Integritetspolicy.

Den här policyn förklarar hur Crown Stack Systems (”vi”, ”oss”, ”ShieldID”) samlar in, använder, lämnar ut, lagrar och skyddar personuppgifter via identitetsverifieringstjänsten ShieldID och webbplatsen myshieldid.com (som också nås via shieldid.ca och myshieldid.ca). Den är skriven för att återspegla vad produkten faktiskt gör i dag, och vi uppdaterar den, och datumet ovan, i takt med att tjänsten och vår juridiska granskning fortskrider.

ShieldID används i allmänhet på två sätt. Ett företag (en ”kund”) integrerar ShieldID för att verifiera identiteten hos sina egna sökande, kunder, hyresgäster eller klienter (den ”sökande”). I den relationen bestämmer kunden vilken verifiering som ska göras och varför, och ansvarar för sin egen integritetsinformation till sina sökande. ShieldID behandlar personuppgifter för kundens räkning för att genomföra verifieringen. Separat gäller att om du besöker den här webbplatsen, fyller i ett kontaktformulär eller själv skapar ett sandbox-konto är vi direkt ansvariga för den informationen, enligt beskrivningen nedan.

1. Ansvarsskyldighet

Crown Stack Systems ansvarar för personuppgifter under vår kontroll, inklusive uppgifter som överförs till tredje part för behandling. Frågor, begäranden om åtkomst och klagomål skickas till kontaktadressen i slutet av den här policyn och hanteras av den person som ansvarar för efterlevnad av integritetsregler hos Crown Stack Systems.

Där vi använder andra företag för att hjälpa till att tillhandahålla tjänsten, till exempel leverantörer av infrastruktur eller kommunikation, förblir vi ansvariga för de personuppgifter vi delar med dem, och vi förväntar oss att de skyddar dem enligt en standard som stämmer överens med den här policyn.

2. Identifiering av ändamål

Vi anger varför vi samlar in personuppgifter innan eller i samband med att vi gör det. För en identitetsverifiering är ändamålet: att bekräfta den sökandes identitet genom att läsa dennes myndighetsutfärdade ID, matcha ett levande ansikte mot dokumentfotot, bekräfta att en verklig person är närvarande (liveness) och rapportera signaler om bedrägeri och dokumentmanipulation, så att det begärande företaget kan fatta sitt eget beslut.

• För att utföra den specifika verifiering som kunden begärt (dokumentavläsning, ansiktsmatchning, liveness, bedrägerisignaler).
• För att leverera resultatet till den kund som begärde det, via API-svar, webhook och instrumentpanel.
• För att underhålla Activity Ledger, Trust Ledgers append-only-register, för kunder som är integrerade med Trust Ledger. Motsvarande registerposter för ett fristående ShieldID API-konto kommer snart.
• För att driva, säkra, supportera och fakturera tjänsten, inklusive att upptäcka bedrägeri eller missbruk av själva plattformen.
• För besökare på den här webbplatsen: för att besvara en inskickad kontaktförfrågan eller för att driva ett sandbox-utvecklarkonto som du själv skapar.

3. Samtycke

Meningsfullt samtycke inhämtas innan en sökandes personuppgifter samlas in för verifiering, genom själva verifieringsflödet och, i den underliggande affärsrelationen, genom kundens eget arrangemang med sin sökande. Om en kund begär identitetsverifiering av sina sökande ansvarar kunden för att den har rättslig grund och lämpligt samtycke för detta enligt sin egen integritetsinformation. ShieldID är inte part i den underliggande relationen och ger inga juridiska råd om vilket samtycke ett enskilt användningsfall kräver.

Du kan när som helst återkalla ditt samtycke, med förbehåll för rättsliga eller avtalsmässiga begränsningar, genom att kontakta oss eller det företag som begärde din verifiering. Att återkalla samtycket kan innebära att en verifiering inte kan slutföras eller att en tjänst inte kan tillhandahållas.

4. Begränsning av insamling

Vi samlar bara in de personuppgifter som verifieringens angivna ändamål kräver: den information som är tryckt och kodad på ett inskickat myndighetsutfärdat ID (namn, födelsedatum, dokumentnummer, utgångsdatum, adress där sådan finns), ett foto och en liveness-registrering av den sökandes ansikte samt den tekniska information som behövs för att köra och registrera kontrollen (till exempel vilka kontroller som kördes och deras utfall). Vi samlar inte in mer än verifieringen behöver, och ett ovanligt eller icke-standardiserat dokument läses för det det innehåller i stället för att användas som skäl att begära ytterligare, orelaterad information.

