Aviso de Privacidad de Verificación

Este Aviso de Privacidad de Verificación explica cómo Didit procesa datos personales, incluidos datos biométricos, cuando Didit proporciona un flujo de trabajo de verificación de identidad, prevención de fraude, autenticación o cumplimiento en nombre de uno de sus clientes.

Este aviso complementa nuestra Política de Privacidad y nuestros Términos de Usuario Final para la Verificación de Identidad.

1. Alcance

Este aviso se aplica cuando interactúas con un flujo de verificación, página alojada, SDK, proceso basado en API, flujo móvil o experiencia de marca blanca impulsada por Didit para un Cliente.

Cubre el procesamiento de:

• datos de identidad y contacto;
• documentos y archivos que envías;
• selfies, imágenes faciales, vídeos y capturas de vivacidad;
• datos biométricos derivados de esos envíos;
• telemetría de dispositivo, IP, ubicación y antifraude;
• resultados de verificación, señales de riesgo y registros de auditoría; y
• registros de soporte, cumplimiento y seguridad relacionados con la sesión de verificación.

2. ¿Quiénes son las partes y cuáles son sus roles?

Si el proceso de verificación es de marca blanca o utiliza un dominio personalizado, Didit puede seguir siendo el proveedor de tecnología que procesa tus datos detrás de la interfaz de marca.

3. Categorías de datos utilizados en la verificación

Dependiendo del flujo de trabajo configurado, Didit puede procesar:

• Datos de identidad, como nombre, fecha de nacimiento, dirección, número de teléfono, correo electrónico, nacionalidad y otros detalles de identificación.
• Datos de documentos, como pasaportes, documentos de identidad, permisos de residencia, licencias de conducir, documentos de prueba de domicilio y datos extraídos de esos materiales.
• Datos biométricos y de vivacidad, como imágenes faciales, imágenes de selfie, vídeos, capturas de vivacidad, señales anti-spoofing y datos derivados de escaneos de geometría facial utilizados para comparar tu rostro con el documento de identidad o para confirmar que una persona real está presente.
• Datos técnicos y de prevención de fraude, como dirección IP, navegador, datos del dispositivo, marcas de tiempo, datos de sesión, geolocalización inferida de datos de red y señales de integridad o riesgo similares.
• Datos de cuestionarios y flujos de trabajo, como declaraciones, respuestas, archivos cargados, registros de consentimiento y transiciones de estado.
• Resultados de verificación, como puntuaciones de coincidencia, advertencias, indicadores de fraude, resultados de revisión y evidencia de auditoría.

4. Fines del tratamiento

Didit puede procesar los datos anteriores para:

• verificar la identidad y autenticar a una persona;
• comprobar la autenticidad e integridad de los documentos;
• detectar suplantación, manipulación, fraude o abuso;
• cumplir con los requisitos legales, regulatorios, de sanciones, de lucha contra el blanqueo de capitales (AML), de conocimiento del cliente (KYC) y de gestión de riesgos configurados por el Cliente;
• asegurar el flujo de verificación y la infraestructura subyacente;
• apoyar la revisión manual, el reenvío, la escalada y los procesos de auditoría;
• responder a solicitudes legales y defender reclamaciones legales; y
• mantener la integridad del servicio, solucionar incidentes y realizar monitoreo de calidad y seguridad.

Cuando la ley lo permita y existan controles apropiados, Didit también puede utilizar datos de verificación anonimizados o seudonimizados para pruebas de servicio, garantía de calidad, entrenamiento y validación de modelos de fraude, y mejora de la seguridad. Cuando se requiera un aviso, consentimiento o base legal adicional por separado para un uso secundario, Didit lo obtendrá o se abstendrá de dicho uso.

Tú (o el Cliente en tu nombre) puedes optar por no participar en este procesamiento anonimizado/seudonimizado (a) eliminando el registro de verificación subyacente a través de la aplicación del Cliente o a través de la API o la Consola de Negocios de Didit, o (b) enviando un correo electrónico a privacy@didit.me con el identificador de sesión o cuenta relevante. Las exclusiones se aplican prospectivamente a partir de la fecha de la solicitud; Didit también hará esfuerzos comercialmente razonables para eliminar los registros elegibles de los conjuntos de datos de entrenamiento activos.

5. Cómo maneja Didit los datos biométricos

A efectos de este aviso, los datos biométricos incluyen datos derivados de escaneos de geometría facial o características biométricas similares extraídas de imágenes o vídeos, cuando esos datos se utilizan para verificar la identidad, confirmar la vivacidad o prevenir el fraude.

