Conformità
Progettato per essere allineato a PIPEDA. Non sostituisce la Sua consulenza legale.
"Conforme" compare su moltissime pagine dedicate alla fiducia senza nulla che lo sostenga. Ecco, nello specifico, ciò che ShieldID fa per supportare gli obblighi di privacy della Sua organizzazione e ciò che non fa.
PIPEDA
Costruito attorno alla minimizzazione della raccolta e alla limitazione delle finalità, non aggiunte a posteriori.
I principi di PIPEDA si traducono in decisioni di prodotto, non in un documento di policy che nessuno legge.
- Raccogliamo ciò che serve a una decisione di verifica — il documento d'identità, un selfie, i campi presenti sul documento — e nient'altro.
- Le immagini dei documenti d'identità vengono eliminate automaticamente dopo un breve intervallo, per impostazione predefinita sette giorni, anziché essere conservate a tempo indeterminato.
- Accessi, visualizzazioni dei documenti, esiti delle verifiche e azioni eseguite tramite API vengono registrati in un Activity Ledger append-only. L'accesso alla singola immagine originale di un documento non è ancora un evento registrato: è in arrivo.
- La conformità a PIPEDA è un obbligo dell'organizzazione che utilizza ShieldID, non qualcosa che possiamo certificare per Suo conto. Noi forniamo i controlli e la registrazione; come essi si inseriscano negli obblighi della Sua organizzazione è una questione per il Suo responsabile della privacy o per il Suo consulente legale.
Normativa provinciale sulla privacy
Abbiamo tenuto conto della Law 25 del Québec. Non siamo stati valutati rispetto ad essa.
I regimi provinciali si sovrappongono a PIPEDA, e la Law 25 del Québec è quello con maggiore probabilità di applicarsi a un flusso canadese di verifica dell'identità. Abbiamo integrato il suo orientamento — raccolta minima, una chiara base per il trattamento, una registrazione documentata degli accessi — nel modo in cui ShieldID è costruito. Non siamo stati sottoposti a una valutazione formale rispetto alla Law 25 né ad alcun altro regime provinciale, e non dichiareremo di esserlo finché non esisterà. Se la Sua organizzazione opera in Québec, verifichi i Suoi obblighi con un consulente legale anziché affidarsi esclusivamente a questa pagina.
Consenso
Acquisito nel flusso, non dato per scontato.
Il richiedente vede cosa viene raccolto e perché prima che il suo documento e il suo volto vengano acquisiti.
- Il consenso viene presentato al richiedente, sul suo dispositivo, come parte del flusso di verifica stesso — non sepolto in una pagina di termini separata che non apre mai.
- L'accettazione dei termini di firma elettronica viene registrata come evento EULA_ACCEPTED nel momento in cui avviene. Un evento di consenso separato, specifico per la scansione biometrica, non esiste ancora.
- Le immagini oggetto di tale consenso sono quelle eliminate automaticamente secondo il timer di conservazione descritto nella pagina sulla conservazione.
Controlli operativi
Gli aspetti della conformità che risiedono nel software, non nel raccoglitore delle policy.
Autenticazione a due fattori
Presto disponibile per l'iscrizione self-service. Una volta impostato un codice TOTP su un account, il portale lo richiede all'accesso.
Audit append-only
Ogni accesso, visualizzazione di documento, esito di verifica ed esportazione viene inserito in una registrazione che il database stesso si rifiuta di lasciare modificare o eliminare a chiunque.
Dimostrarlo, non solo affermarlo
L'Activity Ledger è ciò che mantiene la conformità verificabile.
Una policy che afferma che l'accesso è controllato è una promessa. Un registro che mostra ogni accesso, garantito dal database, è una prova. È la differenza verso cui stiamo lavorando, ed è già attiva per gli accessi, l'accesso ai documenti e gli esiti delle verifiche.
Certificazioni
Nessuna per ora. Non mostreremo un badge che non ci siamo guadagnati.
Oggi non esiste alcuna certificazione SOC 2, ISO 27001 o simile per ShieldID, e nessuna è sottintesa in alcuna parte di questo sito. Se e quando ne otterremo una, comparirà qui con la data di emissione e l'esatto ambito coperto — mai come un logo privo di didascalia in una fila di badge.
Un'ultima cosa
Questa pagina non costituisce consulenza legale.
Descrive ciò che fa la piattaforma ShieldID. Stabilire se ciò soddisfi gli obblighi specifici della Sua organizzazione ai sensi di PIPEDA, della normativa provinciale sulla privacy o di qualsiasi altro regime è una questione per il Suo consulente legale o responsabile della privacy, non per una pagina di marketing.
Domande
Risposte chiare sulla conformità.
Parli con noi
Ha una domanda specifica sulla conformità?
Ce la ponga direttamente — per un questionario di sicurezza, un controllo specifico o qualcosa che questa pagina non ha trattato.