Verification Privacy Notice

Cet Avis de confidentialité pour la vérification explique comment Didit traite les données personnelles, y compris les données biométriques, lorsque Didit fournit un flux de vérification d'identité, de prévention de la fraude, d'authentification ou de conformité pour le compte de l'un de ses clients.

Cet avis complète notre Politique de confidentialité et nos Conditions d'utilisation pour la vérification d'identité.

1. Portée

Cet avis s'applique lorsque vous interagissez avec un flux de vérification, une page hébergée, un SDK, un parcours basé sur une API, un flux mobile ou une expérience en marque blanche alimentée par Didit pour un Client.

Il couvre le traitement des :

• données d'identité et de contact ;
• documents et fichiers que vous soumettez ;
• selfies, images faciales, vidéos et captures de vivacité ;
• données biométriques dérivées de ces soumissions ;
• télémétrie de l'appareil, de l'adresse IP, de la localisation et anti-fraude ;
• résultats de vérification, signaux de risque et enregistrements d'audit ; et
• enregistrements de support, de conformité et de sécurité connexes liés à la session de vérification.

2. Qui sont les parties et quels sont leurs rôles ?

Si le parcours de vérification est en marque blanche ou utilise un domaine personnalisé, Didit peut toujours être le fournisseur de technologie traitant vos données derrière l'interface de marque.

3. Catégories de données utilisées dans la vérification

Selon le flux de travail configuré, Didit peut traiter :

• Les données d'identité, telles que le nom, la date de naissance, l'adresse, le numéro de téléphone, l'e-mail, la nationalité et d'autres détails d'identification.
• Les données de document, telles que les passeports, les cartes d'identité, les permis de séjour, les permis de conduire, les justificatifs de domicile et les données extraites de ces documents.
• Les données biométriques et de vivacité, telles que les images faciales, les images de selfie, les vidéos, les captures de vivacité, les signaux anti-usurpation et les données dérivées des scans de la géométrie faciale utilisées pour comparer votre visage au document d'identité ou pour confirmer la présence d'une personne réelle.
• Les données techniques et de prévention de la fraude, telles que l'adresse IP, le navigateur, les données de l'appareil, les horodatages, les données de session, la géolocalisation inférée à partir des données réseau et des signaux d'intégrité ou de risque similaires.
• Les données de questionnaire et de flux de travail, telles que les déclarations, les réponses, les fichiers téléchargés, les enregistrements de consentement et les transitions d'état.
• Les résultats de vérification, tels que les scores de correspondance, les avertissements, les indicateurs de fraude, les résultats d'examen et les preuves d'audit.

4. Finalités du traitement

Didit peut traiter les données ci-dessus pour :

• vérifier l'identité et authentifier une personne ;
• vérifier l'authenticité et l'exhaustivité des documents ;
• détecter l'usurpation, la manipulation, la fraude ou l'abus ;
• se conformer aux exigences légales, réglementaires, de sanctions, de lutte contre le blanchiment d'argent (AML), de connaissance du client (KYC) et de gestion des risques configurées par le Client ;
• sécuriser le flux de vérification et l'infrastructure sous-jacente ;
• prendre en charge les processus d'examen manuel, de nouvelle soumission, d'escalade et d'audit ;
• répondre aux demandes légales et défendre les réclamations légales ; et
• maintenir l'intégrité du service, résoudre les incidents et effectuer la surveillance de la qualité et de la sécurité.

Lorsque la loi le permet et que des contrôles appropriés sont en place, Didit peut également utiliser des données de vérification anonymisées ou pseudonymisées à des fins de test de service, d'assurance qualité, de formation et de validation de modèles de fraude, et d'amélioration de la sécurité. Lorsqu'un avis distinct, un consentement ou une base légale supplémentaire est requis pour une utilisation secondaire, Didit l'obtiendra ou s'abstiendra de cette utilisation.

Vous (ou le Client en votre nom) pouvez refuser ce traitement anonymisé/pseudonymisé en (a) supprimant l'enregistrement de vérification sous-jacent via l'application du Client ou via l'API ou la console Business de Didit, ou (b) en envoyant un e-mail à privacy@didit.me avec l'identifiant de session ou le compte pertinent. Les refus s'appliquent prospectivement à partir de la date de la demande ; Didit déploiera également des efforts commercialement raisonnables pour purger les enregistrements éligibles des ensembles de données de formation actifs.

5. Comment Didit gère les données biométriques

Aux fins du présent avis, les données biométriques incluent les données dérivées des scans de la géométrie faciale ou de caractéristiques biométriques similaires extraites d'images ou de vidéos, lorsque ces données sont utilisées pour vérifier l'identité, confirmer la vivacité ou prévenir la fraude.

