合规
美国并没有像 PIPEDA 那样统一的隐私法。以下是整体概况，以及我们为您提供的支持。
许多信任页面上都印着“合规”二字，却没有任何实质依据。下面具体说明 ShieldID 为支持贵组织履行美国法律下的隐私义务做了什么，又没有做什么。
美国隐私法律概况
州级综合隐私法、州级生物识别法，以及您已经需要遵守的行业规则。
美国没有一部涵盖身份验证的联邦隐私法，而是由一套零散的法规拼合而成，ShieldID 正是围绕其中与我们业务相关的部分构建的。
- 州级综合隐私法，包括加州的 CCPA/CPRA 以及越来越多的其他州立法，赋予消费者访问、删除、更正个人信息以及拒绝出售其个人信息的权利。
- 州级生物识别隐私法直接适用于人脸比对和活体检测。伊利诺伊州的 BIPA、得克萨斯州的 CUBI 以及华盛顿州的生物识别隐私法，各自对生物识别标识符的收集和处理设定了规则。
- 我们的许多客户在州法之外还需遵守行业规则，例如执行客户身份识别计划的放贷机构。ShieldID 的逐字段结论和证据旨在为该流程提供输入，而不是取代它。
- 遵守上述任何法律，都是使用 ShieldID 的组织自身的义务，我们无法代您出具认证。我们提供的是相关控制措施和记录；它们如何契合贵组织的义务，需要由您自己的法律顾问来判断。
我们的来源
Crown Stack Systems 是一家加拿大公司，PIPEDA 对我们依然适用。
ShieldID 由总部位于安大略省奥沙华的 Crown Stack Systems 打造。作为一家加拿大公司，无论客户身在何处，我们对所处理的个人信息都须遵守加拿大联邦隐私法 PIPEDA。这是关于我们自身的事实，并不是对您作为美国企业所负合规义务的任何声明；您的义务由上文所述的州级和行业规则决定，需由您自行履行。
同意
在流程中获取，而不是想当然地默认。
在采集申请人的证件和面部之前，申请人会先看到将要收集哪些内容以及原因。
- 同意事项会在验证流程本身中，于采集身份证件和人脸之前，在申请人自己的设备上呈现，而不是埋没在一个他们从不会打开的单独条款页面里。
- 申请人接受的那一刻，就会在 Trust Ledger 的活动账本中记录一条 EULA_ACCEPTED 事件。目前尚无单独的、专门针对生物识别扫描的同意事件。
- 该同意所涉及的图像，就是默认在七天后自动清除的那些图像，详见数据保留页面。
运营控制措施
ShieldID 实际提供的内容，而不是一本政策文件夹。
同意采集
申请人在采集其身份证件和人脸之前，在自己的设备上确认所收集的内容。接受情况会记录为一条 EULA_ACCEPTED 事件。
图像自动清除
身份证件图像和自拍照默认在七天后自动删除，每小时检查一次，每次重启后也会再检查一次。
不出售个人信息
我们不会出于任何原因向任何人出售申请人的个人信息。
不用于训练模型
验证图像和结果仅用于完成您的验证，绝不用于训练模型。
逐字段结论与证据
每一项检查，包括证件、人脸比对和活体检测，都作为独立的结论连同其背后的证据一起呈报，而不是一个打包的综合分数。
仅追加的活动账本
Trust Ledger 账户现已上线；独立的 ShieldID API 账户即将推出。
双因素认证
自助注册即将推出。一旦为账户设置了 TOTP 验证码，门户会在登录时强制执行。
用证据说话，而不只是声称
活动账本让合规保持可核查。
声明访问受到控制的政策只是一个承诺；而由数据库强制执行、显示每一次访问的账本才是证据。这正是我们努力实现的差异，而且它已在登录、文档访问和核验结果方面上线。
认证
目前尚未获得任何认证。我们不会印上自己尚未赢得的徽章。
ShieldID 目前没有 SOC 2、ISO 27001 或类似的认证，本网站任何地方也都不暗示有此类认证。同样，也不存在“符合 CCPA”或“符合 BIPA”这回事；这些是对收集数据的企业设定义务的法律，而不是供益供应商通过的认证项目，我们也不会暗示相反的说法。如果我们将来获得认证，会在此处列出，并注明颁发日期和确切的涵盖范围。
另有一点
本页面不构成法律意见。
它描述的是 ShieldID 平台所做的事情。至于这是否满足贵组织在州隐私法、伊利诺伊州 BIPA 等生物识别隐私法、放贷机构客户身份识别计划等行业规则或任何其他制度下的具体义务，需要由您自己的法律顾问或隐私负责人来判断，而不是由一个营销页面来回答。
常见问题