Pemberitahuan Privasi Verifikasi

Pemberitahuan Privasi Verifikasi ini menjelaskan bagaimana Didit memproses data pribadi, termasuk data biometrik, ketika Didit menyediakan alur kerja verifikasi identitas, pencegahan penipuan, autentikasi, atau kepatuhan atas nama salah satu pelanggannya.

Pemberitahuan ini melengkapi Kebijakan Privasi dan Ketentuan Pengguna Akhir untuk Verifikasi Identitas kami.

1. Lingkup

Pemberitahuan ini berlaku ketika Anda berinteraksi dengan alur verifikasi, halaman yang di-hosting, SDK, journey berbasis API, alur seluler, atau pengalaman white-label yang didukung oleh Didit untuk Pelanggan.

Pemberitahuan ini mencakup pemrosesan:

• data identitas dan kontak;
• dokumen dan file yang Anda kirimkan;
• selfie, gambar wajah, video, dan pengambilan liveness;
• data biometrik yang berasal dari pengiriman tersebut;
• telemetri perangkat, IP, lokasi, dan anti-penipuan;
• hasil verifikasi, sinyal risiko, dan catatan audit; dan
• catatan dukungan, kepatuhan, dan keamanan terkait yang terhubung ke sesi verifikasi.

2. Siapa saja pihak-pihaknya dan apa peran mereka?

Jika journey verifikasi adalah white-label atau menggunakan domain kustom, Didit mungkin masih menjadi penyedia teknologi yang memproses data Anda di balik antarmuka bermerek tersebut.

3. Kategori data yang digunakan dalam verifikasi

Tergantung pada alur kerja yang dikonfigurasi, Didit dapat memproses:

• Data identitas, seperti nama, tanggal lahir, alamat, nomor telepon, email, kebangsaan, dan detail identifikasi lainnya.
• Data dokumen, seperti paspor, kartu identitas, izin tinggal, SIM, dokumen bukti alamat, dan data yang diekstraksi dari materi tersebut.
• Data biometrik dan liveness, seperti gambar wajah, gambar selfie, video, pengambilan liveness, sinyal anti-spoofing, dan data yang berasal dari pemindaian geometri wajah yang digunakan untuk membandingkan wajah Anda dengan dokumen identitas atau untuk mengonfirmasi bahwa orang sungguhan hadir.
• Data teknis dan pencegahan penipuan, seperti alamat IP, browser, data perangkat, stempel waktu, data sesi, geolokasi yang disimpulkan dari data jaringan, dan sinyal integritas atau risiko serupa.
• Data kuesioner dan alur kerja, seperti deklarasi, jawaban, file yang diunggah, catatan persetujuan, dan transisi status.
• Output verifikasi, seperti skor kecocokan, peringatan, indikator penipuan, hasil peninjauan, dan bukti audit.

4. Tujuan pemrosesan

Didit dapat memproses data di atas untuk:

• memverifikasi identitas dan mengautentikasi seseorang;
• memeriksa keaslian dan kelengkapan dokumen;
• mendeteksi spoofing, manipulasi, penipuan, atau penyalahgunaan;
• mematuhi persyaratan hukum, peraturan, sanksi, Anti-Pencucian Uang (AML), Kenali Pelanggan Anda (KYC), dan manajemen risiko yang dikonfigurasi oleh Pelanggan;
• mengamankan alur verifikasi dan infrastruktur yang mendasarinya;
• mendukung peninjauan manual, pengiriman ulang, eskalasi, dan proses audit;
• menanggapi permintaan yang sah dan membela klaim hukum; dan
• menjaga integritas layanan, memecahkan masalah insiden, dan melakukan pemantauan kualitas dan keamanan.

Jika diizinkan oleh hukum dan kontrol yang sesuai telah diterapkan, Didit juga dapat menggunakan data terkait verifikasi yang dianonimkan atau dipseudonimkan untuk pengujian layanan, jaminan kualitas, pelatihan dan validasi model penipuan, dan peningkatan keamanan. Jika pemberitahuan terpisah, persetujuan, atau dasar hukum tambahan diperlukan untuk penggunaan sekunder, Didit akan memperolehnya atau menahan diri dari penggunaan tersebut.

