Regelefterlevnad
Utformad för att stämma överens med PIPEDA. Ersätter inte din egen juridiska rådgivning.
”Compliant” står tryckt på många förtroendesidor utan något bakom. Här visar vi exakt vad ShieldID gör som stöder din organisations egna integritetsskyldigheter, och vad det inte gör.
PIPEDA
Byggt kring minimal insamling och ändamålsbegränsning, inte påklistrat i efterhand.
PIPEDA:s principer syns som produktbeslut, inte som ett policydokument som ingen läser.
- Vi samlar in det som ett verifieringsbeslut kräver – ID-handlingen, en selfie och fälten på dokumentet – och inget utöver det.
- ID-bilder rensas automatiskt efter en kort tid, som standard sju dagar, i stället för att sparas på obestämd tid som standard.
- Inloggningar, dokumentvisningar, verifieringsresultat och API-drivna åtgärder registreras i en append-only-aktivitetslogg. Åtkomst per visning av en rå ID-bild är ännu inte en loggad händelse – det är på väg.
- Efterlevnad av PIPEDA är en skyldighet för den organisation som använder ShieldID, inte något vi kan intyga å din vägnar. Vi tillhandahåller kontrollerna och loggen; hur de passar din organisations skyldigheter är en fråga för ditt eget dataskyddsombud eller din egen jurist.
Provinsiell integritetslagstiftning
Vi har beaktat Quebecs Law 25. Vi har inte blivit bedömda mot den.
Provinsiella regelverk läggs ovanpå PIPEDA, och Quebecs Law 25 är den som mest sannolikt gäller för ett kanadensiskt arbetsflöde för identitetsverifiering. Vi har tagit hänsyn till dess riktning – minimal insamling, en tydlig grund för behandling och en dokumenterad logg över åtkomst – i hur ShieldID är byggt. Vi har inte genomgått någon formell bedömning mot Law 25 eller något annat provinsiellt regelverk, och vi påstår inte att så är fallet förrän en sådan finns. Om din organisation verkar i Quebec bör du bekräfta dina egna skyldigheter med en jurist i stället för att förlita dig enbart på den här sidan.
Samtycke
Inhämtas i flödet, antas inte.
En sökande ser vad som samlas in och varför innan dokument och ansikte fotograferas.
- Samtycket presenteras för den sökande, på den egna enheten, som en del av själva verifieringsflödet – inte gömt på en separat sida med villkor som ingen öppnar.
- Godkännandet av villkoren för e-signatur registreras som en EULA_ACCEPTED-händelse i samma ögonblick som det sker. En separat samtyckeshändelse specifik för biometrisk skanning finns ännu inte.
- Bilderna som samtycket gäller är de som rensas automatiskt enligt den lagringstid som beskrivs på sidan om lagring.
Operativa kontroller
De delar av efterlevnaden som finns i programvaran, inte i pärmen med policyer.
Tvåfaktorsautentisering
Kommer snart för självbetjäningsregistrering. När en TOTP-kod har angetts för ett konto tillämpar portalen den vid inloggning.
Append-only-granskning
Varje inloggning, dokumentvisning, verifieringsresultat och export förs in i en logg som databasen själv inte låter någon redigera eller radera.
Bevisa det, påstå det inte bara
Aktivitetsloggen gör att efterlevnaden går att kontrollera.
En policy som säger att åtkomst är kontrollerad är ett löfte. En logg som visar varje åtkomst, framtvingad av databasen, är bevis. Det är den skillnaden vi bygger mot, och den är redan i drift för inloggningar, dokumentåtkomst och verifieringsresultat.
Certifieringar
Inga ännu. Vi trycker inte någon märkning som vi inte har förtjänat.
Ingen SOC 2-, ISO 27001- eller liknande certifiering finns för ShieldID i dag, och ingen antyds någonstans på den här webbplatsen. Om och när vi får en kommer den att visas här med utfärdandedatum och exakt vad den omfattar – aldrig som en omärkt logotyp i en rad av märken.
En sak till
Den här sidan är inte juridisk rådgivning.
Den beskriver vad ShieldID-plattformen gör. Om det uppfyller din organisations specifika skyldigheter enligt PIPEDA, provinsiell integritetslagstiftning eller något annat regelverk är en fråga för din egen jurist eller ditt eget dataskyddsombud, inte för en marknadsföringssida.
Frågor
Raka svar om regelefterlevnad.
Kontakta oss
Har du en specifik fråga om efterlevnad?
Fråga oss direkt – om ett säkerhetsformulär, en specifik kontroll eller något som den här sidan inte tog upp.