Zgodność
Zaprojektowano z myślą o zgodności z PIPEDA. Nie zastępuje Państwa własnej porady prawnej.
„Zgodne” to słowo drukowane na wielu stronach poświęconych zaufaniu, bez żadnego pokrycia. Oto konkretnie, co robi ShieldID, aby wspierać własne obowiązki Państwa organizacji w zakresie prywatności, a czego nie robi.
PIPEDA
Zbudowane wokół zasad minimalnego gromadzenia danych i ograniczenia celu, a nie dodane po fakcie.
Zasady PIPEDA przekładają się na decyzje produktowe, a nie na dokument polityki, którego nikt nie czyta.
- Gromadzimy to, czego wymaga decyzja weryfikacyjna – dokument tożsamości, selfie, pola z dokumentu – i nic ponadto.
- Obrazy dokumentów tożsamości są usuwane automatycznie po krótkim czasie, domyślnie po siedmiu dniach, zamiast być domyślnie przechowywane bezterminowo.
- Logowania, wyświetlenia dokumentów, wyniki weryfikacji i działania wywołane przez API są zapisywane w Rejestrze aktywności typu „tylko dopisywanie”. Dostęp do surowego obrazu dokumentu tożsamości przy każdym wyświetleniu nie jest jeszcze rejestrowanym zdarzeniem – jest to w przygotowaniu.
- Zgodność z PIPEDA jest obowiązkiem organizacji korzystającej z ShieldID, a nie czymś, co możemy poświadczyć w Państwa imieniu. Zapewniamy mechanizmy kontrolne i zapis; to, jak wpisują się one w obowiązki Państwa organizacji, jest pytaniem do Państwa inspektora ochrony prywatności lub radcy prawnego.
Prowincjonalne prawo o prywatności
Uwzględniliśmy quebeckie Law 25. Nie zostaliśmy jednak pod jego kątem poddani ocenie.
Reżimy prowincjonalne nakładają się na PIPEDA, a quebeckie Law 25 jest tym, które najprawdopodobniej będzie miało zastosowanie do kanadyjskiego procesu weryfikacji tożsamości. Jego kierunek – minimalne gromadzenie danych, jasna podstawa przetwarzania, udokumentowany zapis dostępu – uwzględniliśmy w sposobie, w jaki zbudowano ShieldID. Nie przeszliśmy formalnej oceny pod kątem Law 25 ani żadnego innego reżimu prowincjonalnego i nie będziemy twierdzić, że ją przeszliśmy, dopóki nie zostanie przeprowadzona. Jeśli Państwa organizacja działa w Quebecu, prosimy potwierdzić własne obowiązki z radcą prawnym, zamiast opierać się wyłącznie na tej stronie.
Zgoda
Uzyskiwana w trakcie procesu, a nie zakładana.
Wnioskodawca widzi, co jest zbierane i dlaczego, zanim zostaną zarejestrowane jego dokument i twarz.
- Zgoda jest przedstawiana wnioskodawcy na jego własnym urządzeniu, jako część samego procesu weryfikacji – a nie ukryta na osobnej stronie z warunkami, której nigdy nie otwiera.
- Akceptacja warunków podpisu elektronicznego jest zapisywana jako zdarzenie EULA_ACCEPTED w momencie, gdy do niej dochodzi. Osobne zdarzenie zgody dotyczące wprost skanu biometrycznego jeszcze nie istnieje.
- Obrazy objęte tą zgodą są tymi, które są automatycznie usuwane zgodnie z licznikiem retencji opisanym na stronie poświęconej retencji.
Kontrole operacyjne
Te elementy zgodności, które żyją w oprogramowaniu, a nie w segregatorze z politykami.
Uwierzytelnianie dwuskładnikowe
Wkrótce: samodzielne włączanie. Gdy na koncie zostanie ustawiony kod TOTP, portal wymusza go przy logowaniu.
Audyt typu „tylko dopisywanie”
Każde logowanie, wyświetlenie dokumentu, wynik weryfikacji i eksport są wpisywane do zapisu, którego sama baza danych nie pozwala nikomu edytować ani usuwać.
Udowodnić, a nie tylko zadeklarować
Rejestr aktywności sprawia, że zgodność można sprawdzić.
Polityka mówiąca, że dostęp jest kontrolowany, to obietnica. Rejestr pokazujący każdy dostęp, egzekwowany przez bazę danych, to dowód. Do tej różnicy dążymy i już teraz działa ona dla logowań, dostępu do dokumentów i wyników weryfikacji.
Certyfikaty
Jeszcze żadnych. Nie umieścimy odznaki, na którą nie zasłużyliśmy.
Dla ShieldID nie istnieje dziś żaden certyfikat SOC 2, ISO 27001 ani podobny i nic na tej stronie go nie sugeruje. Jeśli i kiedy go uzyskamy, pojawi się tutaj wraz z datą wydania i dokładnym zakresem – nigdy jako nieopisane logo w rzędzie odznak.
Jeszcze jedno
Ta strona nie stanowi porady prawnej.
Opisuje ona, co robi platforma ShieldID. To, czy spełnia to konkretne obowiązki Państwa organizacji wynikające z PIPEDA, prowincjonalnego prawa o prywatności lub jakiegokolwiek innego reżimu, jest pytaniem do Państwa radcy prawnego lub inspektora ochrony prywatności, a nie do strony marketingowej.
Pytania
Konkretne odpowiedzi o zgodności.
Porozmawiajmy
Mają Państwo konkretne pytanie dotyczące zgodności?
Proszę zapytać nas bezpośrednio – o kwestionariusz bezpieczeństwa, konkretny mechanizm kontrolny lub coś, czego ta strona nie obejmowała.