Kebijakan Privasi

Kebijakan Privasi ini menjelaskan bagaimana Didit memproses data pribadi saat Anda mengunjungi situs web kami, menghubungi kami, menggunakan produk dan layanan kami, atau menyelesaikan alur verifikasi identitas atau penipuan yang didukung oleh Didit.

Jika Anda memverifikasi identitas Anda untuk bank, fintech, platform kripto, marketplace, pemberi kerja, atau organisasi lain yang menggunakan Didit, organisasi tersebut adalah pihak yang memutuskan mengapa verifikasi diperlukan. Dalam kasus tersebut, organisasi tersebut adalah pengontrol atau bisnis, dan Didit bertindak sebagai pemroses atau penyedia layanannya. Untuk pemrosesan khusus verifikasi, data biometrik, dan alur white-label, baca Pemberitahuan Privasi Verifikasi dan Ketentuan Pengguna Akhir untuk Verifikasi Identitas kami.

1. Siapa kami

Tergantung pada layanan dan geografi, data Anda dapat diproses oleh satu atau kedua entitas Didit berikut:

• Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelona, Spanyol. Entitas kontrak untuk pelanggan Uni Eropa, Inggris Raya, Wilayah Ekonomi Eropa, Swiss, dan Amerika Latin serta perusahaan yang mengoperasikan data plane Eropa.
• Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Amerika Serikat. Entitas kontrak untuk pelanggan Amerika Serikat, Kanada, Asia-Pasifik, Timur Tengah, dan global.

Ketika kami mengatakan "Didit", "kami", atau "milik kami", kami berarti entitas atau entitas Didit yang menyediakan layanan yang berlaku.

• Kontak privasi: privacy@didit.me
• Petugas Perlindungan Data: dpo@didit.me
• Kontak keamanan: security@didit.me
• Kontak umum: hello@didit.me

2. Lingkup dan peran kami

Kebijakan Privasi ini berlaku saat Anda:

• mengunjungi `didit.me` atau situs web yang dioperasikan Didit;
• meminta informasi, demo, atau dukungan;
• membuat atau mengelola hubungan bisnis, akun, atau integrasi Didit;
• melamar peran di Didit; atau
• menggunakan alur verifikasi, pencegahan penipuan, autentikasi, atau kepatuhan yang dioperasikan oleh atau melalui Didit.

Peran kami berubah tergantung pada konteksnya:

Jika Anda berada dalam alur verifikasi white-label atau di domain kustom, branding kustom tidak selalu berarti hanya perusahaan bermerek yang memproses data Anda. Didit mungkin masih menyediakan teknologi verifikasi yang mendasari dan pemrosesan terkait.

3. Kategori data pribadi yang kami proses

Kategori data yang kami proses tergantung pada layanan, konfigurasi alur kerja, dan hubungan Anda dengan Didit. Kategori tersebut dapat meliputi:

• Pengidentifikasi dan data kontak, nama, alamat email, nomor telepon, alamat surat, tanggal lahir, dan informasi pengidentifikasi serupa.
• Data bisnis dan akun, nama perusahaan, informasi penagihan, kredensial akun, detail penggunaan API, dan catatan hubungan Anda dengan Didit.
• Data verifikasi, gambar dokumen identitas, data dokumen yang diekstrak, file bukti alamat, jawaban kuesioner, input penyaringan sanksi atau daftar pantauan, dan hasil verifikasi.
• Data biometrik dan liveness, di mana alur kerja mencakup verifikasi wajah atau pemeriksaan serupa, selfie, gambar wajah, video, tangkapan liveness, sinyal anti-spoofing, dan data yang berasal dari pemindaian geometri wajah.
• Data perangkat, jaringan, dan teknis, alamat IP, jenis browser, sistem operasi, bahasa, pengidentifikasi perangkat, stempel waktu, geolokasi yang disimpulkan dari data jaringan, dan telemetri keamanan atau anti-penipuan lainnya.
• Data komunikasi dan dukungan, pesan, tiket dukungan, catatan panggilan, pertukaran email, dan log operasional.
• Data pihak ketiga dan sumber publik, informasi yang diberikan oleh pelanggan kami, mitra identitas atau pencegahan penipuan, otoritas publik, penyedia telekomunikasi, dan sumber yang tersedia untuk umum di mana diizinkan oleh hukum.
• Data perekrutan, CV, riwayat pekerjaan, dan materi lain yang diajukan selama perekrutan.

Kami tidak memerlukan setiap kategori yang tercantum di atas untuk setiap interaksi. Data yang tepat yang digunakan tergantung pada layanan yang diminta dan konfigurasi yang dipilih oleh pelanggan yang relevan.

