8lends のデータセキュリティと KYC の守り方
書類の写真、自撮り、ウォレットアドレス——あなたのデータを実際に誰が保管し、なぜ 8lends は物理的に資金へ触れられないのか。
8lends は2種類の機密データを扱います。KYCデータ（書類の写真、自撮り、個人情報）とオンチェーンデータ（ウォレットアドレス、取引履歴）です。KYCデータは Sumsubに保管されており、ISO 27001、SOC 2 認証および GDPR 準拠を備えたプロバイダーであり、8lends には保管されません。オンチェーンデータはブロックチェーンの性質上、公開されています。プラットフォームは non-custodial モデルで運用されており、8lends はあなたのウォレットの秘密鍵を持たず、物理的に資金を引き出すことはできません。ウォレットの AML チェックはすべての投資に必須であり、これは基本的な規制要件です。
8lends が収集するデータ
| カテゴリ | 含まれる内容 | 保管場所 |
|---|---|---|
| KYCデータ（本人確認） | パスポート/IDの写真、自撮り、氏名、生年月日、国籍、住所 | Sumsub に保管、8lends には保管されない |
| AMLデータ（ウォレット） | ウォレットアドレス、取引履歴、リスクスコアリング | AMLプロバイダー + オンチェーン |
| 取引データ | 投資、支払い、claim、Secondary Market での売却 | オンチェーン（公開）+ 個人アカウント |
| メールと通知 | メール（任意）、通知設定 | 8lends に暗号化して保管 |
| 連絡先データ | サポートへの問い合わせ、やり取り | 8lends に保管 |
KYCデータ — 誰が保管し、どのように保護するか
KYC は Sumsub を通じて行われます。これは大手取引所（Binance、OKX、Bybit）や規制対象の金融プラットフォームで利用されている国際的な本人確認プロバイダーです。
Sumsub の認証と基準:
- ISO 27001 — 情報セキュリティの国際基準
- SOC 2 Type II — セキュリティ、可用性、機密性の管理に関する監査
- PCI DSS — 決済データ保護の基準
- GDPR 準拠（EU） — 個人データ保護要件
- CCPA 準拠（カリフォルニア州） — プライバシーに関する権利
- GDIC（Global Digital Identity Certification） — Sumsub はこの認証を取得した最初のプロバイダー（2024年8月）
実際に意味すること:
- 8lends は書類の写真も自撮りも保管しません。KYC 完了後、それらは Sumsub にのみ残ります
- 保管時の暗号化（at-rest） — Sumsub のデータは保管側で暗号化されています
- 転送時の暗号化（in-transit） — データは TLS で送信されます
- 定期的な外部監査 — ISO 27001 および SOC 2 基準では、独立した監査人による年次審査が求められます
- 生体データは ISO/IEC 30107（Biometric Presentation Attack Detection）基準に従って処理されます
ウォレットの AML チェック — すべての投資に必須
すべての投資（KYC なしの $500 未満を含む）について、ウォレットは自動 AML チェックを受けます。これは規制当局の基本要件です（カナダの PCMLTFA、FATF Travel Rule）。
チェックされる内容:
- 制裁リスト: OFAC（米国）、UN、EU、HM Treasury（英国）
- 暗号ミキサー（Tornado Cash など）との関連
- ダークネットサービスとのやり取りの履歴
- 既知の詐欺アドレスやハッキングとの関連
- 制裁リストに記載された法域との関連
AML に必要とされないもの:
- 本人確認書類（これは KYC であって AML ではない）
- 自撮りまたは生体情報
- 雇用主に関する情報
AML はあなたのウォレットの公開オンチェーンデータのみを扱います。チェックのためにプライベートな情報は一切不要です。
オンチェーンデータ — 何が公開され、何が公開されないか
ブロックチェーン Base はその性質上、公開されています。これは次のことを意味します。
公開で見えるもの:
- あなたのウォレットアドレス
- そのアドレスの完全な取引履歴
- USDC、ETH およびその他のトークンの残高
- 8lends スマートコントラクトとのやり取り
- 各投資の金額とどのプロジェクトへの投資か
公開では見えないもの:
- あなたの本人情報（氏名、パスポート） — これは Sumsub にオフチェーンで保管されています
- アドレスと実在の人物との関連
- サポートメッセージの内容
これは仮名性です。あなたのウォレットは誰でも見られますが、KYCデータがなければ第三者には誰が所有者か分かりません。8lends は自社システム内で「アドレス ↔ KYC」の関連を把握していますが、オンチェーンには公開しません。
non-custodial モデル — セキュリティにとっての意味
