Política de Retención y Destrucción de Datos Biométricos

Esta Política de Retención y Destrucción de Datos Biométricos explica qué datos biométricos procesa Didit cuando presta servicios de verificación de identidad y prevención de fraude a sus clientes, por qué Didit los utiliza, durante cuánto tiempo se conservan y cómo se destruyen. Constituye el calendario de retención y las directrices de destrucción de datos biométricos de Didit, de carácter público y por escrito, también a efectos de la Ley de Privacidad de la Información Biométrica de Illinois (740 ILCS 14/15(a)) y de la legislación de Colorado (C.R.S. § 6-1-1314).

Esta política complementa nuestro Aviso de Privacidad de Verificación, nuestros Términos de Usuario Final para la Verificación de Identidad y nuestra Política de Privacidad.

1. Alcance

Esta política se aplica a los datos biométricos que Didit procesa cuando completas un flujo de verificación (un flujo alojado por Didit, un SDK, una experiencia de marca blanca o un proceso impulsado por API) que un cliente de Didit (el "Cliente") ha configurado con una captura facial, como un selfie, una comprobación de vivacidad o una coincidencia facial.

2. Quién decide y quién procesa los datos

• El Cliente que te pide que te verifiques decide por qué y cómo se recopilan tus datos biométricos. Es el responsable del tratamiento de esos datos, o desempeña la función equivalente conforme a la ley aplicable.
• Didit procesa los datos biométricos en nombre del Cliente y conforme a sus instrucciones documentadas, como su encargado del tratamiento o proveedor de servicios.

3. Qué datos biométricos recopila Didit

Dependiendo de cómo haya configurado el Cliente la verificación, Didit puede recopilar:

• Geometría facial y plantillas faciales: mediciones de los rasgos faciales obtenidas de tu selfie, de tu captura de vivacidad o del retrato de tu documento de identidad, y las plantillas (representaciones numéricas de un rostro) creadas a partir de ellas.
• Imágenes de selfie tomadas durante la verificación.
• Retrato del documento: la imagen de tu rostro que figura en el documento de identidad que envías.
• Vídeo de vivacidad: el vídeo o los fotogramas de imagen capturados para confirmar que hay una persona real presente.

4. Por qué los utiliza Didit

Didit utiliza los datos biométricos para verificar la identidad y prevenir el fraude para el Cliente, conforme a las instrucciones del Cliente:

• para comprobar que la persona que presenta un documento de identidad es la persona que aparece en él;
• para confirmar que hay una persona real y viva presente y para detectar intentos de suplantación; y
• cuando el Cliente habilite dichas funciones, para detectar cuentas duplicadas y rostros incluidos en la lista de bloqueo del Cliente.

5. Calendario de retención

Los datos biométricos se eliminan en el primero de los siguientes momentos:

1. el momento en que se haya cumplido la finalidad con la que el Cliente los recopiló;
2. el final del período de retención establecido por el Cliente; y
3. en el caso de las personas amparadas por las leyes estatales que se indican a continuación, el vencimiento del plazo estatal, contado desde su última verificación con ese Cliente.

Tu última verificación con un Cliente es tu sesión de verificación más reciente para ese Cliente, y una nueva sesión reinicia el cómputo. Un plazo estatal se aplica aunque la configuración de retención del Cliente sea más larga, incluso cuando esté configurada como ilimitada. Cuando se aplique más de un plazo, se aplicará el que venza primero.

Un plazo estatal se te aplica cuando, por ejemplo, te encontrabas en ese estado en el momento en que se capturó tu rostro, tu documento de identidad fue expedido por ese estado o el Cliente comunicó a Didit que te encuentras en ese estado.

Didit no conserva datos biométricos una vez vencido su plazo.

6. Cómo funciona la eliminación

• Permanente. La eliminación es permanente. Didit no conserva ninguna copia de los datos biométricos eliminados.
• Todos los almacenes. La eliminación abarca todos los lugares en los que Didit mantiene los datos: las imágenes y el vídeo originales, la geometría facial y las plantillas creadas a partir de ellos, y las entradas de búsqueda facial utilizadas para las comprobaciones de duplicados y de lista de bloqueo, incluidos los sistemas de los subencargados del tratamiento de Didit.
• Automática. Didit aplica automáticamente los plazos de la sección 5, sin esperar a que se presente una solicitud.
• Registrada. Didit registra que se ha producido una eliminación, sin conservar los datos eliminados.

Los datos biométricos también se eliminan antes de que venza cualquier plazo cuando el Cliente indica a Didit que los elimine, o cuando se acepta una solicitud de eliminación válida que te cubra (véase la sección 10).

7. Sin venta ni lucro

Didit no vende, alquila, comercializa ni obtiene beneficios de otro modo de identificadores biométricos o información biométrica.

8. Encargados y subencargados del tratamiento

Didit recurre a subencargados del tratamiento, como proveedores de alojamiento y almacenamiento en la nube, para que le ayuden a prestar el servicio. Didit impone a cada subencargado del tratamiento obligaciones de protección de datos sustancialmente similares a las de su Anexo de Tratamiento de Datos, que forma parte de los Términos y Condiciones Comerciales, y sigue siendo responsable ante el Cliente del cumplimiento por parte de estos. Los Clientes pueden solicitar la lista actual de subencargados del tratamiento en privacy@didit.me.

9. Consentimiento y retirada

Antes de la captura. Cuando la ley lo exija, se te solicita tu consentimiento explícito antes de que se capture tu selfie o tu vídeo de vivacidad. El flujo de verificación explica qué se recopila, por qué y durante cuánto tiempo, enlaza a esta política y te pide que manifiestes tu conformidad, por ejemplo, marcando una casilla. Si te niegas, la verificación finaliza y Didit no captura tu selfie ni tu vídeo de vivacidad. Tu respuesta queda registrada junto con la sesión de verificación.

Pantallas del Cliente. Cuando el Cliente gestiona sus propias pantallas de verificación (procesos de API o de marca blanca), Didit espera que el Cliente identifique claramente a Didit como proveedor de verificación y que obtenga cualquier aviso o consentimiento requerido por la ley antes de que comience la captura biométrica.

Retirada. Puedes retirar tu consentimiento en cualquier momento contactando con el Cliente que te pidió que te verificaras, o con Didit en privacy@didit.me. La retirada del consentimiento no afecta al tratamiento realizado antes de dicha retirada. Para que se eliminen los datos biométricos ya recopilados, presenta una solicitud de eliminación tal como se describe en la sección 10.

10. Solicitudes de acceso y eliminación

Para acceder a tus datos biométricos o eliminarlos, contacta primero con el Cliente que te pidió que te verificaras: este controla los datos y puede actuar sobre ellos directamente. También puedes escribir a privacy@didit.me o al Delegado de Protección de Datos de Didit en dpo@didit.me. Cuando Didit actúe como encargado del tratamiento del Cliente, Didit puede reenviar tu solicitud al Cliente.

Una solicitud de eliminación válida que te cubra elimina tus datos biométricos de todos los almacenes, incluida cualquier plantilla facial que el Cliente haya optado por retener.

11. Seguridad

Didit protege los datos biométricos con un estándar de cuidado razonable diseñado para datos sensibles, que incluye controles de acceso, monitoreo y cifrado. Nuestra Política de Seguridad de la Información describe estas salvaguardas.

12. Cambios en esta política

Didit puede actualizar esta política para reflejar cambios legales, operativos o de producto. Cuando lo haga, actualizará la fecha que figura en la parte superior de esta política.

13. Contacto

Si tienes preguntas sobre esta política, contacta con:

• privacy@didit.me
• dpo@didit.me