Gegevensbeveiliging en KYC op 8lends: zo worden je gegevens beschermd
Pasfoto, selfie, walletadres: wie heeft je gegevens op 8lends echt in handen, en waarom kan het platform fysiek niet bij je geld?
8lends werkt met twee soorten gevoelige gegevens: KYC-gegevens (foto van je document, selfie, persoonsgegevens) en on-chain gegevens (walletadres, transactiegeschiedenis). KYC-gegevens worden bewaard bij Sumsub, een provider met ISO 27001- en SOC 2-certificering en GDPR-compliance, niet bij 8lends. On-chain gegevens zijn openbaar door de aard van de blockchain. Het platform werkt non-custodial: 8lends heeft de private key van je wallet niet en kan fysiek geen geld opnemen. AML-screening van de wallet is verplicht bij alle investeringen: dat is een basiseis van de regelgeving.
Welke gegevens 8lends verzamelt
| Categorie | Wat eronder valt | Waar het wordt bewaard |
|---|---|---|
| KYC-gegevens (identiteit) | Foto van paspoort/ID, selfie, naam, geboortedatum, nationaliteit, adres | Bij Sumsub, niet bij 8lends |
| AML-gegevens (wallet) | Walletadres, transactiegeschiedenis, risicoscore | Bij de AML-provider + on-chain |
| Transactiegegevens | Investeringen, uitbetalingen, claims, verkopen op de secundaire markt | On-chain (openbaar) + persoonlijk dashboard |
| E-mail en meldingen | E-mail (optioneel), instellingen voor meldingen | Bij 8lends, versleuteld |
| Contactgegevens | Supportvragen, correspondentie | Bij 8lends |
KYC-gegevens: wie ze bewaart en hoe ze beschermd worden
KYC rond je af via Sumsub, een internationale provider van identiteitsverificatie die wordt gebruikt door grote exchanges (Binance, OKX, Bybit) en gereguleerde financiële platforms.
Certificeringen en standaarden van Sumsub:
- ISO 27001: internationale standaard voor informatiebeveiliging
- SOC 2 Type II: audit van de controles op beveiliging, beschikbaarheid en vertrouwelijkheid
- PCI DSS: standaard voor de bescherming van betaalgegevens
- GDPR-compliance (EU): eisen voor de bescherming van persoonsgegevens
- CCPA-compliance (Californië): privacyrechten
- GDIC (Global Digital Identity Certification): Sumsub was de eerste provider met deze certificering (augustus 2024)
Wat dit in de praktijk betekent:
- 8lends bewaart de foto van je document en je selfie niet: na KYC blijven ze alleen bij Sumsub
- Versleuteling at rest: gegevens bij Sumsub zijn versleuteld opgeslagen
- Versleuteling in transit: gegevens worden verstuurd via TLS
- Regelmatige externe audits: de standaarden ISO 27001 en SOC 2 vereisen jaarlijkse controles door onafhankelijke auditors
- Biometrische gegevens worden verwerkt volgens de standaard ISO/IEC 30107 (Biometric Presentation Attack Detection)
AML-screening van de wallet: verplicht voor iedereen
Bij elke investering (ook onder $500 zonder KYC) ondergaat de wallet een automatische AML-screening. Dat is een basiseis van de regelgeving (PCMLTFA in Canada, FATF Travel Rule).
Wat er wordt gecontroleerd:
- Sanctielijsten: OFAC (VS), VN, EU, HM Treasury (VK)
- Banden met cryptomixers (Tornado Cash en dergelijke)
- Geschiedenis van interactie met darknetdiensten
- Banden met bekende frauduleuze adressen of hacks
- Banden met jurisdicties op sanctielijsten
Wat NIET nodig is voor AML:
- Identiteitsbewijzen (dat is KYC, geen AML)
- Selfie of biometrie
- Gegevens over je werkgever
AML werkt alleen met de openbare on-chain gegevens van je wallet. Voor de controle is geen privé-informatie nodig.
On-chain gegevens: wat openbaar is en wat niet
De Base-blockchain is van nature openbaar. Dat betekent:
Wat openbaar zichtbaar is:
- Je walletadres
- De volledige transactiegeschiedenis van dat adres
- Saldi van USDC, ETH en andere tokens
- Interactie met het smart contract van 8lends
- Het bedrag van elke investering en in welk project die ging
Wat NIET openbaar zichtbaar is:
- Je identiteit (naam, paspoort): die staat off-chain bij Sumsub
- De koppeling tussen het adres en een echt persoon
- De inhoud van berichten aan support
Dit heet pseudonimiteit: je wallet is voor iedereen zichtbaar, maar zonder KYC-gegevens weten derden niet van wie hij is. 8lends kent de koppeling „adres ↔ KYC” binnen zijn eigen systeem, maar publiceert die niet on-chain.
