS 代我们持有的生物特征数据，并移除您的认证记录。它还会销毁您的登录凭据，即与您 Google 账户的关联和任何通行密钥，使该账户无法再次登录。此后如果您再次登录，得到的是一个全新的空账户。删除还会把您的用户名替换为一个随机生成的用户名，并移除与您的同意记录一同保存的 IP 地址和设备详情。在我们的数据库内，这些更改是在我们的主数据库（即本服务运行所用的那个数据库）中进行的。我们的数据库提供方会保留数据库的恢复历史，我们目前将其设为大约 6 小时；它还保留其自己的备份，并表示这些备份保存 30 天；这些备份涵盖哪些内容，我们尚未与其确认。我们删除的内容会留在该恢复历史和这些备份中，直至它们到期。我们只为测试对本服务的某项更改或从故障中恢复而制作数据库副本，并在该项工作结束时将其删除。在您删除账户之前制作的副本，会保留它原本含有的内容，直至该副本被删除；此后，这些内容仍可能留在提供方的备份中，直至备份到期。第 8 条所说的我们从数据库中删除的每一项记录，也都是如此。

删除账户还会使您的 WDD 余额作废，并终止持续发放的奖励，也就是那些仍在向您发放的奖励。这是服务条款的规定，而不是隐私事项，服务条款第 8.5 条对此有载明。如果您希望保住余额，请在删除账户之前先提现。要销毁生物特征数据，您并不需要删除账户：第 4.4 条说明了那条单独的途径，走那条途径不会影响您的 WDD 余额。

删除并不会清除全部内容，与其把剩下的称作匿名数据，我们宁愿把它们一一列明。您的账户有一个内部标识符，我们不会删除它，下列记录中几乎每一项都仍然关联着这个标识符：

• 您在每场测试选举中投过票这一事实及其时间，但不包括您投给了哪个政党，这一点不与您的账户存储在一起。一张选票在什么情况下仍可能与投出它的人关联起来，见第 5.3 条。保留您投过票的记录，是为了使每场选举的投票率保持真实。
• 您的 WDD 记录：分配给您的每一笔奖励，保存为将它持续发放到您余额中的那条发放记录；该发放记录的每一次变动；以及您进行的每一笔提现，即目标钱包地址、金额和网络，还有在提现未能发出时那次尝试的记录。您的余额会归零，持续发放的奖励也会一并移除，但已分配了什么、已支付出去了什么的记录会保留下来。这是我们对已分配的 WDD 和已支付出去的 WDD 所作的记录（第 8 条）。
• 为您的账户生成的邀请码，本服务中没有任何地方使用它（第 3.1 条）。
• 您作出的每一次同意和撤回的每一次同意的证据：涉及哪份文件、哪个版本、什么时间，展示该声明所用的语言和界面，以及就统计投票的同意而言，是哪一场选举（第 8 条）。
• 您确认过自己已年满 18 岁这一事实及其时间：保留它作为我们曾经询问、而您曾经回答的证据（第 3.1 条）。我们不持有出生日期，因此也没有出生日期需要移除。
• 您登记的政党，它会留在名录中。随机生成的用户名会取代您自己选择的用户名，成为该政党显示的领导人名称。
• 关于出错情况的运营告警，以及接收它们的邮箱中留存的副本：告警可能载有目标钱包地址、一笔提现的金额和网络、我们在自己记录中为该笔提现编定的编号、某个账户的内部标识符，以及某个政党的标识符。在转账已经发出的情况下，告警还可能载有该笔交易在区块链上的哈希值，以及支付服务提供方为其编定的编号。告警绝不会载有政党自己的名称或简介，也绝不会载有自动审核对它的评定内容。告警是关于某一个事件的消息，而不是挂在您账户下的记录，因此它载有的是该事件当时具有的那些标识符。删除账户不会删除这些内容（第 8 条）。
• 服务器日志与错误日志，由我们的托管服务提供方和数据库提供方按一个不由我们控制的期限保留。一条日志可能载有您账户的内部标识符、请求来源地址和所请求的页面。删除账户不会删除这些日志（第 8 条）。
• 我们云账户的安全审计日志，以及我们的人脸核验图像访问记录（第 8 条，其中说明了各自的保留期限）。其中的条目可能载有您账户的内部标识符，或写明您的某一次人脸核验会话。与您的人脸核验有关的条目还可能载有 AWS 为您的浏览器分配的一个标识符。与您的活体检测有关的条目，以及您本人下载自己人脸核验图像的条目，还载有 IP 地址和浏览器 User-Agent；将您的面部加入集合的那个条目会记下您的眼睛、鼻子和嘴在参考图像中的位置以及您头部的角度，绝不记下图像或模板。删除所引发的人脸数据销毁本身会新增条目，而删除账户不会删除其中任何条目。
• 账户本身的各个日期：账户创建的时间、最后一次变更的时间，以及删除的时间。