4. Bagaimana kami menggunakan data pribadi

Kami dapat menggunakan data pribadi untuk tujuan berikut:

• Untuk mengoperasikan situs web dan layanan kami, akses akun, pengiriman produk, dukungan pelanggan, penagihan, dan komunikasi.
• Untuk menyediakan layanan infrastruktur identitas dan penipuan, Verifikasi Pengguna (Know Your Customer / KYC), Verifikasi Bisnis (Know Your Business / KYB), Pemantauan Transaksi, Penyaringan Wallet (Know Your Transaction / KYT), dan pemeriksaan terkonfigurasi lainnya.
• Untuk mengamankan platform, mencegah penyalahgunaan, mendeteksi spoofing, mencegah penipuan, memantau aktivitas mencurigakan, dan menjaga integritas layanan.
• Untuk melatih, mengevaluasi, dan meningkatkan model deteksi penipuan dan verifikasi menggunakan data anonim atau pseudonim yang berasal dari aktivitas verifikasi, di mana diizinkan oleh hukum. Lihat Bagian 11 untuk opt-out.
• Untuk menanggapi permintaan, permintaan demo, pertanyaan dukungan, permintaan uji tuntas, dan komunikasi bisnis.
• Untuk mengelola perekrutan, meninjau lamaran dan berkomunikasi dengan kandidat.
• Untuk mematuhi kewajiban hukum dan peraturan, menyimpan catatan, menanggapi permintaan yang sah, menegakkan kontrak, dan melakukan audit internal atau eksternal.
• Untuk menetapkan, melaksanakan, atau membela klaim hukum dan melindungi hak, keselamatan, dan keamanan Didit, pelanggan kami, dan individu yang terkena dampak.

5. Dasar hukum untuk pemrosesan

Di mana Peraturan Perlindungan Data Umum (GDPR), GDPR Inggris Raya, undang-undang perlindungan data Swiss, atau undang-undang serupa berlaku, Didit mengandalkan satu atau lebih dasar hukum berikut:

• Pelaksanaan kontrak atau langkah-langkah yang diambil atas permintaan Anda sebelum membuat kontrak.
• Kepentingan yang sah, mengamankan platform kami, mendukung pelanggan, mencegah penipuan, menyimpan catatan, melatih dan meningkatkan model deteksi penipuan dan verifikasi pada data anonim atau pseudonim, dan berkomunikasi dengan kontak bisnis, asalkan kepentingan tersebut tidak dikesampingkan oleh hak-hak Anda.
• Persetujuan, termasuk di mana persetujuan diperlukan untuk komunikasi pemasaran, cookie tertentu, atau pemrosesan biometrik di yurisdiksi atau alur kerja tertentu.
• Kewajiban hukum, di mana pemrosesan diperlukan untuk mematuhi hukum yang berlaku, peraturan, perintah pengadilan, atau permintaan yang sah dari pihak berwenang.
• Penetapan, pelaksanaan, atau pembelaan klaim hukum.

Di mana data kategori khusus atau sensitif diproses, termasuk data biometrik yang digunakan untuk mengidentifikasi Anda secara unik, Didit memproses data tersebut hanya di mana diizinkan oleh hukum yang berlaku. Dalam alur verifikasi, pelanggan yang relevan bertanggung jawab untuk menentukan dan mendokumentasikan dasar hukum utama untuk verifikasi itu sendiri, termasuk apakah persetujuan eksplisit diperlukan.

6. Bagaimana kami mengungkapkan data pribadi

Kami dapat mengungkapkan data pribadi kepada:

• Pelanggan yang meminta kami untuk melakukan verifikasi, sehingga pelanggan dapat menyelesaikan onboarding, tinjauan penipuan, pemeriksaan kepatuhan, atau proses bisnis terkait.
• Entitas grup Didit, di mana diperlukan untuk mengoperasikan, mendukung, mengamankan, atau menyediakan layanan yang relevan.
• Penyedia layanan dan sub-pemroses, penyedia hosting cloud, penyimpanan, infrastruktur, komunikasi, dukungan, analitik, pencegahan penipuan, pemrosesan dokumen, keamanan, audit, dan layanan profesional. Daftar sub-pemroses saat ini tersedia untuk pelanggan dan calon pelanggan berdasarkan Perjanjian Non-Pengungkapan (NDA) yang ditandatangani atas permintaan ke security@didit.me.
• Penasihat profesional, pengacara, auditor, penanggung, dan konsultan, di mana diperlukan untuk tujuan bisnis, kepatuhan, atau hukum yang sah.
• Otoritas publik, regulator, pengadilan, penegak hukum, atau pihak ketiga lainnya, ketika diwajibkan oleh hukum, proses hukum, atau permintaan pemerintah yang dapat ditegakkan.
• Penerus dan pihak lawan transaksi, jika Didit terlibat dalam merger, akuisisi, pembiayaan, proses insolvensi, atau penjualan aset, tunduk pada kerahasiaan dan perlindungan hukum.

