Conformité
Il n'existe pas de loi américaine unique sur la vie privée comme la PIPEDA. Voici le paysage, et ce que nous vous offrons.
« Conforme » figure sur de nombreuses pages de confiance sans rien pour l'étayer. Voici précisément ce que fait ShieldID pour appuyer les propres obligations de votre organisation en matière de protection des renseignements personnels en vertu du droit américain, et ce qu'il ne fait pas.
Le paysage américain de la vie privée
Des lois d'État générales, des lois d'État sur les données biométriques, et toute règle sectorielle que vous respectez déjà.
Il n'existe pas de loi fédérale unique sur la vie privée aux États-Unis qui couvre la vérification d'identité. Il y a plutôt une mosaïque de lois, et ShieldID est conçu en fonction des parties qui touchent ce que nous faisons.
- Les lois d'État générales sur la vie privée, comme la CCPA/CPRA de la Californie et une liste croissante d'autres lois, accordent aux consommateurs des droits tels que l'accès, la suppression, la correction et le droit de refuser la vente de leurs renseignements personnels.
- Les lois d'État sur la vie privée en matière de données biométriques s'appliquent directement à la comparaison faciale et à la preuve de vie. La BIPA de l'Illinois, la CUBI du Texas et la loi de Washington sur la vie privée biométrique établissent chacune leurs propres règles pour la collecte et le traitement des identifiants biométriques.
- Plusieurs de nos clients sont assujettis à une règle sectorielle en plus de la loi de l'État, par exemple un prêteur qui applique un programme d'identification des clients. Les verdicts par champ et les preuves de ShieldID sont conçus pour alimenter ce processus, et non pour le remplacer.
- La conformité à l'une ou l'autre de ces lois est une obligation de l'organisation qui utilise ShieldID, et non quelque chose que nous pouvons certifier en votre nom. Nous fournissons les contrôles et la trace; la façon dont ils s'arriment aux obligations de votre organisation est une question à poser à votre propre conseiller juridique.
Nos origines
Crown Stack Systems est une entreprise canadienne, et la PIPEDA s'applique toujours à nous.
ShieldID est conçu par Crown Stack Systems, établie à Oshawa, en Ontario. En tant qu'entreprise canadienne, nous sommes redevables en vertu de la loi fédérale canadienne sur la vie privée, la PIPEDA, des renseignements personnels que nous traitons, peu importe où se trouvent nos clients. Il s'agit d'un fait qui nous concerne, et non d'une affirmation sur vos propres obligations de conformité en tant qu'entreprise américaine; celles-ci sont établies par les règles des États et des secteurs décrites ci-dessus, et il vous revient de les respecter.
Consentement
Recueilli dans le parcours, et non présumé.
Un demandeur voit ce qui est recueilli et pourquoi avant que son document et son visage soient capturés.
- Le consentement est présenté au demandeur, sur son propre appareil, dans le cadre même du parcours de vérification, avant la capture de sa pièce d'identité et de son visage, et non enfoui dans une page de conditions distincte qu'il n'ouvre jamais.
- L'acceptation est consignée sous forme d'événement EULA_ACCEPTED dans le registre d'activité de Trust Ledger au moment même où elle survient. Un événement de consentement distinct, propre à la saisie biométrique, n'existe pas encore.
- Les images visées par ce consentement sont celles qui sont purgées automatiquement après sept jours par défaut, comme l'explique la page sur la conservation.
Contrôles opérationnels
Ce que ShieldID offre réellement, et non un cartable de politiques.
Saisie du consentement
Le demandeur accepte ce qui est recueilli, sur son propre appareil, avant la capture de sa pièce d'identité et de son visage. L'acceptation est consignée sous forme d'événement EULA_ACCEPTED.
Purge automatique des images
Les images de pièces d'identité et le égoportrait sont supprimés automatiquement après sept jours par défaut, avec une vérification toutes les heures et de nouveau après chaque redémarrage.
Aucune vente de renseignements personnels
Nous ne vendons les renseignements personnels des demandeurs à personne, pour aucune raison.
Non utilisées pour entraîner des modèles
Les images et les résultats de vérification servent à réaliser votre vérification, jamais à entraîner un modèle.
Verdicts et preuves par champ
Chaque contrôle, qu'il s'agisse du document, de la comparaison faciale ou de la preuve de vie, est rapporté sous forme de verdict distinct accompagné des preuves qui le sous-tendent, et non d'une note globale unique.
Registre d'activité en ajout seulement
Offert dès maintenant pour les comptes Trust Ledger; bientôt offert pour un compte API ShieldID autonome.
Authentification à deux facteurs
Bientôt offert pour l'inscription en libre-service. Une fois qu'un code TOTP est configuré sur un compte, le portail l'exige à la connexion.
Prouvez-le, ne vous contentez pas de l'affirmer
Le registre d'activité permet de garder la conformité vérifiable.
Une politique qui dit que l'accès est contrôlé est une promesse. Un registre qui montre chaque accès, appliqué par la base de données, est une preuve. C'est la différence vers laquelle nous travaillons, et elle est déjà en production pour les connexions, l'accès aux documents et les résultats de vérification.
Certifications
Aucune pour l'instant. Nous n'afficherons pas un badge que nous n'avons pas mérité.
Aucune certification SOC 2, ISO 27001 ou similaire n'existe actuellement pour ShieldID, et aucune n'est sous-entendue où que ce soit sur ce site. Il n'existe pas non plus de « conformité à la CCPA » ou de « conformité à la BIPA » en tant que telles; ce sont des lois qui créent des obligations pour l'entreprise qui recueille des données, et non des programmes de certification qu'un fournisseur peut réussir, et nous ne laisserons pas entendre le contraire. Si nous obtenons une certification à l'avenir, elle figurera ici avec sa date de délivrance et la portée exacte de ce qu'elle couvre.
Un dernier point
Cette page ne constitue pas un avis juridique.
Elle décrit ce que fait la plateforme ShieldID. Savoir si cela satisfait aux obligations propres à votre organisation en vertu d'une loi étatique sur la protection de la vie privée, d'une loi sur la protection des données biométriques comme la BIPA de l'Illinois, d'une règle sectorielle comme le programme d'identification de la clientèle d'un prêteur, ou de tout autre régime est une question à poser à votre propre conseiller juridique ou responsable de la protection de la vie privée, et non à une page de marketing.
Questions
Des réponses claires sur la conformité.
Parlez-nous
Vous avez une question précise sur la conformité ?
Posez-nous la question directement — pour un questionnaire de sécurité, un contrôle précis ou un sujet que cette page n'a pas couvert.