Em 1 de março de 2024 a CpC tinha alertado para a 

https://cidadaospelaciberseguranca.com/2024/03/01/worldcoin-utopia-digital-ou-distopia-biometrica/ em que produzimos uma série de alertas e recomendações:

“Riscos à privacidade:
Dados biométricos: A íris é um dado único e imutável. Se vender a sua digitalização a uma entidade isto significa que está a abrir mão de um elemento crucial da sua identidade e privacidade.
Termos e condições: O Worldcoin não é regulamentado e os seus termos de serviço permitem a utilização dos seus dados para diversos fins, nem sempre claros. Se a empresa abrir falência: os dados poderão ser comprados por um terceiro.
Segurança de dados: A empresa já foi alvo de tentativas de hacking (algumas com sucesso), e não há garantias de que os dados biométricos que guardam estão seguros a longo prazo ou que não foram já acedidos por hackers.
Etnia: A textura e a cor da íris podem indicar a origem geográfica de uma pessoa, como Europa, África, Ásia ou América e, em alguns casos, podem fornecer pistas sobre a etnia específica de uma pessoa, como descendência italiana, japonesa ou nigeriana.
Saúde: A íris pode apresentar sinais de doenças oculares como glaucoma, heterocromia, iridociclite e síndrome de Horner e diabetes, síndrome de Down e síndrome de Sturge-Weber ou, até, através de genes relacionados à cor dos olhos, doenças hereditárias indicar predisposição para certos tipos de tumores.

Impacto futuro: do mesmo modo que a utilização da impressão digital para acesso ao seu smartphone e computador se tornou comum, com o seu uso o modo de autenticação preferido para aplicações bancárias e outras, no futuro a iris poderá ser utilizada para o mesmo fim. Vender esse dado biométrico único pode no futuro significar um risco de ciberseguranca.

Riscos à liberdade:
Controlo centralizado: A Worldcoin alega ser uma identidade digital global, com potencial para controlar o acesso a serviços e recursos. Isto quer dizer que – se tiver sucesso – lhe poderá também barrar o acesso a esses serviços.
Manipulação e censura: A posse de dados biométricos por uma única entidade abre portas para manipulação e censura em larga escala se fizer algo que desagrade ou contrarie esta entidade.
Discriminação algorítmica: O uso de dados biométricos pode levar à discriminação e exclusão de grupos sociais uma vez que é possível obter muita informação a partir da íris (ver acima).

Riscos financeiros:
Valor da moeda: A Worldcoin é uma criptomoeda nova e volátil, sem garantia de valor futuro. Este risco – aliás – aplica-se a todas as criptomoedas.
Esquema Ponzi: Há o risco muito sensível de que a Worldcoin seja um esquema Ponzi, onde os novos utilizadores pagam os antigos.
Exploração de dados: O valor real da Worldcoin reside nos seus dados biométricos, que podem ser vendidos a terceiros para fins lucrativos.

Recomendações:
1. Evite participar do Worldcoin. Se já o fez, considere solicitar a exclusão dos seus dados (ver abaixo).
2. Seja cauteloso com qualquer projecto que exija seus dados biométricos.
3. Proteja a sua identidade digital e os seus dados pessoais.
4. Exija regulamentação e transparência de empresas que operam no mundo digital e da nossa Assembleia da República e Parlamento Europeu uma maior e mais rigorosa regulamentação e fiscalização.“

Recentemente, fomos alertados por moradores para a aparição de uma loja “estranha” na Avenida Sacadura Cabral, 24, em Lisboa:

Onde se encontravam, todos os dias, vários jovens com uma t-shirt abordando transeuntes, alguns dos quais idosos e um segurança de uma empresa privada (!). Na montra, um obscuro QR Code (ver https://cidadaospelaciberseguranca.com/2023/09/29/nao-faca-scan-a-qr-codes-em-locais-publicos-ou-tenha-extremo-cuidado-ao-faze-lo/) apontava para o endereço: 