Cuando un flujo de trabajo incluye verificación facial o de vivacidad, Didit puede:

• capturar o recibir imágenes de selfie, imágenes faciales y/o vídeo;
• extraer características faciales de esos envíos y del retrato en tu documento de identidad;
• comparar esas señales para verificar que la persona que presenta el documento es la misma persona que aparece en el documento;
• analizar indicadores de vivacidad y anti-spoofing para confirmar que una persona real está presente; y
• generar resultados de verificación, indicadores de confianza y señales de fraude o revisión.

Didit:

• utiliza datos biométricos solo para los fines legales descritos en este aviso, las instrucciones del Cliente y la ley aplicable;
• aplica salvaguardas diseñadas para datos sensibles, incluidos controles de acceso, monitoreo y prácticas de manejo seguro;
• no vende, alquila, comercializa ni obtiene beneficios de identificadores biométricos o información biométrica; y
• espera que los Clientes que utilizan API o procesos de marca blanca divulguen claramente a Didit como proveedor de verificación y obtengan cualquier aviso o consentimiento requerido por la ley antes de que comience la captura biométrica.

6. Divulgaciones adicionales sobre privacidad biométrica en EE. UU.

Si te encuentras en Illinois, Texas, Washington u otra jurisdicción con requisitos de privacidad biométrica, los siguientes puntos adicionales son importantes:

• Los datos biométricos pueden incluir datos derivados de escaneos de geometría facial, imágenes de selfie, vídeo de vivacidad o medios de verificación de identidad similares.
• Es posible que se te solicite que proporciones un consentimiento electrónico o escrito explícito antes de que se capturen o carguen datos biométricos.
• El Cliente debe identificar a Didit como proveedor o procesador de verificación al presentar los avisos requeridos en procesos de marca blanca o basados en API.
• Didit utiliza datos biométricos para realizar operaciones de verificación de identidad, vivacidad, anti-spoofing, prevención de fraude, seguridad y cumplimiento relacionadas solicitadas por el Cliente.
• Didit retiene los datos biométricos solo durante el tiempo necesario para proporcionar el servicio, seguir las instrucciones legales del Cliente, cumplir con las obligaciones legales, resolver disputas o defender reclamaciones, y en ningún caso más tiempo del permitido por la ley aplicable.
• Didit utiliza un estándar de cuidado razonable diseñado para datos sensibles y no vende, alquila, comercializa ni obtiene beneficios de identificadores biométricos o información biométrica.

Si una jurisdicción requiere un período de retención más corto, un cronograma público separado o divulgaciones adicionales, Didit y el Cliente aplicarán el requisito más corto o más estricto que rija el flujo de verificación relevante.

Otras jurisdicciones con requisitos de privacidad biométrica. Los puntos anteriores se aplican, con los ajustes apropiados, a cualquier otro estado, provincia, país o jurisdicción con requisitos de privacidad biométrica, incluyendo (sin limitación) el tratamiento de información personal sensible de la Ley de Privacidad del Consumidor de California (CCPA) / Ley de Derechos de Privacidad de California (CPRA), la Ley de Privacidad de Colorado (CPA), la Ley de Protección de Datos del Consumidor de Virginia (VCDPA), la Ley de Privacidad de Datos de Connecticut (CTDPA), la Ley de Privacidad del Consumidor de Utah (UCPA), las propuestas de privacidad biométrica de Nueva York, el marco del Artículo 9 del Reglamento General de Protección de Datos (GDPR) de la Unión Europea para datos biométricos, el GDPR del Reino Unido y la Ley de Protección de Datos de 2018, la Ley Federal Suiza de Protección de Datos (FADP), la Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) de Canadá y la Ley 25 de Quebec, la Lei Geral de Proteção de Dados (LGPD) de Brasil, y cualquier futura ley de privacidad biométrica que se aplique al flujo de verificación relevante.

7. Divulgaciones y proveedores de servicios

Didit puede divulgar datos relacionados con la verificación a:

• el Cliente que te pidió que te verificaras;
• entidades del grupo Didit involucradas en la entrega, soporte o seguridad del servicio;
• proveedores de alojamiento, almacenamiento en la nube, comunicaciones, identidad, fraude, análisis, auditoría, seguridad y servicios profesionales;
• reguladores, tribunales, fuerzas del orden o autoridades públicas cuando sea legalmente requerido; y
• contrapartes de transacciones en una fusión, adquisición, reestructuración o transferencia de activos, sujeto a salvaguardas legales.

Los destinatarios exactos dependen del servicio, la región, la configuración del flujo de trabajo y los requisitos legales.

8. Transferencias internacionales

Los datos de verificación pueden procesarse en países distintos al país en el que iniciaste el flujo de verificación. Cuando lo exija la ley, Didit aplica salvaguardas de transferencia apropiadas, como decisiones de adecuación, cláusulas contractuales tipo u otros mecanismos legales reconocidos.

