Informativa sulla privacy.

La presente informativa spiega come Crown Stack Systems («noi», «ci», «ShieldID») raccoglie, utilizza, comunica, conserva e protegge le informazioni personali tramite il servizio di verifica dell'identità ShieldID e il sito web myshieldid.com (raggiungibile anche all'indirizzo shieldid.ca e myshieldid.ca). È redatta in modo da riflettere ciò che il prodotto fa effettivamente oggi e la aggiorniamo, insieme alla data indicata sopra, man mano che il servizio e la nostra revisione legale avanzano.

ShieldID viene generalmente utilizzato in due modi. Un'azienda (un «cliente») integra ShieldID per verificare l'identità dei propri richiedenti, clienti, locatari o assistiti (il «richiedente»). In tale rapporto, il cliente decide quale verifica eseguire e perché, ed è responsabile della propria informativa sulla privacy nei confronti dei propri richiedenti; ShieldID tratta le informazioni personali per conto del cliente al fine di erogare la verifica. Separatamente, se Lei visita questo sito web, compila un modulo di contatto o crea autonomamente un account sandbox, siamo direttamente responsabili di tali informazioni come descritto di seguito.

1. Responsabilità

Crown Stack Systems è responsabile delle informazioni personali sotto il proprio controllo, comprese quelle trasferite a terzi per il trattamento. Domande, richieste di accesso e reclami vanno indirizzati all'indirizzo di contatto riportato in fondo alla presente informativa e sono gestiti dal responsabile della conformità in materia di privacy di Crown Stack Systems.

Quando ci avvaliamo di altre aziende per fornire il servizio, ad esempio fornitori di infrastrutture o di comunicazioni, rimaniamo responsabili delle informazioni personali che condividiamo con esse e ci aspettiamo che le proteggano secondo uno standard coerente con la presente informativa.

2. Identificazione delle finalità

Identifichiamo il motivo per cui raccogliamo le informazioni personali prima o al momento della raccolta. Per una verifica dell'identità, tale finalità è: confermare l'identità del richiedente leggendo il suo documento d'identità governativo, confrontando un volto in tempo reale con la foto del documento, accertando la presenza di una persona reale (liveness) e segnalando indicatori di frode e di manomissione del documento, affinché l'azienda richiedente possa prendere la propria decisione.

• Per eseguire la verifica specifica richiesta dal cliente (lettura del documento, confronto del volto, liveness, indicatori di frode).
• Per consegnare il risultato al cliente che lo ha richiesto, tramite risposta API, webhook e dashboard.
• Per mantenere l'Activity Ledger — il registro append-only di Trust Ledger — per i clienti integrati con Trust Ledger; voci di registro equivalenti per un account API ShieldID autonomo saranno disponibili a breve.
• Per gestire, proteggere, supportare e fatturare il servizio, compreso il rilevamento di frodi o abusi della piattaforma stessa.
• Per i visitatori di questo sito web: rispondere all'invio di un modulo di contatto o gestire un account sviluppatore sandbox creato autonomamente.

3. Consenso

Il consenso informato viene ottenuto prima che le informazioni personali di un richiedente siano raccolte per la verifica, tramite il flusso di verifica stesso e, nel rapporto commerciale sottostante, tramite l'accordo del cliente con il proprio richiedente. Se un cliente richiede la verifica dell'identità dei propri richiedenti, il cliente è responsabile di assicurarsi di disporre di una base giuridica e di un consenso adeguato per farlo ai sensi della propria informativa sulla privacy: ShieldID non è parte di tale rapporto sottostante e non fornisce consulenza legale sul consenso richiesto dal Suo caso d'uso specifico.

Lei può revocare il consenso in qualsiasi momento, fatte salve le restrizioni legali o contrattuali, contattando noi o l'azienda che ha richiesto la Sua verifica; la revoca del consenso può comportare l'impossibilità di completare una verifica o di fornire un servizio.

4. Limitazione della raccolta

Raccogliamo solo le informazioni personali richieste dalla finalità dichiarata della verifica: le informazioni stampate e codificate su un documento d'identità governativo presentato (nome, data di nascita, numero del documento, scadenza, indirizzo se presente), una foto e un'acquisizione di liveness del volto del richiedente, e le informazioni tecniche necessarie per eseguire e registrare il controllo (ad esempio quali controlli sono stati eseguiti e il loro esito). Non raccogliamo più di quanto la verifica richieda e un documento non familiare o non standard viene letto per ciò che contiene, senza che ciò costituisca un motivo per richiedere informazioni aggiuntive non correlate.

5. Limitazione di utilizzo, comunicazione e conservazione

Utilizziamo le informazioni personali solo per le finalità sopra indicate e le comunichiamo solo al cliente che ha richiesto la verifica e ai fornitori di servizi che ne hanno bisogno per aiutarci a gestire la piattaforma, a meno che la legge non ci imponga o ci consenta di comunicarle diversamente (ad esempio, in risposta a una richiesta legale valida). Non vendiamo le informazioni personali dei richiedenti e non le utilizziamo per addestrare modelli.

La conservazione è l'ambito in cui possiamo essere più concreti. Le immagini dei documenti d'identità — le foto del documento e del selfie acquisite durante la verifica — vengono eliminate automaticamente dopo un breve periodo, per impostazione predefinita sette giorni, tramite un processo automatizzato eseguito con cadenza oraria. Il record di verifica in sé (l'avvenuta esecuzione di un controllo e il suo esito) viene conservato separatamente, per il tempo necessario a fornire il servizio, a supportare le esigenze di archiviazione e conformità del cliente e a rispettare i nostri obblighi legali e operativi; non è conservato a tempo indeterminato per scelta progettuale, ma una data di eliminazione fissa e specifica per tale record non è ancora stata definita. Impostazioni di conservazione configurabili per account, per i record di verifica del cliente, sono previste ma non ancora disponibili.

