Política de privadesa

Aquesta Política de privadesa explica com Didit processa les dades personals quan visites els nostres llocs web, ens contactes, utilitzes els nostres productes i serveis, o completes un flux de verificació d'identitat o frau impulsat per Didit.

Si estàs verificant la teva identitat per a un banc, una fintech, una plataforma de criptomonedes, un marketplace, un ocupador o una altra organització que utilitza Didit, aquesta organització és la part que decideix per què es requereix la verificació. En aquests casos, és el responsable del tractament o negoci, i Didit actua com el seu encarregat del tractament o proveïdor de serveis. Per al tractament específic de verificació, dades biomètriques i fluxos de marca blanca, llegeix el nostre Avís de privadesa de verificació i els Termes d'usuari final per a la verificació d'identitat.

1. Qui som

Depenent del servei i la geografia, les teves dades poden ser processades per una o ambdues de les següents entitats de Didit:

• Didit Identity Spain, S.L., CIF B22929327, Carrer Nàpols 227, P. 1, 08013 Barcelona, Espanya. Entitat contractant per a clients de la Unió Europea, Regne Unit, Espai Econòmic Europeu, Suïssa i Amèrica Llatina, i l'establiment que opera el pla de dades europeu.
• Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Estats Units. Entitat contractant per a clients dels Estats Units, Canadà, Àsia-Pacífic, Orient Mitjà i globals.

Quan diem "Didit", "nosaltres", o "nostre", ens referim a l'entitat o entitats de Didit que proporcionen el servei aplicable.

• Contacte de privadesa: privacy@didit.me
• Delegat de Protecció de Dades: dpo@didit.me
• Contacte de seguretat: security@didit.me
• Contacte general: hello@didit.me

2. Abast i el nostre paper

Aquesta Política de privadesa s'aplica quan:

• visites `didit.me` o qualsevol lloc web operat per Didit;
• sol·licites informació, una demo o suport;
• crees o gestiones una relació comercial, un compte o una integració amb Didit;
• sol·licites un lloc de treball a Didit; o
• utilitzes un flux de verificació, prevenció de frau, autenticació o compliment operat per o a través de Didit.

El nostre paper canvia segons el context:

Si et trobes en un flux de verificació de marca blanca o en un domini personalitzat, la marca personalitzada no significa necessàriament que només l'empresa de la marca processi les teves dades. Didit encara pot proporcionar la tecnologia de verificació subjacent i el tractament relacionat.

3. Categories de dades personals que processem

Les categories de dades que processem depenen del servei, la configuració del flux de treball i la teva relació amb Didit. Poden incloure:

• Identificadors i dades de contacte, nom, adreça de correu electrònic, número de telèfon, adreça postal, data de naixement i informació d'identificació similar.
• Dades comercials i de compte, nom de l'empresa, informació de facturació, credencials de compte, detalls d'ús de l'API i registres de la teva relació amb Didit.
• Dades de verificació, imatges de documents d'identitat, dades de documents extretes, fitxers de prova d'adreça, respostes a qüestionaris, entrades de cribratge de sancions o llistes de vigilància i resultats de verificació.
• Dades biomètriques i de vivacitat, quan el flux de treball inclou verificació facial o comprovacions similars, selfies, imatges facials, vídeos, captures de vivacitat, senyals anti-spoofing i dades derivades d'escanejos de geometria facial.
• Dades de dispositiu, xarxa i tècniques, adreça IP, tipus de navegador, sistema operatiu, idioma, identificadors de dispositiu, marques de temps, geolocalització inferida de dades de xarxa i altres telemetries de seguretat o antifrau.
• Dades de comunicacions i suport, missatges, tiquets de suport, registres de trucades, intercanvis de correu electrònic i registres operatius.
• Dades de tercers i de fonts públiques, informació proporcionada pels nostres clients, socis d'identitat o prevenció de frau, autoritats públiques, proveïdors de telecomunicacions i fonts disponibles públicament quan ho permeti la llei.
• Dades de contractació, CVs, historial laboral i altres materials enviats durant la contractació.

