欧易隐私政策第 13 节有一个括注，六个英文词：5-year minimum post-relationship retention。业务关系结束后，资料至少再保留五年。读者问「提交身份证和人脸识别有风险吗」，答案的一半就在这六个词里；另一半在你按下「同意」之前。这一篇把两半分开答。
前一半：交资料这件事
现行通知（银发〔2026〕42 号）对个人只写了投资交易那一条，没有一句写「向境外平台提交身份信息」。个人信息保护法管的是「个人信息处理者」，也就是收资料的一方，对交资料的个人没有禁止性条款。所以「合法吗」这个问法，在条文里找不到对应的句子，本站不替它造一句。
能说的是另一件事：你交的是什么级别的信息。
条文原文敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
《个人信息保护法》第二十八条第一款
人脸是「生物识别」，身份证号是「特定身份」，交易所账户是「金融账户」。你一次认证交出去的三样，全在敏感个人信息的清单里。第二十九条接着说：「处理敏感个人信息应当取得个人的单独同意」。这就是为什么认证前会有单独的勾选。
法律对「向境外提供」也有规定，第三十八条列了四个条件之一：通过国家网信部门的安全评估、经专业机构认证、与境外接收方订立标准合同、或法律规定的其他条件。欧易是境外主体，它的核验服务商也在境外；这一条在你的情况里怎么适用，本站没有能力核，不写。
后一半：资料去了哪
欧易隐私政策是英文的，简体中文路径下打开仍是英文正文，页面注明官方文本为英文。下面按节号译述。
收什么（第 4 节）
身份与联系信息：姓名、邮箱、电话、出生日期、国籍、居住地址、政府签发的证件。
人脸怎么处理（第 18 节）
页面原文法律依据：明确同意。开户时在采集生物识别数据之前取得明确同意。……开户时的生物识别核验由 Au10tix、Jumio 和 Sumsub 执行。……在完成身份认证之前删除生物识别数据，可能影响你使用某些服务。
欧易隐私政策 第 18 节 Biometric Data（英文原文，译文）
三家服务商的名字是政策原文列的，政策链到它们各自的生物识别数据政策。三家各自把数据放多久、放在哪，欧易的政策没有写。
同一节还有一段读者容易漏的内容：「Biometric Entity-Matching Across Group Entities」，集团内不同实体之间的生物识别匹配。原文说对在集团内不同实体提交过身份凭证的客户，可能用自拍照和活体检测得出的面部几何特征和置信分数来判断是不是同一个人，法律依据写的是反洗钱与反恐融资方面的「重大公共利益」。换句话说，你的人脸数据不只用来核你这一次认证，也可能用来在集团的不同实体之间对人。
单独同意那一步在屏幕上是什么
个人信息保护法第二十九条要求的「单独同意」，在注册页上对应的是第二屏那个勾选框：「创建账号即表示我同意欧易的服务条款、风险与合规披露及隐私政策声明」。勾了它，隐私政策第 18 节说的「明确同意」就成立了。这一下点得很快，但它在法律上的分量是：你同意了上面第 4、9、11、13、18 节写的全部内容。本站建议的顺序是先读完这一篇和隐私政策，再回去勾。
给谁看（第 9 节）
共享对象列了几类：身份核验服务商（就是上面三家）、反洗钱、反欺诈和制裁筛查服务商、支付处理商、IT 与分析服务商；以及监管和执法机关，条件是「Where required by applicable law, court order, or lawful regulatory request」，包括向金融情报机构提交可疑交易报告。
这一段的意思是：你的证件不只在欧易那里，也在它的服务商那里；在法律要求的情况下，会到监管和执法机关那里。哪个国家的法律、哪个国家的机关，政策没有限定。
从你按下「提交」到五年后：一条时间线
把政策里散在各节的内容按时间排一遍：
| 时点 | 资料在哪 | 依据 |
|---|---|---|
| 注册第二屏勾选同意 | 你同意了全部条款，包括生物识别的「明确同意」 | 第 18 节 |
| 上传证件、做人脸 | 证件与人脸交给 Au10tix、Jumio、Sumsub 之一核验 | 第 18 节 |
| 认证通过 | 身份与联系信息存在欧易；集团内可能做实体匹配 | 第 4、18 节 |
| 使用期间 | 按法律要求可向监管与执法机关披露，含可疑交易报告 | 第 9 节 |
| 注销账户 | 业务关系结束，开始算保留期 | 第 13 节 |
| 之后至少 5 年 | 资料仍保留；反洗钱与制裁法律要求保留的不删 | 第 11、13 节 |
这条线上没有一个节点是「资料回到你手里」。能缩短的只有第一行：在勾选之前停下来。
放多久（第 11、13 节）