8lends は non-custodial の原則で運用されています。プラットフォームはあなたの資金を管理しません。
技術的に意味すること:
- 8lends はあなたのシードフレーズを知りません。知っているのはあなただけです
- 8lends はあなたのウォレットの秘密鍵を持っていません
- 各取引にはウォレット（MetaMask、Trust Wallet）でのあなたの署名が必要です
- プラットフォームはウォレットを通じた明示的な確認なしに USDC を引き落とすことはできません
- 8lends のサーバーがハッキングされても、あなたの資金はブロックチェーン上であなたの管理下に残ります
Risk surface — 軽減されるもの
custodial と non-custodial のリスク比較表:
| シナリオ | custodial プラットフォーム（取引所） | 8lends（non-custodial） |
|---|---|---|
| サーバーのハッキング | 資金喪失のリスクが高い | 資金はブロックチェーン上で安全 |
| プラットフォームの破産 | 資金が凍結され、返還は保証されない | 資金はウォレットで利用可能 |
| 規制当局がプラットフォームを閉鎖 | 引き出しへのアクセスがブロックされる | 資金はオンチェーンに残る |
| プラットフォームのパスワードの紛失 | KYC を通じて復旧 | 該当しない（パスワードが存在しない） |
| ウォレットのシードフレーズの紛失 | 該当しない | 資金は永久に失われる |
non-custodial モデルにおける投資家の主たる責任は、シードフレーズの保管です。
データの保管期間
| データの種類 | 保管期間 | 根拠 |
|---|---|---|
| KYCデータ | 関係終了後 最低5年 | PCMLTFA（カナダ）、FATF Recommendation 11 |
| AMLチェック | 最低5年 | FATF、PCMLTFA（カナダ） |
| 取引データ | 最低5年 | PCMLTFA（カナダ） |
| メールとサポートとのやり取り | 関係終了後 最長3年 | GDPR + 業務上の必要性 |
| セッション Cookie | セッション（ブラウザを閉じるまで） | 技術的 |
保管期間は、FATF Recommendation 11 や カナダの PCMLTFA の記録保管要件を含む国際基準に準拠しています。データが現在進行中の調査や訴訟手続きにとって重要な場合、基本的な最低期間を超えて保管されることがあります。
投資家としてのあなたの権利
GDPR（EU 居住者向け）および他の法域の類似規範に従い、あなたには次の権利があります。
- 自分のデータのコピーを請求する — どのデータがどこにどの形式で保管されているか
- 不正確なデータの訂正を請求する
- データの削除を請求する（留保あり — 一部のデータは AML により保管が義務付けられている）
- マーケティング目的でのデータ処理に異議を申し立てる
- データのポータビリティを請求する — 機械可読形式でデータを受け取る
- 居住国の監督機関に苦情を申し立てる
これらの権利を行使するには、具体的な請求内容を明記のうえ [email protected] までご連絡ください。
ウォレットのセキュリティ — 投資家側の責任
8lends は自社側でデータを保護しますが、ウォレットのセキュリティは投資家の責任です。基本的な推奨事項:
- シードフレーズは紙に書き、デバイスとは別に保管し、クラウドや携帯電話には保存しない
- シードフレーズは「8lends サポート」を含め、誰にも決して渡さない（当社は要求しません）
- ハードウェアウォレット（Ledger / Trezor）は大きな金額に最適な選択肢です
- メールと取引所での二要素認証
- アンチフィッシング: 常に URL を確認する — app.8lends.io のみ、クローンサイトは使わない
- ウォレットとオペレーティングシステムの定期的な更新
- 投資専用のウォレット — DeFi の実験用ウォレットと混同しない
scam-protection の詳細は 公式8lends担当者と詐欺師を見分ける方法 をご覧ください。
規制によるデータ保護
| 規制当局 / 規範 | 8lends に適用される内容 |
|---|---|
| PCMLTFA / FINTRAC（カナダ） | AML/CFT、顧客の本人確認、記録の保管、FINTRAC への報告 |
| PIPEDA および PIPA（カナダ、ブリティッシュコロンビア州） | 個人データの保護 |
| FATF Travel Rule | 取引の送信者/受信者データの伝達 |
| GDPR（EU の顧客向け） | アクセス、削除、ポータビリティの権利 |
| CCPA（カリフォルニア州の顧客向け） | 米国における GDPR の類似法 |
| PolyReg SRO / FINMA | Maclear AG を通じたスイスの AML 基準 |
8lends がデータについて行わないこと
- データを第三者に販売しない
- KYCデータをマーケティング広告に使用しない
- 生体情報を第三者に渡さない（Sumsub に残ります）
