生物识别数据留存与销毁政策

版本 3.2 · 2026-08-27 · Heydao Technologies Inc.（加拿大不列颠哥伦比亚省）

隐私政策 · 服务条款

一、范围和目的

本政策适用于 Heydao 在核验成年人注册资格时使用的人脸年龄估计,以及该过程产生的人脸影像、面部几何数据、模板或其他在若干法域项下可能构成生物识别标识符或生物识别信息的数据。本政策同样适用于替代路径中提交的身份证件影像。

唯一许可目的,是估计申请者是否达到适用的最低年龄。Heydao 与服务商不得将该等数据用于:

• 确定或确认特定个人的身份;
• 建立人脸库、跨会话比对或检索个人;
• 训练、评估或改进任何模型,包括通用模型,以及该服务商自有的核验模型与跨客户的反欺诈模型(见第二节);
• 广告、分析、用户画像或推荐;
• 出售、出租、交易或以其他方式获利;
• 任何未在采集前告知并取得所需同意的目的。

二、处理方和数据流

年龄核验服务商:Didit Identity, Inc.(美国特拉华州注册)。就其依 Heydao 指示执行的年龄核验而言,该服务商以 Heydao 的处理者身份行事。Heydao 已就其账户整体向该服务商登记退出「将其所处理的数据用于改进与训练其自有模型」这一用途,该项登记自 2026 年 8 月 27 日起生效,适用于该账户项下的全部应用,涵盖人脸影像、人脸切图、参考影像、生物识别模板与特征向量、证件影像、自证件提取的数据以及核验结论;该服务商据此确认,其不将 Heydao 的核验数据用于训练、评估或改进任何模型,包括其跨客户的反欺诈模型。为产出单次核验结论所进行的运行性检查不受该项登记影响。其面向被核验用户的隐私通知见下方链接。

服务商的核验隐私通知

该服务商的下游供应商为 Amazon Web Services EMEA SARL(云基础设施,爱尔兰)与 Google Cloud EMEA(经其地图接口提供地理定位,欧洲经济区)。依我们与该服务商的合同,该清单公布于 didit.me/terms/sub-processors,变更前 30 日通知,并给予 30 日异议期。

2.1 影像如何流动

您在 App 内明示同意后拍摄影像。影像在您的设备上先被剥除元数据(包括位置与设备信息),再经 Heydao 自有服务器转发至服务商的接口;服务商返回判定结论,Heydao 只保留该结论。

影像确实经过 Heydao 的服务器 —— 我们不就此说反话。但它仅在处理该次请求的内存中存在:不落盘、不写入数据库、不进入日志、不进入监控或分析系统。

之所以采用这种转发方式,而不是把您送到服务商托管的页面:只有在直接调用接口时,「本次请求不予保存」才是每一次调用都必须携带的参数,因而可以在代码中写死;在托管页面中,该设置是服务商后台的一个可被改动的选项。把不可逆的承诺放在不可配置的位置,是本政策的一项取舍,其代价(影像经我方服务器中转)已在上一段如实披露。

2.2 Heydao 保存的全部内容

仅限与您账号关联的三项:核验是否已通过;核验完成的时间;所走的是两条路径中的哪一条(人脸年龄估计或证件核验)。

2.3 Heydao 不接收、不保存的内容

• 人脸影像;
• 面部几何模板或嵌入向量;
• 可用于访问服务商处影像或模板的网址、令牌、凭证;
• 身份证件影像;
• 服务商返回的姓名、出生日期、证件号码、地址;
• 服务商的会话标识、请求标识,或任何可回溯到核验材料的引用号;
• 服务商返回的原始响应报文。

需要您准确了解的是:上列若干项确实会随服务商的响应到达我们的服务器 —— 人脸路径下可能包含估计出的年龄数值与置信分值,证件路径下可能包含姓名、出生日期、证件号码、签发机关、地址、头像及证件正反面影像。我们从该响应中仅取得「是否达到适用最低年龄」这一项结论;其余字段一概不读取、不保存、不记入日志、不进入错误报告、不进入监控或分析,响应本身在取得该结论后即在内存中丢弃。「未曾返回」与「返回后即丢弃」在法律上是两回事,我们说的是后者。