No necessitem totes les categories esmentades anteriorment per a cada interacció. Les dades exactes utilitzades depenen dels serveis sol·licitats i de la configuració seleccionada pel client corresponent.

4. Com utilitzem les dades personals

Podem utilitzar dades personals per a les següents finalitats:

• Per operar els nostres llocs web i serveis, accés al compte, lliurament de productes, suport al client, facturació i comunicacions.
• Per proporcionar serveis d'infraestructura d'identitat i frau, Verificació d'Usuaris (Know Your Customer / KYC), Verificació d'Empreses (Know Your Business / KYB), Monitorització de Transaccions, Anàlisi de Carteres (Know Your Transaction / KYT) i altres comprovacions configurades.
• Per assegurar la plataforma, prevenir abusos, detectar suplantacions, prevenir fraus, monitoritzar activitats sospitoses i mantenir la integritat del servei.
• Per entrenar, avaluar i millorar els models de detecció de frau i verificació utilitzant dades anonimitzades o pseudonimitzades derivades de l'activitat de verificació, quan ho permeti la llei. Consulta la Secció 11 per a l'opció d'exclusió.
• Per respondre a sol·licituds, sol·licituds de demostració, preguntes de suport, sol·licituds de diligència deguda i comunicacions comercials.
• Per gestionar la contractació i la selecció de personal, revisar sol·licituds i comunicar-se amb els candidats.
• Per complir amb les obligacions legals i reguladores, mantenir registres, respondre a sol·licituds legals, fer complir contractes i realitzar auditories internes o externes.
• Per establir, exercir o defensar reclamacions legals i protegir els drets, la seguretat i la integritat de Didit, els nostres clients i les persones afectades.

5. Bases legals per al tractament

Quan s'apliquen el Reglament General de Protecció de Dades (RGPD), el RGPD del Regne Unit, la llei de protecció de dades suïssa o lleis similars, Didit es basa en una o més de les següents bases legals:

• Execució d'un contracte o mesures preses a la teva sol·licitud abans de celebrar un contracte.
• Interessos legítims, assegurar la nostra plataforma, donar suport als clients, prevenir el frau, mantenir registres, entrenar i millorar els models de detecció de frau i verificació amb dades anonimitzades o pseudonimitzades, i comunicar-se amb contactes comercials, sempre que aquests interessos no prevalguin sobre els teus drets.
• Consentiment, incloent-hi quan el consentiment és necessari per a comunicacions de màrqueting, certes cookies o tractament biomètric en una jurisdicció o flux de treball particular.
• Obligació legal, quan el tractament és necessari per complir amb la llei aplicable, la regulació, una ordre judicial o una sol·licitud legal d'autoritats.
• Establiment, exercici o defensa de reclamacions legals.

Quan es processen dades de categoria especial o sensibles, incloses les dades biomètriques utilitzades per identificar-te de manera única, Didit processa aquestes dades només quan ho permet la llei aplicable. En els fluxos de verificació, el client corresponent és responsable de determinar i documentar la base legal principal per a la verificació en si, incloent-hi si es requereix el consentiment explícit.

6. Com divulguem les dades personals

Podem divulgar dades personals a:

• El client que ens va demanar que realitzéssim la verificació, perquè el client pugui completar l'onboarding, la revisió de frau, les comprovacions de compliment o els processos comercials relacionats.
• Entitats del grup Didit, quan sigui necessari per operar, donar suport, assegurar o proporcionar els serveis pertinents.
• Proveïdors de serveis i subencarregats del tractament, proveïdors d'allotjament al núvol, emmagatzematge, infraestructura, comunicacions, suport, anàlisis, prevenció de frau, processament de documents, seguretat, auditoria i serveis professionals. Una llista actual de subencarregats del tractament està disponible per a clients i clients potencials sota un Acord de Confidencialitat (NDA) signat, prèvia sol·licitud a security@didit.me.
• Assessors professionals, advocats, auditors, asseguradors i consultors, quan sigui necessari per a finalitats comercials legítimes, de compliment o legals.
• Autoritats públiques, reguladors, tribunals, forces de l'ordre o altres tercers, quan ho requereixi la llei, el procés legal o una sol·licitud governamental exigible.
• Successors i contraparts de transaccions, si Didit està involucrat en una fusió, adquisició, finançament, procés d'insolvència o venda d'actius, subjecte a confidencialitat i salvaguardes legals.

