Tenía mis dudas acerca del alcance operacional auditado, pero del artículo referenciado, y de uno apuntado dentro del mismo, he visto la respuesta:
<…> revisó la aplicación de intercambio de Gemini, la infraestructura, la base de datos de clientes subyacente y sus sistemas de almacenamiento de criptomonedas que contienen las llaves de los monederos en línea y fuera de línea de las billeteras de Gemini.
Es decir, tanto el intercambio, como la custodia on/off-line, y los datos personales. Quiero suponer que los procesos de KYC están incluidos y son internos de Gemini (si son externos, por coherencia se le debe exigir el mismo nivel de auditoría a quien lleve acabo el proceso de KYC por ellos, al ser parte de la cadena de valor operacional).
