Cumplimiento normativo
No existe una única ley de privacidad en EE. UU. como PIPEDA. Este es el panorama y lo que le ofrecemos.
"Cumple con la normativa" aparece en muchas páginas de confianza sin nada que lo respalde. Aquí se detalla específicamente qué hace ShieldID para apoyar las obligaciones de privacidad de su propia organización conforme a la ley de EE. UU., y qué no hace.
El panorama de privacidad en EE. UU.
Leyes estatales integrales, leyes estatales de datos biométricos y cualquier norma sectorial que ya deba cumplir.
No existe una ley federal de privacidad única en EE. UU. que abarque la verificación de identidad. En su lugar hay un mosaico de normas, y ShieldID está diseñado en torno a las partes que se relacionan con lo que hacemos.
- Las leyes estatales integrales de privacidad, la CCPA/CPRA de California y una lista creciente de otras, otorgan a los consumidores derechos como el acceso, la eliminación, la corrección y el derecho a optar por no participar en la venta de su información personal.
- Las leyes estatales de privacidad biométrica se aplican directamente a la comparación facial y a la prueba de vida. La BIPA de Illinois, la CUBI de Texas y la ley de privacidad biométrica de Washington establecen cada una sus propias reglas para recopilar y manejar identificadores biométricos.
- Muchos de nuestros clientes deben cumplir una norma sectorial además de la ley estatal, por ejemplo un prestamista que ejecuta un Programa de Identificación de Clientes. Los veredictos por campo y la evidencia de ShieldID están pensados para ser un insumo de ese proceso, no un reemplazo.
- El cumplimiento de cualquiera de estas normas es una obligación de la organización que usa ShieldID, no algo que podamos certificar en su nombre. Lo que ofrecemos son los controles y el registro; cómo se ajustan a las obligaciones de su organización es una pregunta para su propio asesor legal.
De dónde venimos
Crown Stack Systems es canadiense, y PIPEDA sigue aplicándonos.
ShieldID es creado por Crown Stack Systems, con sede en Oshawa, Ontario. Como empresa canadiense, somos responsables conforme a la ley federal de privacidad de Canadá, PIPEDA, por la información personal que manejamos, sin importar dónde estén nuestros clientes. Es un hecho sobre nosotros, no una afirmación sobre las obligaciones de cumplimiento de su propia empresa estadounidense; esas las fijan las normas estatales y sectoriales descritas arriba, y le corresponde a usted cumplirlas.
Consentimiento
Se obtiene dentro del flujo, no se da por sentado.
Un solicitante ve qué se recopila y por qué antes de que se capturen su documento y su rostro.
- El consentimiento se presenta al solicitante, en su propio dispositivo, como parte del propio flujo de verificación, antes de capturar su documento de identidad y su rostro, y no escondido en una página de términos aparte que nunca abre.
- La aceptación se registra como un evento EULA_ACCEPTED en el Registro de actividad de Trust Ledger en el momento en que ocurre. Todavía no existe un evento de consentimiento aparte, específico para el escaneo biométrico.
- Las imágenes a las que se refiere ese consentimiento son las que se eliminan automáticamente después de siete días de forma predeterminada, como se describe en la página de conservación.
Controles operativos
Lo que ShieldID realmente ofrece, no una carpeta de políticas.
Captura del consentimiento
El solicitante acepta lo que se recopila, en su propio dispositivo, antes de que se capture su documento de identidad y su rostro. La aceptación se registra como un evento EULA_ACCEPTED.
Eliminación automática de imágenes
Las imágenes del documento de identidad y la selfie se eliminan automáticamente después de siete días de forma predeterminada, con una revisión cada hora y otra después de cada reinicio.
Sin venta de información personal
No vendemos la información personal de los solicitantes, a nadie, por ningún motivo.
No se usa para entrenar modelos
Las imágenes y los resultados de verificación se usan para prestar su servicio de verificación, nunca para entrenar un modelo.
Veredictos y evidencia por campo
Cada comprobación (documento, comparación facial, prueba de vida) se informa como su propio veredicto con la evidencia que lo respalda, no como una puntuación combinada.
Registro de actividad de solo anexado (append-only)
Disponible hoy para cuentas de Trust Ledger; próximamente para una cuenta independiente de la API de ShieldID.
Autenticación de dos factores
Próximamente para la inscripción de autoservicio. Una vez que se configura un código TOTP en una cuenta, el portal lo exige al iniciar sesión.
Demostrarlo, no solo afirmarlo
El Registro de actividad es lo que permite que el cumplimiento se pueda comprobar.
Una política que dice que el acceso está controlado es una promesa. Un registro que muestra cada acceso, garantizado por la base de datos, es evidencia. Esa es la diferencia hacia la que estamos trabajando, y ya está disponible para los inicios de sesión, el acceso a documentos y los resultados de verificación.
Certificaciones
Aún no tenemos ninguna. No mostraremos una insignia que no nos hayamos ganado.
Hoy no existe para ShieldID ninguna certificación SOC 2, ISO 27001 ni similar, y no se insinúa ninguna en este sitio. Tampoco existe algo como ser "conforme con la CCPA" o "conforme con la BIPA"; son leyes que crean obligaciones para la empresa que recopila datos, no programas de certificación que un proveedor pueda aprobar, y no insinuaremos lo contrario. Si en el futuro obtenemos una certificación, aparecerá aquí con la fecha de emisión y exactamente qué cubre.
Una cosa más
Esta página no constituye asesoramiento legal.
Describe lo que hace la plataforma ShieldID. Si eso satisface las obligaciones específicas de su organización conforme a una ley estatal de privacidad, una ley de privacidad biométrica como la BIPA de Illinois, una norma sectorial como el Programa de Identificación de Clientes de un prestamista, o cualquier otro régimen, es una pregunta para su propio asesor legal o responsable de privacidad, no para una página de marketing.
Preguntas
Respuestas directas sobre cumplimiento.
Hable con nosotros
¿Tiene una pregunta específica sobre cumplimiento?
Pregúntenos directamente: por un cuestionario de seguridad, un control específico o algo que esta página no cubrió.