확인 개인정보처리방침

본 확인 개인정보처리방침은 Didit이 고객을 대신하여 신원 확인, 사기 방지, 인증 또는 규정 준수 워크플로우를 제공할 때 Didit이 생체 인식 데이터를 포함한 개인 데이터를 처리하는 방법을 설명합니다.

본 고지는 당사의 개인정보처리방침 및 본인 확인 최종 사용자 약관을 보완합니다.

1. 범위

본 고지는 귀하가 고객을 위해 Didit이 제공하는 확인 플로우, 호스팅 페이지, SDK, API 기반 여정, 모바일 플로우 또는 화이트 라벨 경험과 상호 작용할 때 적용됩니다.

다음 데이터 처리를 다룹니다.

• 신원 및 연락처 데이터;
• 귀하가 제출하는 문서 및 파일;
• 셀카, 얼굴 이미지, 비디오 및 라이브니스 캡처;
• 해당 제출물에서 파생된 생체 인식 데이터;
• 장치, IP, 위치 및 사기 방지 원격 측정;
• 확인 결과, 위험 신호 및 감사 기록; 그리고
• 확인 세션과 관련된 지원, 규정 준수 및 보안 기록.

2. 당사자는 누구이며 그들의 역할은 무엇입니까?

확인 여정이 화이트 라벨이거나 맞춤 도메인을 사용하는 경우에도 Didit이 브랜드 인터페이스 뒤에서 귀하의 데이터를 처리하는 기술 제공업체일 수 있습니다.

3. 확인에 사용되는 데이터 범주

구성된 워크플로우에 따라 Didit은 다음을 처리할 수 있습니다.

• 이름, 생년월일, 주소, 전화번호, 이메일, 국적 및 기타 식별 정보와 같은 신원 데이터.
• 여권, 신분증, 거주 허가증, 운전면허증, 주소 증명 문서 및 해당 자료에서 추출된 데이터와 같은 문서 데이터.
• 얼굴 이미지, 셀카 이미지, 비디오, 라이브니스 캡처, 스푸핑 방지 신호, 그리고 귀하의 얼굴을 신분증과 비교하거나 실제 사람이 존재하는지 확인하는 데 사용되는 얼굴 기하학 스캔에서 파생된 데이터와 같은 생체 인식 및 라이브니스 데이터.
• IP 주소, 브라우저, 장치 데이터, 타임스탬프, 세션 데이터, 네트워크 데이터에서 추론된 지리적 위치 및 유사한 무결성 또는 위험 신호와 같은 기술 및 사기 방지 데이터.
• 선언, 답변, 업로드된 파일, 동의 기록 및 상태 전환과 같은 설문지 및 워크플로우 데이터.
• 일치 점수, 경고, 사기 지표, 검토 결과 및 감사 증거와 같은 확인 출력.

4. 처리 목적

Didit은 위 데이터를 다음 목적으로 처리할 수 있습니다.

• 신원 확인 및 개인 인증;
• 문서의 진위 및 완전성 확인;
• 스푸핑, 조작, 사기 또는 남용 감지;
• 고객이 구성한 법률, 규제, 제재, 자금 세탁 방지(AML), 고객 알기 제도(KYC) 및 위험 관리 요구 사항 준수;
• 확인 플로우 및 기본 인프라 보안;
• 수동 검토, 재제출, 에스컬레이션 및 감사 프로세스 지원;
• 합법적인 요청에 응답하고 법적 청구 방어; 그리고
• 서비스 무결성 유지, 사고 해결 및 품질 및 보안 모니터링 수행.

법률이 허용하고 적절한 통제가 마련된 경우, Didit은 서비스 테스트, 품질 보증, 사기 모델 훈련 및 검증, 보안 개선을 위해 익명화 또는 가명화된 확인 관련 데이터를 사용할 수도 있습니다. 2차 사용에 대해 별도의 고지, 동의 또는 추가 법적 근거가 필요한 경우, Didit은 이를 획득하거나 해당 사용을 자제합니다.

귀하(또는 귀하를 대신하여 고객)는 (a) 고객의 애플리케이션 또는 Didit의 API 또는 비즈니스 콘솔을 통해 기본 확인 기록을 삭제하거나, (b) 관련 세션 식별자 또는 계정과 함께 privacy@didit.me로 이메일을 보내 이 익명화/가명화 처리를 거부할 수 있습니다. 거부권은 요청일로부터 장래에 적용되며, Didit은 또한 활성 훈련 데이터 세트에서 적격 기록을 제거하기 위해 상업적으로 합리적인 노력을 기울일 것입니다.

