合規
設計上與 PIPEDA 看齊，但不能取代貴機構自行取得的法律意見。
很多信任頁面都會印上「合規」二字，卻沒有任何實質內容支持。以下具體說明 ShieldID 有哪些做法可協助貴機構履行自身的私隱責任，以及哪些方面並不涵蓋。
PIPEDA
以最少收集及目的限制為核心而設計，並非事後補上。
PIPEDA 的原則體現於產品設計決定之中，而不是一份無人細閱的政策文件。
- 我們只收集驗證決定所需的資料：身分證明文件、自拍相，以及文件上的欄位，除此之外一概不收。
- 身分證明文件圖像會按短時限自動清除，預設為七天，而非預設無限期保留。
- 登入、文件查看、驗證結果及透過 API 觸發的操作，都會記錄在僅可追加的活動分類帳中。目前尚未將查看原始身分證明文件圖像的每一次存取記錄為事件，此功能即將推出。
- 遵守 PIPEDA 是使用 ShieldID 的機構自身的責任，我們無法代貴機構作出認證。我們提供的是相關控制措施和紀錄；至於它們如何配合貴機構的責任，則應由貴機構自己的私隱主任或法律顧問判斷。
省級私隱法例
我們已考慮魁北克的 Law 25，但尚未就此接受評估。
省級法規會在 PIPEDA 之上疊加適用，而魁北克的 Law 25 最有可能適用於加拿大的身分驗證流程。我們在建構 ShieldID 時已參考其方向，包括最少收集、明確的處理依據，以及有文件記載的存取紀錄。我們並未就 Law 25 或任何其他省級法規接受正式評估，在取得評估之前，也不會聲稱已經取得。如果貴機構在魁北克營運，請向法律顧問確認自身責任，不要只依賴本頁內容。
同意
在流程中取得，而非想當然。
在申請人的文件和面部被拍攝之前，他們會先看到會收集甚麼資料以及原因。
- 同意聲明會在申請人自己的裝置上，作為驗證流程的一部分向其展示，而不是藏在一個他們從不會打開的獨立條款頁面中。
- 接受電子簽署條款的一刻，會即時記錄為 EULA_ACCEPTED 事件。目前仍未有專門針對生物特徵掃描的獨立同意事件。
- 該同意所涵蓋的圖像，正是會按保留頁面所述的保留時限自動清除的那些圖像。
營運控制措施
合規中屬於軟件層面、而非只存在於政策文件夾裏的部分。
雙重驗證
自助登記即將推出。一旦為帳戶設定 TOTP 驗證碼，入口網站便會在登入時強制執行。
僅可追加的審核紀錄
每一次登入、文件查看、驗證結果及匯出，都會記入一份資料庫本身拒絕任何人編輯或刪除的紀錄。
以證據說話，而非空口白說
活動分類帳讓合規情況可供查核。
一份聲稱存取受到控制的政策，只是一個承諾；一份由資料庫強制執行、顯示每次存取的分類帳，才是證據。這正是我們努力的方向，而且目前已應用於登入、文件存取及驗證結果。
認證
暫時沒有。我們不會印上未曾取得的徽章。
ShieldID 目前並未持有 SOC 2、ISO 27001 或類似認證，本網站亦沒有任何地方暗示我們持有。日後如取得認證，會在此註明簽發日期及確切涵蓋範圍，絕不會以沒有標示的標誌混在一排徽章之中。
補充一點
本頁並非法律意見。
本頁描述的是 ShieldID 平台的功能。至於這些功能是否符合貴機構根據 PIPEDA、省級私隱法例或任何其他法規所承擔的具體責任，應由貴機構自己的法律顧問或私隱主任判斷，而不是由一個宣傳頁面來回答。
問題