Anda (atau Pelanggan atas nama Anda) dapat memilih keluar dari pemrosesan anonim/pseudonim ini dengan (a) menghapus catatan verifikasi yang mendasarinya melalui aplikasi Pelanggan atau melalui API atau Business Console Didit, atau (b) mengirim email ke privacy@didit.me dengan pengidentifikasi sesi atau akun yang relevan. Pilihan keluar berlaku secara prospektif sejak tanggal permintaan; Didit juga akan menggunakan upaya yang wajar secara komersial untuk menghapus catatan yang memenuhi syarat dari kumpulan data pelatihan aktif.

5. Bagaimana Didit menangani data biometrik

Untuk tujuan pemberitahuan ini, data biometrik mencakup data yang berasal dari pemindaian geometri wajah atau karakteristik biometrik serupa yang diekstraksi dari gambar atau video, di mana data tersebut digunakan untuk memverifikasi identitas, mengonfirmasi liveness, atau mencegah penipuan.

Ketika alur kerja mencakup verifikasi wajah atau liveness, Didit dapat:

• mengambil atau menerima gambar selfie, gambar wajah, dan/atau video;
• mengekstrak karakteristik wajah dari pengiriman tersebut dan dari potret pada dokumen identitas Anda;
• membandingkan sinyal-sinyal tersebut untuk memverifikasi bahwa orang yang menunjukkan dokumen adalah orang yang sama yang ditampilkan pada dokumen;
• menganalisis indikator liveness dan anti-spoofing untuk mengonfirmasi bahwa orang sungguhan hadir; dan
• menghasilkan hasil verifikasi, indikator kepercayaan, dan sinyal penipuan atau peninjauan.

Didit:

• menggunakan data biometrik hanya untuk tujuan sah yang dijelaskan dalam pemberitahuan ini, instruksi Pelanggan, dan hukum yang berlaku;
• menerapkan perlindungan yang dirancang untuk data sensitif, termasuk kontrol akses, pemantauan, dan praktik penanganan yang aman;
• tidak menjual, menyewakan, memperdagangkan, atau mengambil keuntungan lain dari pengidentifikasi biometrik atau informasi biometrik; dan
• mengharapkan Pelanggan yang menggunakan API atau journey white-label untuk secara jelas mengungkapkan Didit sebagai penyedia verifikasi dan untuk memperoleh pemberitahuan atau persetujuan apa pun yang diwajibkan oleh hukum sebelum pengambilan biometrik dimulai.

6. Pengungkapan privasi biometrik tambahan di A.S.

Jika Anda berada di Illinois, Texas, Washington, atau yurisdiksi lain dengan persyaratan privasi biometrik, poin-poin tambahan berikut ini penting:

• Data biometrik dapat mencakup data yang berasal dari pemindaian geometri wajah, gambar selfie, video liveness, atau media verifikasi identitas serupa.
• Anda mungkin diminta untuk memberikan persetujuan elektronik atau tertulis eksplisit sebelum data biometrik diambil atau diunggah.
• Pelanggan harus mengidentifikasi Didit sebagai penyedia atau pemroses verifikasi saat menyajikan pemberitahuan yang diperlukan dalam journey white-label atau berbasis API.
• Didit menggunakan data biometrik untuk melakukan verifikasi identitas, liveness, anti-spoofing, pencegahan penipuan, keamanan, dan operasi kepatuhan terkait yang diminta oleh Pelanggan.
• Didit menyimpan data biometrik hanya selama diperlukan untuk menyediakan layanan, mengikuti instruksi Pelanggan yang sah, memenuhi kewajiban hukum, menyelesaikan perselisihan, atau membela klaim, dan dalam hal apa pun tidak lebih lama dari yang diizinkan oleh hukum yang berlaku.
• Didit menggunakan standar perawatan yang wajar yang dirancang untuk data sensitif dan tidak menjual, menyewakan, memperdagangkan, atau mengambil keuntungan lain dari pengidentifikasi biometrik atau informasi biometrik.

