컴플라이언스
PIPEDA처럼 미국에는 단일한 개인정보 보호법이 없습니다. 전체 현황과 저희가 제공하는 것을 안내해 드립니다.
많은 신뢰 페이지에 근거 없이 "준수"라는 말이 적혀 있습니다. 여기서는 ShieldID가 미국 법에 따른 귀사의 개인정보 보호 의무 이행을 위해 구체적으로 무엇을 하는지, 그리고 무엇을 하지 않는지 설명합니다.
미국의 개인정보 보호 환경
주별 종합 법률, 주별 생체정보 법률, 그리고 이미 적용받고 계신 업종별 규정이 있습니다.
미국에는 신원 확인을 포괄적으로 다루는 단일 연방 개인정보 보호법이 없습니다. 대신 여러 법이 모자이크처럼 나뉘어 있으며, ShieldID는 저희 업무와 관련된 부분에 맞춰 설계되었습니다.
- 캘리포니아의 CCPA/CPRA를 비롯한 주별 종합 개인정보 보호법은 소비자에게 열람, 삭제, 정정 권리와 개인정보 판매에 대한 거부 권리를 부여합니다.
- 주별 생체정보 보호법은 얼굴 대조와 라이브니스에 직접 적용됩니다. 일리노이의 BIPA, 텍사스의 CUBI, 워싱턴의 생체정보 보호법은 각각 생체 식별자의 수집과 처리에 대해 자체 규칙을 두고 있습니다.
- 많은 고객사가 주법에 더해 업종별 규정도 적용받습니다. 예를 들어 고객 신원 확인 프로그램(Customer Identification Program)을 운영하는 대출 기관이 그렇습니다. ShieldID의 항목별 판정과 증거는 그 절차를 대체하는 것이 아니라 절차에 활용되는 입력 자료로 설계되었습니다.
- 이러한 법률의 준수는 ShieldID를 사용하는 조직의 의무이며, 저희가 대신 인증해 드릴 수 있는 것이 아닙니다. 저희는 통제 기능과 기록을 제공하며, 이것이 귀사의 의무에 어떻게 부합하는지는 귀사의 법률 자문에게 문의하셔야 합니다.
저희의 뿌리
Crown Stack Systems는 캐나다 기업이며, 저희에게는 여전히 PIPEDA가 적용됩니다.
ShieldID는 온타리오주 오샤와에 본사를 둔 Crown Stack Systems가 만들었습니다. 캐나다 기업으로서 저희는 고객이 어디에 있든 저희가 다루는 개인정보에 대해 캐나다 연방 개인정보 보호법인 PIPEDA에 따른 책임을 집니다. 이는 저희에 관한 사실일 뿐, 미국 기업인 귀사의 준수 의무에 대한 주장이 아닙니다. 귀사의 의무는 위에서 설명한 주법 및 업종별 규정에 따라 정해지며, 이를 이행하는 것은 귀사의 몫입니다.
동의
가정하지 않고 흐름 안에서 받습니다.
신청자는 문서와 얼굴이 촬영되기 전에 무엇이 왜 수집되는지 확인합니다.
- 동의는 신분증과 얼굴을 촬영하기 전에 신청자 본인의 기기에서 확인 절차의 일부로 제시되며, 신청자가 열어 보지 않는 별도의 약관 페이지에 숨겨져 있지 않습니다.
- 동의 수락은 발생하는 즉시 Trust Ledger의 Activity Ledger에 EULA_ACCEPTED 이벤트로 기록됩니다. 생체 스캔에 특화된 별도의 동의 이벤트는 아직 없습니다.
- 이 동의가 다루는 이미지는 기본적으로 7일 후 자동 삭제되는 이미지이며, 자세한 내용은 보관 페이지에 설명되어 있습니다.
운영상의 통제
정책 문서집이 아니라 ShieldID가 실제로 제공하는 것입니다.
동의 수집
신청자는 신분증과 얼굴을 촬영하기 전에 본인 기기에서 수집되는 내용에 동의합니다. 동의 수락은 EULA_ACCEPTED 이벤트로 기록됩니다.
이미지 자동 삭제
신분증 이미지와 셀피는 기본적으로 7일 후 자동 삭제되며, 매시간 그리고 재시작할 때마다 다시 확인합니다.
개인정보 판매 없음
저희는 신청자의 개인정보를 어떤 이유로도 누구에게도 판매하지 않습니다.
모델 학습에 사용하지 않음
확인 이미지와 결과는 고객님의 확인을 제공하는 데에만 사용되며, 모델 학습에는 절대 사용되지 않습니다.
항목별 판정과 증거
문서, 얼굴 대조, 라이브니스 등 각 검사는 하나로 합산된 점수가 아니라 근거가 되는 증거와 함께 개별 판정으로 보고됩니다.
추가 전용(append-only) Activity Ledger
Trust Ledger 계정에서는 현재 사용할 수 있으며, 독립형 ShieldID API 계정에서는 곧 제공될 예정입니다.
2단계 인증
셀프 서비스 등록은 곧 제공됩니다. 계정에 TOTP 코드가 설정되면 포털이 로그인 시 이를 강제합니다.
주장만 하지 말고 증명하세요
Activity Ledger는 컴플라이언스를 검증할 수 있게 해 주는 수단입니다.
접근이 통제된다고 말하는 정책은 약속일 뿐입니다. 데이터베이스가 강제하며 모든 접근을 보여 주는 원장은 증거입니다. 이것이 저희가 지향하는 차별점이며, 로그인, 문서 접근, 인증 결과에는 이미 적용되어 있습니다.
인증
아직 보유한 인증은 없습니다. 얻지 못한 배지는 게시하지 않겠습니다.
현재 ShieldID에는 SOC 2, ISO 27001 또는 이와 유사한 인증이 없으며, 이 사이트 어디에서도 있는 것처럼 암시하지 않습니다. 또한 "CCPA 준수"나 "BIPA 준수"라는 것은 존재하지 않습니다. 이들은 데이터를 수집하는 기업에 의무를 부과하는 법이지, 공급업체가 통과할 수 있는 인증 프로그램이 아니며, 저희는 다르게 암시하지 않습니다. 향후 인증을 취득하면 발급일과 정확한 적용 범위와 함께 이곳에 게시하겠습니다.
한 가지 더
이 페이지는 법률 자문이 아닙니다.
이 내용은 ShieldID 플랫폼이 하는 일을 설명합니다. 이것이 주 개인정보 보호법, 일리노이 BIPA와 같은 생체정보 보호법, 대출 기관의 고객 신원 확인 프로그램 같은 업종별 규정, 또는 그 밖의 제도에 따른 귀사의 구체적인 의무를 충족하는지는 마케팅 페이지가 아니라 귀사의 법률 자문이나 개인정보 보호 책임자에게 문의하셔야 합니다.
문의