Privacybeleid.

Dit beleid legt uit hoe Crown Stack Systems (“wij,” “ons,” “ShieldID”) persoonsgegevens verzamelt, gebruikt, verstrekt, bewaart en beschermt via de identiteitsverificatiedienst ShieldID en de website myshieldid.com (ook bereikbaar via shieldid.ca en myshieldid.ca). Het is opgesteld om weer te geven wat het product vandaag de dag daadwerkelijk doet, en wij werken het, en de datum hierboven, bij naarmate de dienst en onze juridische toetsing vorderen.

ShieldID wordt over het algemeen op twee manieren gebruikt. Een bedrijf (een “klant”) integreert ShieldID om de identiteit te verifiëren van zijn eigen aanvragers, klanten, huurders of cliënten (de “aanvrager”). In die relatie bepaalt de klant welke verificatie wordt uitgevoerd en waarom, en is de klant verantwoordelijk voor zijn eigen privacyverklaring aan zijn aanvragers; ShieldID verwerkt persoonsgegevens namens de klant om de verificatie uit te voeren. Daarnaast zijn wij zelf rechtstreeks verantwoordelijk voor de gegevens als u deze website bezoekt, een contactformulier invult of zelf een sandbox-account aanmaakt, zoals hieronder beschreven.

1. Verantwoordelijkheid

Crown Stack Systems is verantwoordelijk voor de persoonsgegevens onder zijn beheer, inclusief gegevens die voor verwerking aan derden zijn doorgegeven. Vragen, inzageverzoeken en klachten gaan naar het contactadres aan het einde van dit beleid en worden behandeld door de persoon die binnen Crown Stack Systems verantwoordelijk is voor naleving van de privacyregels.

Wanneer wij andere bedrijven inschakelen om de dienst te helpen leveren, bijvoorbeeld aanbieders van infrastructuur of communicatie, blijven wij verantwoordelijk voor de persoonsgegevens die wij met hen delen en verwachten wij dat zij deze beschermen volgens een norm die in overeenstemming is met dit beleid.

2. Doeleinden vaststellen

Wij stellen vast waarom wij persoonsgegevens verzamelen voordat of op het moment dat wij ze verzamelen. Bij een identiteitsverificatie is dat doel: de identiteit van de aanvrager bevestigen door zijn of haar overheidsidentiteitsbewijs te lezen, een live gezicht te vergelijken met de documentfoto, te bevestigen dat er een echt persoon aanwezig is (liveness), en signalen van fraude en documentmanipulatie te rapporteren, zodat het aanvragende bedrijf zelf een beslissing kan nemen.

• Om de specifieke verificatie uit te voeren die de klant heeft aangevraagd (documentlezing, gezichtsvergelijking, liveness, fraudesignalen).
• Om het resultaat te leveren aan de klant die het heeft aangevraagd, via API-respons, webhook en dashboard.
• Om het Activity Ledger bij te houden, het append-only register van Trust Ledger, voor klanten die met Trust Ledger zijn geïntegreerd; vergelijkbare registervermeldingen voor een zelfstandig ShieldID API-account volgen binnenkort.
• Om de dienst te beheren, te beveiligen, te ondersteunen en te factureren, waaronder het opsporen van fraude of misbruik van het platform zelf.
• Voor bezoekers van deze website: om een verzonden contactformulier te beantwoorden of een sandbox-ontwikkelaarsaccount te beheren dat u zelf aanmaakt.

3. Toestemming

Er wordt zinvolle toestemming verkregen voordat de persoonsgegevens van een aanvrager voor verificatie worden verzameld, via de verificatiestroom zelf en, in de onderliggende zakelijke relatie, via de eigen afspraken van de klant met zijn aanvrager. Als een klant identiteitsverificatie van zijn aanvragers verzoekt, is de klant ervoor verantwoordelijk dat hij daarvoor over een rechtmatige grondslag en passende toestemming beschikt op grond van zijn eigen privacyverklaring. ShieldID is geen partij bij die onderliggende relatie en geeft geen juridisch advies over welke toestemming uw specifieke toepassing vereist.

