سياسة الاحتفاظ بالبيانات البيومترية وتدميرها

توضح سياسة الاحتفاظ بالبيانات البيومترية وتدميرها هذه ما هي البيانات البيومترية التي تعالجها Didit عندما تقدم خدمات التحقق من الهوية ومنع الاحتيال لعملائها، وسبب استخدام Didit لها، ومدة الاحتفاظ بها، وكيفية تدميرها. وهي تمثل جدول Didit العام المكتوب للاحتفاظ بالبيانات البيومترية وإرشاداتها لتدمير هذه البيانات، بما في ذلك لأغراض قانون خصوصية المعلومات البيومترية في إلينوي (⁦740 ILCS 14/15(a)⁩) وقانون كولورادو (⁦C.R.S. § 6-1-1314⁩).

تُكمل هذه السياسة إشعار خصوصية التحقق، وشروط المستخدم النهائي للتحقق من الهوية، وسياسة الخصوصية الخاصة بنا.

1. النطاق

تنطبق هذه السياسة على البيانات البيومترية التي تعالجها Didit عندما تُكمل مسار تحقق (مسار تستضيفه Didit، أو SDK، أو تجربة علامة بيضاء، أو رحلة قائمة على API) قام أحد عملاء Didit ("العميل") بإعداده بحيث يتضمن التقاط الوجه، مثل صورة السيلفي، أو فحص الحيوية، أو مطابقة الوجه.

2. من يقرر ومن يعالج

• يقرر العميل الذي يطلب منك التحقق سبب جمع بياناتك البيومترية وكيفية جمعها. وهو المتحكم في تلك البيانات، أو يشغل الدور المكافئ بموجب القانون المعمول به.
• تعالج Didit البيانات البيومترية نيابة عن العميل وبناءً على تعليماته الموثقة، بصفتها معالجاً أو مزود خدمة له.

3. البيانات البيومترية التي تجمعها Didit

اعتماداً على كيفية إعداد العميل للتحقق، قد تجمع Didit ما يلي:

• هندسة الوجه وقوالب الوجه: قياسات لملامح الوجه مأخوذة من صورة السيلفي الخاصة بك، أو من التقاط الحيوية الخاص بك، أو من الصورة الشخصية على وثيقة هويتك، والقوالب (التمثيلات العددية للوجه) المُنشأة منها.
• صور السيلفي الملتقطة أثناء التحقق.
• الصورة الشخصية في الوثيقة: صورة وجهك على وثيقة الهوية التي تقدمها.
• فيديو الحيوية: الفيديو أو إطارات الصور الملتقطة لتأكيد وجود شخص حقيقي.

4. أسباب استخدام Didit لها

تستخدم Didit البيانات البيومترية للتحقق من الهوية ومنع الاحتيال لصالح العميل، وبناءً على تعليمات العميل:

• للتحقق من أن الشخص الذي يقدم وثيقة الهوية هو الشخص الظاهر عليها؛
• لتأكيد وجود شخص حقيقي وحي وللكشف عن محاولات الانتحال؛ و
• حيثما يفعّل العميل ذلك، للكشف عن الحسابات المكررة والوجوه المدرجة في قائمة الحظر الخاصة بالعميل.

5. جدول الاحتفاظ

تُحذف البيانات البيومترية عند أقرب ما يلي:

1. تحقق الغرض الذي جمعها العميل من أجله؛
2. انتهاء فترة الاحتفاظ التي حددها العميل؛ و
3. بالنسبة للأشخاص المشمولين بقوانين الولايات المذكورة أدناه، الموعد النهائي المحدد في قانون الولاية محسوباً من آخر عملية تحقق لهم لدى ذلك العميل.

آخر عملية تحقق لك لدى العميل هي أحدث جلسة تحقق أجريتها لصالح ذلك العميل، وتؤدي أي جلسة جديدة إلى إعادة بدء احتساب المدة. ينطبق الموعد النهائي المحدد في قانون الولاية حتى عندما يكون إعداد الاحتفاظ لدى العميل أطول، بما في ذلك عندما يكون مضبوطاً على "غير محدود". وعندما ينطبق أكثر من موعد نهائي واحد، يُطبق الموعد الأقرب.

ينطبق عليك الموعد النهائي لولاية ما، على سبيل المثال، إذا كنت موجوداً في تلك الولاية عند التقاط وجهك، أو إذا كانت وثيقة هويتك صادرة عن تلك الولاية، أو إذا أبلغ العميل Didit بأنك موجود في تلك الولاية.

لا تحتفظ Didit بالبيانات البيومترية بعد انقضاء الموعد النهائي المحدد لها.

