1. 数据控制者与适用范围

本通知说明 ATT 及其关联主体、授权服务商、合规顾问和受托处理方，在用户进行 KYC、账户开立、风险控制、监管申报和平台服务使用过程中如何收集、使用、存储、共享、转移、保护和删除个人数据。

本通知适用于标准认证、补充认证、OCR、活体检测、人脸比对、AML/CFT 风险信息采集、KYT 预留及后续交易监测相关个人数据处理。

2. 处理的数据类别

身份数据：姓名、国籍、出生日期、证件类型、证件号码、证件签发地、证件有效期；
联系方式和账户数据：电子邮箱、手机号、账户 ID、登录记录、设备信息、IP 地址；
认证材料：证件图片、自拍照、活体检测结果、手持证件照片、授权书、地址证明、资金来源证明、财富来源证明和补充文件；
生物识别相关数据：面部图像、自拍视频、活体检测结果、相似度评分、生物识别模板或服务商返回结果；
职业和风险信息：工作状态、行业、资金来源、财富来源、交易目的、预计交易规模、PEP 声明；
合规与交易数据：审核结果、驳回原因、风险标签、制裁/PEP/负面新闻筛查结果、KYT 或链上风险提示、审计日志、充值、提现、钱包地址、链上交易哈希、对手方地址和交易模式。

平台处理个人数据的目的包括：完成身份核验和账户管理；履行数字资产服务提供商合规义务；防范洗钱、恐怖融资、扩散融资、欺诈、制裁规避、账户滥用和其他非法活动；进行风险评级、交易监控、KYT 分析、链上地址风险识别和可疑交易处理；执行用户协议；处理争议、审计、风控和监管协助；改进合规流程和安全控制。

处理法律基础可能包括用户同意、履行合同、遵守法律和监管义务、保护平台和用户合法权益、履行 AML/CFT 和制裁合规义务、监管要求及适用法律允许范围内的正当利益。

证件图片、面部图像、活体检测结果、生物识别模板、身份文件信息、资金来源信息和风险标签可能属于敏感或高风险个人数据。平台将根据适用法律采取更严格的安全措施和访问控制。

用户理解并同意，平台可将 KYC 身份信息、AML 问卷、风险标签和补充认证结果用于 KYT 交易监测、充值来源风险识别、提现目标地址风险筛查、链上地址风险评估、可疑交易处理和监管报告。

平台可将必要个人数据提供给身份核验、OCR、人脸识别、活体检测、云存储、数据安全、制裁筛查、PEP、负面新闻、KYT、合规审计、法律顾问、监管报送、支付/法币通道或客户支持服务商。

用户理解，数据可能在萨尔瓦多、平台运营地、云服务所在地、第三方服务商所在地或法律允许的其他司法辖区处理或存储。平台应根据适用法律采取必要的数据保护、跨境传输和合同安排。

平台应采取合理技术和组织措施保护个人数据，包括传输加密、存储加密、访问权限控制、后台预览限制、证件图片禁止下载、最小必要访问、日志记录、异常访问审计、员工保密义务和服务商安全要求。

平台将根据萨尔瓦多及其他适用法律、监管要求、AML/CFT 记录保存义务、审计、争议处理、监管协助和执法协助需要保存个人数据。超过必要期限后，平台可依法删除、匿名化或继续保存为满足监管、争议、审计或执法协助目的所必需的数据。

在适用法律允许范围内，用户可请求访问、更正、更新、限制处理、反对处理、删除、数据可携带或撤回同意。撤回或删除请求不影响撤回前的合法处理，也不影响平台为履行法律、监管、AML/CFT、审计、争议或执法协助义务继续保存和处理必要数据。

除非强制性适用法律另有规定，本通知及因个人数据处理、隐私请求、身份认证、风险控制、监管协助或相关争议产生的事项，原则上适用萨尔瓦多共和国法律。

用户可通过平台公布的客服、隐私、数据保护或合规联系渠道提交请求、投诉或争议。平台应在合理期限内受理并处理用户请求。

如争议无法通过协商解决，且适用法律未另有强制规定，用户可依法向萨尔瓦多共和国有管辖权的法院、主管机关或其他适用机构提出投诉或请求。