这些记录是假名化的，而不是匿名的，两者的区别值得说明。它们都不载有您的邮箱地址。它们也都不载有您的姓名或您自己选择的用户名。这些记录中几乎每一项都仍然关联着同一个内部标识符，因此它们仍然可以作为同一个账户的记录来读取。有几类记录是例外，上文都已逐一提到：运营告警是关于某一个事件的消息，而不是挂在账户下的记录；服务器日志或错误日志中，以及安全审计日志或我们的人脸核验图像访问记录中，都只有一部分条目载有内部标识符。目标钱包地址则不止是一个假名标识符：它是公开区块链上的永久标识符，任何已经知道您某个地址的人，都能看到向该地址支付的款项。把这些记录称作匿名数据并不属实，因此我们不这样称呼它们。

在删除账户之前，您可以先保存一份数据副本，值得先这么做（第 10.1 条）。账户一经删除，这条途径就不复存在：副本是为处于登录状态的账户生成的，而已删除的账户无法登录。此后我们也无从确认，一项关于已删除账户的请求确实来自该账户原本的持有人（第 10.3 条）。应用内的副本不包含您的人脸核验图像；这些图像需在账户 → 身份认证中单独下载，并且与副本一样，账户一经删除便无法再下载。

您已经投出的票仍会计入结果。您的选择是该政党得票总数的一部分，不与您的账户存储在一起，因此我们无法把它单独移除。删除账户时，我们会把您对统计这些票的同意记录为已撤回，日期为删除当天。如果您删除账户时，您投过票的某场测试选举仍在进行，您的生物特征数据会在该场选举结束时销毁，而不是立即销毁（见第 4.5 条）。

10. 您的权利

根据您居住地的不同，您可能享有以下权利。行使这些权利通常不收取任何费用（第 10.5 条），也不会因为您行使权利而受到区别对待。

• 欧盟／欧洲经济区和英国（GDPR／英国 GDPR）：访问权、更正权、删除权、限制处理权、数据可携权、反对权，以及撤回同意的权利。如果一项关于您的决定仅通过自动化方式作出，并且对您有重大影响，即第 4.1 条所述的拒绝和第 5.1 条中列出与否的决定，您还有权要求我们进行人工干预、表达您的观点并对该决定提出异议；请写信至 privacy@worldrepublic.org。我们之所以以自动化方式作出这两项决定，是因为每一项决定都是为提供您所要求的服务所必需的。就拒绝而言，该服务是一位已认证者只投一票的测试选举。就列出与否的决定而言，该服务是一个其中每一条目都是真实政党登记的名录。拒绝所处理的是特殊类别数据，即您的生物特征数据，我们就此所依据的条件，是您在人脸核验时作出的明确同意（第 4.4 条）。列出与否的决定绝不依据登记所表达的政治观点作出；之所以读取这些观点，只是因为它们是被检查文本的一部分，而您把政党登记为在公开名录中公布，本身就是您自己将它们公开（第 5.1 条）。第 5.2 条中的回答在这两方面都有所不同：它确实读取政党就 AI 公布的立场，并且除非查看者要求只查看说明了对 AI 的主张的政党，否则不会改变政党的显示方式（第 5.2 条）。您可以要求由人复核该回答，也可以对其提出反对，因为我们就此所依据的是我们的合法利益（第 10.6 条）。您可以向您当地的监管机构投诉；就欧盟 GDPR 而言，我们的主导监管机构是匈牙利 NAIH（第 14 条）。
• 瑞士（revFADP）：访问权、更正权、删除权、数据可携权（revFADP 第 28 条）、反对权，以及向联邦数据保护与信息专员（FDPIC）投诉的权利。就第 4.1 条所述的自动拒绝，您还可以陈述自己的立场，并要求由人复核该决定。
• 巴西（LGPD）：确认我们是否处理您的数据、访问、更正、匿名化或删除、数据可携、了解我们与谁共享过您的数据，以及撤回同意。
• 加利福尼亚州（CCPA／CPRA）：知情权、删除权、更正权、选择退出出售／共享的权利（我们不出售也不共享），以及限制敏感个人信息的使用（其中包括生物特征数据）。
• 生物特征信息法律（伊利诺伊州 BIPA、得克萨斯州 CUBI、华盛顿州）：我们在收集生物特征数据之前取得您的同意，绝不出售、出租或交易这些数据，也绝不以其他方式从中获利，并遵守一份书面的留存与销毁时间表。它绝不属于合并、收购或资产转让的一部分（第 6 条）。