5. Didit의 생체 인식 데이터 처리 방식

본 고지 목적상, 생체 인식 데이터는 신원 확인, 라이브니스 확인 또는 사기 방지에 사용되는 경우, 이미지 또는 비디오에서 추출된 얼굴 기하학 스캔 또는 유사한 생체 인식 특성에서 파생된 데이터를 포함합니다.

워크플로우에 얼굴 확인 또는 라이브니스가 포함된 경우, Didit은 다음을 수행할 수 있습니다.

• 셀카 이미지, 얼굴 이미지 및/또는 비디오 캡처 또는 수신;
• 해당 제출물 및 신분증의 초상화에서 얼굴 특징 추출;
• 해당 신호를 비교하여 문서를 제시하는 사람이 문서에 표시된 사람과 동일한지 확인;
• 라이브니스 및 스푸핑 방지 지표를 분석하여 실제 사람이 존재하는지 확인; 그리고
• 확인 결과, 신뢰 지표 및 사기 또는 검토 신호 생성.

Didit은:

• 본 고지, 고객의 지침 및 관련 법률에 설명된 합법적인 목적으로만 생체 인식 데이터를 사용합니다;
• 접근 제어, 모니터링 및 안전한 처리 관행을 포함하여 민감한 데이터를 위해 설계된 보호 조치를 적용합니다;
• 생체 인식 식별자 또는 생체 인식 정보를 판매, 임대, 거래하거나 기타 방식으로 이익을 얻지 않습니다; 그리고
• API 또는 화이트 라벨 여정을 사용하는 고객이 Didit을 확인 제공업체로 명확히 공개하고 생체 인식 캡처가 시작되기 전에 법률에서 요구하는 모든 고지 또는 동의를 얻을 것을 기대합니다.

6. 추가 미국 생체 인식 개인정보 보호 공개

일리노이, 텍사스, 워싱턴 또는 생체 인식 개인정보 보호 요구 사항이 있는 다른 관할권에 거주하는 경우, 다음 추가 사항이 중요합니다.

• 생체 인식 데이터에는 얼굴 기하학 스캔, 셀카 이미지, 라이브니스 비디오 또는 유사한 신원 확인 미디어에서 파생된 데이터가 포함될 수 있습니다.
• 생체 인식 데이터가 캡처되거나 업로드되기 전에 명시적인 전자 또는 서면 동의를 요청받을 수 있습니다.
• 고객은 화이트 라벨 또는 API 기반 여정에서 필요한 고지를 제시할 때 Didit을 확인 제공업체 또는 처리자로 식별해야 합니다.
• Didit은 고객이 요청한 신원 확인, 라이브니스, 스푸핑 방지, 사기 방지, 보안 및 관련 규정 준수 작업을 수행하기 위해 생체 인식 데이터를 사용합니다.
• Didit은 서비스를 제공하고, 합법적인 고객 지침을 따르며, 법적 의무를 이행하고, 분쟁을 해결하거나, 청구를 방어하는 데 필요한 기간 동안만 생체 인식 데이터를 보존하며, 어떠한 경우에도 관련 법률이 허용하는 기간을 초과하지 않습니다.
• Didit은 민감한 데이터를 위해 설계된 합리적인 주의 기준을 사용하며, 생체 인식 식별자 또는 생체 인식 정보를 판매, 임대, 거래하거나 기타 방식으로 이익을 얻지 않습니다.

관할권에서 더 짧은 보존 기간, 별도의 공개 일정 또는 추가 공개를 요구하는 경우, Didit과 고객은 관련 확인 플로우를 규율하는 더 짧거나 더 엄격한 요구 사항을 적용할 것입니다.