https://jasper-apple-ce0.notion.site/1cadb618706f8178ab93f6f6e2458cdb, o qual não revelava, pela sua obscuridade, o site final. O logotipo da loja, contudo, era claro: Trata-se do regresso a Portugal desta polémica criptomoeda que, em 2024, alegava ter na sua posse dados de 1% das íris de todos os portugueses e cuja presença em Portugal tinha sido suspensa por três meses pela Comissão Nacional de Proteção de Dados ”para investigação, até ser conhecida uma decisão final sobre esta atividade. Uma medida urgente, explica num comunicado a CNPD que recebeu, no último mês, dezenas de denúncias sobre a recolha de dados de menores de idade ou testemunhos de utilizadores que não conseguiam apagar os dados recolhidos ou que não conseguiram anular o consentimento depois de fornecer as informações. Mais de 300 mil pessoas já deram dados pessoais à WorldCoin , diz o comunicado, em troco de um valor em moedas digitais.”
https://www.rtp.pt/noticias/economia/worldcoin-suspensa-em-portugal_a1560108 

No site oficial da empresa de criptomoedas https://world.org/pt-pt não encontrámos qualquer referência explícita ao seu regresso a Portugal mas, em contrapartida, encontrámos via Privacy Badger (privacybadger.org) 7 cookie trackers:
cookie-cdn.cookiepro.com 
connect.facebook.net 
geolocation.onetrust.com 
analytics.tiktok.com

Nenhuma destas cookies deveria ter sido colocada no computador antes da aceitação do “Ao clicar em “Aceitar todos os cookies”, concorda com o armazenamento de cookies no seu dispositivo para melhorar a navegação no site, analisar a utilização do site e ajudar nas nossas iniciativas de marketing.” que surge quando acedemos ao site (algo para o qual alertámos, também, a CNPD) os termos e condições da empresa, extensos e complexos que encontrámos em https://world.org/pt-pt/legal/user-terms-and-conditions.

Para além dos alertas e recomendações que acima listámos e que, no essencial, se mantém, analisámos de seguida o site da organização encontrando vários riscos de cibersegurança, privacidade e potenciais violações do RGPD (Regulamento Geral sobre a Proteção de Dados) associados ao processo de verificação do World ID via Orb, mesmo que a empresa afirme ter adoptado medidas de “privacidade por design” que podem estar em colisão com o RGPD:

1. Dados Biométricos: Categoria Especial de Dados (Art. 9.º RGPD)

O Orb recolhe imagens de alta resolução da íris e do rosto, dados considerados biométricos, pertencentes a uma categoria especial segundo o artigo 9.º do RGPD.
Ora, a recolha de dados biométricos é proibida por defeito, salvo em condições muito restritas.
Não é claro que haja uma base legal válida para esta recolha, como consentimento explícito, informado e livre de vícios (Art. 7.º e 9.º).
Menores de idade podem ser aliciados a participar sem validação adequada da sua idade ou capacidade legal, algo para o qual a CNPD já tinha alertado e que foi de certa forma respondido pela empresa através de um form de consentimento de idade na aplicação móvel que, contudo, pode ser facilmente contornado.

2. Consentimento e Transparência Insuficientes (Art. 7.º, 12.º, 13.º e 14.º RGPD): As explicações fornecidas sobre o que acontece com os dados são vagas, técnicas e dispersas em várias páginas (ex: blog, whitepaper, AMPC).
O utilizador comum dificilmente compreende o que é AMPC, custódia pessoal, ou como os dados são efectivamente tratados e protegidos.
O consentimento pode não ser esclarecido nem inequívoco, sobretudo se for recolhido por operadores num contexto comercial ou de “recompensa” (ex: tokens WLD).

3. Transferência Internacional de Dados (Art. 44.º–49.º RGPD): O sistema envolve entidades nos EUA, Coreia do Sul e outras jurisdições fora da UE.
Ainda que o “código da íris” seja dividido e distribuído, os parceiros (Nethermind, UC Berkeley, KAIST, etc.) podem não oferecer garantias equivalentes ao RGPD.
Não existe assim informação clara e nítida sobre decisões de adequação, cláusulas contratuais tipo ou mecanismos legais usados.
Recordamos que a CNPD já considerou este modelo arriscado em 2024, ao ponto de o suspender.

4. Retenção e Eliminação Limitadas (Art. 5.º, 17.º RGPD): Embora o utilizador possa eliminar imagens do Orb e o seu World ID, as “partes do código da íris” não podem ser eliminadas, por estarem anonimizadas e distribuídas. A alegada “anonimização” pode ser discutível, pois o código da íris é um identificador único gerado a partir de um dado biométrico sensível.
O utilizador perde o controlo total sobre os seus dados, o que contradiz o princípio da autodeterminação informacional e o direito ao apagamento (Art. 17.º).

