Avís de privadesa de verificació

Aquest Avís de privadesa de verificació explica com Didit processa dades personals, incloses dades biomètriques, quan Didit proporciona un flux de treball de verificació d'identitat, prevenció de fraus, autenticació o compliment en nom d'un dels seus clients.

Aquest avís complementa la nostra Política de privadesa i les nostres Condicions d'ús per a la verificació d'identitat de l'usuari final.

1. Abast

Aquest avís s'aplica quan interactues amb un flux de verificació, una pàgina allotjada, un SDK, un trajecte basat en API, un flux mòbil o una experiència de marca blanca impulsada per Didit per a un Client.

Cobreix el processament de:

• dades d'identitat i contacte;
• documents i fitxers que envies;
• selfies, imatges facials, vídeos i captures de vivacitat;
• dades biomètriques derivades d'aquestes presentacions;
• telemetria de dispositiu, IP, ubicació i antifrau;
• resultats de verificació, senyals de risc i registres d'auditoria; i
• registres de suport, compliment i seguretat relacionats amb la sessió de verificació.

2. Qui són les parts i quins són els seus rols?

Si el trajecte de verificació és de marca blanca o utilitza un domini personalitzat, Didit pot ser el proveïdor de tecnologia que processa les teves dades darrere de la interfície de marca.

3. Categories de dades utilitzades en la verificació

Depenent del flux de treball configurat, Didit pot processar:

• Dades d'identitat, com ara nom, data de naixement, adreça, número de telèfon, correu electrònic, nacionalitat i altres detalls identificatius.
• Dades de documents, com ara passaports, documents d'identitat, permisos de residència, carnets de conduir, documents de prova de domicili i dades extretes d'aquests materials.
• Dades biomètriques i de vivacitat, com ara imatges facials, imatges de selfie, vídeos, captures de vivacitat, senyals anti-spoofing i dades derivades d'escanejos de geometria facial utilitzades per comparar la teva cara amb el document d'identitat o per confirmar que hi ha una persona real present.
• Dades tècniques i de prevenció de fraus, com ara adreça IP, navegador, dades del dispositiu, marques de temps, dades de sessió, geolocalització inferida de dades de xarxa i senyals d'integritat o risc similars.
• Dades de qüestionari i flux de treball, com ara declaracions, respostes, fitxers carregats, registres de consentiment i transicions d'estat.
• Resultats de verificació, com ara puntuacions de coincidència, advertències, indicadors de frau, resultats de revisió i proves d'auditoria.

4. Finalitats del tractament

Didit pot processar les dades anteriors per a:

• verificar la identitat i autenticar una persona;
• comprovar l'autenticitat i la integritat dels documents;
• detectar suplantacions, manipulacions, fraus o abusos;
• complir amb els requisits legals, reguladors, de sancions, de blanqueig de capitals (AML), de coneixement del client (KYC) i de gestió de riscos configurats pel Client;
• protegir el flux de verificació i la infraestructura subjacent;
• donar suport a la revisió manual, el reenviament, l'escalada i els processos d'auditoria;
• respondre a sol·licituds legals i defensar reclamacions legals; i
• mantenir la integritat del servei, solucionar incidents i realitzar un seguiment de la qualitat i la seguretat.

Quan la llei ho permeti i s'estableixin controls adequats, Didit també pot utilitzar dades relacionades amb la verificació anonimitzades o pseudonimitzades per a proves de servei, garantia de qualitat, formació i validació de models de frau i millora de la seguretat. Quan es requereixi un avís separat, consentiment o base legal addicional per a un ús secundari, Didit l'obtindrà o s'abstindrà d'aquest ús.

Tu (o el Client en el teu nom) pots optar per no participar en aquest processament anonimitzat/pseudonimitzat (a) eliminant el registre de verificació subjacent mitjançant l'aplicació del Client o mitjançant l'API o la Consola de Negocis de Didit, o (b) enviant un correu electrònic a privacy@didit.me amb l'identificador de sessió o compte rellevant. Les exclusions s'apliquen de manera prospectiva des de la data de la sol·licitud; Didit també farà esforços comercialment raonables per eliminar els registres elegibles dels conjunts de dades d'entrenament actius.

5. Com Didit gestiona les dades biomètriques

Als efectes d'aquest avís, les dades biomètriques inclouen dades derivades d'escanejos de geometria facial o característiques biomètriques similars extretes d'imatges o vídeos, quan aquestes dades s'utilitzen per verificar la identitat, confirmar la vivacitat o prevenir el frau.

