Regelefterlevnad
Det finns ingen enskild amerikansk integritetslag som PIPEDA. Här är läget, och det vi ger dig.
"Kompatibel" står på många förtroendesidor utan något bakom. Här är specifikt vad ShieldID gör som stöder din organisations egna integritetsskyldigheter enligt amerikansk lag, och vad ShieldID inte gör.
Det amerikanska integritetslandskapet
Övergripande delstatslagar, delstatliga biometrilagar och de branschregler du redan har att följa.
Det finns ingen enskild federal integritetslag i USA som omfattar identitetsverifiering. I stället finns en lapptäckeslösning, och ShieldID är byggt kring de delar av den som berör vår verksamhet.
- Delstaternas övergripande integritetslagar, Kaliforniens CCPA/CPRA och en växande lista av andra, ger konsumenter rättigheter som tillgång, radering, rättelse och rätten att välja bort försäljning av sina personuppgifter.
- Delstaternas biometrilagar gäller direkt för ansiktsmatchning och livenesskontroll. Illinois BIPA, Texas CUBI och Washingtons biometrilag har var och en egna regler för insamling och hantering av biometriska identifierare.
- Många av våra kunder har en branschregel utöver delstatslagen, till exempel en långivare som driver ett Customer Identification Program. ShieldIDs verdikt per fält och underlag är byggda för att vara ett underlag i den processen, inte en ersättning för den.
- Efterlevnad av någon av dessa är en skyldighet för den organisation som använder ShieldID, inte något vi kan intyga å dina vägnar. Vi tillhandahåller kontrollerna och journalen. Hur de passar din organisations skyldigheter är en fråga för din egen jurist.
Var vi kommer ifrån
Crown Stack Systems är kanadensiskt, och PIPEDA gäller fortfarande för oss.
ShieldID byggs av Crown Stack Systems, med säte i Oshawa, Ontario. Som kanadensiskt företag är vi ansvariga enligt Kanadas federala integritetslag, PIPEDA, för de personuppgifter vi hanterar, oavsett var våra kunder finns. Det är ett faktum om oss, inte ett påstående om dina egna efterlevnadsskyldigheter som amerikanskt företag. De styrs av de delstatliga och branschspecifika regler som beskrivs ovan, och det är du som ska uppfylla dem.
Samtycke
Inhämtas i flödet, antas inte.
En sökande ser vad som samlas in och varför innan dokument och ansikte fotograferas.
- Samtycket presenteras för den sökande, på den sökandes egen enhet, som en del av själva verifieringsflödet, innan ID-handlingen och ansiktet registreras, och inte gömt på en separat villkorssida som ingen öppnar.
- Godkännandet registreras som en EULA_ACCEPTED-händelse i Trust Ledgers Activity Ledger i samma stund det sker. Någon separat samtyckeshändelse specifikt för biometrisk skanning finns ännu inte.
- Bilderna som samtycket gäller är de som raderas automatiskt efter sju dagar som standard, vilket beskrivs på sidan om lagring.
Operativa kontroller
Vad ShieldID faktiskt tillhandahåller, inte en pärm med policyer.
Insamling av samtycke
Den sökande godkänner vad som samlas in, på den egna enheten, innan ID-handlingen och ansiktet registreras. Godkännandet registreras som en EULA_ACCEPTED-händelse.
Automatisk radering av bilder
ID-bilder och selfien raderas automatiskt efter sju dagar som standard, med kontroll varje timme och på nytt efter varje omstart.
Ingen försäljning av personuppgifter
Vi säljer inte sökandes personuppgifter, till någon, av något skäl.
Används inte för att träna modeller
Verifieringsbilder och resultat används för att leverera din verifiering, aldrig för att träna en modell.
Verdikt och underlag per fält
Varje kontroll, dokument, ansiktsmatchning och livenesskontroll rapporteras som ett eget verdikt med underlaget bakom, inte som ett samlat poängtal.
Activity Ledger med enbart tillägg
Tillgänglig nu för Trust Ledger-konton, kommer snart för ett fristående ShieldID API-konto.
Tvåfaktorsautentisering
Kommer snart för självbetjäningsregistrering. När en TOTP-kod har angetts för ett konto tillämpar portalen den vid inloggning.
Bevisa det, påstå det inte bara
Aktivitetsloggen gör att efterlevnaden går att kontrollera.
En policy som säger att åtkomst är kontrollerad är ett löfte. En logg som visar varje åtkomst, framtvingad av databasen, är bevis. Det är den skillnaden vi bygger mot, och den är redan i drift för inloggningar, dokumentåtkomst och verifieringsresultat.
Certifieringar
Inga ännu. Vi trycker inte någon märkning som vi inte har förtjänat.
Ingen SOC 2-, ISO 27001- eller liknande certifiering finns för ShieldID i dag, och ingen antyds någonstans på den här webbplatsen. Det finns heller inget som heter att vara "CCPA-kompatibel" eller "BIPA-kompatibel". Det är lagar som skapar skyldigheter för företaget som samlar in data, inte certifieringsprogram som en leverantör kan klara, och vi vill inte antyda något annat. Om vi i framtiden får en certifiering visas den här, med utfärdandedatum och exakt vad den omfattar.
En sak till
Den här sidan är inte juridisk rådgivning.
Den beskriver vad ShieldID-plattformen gör. Om det uppfyller din organisations specifika skyldigheter enligt en delstatlig integritetslag, en biometrilag som Illinois BIPA, en branschregel som en långivares Customer Identification Program eller någon annan reglering är en fråga för din egen jurist eller ditt dataskyddsombud, inte för en marknadsföringssida.
Frågor
Raka svar om regelefterlevnad.
Kontakta oss
Har du en specifik fråga om efterlevnad?
Fråga oss direkt – om ett säkerhetsformulär, en specifik kontroll eller något som den här sidan inte tog upp.