Didit no ven, lloga, comercialitza ni obté beneficis d'una altra manera dels identificadors biomètrics o la informació biomètrica.

7. Transferències internacionals

Didit pot processar dades en diversos països. Quan les dades personals es transfereixen fora de l'Espai Econòmic Europeu, el Regne Unit, Suïssa o una altra jurisdicció amb restriccions de transferència, Didit utilitza salvaguardes adequades quan es requereix, incloent-hi:

• decisions d'adequació;
• les Clàusules Contractuals Tipus (CCT) de la Comissió Europea de 2021 i qualsevol addenda equivalent del Regne Unit o Suïssa;
• acords de transferència intragrup; o
• un altre mecanisme de transferència legal reconegut per la llei aplicable.

8. Retenció

Didit reté les dades personals durant el temps raonablement necessari per a les finalitats descrites en aquesta Política de privadesa, incloent-hi:

• proporcionar i donar suport als serveis pertinents;
• seguir les instruccions del client en les relacions amb l'encarregat del tractament;
• complir amb les obligacions contractuals, legals, fiscals, comptables i reguladores;
• mantenir registres de seguretat i prevenció de frau;
• resoldre disputes; i
• establir, exercir o defensar reclamacions legals.

Els períodes de retenció varien segons el servei, la configuració del flux de treball, la llei aplicable i el paper que Didit juga en el tractament:

• Les dades de la relació comercial es retenen normalment durant la durada de la relació i durant els períodes legals de conservació de registres posteriors a la finalització.
• Els registres de suport i auditoria es poden retenir per a finalitats operatives, de seguretat i de compliment.
• Les dades de contractació es retenen per al procés de contractació i qualsevol període de seguiment legal, o més temps si hi consents per separat.
• Les dades de verificació, la retenció per defecte és indefinida ("il·limitada"), tret que el client configuri un període més curt. Els clients configuren la retenció per aplicació a la Consola de Negocis entre 30 dies i 10 anys, o activen una eliminació per sessió en qualsevol moment mitjançant l'endpoint de l'API `POST /v3/sessions/:session_id/delete/`. Els usuaris finals també poden exercir els drets d'eliminació tal com es descriu a la Secció 9. La retenció de dades biomètriques està en tots els casos subjecta i limitada per les lleis i regulacions de privadesa biomètrica aplicables, incloent-hi l'article 9 del Reglament General de Protecció de Dades (RGPD) de la UE, la Llei de Privadesa de la Informació Biomètrica d'Illinois (BIPA), la Llei de Captura o Ús d'Identificadors Biomètrics de Texas (CUBI), la H.B. 1493 de Washington i qualsevol altra llei de privadesa biomètrica aplicable; quan aquesta llei prescrigui un període de retenció més curt o una obligació de destrucció anterior, aquesta norma més curta o estricta preval sobre qualsevol període de retenció per defecte o configurat pel client.

Quan les dades ja no són necessàries, Didit les elimina, redacta, anonimitza, desidentifica o destrueix de manera segura. Per a dades biomètriques i mitjans de verificació, consulta l'Avís de privadesa de verificació.

9. Els teus drets

Depenent de la teva ubicació i la llei aplicable, pots tenir dret a:

• accedir a les teves dades personals;
• sol·licitar la correcció de dades inexactes o incompletes;
• sol·licitar l'eliminació o supressió;
• sol·licitar la restricció del tractament;
• oposar-te a certs tractaments, inclòs el tractament basat en interessos legítims (consulta la Secció 11 per a l'opció d'exclusió de l'entrenament de models i la detecció de frau);
• retirar el consentiment quan el tractament es basi en el consentiment;
• sol·licitar la portabilitat de les dades que has proporcionat;
• no ser objecte d'una decisió basada únicament en el tractament automatitzat, inclosa la creació de perfils, que produeixi efectes jurídics o similarment significatius, subjecte a les condicions i excepcions de l'article 22 del RGPD; i
• presentar una reclamació davant una autoritat de supervisió. L'autoritat de supervisió principal de Didit és l'Agencia Española de Protección de Datos (AEPD) a `aepd.es`.