Lorsqu'un flux de travail inclut la vérification faciale ou la vivacité, Didit peut :

• capturer ou recevoir des images de selfie, des images faciales et/ou des vidéos ;
• extraire les caractéristiques faciales de ces soumissions et du portrait sur votre document d'identité ;
• comparer ces signaux pour vérifier que la personne présentant le document est la même personne que celle figurant sur le document ;
• analyser les indicateurs de vivacité et d'anti-usurpation pour confirmer la présence d'une personne réelle ; et
• générer des résultats de vérification, des indicateurs de confiance et des signaux de fraude ou d'examen.

Didit :

• utilise les données biométriques uniquement aux fins légitimes décrites dans le présent avis, les instructions du Client et la loi applicable ;
• applique des garanties conçues pour les données sensibles, y compris les contrôles d'accès, la surveillance et les pratiques de traitement sécurisé ;
• ne vend, ne loue, n'échange ni ne tire aucun profit des identifiants biométriques ou des informations biométriques ; et
• attend des Clients utilisant des parcours API ou en marque blanche qu'ils divulguent clairement Didit en tant que fournisseur de vérification et qu'ils obtiennent tout avis ou consentement requis par la loi avant le début de la capture biométrique.

6. Divulgations supplémentaires sur la confidentialité biométrique aux États-Unis

Si vous vous trouvez dans l'Illinois, au Texas, à Washington ou dans une autre juridiction ayant des exigences en matière de confidentialité biométrique, les points supplémentaires suivants sont importants :

• Les données biométriques peuvent inclure des données dérivées de scans de la géométrie faciale, d'images de selfie, de vidéos de vivacité ou de supports similaires de vérification d'identité.
• Il peut vous être demandé de fournir un consentement électronique ou écrit explicite avant que les données biométriques ne soient capturées ou téléchargées.
• Le Client doit identifier Didit comme fournisseur ou processeur de vérification lors de la présentation des avis requis dans les parcours en marque blanche ou basés sur une API.
• Didit utilise les données biométriques pour effectuer la vérification d'identité, la vivacité, l'anti-usurpation, la prévention de la fraude, la sécurité et les opérations de conformité connexes demandées par le Client.
• Didit ne conserve les données biométriques que le temps nécessaire pour fournir le service, suivre les instructions légales du Client, satisfaire aux obligations légales, résoudre les litiges ou défendre les réclamations, et en aucun cas plus longtemps que la loi applicable ne le permet.
• Didit utilise un niveau de diligence raisonnable conçu pour les données sensibles et ne vend, ne loue, n'échange ni ne tire aucun profit des identifiants biométriques ou des informations biométriques.

Si une juridiction exige une période de conservation plus courte, un calendrier public distinct ou des divulgations supplémentaires, Didit et le Client appliqueront l'exigence plus courte ou plus stricte qui régit le flux de vérification pertinent.

Autres juridictions avec des exigences en matière de confidentialité biométrique. Les points ci-dessus s'appliquent, avec les ajustements appropriés, à tout autre État, province, pays ou juridiction ayant des exigences en matière de confidentialité biométrique, y compris (sans limitation) le traitement des informations personnelles sensibles par le California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA), le Colorado Privacy Act (CPA), le Virginia Consumer Data Protection Act (VCDPA), le Connecticut Data Privacy Act (CTDPA), le Utah Consumer Privacy Act (UCPA), les propositions de confidentialité biométrique de New York, le cadre de l'article 9 du Règlement général sur la protection des données (RGPD) de l'Union européenne pour les données biométriques, le RGPD du Royaume-Uni et le Data Protection Act 2018, la Loi fédérale suisse sur la protection des données (LPD), le Personal Information Protection and Electronic Documents Act (PIPEDA) du Canada et la Loi 25 du Québec, la Lei Geral de Proteção de Dados (LGPD) du Brésil, et toute future loi sur la confidentialité biométrique qui s'applique au flux de vérification pertinent.

7. Divulgations et prestataires de services

Didit peut divulguer les données liées à la vérification à :

• le Client qui vous a demandé de vérifier ;
• les entités du groupe Didit impliquées dans la fourniture, le support ou la sécurisation du service ;
• les fournisseurs d'hébergement, de stockage cloud, de communications, d'identité, de fraude, d'analyse, d'audit, de sécurité et de services professionnels ;
• les régulateurs, tribunaux, forces de l'ordre ou autorités publiques lorsque la loi l'exige ; et
• les contreparties de transaction dans le cadre d'une fusion, acquisition, restructuration ou transfert d'actifs, sous réserve de garanties légales.

Les destinataires exacts dépendent du service, de la région, de la configuration du flux de travail et des exigences légales.

8. Transferts internationaux

Les données de vérification peuvent être traitées dans des pays autres que celui où vous avez commencé le flux de vérification. Lorsque la loi l'exige, Didit applique des garanties de transfert appropriées telles que des décisions d'adéquation, des clauses contractuelles types ou d'autres mécanismes juridiques reconnus.

