Conformidade
Projetado para estar alinhado à PIPEDA. Não substitui a sua própria assessoria jurídica.
"Em conformidade" aparece em muitas páginas de confiança sem nada que o sustente. Aqui está, especificamente, o que o ShieldID faz para apoiar as obrigações de privacidade da sua organização e o que ele não faz.
PIPEDA
Construído em torno da coleta mínima e da limitação de finalidade, e não adicionado depois.
Os princípios da PIPEDA aparecem como decisões de produto, não como um documento de política que ninguém lê.
- Coletamos o que uma decisão de verificação exige — o documento de identidade, uma selfie, os campos do documento — e nada além disso.
- As imagens de documentos são apagadas automaticamente em um prazo curto, sete dias por padrão, em vez de ficarem retidas indefinidamente por padrão.
- Logins, visualizações de documentos, resultados de verificação e ações feitas via API são registrados em um Activity Ledger somente de acréscimo. O acesso por visualização a uma imagem bruta de documento ainda não é um evento registrado — isso está a caminho.
- A conformidade com a PIPEDA é uma obrigação da organização que usa o ShieldID, não algo que possamos certificar em seu nome. O que oferecemos são os controles e o registro; como eles se encaixam nas obrigações da sua organização é uma questão para o seu próprio encarregado de privacidade ou assessor jurídico.
Legislação provincial de privacidade
Consideramos a Law 25 de Quebec. Não fomos avaliados em relação a ela.
Os regimes provinciais se somam à PIPEDA, e a Law 25 de Quebec é a que tem maior probabilidade de se aplicar a um fluxo canadense de verificação de identidade. Levamos a sua orientação — coleta mínima, uma base clara para o tratamento, um registro documentado de acessos — em conta na construção do ShieldID. Não passamos por uma avaliação formal em relação à Law 25 nem a qualquer outro regime provincial, e não afirmaremos o contrário até que ela exista. Se a sua organização atua em Quebec, confirme suas próprias obrigações com um assessor jurídico em vez de confiar somente nesta página.
Consentimento
Coletado no fluxo, não presumido.
O solicitante vê o que está sendo coletado e por quê antes de seu documento e seu rosto serem capturados.
- O consentimento é apresentado ao solicitante, no próprio dispositivo, como parte do fluxo de verificação — e não escondido em uma página de termos separada que ele nunca abre.
- A aceitação dos termos de assinatura eletrônica é registrada como um evento EULA_ACCEPTED no momento em que ocorre. Ainda não existe um evento de consentimento separado e específico para a captura biométrica.
- As imagens descritas por esse consentimento são as que são apagadas automaticamente no prazo de retenção descrito na página de retenção.
Controles operacionais
As partes da conformidade que ficam no software, e não no manual de políticas.
Autenticação em dois fatores
Em breve, com inscrição por autoatendimento. Depois que um código TOTP é definido em uma conta, o portal o exige no login.
Auditoria somente de acréscimo
Cada login, visualização de documento, resultado de verificação e exportação é inserido em um registro que o próprio banco de dados se recusa a deixar qualquer pessoa editar ou excluir.
Prove, não apenas afirme
O Activity Ledger é o que mantém a conformidade verificável.
Uma política que diz que o acesso é controlado é uma promessa. Um ledger que mostra cada acesso, imposto pelo banco de dados, é evidência. Essa é a diferença que estamos construindo, e ela já está ativa para logins, acessos a documentos e resultados de verificação.
Certificações
Ainda não temos nenhuma. Não exibiremos um selo que não conquistamos.
Não existe hoje nenhuma certificação SOC 2, ISO 27001 ou similar para o ShieldID, e nenhuma é sugerida em qualquer lugar deste site. Se e quando tivermos uma, ela aparecerá aqui com a data de emissão e exatamente o que abrange — nunca como um logotipo sem identificação em meio a uma fileira de selos.
Mais uma coisa
Esta página não é aconselhamento jurídico.
Ela descreve o que a plataforma ShieldID faz. Se isso atende às obrigações específicas da sua organização sob a PIPEDA, a legislação provincial de privacidade ou qualquer outro regime é uma questão para o seu próprio assessor jurídico ou encarregado de privacidade, não para uma página de marketing.
Perguntas
Respostas diretas sobre conformidade.
Fale conosco
Tem uma dúvida específica sobre conformidade?
Pergunte diretamente a nós — para um questionário de segurança, um controle específico ou algo que esta página não abordou.