Jika suatu yurisdiksi mensyaratkan periode retensi yang lebih pendek, jadwal publik terpisah, atau pengungkapan tambahan, Didit dan Pelanggan akan menerapkan persyaratan yang lebih pendek atau lebih ketat yang mengatur alur verifikasi yang relevan.

Yurisdiksi lain dengan persyaratan privasi biometrik. Poin-poin di atas berlaku, dengan penyesuaian yang sesuai, untuk negara bagian, provinsi, negara, atau yurisdiksi lain dengan persyaratan privasi biometrik, termasuk (tanpa batasan) California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA) perlakuan informasi pribadi sensitif, Colorado Privacy Act (CPA), Virginia Consumer Data Protection Act (VCDPA), Connecticut Data Privacy Act (CTDPA), Utah Consumer Privacy Act (UCPA), proposal privasi biometrik New York, kerangka kerja Pasal 9 Peraturan Perlindungan Data Umum (GDPR) Uni Eropa untuk data biometrik, GDPR Inggris Raya dan Data Protection Act 2018, Swiss Federal Act on Data Protection (FADP), Personal Information Protection and Electronic Documents Act (PIPEDA) Kanada dan Quebec's Law 25, Lei Geral de Proteção de Dados (LGPD) Brasil, dan undang-undang privasi biometrik di masa mendatang yang berlaku untuk alur verifikasi yang relevan.

7. Pengungkapan dan penyedia layanan

Didit dapat mengungkapkan data terkait verifikasi kepada:

• Pelanggan yang meminta Anda untuk memverifikasi;
• entitas grup Didit yang terlibat dalam pengiriman, dukungan, atau pengamanan layanan;
• penyedia hosting, penyimpanan cloud, komunikasi, identitas, penipuan, analitik, audit, keamanan, dan layanan profesional;
• regulator, pengadilan, penegak hukum, atau otoritas publik jika diwajibkan secara hukum; dan
• pihak lawan transaksi dalam merger, akuisisi, restrukturisasi, atau transfer aset, tunduk pada perlindungan hukum.

Penerima yang tepat tergantung pada layanan, wilayah, konfigurasi alur kerja, dan persyaratan hukum.

8. Transfer internasional

Data verifikasi dapat diproses di negara selain negara tempat Anda memulai alur verifikasi. Jika diwajibkan oleh hukum, Didit menerapkan perlindungan transfer yang sesuai seperti keputusan kecukupan, klausul kontrak standar, atau mekanisme hukum lain yang diakui.

9. Retensi dan penghancuran

Retensi default. Periode retensi default untuk data verifikasi adalah tidak terbatas ("unlimited") kecuali Pelanggan mengonfigurasi periode yang lebih pendek atau Anda menggunakan hak penghapusan. Pelanggan dapat mengonfigurasi retensi per aplikasi di Business Console antara 30 hari dan 10 tahun dan dapat menghapus sesi verifikasi individu kapan saja. Anda juga dapat menggunakan hak penghapusan seperti yang dijelaskan di Bagian 11. Retensi data biometrik dalam setiap kasus tunduk pada, dan dibatasi oleh, undang-undang dan peraturan privasi biometrik yang berlaku, termasuk Peraturan Perlindungan Data Umum (GDPR) Pasal 9 UE, Illinois Biometric Information Privacy Act (BIPA), Texas Capture or Use of Biometric Identifier Act (CUBI), Washington H.B. 1493, dan undang-undang privasi biometrik lain yang berlaku; jika undang-undang tersebut menetapkan periode retensi yang lebih pendek atau kewajiban penghancuran yang lebih awal, aturan yang lebih pendek atau lebih ketat itu akan berlaku di atas periode retensi default atau yang dikonfigurasi Pelanggan.