9. Conservation et destruction

Conservation par défaut. La période de conservation par défaut pour les données de vérification est indéfinie (« illimitée »), sauf si le Client configure une période plus courte ou si vous exercez un droit de suppression. Les Clients peuvent configurer la conservation par application dans la console Business entre 30 jours et 10 ans et peuvent supprimer toute session de vérification individuelle à tout moment. Vous pouvez également exercer vos droits de suppression comme décrit à la Section 11. La conservation des données biométriques est dans tous les cas soumise et limitée par les lois et réglementations applicables en matière de confidentialité biométrique, y compris l'article 9 du Règlement général sur la protection des données (RGPD) de l'UE, le Illinois Biometric Information Privacy Act (BIPA), le Texas Capture or Use of Biometric Identifier Act (CUBI), le Washington H.B. 1493, et toute autre loi applicable en matière de confidentialité biométrique ; lorsque cette loi prescrit une période de conservation plus courte ou une obligation de destruction antérieure, cette règle plus courte ou plus stricte prévaut sur toute période de conservation par défaut ou configurée par le Client.

Dans tous les cas, Didit conserve les données de vérification, y compris les données biométriques, conformément à :

• les instructions documentées du Client et les paramètres de conservation configurés (30 jours minimum, 10 ans maximum, ou illimité si le Client n'a pas abaissé le plafond) ;
• les obligations contractuelles, réglementaires, d'audit et légales applicables ;
• les besoins de prévention de la fraude, de sécurité et de résolution des litiges ; et
• la règle de conservation plus courte ou plus stricte requise par la loi applicable, qui prévaut toujours.

Lorsque les données pertinentes ne sont plus nécessaires, Didit les supprime, les masque, les anonymise, les dé-identifie ou les détruit de manière sécurisée.

Pour les données biométriques, Didit s'efforce de garantir que les identifiants biométriques et les informations biométriques sont supprimés, dé-identifiés ou détruits de manière sécurisée lorsque :

• l'objectif de vérification initial a été atteint ;
• la période de conservation applicable expire ;
• le Client demande légalement la suppression ; ou
• la loi applicable exige une destruction antérieure.

10. Traitement automatisé et examen humain

Didit peut utiliser des systèmes automatisés pour examiner l'intégrité des documents, la vivacité, la correspondance faciale, les indicateurs de fraude et d'autres signaux de vérification. Certaines sessions peuvent également être acheminées pour un examen humain, une assurance qualité ou une escalade en fonction du flux de travail et de la configuration des risques du Client.

Sauf indication contraire d'un service spécifique, le Client reste responsable de la manière dont il utilise le résultat de la vérification dans ses propres décisions commerciales.

11. Droits et demandes

Si vous souhaitez accéder, corriger, supprimer, restreindre, vous opposer ou exercer d'autres droits sur les données traitées lors d'une session de vérification spécifique, vous devez généralement contacter le Client en premier lieu. Le Client détermine généralement l'objectif principal de la vérification et est le meilleur point de contact pour les droits liés à cette relation.

Si Didit reçoit une demande directement dans un contexte de sous-traitant, Didit peut transmettre ou rediriger la demande au Client concerné, le cas échéant. Si Didit agit en tant que responsable du traitement indépendant à des fins de traitement limitées, vous pouvez également contacter privacy@didit.me ou le Délégué à la protection des données de Didit à dpo@didit.me.

Vous pouvez également déposer une plainte auprès d'une autorité de contrôle. L'autorité de contrôle principale de Didit est l'Agence espagnole de protection des données (Agencia Española de Protección de Datos / AEPD) à `aepd.es`. Vous pouvez également déposer une plainte auprès de votre autorité locale de protection des données.

12. Sécurité

Didit utilise des mesures de protection techniques, organisationnelles et administratives conçues pour protéger les données de vérification, y compris les données sensibles et biométriques. Ces mesures de protection peuvent inclure le chiffrement, les contrôles d'accès, la séparation des environnements, la journalisation, la surveillance et les procédures de réponse aux incidents.

13. Enfants

Didit n'a pas l'intention que cet avis de vérification autorise la collecte illégale de données d'enfants. Si un flux de vérification est utilisé pour des contrôles liés à l'âge ou à la jeunesse, le Client doit s'assurer d'une base légale, d'avis appropriés et de toutes les autorisations parentales ou tutélaires requises.

14. Modifications du présent avis

Didit peut mettre à jour cet Avis de confidentialité pour la vérification de temps à autre afin de refléter les changements légaux, opérationnels ou de produits. Lorsque nous le ferons, nous mettrons à jour la date d'entrée en vigueur en haut de cet avis.

15. Contact

Si vous avez des questions concernant cet avis, contactez :

• privacy@didit.me
• hello@didit.me