Quan un flux de treball inclou verificació facial o de vivacitat, Didit pot:

• capturar o rebre imatges de selfie, imatges facials i/o vídeo;
• extreure característiques facials d'aquestes presentacions i del retrat del teu document d'identitat;
• comparar aquests senyals per verificar que la persona que presenta el document és la mateixa persona que es mostra al document;
• analitzar indicadors de vivacitat i anti-spoofing per confirmar que hi ha una persona real present; i
• generar resultats de verificació, indicadors de confiança i senyals de frau o revisió.

Didit:

• utilitza dades biomètriques només per als propòsits legals descrits en aquest avís, les instruccions del Client i la llei aplicable;
• aplica salvaguardes dissenyades per a dades sensibles, inclosos controls d'accés, monitorització i pràctiques de gestió segura;
• no ven, lloga, comercialitza ni obté beneficis d'identificadors biomètrics o informació biomètrica; i
• espera que els Clients que utilitzen trajectes API o de marca blanca divulguin clarament Didit com a proveïdor de verificació i obtinguin qualsevol avís o consentiment requerit per la llei abans que comenci la captura biomètrica.

6. Divulgacions addicionals de privadesa biomètrica dels EUA

Si et trobes a Illinois, Texas, Washington o una altra jurisdicció amb requisits de privadesa biomètrica, els següents punts addicionals són importants:

• Les dades biomètriques poden incloure dades derivades d'escanejos de geometria facial, imatges de selfie, vídeo de vivacitat o mitjans similars de verificació d'identitat.
• Se't pot demanar que proporcionis un consentiment explícit electrònic o escrit abans que es capturin o carreguin dades biomètriques.
• El Client ha d'identificar Didit com a proveïdor o processador de verificació quan presenti els avisos requerits en trajectes de marca blanca o basats en API.
• Didit utilitza dades biomètriques per realitzar la verificació d'identitat, la vivacitat, l'anti-spoofing, la prevenció de fraus, la seguretat i les operacions de compliment relacionades sol·licitades pel Client.
• Didit reté les dades biomètriques només durant el temps necessari per proporcionar el servei, seguir les instruccions legals del Client, complir les obligacions legals, resoldre disputes o defensar reclamacions, i en cap cas més temps del que permet la llei aplicable.
• Didit utilitza un estàndard de cura raonable dissenyat per a dades sensibles i no ven, lloga, comercialitza ni obté beneficis d'identificadors biomètrics o informació biomètrica.

Si una jurisdicció requereix un període de retenció més curt, un calendari públic separat o divulgacions addicionals, Didit i el Client aplicaran el requisit més curt o estricte que regeixi el flux de verificació rellevant.

Altres jurisdiccions amb requisits de privadesa biomètrica. Els punts anteriors s'apliquen, amb els ajustos adequats, a qualsevol altre estat, província, país o jurisdicció amb requisits de privadesa biomètrica, incloent (sense limitació) el tractament de la informació personal sensible de la Llei de Privadesa del Consumidor de Califòrnia (CCPA) / Llei de Drets de Privadesa de Califòrnia (CPRA), la Llei de Privadesa de Colorado (CPA), la Llei de Protecció de Dades del Consumidor de Virgínia (VCDPA), la Llei de Privadesa de Dades de Connecticut (CTDPA), la Llei de Privadesa del Consumidor d'Utah (UCPA), les propostes de privadesa biomètrica de Nova York, el marc de l'article 9 del Reglament General de Protecció de Dades (GDPR) de la Unió Europea per a dades biomètriques, el GDPR del Regne Unit i la Llei de Protecció de Dades de 2018, la Llei Federal Suïssa de Protecció de Dades (FADP), la Llei de Protecció de la Informació Personal i els Documents Electrònics (PIPEDA) del Canadà i la Llei 25 del Quebec, la Lei Geral de Proteção de Dados (LGPD) del Brasil i qualsevol futura llei de privadesa biomètrica que s'apliqui al flux de verificació rellevant.

7. Divulgacions i proveïdors de serveis

Didit pot divulgar dades relacionades amb la verificació a:

• el Client que et va demanar que et verifiquessis;
• entitats del grup Didit implicades en el lliurament, suport o seguretat del servei;
• proveïdors d'allotjament, emmagatzematge al núvol, comunicacions, identitat, frau, anàlisi, auditoria, seguretat i serveis professionals;
• reguladors, tribunals, forces de l'ordre o autoritats públiques quan sigui legalment requerit; i
• contraparts de transaccions en una fusió, adquisició, reestructuració o transferència d'actius, subjecte a salvaguardes legals.

Els destinataris exactes depenen del servei, la regió, la configuració del flux de treball i els requisits legals.

8. Transferències internacionals

Les dades de verificació es poden processar en països diferents del país on vas iniciar el flux de verificació. Quan ho requereixi la llei, Didit aplica salvaguardes de transferència adequades, com ara decisions d'adequació, clàusules contractuals tipus o altres mecanismes legals reconeguts.

