Política de retenció i destrucció de dades biomètriques

Aquesta Política de retenció i destrucció de dades biomètriques explica quines dades biomètriques processa Didit quan presta serveis de verificació d'identitat i de prevenció de fraus als seus clients, per què Didit les utilitza, durant quant de temps es conserven i com es destrueixen. Constitueix el calendari de retenció i les directrius de destrucció de dades biomètriques de Didit, de caràcter públic i per escrit, també als efectes de la Llei de Privadesa de la Informació Biomètrica d'Illinois (740 ILCS 14/15(a)) i de la legislació de Colorado (C.R.S. § 6-1-1314).

Aquesta política complementa el nostre Avís de privadesa de verificació, les nostres Condicions d'ús per a la verificació d'identitat de l'usuari final i la nostra Política de privadesa.

1. Abast

Aquesta política s'aplica a les dades biomètriques que Didit processa quan completes un flux de verificació (un flux allotjat per Didit, un SDK, una experiència de marca blanca o un trajecte basat en API) que un client de Didit (el "Client") ha configurat amb una captura facial, com ara un selfie, una comprovació de vivacitat o una coincidència facial.

2. Qui decideix i qui processa les dades

• El Client que et demana que et verifiquis decideix per què i com es recullen les teves dades biomètriques. És el responsable del tractament d'aquestes dades, o té la funció equivalent d'acord amb la llei aplicable.
• Didit processa les dades biomètriques en nom del Client i d'acord amb les seves instruccions documentades, com a encarregat del tractament o proveïdor de serveis del Client.

3. Quines dades biomètriques recull Didit

Depenent de com el Client hagi configurat la verificació, Didit pot recollir:

• Geometria facial i plantilles facials: mesures dels trets facials obtingudes del teu selfie, de la teva captura de vivacitat o del retrat del teu document d'identitat, i les plantilles (representacions numèriques d'una cara) creades a partir d'aquestes mesures.
• Imatges de selfie preses durant la verificació.
• Retrat del document: la imatge de la teva cara que apareix al document d'identitat que envies.
• Vídeo de vivacitat: el vídeo o els fotogrames d'imatge capturats per confirmar que hi ha una persona real present.

4. Per què les utilitza Didit

Didit utilitza les dades biomètriques per verificar la identitat i prevenir el frau per al Client, d'acord amb les instruccions del Client:

• per comprovar que la persona que presenta un document d'identitat és la persona que hi apareix;
• per confirmar que hi ha una persona real i viva present i per detectar intents de suplantació; i
• quan el Client habiliti aquestes funcions, per detectar comptes duplicats i cares incloses a la llista de bloqueig del Client.

5. Calendari de retenció

Les dades biomètriques se suprimeixen en el primer dels moments següents:

1. el moment en què s'hagi complert la finalitat per a la qual el Client les va recollir;
2. la fi del període de retenció establert pel Client; i
3. per a les persones emparades per les lleis estatals que s'indiquen a continuació, el venciment del termini estatal, comptat des de la seva última verificació amb aquest Client.

La teva última verificació amb un Client és la teva sessió de verificació més recent per a aquest Client, i una nova sessió reinicia el còmput. Un termini estatal s'aplica encara que la configuració de retenció del Client sigui més llarga, fins i tot quan estigui configurada com a il·limitada. Quan s'aplica més d'un termini, s'aplica el que venç primer.

Un termini estatal se t'aplica quan, per exemple, et trobaves en aquest estat en el moment en què es va capturar la teva cara, el teu document d'identitat va ser expedit per aquest estat o el Client va comunicar a Didit que et trobes en aquest estat.

Didit no conserva dades biomètriques un cop vençut el seu termini.

6. Com funciona la supressió

• Permanent. La supressió és permanent. Didit no conserva cap còpia de les dades biomètriques suprimides.
• Tots els magatzems. La supressió abasta tots els llocs on Didit conserva les dades: les imatges i el vídeo originals, la geometria facial i les plantilles creades a partir d'aquests, i les entrades de cerca facial utilitzades per a les comprovacions de duplicats i de llista de bloqueig, inclosos els sistemes dels subencarregats del tractament de Didit.
• Automàtica. Didit aplica automàticament els terminis de la secció 5, sense esperar cap sol·licitud.
• Registrada. Didit registra que s'ha dut a terme una supressió, sense conservar les dades suprimides.

Les dades biomètriques també se suprimeixen abans que venci qualsevol termini quan el Client dona instruccions a Didit perquè les suprimeixi, o quan s'accepta una sol·licitud de supressió vàlida que et cobreixi (consulta la secció 10).

7. Cap venda ni benefici

Didit no ven, lloga, comercialitza ni n'obté beneficis de cap altra manera d'identificadors biomètrics o informació biomètrica.

8. Encarregats i subencarregats del tractament

Didit recorre a subencarregats del tractament, com ara proveïdors d'allotjament i emmagatzematge al núvol, perquè l'ajudin a prestar el servei. Didit imposa a cada subencarregat del tractament obligacions de protecció de dades substancialment similars a les del seu Annex de Tractament de Dades, que forma part dels Termes i Condicions Comercials, i continua sent responsable davant del Client del compliment per part d'aquests. Els Clients poden sol·licitar la llista actual de subencarregats del tractament a privacy@didit.me.

9. Consentiment i retirada

Abans de la captura. Quan la llei ho exigeixi, se't demana el teu consentiment explícit abans que es capturi el teu selfie o el teu vídeo de vivacitat. El flux de verificació explica què es recull, per què i durant quant de temps, enllaça a aquesta política i et demana que hi donis la teva conformitat, per exemple, marcant una casella. Si t'hi negues, la verificació finalitza i Didit no captura el teu selfie ni el teu vídeo de vivacitat. La teva resposta queda registrada amb la sessió de verificació.

Pantalles del Client. Quan el Client gestiona les seves pròpies pantalles de verificació (trajectes API o de marca blanca), Didit espera que el Client identifiqui clarament Didit com a proveïdor de verificació i que obtingui qualsevol avís o consentiment requerit per la llei abans que comenci la captura biomètrica.

Retirada. Pots retirar el teu consentiment en qualsevol moment contactant amb el Client que et va demanar que et verifiquessis, o amb Didit a privacy@didit.me. La retirada del consentiment no afecta el tractament dut a terme abans de la retirada. Perquè se suprimeixin les dades biomètriques ja recollides, presenta una sol·licitud de supressió tal com es descriu a la secció 10.

10. Sol·licituds d'accés i supressió

Per accedir a les teves dades biomètriques o suprimir-les, contacta primer amb el Client que et va demanar que et verifiquessis: aquest controla les dades i hi pot actuar directament. També pots escriure a privacy@didit.me o al Delegat de Protecció de Dades de Didit a dpo@didit.me. Quan Didit actua com a encarregat del tractament del Client, Didit pot reenviar la teva sol·licitud al Client.

Una sol·licitud de supressió vàlida que et cobreixi suprimeix les teves dades biomètriques de tots els magatzems, inclosa qualsevol plantilla facial que el Client hagi optat per retenir.

11. Seguretat

Didit protegeix les dades biomètriques amb un estàndard de cura raonable dissenyat per a dades sensibles, que inclou controls d'accés, monitorització i xifratge. La nostra Política de seguretat de la informació descriu aquestes salvaguardes.

12. Canvis en aquesta política

Didit pot actualitzar aquesta política per reflectir canvis legals, operatius o de producte. Quan ho faci, actualitzarà la data que figura a la part superior d'aquesta política.

13. Contacte

Si tens preguntes sobre aquesta política, contacta amb:

• privacy@didit.me
• dpo@didit.me