6. Accuratezza

Ci proponiamo di mantenere le informazioni personali accurate e complete quanto richiede la finalità di identificazione. Poiché ShieldID legge i campi da più fonti indipendenti presenti su un documento (la facciata stampata, il codice a barre e, per i passaporti, la zona a lettura ottica MRZ) e li confronta tra loro, una discrepanza tra le fonti viene segnalata come indicatore a sé stante anziché essere risolta silenziosamente. Se ritiene che le informazioni che deteniamo su di Lei siano inesatte, consulti la sezione «Accesso individuale» qui sotto.

7. Misure di sicurezza

Proteggiamo le informazioni personali con misure di sicurezza adeguate alla loro sensibilità. Le immagini dei documenti d'identità e la data di nascita del richiedente sono cifrate a riposo; il traffico verso il nostro servizio è cifrato in transito; l'accesso ai segreti e alle credenziali utilizzati dai nostri sistemi è centralizzato e controllato, anziché sparso nel codice o nella configurazione. Limitiamo l'accesso ai dati di verifica a quanto richiesto dal ruolo di ciascuno. Nessun sistema è perfettamente sicuro e continuiamo a investire in queste misure man mano che il servizio cresce.

8. Trasparenza

La presente informativa è pubblicata apertamente all'indirizzo myshieldid.com/privacy, in un linguaggio semplice, affinché non sia necessario essere un giurista per comprendere come trattiamo le informazioni personali. Se qualcosa non Le risulta chiaro, ci contatti e faremo del nostro meglio per spiegarlo in termini ancora più semplici.

9. Accesso individuale

Lei può chiederci quali informazioni personali che La riguardano deteniamo, come sono state utilizzate e a chi sono state comunicate, fatte salve le limitate eccezioni previste dalla legge. Se è stato verificato tramite ShieldID da un'azienda con cui ha un rapporto diretto (ad esempio un locatore o un istituto di credito), Le consigliamo di rivolgersi innanzitutto a tale azienda, poiché è essa a detenere il rapporto di base e di norma può risolvere direttamente la maggior parte delle richieste. Può anche contattarci direttamente all'indirizzo riportato in fondo a questa informativa; una visualizzazione completamente self-service della Sua cronologia di verifica, destinata ai richiedenti, è prevista ma non ancora disponibile, quindi oggi gestiamo queste richieste manualmente. Confermiamo la ricezione di ogni richiesta e rispondiamo entro i termini consentiti dalla PIPEDA, ovvero trenta giorni, salvo che la legge permetta una proroga.

10. Contestazione della conformità

Se ritiene che non abbiamo rispettato la presente informativa o la PIPEDA, può presentarci un reclamo ai recapiti indicati di seguito; lo esamineremo e Le risponderemo. Se non è soddisfatto della nostra risposta, può rivolgere il reclamo all'Office of the Privacy Commissioner of Canada. Se risiede in Quebec, può anche contattare la Commission d'accès à l'information du Québec.

Una nota per i residenti in Quebec: Law 25

La Law 25 del Quebec stabilisce requisiti aggiuntivi, in genere più rigorosi, oltre alla PIPEDA per le organizzazioni che trattano le informazioni personali dei residenti in Quebec, con particolare attenzione alle informazioni biometriche, direttamente rilevanti per la corrispondenza del volto e il rilevamento della liveness. Stiamo analizzando che cosa la Law 25 richieda specificamente per ShieldID, compresa la valutazione d'impatto sulla privacy ed eventuali informative specifiche sui dati biometrici, e aggiorneremo questa sezione al completamento del lavoro. Fino ad allora, un cliente del Quebec deve considerare la verifica biometrica dei residenti in Quebec come soggetta a una propria revisione ai sensi della Law 25.

Cookie e questo sito web

Il sito di marketing myshieldid.com è un sito web statico. Non eseguiamo su di esso script pubblicitari o di analisi di terze parti. Può utilizzare la memoria locale del Suo browser per ricordare una preferenza di visualizzazione, come la modalità chiara o scura; tali informazioni rimangono sul Suo dispositivo e non ci vengono mai inviate. Se Lei invia il modulo di contatto, le informazioni inserite vengono trasmesse al nostro servizio di gestione dei contatti per inoltrarci il Suo messaggio.

Dove vengono conservate le Sue informazioni

I dati di verifica dell'identità vengono elaborati e conservati sui nostri server in Canada: hardware autogestito su una rete privata, non un fornitore di cloud pubblico. Non trasferiamo i dati di verifica dei richiedenti al di fuori del Canada per erogare il servizio. Qualora ciò dovesse cambiare, questa sezione lo indicherà prima che avvenga.

Informazioni sui minori

ShieldID non è rivolto ai minori e non raccogliamo consapevolmente informazioni personali di minori tramite questo sito web. La verifica dell'identità è utilizzata dai nostri clienti sui propri richiedenti, secondo le proprie regole di idoneità (ad esempio, requisiti di età legati a una locazione o a un prodotto finanziario); tali regole appartengono al cliente, non a ShieldID.

Modifiche alla presente informativa

Potremmo aggiornare la presente informativa in base all'evoluzione del servizio o all'avanzamento della nostra revisione legale. In tal caso aggiorneremo la data di entrata in vigore indicata sopra. Le modifiche sostanziali saranno riportate qui prima che entrino in vigore.

Contattaci

Questions, access requests and complaints about this policy can be sent to [email protected] with “Privacy” in the subject line, or by post to Crown Stack Systems, Oshawa, Ontario, Canada.