Política de privacidade.

Esta política explica como a Crown Stack Systems (“nós” ou “ShieldID”) coleta, usa, divulga, retém e protege informações pessoais por meio do serviço de verificação de identidade ShieldID e do site myshieldid.com (também acessado em shieldid.ca e myshieldid.ca). Ela foi escrita para refletir o que o produto realmente faz hoje, e a atualizamos, assim como a data acima, conforme o serviço e nossa revisão jurídica avançam.

O ShieldID geralmente é usado de duas formas. Uma empresa (um “cliente”) integra o ShieldID para verificar a identidade de seus próprios solicitantes, clientes, locatários ou contratantes (o “solicitante”). Nessa relação, o cliente decide qual verificação executar e por quê, e é responsável por seu próprio aviso de privacidade aos solicitantes; o ShieldID processa informações pessoais em nome do cliente para realizar a verificação. Separadamente, se você visita este site, preenche um formulário de contato ou cria por conta própria uma conta sandbox, somos diretamente responsáveis por essas informações, conforme descrito abaixo.

1. Responsabilidade

A Crown Stack Systems é responsável pelas informações pessoais sob seu controle, inclusive as transferidas a terceiros para processamento. Dúvidas, solicitações de acesso e reclamações devem ser enviadas ao endereço de contato indicado no final desta política e são tratadas pela pessoa responsável pela conformidade de privacidade na Crown Stack Systems.

Quando usamos outras empresas para ajudar a prestar o serviço — por exemplo, provedores de infraestrutura ou de comunicações — continuamos responsáveis pelas informações pessoais que compartilhamos com elas e esperamos que as protejam em um nível compatível com esta política.

2. Identificação das finalidades

Identificamos o motivo da coleta de informações pessoais antes ou no momento em que as coletamos. Em uma verificação de identidade, essa finalidade é: confirmar a identidade do solicitante lendo seu documento de identidade oficial, comparando um rosto ao vivo com a foto do documento, confirmando que há uma pessoa real presente (prova de vida) e relatando sinais de fraude e de adulteração do documento, para que a empresa solicitante tome sua própria decisão.

• Realizar a verificação específica solicitada pelo cliente (leitura do documento, comparação facial, prova de vida, sinais de fraude).
• Entregar o resultado ao cliente que o solicitou, por resposta da API, webhook e painel.
• Manter o Activity Ledger — o registro somente de adição do Trust Ledger — para clientes integrados ao Trust Ledger; registros equivalentes no ledger para uma conta de API ShieldID independente estarão disponíveis em breve.
• Operar, proteger, prestar suporte e faturar o serviço, incluindo a detecção de fraude ou abuso da própria plataforma.
• Para visitantes deste site: responder ao envio de um formulário de contato ou operar uma conta de desenvolvedor sandbox que você mesmo criar.

3. Consentimento

O consentimento válido é obtido antes de as informações pessoais do solicitante serem coletadas para verificação, por meio do próprio fluxo de verificação e, na relação comercial subjacente, por meio do acordo do cliente com seu solicitante. Se um cliente solicita a verificação de identidade de seus solicitantes, ele é responsável por garantir que tem uma base legal e o consentimento adequado para isso, conforme seu próprio aviso de privacidade — o ShieldID não é parte dessa relação subjacente e não oferece aconselhamento jurídico sobre qual consentimento o seu caso de uso específico exige.

Você pode retirar o consentimento a qualquer momento, sujeito a restrições legais ou contratuais, entrando em contato conosco ou com a empresa que solicitou a sua verificação; retirar o consentimento pode significar que uma verificação não possa ser concluída ou que um serviço não possa ser prestado.

4. Limitação da coleta

Coletamos apenas as informações pessoais que a finalidade declarada de uma verificação exige: as informações impressas e codificadas em um documento de identidade oficial enviado (nome, data de nascimento, número do documento, validade e endereço, quando presente), uma foto e uma captura de prova de vida do rosto do solicitante, e as informações técnicas necessárias para executar e registrar a verificação (como quais verificações foram executadas e seu resultado). Não coletamos mais do que a verificação precisa, e um documento desconhecido ou fora do padrão é lido pelo que contém, em vez de ser usado como motivo para solicitar informações adicionais e não relacionadas.

5. Limitação de uso, divulgação e retenção

Usamos as informações pessoais apenas para as finalidades identificadas acima e as divulgamos somente ao cliente que solicitou a verificação e aos prestadores de serviços que precisam delas para nos ajudar a operar a plataforma, a menos que a lei nos exija ou permita divulgá-las de outra forma (por exemplo, em resposta a uma solicitação legal válida). Não vendemos as informações pessoais dos solicitantes e não as usamos para treinar modelos.

A retenção é a área em que podemos ser mais concretos. As imagens de documentos — as fotos do documento e da selfie capturadas durante a verificação — são apagadas automaticamente em um prazo curto, sete dias por padrão, por um processo automatizado executado a cada hora. O registro da verificação em si (de que uma verificação ocorreu e seu resultado) é mantido separadamente, pelo tempo necessário para prestar o serviço, apoiar as necessidades de guarda de registros e de conformidade do próprio cliente e cumprir nossas próprias obrigações legais e operacionais; ele não é mantido indefinidamente por concepção, mas uma data fixa específica de exclusão desse registro ainda não foi definida. Configurações de retenção por conta, ajustáveis, para os registros de verificação do próprio cliente estão planejadas e ainda não estão disponíveis.