5. Reidentificação Técnica Possível (Art. 4.º n.º 1 e Considerando 26 do RGPD): Mesmo que os códigos de íris sejam “anonimizados”, a combinação entre:
Um identificador único (código da íris),
Uma ligação à conta no World App,
O uso de autenticação facial futura (“Face Auth”),
pode permitir a reidentificação direta ou indireta do titular.

Ora o RGPD considera que dados pseudonimizados ou mal anonimizados ainda são dados pessoais se for possível identificar alguém com meios razoáveis.

6. Propósito ambíguo e reutilização de dados (Art. 5.º n.º 1-b e 6.º RGPD): A finalidade declarada (“verificar se é humano”) pode ser posteriormente estendida a outros usos: login em apps, acesso a serviços, uso em terceiros. Esta finalidade levanta a possibilidade de utilização do produto como um “cavalo de Tróia”, com o risco de reutilização não autorizada dos dados dos utilizadores.

7. Recrutamento: O site de recrutamento, para além da sua própria obscuridade (porque não reside directamente num subdomain da https://world.org/pt-pt/ estando em https://jasper-apple-ce0.notion.site/1cadb618706f8178ab93f6f6e2458cdb recolhe uma quantidade extraordinária de dados pessoais 

Está alojado nos IPs 208.103.161.33 e 208.103.161.32 que residem na  ISP:Notion Labs Inc, California, EUA, logo, fora do espaço europeu. Ora, se um site que recolhe dados pessoais de residentes na UE estiver alojado nos EUA, isso é permitido pelo RGPD apenas se forem cumpridas condições rigorosas, caso contrário, é uma violação flagrante designadamente a adesão da empresa ao Data Privacy Framework (DPF), o novo acordo UE–EUA aprovado em julho de 2023. Em https://www.dataprivacyframework.gov/list confirmámos a adesão da Notion Labs ao acordo pelo que, neste ponto, não encontrámos anomalias apesar da presença de uma tracking cookie suspeita: o324374.ingest.sentry.io

O URL de registo de candidaturas de emprego também era omisso quanto a:
Informação clara na política de privacidade:
Quem recolhe os dados.
Onde e por quanto tempo serão armazenados.
Como são protegidos.
Com quem são partilhados.
O utilizador não é informado claramente sobre a transferência internacional de dados.
Se os dados são tratados além do necessário ou para fins não especificados (violando os princípios da limitação e proporcionalidade).
Se os não são usados para perfilagem, marketing ou biometria sem garantias específicas adicionais.
Obrigatoriedade da identificação simples e fácil de encontrar da forma que um utilizador poderá solicitar a eliminação dos seus dados.

A lista de dados pessoais recolhida no processo de inscrição para eventual recrutamento é extensa:
Nome completo
Foto
Data de Nascimento
Endereço completo
Comprovante (?) de residência
Telefone de contato 1
Telefone de contato 2
E-mail
Estado Civil
Idiomas que fala
Veículo próprio
Currículo
NIF
NISS
Passaporte
Comprovante do Passaporte (Se for Português, e não tiver passaporte, pode prosseguir sem)
Residência/BI

A World.org, já está presente em Portugal, para além da Sacadura Cabral em Lisboa em vários outros locais: https://world.org/pt-pt/blog
Pop-up Setúbal R. Dr. Vicente José Carvalho 52 56, Setúbal
Barbearia Gabriela Rua Direita de Aradas n48, Aveiro
Arte Benfica Alameda Manuel Ricardo Espírito Santo 6, Lisbon
iRepair Estr. de Benfica 458C, Lisbon