U kunt uw toestemming te allen tijde intrekken, met inachtneming van wettelijke of contractuele beperkingen, door contact op te nemen met ons of met het bedrijf dat uw verificatie heeft aangevraagd; het intrekken van toestemming kan betekenen dat een verificatie niet kan worden voltooid of een dienst niet kan worden geleverd.

4. Beperking van de verzameling

Wij verzamelen alleen de persoonsgegevens die het vermelde doel van een verificatie vereist: de gegevens die zijn afgedrukt en gecodeerd op een ingediend overheidsidentiteitsbewijs (naam, geboortedatum, documentnummer, vervaldatum, adres indien aanwezig), een foto en liveness-opname van het gezicht van de aanvrager, en de technische gegevens die nodig zijn om de controle uit te voeren en vast te leggen (zoals welke controles zijn uitgevoerd en wat de uitkomst was). Wij verzamelen niet meer dan de verificatie nodig heeft, en een onbekend of niet-standaard document wordt gelezen op wat het bevat, in plaats van als reden te dienen om aanvullende, niet-gerelateerde gegevens op te vragen.

5. Beperking van gebruik, verstrekking en bewaring

Wij gebruiken persoonsgegevens alleen voor de hierboven genoemde doeleinden en verstrekken ze alleen aan de klant die de verificatie heeft aangevraagd en aan dienstverleners die ze nodig hebben om ons te helpen het platform te beheren, tenzij wij wettelijk verplicht of toegestaan zijn ze anderszins te verstrekken (bijvoorbeeld naar aanleiding van een geldig juridisch verzoek). Wij verkopen de persoonsgegevens van aanvragers niet en gebruiken ze niet om modellen te trainen.

Bewaring is het gebied waarop wij het meest concreet kunnen zijn. Afbeeldingen van identiteitsbewijzen, de document- en selfiefoto's die tijdens de verificatie worden gemaakt, worden automatisch verwijderd na een korte termijn, standaard zeven dagen, door een geautomatiseerd proces dat elk uur wordt uitgevoerd. Het verificatierecord zelf (dat er een controle heeft plaatsgevonden, en de uitkomst ervan) wordt afzonderlijk bewaard, zolang als nodig is om de dienst te leveren, de eigen administratie- en compliancebehoeften van de klant te ondersteunen en aan onze eigen wettelijke en operationele verplichtingen te voldoen; het wordt door ontwerp niet onbeperkt bewaard, maar een specifieke vaste verwijderdatum voor dat record is nog niet vastgesteld. Configureerbare bewaarinstellingen per account voor de eigen verificatierecords van een klant zijn gepland en nog niet beschikbaar.

6. Juistheid

Wij streven ernaar persoonsgegevens zo juist en volledig te houden als het identificatiedoel vereist. Omdat ShieldID velden uit meerdere onafhankelijke bronnen op een document leest (de bedrukte voorzijde, de barcode en, bij paspoorten, de machineleesbare zone) en deze onderling vergelijkt, wordt een afwijking tussen bronnen als eigen signaal gerapporteerd in plaats van stilzwijgend opgelost. Als u van mening bent dat gegevens die wij over u bewaren onjuist zijn, zie dan hieronder “Individuele toegang.”

7. Beveiligingsmaatregelen

Wij beschermen persoonsgegevens met waarborgen die passen bij de gevoeligheid ervan. ID-afbeeldingen en de geboortedatum van een aanvrager worden versleuteld opgeslagen; het verkeer naar onze dienst wordt tijdens de overdracht versleuteld; de toegang tot geheimen en inloggegevens die onze systemen gebruiken is gecentraliseerd en beveiligd met toegangscontrole, in plaats van verspreid over code of configuratie. Wij beperken de toegang tot verificatiegegevens tot wat de functie van een medewerker vereist. Geen enkel systeem is volledig veilig, en wij blijven in deze waarborgen investeren naarmate de dienst groeit.

8. Openheid

Dit beleid is openbaar gepubliceerd op myshieldid.com/privacy, in begrijpelijke taal, zodat u geen jurist hoeft te zijn om te begrijpen hoe wij met persoonsgegevens omgaan. Als iets hierin onduidelijk is, neem dan contact met ons op en wij proberen het in nog eenvoudiger bewoordingen uit te leggen.