9. Retención y destrucción

Retención predeterminada. El período de retención predeterminado para los datos de verificación es indefinido ("ilimitado") a menos que el Cliente configure un período más corto o ejerzas un derecho de eliminación. Los Clientes pueden configurar la retención por aplicación en la Consola de Negocios entre 30 días y 10 años y pueden eliminar cualquier sesión de verificación individual en cualquier momento. También puedes ejercer los derechos de eliminación como se describe en la Sección 11. La retención de datos biométricos está en todos los casos sujeta y limitada por las leyes y regulaciones de privacidad biométrica aplicables, incluyendo el Artículo 9 del Reglamento General de Protección de Datos (GDPR) de la UE, la Ley de Privacidad de Información Biométrica de Illinois (BIPA), la Ley de Captura o Uso de Identificadores Biométricos de Texas (CUBI), la Ley H.B. 1493 de Washington y cualquier otra ley de privacidad biométrica aplicable; cuando dicha ley prescriba un período de retención más corto o una obligación de destrucción anterior, esa regla más corta o estricta prevalece sobre cualquier período de retención predeterminado o configurado por el Cliente.

En todos los casos, Didit retiene los datos de verificación, incluidos los datos biométricos, de acuerdo con:

• las instrucciones documentadas del Cliente y la configuración de retención (mínimo 30 días, máximo 10 años, o ilimitado si el Cliente no ha reducido el límite);
• las obligaciones contractuales, regulatorias, de auditoría y legales aplicables;
• las necesidades de prevención de fraude, seguridad y resolución de disputas; y
• la regla de retención más corta o estricta requerida por la ley aplicable, que siempre prevalece.

Cuando los datos relevantes ya no son necesarios, Didit los elimina, redacta, anonimiza, desidentifica o destruye de forma segura.

Para los datos biométricos, Didit se asegura de que los identificadores biométricos y la información biométrica se eliminen, desidentifiquen o destruyan de forma segura cuando:

• se haya cumplido el propósito de verificación original;
• expire el período de retención aplicable;
• el Cliente instruya legalmente la eliminación; o
• la ley aplicable exija una destrucción anterior.

10. Procesamiento automatizado y revisión humana

Didit puede utilizar sistemas automatizados para revisar la integridad de los documentos, la vivacidad, la coincidencia facial, los indicadores de fraude y otras señales de verificación. Algunas sesiones también pueden ser dirigidas a revisión humana, control de calidad o escalada, dependiendo del flujo de trabajo del Cliente y la configuración de riesgo.

Excepto cuando un servicio específico indique lo contrario, el Cliente sigue siendo responsable de cómo utiliza el resultado de la verificación en su propia toma de decisiones comerciales.

11. Derechos y solicitudes

Si deseas acceder, corregir, eliminar, restringir, oponerte o ejercer de otro modo tus derechos sobre los datos procesados en una sesión de verificación específica, generalmente debes contactar primero al Cliente. El Cliente suele determinar el propósito principal de la verificación y es el mejor punto de contacto para los derechos vinculados a esa relación.

Si Didit recibe una solicitud directamente en un contexto de procesador, Didit puede reenviar o redirigir la solicitud al Cliente relevante cuando sea apropiado. Si Didit actúa como controlador independiente para un propósito de procesamiento limitado, también puedes contactar a privacy@didit.me o al Delegado de Protección de Datos de Didit en dpo@didit.me.

También puedes presentar una reclamación ante una autoridad de supervisión. La autoridad de supervisión principal de Didit es la Agencia Española de Protección de Datos (AEPD) en `aepd.es`. También puedes presentar una reclamación ante tu autoridad local de protección de datos.

12. Seguridad

Didit utiliza salvaguardas técnicas, organizativas y administrativas diseñadas para proteger los datos de verificación, incluidos los datos sensibles y biométricos. Estas salvaguardas pueden incluir cifrado, controles de acceso, separación de entornos, registro, monitoreo y procedimientos de respuesta a incidentes.

13. Niños

Didit no tiene la intención de que este aviso de verificación autorice la recopilación ilegal de datos de niños. Si un flujo de verificación se utiliza para comprobaciones relacionadas con la edad o la juventud, el Cliente debe garantizar una base legal, avisos apropiados y los permisos parentales o del tutor requeridos.

14. Cambios en este aviso

Didit puede actualizar este Aviso de Privacidad de Verificación de vez en cuando para reflejar cambios legales, operativos o de productos. Cuando lo hagamos, actualizaremos la fecha de entrada en vigor en la parte superior de este aviso.

15. Contacto

Si tienes preguntas sobre este aviso, contacta con:

• privacy@didit.me
• hello@didit.me