コンプライアンス
PIPEDA に沿うよう設計されています。ただし、お客様ご自身の法的助言に代わるものではありません。
多くのトラストページには、裏付けのないまま「準拠」と記載されています。ここでは、貴社ご自身のプライバシー上の義務を ShieldID が具体的にどのように支援するか、そして何を行わないかをご説明します。
PIPEDA
後付けではなく、最小限の収集と目的の限定を軸に構築されています。
PIPEDA の原則は、誰も読まない方針文書ではなく、製品上の判断として反映されています。
- 収集するのは、確認の判断に必要なもの（ID、自撮り写真、書類上の項目）のみで、それ以外は収集しません。
- ID 画像は、デフォルトで無期限に保持されるのではなく、短い期間（デフォルトは 7 日間）で自動的に消去されます。
- サインイン、ドキュメントの閲覧、確認結果、API による操作は、追記専用の Activity Ledger に記録されます。生の ID 画像に対する閲覧ごとのアクセスは、まだ記録されるイベントではありません。こちらは今後対応予定です。
- PIPEDA への準拠は、ShieldID を利用する組織の義務であり、私たちが貴社に代わって認証できるものではありません。私たちが提供するのは、統制の仕組みと記録です。それらが貴社の義務にどう適合するかは、貴社のプライバシー責任者または法律顧問にご確認ください。
州のプライバシー法
ケベック州の Law 25 については検討していますが、それに対する評価は受けていません。
州の制度は PIPEDA に上乗せされるもので、ケベック州の Law 25 は、カナダでの本人確認ワークフローに適用される可能性が最も高いものです。ShieldID の構築にあたっては、その方向性（最小限の収集、処理の明確な根拠、アクセスの文書化された記録）を考慮しています。ただし、Law 25 やその他の州の制度に対する正式な評価は受けておらず、それが存在するまでは評価を受けたと主張することはありません。貴社がケベック州で事業を行う場合は、このページのみに頼らず、ご自身の義務について法律顧問にご確認ください。
同意
前提とするのではなく、フローの中で取得します。
申請者は、書類と顔が撮影される前に、何が何の目的で収集されるのかを確認できます。
- 同意は、誰も開かない別の利用規約ページに埋もれさせるのではなく、確認フロー自体の一部として、申請者ご自身のデバイス上で提示されます。
- 電子署名規約への同意は、その時点で EULA_ACCEPTED イベントとして記録されます。生体スキャンに特化した個別の同意イベントは、まだ存在しません。
- その同意の対象となる画像は、保持ページに記載されている保持タイマーにより自動的に消去される画像です。
運用上の統制
ポリシーのファイルではなく、ソフトウェアの中にあるコンプライアンスの要素です。
二要素認証
セルフサービスでの登録は近日公開予定です。アカウントに TOTP コードが設定されると、ポータルはサインイン時にそれを必須とします。
追記専用の監査
すべてのサインイン、ドキュメントの閲覧、確認結果、エクスポートは、データベース自体が誰による編集や削除も受け付けない記録に登録されます。
主張するだけでなく、証明する
Activity Ledger は、コンプライアンスを検証可能な状態に保つ仕組みです。
アクセスが管理されていると述べるポリシーは約束にすぎません。すべてのアクセスを示し、データベースによって強制される台帳こそが証拠です。私たちが目指しているのはその違いであり、サインイン、ドキュメントへのアクセス、確認結果についてはすでに稼働しています。
認証
現時点で取得しているものはありません。取得していないバッジは掲載しません。
ShieldID は現在、SOC 2、ISO 27001 などの認証を取得しておらず、このサイトのどこにも、取得していることを示唆する記載はありません。今後取得した場合は、発行日と対象範囲を明記してここに掲載します。ラベルのないロゴをバッジの列に並べることは決してありません。
もう一点
このページは法的助言ではありません。
このページでは、ShieldID プラットフォームが行うことを説明しています。それが PIPEDA、州のプライバシー法、その他の制度に基づく貴社固有の義務を満たすかどうかは、マーケティングページではなく、貴社ご自身の法律顧問またはプライバシー責任者にご確認ください。
ご質問