De recordar a comunicação da CNPD de 2024: https://www.cnpd.pt/comunicacao-publica/noticias/cnpd-atualiza-informacao-sobre-o-caso-worldcoin/ e que, resumidamente, indicava que a Worldcoin Foundation tinha apresentado prova de que possui um estabelecimento na Alemanha e que, com essa informação, a autoridade de controlo principal do processo passa a ser a BayLDA (Bayerisches Landesamt für Datenschutz), entidade alemã sendo que a CNPD portuguesa passaria a ser “Autoridade de Controlo Interessada”, segundo o artigo 4.º, n.º 22 do RGPD, atuando no âmbito do mecanismo europeu de cooperação e coerência. Em Julho, a CNPD tinha informado de que havia remetido todos os documentos relevantes à BayLDA e continuará a acompanhar o caso de perto. Esta decisão decorre da deliberação da CNPD de março de 2024, que suspendeu a recolha de dados biométricos (íris, olhos e rosto) em Portugal, sobretudo para proteger menores. Contudo, apesar deste evidente regresso à actividade não há actualizações sobre as condições do regresso nem no site da CNPD nem no site da própria Worldcoin.

Na nossa opinião, se a Worldcoin retomou operações em Lisboa ou noutras cidades portuguesas com campanhas de recrutamento de comerciais, isso pode entrar em conflito com a decisão anterior da CNPD, a menos que:

A Worldcoin não esteja a recolher dados biométricos em Portugal (apenas a promover ou recrutar) ou que tenha alterado a sua prática e obtido aprovação da BayLDA, com notificação às autoridades interessadas, como a CNPD. Tanto quanto foi possível apurar, a CNPD ainda não levantou a suspensão da recolha de dados biométricos no território nacional. Portanto, qualquer atividade operacional que envolva essa recolha em Portugal continua, à partida, proibida.

Toda a actividade da empresa reside em torno da “Orb”, “um dispositivo que verifica que você é um humano único. A Orb, construída pela Tools for Humanity, é um dispositivo de código aberto que verifica que és um humano único sem saber mais nada sobre ti. A Orb captura e processa fotos para verificar a unicidade, sem a necessidade de reter as tuas imagens ou de recolher qualquer outra informação. Tira fotos do teu rosto e dos teus olhos, encripta e armazena no teu telemóvel para que apenas tu as controles por defeito.

Códigos permanentemente criptografados, gerados pelas tuas fotos, são, então, armazenados em bancos de dados seguros para prevenir verificações duplicadas. Tudo isto é feito de forma simples e fácil, em alguns segundos, e podes escolher apagar os teus dados a qualquer momento” sendo os suportes para estas “Orb” visíveis, por exemplo, na loja da Sacadura Cabral sendo colocadas as ditas “Orb” entre as 10 e as 20 todos os dias em que a loja está aberta.

No entendimento da CpC há riscos de cibersegurança associados ao uso das “Orb” da Worldcoin:

1. Exposição de Dados Biométricos Sensíveis: A íris é uma característica biométrica única e permanente, se for comprometida, não pode ser “trocada” como uma senha. Apesar de a Worldcoin afirmar que os dados são eliminados após a geração do “código de íris”, qualquer falha na transmissão ou armazenamento pode ser catastrófica.

2. Confiança no Sistema SMPC (Secure Multi-Party Computation): O sistema SMPC usado para proteger os códigos de íris depende de criptografia avançada distribuída. Ainda que teoricamente seguro, falhas de implementação ou erros humanos podem comprometer a integridade dos dados. Um ataque direccionado aos servidores que mantêm essas partes pode violar o anonimato e permitir a reconstrução de dados biométricos.

3. Ataques a Dispositivos Locais (Orbs): O Orb funciona com duas chaves criptográficas únicas e ambiente controlado, mas ataques físicos, como side-channel attacks, poderiam extrair dados ou chaves e vulnerabilidades no firmware ou software (mesmo que auditado) podem ser exploradas se não forem atualizadas regularmente.

4. Dependência de Infraestrutura de Terceiros (AWS, MongoDB): A Worldcoin utiliza infraestrutura na nuvem, como Amazon Web Services e MongoDB, para armazenar os códigos de íris. Se essas plataformas forem alvo de ataques, mesmo dados protegidos por criptografia podem ser capturados e descriptografados no futuro com computação mais avançada (por exemplo, computação quântica).

5. Risco de Reidentificação: Embora a Worldcoin diga que não guarda imagens da íris, a geração de um identificador único (código de íris) ainda pode ser associada a outras informações pessoais (geolocalização, dispositivo usado, IP). Isto pode permitir, com dados complementares, a reidentificação de indivíduos, violando o princípio da anonimização.