Didit tidak menjual, menyewakan, memperdagangkan, atau mengambil keuntungan lain dari pengidentifikasi biometrik atau informasi biometrik.

7. Transfer internasional

Didit dapat memproses data di beberapa negara. Ketika data pribadi ditransfer di luar Wilayah Ekonomi Eropa, Inggris Raya, Swiss, atau yurisdiksi lain dengan pembatasan transfer, Didit menggunakan perlindungan yang sesuai di mana diperlukan, termasuk:

• keputusan kecukupan;
• Klausul Kontrak Standar (SCC) Komisi Eropa 2021 dan adendum Inggris atau Swiss yang setara;
• pengaturan transfer intra-grup; atau
• mekanisme transfer sah lainnya yang diakui oleh hukum yang berlaku.

8. Retensi

Didit menyimpan data pribadi selama yang wajar diperlukan untuk tujuan yang dijelaskan dalam Kebijakan Privasi ini, termasuk untuk:

• menyediakan dan mendukung layanan yang relevan;
• mengikuti instruksi pelanggan dalam hubungan pemroses;
• mematuhi kewajiban kontraktual, hukum, pajak, akuntansi, dan peraturan;
• menjaga catatan keamanan dan pencegahan penipuan;
• menyelesaikan sengketa; dan
• menetapkan, melaksanakan, atau membela klaim hukum.

Periode retensi bervariasi berdasarkan layanan, konfigurasi alur kerja, hukum yang berlaku, dan peran Didit dalam pemrosesan:

• Data hubungan bisnis biasanya disimpan selama durasi hubungan dan untuk periode penyimpanan catatan pasca-pengakhiran yang sah.
• Catatan dukungan dan audit dapat disimpan untuk tujuan operasional, keamanan, dan kepatuhan.
• Data perekrutan disimpan untuk proses perekrutan dan periode tindak lanjut yang sah, atau lebih lama jika Anda memberikan persetujuan secara terpisah.
• Data verifikasi, retensi default adalah tidak terbatas ("unlimited"), kecuali pelanggan mengonfigurasi periode yang lebih pendek. Pelanggan mengonfigurasi retensi per aplikasi di Konsol Bisnis antara 30 hari dan 10 tahun, atau memicu penghapusan per sesi kapan saja melalui endpoint API `POST /v3/sessions/:session_id/delete/`. Pengguna akhir juga dapat menggunakan hak penghapusan seperti yang dijelaskan dalam Bagian 9. Retensi data biometrik dalam setiap kasus tunduk pada, dan dibatasi oleh, undang-undang dan peraturan privasi biometrik yang berlaku, termasuk Peraturan Perlindungan Data Umum (GDPR) Pasal 9 UE, Undang-Undang Privasi Informasi Biometrik Illinois (BIPA), Undang-Undang Penangkapan atau Penggunaan Pengidentifikasi Biometrik Texas (CUBI), Washington H.B. 1493, dan undang-undang privasi biometrik lain yang berlaku; di mana undang-undang tersebut menetapkan periode retensi yang lebih pendek atau kewajiban penghancuran yang lebih awal, aturan yang lebih pendek atau lebih ketat tersebut berlaku di atas periode retensi default atau yang dikonfigurasi pelanggan.

Ketika data tidak lagi diperlukan, Didit menghapus, menyunting, menganonimkan, menghilangkan identitas, atau menghancurkannya dengan aman. Untuk data biometrik dan media verifikasi, lihat Pemberitahuan Privasi Verifikasi.

9. Hak-hak Anda

Tergantung pada lokasi Anda dan hukum yang berlaku, Anda mungkin memiliki hak untuk:

• mengakses data pribadi Anda;
• meminta koreksi data yang tidak akurat atau tidak lengkap;
• meminta penghapusan;
• meminta pembatasan pemrosesan;
• menolak pemrosesan tertentu, termasuk pemrosesan berdasarkan kepentingan yang sah (lihat Bagian 11 untuk opt-out pelatihan model dan deteksi penipuan);
• menarik persetujuan di mana pemrosesan didasarkan pada persetujuan;
• meminta portabilitas data yang Anda berikan;
• tidak tunduk pada keputusan yang didasarkan semata-mata pada pemrosesan otomatis, termasuk pembuatan profil, yang menghasilkan efek hukum atau efek signifikan serupa, tunduk pada kondisi dan pengecualian dalam Pasal 22 GDPR; dan
• mengajukan keluhan kepada otoritas pengawas. Otoritas pengawas utama Didit adalah Badan Perlindungan Data Spanyol (Agencia Española de Protección de Datos / AEPD) di `aepd.es`.