9. Retenció i destrucció

Retenció per defecte. El període de retenció per defecte per a les dades de verificació és indefinit ("il·limitat") tret que el Client configuri un període més curt o exerceixis un dret de supressió. Els Clients poden configurar la retenció per aplicació a la Consola de Negocis entre 30 dies i 10 anys i poden eliminar qualsevol sessió de verificació individual en qualsevol moment. També pots exercir els drets de supressió tal com es descriu a la Secció 11. La retenció de dades biomètriques està en tots els casos subjecta i limitada per les lleis i regulacions de privadesa biomètrica aplicables, inclòs l'article 9 del Reglament General de Protecció de Dades (GDPR) de la UE, la Llei de Privadesa de la Informació Biomètrica d'Illinois (BIPA), la Llei de Captura o Ús d'Identificadors Biomètrics de Texas (CUBI), la Llei H.B. 1493 de Washington i qualsevol altra llei de privadesa biomètrica aplicable; quan aquesta llei prescrigui un període de retenció més curt o una obligació de destrucció anterior, aquesta norma més curta o estricta preval sobre qualsevol període de retenció per defecte o configurat pel Client.

En tots els casos, Didit reté les dades de verificació, incloses les dades biomètriques, segons:

• les instruccions documentades del Client i la configuració de retenció (mínim 30 dies, màxim 10 anys, o il·limitat si el Client no ha reduït el límit);
• les obligacions contractuals, reguladores, d'auditoria i legals aplicables;
• les necessitats de prevenció de fraus, seguretat i resolució de disputes; i
• la norma de retenció més curta o estricta requerida per la llei aplicable, que sempre preval.

Quan les dades rellevants ja no són necessàries, Didit les elimina, redacta, anonimitza, desidentifica o destrueix de manera segura.

Per a les dades biomètriques, Didit s'esforça per garantir que els identificadors biomètrics i la informació biomètrica s'eliminin, desidentifiquin o destrueixin de manera segura quan:

• s'ha complert la finalitat de verificació original;
• expira el període de retenció aplicable;
• el Client ordena legalment la supressió; o
• la llei aplicable exigeix una destrucció anterior.

10. Processament automatitzat i revisió humana

Didit pot utilitzar sistemes automatitzats per revisar la integritat dels documents, la vivacitat, la coincidència facial, els indicadors de frau i altres senyals de verificació. Algunes sessions també es poden derivar a revisió humana, control de qualitat o escalada, depenent del flux de treball i la configuració de risc del Client.

Excepte quan un servei específic indiqui el contrari, el Client segueix sent responsable de com utilitza el resultat de la verificació en la seva pròpia presa de decisions empresarials.

11. Drets i sol·licituds

Si vols accedir, corregir, eliminar, restringir, oposar-te o exercir d'altra manera els drets sobre les dades processades en una sessió de verificació específica, generalment has de contactar primer amb el Client. El Client sol determinar la finalitat principal de la verificació i és el millor punt de contacte per als drets vinculats a aquesta relació.

Si Didit rep una sol·licitud directament en un context de processador, Didit pot reenviar o redirigir la sol·licitud al Client rellevant quan sigui apropiat. Si Didit actua com a responsable del tractament independent per a una finalitat de processament limitada, també pots contactar amb privacy@didit.me o amb el Delegat de Protecció de Dades de Didit a dpo@didit.me.

També pots presentar una reclamació davant una autoritat de supervisió. L'autoritat de supervisió principal de Didit és l'Agència Espanyola de Protecció de Dades (AEPD) a `aepd.es`. També pots presentar una reclamació davant la teva autoritat local de protecció de dades.

12. Seguretat

Didit utilitza salvaguardes tècniques, organitzatives i administratives dissenyades per protegir les dades de verificació, incloses les dades sensibles i biomètriques. Aquestes salvaguardes poden incloure xifratge, controls d'accés, separació d'entorns, registre, monitorització i procediments de resposta a incidents.

13. Menors

Didit no pretén que aquest avís de verificació autoritzi la recollida il·lícita de dades de menors. Si un flux de verificació s'utilitza per a comprovacions relacionades amb l'edat o la joventut, el Client ha de garantir una base legal, avisos adequats i els permisos parentals o del tutor requerits.

14. Canvis a aquest avís

Didit pot actualitzar aquest Avís de privadesa de verificació de tant en tant per reflectir canvis legals, operatius o de producte. Quan ho fem, actualitzarem la data d'entrada en vigor a la part superior d'aquest avís.

15. Contacte

Si tens preguntes sobre aquest avís, contacta amb:

• privacy@didit.me
• hello@didit.me