Förtroende och säkerhet
Identitetsverifiering som ger dig kontroller och bevis, inte ett certifikat vi inte kan stå bakom.
Inget märke, inget certifikat som vi inte har – utan en rak redogörelse för var dina sökandes data finns, vad vi sparar, hur länge, vem som kan se den och hur du kan kontrollera vårt svar mot registret.
Var din data finns
Hostat på våra egna servrar, på infrastruktur som vi själva kontrollerar.
ID-bilder, utlästa fält och verifieringsresultat behandlas och lagras på infrastruktur som Crown Stack Systems kontrollerar, i Kanada. Dina sökandes data korsar gränsen för att ta sig dit. Vi säger det öppet i stället för att antyda hosting i USA.
En enda reverse proxy avslutar varje anslutning vid kanten med TLS, HSTS och en låst uppsättning säkerhetsheaders. Det är det enda som publiceras mot internet.
Databasen, cachen, hemlighetslagret och objektlagret som innehåller ID-bilderna ligger bakom den proxyn på ett privat nätverk. Inget av dem kan nås direkt från internet.
Vi erbjuder inget val av region i dag. En miljö, en plats, uttryckt rakt ut i stället för antydd med en flaggikon.
Läs hela sidan om datalokalisering →Vad som lagras och hur länge
Vi extraherar det beslutet behöver och startar sedan klockan.
En verifiering ger ett resultat och, separat, ett par bilder. De två behandlas olika, med avsikt.
- ID-bilder och selfien
- Krypterade i vila med AES-256-GCM. Rensas automatiskt på en kort timer, sju dagar som standard, kontrollerat varje timme och igen efter varje omstart.
- Födelsedatum
- Lagras krypterat, inte i klartext, oavsett var det finns.
- Verifieringsposten
- Överlever bilderna: den visar att en kontroll skett och hur den slutade, långt efter att fotona är borta.
- Lagringsfönster per konto
- Kommer snart. I dag gäller standardinställningen på sju dagar för alla konton.
Vem som kan se den
Så få personer som möjligt, och var och en av dem är ansvarig.
Åtkomstkontroll är en blandning av vad programvaran upprätthåller och vad som krävs för att över huvud taget nå datan.
Tvåfaktorsinloggning – kommer snart
Portalen kan kräva en TOTP-kod när den väl har ställts in på ett konto, men självbetjäningsregistrering är inte tillgänglig ännu.
Nätverket gör resten
Lagring och databaser saknar offentlig adress. Att nå dem innebär att gå via applikationen, och applikationen loggförs.
Åtkomst till bevis loggförs också
Nätverks- och enhetsuppgifterna bakom en liggarpost kräver en skriftlig motivering innan någon, inklusive vi, kan läsa dem.
Så bevisar du det
Ta inte vårt ord för det. Läs liggaren.
Varje inloggning, dokumentvisning, verifieringsresultat och export förs in i en aktivitetsliggare som bara kan utökas, vilket databasen själv upprätthåller: poster kan läggas till, aldrig redigeras eller raderas. Så får du svar på "vem har sett detta?" utan att fråga oss.
Läs detaljerna
Sex sidor, en för varje kontroll.
Varje påstående i den här hubben länkar till sidan som styrker det.
Dataresidens
Hostat på våra egna servrar i Kanada, på infrastruktur vi kontrollerar. Dina data korsar gränsen för att ta sig dit. Aldrig ett publikt moln, aldrig hostat i USA.
Dataresidens →Kryptering
TLS under överföring, ID-bilder och födelsedatum krypterade i vila, hemligheter i ett dedikerat valv.
Kryptering →Lagringstid och radering
ID-bilder rensas automatiskt, sju dagar som standard. Posten finns kvar. Fotona gör det inte.
Lagringstid och radering →Regelefterlevnad
Delstatliga integritets- och biometrilagar, och vad vi ger dig för att stödja efterlevnaden. Ingen certifiering som vi inte har förtjänat.
Regelefterlevnad →Aktivitetslogg
Ett register över vem som gjorde vad som bara kan utökas, upprätthållet av databasen och inte enbart av policy.
Aktivitetslogg →Ansvarsfullt röjande av sårbarheter
Hittat en sårbarhet? Här står exakt hur du berättar det för oss och vad du kan förvänta dig i retur.
Ansvarsfullt röjande av sårbarheter →Vad vi inte påstår
Uppriktighet är också en kontroll.
Branschen för identitetsverifiering trycker upp rader av märken. Vi berättar hellre vad som gäller i dag, och vad som är på väg.
- Ingen SOC 2, ISO 27001 eller liknande certifiering. Vi har ingen ännu, och vi visar inget märke som vi inte har förtjänat. När vi får en kommer den att ha ett utfärdandedatum och en angiven omfattning.
- Inget namngivet datacenter och ingen namngiven stad. Vi säger ”våra egna servrar, på infrastruktur vi kontrollerar”, inte en leverantör, ett anläggningsnamn eller en plats, eftersom det är den ärliga detaljnivå vi kan stå för i dag.
- Inga geografiskt redundanta säkerhetskopior. Säkerhetskopiorna är krypterade och följer en dokumenterad återställningsprocedur, men de lämnar för närvarande inte byggnaden.
- Denna sida gör inte anspråk på att vara juridisk rådgivning. Den beskriver vad plattformen gör. Om det uppfyller din organisations skyldigheter enligt en delstatlig integritetslag, en biometrisk integritetslag som Illinois BIPA, en branschregel som en långivares Customer Identification Program eller någon annan reglering är en fråga för din egen juridiska rådgivare.
Frågor
Raka svar om förtroende och säkerhet.
Frågor vi inte har besvarat här
Prata med oss innan du bygger på ShieldID.
Säkerhetsenkät, en specifik kontroll du behöver bevis för, eller en fråga som den här sidan inte besvarade – fråga oss direkt.