6. Riscos Políticos e Jurídicos: O facto de a Worldcoin mudar a sua sede e entidades legais (ex.: na Alemanha) levanta questões sobre jurisdição, acesso legal a dados e regulação consistente. Uma eventual mudança de regime legal ou fusão empresarial pode resultar em novos usos dos dados, mesmo contra os termos atuais.

Notamos, contudo, que a Worldcoin incorporou no seu produto várias mitigações a alguns destes riscos nomeadamente:
Código aberto de parte do software e hardware.
Auditorias de segurança por terceiros (ex.: Trail of Bits).
Processamento de dados apenas em RAM.
Criptografia de ponta a ponta em trânsito e em repouso.
Eliminação local dos dados após transmissão.
O que também não queremos deixar de realçar.

Conclusão

Apesar dos esforços para garantir privacidade e segurança, não há garantia absoluta de proteção de dados biométricos. O uso do Orb apresenta riscos que devem ser avaliados com muita cautela, principalmente em contextos onde:
A legislação local (como a portuguesa) coloca restrições;
Os utilizadores não compreendem plenamente os riscos associados à biometria;
Existem incentivos financeiros ou sociais para a adesão que possam influenciar decisões mal informadas.

Assim sendo enviámos à Comissão Nacional de Proteção de Dados (CNPD) o seguinte alerta: Assunto: Recolha de dados biométricos e tratamento de dados pessoais pela Worldcoin

Vemos, por este meio, apresentar um alerta contra a entidade Worldcoin Foundation e/ou os seus parceiros em território nacional, com base em indícios de violação do Regulamento Geral sobre a Proteção de Dados (RGPD), designadamente no que se refere à recolha, tratamento e transferência de dados pessoais, incluindo dados biométricos sensíveis, sem as devidas garantias legais e técnicas.

1. Recolha de dados biométricos sensíveis:

A Worldcoin tem vindo a realizar atividades de verificação de identidade humana através de um dispositivo denominado Orb, que recolhe imagens da íris e do rosto para gerar um “código de íris”, com o objetivo de criar um identificador único. Esta recolha foi anteriormente suspensa pela CNPD por Deliberação/2024/137, precisamente por constituir um risco grave para os direitos fundamentais à privacidade, especialmente de menores.

Contudo, observa-se que a Worldcoin retomou actividades em Lisboa e outras cidades portuguesas, designadamente através do recrutamento de operadores comerciais para a recolha destes dados, o que levanta sérias dúvidas sobre a compatibilidade dessa atuação com a deliberação mencionada e com o estatuto atual da CNPD enquanto autoridade de controlo interessada.

2. Recolha excessiva de dados pessoais em formulário de recrutamento:

O processo de candidatura para operadores da Worldcoin decorre num formulário online alojado em domínio externo, entidade norte-americana associada ao projeto.

Neste formulário são solicitadas, entre outras, as seguintes categorias de dados:
Nome completo
Email
Número de telefone
Localização geográfica
Experiência laboral
Documentos de identificação

Estes dados são recolhidos diretamente por uma entidade sediada nos EUA, fora do Espaço Económico Europeu, sem informação clara e acessível sobre as transferências internacionais de dados ou as medidas de proteção adequadas, como cláusulas contratuais tipo ou decisões de adequação. Além disso, não é apresentada qualquer informação sobre prazos de conservação, finalidade específica ou consentimento explícito, em violação do artigo 13.º e 14.º do RGPD.

3. Cookies e RGPD
No site oficial da empresa de criptomoedas https://world.org/pt-pt não encontrámos qualquer referência explícita ao seu regresso a Portugal mas, em contrapartida, encontrámos via Privacy Badger (privacybadger.org) 7 cookie trackers que não deviam lá estar:cookie-cdn.cookiepro.com
connect.facebook.net
geolocation.onetrust.com
analytics.tiktok.com

Nenhuma destas cookies deveria ter sido colocada no computador antes da aceitação do “Ao clicar em “Aceitar todos os cookies”, concorda com o armazenamento de cookies no seu dispositivo para melhorar a navegação no site, analisar a utilização do site e ajudar nas nossas iniciativas de marketing.” que surge quando acedemos ao site (algo para o qual alertámos, também, a CNPD)

