您在完成 KYC 验证后复制的身份证照片属于违规行为，您需要上报。以下是如何减少此类违规行为的方法。

一位新来的分析师被安排整理数据仓库。她在一张无人管理的表中发现了一列长文本值。她解码了其中一条，发现是护照照片页。这一列有数十万行数据。

没人决定把它们放在那里。两年前，一位工程师保存了所有 webhook 有效载荷，以便重放失败的请求。这些有效载荷包含图像，仓库同步会复制该表。

这就是惯用伎俩。验证早已完成，但副本却留了下来。每一份副本都可能泄露客户的照片和身份证号码，而你对所有副本都负有责任。

拷贝泄露的代价是什么？

密码泄露后可以重置，但照片和身份证号码泄露后则不行。而且，损失很快就会显现。

• 期限。在尼日利亚，数据控制者必须在知悉可能危及个人权利的违规行为后72小时内通知委员会，并且在风险较高的情况下必须立即告知受影响的个人（《2023年尼日利亚数据保护法》第40条 （在新标签页中打开））。肯尼亚也规定监管机构必须在72小时内通知数据控制者，并允许数据处理者在合理可行的情况下有48小时的时间通知数据控制者（《2019年数据保护法》第43条 （在新标签页中打开））。

• 这是一个你无法回答的问题。尼日利亚的通知应该说明涉及的人员和记录的类别和大致数量。对于一张无人认领的桌子，你却在不知情的情况下开始计时。

• 每一次请求，都会成倍增加。客户请求调取数据，或者要求你删除数据，现在都意味着要搜索所有可能保存着副本的系统。

南非和加纳没有规定具体的时长。两国都要求在发现违规行为后尽快通知监管机构和当事人。 POPIA ，第 22 条 （在新标签页中打开）；加纳 2012 年数据保护法，第 31 条 （在新标签页中打开））。

记录保存法究竟要求什么？

通常的回答是：我们必须保留它，监管机构这样规定。这只说对了一半。

FATF 第11条建议 （在新标签页中打开）指出，金融机构应将通过客户尽职调查获得的记录（包括官方身份证明文件的副本或记录、账户档案和业务往来函件）至少在业务关系终止后保存五年。这些记录应向主管当局提供。

截至2026年10月，我们调查的国家都密切关注着这一趋势：

• 尼日利亚。客户身份记录在业务关系结束后至少保留五年，交易记录在交易结束后至少保留五年，并且两者都必须迅速提供给当局（2022 年洗钱（预防和禁止）法，第 8 条 （在新标签页中打开））。

• 南非。自业务关系终止或交易完成之日起至少五年（《金融情报中心法》第 23 条 （在新标签页中打开））。

我们没有查阅肯尼亚或加纳的反洗钱法规规定的保留期限，因此此处不予列出。行业监管机构也可以设定比法规规定的更长的保留期限。请查阅您所持有的每项许可证的具体规定。

请注意这些规定要求的是什么：一份可以随时调取的、保存一段时间的记录。没有任何规定要求将图像同时保存在您的仓库、日志和帮助台中。

数据保护法要求什么

数据保护法适用于相同的文件，并且具有反向约束力。

• 保持最低限度。尼日利亚要求个人数据的处理必须限于实现其目的所需的最低限度（第24条 （在新标签页中打开））。加纳规定，只有在必要、相关且不过度的情况下才能处理个人数据（第19条 （在新标签页中打开））。肯尼亚要求，默认情况下，仅处理实现每个目的所需的数据，并考虑数据的存储期限和访问权限（第41条 （在新标签页中打开））。

• 不要保存超过必要的时间。这四个国家都将保存期限限制在目的所需的时间内。加纳和肯尼亚明确允许法律要求或授权的保存期限，五年期限就属于这种情况。期限届满后，加纳和南非要求销毁、删除或匿名化记录（加纳，第 24 条 （在新标签页中打开）； POPIA ，第 14 节 （在新标签页中打开））。