Quan Didit actua com a responsable del tractament, envia les sol·licituds de privadesa a privacy@didit.me o dpo@didit.me.

Quan Didit actua com a encarregat del tractament o proveïdor de serveis per a un flux de verificació de client, dirigeix la teva sol·licitud a l'organització que et va demanar que verifiquessis. Aquest client controla la finalitat de la verificació i està en la millor posició per respondre. Si Didit rep una sol·licitud d'aquest tipus directament, la podem reenviar al client corresponent.

10. Cookies i tecnologies similars

Didit utilitza cookies i tecnologies similars als seus llocs web per a la funcionalitat, la seguretat, l'anàlisi i l'atribució. Llegeix la nostra Política de cookies per a l'inventari complet, els controls del bàner de consentiment i la nostra postura sobre el Control Global de Privadesa (GPC) i Do Not Track (DNT).

11. Entrenament de models anonimitzats i detecció de frau, la teva opció d'exclusió

Didit entrena, avalua i millora els seus models de verificació d'identitat, biomètrics i de detecció de frau, i opera salvaguardes de prevenció de frau entre clients, utilitzant dades anonimitzades o pseudonimitzades derivades de l'activitat de verificació (per exemple: característiques de documents, senyals de frau, patrons d'atac, mostres d'errors de model). Didit aplica anonimització, pseudonimització, agregació i controls d'accés perquè les dades utilitzades per a l'entrenament i la detecció de frau no es puguin vincular raonablement a una persona identificable fora del registre de verificació subjacent.

Aquest tractament es basa en l'interès legítim de Didit en:

• millorar la precisió i la seguretat de la infraestructura d'identitat i frau utilitzada per tots els clients;
• detectar i prevenir el frau, els atacs de suplantació d'identitat, els deepfakes i els intents repetits d'atacants coneguts; i
• complir les expectatives reguladores sobre el rendiment, l'equitat i la seguretat dels models.

Opció d'exclusió. Un client o usuari final pot excloure les seves dades del tractament d'entrenament de models i detecció de frau mitjançant:

• l'eliminació del registre de verificació subjacent mitjançant l'API o la Consola de Negocis (l'eliminació elimina el registre de les pipelines d'entrenament en el següent cicle d'actualització), o
• l'enviament d'un correu electrònic a privacy@didit.me amb l'identificador de sessió o el compte corresponent, sol·licitant una exclusió.

Les exclusions s'apliquen prospectivament des de la data de la sol·licitud; Didit també farà esforços comercialment raonables per purgar els registres elegibles dels conjunts de dades d'entrenament actius.

12. Estats Units, Addenda de la Llei de Privadesa del Consumidor de Califòrnia (CCPA) / Llei de Drets de Privadesa de Califòrnia (CPRA)

Aquesta secció complementa aquesta Política de privadesa per als residents de Califòrnia i s'aplica sempre que Didit sigui un "negoci" segons la Llei de Privadesa del Consumidor de Califòrnia (CCPA), modificada per la Llei de Drets de Privadesa de Califòrnia (CPRA). Quan Didit és un "proveïdor de serveis" o "contractista" d'un client de Didit (un "negoci" segons la CCPA), l'avís de privadesa del client regeix el flux de verificació pertinent i Didit processa la informació personal segons l'Acord de Tractament de Dades pertinent.

Categories d'informació personal recollida en els últims 12 mesos (categories de la CCPA):

• Identificadors (nom, correu electrònic, telèfon, adreça IP, identificadors de dispositiu).
• Registres de clients (facturació, contacte, compte).
• Activitat d'Internet o de xarxa (navegació, interaccions, telemetria).
• Dades de geolocalització (inferides de l'IP).
• Dades sensorials (selfies, imatges facials, vídeo de vivacitat, imatges de documents).
• Dades professionals o laborals (per a candidats).
• Informació personal sensible (SPI), inclosa la informació biomètrica utilitzada per identificar de manera única un consumidor, els identificadors governamentals continguts en documents d'identitat i les credencials d'inici de sessió del compte.
• Inferències derivades de qualsevol de les anteriors (puntuacions de risc, senyals de frau, resultats de decisions).