您可以随时撤回您对统计您选票的同意（第 5.3 条）：在应用中打开账户 → 身份认证 → 撤回我对投票处理的同意。撤回涵盖您投过票的每一场选举，我们会记录您撤回的日期（第 8 条）。撤回不影响在您撤回之前统计您投票的合法性。已经统计的一票仍留在该政党的得票总数中：您的选择是该总数的一部分，不与您的账户存储在一起，因此我们无法把它单独移除（第 9 条）。撤回并不会缩短第 5.3 条所述、选票仍可能与您关联起来的那些时段。您下一次投票时，我们会再次征求您的同意。

10.1 如何行使这些权利

有两条途径。第一条当场就能满足访问和数据可携的要求，无需向任何人提出请求。

• 在应用中。打开账户设置，在账户一栏下有一行叫做我的数据。它会生成一份副本，包含我们持有的、并且能够从您的账户访问到的关于您的全部内容：一个可供阅读的页面，以及一份可以交给其他服务的机器可读文件。它在您提出要求的那一刻为提出要求的那个账户生成，并且不存储在任何地方：我们不保留任何副本，也不存在可以发送给其他人的链接。这就是我们对访问权和数据可携权的答复，您无需为此向我们提出请求。它不包含您的人脸核验在我们这里留下的图像：这些图像不放入一份为转交他人而生成的文件。请改为在账户 → 身份认证中下载，它们会作为单独的一个文件提供：包含您本人人脸核验名下保存的每一张图像，绝不包含任何他人名下保存的图像。删除账户也在同一个界面上。
• 以书面方式。其余所有事项，包括更正、限制处理、反对、关于我们的提供方所持有数据的问题（第 4.3 条和第 6 条），或者对某项决定的投诉，都请发送至 privacy@worldrepublic.org。

登录不会给我们留下您的任何邮箱地址（第 3.1 条），因此我们通常只能回复到您来信所用的地址。只有一种例外，而且范围很窄。如果您举报政党，我们会保留您在该举报中填写的地址，并且只将它用于这一次举报，别无他用：确认我们已收到举报，以及告知我们的处理结果。我们不会用它答复其他问题，不会用它通知您本政策的变更，也不会用它向您发送任何您未曾要求的内容。它同时也是该决定记录的一部分，这正是第 8 条保留它、而不是在两条消息发出后就将其丢弃的原因。

10.2 我们需要多长时间

理事会成员 Balázs Kónya 负责在下列期限内答复发送至 privacy@worldrepublic.org 的请求。我们不会承诺一个比法律要求更短的内部期限：一个没有人真正执行的目标，比切实做到的法定期限更糟，而下面这些期限正是我们实际遵循的。

