Política de privacidad.

Esta política explica cómo Crown Stack Systems (“nosotros,” “nos,” “ShieldID”) recopila, usa, divulga, conserva y protege la información personal a través del servicio de verificación de identidad ShieldID y el sitio web myshieldid.com (al que también se accede mediante shieldid.ca y myshieldid.ca). Está redactada para reflejar lo que el producto realmente hace hoy, y la actualizamos, junto con la fecha indicada arriba, a medida que avanzan el servicio y nuestra revisión legal.

ShieldID se utiliza, por lo general, de dos maneras. Una empresa (un “cliente”) integra ShieldID para verificar la identidad de sus propios solicitantes, clientes, inquilinos o usuarios (el “solicitante”). En esa relación, el cliente decide qué verificación realizar y por qué, y es responsable de su propio aviso de privacidad para sus solicitantes; ShieldID procesa la información personal en nombre del cliente para llevar a cabo la verificación. Por separado, si usted visita este sitio web, completa un formulario de contacto o crea usted mismo una cuenta de entorno de pruebas (sandbox), somos directamente responsables de esa información, tal como se describe a continuación.

1. Responsabilidad

Crown Stack Systems es responsable de la información personal bajo su control, incluida la información transferida a terceros para su procesamiento. Las preguntas, solicitudes de acceso y quejas se dirigen a la dirección de contacto que figura al final de esta política y son atendidas por la persona responsable del cumplimiento en materia de privacidad en Crown Stack Systems.

Cuando recurrimos a otras empresas para ayudar a prestar el servicio, por ejemplo, proveedores de infraestructura o de comunicaciones, seguimos siendo responsables de la información personal que compartimos con ellas, y esperamos que la protejan con un estándar acorde con esta política.

2. Identificación de los fines

Identificamos por qué recopilamos información personal antes o en el momento de recopilarla. En una verificación de identidad, ese fin es: confirmar la identidad del solicitante mediante la lectura de su documento de identidad oficial, comparar un rostro en vivo con la foto del documento, confirmar que hay una persona real presente (prueba de vida) e informar señales de fraude y de alteración del documento, para que la empresa solicitante pueda tomar su propia decisión.

• Para realizar la verificación específica que el cliente solicitó (lectura del documento, comparación facial, prueba de vida, señales de fraude).
• Para entregar el resultado al cliente que lo solicitó, mediante respuesta de API, webhook y panel.
• Para mantener el Registro de actividad (el registro de solo adición de Trust Ledger) para los clientes integrados con Trust Ledger; las entradas de registro equivalentes para una cuenta independiente de la API de ShieldID estarán disponibles próximamente.
• Para operar, proteger, brindar soporte y facturar el servicio, incluida la detección de fraude o abuso de la propia plataforma.
• Para los visitantes de este sitio web: responder al envío de un formulario de contacto u operar una cuenta de desarrollador en el entorno de pruebas (sandbox) que usted mismo cree.

3. Consentimiento

Se obtiene un consentimiento significativo antes de recopilar la información personal de un solicitante para la verificación, a través del propio flujo de verificación y, en la relación comercial subyacente, mediante el acuerdo del cliente con su solicitante. Si un cliente solicita la verificación de identidad de sus solicitantes, el cliente es responsable de asegurarse de contar con una base legal y el consentimiento adecuado para hacerlo conforme a su propio aviso de privacidad; ShieldID no es parte de esa relación subyacente y no brinda asesoría legal sobre qué consentimiento requiere su caso de uso específico.

Usted puede retirar su consentimiento en cualquier momento, sujeto a restricciones legales o contractuales, comunicándose con nosotros o con la empresa que solicitó su verificación; retirar el consentimiento puede implicar que no se pueda completar una verificación o que no se pueda prestar un servicio.

4. Limitación de la recopilación

Recopilamos únicamente la información personal que requiere el fin declarado de la verificación: la información impresa y codificada en un documento de identidad oficial presentado (nombre, fecha de nacimiento, número de documento, vencimiento y domicilio cuando exista), una foto y una captura de prueba de vida del rostro del solicitante, y la información técnica necesaria para ejecutar y registrar la comprobación (como qué comprobaciones se ejecutaron y su resultado). No recopilamos más de lo que la verificación necesita, y un documento desconocido o no estándar se lee por lo que contiene en lugar de usarse como motivo para solicitar información adicional no relacionada.

5. Limitación del uso, la divulgación y la conservación

Usamos la información personal únicamente para los fines identificados anteriormente y solo la divulgamos al cliente que solicitó la verificación y a los proveedores de servicios que la necesitan para ayudarnos a operar la plataforma, a menos que la ley nos exija o nos permita divulgarla de otra manera (por ejemplo, en respuesta a una solicitud legal válida). No vendemos la información personal de los solicitantes ni la usamos para entrenar modelos.

La conservación es el ámbito en el que podemos ser más concretos. Las imágenes de los documentos de identidad (las fotos del documento y del selfi capturadas durante la verificación) se eliminan automáticamente en un plazo corto, de siete días de forma predeterminada, mediante un proceso automatizado que se ejecuta cada hora. El registro de la verificación en sí (que se realizó una comprobación y su resultado) se conserva por separado, durante el tiempo necesario para prestar el servicio, respaldar las necesidades de mantenimiento de registros y de cumplimiento del propio cliente, y cumplir nuestras propias obligaciones legales y operativas; por diseño no se conserva indefinidamente, pero aún no se ha definido una fecha fija específica de eliminación para ese registro. Está prevista, pero aún no disponible, una configuración de conservación por cuenta para los registros de verificación propios de un cliente.