Ketika Didit bertindak sebagai pengontrol, kirimkan permintaan privasi ke privacy@didit.me atau dpo@didit.me.

Ketika Didit bertindak sebagai pemroses atau penyedia layanan untuk alur verifikasi pelanggan, arahkan permintaan Anda ke organisasi yang meminta Anda untuk memverifikasi. Pelanggan tersebut mengontrol tujuan verifikasi dan paling tepat untuk menanggapi. Jika Didit menerima permintaan tersebut secara langsung, kami dapat meneruskannya ke pelanggan yang relevan.

10. Cookie dan teknologi serupa

Didit menggunakan cookie dan teknologi serupa di situs webnya untuk fungsionalitas, keamanan, analitik, dan atribusi. Baca Kebijakan Cookie kami untuk inventaris lengkap, kontrol banner persetujuan, dan posisi Global Privacy Control (GPC) dan Do Not Track (DNT) kami.

11. Pelatihan model anonim dan deteksi penipuan, opt-out Anda

Didit melatih, mengevaluasi, dan meningkatkan model verifikasi identitas, biometrik, dan deteksi penipuan, serta mengoperasikan perlindungan pencegahan penipuan lintas pelanggan, menggunakan data anonim atau pseudonim yang berasal dari aktivitas verifikasi (misalnya: fitur dokumen, sinyal penipuan, pola serangan, sampel kesalahan model). Didit menerapkan anonimisasi, pseudonimisasi, agregasi, dan kontrol akses sehingga data yang digunakan untuk pelatihan dan deteksi penipuan tidak dapat secara wajar dihubungkan kembali ke individu yang dapat diidentifikasi di luar catatan verifikasi yang mendasarinya.

Pemrosesan ini didasarkan pada kepentingan sah Didit dalam:

• meningkatkan akurasi dan keamanan infrastruktur identitas dan penipuan yang digunakan oleh semua pelanggan;
• mendeteksi dan mencegah penipuan, serangan pencurian identitas, deepfake, dan upaya berulang penyerang yang dikenal; dan
• memenuhi harapan peraturan seputar kinerja model, keadilan, dan keamanan.

Opt-out. Pelanggan atau pengguna akhir dapat memilih untuk tidak menyertakan data mereka dari pelatihan model dan pemrosesan deteksi penipuan dengan:

• menghapus catatan verifikasi yang mendasari melalui API atau Konsol Bisnis (penghapusan akan menghapus catatan dari pipeline pelatihan pada siklus refresh berikutnya), atau
• mengirim email ke privacy@didit.me dengan pengidentifikasi sesi atau akun yang relevan, meminta opt-out.

Opt-out berlaku secara prospektif sejak tanggal permintaan; Didit juga akan menggunakan upaya yang wajar secara komersial untuk membersihkan catatan yang memenuhi syarat dari kumpulan data pelatihan aktif.

12. Amerika Serikat, Addendum California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA)

Bagian ini melengkapi Kebijakan Privasi ini untuk penduduk California dan berlaku setiap kali Didit adalah "bisnis" di bawah California Consumer Privacy Act (CCPA), sebagaimana diubah oleh California Privacy Rights Act (CPRA). Ketika Didit adalah "penyedia layanan" atau "kontraktor" untuk pelanggan Didit (sebuah "bisnis" di bawah CCPA), pemberitahuan privasi pelanggan mengatur alur verifikasi yang relevan dan Didit memproses informasi pribadi di bawah Perjanjian Pemrosesan Data yang relevan.

Kategori informasi pribadi yang dikumpulkan dalam 12 bulan terakhir (kategori CCPA):

• Pengidentifikasi (nama, email, telepon, alamat IP, pengidentifikasi perangkat).
• Catatan pelanggan (penagihan, kontak, akun).
• Aktivitas internet atau jaringan (penjelajahan, interaksi, telemetri).
• Data geolokasi (disimpulkan dari IP).
• Data sensorik (selfie, gambar wajah, video liveness, gambar dokumen).
• Data profesional atau pekerjaan (untuk kandidat).
• Informasi pribadi sensitif (SPI), termasuk informasi biometrik yang digunakan untuk mengidentifikasi konsumen secara unik, pengidentifikasi pemerintah yang terkandung dalam dokumen identitas, dan kredensial masuk akun.
• Inferensi yang ditarik dari salah satu di atas (skor risiko, sinyal penipuan, hasil keputusan).