9. Inzage door betrokkenen

U kunt ons vragen welke persoonsgegevens wij over u bewaren, hoe deze zijn gebruikt en aan wie ze zijn verstrekt, behoudens beperkte door de wet toegestane uitzonderingen. Als u via ShieldID bent geverifieerd door een bedrijf met wie u een directe relatie heeft (bijvoorbeeld een verhuurder of een kredietverstrekker), raden wij aan om bij dat bedrijf te beginnen, aangezien dit bedrijf de onderliggende relatie heeft en de meeste verzoeken doorgaans rechtstreeks kan afhandelen. U kunt ook rechtstreeks contact met ons opnemen via het adres aan het einde van dit beleid; een volledig zelfbedienend overzicht van uw eigen verificatiegeschiedenis voor aanvragers is gepland maar nog niet beschikbaar, dus behandelen wij deze verzoeken momenteel handmatig. Wij bevestigen elk verzoek en reageren binnen de termijn die PIPEDA toestaat, namelijk dertig dagen, tenzij de wet een verlenging toestaat.

10. Naleving betwisten

Als u meent dat wij dit beleid of PIPEDA niet hebben nageleefd, kunt u via de onderstaande contactgegevens een klacht bij ons indienen, waarna wij die onderzoeken en beantwoorden. Als u niet tevreden bent met ons antwoord, kunt u uw klacht voorleggen aan het Office of the Privacy Commissioner of Canada. Als u inwoner van Quebec bent, kunt u ook contact opnemen met de Commission d'accès à l'information du Québec.

Een opmerking voor inwoners van Quebec: Law 25

Law 25 van Quebec stelt aanvullende, doorgaans strengere eisen bovenop PIPEDA voor organisaties die persoonsgegevens van inwoners van Quebec verwerken, met bijzondere aandacht voor biometrische gegevens — wat rechtstreeks relevant is voor gezichtsvergelijking en liveness-detectie. Wij zijn bezig uit te werken wat Law 25 specifiek voor ShieldID vereist, waaronder de privacy-effectbeoordeling en eventuele biometrie-specifieke openbaarmaking, en wij zullen dit gedeelte bijwerken zodra dat werk is afgerond. Tot die tijd dient een klant uit Quebec biometrische verificatie van inwoners van Quebec te beschouwen als een geval dat een eigen Law 25-beoordeling vereist.

Cookies en deze website

De marketingsite myshieldid.com is een statische website. Wij gebruiken daarop geen advertentie- of analysescripts van derden. De site kan de lokale opslag van uw browser gebruiken om een weergavevoorkeur te onthouden, zoals de lichte of donkere modus; die informatie blijft op uw apparaat en wordt nooit naar ons verzonden. Als u het contactformulier verstuurt, wordt de informatie die u invoert doorgestuurd naar onze contactafhandelingsdienst om uw bericht naar ons te routeren.

Waar uw gegevens worden opgeslagen

Gegevens voor identiteitsverificatie worden verwerkt en opgeslagen op onze eigen servers in Canada: zelfbeheerde hardware op een privénetwerk, niet bij een openbare cloudprovider. Wij verplaatsen de verificatiegegevens van aanvragers niet buiten Canada om de dienst te leveren. Mocht dat ooit veranderen, dan staat dit in deze sectie voordat het gebeurt.

Gegevens van kinderen

ShieldID richt zich niet op kinderen en wij verzamelen via deze website niet bewust persoonsgegevens van kinderen. Identiteitsverificatie wordt door onze klanten gebruikt voor hun eigen aanvragers, volgens hun eigen toelatingsregels (bijvoorbeeld leeftijdsvereisten die verband houden met een huurovereenkomst of een financieel product); die regels zijn van de klant, niet van ShieldID.

Wijzigingen in dit beleid

Wij kunnen dit beleid bijwerken naarmate de dienst verandert of onze juridische toetsing vordert. Wanneer wij dat doen, passen wij de ingangsdatum hierboven aan. Belangrijke wijzigingen worden hier vermeld voordat zij in werking treden.

Neem contact met ons op

Questions, access requests and complaints about this policy can be sent to [email protected] with “Privacy” in the subject line, or by post to Crown Stack Systems, Oshawa, Ontario, Canada.