为有权说“不”的审查人员而构建。

每张限定租户范围的表都启用 Postgres 行级安全策略。隔离在数据库层执行，而非仅依赖应用层。隔离测试包括必须拒绝的场景，并实际运行和记录结果，而不是只作声明。

每条受保护路由均要求 AAL2。目前第二因素是身份验证器应用；移动端签署已提供绑定设备的通行密钥。不采用短信或电子邮件一次性验证码，因为越来越多司法管辖区的监管机构正在逐步淘汰这些渠道。使用绑定设备的通行密钥时，还能抵御网络钓鱼。

模型标记不一致及不利发现，并在旁记录触发信号的原因。每项批准均由人作出；每个模型均纳入清单、形成文档并可解释，以满足最严格的 AI 治理制度要求。

系统旨在支持 GDPR、瑞士修订后的《联邦数据保护法》及客户所在地区的数据保护框架下的义务，包括筛查记录中被提及个人的更正权。文件访问通过带签名且留有日志的 URL 提供；传输使用 TLS 1.2 或更高版本。

采用 Ed25519 签名的 SHA-256 哈希链，并由独立的 RFC 3161 时间戳机构签发时间戳。可使用标准工具离线核验：SHA-256、Ed25519 和 RFC 3161 均为公开格式，审查人员可直接核对证据包。设计上采用失败即停止原则：需要时间戳时，若没有有效时间戳，就不会生成证据包。

每项改变状态的操作都串入哈希链，因此改动、插入或重新排序都可被检测。哈希链用于发现问题，不能阻止篡改；我们也不会这样声称。文件访问日志保留七年。

投资者确认一项必要的风险提示时，记录不只是一个勾选框。确认文本按版本保存，其接受的准确措辞的 SHA-256 摘要写入哈希链式记录。若有人悄悄改写已获同意的内容，摘要就不再匹配。措辞变更会形成新版本，而不会改动旧版本。

文件、签名和文件访问属于密码学证据记录。交易各方之间的消息属于普通应用数据：不计算哈希、不串入链，也不加盖时间戳。我们不会将其呈现为证据。

SOC 2 Type 2 和 ISO 27001 的准备工作正在进行。目前没有取得相关报告；本页任何内容均不应被理解为暗示已有报告。报告产生后，这里将注明报告及其日期。