为那些有权说不的人而建。

在每一张按租户划分的表上启用 Postgres 行级安全。隔离由数据库强制执行，而不是由应用层；隔离测试中包含了那些必须被拒绝的情形，它们是被实际执行并记录下来的，而不是口头声称的。

所有受保护的路由均达到 AAL2。目前的第二重因素是身份验证器应用；移动端签名已采用与设备绑定的通行密钥。不使用短信，也不使用邮件一次性验证码，这些通道正被越来越多法域的监管机构逐步淘汰。在使用设备绑定通行密钥之处，还额外具备抗钓鱼能力。

模型会标出不一致之处与不利发现，并在旁边记下该信号触发的原因。每一次批准都由人作出，而每一个模型都按最严格的 AI 治理制度的要求登记在册、留有文档且可解释。

按 GDPR、瑞士修订后的数据保护法，以及客户所适用的各区域数据保护框架下的义务进行设计，其中包括被列入筛查的个人所享有的更正权。文件访问通过经签名并留有日志的链接提供。传输过程使用 TLS 1.2 或更高版本。

在 SHA-256 哈希链之上使用 Ed25519 签名，并由独立的 RFC3161 机构加盖时间戳。用通用工具离线核验：SHA-256、Ed25519 与 RFC 3161 都是公开格式，因此审阅者只需从证据包本身入手。设计上失败即关闭：在要求加盖时间戳的场合，没有有效的时间戳就没有证据包。

每一项改变状态的操作都被串入哈希链，因此改动、插入或次序调换都可以被检测出来。哈希链只作检测；它并不阻止，我们也不会说它能阻止。文件访问日志保留七年。

当投资者接受一份必需的风险确认书时，记录里留下的不止一个勾选框。确认书文本有版本管理，而所接受的确切措辞的 SHA-256 摘要会被写入链式记录，因此若有人事后悄悄改写他当初同意的内容，摘要就会对不上。措辞一旦变更，就成为一个新版本，而绝不是对旧版本的一次编辑。

文件、签名与文件访问记录属于密码学记录的一部分。各方之间的消息是普通的应用数据：不做哈希、不入链、不加时间戳。我们不把它作为证据呈上。

SOC 2 Type 2 与 ISO 27001 的就绪计划正在进行中。目前并未持有任何报告，本页任何内容都不应被读作暗示已有报告。一旦报告存在，本行会写明这一点并注明其日期。