Zgodność
W USA nie ma jednej ustawy o prywatności, takiej jak PIPEDA. Oto przegląd regulacji i to, co Państwu oferujemy.
Słowo „zgodny” pojawia się na wielu stronach poświęconych zaufaniu bez żadnego pokrycia. Oto konkretnie, co ShieldID robi, aby wesprzeć własne obowiązki Państwa organizacji w zakresie prywatności wynikające z prawa USA, a czego nie robi.
Krajobraz prywatności w USA
Stanowe ustawy ogólne, stanowe ustawy o danych biometrycznych oraz każda regulacja branżowa, którą już Państwo stosują.
W USA nie ma jednej federalnej ustawy o prywatności obejmującej weryfikację tożsamości. Zamiast tego obowiązuje mozaika przepisów, a ShieldID został zbudowany z uwzględnieniem tych jej części, które dotyczą naszej działalności.
- Stanowe ustawy ogólne o prywatności, czyli CCPA/CPRA w Kalifornii i rosnąca lista innych, dają konsumentom takie prawa, jak dostęp, usunięcie, sprostowanie oraz prawo sprzeciwu wobec sprzedaży ich danych osobowych.
- Stanowe ustawy o prywatności danych biometrycznych mają bezpośrednie zastosowanie do dopasowania twarzy i wykrywania żywotności. Ustawa BIPA w Illinois, CUBI w Teksasie i stanowa ustawa o prywatności danych biometrycznych w Waszyngtonie ustanawiają własne zasady gromadzenia identyfikatorów biometrycznych i postępowania z nimi.
- Wielu naszych klientów podlega oprócz prawa stanowego także regulacjom branżowym, na przykład kredytodawca prowadzący Customer Identification Program. Werdykty dla poszczególnych pól i dowody generowane przez ShieldID zostały zaprojektowane tak, aby stanowić wkład do tego procesu, a nie jego zamiennik.
- Zgodność z którąkolwiek z tych regulacji jest obowiązkiem organizacji korzystającej z ShieldID, a nie czymś, co moglibyśmy poświadczyć w Państwa imieniu. Zapewniamy mechanizmy kontroli i zapis zdarzeń; to, jak odpowiadają one obowiązkom Państwa organizacji, jest kwestią do omówienia z własnym radcą prawnym.
Skąd pochodzimy
Crown Stack Systems jest firmą kanadyjską i PIPEDA nadal nas obowiązuje.
ShieldID jest tworzony przez Crown Stack Systems z siedzibą w Oshawa w prowincji Ontario. Jako firma kanadyjska odpowiadamy na gruncie kanadyjskiej federalnej ustawy o prywatności, PIPEDA, za dane osobowe, którymi się zajmujemy, niezależnie od tego, gdzie znajdują się nasi klienci. To fakt dotyczący nas, a nie twierdzenie o Państwa własnych obowiązkach w zakresie zgodności jako amerykańskiego przedsiębiorstwa; te określają opisane powyżej przepisy stanowe i branżowe i to Państwo odpowiadają za ich spełnienie.
Zgoda
Uzyskiwana w trakcie procesu, a nie zakładana.
Wnioskodawca widzi, co jest zbierane i dlaczego, zanim zostaną zarejestrowane jego dokument i twarz.
- Zgoda jest przedstawiana wnioskodawcy na jego własnym urządzeniu, w ramach samego procesu weryfikacji, zanim zostanie zarejestrowany jego dokument tożsamości i twarz, a nie ukryta na osobnej stronie regulaminu, której nigdy nie otwiera.
- Akceptacja jest rejestrowana jako zdarzenie EULA_ACCEPTED w Activity Ledger w Trust Ledger w momencie jej wystąpienia. Odrębne zdarzenie zgody dotyczącej konkretnie skanu biometrycznego jeszcze nie istnieje.
- Obrazy objęte tą zgodą to te, które są automatycznie usuwane po siedmiu dniach domyślnie, zgodnie z opisem na stronie poświęconej retencji.
Kontrole operacyjne
Co ShieldID faktycznie zapewnia, a nie segregator z politykami.
Rejestrowanie zgody
Wnioskodawca akceptuje zakres gromadzonych danych na własnym urządzeniu, zanim zostanie zarejestrowany jego dokument tożsamości i twarz. Akceptacja jest rejestrowana jako zdarzenie EULA_ACCEPTED.
Automatyczne usuwanie obrazów
Obrazy dokumentów tożsamości i selfie są automatycznie usuwane po siedmiu dniach domyślnie; sprawdzanie odbywa się co godzinę oraz po każdym ponownym uruchomieniu.
Brak sprzedaży danych osobowych
Nie sprzedajemy danych osobowych wnioskodawców nikomu i z żadnego powodu.
Brak wykorzystania do trenowania modeli
Obrazy weryfikacyjne i wyniki są wykorzystywane wyłącznie do przeprowadzenia Państwa weryfikacji, nigdy do trenowania modeli.
Werdykty i dowody dla poszczególnych pól
Każda kontrola, czyli dokument, dopasowanie twarzy i wykrywanie żywotności, jest raportowana jako odrębny werdykt wraz ze stojącymi za nim dowodami, a nie jako jedna zbiorcza ocena.
Activity Ledger tylko do dopisywania
Dostępne już dziś dla kont Trust Ledger; wkrótce dla samodzielnego konta API ShieldID.
Uwierzytelnianie dwuskładnikowe
Wkrótce: samodzielne włączanie. Gdy na koncie zostanie ustawiony kod TOTP, portal wymusza go przy logowaniu.
Udowodnić, a nie tylko zadeklarować
Rejestr aktywności sprawia, że zgodność można sprawdzić.
Polityka mówiąca, że dostęp jest kontrolowany, to obietnica. Rejestr pokazujący każdy dostęp, egzekwowany przez bazę danych, to dowód. Do tej różnicy dążymy i już teraz działa ona dla logowań, dostępu do dokumentów i wyników weryfikacji.
Certyfikaty
Jeszcze żadnych. Nie umieścimy odznaki, na którą nie zasłużyliśmy.
Dla ShieldID nie istnieje obecnie certyfikat SOC 2, ISO 27001 ani podobny i nigdzie na tej stronie nie sugerujemy inaczej. Nie istnieje też coś takiego jak bycie „zgodnym z CCPA” czy „zgodnym z BIPA”; są to ustawy nakładające obowiązki na przedsiębiorstwo gromadzące dane, a nie programy certyfikacji, które dostawca mógłby zaliczyć, i nie będziemy sugerować czegoś przeciwnego. Jeśli w przyszłości uzyskamy certyfikat, pojawi się tutaj wraz z datą wydania i dokładnym zakresem.
Jeszcze jedno
Ta strona nie stanowi porady prawnej.
Opisuje ona, co robi platforma ShieldID. To, czy spełnia to konkretne obowiązki Państwa organizacji wynikające ze stanowej ustawy o prywatności, ustawy o prywatności danych biometrycznych, takiej jak BIPA w Illinois, regulacji branżowej, jak Customer Identification Program kredytodawcy, lub jakiegokolwiek innego reżimu, jest kwestią do omówienia z własnym radcą prawnym lub inspektorem ochrony danych, a nie ze stroną marketingową.
Pytania
Konkretne odpowiedzi o zgodności.
Porozmawiajmy
Mają Państwo konkretne pytanie dotyczące zgodności?
Proszę zapytać nas bezpośrednio – o kwestionariusz bezpieczeństwa, konkretny mechanizm kontrolny lub coś, czego ta strona nie obejmowała.