Dalam setiap kasus, Didit menyimpan data verifikasi, termasuk data biometrik, sesuai dengan:

• instruksi yang didokumentasikan Pelanggan dan pengaturan retensi yang dikonfigurasi (minimal 30 hari, maksimal 10 tahun, atau tidak terbatas jika Pelanggan belum menurunkan batas atas);
• kewajiban kontraktual, peraturan, audit, dan hukum yang berlaku;
• kebutuhan pencegahan penipuan, keamanan, dan penyelesaian sengketa; dan
• aturan retensi yang lebih pendek atau lebih ketat yang diwajibkan oleh hukum yang berlaku, yang selalu berlaku.

Ketika data yang relevan tidak lagi diperlukan, Didit menghapus, menyunting, menganonimkan, menghilangkan identitas, atau menghancurkannya dengan aman.

Untuk data biometrik, Didit bertujuan untuk memastikan bahwa pengidentifikasi biometrik dan informasi biometrik dihapus, dihilangkan identitasnya, atau dihancurkan dengan aman ketika:

• tujuan verifikasi asli telah terpenuhi;
• periode retensi yang berlaku berakhir;
• Pelanggan secara sah menginstruksikan penghapusan; atau
• hukum yang berlaku mensyaratkan penghancuran lebih awal.

10. Pemrosesan otomatis dan peninjauan manusia

Didit dapat menggunakan sistem otomatis untuk meninjau integritas dokumen, liveness, pencocokan wajah, indikator penipuan, dan sinyal verifikasi lainnya. Beberapa sesi juga dapat diarahkan untuk peninjauan manusia, jaminan kualitas, atau eskalasi tergantung pada alur kerja dan konfigurasi risiko Pelanggan.

Kecuali jika layanan tertentu menyatakan sebaliknya, Pelanggan tetap bertanggung jawab atas bagaimana ia menggunakan hasil verifikasi dalam pengambilan keputusan bisnisnya sendiri.

11. Hak dan permintaan

Jika Anda ingin mengakses, mengoreksi, menghapus, membatasi, menolak, atau menggunakan hak lain atas data yang diproses dalam sesi verifikasi tertentu, Anda harus menghubungi Pelanggan terlebih dahulu. Pelanggan biasanya menentukan tujuan utama verifikasi dan merupakan titik kontak terbaik untuk hak-hak yang terkait dengan hubungan tersebut.

Jika Didit menerima permintaan langsung dalam konteks pemroses, Didit dapat meneruskan atau mengarahkan permintaan tersebut kepada Pelanggan yang relevan jika sesuai. Jika Didit bertindak sebagai pengontrol independen untuk tujuan pemrosesan terbatas, Anda juga dapat menghubungi privacy@didit.me atau Petugas Perlindungan Data Didit di dpo@didit.me.

Anda juga dapat mengajukan keluhan kepada otoritas pengawas. Otoritas pengawas utama Didit adalah Badan Perlindungan Data Spanyol (Agencia Española de Protección de Datos / AEPD) di `aepd.es`. Anda juga dapat mengajukan keluhan kepada otoritas perlindungan data lokal Anda.

12. Keamanan

Didit menggunakan perlindungan teknis, organisasi, dan administratif yang dirancang untuk melindungi data verifikasi, termasuk data sensitif dan biometrik. Perlindungan ini dapat mencakup enkripsi, kontrol akses, pemisahan lingkungan, pencatatan, pemantauan, dan prosedur respons insiden.

13. Anak-anak

Didit tidak bermaksud agar pemberitahuan verifikasi ini mengizinkan pengumpulan data anak-anak secara tidak sah. Jika alur verifikasi digunakan untuk pemeriksaan terkait usia atau remaja, Pelanggan harus memastikan dasar hukum yang sah, pemberitahuan yang sesuai, dan izin orang tua atau wali yang diperlukan.

14. Perubahan pada pemberitahuan ini

Didit dapat memperbarui Pemberitahuan Privasi Verifikasi ini dari waktu ke waktu untuk mencerminkan perubahan hukum, operasional, atau produk. Ketika kami melakukannya, kami akan memperbarui tanggal efektif di bagian atas pemberitahuan ini.

15. Kontak

Jika Anda memiliki pertanyaan tentang pemberitahuan ini, hubungi:

• privacy@didit.me
• hello@didit.me