- 「アドレス ↔ 本人」の関連をオンチェーンに公開しない
- 決済情報を保管しない（カードは MoonPay が処理します）
- あなたの秘密鍵やシードフレーズにアクセスしない
よくある質問
私の書類の写真は具体的にどこに保管されますか？ KYC プロバイダーの Sumsub に保管されます。Sumsub は EU（GDPR 準拠のため）と米国にデータセンターを持っています。正確な地理的配置は Sumsub Privacy Policy に記載されています。8lends は Sumsub から審査結果（passed/rejected/pending）のみを受け取り、書類そのものは受け取りません。
誰かが blockchain を通じて、私が 8lends で投資していることを知ることはできますか？ あなたのウォレットアドレスが 8lends スマートコントラクトとやり取りしていることは見え、これは公開されています。しかし、そのアドレスの背後に誰がいるかは公開されません。「アドレス ↔ 本人」の関連は 8lends と Sumsub の内部システムでのみ把握されており、法的根拠なしに公に開示されることはありません。
ハッキングされてシードフレーズを盗まれた場合はどうなりますか？ これは致命的な状況です。8lends は資金を返還できません。ウォレットとその内容はシードフレーズによって完全に管理されます。これは Web3 の基本的な性質です。そのため、シードフレーズの保護は個人のセキュリティで最も重要な側面です。
規制当局は 8lends に私のデータを請求できますか？ はい、法的根拠がある場合（裁判所の要請、AML/CFT 調査、国際的な法的支援を伴う税務調査）に可能です。8lends は要請に応じて規制当局にデータを提供する義務があり、これはすべての規制対象金融プラットフォームの標準的な規範です。ただし、法的根拠がなければデータは提供されません。
8lends はデータを税務当局に提供しますか？ 自動的には提供しません。8lends があなたに代わって税務申告を行うことはありません。所得の申告は投資家としてのあなたの責任です。税務当局からの公式な要請（例えば国際的な法的支援を通じて）があった場合、データは提供されます。
Sumsub がハッキングされた場合はどうなりますか？ Sumsub は ISO 27001、SOC 2 Type II および定期的な外部監査を備えています。これによりリスクは軽減されますが、完全に排除されるわけではありません。breach が発生した場合、Sumsub は GDPR に従ってユーザーと規制当局に通知する義務があります。ユーザーにとってこれは KYCデータ（書類の写真、自撮り）が漏洩するリスクを意味します。これは KYC を備えた銀行や取引所がハッキングされた場合と同じリスクです。
8lends から自分のデータを削除するにはどうすればよいですか？ [email protected] への請求を通じて行います。削除されるもの: メール、サポートとのやり取り、マーケティングデータ。削除できないもの（規制要件による）: KYCデータと AMLチェック（FATF / カナダの PCMLTFA に従い最低5年）、取引記録。規制上の期間が経過すると、データは削除されます。
8lends に大きな金額を保管するのは安全ですか？ 8lends は non-custodial プラットフォームなので、資金は 8lends にあるのではなく、あなたのウォレットにあります。「8lends に大きな金額がある」とは、技術的には「私のウォレットに大きな金額があり、それが 8lends スマートコントラクトに投資されている」ことを意味します。保護策は次のとおりです。
- 大きな金額にはハードウェアウォレット（Ledger/Trezor）
- 8lends スマートコントラクトの CertiK + Cyberscope による監査
- 複数のプロジェクトへの分散
- 他の実験用の予備ウォレット
8lends は cookies やトラッキングを使用しますか？ インターフェースの動作のための技術的な cookies のみです。マーケティングトラッキングは最小限の利用にとどめ、特定のユーザーに紐付かない集計分析のみを使用します。
Privacy Policy の全文はどこで見られますか？ app.8lends.io の文書セクションにある Privacy Policy と Terms & Conditions です。これらの文書は規制環境の変化に応じて定期的に更新されます。
関連項目: 8lends で投資を始める方法：
情報開示: 8lendsは、FINTRAC（カナダ）にMoney Services Businessとして登録されたCLEARCHAIN CORPが運営するプラットフォームです。FINMA の監督下にある PolyReg SRO の会員である Maclear AG（スイス）が Collateral Agent を務めます。Sumsub を通じた KYC は、PCMLTFA（カナダ）の顧客本人確認要件に準拠しています。Sumsub は ISO 27001、SOC 2 Type II、PCI DSS の認証および GDPR 準拠を備えています。規制の枠組みは2026年9月時点のものです。