Non-custodial model: wat het betekent voor de veiligheid
8lends werkt non-custodial: het platform heeft geen controle over je geld.
Wat dit technisch betekent:
- 8lends kent je seedphrase niet: alleen jij kent hem
- 8lends heeft de private key van je wallet niet
- Elke transactie vraagt je handtekening in de wallet (MetaMask, Trust Wallet)
- Het platform kan geen USDC afschrijven zonder uitdrukkelijke bevestiging via je wallet
- Als de servers van 8lends gehackt worden, blijft je geld op de blockchain onder jouw controle
Risico-oppervlak: wat kleiner wordt
Vergelijkende tabel van risico's custodial vs non-custodial:
| Scenario | Custodial platform (exchange) | 8lends (non-custodial) |
|---|---|---|
| Hack van de servers | Hoog risico dat je je geld kwijtraakt | Geld op de blockchain is veilig |
| Faillissement van het platform | Geld bevroren, terugbetaling niet gegarandeerd | Geld beschikbaar in de wallet |
| Toezichthouder sluit het platform | Opnemen geblokkeerd | Geld blijft on-chain |
| Wachtwoord van het platform kwijt | Hersteld via KYC | Niet van toepassing (geen wachtwoord) |
| Seedphrase van de wallet kwijt | Niet van toepassing | Geld voorgoed kwijt |
De belangrijkste verantwoordelijkheid van de investeerder in het non-custodial model is het veilig bewaren van de seedphrase.
Bewaartermijnen van gegevens
| Soort gegevens | Bewaartermijn | Grondslag |
|---|---|---|
| KYC-gegevens | Minimaal 5 jaar na het einde van de relatie | PCMLTFA (Canada), FATF-aanbeveling 16 |
| AML-controles | Minimaal 5 jaar | FATF, PCMLTFA (Canada) |
| Transactiegegevens | Minimaal 5 jaar | PCMLTFA (Canada) |
| E-mail en correspondentie met support | Tot 3 jaar na het einde van de relatie | GDPR + bedrijfsbehoeften |
| Sessiecookies | Sessie (tot de browser wordt gesloten) | Technisch |
De termijnen voldoen aan internationale standaarden, waaronder FATF-aanbeveling 16 en de bewaarplicht van de Canadese PCMLTFA. Gegevens kunnen langer dan het basisminimum worden bewaard als ze cruciaal zijn voor lopende onderzoeken of juridische procedures.
Jouw rechten als investeerder
Op grond van de GDPR (voor inwoners van de EU) en vergelijkbare regels in andere jurisdicties heb je het recht om:
- Een kopie van je gegevens op te vragen: welke gegevens er worden bewaard, waar en in welk format
- Onjuiste gegevens te laten corrigeren
- Verwijdering van gegevens te vragen (met kanttekeningen: sommige gegevens moeten onder AML bewaard blijven)
- Bezwaar te maken tegen verwerking van gegevens voor marketing
- Gegevensoverdraagbaarheid te vragen: je gegevens ontvangen in een machineleesbaar format
- Een klacht in te dienen bij de toezichthouder in je woonland
Wil je deze rechten uitoefenen, mail dan [email protected] met je concrete verzoek.
Veiligheid van je wallet: aan de kant van de investeerder
8lends beschermt de gegevens aan zijn kant, maar de veiligheid van je wallet is jouw verantwoordelijkheid. Basisadviezen:
- Schrijf de seedphrase op papier en bewaar hem los van je apparaat, niet in de cloud of op je telefoon
- Deel de seedphrase nooit met iemand, ook niet met „support van 8lends” (wij vragen er nooit om)
- Een hardware wallet (Ledger / Trezor) is de beste optie voor grote bedragen
- Tweestapsverificatie op je e-mail en exchanges
- Anti-phishing: controleer altijd de URL, alleen app.8lends.io, geen kopieën
- Werk je wallet en besturingssysteem regelmatig bij
- Een aparte wallet voor investeringen: meng hem niet met je wallet voor DeFi-experimenten
Meer over bescherming tegen oplichting
Wettelijke bescherming van gegevens
| Toezichthouder / regelgeving | Wat geldt voor 8lends |
|---|---|
| PCMLTFA / FINTRAC (Canada) | AML/CFT, klantidentificatie, bewaarplicht, rapportage aan FINTRAC |
| PIPEDA en PIPA (Canada, British Columbia) | Bescherming van persoonsgegevens |
| FATF Travel Rule | Doorgeven van transactiegegevens van afzender/ontvanger |
| GDPR (voor klanten in de EU) | Recht op inzage, verwijdering, overdraagbaarheid |
| CCPA (voor klanten in Californië) | Amerikaanse tegenhanger van de GDPR |
| PolyReg SRO / FINMA | Zwitserse AML-standaarden via Maclear AG |
Wat 8lends NIET met gegevens doet
- Verkoopt geen gegevens aan derden
- Gebruikt KYC-gegevens niet voor marketing of advertenties
- Geeft geen biometrie door aan derden (die blijft bij Sumsub)
- Publiceert de koppeling „adres ↔ identiteit” niet on-chain
- Bewaart geen betaalgegevens (kaarten worden verwerkt door Meld.io)
- Heeft geen toegang tot je private key of seedphrase
Veelgestelde vragen
Waar worden de foto's van mijn documenten precies bewaard? Bij Sumsub, de KYC-provider. Sumsub heeft datacenters in de EU (voor GDPR-compliance) en in de VS. De precieze geografische locatie staat in het privacybeleid van Sumsub. 8lends krijgt van Sumsub alleen de uitkomst van de controle (geslaagd/afgewezen/in behandeling), niet de documenten zelf.
