Cumplimiento normativo
Diseñado para alinearse con PIPEDA. No sustituye su propio asesoramiento legal.
"Cumple con la normativa" se imprime en muchas páginas de confianza sin nada que lo respalde. Aquí se detalla específicamente qué hace ShieldID para apoyar las obligaciones de privacidad de su propia organización, y qué no hace.
PIPEDA
Construido en torno a la recopilación mínima y la limitación de la finalidad, no añadido después.
Los principios de PIPEDA se reflejan en decisiones de producto, no en un documento de políticas que nadie lee.
- Recopilamos lo que necesita una decisión de verificación (el documento de identidad, una selfie y los campos del documento) y nada más.
- Las imágenes de los documentos de identidad se purgan automáticamente con un temporizador corto, siete días por defecto, en lugar de conservarse indefinidamente por defecto.
- Los inicios de sesión, las visualizaciones de documentos, los resultados de verificación y las acciones realizadas mediante API se registran en un Registro de actividad de solo adición. El acceso por visualización a una imagen original de un documento de identidad aún no es un evento registrado; eso está en camino.
- El cumplimiento de PIPEDA es una obligación de la organización que usa ShieldID, no algo que podamos certificar en su nombre. Lo que ofrecemos son los controles y el registro; cómo se ajustan a las obligaciones de su organización es una pregunta para su propio oficial de privacidad o asesor legal.
Legislación provincial de privacidad
Hemos tenido en cuenta la Law 25 de Quebec. No hemos sido evaluados conforme a ella.
Los regímenes provinciales se suman a PIPEDA, y la Law 25 de Quebec es el que con mayor probabilidad aplica a un flujo canadiense de verificación de identidad. Hemos incorporado su orientación (recopilación mínima, una base clara para el tratamiento y un registro documentado de los accesos) en la forma en que está construido ShieldID. No hemos pasado por una evaluación formal conforme a la Law 25 ni a ningún otro régimen provincial, y no afirmaremos haberla pasado hasta que exista. Si su organización opera en Quebec, confirme sus propias obligaciones con un asesor legal en lugar de basarse únicamente en esta página.
Consentimiento
Se obtiene dentro del flujo, no se da por sentado.
Un solicitante ve qué se recopila y por qué antes de que se capturen su documento y su rostro.
- El consentimiento se presenta al solicitante, en su propio dispositivo, como parte del propio flujo de verificación, y no enterrado en una página de términos aparte que nunca abre.
- La aceptación de los términos de firma electrónica se registra como un evento EULA_ACCEPTED en el momento en que ocurre. Aún no existe un evento de consentimiento independiente y específico para el escaneo biométrico.
- Las imágenes a las que se refiere ese consentimiento son las que se purgan automáticamente con el temporizador de conservación descrito en la página de conservación.
Controles operativos
Las partes del cumplimiento que viven en el software, no en la carpeta de políticas.
Autenticación de dos factores
Próximamente para la inscripción de autoservicio. Una vez que se configura un código TOTP en una cuenta, el portal lo exige al iniciar sesión.
Auditoría de solo adición
Cada inicio de sesión, visualización de documento, resultado de verificación y exportación se anota en un registro que la propia base de datos no permite que nadie edite ni elimine.
Demostrarlo, no solo afirmarlo
El Registro de actividad es lo que permite que el cumplimiento se pueda comprobar.
Una política que dice que el acceso está controlado es una promesa. Un registro que muestra cada acceso, garantizado por la base de datos, es evidencia. Esa es la diferencia hacia la que estamos trabajando, y ya está disponible para los inicios de sesión, el acceso a documentos y los resultados de verificación.
Certificaciones
Aún no tenemos ninguna. No mostraremos una insignia que no nos hayamos ganado.
Hoy no existe ninguna certificación SOC 2, ISO 27001 ni similar para ShieldID, y no se sugiere ninguna en ninguna parte de este sitio. Si alguna vez obtenemos una, aparecerá aquí con la fecha en que se emitió y exactamente lo que cubre, nunca como un logotipo sin etiqueta en una fila de insignias.
Una cosa más
Esta página no constituye asesoramiento legal.
Describe lo que hace la plataforma ShieldID. Si eso satisface las obligaciones específicas de su organización conforme a PIPEDA, la legislación provincial de privacidad o cualquier otro régimen es una pregunta para su propio asesor legal u oficial de privacidad, no para una página de marketing.
Preguntas
Respuestas directas sobre cumplimiento.
Hable con nosotros
¿Tiene una pregunta específica sobre cumplimiento?
Pregúntenos directamente: por un cuestionario de seguridad, un control específico o algo que esta página no cubrió.