6. كيفية الحذف

• دائم. الحذف دائم. لا تحتفظ Didit بأي نسخة من البيانات البيومترية المحذوفة.
• جميع المخازن. يشمل الحذف كل مكان تحتفظ فيه Didit بالبيانات: الصور الأصلية والفيديو الأصلي، وهندسة الوجه والقوالب المُنشأة منها، وإدخالات البحث عن الوجوه المستخدمة في فحوصات التكرار وقائمة الحظر، بما في ذلك على أنظمة المعالجين الفرعيين لدى Didit.
• تلقائي. تطبق Didit المواعيد النهائية الواردة في القسم 5 تلقائياً، دون انتظار تقديم طلب.
• مُسجَّل. تسجل Didit حدوث عملية الحذف، دون الاحتفاظ بالبيانات المحذوفة.

تُحذف البيانات البيومترية أيضاً قبل أي موعد نهائي عندما يوجّه العميل Didit بحذفها، أو عندما يُقبل طلب حذف صالح يشملك (انظر القسم 10).

7. عدم البيع أو التربح

لا تبيع Didit أو تؤجر أو تتاجر أو تستفيد بأي شكل آخر من المعرفات البيومترية أو المعلومات البيومترية.

8. المعالجون والمعالجون الفرعيون

تستعين Didit بمعالجين فرعيين، مثل مزودي خدمات الاستضافة والتخزين السحابي، لمساعدتها في تقديم الخدمة. وتفرض Didit على كل معالج فرعي التزامات بحماية البيانات مماثلة إلى حد كبير لتلك الواردة في ملحق معالجة البيانات الخاص بها، الذي يُعد جزءاً من الشروط والأحكام التجارية، وتظل مسؤولة أمام العميل عن امتثالهم لها. يمكن للعملاء طلب القائمة الحالية للمعالجين الفرعيين عبر privacy@didit.me.

9. الموافقة وسحبها

قبل الالتقاط. حيثما يقتضي القانون ذلك، يُطلب منك تقديم موافقتك الصريحة قبل التقاط صورة السيلفي أو فيديو الحيوية الخاص بك. يشرح مسار التحقق ما يتم جمعه، ولماذا، ولأي مدة، ويتضمن رابطاً إلى هذه السياسة، ويطلب منك الموافقة، على سبيل المثال بوضع علامة في مربع. إذا رفضت، ينتهي التحقق ولا تلتقط Didit صورة السيلفي أو فيديو الحيوية الخاص بك. تُسجَّل إجابتك مع جلسة التحقق.

شاشات العميل. حيثما يشغّل العميل شاشات التحقق الخاصة به (رحلات API أو العلامة البيضاء)، تتوقع Didit من العميل الكشف بوضوح عن Didit كمزود للتحقق والحصول على أي إشعار أو موافقة يطلبها القانون قبل بدء التقاط البيانات البيومترية.

سحب الموافقة. يمكنك سحب موافقتك في أي وقت عن طريق الاتصال بالعميل الذي طلب منك التحقق، أو بـ Didit على privacy@didit.me. لا يؤثر سحب الموافقة على المعالجة التي تمت قبله. لحذف البيانات البيومترية التي سبق جمعها، قدّم طلب حذف على النحو الموضح في القسم 10.

10. طلبات الوصول والحذف

للوصول إلى بياناتك البيومترية أو حذفها، اتصل أولاً بالعميل الذي طلب منك التحقق: فهو يتحكم في البيانات ويمكنه اتخاذ إجراء بشأنها مباشرة. يمكنك أيضاً الكتابة إلى privacy@didit.me أو إلى مسؤول حماية البيانات في Didit على dpo@didit.me. حيثما تعمل Didit بصفتها معالجاً للعميل، يجوز لـ Didit إحالة طلبك إلى العميل.

يؤدي طلب الحذف الصالح الذي يشملك إلى حذف بياناتك البيومترية من جميع المخازن، بما في ذلك أي قالب وجه اختار العميل الاحتفاظ به.

11. الأمن

تحمي Didit البيانات البيومترية باستخدام معيار رعاية معقول مصمم للبيانات الحساسة، بما في ذلك ضوابط الوصول، والمراقبة، والتشفير. وتصف سياسة أمن المعلومات الخاصة بنا هذه الضمانات.

12. التغييرات على هذه السياسة

قد تقوم Didit بتحديث هذه السياسة لتعكس التغييرات القانونية، أو التشغيلية، أو المتعلقة بالمنتج. وعندما تفعل ذلك، تقوم بتحديث التاريخ في الجزء العلوي من هذه السياسة.

13. الاتصال

إذا كانت لديك أسئلة حول هذه السياسة، اتصل بـ:

• privacy@didit.me
• dpo@didit.me