Kan iemand via de blockchain zien dat ik op 8lends investeer? Zichtbaar is dat je walletadres interactie heeft met het smart contract van 8lends: dat is openbaar. Maar wie achter dat adres zit, wordt niet gepubliceerd. De koppeling „adres ↔ identiteit” kennen alleen 8lends en Sumsub in hun interne systemen, en die wordt zonder wettelijke grondslag niet openbaar gemaakt.
Wat als ik gehackt word en mijn seedphrase gestolen wordt? Dat is een kritieke situatie. 8lends kan het geld niet teruggeven: de wallet en de inhoud ervan worden volledig beheerd via de seedphrase. Dat is een basiseigenschap van Web3. Daarom is het beschermen van je seedphrase het allerbelangrijkste onderdeel van je persoonlijke veiligheid.
Kan de toezichthouder mijn gegevens opvragen bij 8lends? Ja, als daar een wettelijke grondslag voor is (een gerechtelijk verzoek, een AML/CFT-onderzoek, een belastingcontrole met internationale rechtshulp). 8lends is verplicht de toezichthouder op verzoek gegevens te verstrekken: dat is standaard voor alle gereguleerde financiële platforms. Zonder wettelijke grondslag worden er geen gegevens verstrekt.
Geeft 8lends gegevens door aan de belastingdienst? Niet automatisch. 8lends doet geen belastingaangifte namens jou: je inkomsten aangeven is jouw verantwoordelijkheid als investeerder. Op officieel verzoek van een belastingdienst (bijvoorbeeld via internationale rechtshulp) worden gegevens verstrekt.
Wat als Sumsub gehackt wordt? Sumsub heeft ISO 27001, SOC 2 Type II en regelmatige externe audits. Dat verkleint het risico, maar neemt het niet volledig weg. Bij een datalek is Sumsub volgens de GDPR verplicht gebruikers en toezichthouders te informeren. Voor jou betekent dat een risico op een lek van KYC-gegevens (foto van je document, selfie): dezelfde risico's als bij een hack van elke bank of exchange met KYC.
Hoe verwijder ik mijn gegevens bij 8lends? Via een verzoek aan [email protected]. Dan worden verwijderd: e-mail, correspondentie met support, marketinggegevens. Niet verwijderd kunnen worden (vanwege wettelijke eisen): KYC-gegevens en AML-controles (minimaal 5 jaar volgens de FATF / de Canadese PCMLTFA) en transactiegegevens. Na afloop van de wettelijke termijnen worden de gegevens verwijderd.
Is het veilig om grote bedragen op 8lends te hebben? 8lends is een non-custodial platform, dus het geld staat niet bij 8lends maar in je wallet. „Grote bedragen op 8lends” betekent technisch „grote bedragen in mijn wallet, geïnvesteerd in smart contracts van 8lends”. De bescherming bestaat uit:
- Een hardware wallet (Ledger/Trezor) voor grote bedragen
- Audits van CertiK + Cyberscope voor de smart contracts van 8lends
- Spreiding over meerdere projecten
- Een aparte wallet voor andere experimenten
Gebruikt 8lends cookies of tracking? Alleen technische cookies die nodig zijn voor de interface. Marketingtracking wordt minimaal gebruikt: alleen geaggregeerde analytics, zonder koppeling aan een specifieke gebruiker.
Waar vind ik de volledige tekst van het privacybeleid? Op app.8lends.io in het onderdeel met documenten: Privacy Policy en Terms & Conditions. Deze documenten worden regelmatig bijgewerkt als de regelgeving verandert.
Zie ook:
Vermelding: 8lends is een platform dat wordt beheerd door CLEARCHAIN CORP, bij FINTRAC (Canada) geregistreerd als Money Services Business. Maclear AG (Zwitserland), lid van PolyReg SRO onder toezicht van FINMA, treedt op als Collateral Agent. KYC via Sumsub voldoet aan de eisen voor klantidentificatie van de PCMLTFA (Canada). Sumsub heeft ISO 27001-, SOC 2 Type II- en PCI DSS-certificeringen en is GDPR-compliant. Regelgevend kader per september 2026.