Conformité
Conçu pour s'harmoniser avec la PIPEDA. Ne remplace pas vos propres conseils juridiques.
« Conforme » figure sur de nombreuses pages de confiance sans rien pour l'étayer. Voici précisément ce que fait ShieldID pour appuyer les propres obligations de votre organisation en matière de protection des renseignements personnels, et ce qu'il ne fait pas.
PIPEDA
Conçu autour de la collecte minimale et de la limitation des fins, et non greffé après coup.
Les principes de la PIPEDA se traduisent en décisions de produit, et non en un document de politique que personne ne lit.
- Nous recueillons ce dont une décision de vérification a besoin — la pièce d'identité, un égoportrait, les champs du document — et rien de plus.
- Les images de pièces d'identité sont purgées automatiquement selon une courte minuterie, sept jours par défaut, plutôt que conservées indéfiniment par défaut.
- Les connexions, les consultations de documents, les résultats de vérification et les actions pilotées par API sont consignés dans un registre d'activité en ajout seulement. La consultation individuelle d'une image brute de pièce d'identité n'est pas encore un événement consigné — c'est à venir.
- La conformité à la PIPEDA est une obligation de l'organisation qui utilise ShieldID, et non quelque chose que nous pouvons certifier en votre nom. Nous fournissons les contrôles et l'enregistrement; la façon dont ils s'arriment aux obligations de votre organisation est une question pour votre propre responsable de la protection de la vie privée ou votre conseiller juridique.
Lois provinciales sur la protection de la vie privée
Nous avons tenu compte de la Law 25 du Québec. Nous n'avons pas été évalués par rapport à celle-ci.
Les régimes provinciaux s'ajoutent à la PIPEDA, et la Law 25 du Québec est celui qui est le plus susceptible de s'appliquer à un parcours canadien de vérification d'identité. Nous avons intégré son orientation — collecte minimale, fondement clair du traitement, registre documenté des accès — dans la conception de ShieldID. Nous n'avons fait l'objet d'aucune évaluation formelle par rapport à la Law 25 ni à aucun autre régime provincial, et nous n'en revendiquerons aucune tant qu'elle n'existera pas. Si votre organisation exerce ses activités au Québec, confirmez vos propres obligations auprès d'un conseiller juridique plutôt que de vous fier uniquement à cette page.
Consentement
Recueilli dans le parcours, et non présumé.
Un demandeur voit ce qui est recueilli et pourquoi avant que son document et son visage soient capturés.
- Le consentement est présenté au demandeur, sur son propre appareil, dans le cadre même du parcours de vérification — et non enfoui dans une page de conditions distincte qu'il n'ouvre jamais.
- L'acceptation des conditions de signature électronique est consignée comme un événement EULA_ACCEPTED au moment où elle survient. Un événement de consentement distinct, propre à la numérisation biométrique, n'existe pas encore.
- Les images visées par ce consentement sont celles qui sont purgées automatiquement selon la minuterie de conservation décrite sur la page de conservation.
Contrôles opérationnels
Les volets de la conformité qui résident dans le logiciel, et non dans le cartable de politiques.
Authentification à deux facteurs
Bientôt offert pour l'inscription en libre-service. Une fois qu'un code TOTP est configuré sur un compte, le portail l'exige à la connexion.
Audit en ajout seulement
Chaque connexion, consultation de document, résultat de vérification et exportation est inscrit dans un registre que la base de données elle-même refuse de laisser quiconque modifier ou supprimer.
Prouvez-le, ne vous contentez pas de l'affirmer
Le registre d'activité permet de garder la conformité vérifiable.
Une politique qui dit que l'accès est contrôlé est une promesse. Un registre qui montre chaque accès, appliqué par la base de données, est une preuve. C'est la différence vers laquelle nous travaillons, et elle est déjà en production pour les connexions, l'accès aux documents et les résultats de vérification.
Certifications
Aucune pour l'instant. Nous n'afficherons pas un badge que nous n'avons pas mérité.
Aucune certification SOC 2, ISO 27001 ou similaire n'existe pour ShieldID aujourd'hui, et aucune n'est sous-entendue où que ce soit sur ce site. Si nous en obtenons une, elle apparaîtra ici avec sa date d'émission et exactement ce qu'elle couvre — jamais comme un logo sans légende dans une rangée de badges.
Un dernier point
Cette page ne constitue pas un avis juridique.
Elle décrit ce que fait la plateforme ShieldID. Déterminer si cela satisfait les obligations propres à votre organisation en vertu de la PIPEDA, des lois provinciales sur la protection des renseignements personnels ou de tout autre régime relève de votre propre conseiller juridique ou de votre responsable de la protection des renseignements personnels, et non d'une page marketing.
Questions
Des réponses claires sur la conformité.
Parlez-nous
Vous avez une question précise sur la conformité ?
Posez-nous la question directement — pour un questionnaire de sécurité, un contrôle précis ou un sujet que cette page n'a pas couvert.