La présente Politique de conservation et de destruction des données biométriques explique quelles données biométriques Didit traite lorsqu'il fournit des services de vérification d'identité et de prévention de la fraude à ses clients, pourquoi Didit les utilise, combien de temps elles sont conservées et comment elles sont détruites. Elle constitue le calendrier de conservation et les lignes directrices de destruction, publics et écrits, de Didit pour les données biométriques, y compris aux fins du Biometric Information Privacy Act de l'Illinois (740 ILCS 14/15(a)) et du droit du Colorado (C.R.S. § 6-1-1314).
La présente politique complète notre Avis de confidentialité pour la vérification, nos Conditions d'utilisation pour la vérification d'identité et notre Politique de confidentialité.
1. Portée
La présente politique s'applique aux données biométriques que Didit traite lorsque vous effectuez un flux de vérification (un flux hébergé par Didit, un SDK, une expérience en marque blanche ou un parcours via API) qu'un client de Didit (le « Client ») a configuré avec une capture faciale, telle qu'un selfie, un contrôle de vivacité ou une correspondance faciale.
2. Qui décide et qui traite
- Le Client qui vous demande d'effectuer la vérification décide pourquoi et comment vos données biométriques sont collectées. Il est le responsable du traitement de ces données, ou occupe le rôle équivalent en vertu de la loi applicable.
- Didit traite les données biométriques pour le compte du Client et sur ses instructions documentées, en tant que sous-traitant ou fournisseur de services de celui-ci.
3. Quelles données biométriques Didit collecte
Selon la manière dont le Client a configuré la vérification, Didit peut collecter :
- Géométrie faciale et modèles faciaux : les mesures des caractéristiques faciales extraites de votre selfie, de votre capture de vivacité ou du portrait figurant sur votre document d'identité, ainsi que les modèles (représentations numériques d'un visage) créés à partir de celles-ci.
- Images de selfie prises pendant la vérification.
- Portrait du document : l'image de votre visage figurant sur le document d'identité que vous soumettez.
- Vidéo de vivacité : la vidéo ou les trames d'images capturées pour confirmer qu'une personne réelle est présente.
4. Pourquoi Didit les utilise
Didit utilise les données biométriques pour vérifier l'identité et prévenir la fraude pour le compte du Client, selon les instructions du Client :
- pour vérifier que la personne qui présente un document d'identité est bien la personne qui y figure ;
- pour confirmer qu'une personne réelle et vivante est présente et pour détecter les tentatives d'usurpation ; et
- lorsque le Client les active, pour détecter les comptes en double et les visages figurant sur la liste de blocage du Client.
5. Calendrier de conservation
Les données biométriques sont supprimées à la première des échéances suivantes :
- lorsque la finalité pour laquelle le Client les a collectées a été atteinte ;
- à la fin de la durée de conservation définie par le Client ; et
- pour les personnes couvertes par les lois des États ci-dessous, à l'échéance fixée par l'État, calculée à compter de leur dernière vérification auprès de ce Client.
| État | Loi | Suppression au plus tard |
|---|---|---|
| Illinois | Biometric Information Privacy Act, 740 ILCS 14/15(a) | 3 ans après votre dernière vérification auprès de ce Client |
| Colorado | Colorado Privacy Act, C.R.S. § 6-1-1314 | 24 mois après votre dernière vérification auprès de ce Client |
| Texas | Capture or Use of Biometric Identifier Act, Tex. Bus. & Com. Code § 503.001 | 12 mois après votre dernière vérification auprès de ce Client |
Votre dernière vérification auprès d'un Client correspond à votre session de vérification la plus récente pour ce Client, et toute nouvelle session fait repartir le décompte. L'échéance fixée par un État s'applique même lorsque le paramètre de conservation du Client prévoit une durée plus longue, y compris lorsqu'il est réglé sur illimité. Lorsque plusieurs échéances s'appliquent, c'est la plus précoce qui s'applique.
L'échéance fixée par un État s'applique à vous lorsque, par exemple, vous vous trouviez dans cet État au moment de la capture de votre visage, que votre document d'identité a été délivré par cet État, ou que le Client a indiqué à Didit que vous vous trouvez dans cet État.