Finalitats, les finalitats enumerades a la Secció 4.

Venda o compartició d'informació personal. Didit no ven ni comparteix (tal com es defineixen aquests termes segons la CCPA/CPRA) informació personal, inclosa la informació biomètrica.

Ús i divulgació d'informació personal sensible. Didit utilitza informació personal sensible només per a les finalitats permeses segons el Codi Civil de Califòrnia § 1798.121(a) i les regulacions d'implementació, per proporcionar i assegurar el servei de verificació, prevenir fraus i incidents de seguretat, complir amb les obligacions legals i altres finalitats permeses sense un dret de limitació del consumidor separat.

Els teus drets a Califòrnia:

• dret a saber quina informació personal es recull, utilitza, divulga i ven/comparteix;
• dret a eliminar informació personal;
• dret a corregir informació personal inexacta;
• dret a optar per no vendre o compartir (Didit no fa cap de les dues coses);
• dret a limitar l'ús i la divulgació d'informació personal sensible (el tractament de Didit ja està limitat a finalitats que no activen el dret);
• dret a la portabilitat de dades; i
• dret a la no discriminació per exercir qualsevol dels anteriors.

Envia les sol·licituds de Califòrnia a privacy@didit.me. Es pot requerir la verificació de la teva identitat abans de respondre. Els agents autoritzats poden enviar sol·licituds amb prova d'autorització.

Control Global de Privadesa (GPC) i Do Not Track (DNT). Didit respecta els senyals de Control Global de Privadesa basats en el navegador al lloc de màrqueting com una opció d'exclusió de venda o compartició, tot i que Didit no ven ni comparteix informació personal, els senyals GPC es registren perquè no s'estableixi cap cookie de publicitat o anàlisi que es pugui interpretar com a compartició per a aquest navegador. Didit actualment no respon als encapçalaments antics de Do Not Track (DNT) perquè no hi ha un consens de la indústria sobre com interpretar-los; el senyal GPC substitueix el DNT per a les finalitats de Didit.

13. Seguretat

Didit utilitza salvaguardes administratives, tècniques i organitzatives dissenyades per protegir les dades personals contra l'accés no autoritzat, la pèrdua, l'ús indegut, l'alteració i la destrucció il·lícita, incloent-hi el xifratge en repòs amb AES-256, el xifratge en trànsit amb TLS 1.3, la gestió de claus a AWS KMS, el control d'accés basat en rols, la separació d'entorns, la monitorització contínua, la supervisió de proveïdors i els procediments de resposta a incidents. Consulta la Política de seguretat de la informació per a la postura i les certificacions completes.

Cap mesura de seguretat és perfecta. També has de protegir els teus propis dispositius, credencials i comunicacions.

14. Menors

Els llocs web públics i els serveis comercials estàndard de Didit no estan dirigits a menors. Alguns clients poden utilitzar legalment Didit per a comprovacions relacionades amb l'edat o la identitat que impliquin usuaris més joves, però aquest ús ha d'estar recolzat per una base legal adequada i els propis avisos del client. Si creus que es van enviar dades personals a Didit sense l'autorització adequada, contacta amb privacy@didit.me.

15. Canvis a aquesta Política de privadesa

Podem actualitzar aquesta Política de privadesa de tant en tant per reflectir canvis legals, tècnics, operatius o de producte. La data d'entrada en vigor a la part superior de la política reflecteix l'última actualització. Els canvis materials es comunicaran quan ho requereixi la llei.

16. Contacte

• General: hello@didit.me
• Privadesa: privacy@didit.me
• Delegat de Protecció de Dades: dpo@didit.me
• Seguretat i paquet de confiança: security@didit.me
• Legal / contractes: legal@didit.me