5. Begränsning av användning, utlämning och lagring

Vi använder personuppgifter bara för de ändamål som anges ovan och lämnar ut dem bara till den kund som begärde verifieringen och till tjänsteleverantörer som behöver dem för att hjälpa oss driva plattformen, om vi inte enligt lag är skyldiga eller tillåtna att lämna ut dem på annat sätt (till exempel som svar på en giltig rättslig begäran). Vi säljer inte sökandes personuppgifter och använder dem inte för att träna modeller.

Lagring är det område där vi kan vara mest konkreta. ID-bilder, det vill säga dokument- och selfiefoton som tas under verifieringen, raderas automatiskt efter en kort tid, som standard sju dagar, av en automatiserad process som körs varje timme. Själva verifieringsposten (att en kontroll har gjorts och dess utfall) sparas separat, så länge det behövs för att tillhandahålla tjänsten, stödja kundens egna behov av dokumentation och efterlevnad samt uppfylla våra egna rättsliga och operativa skyldigheter. Den sparas inte på obestämd tid av design, men ett specifikt fast raderingsdatum för den posten har ännu inte fastställts. Konfigurerbara lagringsinställningar per konto för en kunds egna verifieringsposter är planerade men inte tillgängliga ännu.

6. Noggrannhet

Vi strävar efter att hålla personuppgifter så korrekta och fullständiga som identifieringsändamålet kräver. Eftersom ShieldID läser fält från flera oberoende källor på ett dokument (den tryckta sidan, streckkoden och, för pass, den maskinläsbara zonen) och korskontrollerar dem mot varandra, rapporteras en avvikelse mellan källor som en egen signal i stället för att tyst lösas. Om du anser att information vi har om dig är felaktig, se ”Individuell åtkomst” nedan.

7. Skyddsåtgärder

Vi skyddar personuppgifter med säkerhetsåtgärder som motsvarar uppgifternas känslighet. ID-bilder och den sökandes födelsedatum krypteras i vilande tillstånd, trafiken till vår tjänst krypteras under överföring, och åtkomsten till hemligheter och inloggningsuppgifter som våra system använder är centraliserad och åtkomstkontrollerad i stället för utspridd i kod eller konfiguration. Vi begränsar åtkomsten till verifieringsdata till vad respektive roll kräver. Inget system är helt säkert, och vi fortsätter att investera i dessa skyddsåtgärder allt eftersom tjänsten växer.

8. Öppenhet

This policy is published openly at myshieldid.com/us/privacy, in plain language, so you don't need to be a lawyer to understand how we handle personal information. If anything here is unclear, contact us and we'll do our best to explain it in plainer terms still.

9. Individens tillgång

Du kan fråga oss vilka personuppgifter vi har om dig, hur de har använts och till vem de har lämnats ut, med de begränsade undantag som lagen tillåter. Om du har verifierats via ShieldID av ett företag som du har en direkt relation med (till exempel en hyresvärd eller en långivare) rekommenderar vi att du börjar med det företaget, eftersom det har den underliggande relationen och vanligtvis kan lösa de flesta ärenden direkt. Du kan också kontakta oss direkt på adressen i slutet av denna policy. En fullt självbetjänad vy över din egen verifieringshistorik för sökande är planerad men ännu inte tillgänglig, så i dag hanterar vi sådana förfrågningar manuellt. Vi bekräftar varje förfrågan och svarar inom den tid som PIPEDA tillåter, vilket är trettio dagar om inte lagen medger förlängning.

10. Ifrågasätta efterlevnad

Om du anser att vi inte har följt denna policy eller PIPEDA kan du skicka ett klagomål till oss via kontaktuppgifterna nedan, så utreder vi det och svarar. Om du inte är nöjd med vårt svar kan du gå vidare med klagomålet till Office of the Privacy Commissioner of Canada. Om du är bosatt i Quebec kan du också kontakta Commission d'accès à l'information du Québec.

