Compliance
Es gibt kein einheitliches US-Datenschutzgesetz wie PIPEDA. Hier ist die Übersicht und das, was wir Ihnen bieten.
„Konform“ steht auf vielen Trust-Seiten, ohne dass etwas dahintersteht. Hier steht konkret, was ShieldID tut, um die Datenschutzpflichten Ihrer Organisation nach US-Recht zu unterstützen, und was nicht.
Die US-Datenschutzlandschaft
Umfassende Landesgesetze, Landesgesetze zu biometrischen Daten und alle branchenspezifischen Regeln, die Sie ohnehin einhalten.
In den USA gibt es kein einzelnes bundesweites Datenschutzgesetz für die Identitätsprüfung. Stattdessen gibt es einen Flickenteppich, und ShieldID ist auf die Teile ausgerichtet, die unsere Tätigkeit berühren.
- Umfassende Datenschutzgesetze der Bundesstaaten, etwa der CCPA/CPRA in Kalifornien und eine wachsende Zahl weiterer, geben Verbrauchern Rechte wie Auskunft, Löschung, Berichtigung und das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen.
- Landesgesetze zum Schutz biometrischer Daten gelten unmittelbar für Gesichtsabgleich und Liveness-Prüfung. Illinois' BIPA, Texas' CUBI und Washingtons Gesetz zum Schutz biometrischer Daten legen jeweils eigene Regeln für die Erhebung und den Umgang mit biometrischen Identifikatoren fest.
- Viele unserer Kunden unterliegen zusätzlich zum Landesrecht einer branchenspezifischen Regel, etwa ein Kreditgeber mit einem Customer Identification Program. Die Ergebnisse pro Feld und die Nachweise von ShieldID sind als Eingabe für diesen Prozess gedacht, nicht als dessen Ersatz.
- Die Einhaltung dieser Vorgaben liegt in der Verantwortung der Organisation, die ShieldID nutzt, und wir können sie nicht in Ihrem Namen bescheinigen. Wir stellen die Kontrollen und die Aufzeichnung bereit; wie diese zu den Pflichten Ihrer Organisation passen, ist eine Frage für Ihre eigene Rechtsberatung.
Unsere Herkunft
Crown Stack Systems ist kanadisch, und PIPEDA gilt weiterhin für uns.
ShieldID wird von Crown Stack Systems mit Sitz in Oshawa, Ontario, entwickelt. Als kanadisches Unternehmen sind wir nach dem kanadischen Bundesdatenschutzgesetz PIPEDA für die von uns verarbeiteten personenbezogenen Daten verantwortlich, unabhängig vom Standort unserer Kunden. Das ist eine Aussage über uns, keine Aussage über Ihre eigenen Compliance-Pflichten als US-Unternehmen; diese ergeben sich aus den oben beschriebenen Landes- und Branchenregeln, und Sie müssen sie selbst erfüllen.
Einwilligung
Im Ablauf eingeholt, nicht vorausgesetzt.
Antragstellende sehen, was erhoben wird und warum, bevor ihr Dokument und ihr Gesicht erfasst werden.
- Die Einwilligung wird dem Antragsteller auf seinem eigenen Gerät als Teil des Verifizierungsablaufs selbst angezeigt, bevor sein Ausweis und sein Gesicht erfasst werden, und nicht auf einer separaten Seite mit Geschäftsbedingungen versteckt, die er nie öffnet.
- Die Zustimmung wird im Moment ihrer Erteilung als EULA_ACCEPTED-Ereignis im Activity Ledger von Trust Ledger aufgezeichnet. Ein separates Einwilligungsereignis speziell für den biometrischen Scan gibt es noch nicht.
- Die von dieser Einwilligung abgedeckten Bilder sind diejenigen, die standardmäßig nach sieben Tagen automatisch gelöscht werden, wie auf der Seite zur Aufbewahrung beschrieben.
Operative Kontrollen
Was ShieldID tatsächlich bietet, keinen Richtlinienordner.
Erfassung der Einwilligung
Der Antragsteller akzeptiert auf seinem eigenen Gerät, was erhoben wird, bevor sein Ausweis und sein Gesicht erfasst werden. Die Zustimmung wird als EULA_ACCEPTED-Ereignis aufgezeichnet.
Automatische Bilderlöschung
Ausweisbilder und das Selfie werden standardmäßig nach sieben Tagen automatisch gelöscht, stündlich geprüft und nach jedem Neustart erneut.
Kein Verkauf personenbezogener Daten
Wir verkaufen die personenbezogenen Daten von Antragstellern nicht, an niemanden und aus keinem Grund.
Nicht zum Training von Modellen verwendet
Verifizierungsbilder und Ergebnisse werden verwendet, um Ihre Verifizierung durchzuführen, und niemals, um ein Modell zu trainieren.
Ergebnisse und Nachweise pro Feld
Jede Prüfung, ob Dokument, Gesichtsabgleich oder Liveness, wird als eigenes Ergebnis mit den zugrunde liegenden Nachweisen ausgewiesen, nicht als ein gebündelter Gesamtwert.
Nur anfügbares Activity Ledger
Heute verfügbar für Trust Ledger-Konten; in Kürze verfügbar für ein eigenständiges ShieldID API-Konto.
Zwei-Faktor-Authentifizierung
Self-Service-Einrichtung folgt in Kürze. Sobald für ein Konto ein TOTP-Code festgelegt ist, erzwingt das Portal ihn bei der Anmeldung.
Beweisen, nicht nur behaupten
Das Activity Ledger macht die Compliance überprüfbar.
Eine Richtlinie, die besagt, dass der Zugriff kontrolliert wird, ist ein Versprechen. Ein Ledger, das jeden Zugriff zeigt und von der Datenbank durchgesetzt wird, ist ein Nachweis. Darauf arbeiten wir hin, und für Anmeldungen, Dokumentzugriffe und Verifizierungsergebnisse ist es bereits live.
Zertifizierungen
Noch keine vorhanden. Wir drucken kein Siegel ab, das wir uns nicht verdient haben.
Für ShieldID besteht derzeit keine Zertifizierung nach SOC 2, ISO 27001 oder Ähnlichem, und auf dieser Website wird auch nichts dergleichen suggeriert. Ebenso gibt es kein „CCPA-konform“ oder „BIPA-konform“ im Sinne einer Zertifizierung; dies sind Gesetze, die Pflichten für das Unternehmen begründen, das Daten erhebt, und keine Zertifizierungsprogramme, die ein Anbieter bestehen könnte, und wir werden nichts anderes andeuten. Sollten wir künftig eine Zertifizierung besitzen, wird sie hier mit dem Ausstellungsdatum und ihrem genauen Geltungsbereich aufgeführt.
Noch etwas
Diese Seite ist keine Rechtsberatung.
Sie beschreibt, was die ShieldID-Plattform leistet. Ob dies die spezifischen Pflichten Ihrer Organisation nach einem Landesdatenschutzgesetz, einem Gesetz zum Schutz biometrischer Daten wie Illinois' BIPA, einer branchenspezifischen Regel wie dem Customer Identification Program eines Kreditgebers oder einer anderen Regelung erfüllt, ist eine Frage für Ihre eigene Rechtsberatung oder Ihren Datenschutzbeauftragten, nicht für eine Marketingseite.
Fragen
Klare Antworten zur Compliance.
Sprechen Sie mit uns
Haben Sie eine konkrete Compliance-Frage?
Fragen Sie uns direkt – nach einem Sicherheitsfragebogen, einer bestimmten Kontrolle oder etwas, das diese Seite nicht abgedeckt hat.