Didit ne conserve pas les données biométriques au-delà de leur échéance.
6. Fonctionnement de la suppression
- Définitive. La suppression est définitive. Didit ne conserve aucune copie des données biométriques supprimées.
- Tous les stockages. La suppression couvre tous les emplacements où Didit détient les données : les images et vidéos originales, la géométrie faciale et les modèles créés à partir de celles-ci, ainsi que les entrées de recherche faciale utilisées pour les contrôles de doublons et de liste de blocage, y compris sur les systèmes des sous-traitants ultérieurs de Didit.
- Automatique. Didit applique automatiquement les échéances prévues à la section 5, sans attendre de demande.
- Consignée. Didit consigne qu'une suppression a eu lieu, sans conserver les données supprimées.
Les données biométriques sont également supprimées avant toute échéance lorsque le Client donne instruction à Didit de les supprimer, ou lorsqu'une demande de suppression valide vous concernant est acceptée (voir la section 10).
7. Aucune vente ni aucun profit
Didit ne vend, ne loue, n'échange ni ne tire autrement profit des identifiants biométriques ou des informations biométriques.
8. Sous-traitants et sous-traitants ultérieurs
Didit fait appel à des sous-traitants ultérieurs, tels que des fournisseurs d'hébergement et de stockage cloud, pour l'aider à fournir le service. Didit impose à chaque sous-traitant ultérieur des obligations de protection des données substantiellement similaires à celles prévues dans son Avenant relatif au traitement des données, qui fait partie des Conditions Générales de Service, et demeure responsable envers le Client du respect de ces obligations par ces sous-traitants ultérieurs. Les Clients peuvent demander la liste actuelle des sous-traitants ultérieurs à privacy@didit.me.
9. Consentement et retrait
Avant la capture. Lorsque la loi l'exige, votre consentement explicite vous est demandé avant la capture de votre selfie ou de votre vidéo de vivacité. Le flux de vérification explique ce qui est collecté, pourquoi et pour combien de temps, renvoie à la présente politique et vous demande de donner votre accord, par exemple en cochant une case. Si vous refusez, la vérification prend fin et Didit ne capture ni votre selfie ni votre vidéo de vivacité. Votre réponse est enregistrée avec la session de vérification.
Écrans du Client. Lorsque le Client utilise ses propres écrans de vérification (parcours via API ou en marque blanche), Didit attend du Client qu'il identifie clairement Didit comme fournisseur de vérification et qu'il obtienne tout avis ou consentement requis par la loi avant le début de la capture biométrique.
Retrait. Vous pouvez retirer votre consentement à tout moment en contactant le Client qui vous a demandé d'effectuer la vérification, ou Didit à privacy@didit.me. Le retrait du consentement n'affecte pas le traitement effectué avant ce retrait. Pour faire supprimer les données biométriques déjà collectées, présentez une demande de suppression comme décrit à la section 10.
10. Demandes d'accès et de suppression
Pour accéder à vos données biométriques ou les supprimer, contactez d'abord le Client qui vous a demandé d'effectuer la vérification : il contrôle les données et peut agir directement à leur égard. Vous pouvez également écrire à privacy@didit.me ou au Délégué à la protection des données de Didit à dpo@didit.me. Lorsque Didit agit en tant que sous-traitant du Client, Didit peut transmettre votre demande au Client.
Une demande de suppression valide vous concernant entraîne la suppression de vos données biométriques de tous les stockages, y compris de tout modèle facial que le Client a choisi de conserver.
11. Sécurité
Didit protège les données biométriques en appliquant un niveau de diligence raisonnable conçu pour les données sensibles, y compris des contrôles d'accès, une surveillance et le chiffrement. Notre Politique de sécurité de l'information décrit ces mesures de protection.
12. Modifications de la présente politique
Didit peut mettre à jour la présente politique afin de refléter des changements juridiques, opérationnels ou liés aux produits. Dans ce cas, Didit met à jour la date figurant en haut de la présente politique.
13. Contact
Si vous avez des questions concernant la présente politique, contactez :