2.4 处理地点

服务商为在美国设立的公司,并向我们声明其处理的主要个人数据托管于欧洲经济区;相关处理因此可能发生在上述任一地区。Heydao 自有的服务器与数据库位于北美。年龄核验仅在适用法律就此提出要求的情形下触发;不触发时,不会有任何影像离开您的设备。

三、采集前告知和同意

在开启相机之前,Heydao 以一个独立的整屏页面:

• 告知将收集或处理人脸影像及可能的面部几何数据;
• 说明具体目的仅为判断是否达到最低年龄;
• 说明 Heydao 与服务商的名称;
• 说明影像、模板与核验结果的期限及销毁触发;
• 链接本政策与服务商的隐私通知;
• 取得您的电子书面同意;
• 提供不使用人脸的替代方法(证件核验路径)。

同意记录至少包括时间、文本版本与您的肯定操作。拒绝人脸处理不会使您失去选择证件路径的机会。自报未满 18 岁的人不进入人脸流程。

四、留存与销毁

4.1 服务商侧的影像与模板

人脸年龄估计与证件核验两条路径,均为对服务商接口的直接调用,并共用代码中的同一处请求构造;两条路径的每一次调用均因此强制携带「本次请求不予保存」参数。该参数在 Heydao 的代码中为常量:不读取配置、不读取环境变量,也不接受调用方传参。服务商据此不保存该次调用的影像、切图、参考图或特征向量。

该参数所约束的是服务商是否保存,而非其响应中包含什么。即便在该参数生效的情况下,服务商仍会在响应中回传影像及证件上的若干字段;该情形已在第 2.3 节据实说明,亦不因本节而改变。该等内容到达我们服务器之后的处置,适用第 2.3 节与第 4.2 节。

作为合同层面的兜底:即便发生技术异常导致上述参数未生效,人脸影像、面部几何数据与模板,以及证件路径下的证件影像与证件上的个人信息字段,亦仅可在生成判定结论及完成必要质量检查期间临时处理,服务商应立即永久删除,且无论如何不得晚于首次捕获后 24 小时。

服务商不得为反欺诈、产品改进或模型训练自行延长该期限,除非适用法律明确要求、Heydao 完成新的评估,并在采集前取得所需的告知与同意。

4.2 Heydao 侧

Heydao 不持有人脸影像、证件影像或模板。您设备上的临时文件在发送完成后即被删除。若技术错误使该等数据进入 Heydao 的系统,应立即隔离、调查并永久删除,同时记录该事件并作出必要通知。

第 2.2 节所述的三项核验状态本身不包含生物识别数据。其保存期限在隐私政策中另行说明。无法证明合法且必要的会话标识、方法细节或时间戳一律不予保留。

4.3 法定最长期限

本政策采用比下列上限更短的期限:

• 伊利诺伊州:初始目的满足,或与该个人最后一次交互后三年,以较早者为准;
• 科罗拉多州:初始目的满足、最后一次交互后二十四个月,或年度审查认定不再必要后四十五日内,以最早者为准;
• 德克萨斯州:收集目的消失后不迟于一年,法律另有保存要求的除外。

由于年龄估计的初始目的在结果形成的那一刻即已满足,我们的正常期限是第 4.1 节所述的立即删除 / 最长 24 小时,而不是三年、二十四个月或一年。

4.4 因法律要求的保存

只有在有效的法律要求、法院命令、令状或传票明确要求时,才可在必要范围内延长保存。我们会记录法律依据、数据范围、开始与结束日期,并在该要求终止后立即删除。一般性的诉讼风险不构成无限期保存的理由。

4.5 判定诊断记录

如为排查故障而产生任何关于某次核验尝试的诊断记录,该等记录不得包含生物识别数据、证件影像或服务商引用号,且自产生之日起最长保存三十日,届期自动销毁;销毁执行情况计入第五节的销毁台账。该三十日是本政策中唯一属于 Heydao 侧的保存天数,其余一切以「目的一失效即销毁」为准。