这两套规则并不冲突。一套规则要求在规定期限内保留一份可检索的记录。另一套规则要求保留的记录数量不得超过规定期限，且不得存放在规定数量的地方，并在期限结束后删除。一份受监管的副本可以同时满足这两套规则。七份不受监管的副本则无法满足任何一套规则。

本文仅提供一般信息，并非针对您企业的法律建议。尼日利亚委员会也发布了《一般应用和实施指令》，但我们并未就此指令进行审阅。

复印件堆积的地方

• Webhook 存储。有效载荷被保存以供重放，其中包含提供商发送的所有内容。

• 日志。请求和响应正文由从未关闭的调试设置写入。

• 支持工具。客户通过电子邮件发送身份证照片。客服人员将验证截图附加到工单中。

• 分析功能。每晚同步一次，复制整个表格，包括图像和 ID 号。

• 人员。用于审计的导出文件，聊天截图。

如何减少

• 存储验证结果和参考编号。您的系统需要知道客户是否通过验证、通过时间、通过级别以及验证 ID。它们很少需要照片。

• 当有人需要查看图片时，通过链接获取图片。需要密钥的链接并非图片副本。默认情况下不下载媒体文件。

• 选择要发送的内容。如果某个字段从未到达您的 Webhook，那么它就不会出现在您的日志、数据仓库或回放表中。

• 为每个数据存储设置保留期限。首先从日志和 Webhook 数据存储开始。

• 给记录指定一个存放地点。确定哪个系统保存着法律要求的记录，将其记录下来，并将其他所有副本都视为缺陷并予以删除。

什么 Toden 它能做什么，以及它不能做什么

• 自拍、实时视频和文档图像均可在以下情况下拍摄： SDK 并直接上传到 Toden 您的服务器无需处理它们。

• Webhook 以链接的形式而非字节流的形式传输每张图片。该链接使用密钥获取，且仅限于您的组织和环境。可发布的密钥无法读取媒体、结果或个人数据。

• 每个工作流步骤都有一个“返回数据”设置，用于限制 Webhook 中发送的字段和媒体链接。相关说明请参阅数据保留指南 （在新标签页中打开）。

• 从未提交的上传文件将被删除，大多数会在 30 分钟内删除。支持性文件可以根据工作流程设置不同的保留期限，从 1 天到 3,650 天不等。supportingDocuments.retentionDays。 API 请求日志保留7天。

• 您可以从控制台或 API 之前通过 webhook 发送的媒体链接随后停止工作。

• 身份证号码、电话号码和录像照片在存储时均经过加密。

这些限制，以限制的形式表达出来：

• 已完成的生产验证及其截图将一直保留，直到您将其删除。除支持文件外，目前您无法为这些文件设置自动过期时间，因此五年期限由您自行决定。

• 删除是软性的。记录会保留所有可读内容，而且 Toden 系统会将记录标记为已删除，以防止合规历史记录被无痕改写。有两种删除操作是永久性的：撤销生物识别注册和从人脸列表中删除条目。

• 媒体链接永不过期。访问权限由您的密钥控制，因此请将其限制在您自己的 IP 地址范围内，如果密钥泄露，请立即撤销密钥。

• Toden 没有 SOC 2 或 ISO 尚未获得27001认证。信任中心阐述了目前的状况。

• 持有较少的数据可以降低您的风险敞口，但并不能免除您作为数据控制者的责任。

向任何服务提供者提出的问题

• 你的 webhook 是否包含图片或图片链接？

• 我可以选择您发送哪些字段和媒体文件吗？

• 你们会保留截图多长时间？我可以自己设置保留时间吗？

• 删除操作究竟会做什么？文件会被彻底销毁，还是只是被隐藏？

• 如果你们的系统遭到入侵，你们会以多快的速度通知我？你们又能告诉我什么？

想看看你的集成接收到了哪些信息吗？打开一个 Toden 工作区 （在新标签页中打开），发送沙盒验证并读取 webhook。我们的《非洲数据保护法下的生物识别数据指南》更深入地介绍了人脸图像。