期限自您的请求送达我们之日起算，而不是自我们完成身份确认之日起算，也不是自我们找到您所要求的内容之日起算。依据 GDPR 和英国 GDPR，我们会无不当迟延地答复，并且无论如何都在收到请求后一个月内答复。如果请求复杂，或者您提出了多项请求，我们可能会再延长最多两个月；我们会在第一个月内告知您我们这样做了，以及原因。

如果您居住地的法律另有规定，我们即按该规定执行：

• 英国。如果我们合理地需要更多信息来确认您的身份或找到您所要求的内容，期限会自我们提出询问之日起暂停，至您答复之日为止。只有在确实无法继续进行时，我们才会提出询问。
• 巴西。我们会立即以简要形式确认我们是否处理您的数据并让您查阅，并在收到请求后 15 天内完整提供。
• 瑞士。通常我们会在 30 天内答复。答复中会载明 revFADP 第 25 条第 2 款要求载明的内容，包括您的数据去向哪些接收方或哪类接收方，以及在数据传输至境外时，去往哪个国家、我们依据哪些保障措施；第 6 条和第 7 条已事先对这两点作了说明。
• 加利福尼亚州。我们会在 10 个工作日内确认收到，并在 45 天内答复；如果我们说明原因，可以再延长一次，延长 45 天。

10.3 我们如何确认是您本人

我们不持有您的任何身份证件，也没有您的通信地址存档，因此下面这个顺序就是我们全部的办法。我们从上到下依次尝试，在第一个能够确认您身份的步骤停下。

1. 您处于登录状态的账户。应用中的副本以及您人脸核验图像的下载，都是在提出要求的那一刻为提出要求的那个账户生成的。没有什么能比这更好地确认您的身份，这正是它在第 10.1 条中被列为第一条途径的原因，而不仅仅是图方便。
2. 该账户已添加的通行密钥。如果您无法打开应用，我们可能会请您使用该账户已有的凭据完成一次通行密钥登录。
3. 与该账户关联的 Google 账户。如果您曾使用 Google 登录，我们可能会请您通过用它登录来证明您控制着该账户。
4. 更多信息。如果上述方式都不可行，我们可能会向您索取为确信该请求确实出自您本人所合理需要的进一步信息，并且不会索取超出这一范围的内容。
5. 书面拒绝。如果我们仍然无法确信，会在第 10.2 条规定的时限内以书面形式告知您，并说明理由以及第 10.4 条中的投诉途径。与其把答复交给错误的人，我们宁愿拒绝一项无法核实来源的请求。

我们绝不会接受以钱包地址作为您身份的证明。提现是在公开的区块链上进行的，因此您用过的地址是任何查看链上记录的人都能说出来的；知道它并不能证明什么，而用它对一条消息签名，只能证明您控制着一个密钥，而不是控制着这个账户。

我们也不会为了答复某项请求而要求您提供身份证件。我们没有可供比对的身份证件，因此这既说明不了任何问题，又会让您付出超过这项请求本身价值的代价。

10.4 如果我们拒绝

如果我们不就您的请求采取行动，会在第 10.2 条规定的时限内告知您原因，并告诉您接下来可以怎么做。您可以向您居住地的数据保护机构投诉，在欧盟是匈牙利 NAIH，在瑞士是 FDPIC，在英国是 ICO（第 14 条），您也可以向法院提起诉讼。这两种途径都不以我们的同意为前提。

在英国，您还有权直接向我们投诉。我们会在 30 天内确认收到投诉，并会无不当迟延地告知处理结果。向我们投诉并不是向 ICO 投诉的前提条件。

10.5 需要多少费用

不收取任何费用。如果某项请求明显缺乏依据或者过度，特别是重复提出我们已经答复过的请求，法律允许我们收取合理费用或拒绝受理；一旦我们这样做，会说明是哪一种以及原因。与其给其余所有请求都标上价钱，我们宁愿有理由地拒绝其中一项。

机器可读文件与您人脸核验图像的下载共用一个不高的上限，限制任意 24 小时内可以制作的副本份数。这不是费用，也与容量无关：设置它是为了让取得您会话的人无法悄悄地一次又一次把您的全部记录取走。它绝不会妨碍您在屏幕上查看副本，也绝不会妨碍您写信给我们。

