Conformidade
Não existe uma única lei de privacidade nos EUA como a PIPEDA. Aqui está o panorama e o que oferecemos a você.
"Em conformidade" aparece impresso em muitas páginas de confiança sem nada que o sustente. Aqui está, especificamente, o que o ShieldID faz para apoiar as obrigações de privacidade da sua própria organização sob a lei americana, e o que ele não faz.
O panorama de privacidade nos EUA
Leis estaduais abrangentes, leis estaduais de biometria e qualquer regra setorial que você já tenha de cumprir.
Não existe uma lei federal de privacidade única nos EUA que cubra a verificação de identidade. Em vez disso, há uma colcha de retalhos, e o ShieldID foi construído em torno das partes dela que tocam o que fazemos.
- As leis estaduais abrangentes de privacidade, a CCPA/CPRA da Califórnia e uma lista crescente de outras, dão aos consumidores direitos como acesso, exclusão, correção e o direito de optar por não ter suas informações pessoais vendidas.
- As leis estaduais de privacidade biométrica se aplicam diretamente à comparação facial e à prova de vida. A BIPA de Illinois, a CUBI do Texas e a lei de privacidade biométrica de Washington estabelecem, cada uma, suas próprias regras para a coleta e o tratamento de identificadores biométricos.
- Muitos de nossos clientes têm uma regra setorial além da lei estadual, um credor que executa um Programa de Identificação de Clientes, por exemplo. Os veredictos por campo e as evidências do ShieldID foram feitos para servir de insumo a esse processo, não para substituí-lo.
- A conformidade com qualquer uma dessas leis é uma obrigação da organização que usa o ShieldID, não algo que possamos certificar em seu nome. O que fornecemos são os controles e o registro; como eles se encaixam nas obrigações da sua organização é uma questão para o seu próprio assessor jurídico.
De onde viemos
A Crown Stack Systems é canadense, e a PIPEDA ainda se aplica a nós.
O ShieldID é desenvolvido pela Crown Stack Systems, com sede em Oshawa, Ontário. Como empresa canadense, respondemos perante a lei federal de privacidade do Canadá, a PIPEDA, pelas informações pessoais que tratamos, independentemente de onde estejam nossos clientes. Isso é um fato sobre nós, não uma afirmação sobre as suas próprias obrigações de conformidade como empresa americana; essas são definidas pelas regras estaduais e setoriais descritas acima, e cabe a você cumpri-las.
Consentimento
Coletado no fluxo, não presumido.
O solicitante vê o que está sendo coletado e por quê antes de seu documento e seu rosto serem capturados.
- O consentimento é apresentado ao candidato, no próprio dispositivo dele, como parte do próprio fluxo de verificação, antes de a captura do documento e do rosto, e não escondido em uma página de termos separada que ele nunca abre.
- A aceitação é registrada como um evento EULA_ACCEPTED no Activity Ledger do Trust Ledger no momento em que ocorre. Um evento de consentimento separado, específico para a leitura biométrica, ainda não existe.
- As imagens descritas por esse consentimento são as que são apagadas automaticamente após sete dias por padrão, conforme descrito na página de retenção.
Controles operacionais
O que o ShieldID realmente oferece, não um fichário de políticas.
Coleta de consentimento
O candidato aceita o que está sendo coletado, no próprio dispositivo, antes de a captura do documento e do rosto. A aceitação é registrada como um evento EULA_ACCEPTED.
Exclusão automática de imagens
As imagens do documento e a selfie são apagadas automaticamente após sete dias por padrão, com verificação a cada hora e novamente após cada reinicialização.
Nenhuma venda de informações pessoais
Não vendemos as informações pessoais dos candidatos, a ninguém, por nenhum motivo.
Não usadas para treinar modelos
As imagens e os resultados da verificação são usados para entregar a sua verificação, nunca para treinar um modelo.
Veredictos e evidências por campo
Cada verificação, documento, comparação facial, prova de vida, é informada como um veredicto próprio, com as evidências por trás dele, e não como uma pontuação única agregada.
Activity Ledger somente de acréscimo
Disponível hoje para contas do Trust Ledger; em breve para uma conta avulsa da API do ShieldID.
Autenticação em dois fatores
Em breve, com inscrição por autoatendimento. Depois que um código TOTP é definido em uma conta, o portal o exige no login.
Prove, não apenas afirme
O Activity Ledger é o que mantém a conformidade verificável.
Uma política que diz que o acesso é controlado é uma promessa. Um ledger que mostra cada acesso, imposto pelo banco de dados, é evidência. Essa é a diferença que estamos construindo, e ela já está ativa para logins, acessos a documentos e resultados de verificação.
Certificações
Ainda não temos nenhuma. Não exibiremos um selo que não conquistamos.
Hoje não existe certificação SOC 2, ISO 27001 ou similar para o ShieldID, e nenhuma é sugerida em qualquer parte deste site. Também não existe "estar em conformidade com a CCPA" ou "estar em conformidade com a BIPA"; são leis que criam obrigações para a empresa que coleta dados, não programas de certificação que um fornecedor possa passar, e não vamos sugerir o contrário. Se um dia tivermos uma certificação, ela aparecerá aqui com a data de emissão e exatamente o que ela cobre.
Mais uma coisa
Esta página não é aconselhamento jurídico.
Ela descreve o que a plataforma ShieldID faz. Se isso satisfaz as obrigações específicas da sua organização sob uma lei estadual de privacidade, uma lei de privacidade biométrica como a BIPA de Illinois, uma regra setorial como o Programa de Identificação de Clientes de um credor, ou qualquer outro regime, é uma questão para o seu próprio assessor jurídico ou encarregado de privacidade, não para uma página de marketing.
Perguntas
Respostas diretas sobre conformidade.
Fale conosco
Tem uma dúvida específica sobre conformidade?
Pergunte diretamente a nós — para um questionário de segurança, um controle específico ou algo que esta página não abordou.