Compliance
Ontworpen om aan te sluiten bij PIPEDA. Geen vervanging voor uw eigen juridisch advies.
"Compliant" staat op veel vertrouwenspagina's zonder dat er iets achter zit. Hier staat specifiek wat ShieldID doet om de eigen privacyverplichtingen van uw organisatie te ondersteunen, en wat het niet doet.
PIPEDA
Gebouwd rond minimale gegevensverzameling en doelbinding, niet achteraf toegevoegd.
De principes van PIPEDA komen terug als productbeslissingen, niet als een beleidsdocument dat niemand leest.
- Wij verzamelen wat een verificatiebeslissing nodig heeft — het ID, een selfie, de velden op het document — en niets meer.
- ID-afbeeldingen worden automatisch verwijderd na een korte termijn, standaard zeven dagen, in plaats van standaard onbeperkt te worden bewaard.
- Aanmeldingen, documentweergaven, verificatieresultaten en via de API uitgevoerde acties worden vastgelegd in een append-only Activiteitenregister. Toegang per weergave tot een ruwe ID-afbeelding is nog geen vastgelegde gebeurtenis — dat is onderweg.
- Naleving van PIPEDA is een verplichting van de organisatie die ShieldID gebruikt, niet iets wat wij namens u kunnen certificeren. Wij leveren de controlemaatregelen en het dossier; hoe die aansluiten op de verplichtingen van uw organisatie is een vraag voor uw eigen privacyfunctionaris of juridisch adviseur.
Provinciale privacywetgeving
We hebben Law 25 van Quebec in overweging genomen. We zijn er niet aan getoetst.
Provinciale regelgeving komt bovenop PIPEDA, en Law 25 van Quebec is de wet die het waarschijnlijkst van toepassing is op een Canadese identiteitsverificatiewerkstroom. We hebben de strekking ervan — minimale gegevensverzameling, een duidelijke verwerkingsgrondslag, een gedocumenteerd toegangsdossier — meegenomen in de manier waarop ShieldID is gebouwd. We hebben geen formele beoordeling aan Law 25 of enige andere provinciale regelgeving ondergaan, en we beweren dat pas als die er is. Als uw organisatie in Quebec actief is, bevestig dan uw eigen verplichtingen met een juridisch adviseur in plaats van u alleen op deze pagina te verlaten.
Toestemming
Vastgelegd in de flow, niet aangenomen.
Een aanvrager ziet wat er wordt verzameld en waarom, voordat het document en het gezicht worden vastgelegd.
- Toestemming wordt op het eigen apparaat van de aanvrager gepresenteerd als onderdeel van de verificatieflow zelf — niet verstopt op een aparte voorwaardenpagina die nooit wordt geopend.
- Acceptatie van de voorwaarden voor de e-handtekening wordt op het moment zelf vastgelegd als een EULA_ACCEPTED-gebeurtenis. Een aparte toestemmingsgebeurtenis specifiek voor biometrische scans bestaat nog niet.
- De afbeeldingen waarop die toestemming betrekking heeft, zijn dezelfde die automatisch worden verwijderd volgens de bewaartermijn die op de bewaarpagina wordt beschreven.
Operationele controlemaatregelen
De onderdelen van compliance die in de software zitten, niet in de beleidsmap.
Tweefactorauthenticatie
Binnenkort beschikbaar voor self-serve-inschrijving. Zodra een TOTP-code voor een account is ingesteld, dwingt het portaal die af bij het aanmelden.
Append-only audit
Elke aanmelding, documentweergave, verificatieresultaat en export wordt ingevoerd in een dossier dat de database zelf niemand laat bewerken of verwijderen.
Bewijs het, beweer het niet alleen
Het Activiteitenregister houdt compliance controleerbaar.
Een beleid dat zegt dat toegang beheerst wordt, is een belofte. Een register dat elke toegang toont, afgedwongen door de database, is bewijs. Dat is het verschil waar we naartoe werken, en het is al live voor aanmeldingen, documenttoegang en verificatieresultaten.
Certificeringen
Nog geen. We drukken geen badge af die we niet hebben verdiend.
Er bestaat vandaag geen SOC 2-, ISO 27001- of vergelijkbare certificering voor ShieldID, en nergens op deze site wordt dat gesuggereerd. Als en wanneer we er een bezitten, verschijnt die hier met de datum van uitgifte en precies wat ze dekt — nooit als een ongelabeld logo in een rij badges.
Nog één ding
Deze pagina is geen juridisch advies.
Ze beschrijft wat het ShieldID-platform doet. Of dat voldoet aan de specifieke verplichtingen van uw organisatie onder PIPEDA, provinciale privacywetgeving of enige andere regelgeving, is een vraag voor uw eigen juridisch adviseur of privacyfunctionaris, niet voor een marketingpagina.
Vragen
Duidelijke antwoorden over compliance.
Neem contact met ons op
Heeft u een specifieke compliancevraag?
Vraag het ons rechtstreeks — voor een beveiligingsvragenlijst, een specifieke controlemaatregel of iets wat deze pagina niet behandelde.