Tujuan, tujuan yang tercantum dalam Bagian 4.

Penjualan atau pembagian informasi pribadi. Didit tidak menjual atau membagikan (sebagaimana istilah tersebut didefinisikan di bawah CCPA/CPRA) informasi pribadi, termasuk informasi biometrik.

Penggunaan dan pengungkapan informasi pribadi sensitif. Didit menggunakan informasi pribadi sensitif hanya untuk tujuan yang diizinkan di bawah California Civil Code § 1798.121(a) dan peraturan pelaksanaannya, untuk menyediakan dan mengamankan layanan verifikasi, mencegah penipuan dan insiden keamanan, mematuhi kewajiban hukum, dan tujuan lain yang diizinkan tanpa hak konsumen terpisah untuk membatasi.

Hak-hak California Anda:

• hak untuk mengetahui informasi pribadi apa yang dikumpulkan, digunakan, diungkapkan, dan dijual/dibagikan;
• hak untuk menghapus informasi pribadi;
• hak untuk mengoreksi informasi pribadi yang tidak akurat;
• hak untuk memilih keluar dari penjualan atau pembagian (Didit tidak melakukan keduanya);
• hak untuk membatasi penggunaan dan pengungkapan informasi pribadi sensitif (pemrosesan Didit sudah dibatasi untuk tujuan yang tidak memicu hak tersebut);
• hak untuk portabilitas data; dan
• hak untuk non-diskriminasi karena menggunakan salah satu hak di atas.

Kirimkan permintaan California ke privacy@didit.me. Verifikasi identitas Anda mungkin diperlukan sebelum menanggapi. Agen resmi dapat mengajukan permintaan dengan bukti otorisasi.

Global Privacy Control (GPC) dan Do Not Track (DNT). Didit menghormati sinyal Global Privacy Control berbasis browser di situs pemasaran sebagai opt-out dari penjualan atau pembagian, meskipun Didit tidak menjual atau membagikan informasi pribadi, sinyal GPC dicatat sehingga tidak ada cookie iklan atau analitik yang dapat ditafsirkan sebagai pembagian yang ditetapkan untuk browser tersebut. Didit saat ini tidak menanggapi header Do Not Track (DNT) lama karena tidak ada konsensus industri tentang cara menafsirkannya; sinyal GPC menggantikan DNT untuk tujuan Didit.

13. Keamanan

Didit menggunakan perlindungan administratif, teknis, dan organisasi yang dirancang untuk melindungi data pribadi dari akses tidak sah, kehilangan, penyalahgunaan, perubahan, dan penghancuran yang melanggar hukum, termasuk enkripsi saat istirahat dengan AES-256, enkripsi saat transit dengan TLS 1.3, manajemen kunci di AWS KMS, kontrol akses berbasis peran, pemisahan lingkungan, pemantauan berkelanjutan, pengawasan vendor, dan prosedur respons insiden. Lihat Kebijakan Keamanan Informasi untuk postur dan sertifikasi lengkap.

Tidak ada tindakan keamanan yang sempurna. Anda juga harus melindungi perangkat, kredensial, dan komunikasi Anda sendiri.

14. Anak-anak

Situs web publik dan layanan bisnis standar Didit tidak ditujukan untuk anak-anak. Beberapa pelanggan dapat secara sah menggunakan Didit untuk pemeriksaan terkait usia atau identitas yang melibatkan pengguna yang lebih muda, tetapi penggunaan tersebut harus didukung oleh dasar hukum yang sesuai dan pemberitahuan pelanggan sendiri. Jika Anda yakin data pribadi dikirimkan ke Didit tanpa otorisasi yang tepat, hubungi privacy@didit.me.

15. Perubahan pada Kebijakan Privasi ini

Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu untuk mencerminkan perubahan hukum, teknis, operasional, atau produk. Tanggal efektif di bagian atas kebijakan mencerminkan pembaruan terakhir. Perubahan material akan dikomunikasikan di mana diwajibkan oleh hukum.

16. Kontak

• Umum: hello@didit.me
• Privasi: privacy@didit.me
• Petugas Perlindungan Data: dpo@didit.me
• Keamanan dan paket kepercayaan: security@didit.me
• Hukum / kontrak: legal@didit.me