コンプライアンス
PIPEDA のような単一の米国プライバシー法はありません。ここでは全体像と、弊社が提供するものをご説明します。
多くのトラストページに「準拠」という言葉が裏付けなく掲載されています。ここでは、米国法の下でお客様の組織ご自身が負うプライバシー上の義務を支えるために ShieldID が具体的に行うこと、そして行わないことをご説明します。
米国のプライバシー法の全体像
州の包括的プライバシー法、州の生体情報法、そしてすでにお客様が遵守されている業種別の規則です。
米国には、本人確認を対象とする単一の連邦プライバシー法はありません。代わりに複数の法令が寄せ集めのように存在しており、ShieldID は、そのうち弊社の業務に関わる部分を前提に構築されています。
- 州の包括的プライバシー法(カリフォルニア州の CCPA/CPRA や、増え続けるその他の法律)は、消費者に、アクセス、削除、訂正の権利や、個人情報の販売をオプトアウトする権利などを認めています。
- 州の生体情報プライバシー法は、顔照合やライブネス検知に直接適用されます。イリノイ州の BIPA、テキサス州の CUBI、ワシントン州の生体情報プライバシー法は、それぞれ生体識別子の収集と取り扱いについて独自の規則を定めています。
- 多くのお客様は、州法に加えて業種別の規則も遵守されています。たとえば、顧客確認プログラム(Customer Identification Program)を運用する貸金業者などです。ShieldID のフィールドごとの判定と証跡は、そのプロセスへの入力情報となるように設計されており、プロセスの代替ではありません。
- これらの法令の遵守は、ShieldID を利用する組織の義務であり、弊社がお客様に代わって認証できるものではありません。弊社が提供するのは、各種のコントロールと記録です。それらがお客様の組織の義務にどう適合するかは、ご自身の顧問弁護士にご相談ください。
弊社のルーツ
Crown Stack Systems はカナダの企業であり、弊社には今も PIPEDA が適用されます。
ShieldID は、オンタリオ州オシャワに拠点を置く Crown Stack Systems が開発しています。カナダの企業として、弊社は、お客様の所在地にかかわらず、取り扱う個人情報についてカナダの連邦プライバシー法である PIPEDA に基づく責任を負っています。これは弊社についての事実であり、米国の事業者であるお客様ご自身のコンプライアンス上の義務についての主張ではありません。お客様の義務は上記の州法や業種別の規則によって定まるものであり、それらを遵守する責任はお客様にあります。
同意
前提とするのではなく、フローの中で取得します。
申請者は、書類と顔が撮影される前に、何が何の目的で収集されるのかを確認できます。
- 同意は、本人確認フローの一部として、申込者ご自身のデバイス上で、IDと顔を撮影する前に提示されます。申込者が開くことのない別の利用規約ページに埋もれさせることはありません。
- 同意の受諾は、その時点で Trust Ledger の Activity Ledger に EULA_ACCEPTED イベントとして記録されます。生体スキャンに特化した個別の同意イベントは、まだ存在しません。
- この同意の対象となる画像は、リテンションのページで説明しているとおり、デフォルトで7日後に自動的に消去されるものです。
運用上の統制
ポリシー集ではなく、ShieldID が実際に提供するものです。
同意の取得
申込者は、IDと顔を撮影する前に、ご自身のデバイス上で、収集される内容に同意します。同意の受諾は EULA_ACCEPTED イベントとして記録されます。
画像の自動消去
ID画像と自撮り画像は、デフォルトで7日後に自動的に削除されます。確認は1時間ごとに行われ、再起動のたびにも行われます。
個人情報の販売は行いません
弊社は、申込者の個人情報を、いかなる相手にも、いかなる理由でも販売しません。
モデルの学習には使用しません
確認用の画像と結果は、お客様の本人確認を提供するためにのみ使用し、モデルの学習には決して使用しません。
フィールドごとの判定と証跡
書類、顔照合、ライブネスといった各チェックは、ひとまとめのスコアではなく、その根拠となる証跡とともに、それぞれ個別の判定として報告されます。
追記専用の Activity Ledger
Trust Ledger アカウントではすでにご利用いただけます。単体の ShieldID API アカウントでは近日提供予定です。
二要素認証
セルフサービスでの登録は近日公開予定です。アカウントに TOTP コードが設定されると、ポータルはサインイン時にそれを必須とします。
主張するだけでなく、証明する
Activity Ledger は、コンプライアンスを検証可能な状態に保つ仕組みです。
アクセスが管理されていると述べるポリシーは約束にすぎません。すべてのアクセスを示し、データベースによって強制される台帳こそが証拠です。私たちが目指しているのはその違いであり、サインイン、ドキュメントへのアクセス、確認結果についてはすでに稼働しています。
認証
現時点で取得しているものはありません。取得していないバッジは掲載しません。
現在、ShieldID には SOC 2、ISO 27001 などの認証はなく、このサイトのどこにもそれらを示唆する記載はありません。また、「CCPA準拠」や「BIPA準拠」というものも存在しません。これらはデータを収集する事業者に義務を課す法律であり、ベンダーが合格できる認証制度ではありません。弊社もそのように示唆することはいたしません。将来、認証を取得した場合は、発行日と対象範囲を正確に明記して、ここに掲載します。
もう一点
このページは法的助言ではありません。
これは ShieldID プラットフォームが行うことを説明したものです。それが、州のプライバシー法、イリノイ州の BIPA などの生体情報プライバシー法、貸金業者の顧客確認プログラムのような業種別の規則、その他の制度の下でのお客様の組織固有の義務を満たすかどうかは、マーケティングページではなく、ご自身の顧問弁護士またはプライバシー責任者にご確認ください。
ご質問