Compliance
Er bestaat geen enkele Amerikaanse privacywet zoals PIPEDA. Hier is het speelveld, en wat wij u bieden.
"Compliant" staat op veel vertrouwenspagina's zonder dat er iets achter zit. Hier staat concreet wat ShieldID doet om de eigen privacyverplichtingen van uw organisatie onder Amerikaanse wetgeving te ondersteunen, en wat het niet doet.
Het Amerikaanse privacylandschap
Algemene privacywetten van staten, biometrische wetten van staten en welke sectorregel u al hanteert.
Er is in de VS geen enkele federale privacywet die identiteitsverificatie regelt. In plaats daarvan is er een lappendeken, en ShieldID is gebouwd rond de onderdelen daarvan die raken aan wat wij doen.
- Algemene privacywetten van staten, zoals de CCPA/CPRA in Californië en een groeiende lijst van andere, geven consumenten rechten zoals inzage, verwijdering, correctie en het recht om bezwaar te maken tegen de verkoop van hun persoonsgegevens.
- Biometrische privacywetten van staten zijn rechtstreeks van toepassing op gezichtsvergelijking en liveness. De BIPA van Illinois, de CUBI van Texas en de biometrische privacywet van Washington stellen elk hun eigen regels voor het verzamelen en verwerken van biometrische identificatiegegevens.
- Veel van onze klanten hebben bovenop de wetgeving van de staat een sectorregel, bijvoorbeeld een kredietverstrekker met een klantidentificatieprogramma (Customer Identification Program). De verdicten per veld en het bewijsmateriaal van ShieldID zijn bedoeld als input voor dat proces, niet als vervanging ervan.
- Naleving van deze regels is een verplichting van de organisatie die ShieldID gebruikt, niet iets wat wij namens u kunnen certificeren. Wij bieden de controles en het dossier; hoe die aansluiten op de verplichtingen van uw organisatie is een vraag voor uw eigen juridisch adviseur.
Waar wij vandaan komen
Crown Stack Systems is Canadees, en PIPEDA is nog steeds op ons van toepassing.
ShieldID is gebouwd door Crown Stack Systems, gevestigd in Oshawa, Ontario. Als Canadees bedrijf zijn wij op grond van de Canadese federale privacywet PIPEDA verantwoordelijk voor de persoonsgegevens die wij verwerken, ongeacht waar onze klanten zich bevinden. Dat is een feit over ons, geen bewering over uw eigen nalevingsverplichtingen als Amerikaans bedrijf; die worden bepaald door de hierboven beschreven regels van staten en sectoren, en het is aan u om daaraan te voldoen.
Toestemming
Vastgelegd in de flow, niet aangenomen.
Een aanvrager ziet wat er wordt verzameld en waarom, voordat het document en het gezicht worden vastgelegd.
- De toestemming wordt aan de aanvrager voorgelegd, op het eigen apparaat, als onderdeel van de verificatiestroom zelf, voordat ID en gezicht worden vastgelegd, en niet verstopt op een aparte voorwaardenpagina die nooit wordt geopend.
- De acceptatie wordt op het moment zelf vastgelegd als een EULA_ACCEPTED-gebeurtenis in de Activity Ledger van Trust Ledger. Een aparte toestemmingsgebeurtenis specifiek voor biometrische scans bestaat nog niet.
- De afbeeldingen waarop die toestemming betrekking heeft, zijn dezelfde die standaard na zeven dagen automatisch worden verwijderd, zoals beschreven op de pagina over bewaartermijnen.
Operationele controlemaatregelen
Wat ShieldID daadwerkelijk biedt, geen beleidsmap.
Vastlegging van toestemming
De aanvrager accepteert wat er wordt verzameld, op het eigen apparaat, voordat ID en gezicht worden vastgelegd. De acceptatie wordt vastgelegd als een EULA_ACCEPTED-gebeurtenis.
Automatische verwijdering van afbeeldingen
ID-afbeeldingen en de selfie worden standaard na zeven dagen automatisch verwijderd, elk uur gecontroleerd en opnieuw na elke herstart.
Geen verkoop van persoonsgegevens
Wij verkopen de persoonsgegevens van aanvragers niet, aan niemand, om welke reden dan ook.
Niet gebruikt om modellen te trainen
Verificatieafbeeldingen en -resultaten worden gebruikt om uw verificatie uit te voeren, nooit om een model te trainen.
Verdicten en bewijsmateriaal per veld
Elke controle, document, gezichtsvergelijking en liveness, wordt gerapporteerd als een eigen verdict met het bewijsmateriaal erachter, niet als één gebundelde score.
Activity Ledger waaraan alleen kan worden toegevoegd
Vandaag beschikbaar voor Trust Ledger-accounts; binnenkort beschikbaar voor een zelfstandig ShieldID API-account.
Tweefactorauthenticatie
Binnenkort beschikbaar voor self-serve-inschrijving. Zodra een TOTP-code voor een account is ingesteld, dwingt het portaal die af bij het aanmelden.
Bewijs het, beweer het niet alleen
Het Activiteitenregister houdt compliance controleerbaar.
Een beleid dat zegt dat toegang beheerst wordt, is een belofte. Een register dat elke toegang toont, afgedwongen door de database, is bewijs. Dat is het verschil waar we naartoe werken, en het is al live voor aanmeldingen, documenttoegang en verificatieresultaten.
Certificeringen
Nog geen. We drukken geen badge af die we niet hebben verdiend.
Er bestaat vandaag geen SOC 2-, ISO 27001- of vergelijkbare certificering voor ShieldID, en nergens op deze site wordt er een gesuggereerd. Ook bestaat er niet zoiets als "CCPA-compliant" of "BIPA-compliant" zijn; dit zijn wetten die verplichtingen scheppen voor de onderneming die gegevens verzamelt, geen certificeringsprogramma's die een leverancier kan doorstaan, en wij zullen niets anders suggereren. Als wij in de toekomst een certificering hebben, verschijnt die hier met de datum van afgifte en precies wat ze dekt.
Nog één ding
Deze pagina is geen juridisch advies.
Het beschrijft wat het ShieldID-platform doet. Of dat voldoet aan de specifieke verplichtingen van uw organisatie onder een privacywet van een staat, een biometrische privacywet zoals de BIPA van Illinois, een sectorregel zoals het klantidentificatieprogramma van een kredietverstrekker, of enig ander regime, is een vraag voor uw eigen juridisch adviseur of privacyfunctionaris, niet voor een marketingpagina.
Vragen
Duidelijke antwoorden over compliance.
Neem contact met ons op
Heeft u een specifieke compliancevraag?
Vraag het ons rechtstreeks — voor een beveiligingsvragenlijst, een specifieke controlemaatregel of iets wat deze pagina niet behandelde.