页面原文第 11 节：OKX 只在为收集目的所必需的期间内保留你的个人数据，之后安全删除或不可逆地匿名化，有法律保留要求或未决程序的除外。第 13 节（删除权）：当处理不再有合法依据时，可以请求删除。（括注：业务关系结束后适用至少 5 年的保留期。）反洗钱或制裁法律要求保留的，删除权不适用。
欧易隐私政策 第 11 节与第 13 节（英文原文，译文）
「至少 5 年」是政策的原话（5-year minimum post-relationship retention）。从你注销那天起算，证件和人脸资料至少再放 5 年。
卸载 App 改变什么
什么都不改变。卸载删掉的是你手机上的程序，资料在欧易和服务商的服务器上。注销账户也不删资料，只是开始算那 5 年。注册了没用需要注销吗那一篇把注销的步骤和冷静期讲完了。
资料去向引欧易隐私政策（页面「发布于 2024 年 3 月 19 日」，正文标「Last Updated: July 1, 2026」，简体页面下正文仍是英文，本篇译述并注明节号）；法律引《个人信息保护法》（2021 年 11 月 1 日施行）第三、二十八、二十九、三十八、四十七条；注销冷静期引欧易注销指南（2026 年 9 月 29 日更新）。认证页面本身要登录后才能看到，本站没有登录，不写具体几级、要哪种证件。
法律给你的几项权利，在境外平台上能用到哪
个人信息保护法第四十七条列了处理者应当主动删除个人信息的情形：处理目的已实现、无法实现或不再必要；停止提供产品或服务，或保存期限届满；个人撤回同意；处理者违法违约处理；法律规定的其他情形。处理者没删的，个人有权请求删除。但同一条第二款紧接着写：法律、行政法规规定的保存期限未届满，或者删除从技术上难以实现的，处理者应当停止除存储和安全保护之外的处理。
把这一条套到欧易的政策上：你注销账户，满足「停止提供服务」；你要求删除，欧易的政策说至少保留 5 年、反洗钱法律要求保留的不删。两边的文字是对得上的：法律允许在法定保存期内只「停止处理」不「删除」，平台也正是这么写的。所以第四十七条能给你的，是「在保存期内不得把资料用于存储和安全之外的目的」，不是「马上删」。
还有一个这里替不了你回答的问题：个人信息保护法第三条第二款写境外处理「以向境内自然人提供产品或者服务为目的」的个人信息活动也适用本法，但对一家注册在境外、服务器在境外、核验服务商在境外的平台，这部法律怎么执行，取决于执法协作。本站只能说法条上有这一句，不能承诺它的效果。
你自己能做的几件事
这些做法不改变资料的去向，只减少交错对象、被冒用、账户被盗这三类风险：
- 只在官方 App 或官网内认证。 任何让你把证件照片发到聊天窗口、发给「客服」的要求，都不是认证。欧易的下载指南写明 iPhone 版开发者是 OKX Inc.，认证入口在 App 内，不在别处。
- 认证前读完隐私政策。 第 18 节那句「在完成身份认证之前删除生物识别数据，可能影响你使用某些服务」说明一旦开始就很难中途撤回。
- 不替别人认证，不用别人的证件认证。 账户是你的名字、操作是别人的，判例里有判刑的，在中国炒币违法吗那一篇引了原文。
- 认证后立刻绑验证器 App。 注销指南写明没绑验证器连注销都走不到最后一步，可见它是账户的基本防线。
- 改密码。 别用在别处用过的。
这几条都不能让「至少 5 年」变短。
怎么读这一篇
欧易没有把你所在地列为受限，它的隐私政策把资料去向写得具体；大陆这一侧，法律把你交出去的三样都列为敏感个人信息，现行通知对境外平台的写法是「不得向境内提供服务」。两边都是原文，哪一边更重由你自己掂。注册页每一屏会交出什么，欧易怎么注册逐屏写了，那一篇的第二个确认讲的就是本篇。资料安全这件事不只是欧易的，换任何交易所都一样，交易所实名资料会不会泄露那一篇讲的是通用的部分。
资料这件事，还会被问到的
不做身份认证能不能只注册不交资料？
注册只要手机号或邮箱，不交证件。但没认证的账户能做什么，要登录后看 App 里的提示，本站没有登录，不写。注销指南有一句旁证：从没尝试过身份认证的账户，注销后通常不适用 30 天冷静期；尝试过或提交过的，其他地区等 7 天。也就是说，只要你点过认证、哪怕没通过，资料就已经提交了。
人脸数据是欧易自己存，还是服务商存？
隐私政策第 18 节写生物识别核验由 Au10tix、Jumio、Sumsub 执行，并链到这三家各自的生物识别数据政策；政策没有写这三家各自保留多久。本站没有逐一打开三家的政策，不替它们写。
注销账户能让资料被删除吗？
隐私政策第 13 节的删除权括注了「业务关系结束后适用至少 5 年的保留期」，并写明反洗钱和制裁法律要求保留的不能删。注销是结束业务关系，不是删除资料。