6. Exactitud

Nos esforzamos por mantener la información personal tan precisa y completa como lo requiera la finalidad de la identificación. Dado que ShieldID lee campos de múltiples fuentes independientes de un documento (la cara impresa, el código de barras y, en el caso de los pasaportes, la zona legible por máquina) y los coteja entre sí, una discrepancia entre fuentes se informa como una señal propia en lugar de resolverse silenciosamente. Si usted considera que la información que conservamos sobre usted es inexacta, consulte “Acceso individual”, más abajo.

7. Medidas de seguridad

Protegemos la información personal con medidas de seguridad acordes con su sensibilidad. Las imágenes de los documentos de identidad y la fecha de nacimiento del solicitante se cifran en reposo; el tráfico hacia nuestro servicio se cifra en tránsito; el acceso a los secretos y credenciales que utilizan nuestros sistemas está centralizado y controlado, en lugar de estar disperso en el código o la configuración. Limitamos quién puede acceder a los datos de verificación a lo que su función requiere. Ningún sistema es perfectamente seguro, y seguimos invirtiendo en estas medidas a medida que el servicio crece.

8. Transparencia

Esta política se publica abiertamente en myshieldid.com/privacy, en lenguaje sencillo, para que usted no necesite ser abogado para entender cómo manejamos la información personal. Si algo de lo aquí expuesto no queda claro, contáctenos y haremos nuestro mayor esfuerzo por explicarlo en términos aún más sencillos.

9. Acceso individual

Usted puede preguntarnos qué información personal tenemos sobre usted, cómo se ha utilizado y a quién se ha divulgado, con sujeción a las excepciones limitadas que permite la ley. Si usted fue verificado a través de ShieldID por una empresa con la que mantiene una relación directa (por ejemplo, un arrendador o un prestamista), le recomendamos comenzar por esa empresa, ya que es quien mantiene la relación de fondo y por lo general puede resolver directamente la mayoría de las solicitudes. También puede contactarnos directamente en la dirección que figura al final de esta política; está planificada una vista totalmente de autoservicio, dirigida al solicitante, de su propio historial de verificación, pero aún no está disponible, por lo que hoy atendemos estas solicitudes manualmente. Acusamos recibo de cada solicitud y respondemos dentro del plazo que permite PIPEDA, que es de treinta días, a menos que la ley permita una prórroga.

10. Impugnación del cumplimiento

Si usted considera que no hemos cumplido con esta política o con PIPEDA, puede presentarnos una queja mediante los datos de contacto que aparecen a continuación, y la investigaremos y responderemos. Si no está satisfecho con nuestra respuesta, puede elevar su queja a la Oficina del Comisionado de Privacidad de Canadá. Si es residente de Quebec, también puede comunicarse con la Commission d'accès à l'information du Québec.

Una nota para residentes de Quebec: Law 25

La Law 25 de Quebec establece requisitos adicionales, por lo general más estrictos, además de los de PIPEDA para las organizaciones que manejan información personal de residentes de Quebec, con especial atención a la información biométrica, lo cual es directamente relevante para la comparación facial y la detección de prueba de vida. Estamos analizando qué exige la Law 25 específicamente para ShieldID, incluida la evaluación de impacto sobre la privacidad y cualquier divulgación específica sobre datos biométricos, y actualizaremos esta sección cuando concluya ese trabajo. Mientras tanto, un cliente de Quebec debe considerar que la verificación biométrica de residentes de Quebec requiere su propia revisión conforme a la Law 25.

Cookies y este sitio web

El sitio de marketing myshieldid.com es un sitio web estático. No ejecutamos en él scripts de publicidad ni de analítica de terceros. Puede usar el almacenamiento local de su navegador para recordar una preferencia de visualización, como el modo claro u oscuro; esa información permanece en su dispositivo y nunca se nos envía. Si envía el formulario de contacto, la información que ingrese se envía a nuestro servicio de gestión de contactos para dirigirnos su mensaje.

Dónde se almacena su información

Los datos de verificación de identidad se procesan y almacenan en nuestros propios servidores en Canadá: hardware autogestionado en una red privada, no un proveedor de nube pública. No trasladamos fuera de Canadá los datos de verificación de los solicitantes para prestar el servicio. Si esto cambiara alguna vez, esta sección lo indicará antes de que ocurra.

Información de menores

ShieldID no está dirigido a menores y no recopilamos a sabiendas información personal de menores a través de este sitio web. La verificación de identidad es utilizada por nuestros clientes con sus propios solicitantes, conforme a sus propias reglas de elegibilidad (por ejemplo, requisitos de edad vinculados a un arrendamiento o a un producto financiero); esas reglas corresponden al cliente, no a ShieldID.

Cambios a esta política

Podemos actualizar esta política a medida que cambie el servicio o avance nuestra revisión legal. Cuando lo hagamos, actualizaremos la fecha de vigencia indicada arriba. Los cambios importantes se reflejarán aquí antes de que entren en vigor.

Contáctenos

Questions, access requests and complaints about this policy can be sent to [email protected] with “Privacy” in the subject line, or by post to Crown Stack Systems, Oshawa, Ontario, Canada.