4.6 影像不被查看

Heydao 不对人脸影像或证件影像进行人工查看,无论核验是否通过,亦不论其后是否有人就该次核验的结论提出异议。人脸年龄估计未通过的,后续路径是改用第三节所述的证件核验路径重新尝试;该路径同样由服务商自动处理。

作此安排的理由是:查看那张影像,就要求在某处把它留到被查看的那一刻,而这与第二节的承诺不能并存。因此,任何就核验结论所作的处理,均不以查看或保留您的影像为之。

4.7 供应商备份中的残留

上述删除,就供应商的生产系统与其全部读取端点而言为即时且不可逆。但供应商的数据库每日生成快照,该快照保留三十五日,并以合规模式存放,供应商无法提前删除。

因此,凡有内容曾经写入供应商数据库者,删除动作完成之后,该内容的一份副本仍可能存在于删除前已生成的快照之中,最长三十五日,随该快照到期而失效。

该残留只在有内容曾经写入时发生。人脸年龄估计一路以「本次请求不予保存」参数调用,不写入任何内容,故不产生快照残留;证件核验一路必然写入,本节适用于该路径。

第五节关于「永久销毁应使数据不能通过备份恢复」的要求,就上述快照而言,以本节所述的三十五日期限为其实际边界。本公司据实记载此项限制,不将其表述为已经消除。

五、销毁方式与验证

永久销毁应使数据不能通过服务商或 Heydao 的正常系统、缓存、临时存储、消息队列、备份、日志或工具恢复。缓存副本与临时文件与主副本适用同一销毁触发和同一期限,不得因其为「临时」而延后销毁。我们:

• 在合同中禁止服务商为本政策所述目的以外的任何目的留存输入数据(影像、模板、证件影像),并要求其就该等数据的销毁出具书面证明;
• 要求服务商返回删除状态或可审计的证明;
• 记录销毁触发、完成时间、范围与异常;
• 对备份设定明确的轮替期限,并禁止把到期数据恢复到生产;
• 至少每年审查一次是否仍存在不必要的生物识别数据;
• 对年度审查发现的不必要数据立即删除,且不晚于四十五日;
• 在更换或终止服务商时取得全面删除证明。

销毁台账不记录被销毁者的身份标识 —— 在一份销毁记录里留住被销毁者的标识,等于没有销毁。其代价是事后无法回答「某个人的那一条是哪天删的」,这是一项有意的取舍。

六、出售、披露与安全

Heydao 不出售、出租或交易生物识别数据,也不从中获利。

除完成您明确选择的年龄核验、取得法律要求的同意,或响应有效的法律要求外,我们不披露或再披露生物识别数据。服务商及其下游供应商受同一限制约束。

保护措施至少包括传输与静态加密、最小权限、访问日志、环境隔离、事件通知、员工保密、漏洞管理与定期安全评估,其标准不低于 Heydao 对其他机密敏感信息采用的标准。服务商发生涉及本政策所述数据的安全事件时,我们在获知后二十四小时内完成内部升级并通知隐私负责人;该时限已在我们的系统中设为自动监测项。

七、您的选择与权利

• 在采集前拒绝人脸处理并选择证件路径;
• 撤回对将来处理的同意;
• 询问我们是否处理了您的生物识别数据;
• 请求适用法律所提供的访问、更正或删除。

撤回同意不影响撤回前已经合法完成的处理,但我们会停止将来的采集,并在没有其他合法保存要求时删除现有数据。

八、联系方式

隐私问题或权利请求:privacy@heydao.app

送达地址:2205-838 W Hastings St, Vancouver, BC V6C 0A6, Canada

九、法律依据

• Illinois 740 ILCS 14/15 — my.ilga.gov
• Texas Business & Commerce Code § 503.001 — statutes.capitol.texas.gov
• Colorado C.R.S. § 6-1-1314 — leg.colorado.gov

本政策的重大修改在新的采集开始前生效,并在法律要求时重新取得同意。