10.6 两项由我们人工处理的权利

访问、数据可携和删除都在应用中，无需提出请求。限制处理和反对则不是。我们没有任何开关能够在保持其余部分正常运行的同时暂停对您记录中某一部分的处理，因此，限制处理或反对的请求由我们在第 10.2 条规定的时限内逐案人工执行。请写信告诉我们您希望停止什么，以及您的处境中有什么使这件事变得重要，我们会加以权衡，并告知我们所做的处理。与其让您从我们花费的时间中自行推断，我们宁愿直接告诉您这是人工处理的。

11. 安全

我们在传输过程中使用 TLS，并采用有访问控制的存储。能够直接访问我们数据库的，仅限于我们授权运营本服务的人员、我们的数据库提供方和托管服务提供方，以及我们用来运行本服务的软件。我们只为测试对本服务的某项更改或从故障中恢复而制作数据库副本，并在该项工作结束时将其删除。副本中保存的是同样的数据，它会把我们删除的内容保留多久，见第 9 条。没有任何系统是绝对安全的，但我们会努力保护您的数据。

12. 未成年人

本服务面向已满 18 岁的成年人。在进行身份认证之前，我们会请您确认自己已年满 18 岁，未作此确认的人我们不会为其认证。我们只记录确认已经作出以及作出的时间，不会询问您的出生日期。

我们不会在知情的情况下收集未满 18 岁者的数据。如果我们得知自己持有未满 18 岁者的数据，会按我们的生物特征数据留存与销毁政策第 2 条的规定关闭其账户并销毁其生物特征数据。如果您认为有未满 18 岁的人拥有账户，请联系 privacy@worldrepublic.org。

13. 本政策的变更

我们可能会更新本政策。更新时，我们会把新文本发布在本页面上，并修改上方的“最后更新”日期。本政策的变更自我们发布之时起生效。本政策描述的是我们对您的数据实际所做的事，因此它必须在它所描述的事情成为事实的同一时刻成为事实；把一项变更押后一个月，只会意味着本政策错了一个月。服务条款则不同。服务条款是您与我们之间的协议，服务条款第 14 条给了您 30 天，之后对该协议的重大变更才会对您适用。

有一种变更是故意放慢的。如果我们延长保留生物特征数据的期限，在该变更公布满 30 天之前，更长的期限不会适用于我们已经持有的数据。生物特征数据留存与销毁政策第 6 条对此有规定，它同时约束第 4.5 条和第 8 条留存表中所载明的期限。

本政策变更时，我们无法向您发出通知。登录不会给我们留下您的电子邮箱、电话号码和通信地址，因为我们有意不保留这些信息（第 3.1 条），本服务中也没有可以告知您的横幅或消息提示。如果您举报过政党，我们持有您在该举报中填写的地址，但我们不会把它用于此处，也不会把它用于该举报之外的任何事（第 10.1 条）。这是我们保留得如此之少的结果：除了举报中填写的地址之外，我们没有您的任何联系方式。第 10.1 条就其他所有事项说的是同一件事，即我们只能回复到您来信所用的地址。因此本页面就是通知：当前文本始终在这里，上方的日期就是我们最后一次修改本政策的日期。

本政策以英文写成，我们也以其他语言发布。对您适用的版本，是本服务向您显示的那种语言的版本。如果该版本与英文文本存在差异，以对您更有利的含义为准。

14. 联系方式

• 隐私事务：privacy@worldrepublic.org
• 欧盟境内联系人：Balázs Kónya，理事会成员，3626 Hangony, Dózsa György út 5., Hungary（privacy@worldrepublic.org）
• 欧盟主导监管机构：匈牙利国家数据保护与信息自由局（NAIH），布达佩斯，naih.hu
• 瑞士监管机构：联邦数据保护与信息专员（FDPIC），伯尔尼
• 英国监管机构：信息专员办公室（ICO），威姆斯洛，ico.org.uk