6. Exatidão

Buscamos manter as informações pessoais tão exatas e completas quanto a finalidade de identificação exigir. Como o ShieldID lê campos de várias fontes independentes em um documento (a face impressa, o código de barras e, no caso de passaportes, a zona de leitura óptica) e os confronta entre si, uma discrepância entre as fontes é relatada como um sinal próprio, em vez de ser resolvida silenciosamente. Se você acredita que as informações que mantemos sobre você estão incorretas, consulte “Acesso individual”, abaixo.

7. Salvaguardas

Protegemos as informações pessoais com salvaguardas adequadas à sua sensibilidade. As imagens de documentos de identidade e a data de nascimento do solicitante são criptografadas em repouso; o tráfego para o nosso serviço é criptografado em trânsito; o acesso a segredos e credenciais usados por nossos sistemas é centralizado e controlado, em vez de ficar espalhado pelo código ou pela configuração. Limitamos o acesso aos dados de verificação ao que a função de cada pessoa exige. Nenhum sistema é perfeitamente seguro, e continuamos investindo nessas salvaguardas à medida que o serviço cresce.

8. Transparência

Esta política é publicada de forma aberta em myshieldid.com/privacy, em linguagem simples, para que você não precise ser advogado para entender como tratamos as informações pessoais. Se algo aqui não estiver claro, entre em contato conosco e faremos o possível para explicar em termos ainda mais simples.

9. Acesso individual

Você pode nos perguntar quais informações pessoais mantemos sobre você, como elas foram usadas e a quem foram divulgadas, sujeito a exceções limitadas permitidas por lei. Se você foi verificado por meio do ShieldID por uma empresa com a qual tem relacionamento direto (por exemplo, um locador ou um credor), recomendamos começar por essa empresa, pois ela mantém o relacionamento de origem e geralmente pode resolver a maioria das solicitações diretamente. Você também pode entrar em contato diretamente conosco no endereço indicado no final desta política; uma visualização totalmente self-service, voltada ao solicitante, do seu próprio histórico de verificações está planejada e ainda não está disponível, portanto hoje tratamos essas solicitações manualmente. Confirmamos o recebimento de cada solicitação e respondemos dentro do prazo permitido pela PIPEDA, que é de trinta dias, a menos que a lei permita uma prorrogação.

10. Contestação da conformidade

Se você acredita que não cumprimos esta política ou a PIPEDA, pode nos enviar uma reclamação pelos dados de contato abaixo, e nós a investigaremos e responderemos. Se não ficar satisfeito com a nossa resposta, você pode encaminhar a reclamação ao Office of the Privacy Commissioner of Canada. Se você é residente de Quebec, também pode entrar em contato com a Commission d'accès à l'information du Québec.

Um aviso para residentes de Quebec: Law 25

A Law 25 de Quebec estabelece requisitos adicionais, geralmente mais rigorosos, além da PIPEDA para organizações que tratam informações pessoais de residentes de Quebec, com atenção especial às informações biométricas — o que é diretamente relevante para a correspondência facial e a detecção de prova de vida. Estamos analisando o que a Law 25 exige especificamente para o ShieldID, incluindo a avaliação de impacto à privacidade e qualquer divulgação específica sobre biometria, e atualizaremos esta seção à medida que esse trabalho for concluído. Até lá, um cliente de Quebec deve considerar que a verificação biométrica de residentes de Quebec exige sua própria revisão da Law 25.

Cookies e este site

O site de marketing myshieldid.com é um site estático. Não executamos nele scripts de publicidade ou de análise de terceiros. Ele pode usar o armazenamento local do seu navegador para lembrar uma preferência de exibição, como o modo claro ou escuro; essa informação permanece no seu dispositivo e nunca é enviada para nós. Se você enviar o formulário de contato, as informações que inserir serão enviadas ao nosso serviço de tratamento de contatos para encaminhar a sua mensagem até nós.

Onde suas informações são armazenadas

Os dados de verificação de identidade são processados e armazenados em servidores próprios no Canadá: hardware autogerenciado em uma rede privada, e não um provedor de nuvem pública. Não transferimos os dados de verificação dos solicitantes para fora do Canadá para prestar o serviço. Se isso mudar algum dia, esta seção avisará antes que aconteça.

Informações de crianças

O ShieldID não é direcionado a crianças, e não coletamos intencionalmente informações pessoais de crianças por meio deste site. A verificação de identidade é usada por nossos clientes sobre seus próprios solicitantes, de acordo com suas próprias regras de elegibilidade (por exemplo, requisitos de idade ligados a uma locação ou a um produto financeiro); essas regras pertencem ao cliente, não ao ShieldID.

Alterações nesta política

Podemos atualizar esta política conforme o serviço mudar ou conforme nossa revisão jurídica avançar. Atualizaremos a data de vigência acima quando isso ocorrer. As alterações relevantes serão refletidas aqui antes de entrarem em vigor.

Fale conosco

Questions, access requests and complaints about this policy can be sent to [email protected] with “Privacy” in the subject line, or by post to Crown Stack Systems, Oshawa, Ontario, Canada.