Compliance
Darauf ausgelegt, mit PIPEDA übereinzustimmen. Kein Ersatz für Ihre eigene Rechtsberatung.
„Konform“ steht auf vielen Trust-Seiten, ohne dass etwas dahintersteht. Hier steht konkret, was ShieldID tut, um die Datenschutzpflichten Ihrer Organisation zu unterstützen – und was nicht.
PIPEDA
Auf minimale Datenerhebung und Zweckbindung ausgerichtet, nicht erst nachträglich aufgesetzt.
Die Grundsätze von PIPEDA zeigen sich als Produktentscheidungen, nicht als Richtliniendokument, das niemand liest.
- Wir erheben, was eine Verifizierungsentscheidung braucht – den Ausweis, ein Selfie, die Felder auf dem Dokument – und nichts darüber hinaus.
- Ausweisbilder werden automatisch nach kurzer Frist gelöscht, standardmäßig nach sieben Tagen, statt standardmäßig unbefristet aufbewahrt zu werden.
- Anmeldungen, Dokumentansichten, Verifizierungsergebnisse und API-gesteuerte Aktionen werden in einem Append-only Activity Ledger aufgezeichnet. Der Zugriff auf ein rohes Ausweisbild pro Ansicht ist noch kein protokolliertes Ereignis – das ist in Arbeit.
- Die Einhaltung von PIPEDA ist eine Pflicht der Organisation, die ShieldID einsetzt, und nichts, was wir in Ihrem Namen zertifizieren können. Wir stellen die Kontrollen und den Nachweis bereit; wie diese zu den Pflichten Ihrer Organisation passen, ist eine Frage an Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten oder an Ihre Rechtsberatung.
Provinzielles Datenschutzrecht
Wir haben das Law 25 von Québec berücksichtigt. Eine Prüfung dagegen hat bei uns nicht stattgefunden.
Provinzielle Regelwerke kommen zusätzlich zu PIPEDA hinzu, und das Law 25 von Québec ist dasjenige, das am ehesten auf einen kanadischen Ablauf zur Identitätsprüfung zutrifft. Seine Ausrichtung – minimale Datenerhebung, eine klare Grundlage für die Verarbeitung, ein dokumentierter Zugriffsnachweis – haben wir beim Aufbau von ShieldID berücksichtigt. Eine formelle Prüfung gegen das Law 25 oder ein anderes provinzielles Regelwerk haben wir nicht durchlaufen, und wir werden keine behaupten, bevor es sie gibt. Wenn Ihre Organisation in Québec tätig ist, klären Sie Ihre eigenen Pflichten mit Ihrer Rechtsberatung, statt sich allein auf diese Seite zu verlassen.
Einwilligung
Im Ablauf eingeholt, nicht vorausgesetzt.
Antragstellende sehen, was erhoben wird und warum, bevor ihr Dokument und ihr Gesicht erfasst werden.
- Die Einwilligung wird den Antragstellenden auf ihrem eigenen Gerät als Teil des Verifizierungsablaufs selbst präsentiert – nicht in einer separaten Nutzungsbedingungsseite versteckt, die nie jemand öffnet.
- Die Annahme der Bedingungen zur elektronischen Signatur wird im Moment ihres Eintretens als Ereignis EULA_ACCEPTED aufgezeichnet. Ein separates, speziell auf den biometrischen Scan bezogenes Einwilligungsereignis gibt es noch nicht.
- Die von dieser Einwilligung abgedeckten Bilder sind diejenigen, die automatisch nach der auf der Seite zur Aufbewahrung beschriebenen Aufbewahrungsfrist gelöscht werden.
Operative Kontrollen
Die Teile der Compliance, die in der Software leben, nicht im Richtlinienordner.
Zwei-Faktor-Authentifizierung
Self-Service-Einrichtung folgt in Kürze. Sobald für ein Konto ein TOTP-Code festgelegt ist, erzwingt das Portal ihn bei der Anmeldung.
Append-only-Audit
Jede Anmeldung, Dokumentansicht, jedes Verifizierungsergebnis und jeder Export wird in einem Protokoll erfasst, das die Datenbank selbst von niemandem bearbeiten oder löschen lässt.
Beweisen, nicht nur behaupten
Das Activity Ledger macht die Compliance überprüfbar.
Eine Richtlinie, die besagt, dass der Zugriff kontrolliert wird, ist ein Versprechen. Ein Ledger, das jeden Zugriff zeigt und von der Datenbank durchgesetzt wird, ist ein Nachweis. Darauf arbeiten wir hin, und für Anmeldungen, Dokumentzugriffe und Verifizierungsergebnisse ist es bereits live.
Zertifizierungen
Noch keine vorhanden. Wir drucken kein Siegel ab, das wir uns nicht verdient haben.
Für ShieldID besteht heute keine Zertifizierung nach SOC 2, ISO 27001 oder Vergleichbarem, und auf dieser Website wird auch keine suggeriert. Falls und sobald wir eine besitzen, erscheint sie hier mit dem Ausstellungsdatum und genau dem, was sie abdeckt – niemals als unbeschriftetes Logo in einer Reihe von Siegeln.
Noch etwas
Diese Seite ist keine Rechtsberatung.
Sie beschreibt, was die Plattform ShieldID leistet. Ob das die spezifischen Pflichten Ihrer Organisation nach PIPEDA, provinziellem Datenschutzrecht oder einem anderen Regelwerk erfüllt, ist eine Frage an Ihre eigene Rechtsberatung oder Ihre Datenschutzbeauftragte bzw. Ihren Datenschutzbeauftragten, nicht an eine Marketingseite.
Fragen
Klare Antworten zur Compliance.
Sprechen Sie mit uns
Haben Sie eine konkrete Compliance-Frage?
Fragen Sie uns direkt – nach einem Sicherheitsfragebogen, einer bestimmten Kontrolle oder etwas, das diese Seite nicht abgedeckt hat.