Information till invånare i Quebec: Law 25

Quebecs Law 25 ställer ytterligare, i allmänhet strängare krav utöver PIPEDA på organisationer som hanterar personuppgifter om invånare i Quebec, med särskild uppmärksamhet på biometriska uppgifter – vilket är direkt relevant för ansiktsmatchning och detektion av liveness. Vi går igenom vad Law 25 specifikt kräver för ShieldID, inklusive konsekvensbedömningen för personuppgifter och eventuell biometrispecifik information, och vi uppdaterar detta avsnitt när arbetet är klart. Tills dess bör en kund i Quebec behandla biometrisk verifiering av invånare i Quebec som något som kräver en egen granskning enligt Law 25.

Information till invånare i USA

Vissa amerikanska delstater har egna heltäckande integritetslagar, till exempel Kaliforniens CCPA/CPRA, som ger invånarna särskilda rättigheter över personuppgifter där lagarna gäller för uppgifterna och för oss. Där en delstatlig integritetslag gäller dig kan du ha rätt att:

• Få veta vilka personuppgifter vi har om dig och hur de har använts och lämnats ut.
• Begära att vi raderar personuppgifter vi har om dig, med de undantag som lagen tillåter.
• Begära att vi rättar felaktiga personuppgifter.
• Välja bort försäljning av dina personuppgifter. Vi säljer inte personuppgifter, så det finns i dag inget att välja bort, men du kan ändå göra begäran och vi bekräftar den skriftligen.

Dessa rättigheter omfattas av de undantag och villkor som anges i den delstatslag som gäller dig. Se ”Så gör du en begäran” nedan för att utöva någon av dem.

Information om biometriska uppgifter

Ansiktsmatchning och liveness-detektering fungerar genom att analysera geometrin i den sökandes ansikte. Vi använder analysen enbart för att verifiera den sökandes identitet åt det företag som begärt verifieringen, aldrig för något annat ändamål och aldrig för att bygga en allmän ansiktsigenkänningsdatabas. Bilderna bakom analysen rensas automatiskt efter sju dagar som standard, tillsammans med resten av ID-bilden. Vi säljer inte data om ansiktsgeometri eller någon mall som härletts från den, och vi använder den inte för att träna modeller. Där en delstatlig lag om biometrisk integritet gäller, till exempel Illinois Biometric Information Privacy Act, Texas Capture or Use of Biometric Identifier Act eller Washingtons lag om biometrisk integritet, ansvarar det företag som genomför verifieringen för att uppfylla lagens egna krav på information och samtycke gentemot sina sökande; ShieldIDs roll är att tillhandahålla samtyckessteget i verifieringsflödet och dokumentationen av det, inte att intyga efterlevnad.

Så gör du en begäran

To exercise any of the rights described above, or to ask a question about this section, contact us at [email protected], noting the state and the right you're exercising in the subject line. We will respond within the time the applicable law allows.

Cookies och den här webbplatsen

Marknadsföringssajten myshieldid.com är en statisk webbplats. Vi kör inga reklam- eller analysskript från tredje part på den. Den kan använda webbläsarens lokala lagring för att komma ihåg en visningsinställning, till exempel ljust eller mörkt läge. Den informationen stannar på din enhet och skickas aldrig till oss. Om du skickar in kontaktformuläret skickas den information du anger till vår tjänst för hantering av kontaktförfrågningar, som vidarebefordrar ditt meddelande till oss.

Var din information lagras

Data från identitetsverifiering för amerikanska kunder behandlas och lagras på våra egna servrar i Kanada: egenförvaltad hårdvara i ett privat nätverk, inte hos en offentlig molnleverantör och inte i USA. Att använda ShieldID innebär att dina sökandes verifieringsdata korsar gränsen till Kanada för att behandlas; vi säger det öppet i stället för att antyda att datan hostas i USA. Om det någonsin ändras kommer det här avsnittet att säga det innan det sker.

Barns information

ShieldID riktar sig inte till barn, och vi samlar inte medvetet in personuppgifter från barn via den här webbplatsen. Identitetsverifiering används av våra kunder för deras egna sökande enligt deras egna behörighetsregler (till exempel åldersgränser kopplade till ett hyresavtal eller en finansiell produkt). Dessa regler tillhör kunden, inte ShieldID.

Ändringar i denna policy

Vi kan uppdatera den här policyn när tjänsten förändras eller när vår juridiska granskning fortskrider. Då uppdaterar vi ikraftträdandedatumet ovan. Väsentliga ändringar redovisas här innan de träder i kraft.

Kontakta oss

Questions, access requests and complaints about this policy can be sent to [email protected] with “Privacy” in the subject line, or by post to Crown Stack Systems, Oshawa, Ontario, Canada.