3. Pedido

Assim, solicitamos que a CNPD:
1. Investigue se a Worldcoin e as suas entidades associadas estão a operar em Portugal em conformidade com a legislação nacional e europeia de proteção de dados, nomeadamente quanto à recolha de dados biométricos suspensa por deliberação anterior.
2. Avalie a legalidade do formulário de recrutamento e do subsequente tratamento de dados por entidades sediadas fora da UE, à luz dos artigos 44.º a 49.º do RGPD.
3. Impeça a continuação da recolha e tratamento de dados pessoais e biométricos caso se confirme a ausência de base legal ou garantias adequadas.
4. Se as tracking cookies colocadas no dispositivo que acede ao site https://world.org/pt-pt antes de aceitarmos o pedido de aceitação de cookies estão conformes ao RGPD tendo em conta que em  https://www.cookiebot.com/en/compliance-test/42f7c39e-9acf-4788-b371-1cb441ca0f58/?cb_share=1#website_scan_results o site foi classificado como estando em “High Risk” de violação com o RGPD.
5. Aplique, se for caso disso, medidas corretivas ou sanções, de acordo com o artigo 58.º do RGPD.

Adenda:

Situação dos acordos de transferência de dados entre a União Europeia e os Estados Unidos tem sido bastante turbulenta nos últimos anos:

Safe Harbor (anulado em 2015 – “Schrems I”): O primeiro acordo, o Safe Harbor, foi invalidado pelo Tribunal de Justiça da União Europeia (TJUE) em 2015, na sequência de uma queixa de Max Schrems, um ativista da privacidade. A principal preocupação era a possibilidade de acesso em massa aos dados por parte das autoridades de segurança dos EUA, sem um nível de proteção equivalente ao do RGPD.

Privacy Shield (anulado em 2020 – “Schrems II”): Em resposta à anulação do Safe Harbor, foi criado o Privacy Shield. No entanto, este também foi invalidado pelo TJUE em julho de 2020 (no caso conhecido como “Schrems II”), novamente devido a preocupações com o acesso das agências de inteligência dos EUA aos dados de cidadãos europeus e à falta de vias de recurso eficazes para os titulares de dados europeus.

Após a anulação do Privacy Shield, houve um período de incerteza legal para as empresas que transferiam dados entre a UE e os EUA. No entanto, em 10 de julho de 2023, a Comissão Europeia adotou uma nova decisão de adequação para os EUA, criando o Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework – DPF).

Este novo acordo visa abordar as preocupações levantadas pelo TJUE no caso Schrems II, introduzindo:

1. Novas salvaguardas vinculativas para limitar o acesso das agências de inteligência dos EUA aos dados da UE ao que é “necessário e proporcional”.
2. Novas vias de recurso para os cidadãos da UE, incluindo um Tribunal de Revisão da Proteção de Dados (Data Protection Review Court) nos EUA.

Implicações para a World Foundation:

Com a existência do EU-US Data Privacy Framework, empresas e organizações (incluindo as dos EUA) que certificam a sua participação neste quadro podem transferir dados pessoais da UE para os EUA com base nesta decisão de adequação, sem a necessidade de salvaguardas adicionais complexas, como Avaliações de Impacto de Transferência (TIAs) extensivas ou Cláusulas Contratuais Padrão (CCPs), embora estas últimas ainda possam ser utilizadas.

Sabemos que a World Foundation “envia os Dados de Imagens para as nossas equipas na União Europeia e nos Estados Unidos”. A sua declaração de confidencialidade também afirma que “explica como protegemos e cumprimos as leis de transferência transfronteiriça de dados”.

Embora o documento não mencione explicitamente o “EU-US Data Privacy Framework” pelo nome, a sua entrada em vigor em julho de 2023 (o documento da World Foundation é de 23 de maio de 2025, o que significa que o DPF já estava em vigor) significa que a World Foundation poderia estar a basear as suas transferências para os EUA neste novo quadro, desde que as suas entidades nos EUA se tenham certificado sob o DPF.

É importante notar que, embora o DPF esteja em vigor, já existem e esperam-se novas contestações legais por parte de ativistas da privacidade (nomeadamente, a organização NOYB de Max Schrems). Há uma forte possibilidade de que este novo quadro também seja revisto e potencialmente invalidado pelo TJUE no futuro (“Schrems III”), uma vez que alguns consideram que não resolve fundamentalmente todas as questões relacionadas com a vigilância dos EUA.