생체 인식 개인정보 보호 요구 사항이 있는 기타 관할권. 위 사항은 적절한 조정을 거쳐 생체 인식 개인정보 보호 요구 사항이 있는 다른 주, 지방, 국가 또는 관할권에도 적용됩니다, 캘리포니아 소비자 개인정보 보호법(CCPA) / 캘리포니아 개인정보 권리법(CPRA)의 민감한 개인 정보 처리, 콜로라도 개인정보 보호법(CPA), 버지니아 소비자 데이터 보호법(VCDPA), 코네티컷 데이터 개인정보 보호법(CTDPA), 유타 소비자 개인정보 보호법(UCPA), 뉴욕의 생체 인식 개인정보 보호 제안, 유럽 연합의 일반 데이터 보호 규정(GDPR) 제9조 생체 인식 데이터 프레임워크, 영국 GDPR 및 2018년 데이터 보호법, 스위스 연방 데이터 보호법(FADP), 캐나다 개인 정보 보호 및 전자 문서법(PIPEDA) 및 퀘벡 법률 25호, 브라질 일반 데이터 보호법(LGPD), 그리고 관련 확인 플로우에 적용되는 모든 미래 생체 인식 개인정보 보호법을 포함하되 이에 국한되지 않습니다.

7. 공개 및 서비스 제공업체

Didit은 확인 관련 데이터를 다음에게 공개할 수 있습니다.

• 귀하에게 확인을 요청한 고객;
• 서비스 제공, 지원 또는 보안에 관련된 Didit 그룹 법인;
• 호스팅, 클라우드 저장소, 통신, 신원, 사기, 분석, 감사, 보안 및 전문 서비스 제공업체;
• 법적으로 요구되는 경우 규제 기관, 법원, 법 집행 기관 또는 공공 기관; 그리고
• 합법적인 보호 조치에 따라 합병, 인수, 구조 조정 또는 자산 이전의 거래 상대방.

정확한 수신자는 서비스, 지역, 워크플로우 구성 및 법적 요구 사항에 따라 달라집니다.

8. 국제 전송

확인 데이터는 귀하가 확인 플로우를 시작한 국가 이외의 국가에서 처리될 수 있습니다. 법률이 요구하는 경우, Didit은 적정성 결정, 표준 계약 조항 또는 기타 인정된 법적 메커니즘과 같은 적절한 전송 보호 조치를 적용합니다.

9. 보존 및 파기

기본 보존. 확인 데이터의 기본 보존 기간은 고객이 더 짧은 기간을 구성하거나 귀하가 삭제 권리를 행사하지 않는 한 무기한("무제한")입니다. 고객은 비즈니스 콘솔에서 애플리케이션별로 보존 기간을 30일에서 10년 사이로 구성할 수 있으며, 언제든지 개별 확인 세션을 삭제할 수 있습니다. 귀하는 또한 섹션 11에 설명된 대로 삭제 권리를 행사할 수 있습니다. 생체 인식 데이터 보존은 모든 경우에 해당 생체 인식 개인정보 보호 법률 및 규정의 적용을 받으며 그에 따라 제한됩니다, EU 일반 데이터 보호 규정(GDPR) 제9조, 일리노이 생체 인식 정보 개인정보 보호법(BIPA), 텍사스 생체 인식 식별자 캡처 또는 사용법(CUBI), 워싱턴 H.B. 1493 및 기타 모든 해당 생체 인식 개인정보 보호 법률을 포함합니다. 그러한 법률이 더 짧은 보존 기간 또는 더 이른 파기 의무를 규정하는 경우, 해당 더 짧거나 더 엄격한 규칙이 기본 또는 고객 구성 보존 기간보다 우선합니다.

모든 경우에 Didit은 생체 인식 데이터를 포함한 확인 데이터를 다음 사항에 따라 보존합니다.

• 고객의 문서화된 지침 및 구성된 보존 설정(최소 30일, 최대 10년, 또는 고객이 상한을 낮추지 않은 경우 무제한);
• 해당 계약, 규제, 감사 및 법적 의무;
• 사기 방지, 보안 및 분쟁 해결 필요성; 그리고
• 해당 법률에서 요구하는 더 짧거나 더 엄격한 보존 규칙이 항상 우선합니다.

관련 데이터가 더 이상 필요하지 않으면 Didit은 이를 삭제, 수정, 익명화, 비식별화 또는 안전하게 파기합니다.

생체 인식 데이터의 경우, Didit은 다음의 경우 생체 인식 식별자 및 생체 인식 정보가 삭제, 비식별화 또는 안전하게 파기되도록 합니다.

• 원래 확인 목적이 충족되었을 때;
• 해당 보존 기간이 만료되었을 때;
• 고객이 합법적으로 삭제를 지시했을 때; 또는
• 해당 법률이 더 이른 파기를 요구했을 때.

10. 자동 처리 및 수동 검토

Didit은 문서 무결성, 라이브니스, 얼굴 일치, 사기 지표 및 기타 확인 신호를 검토하기 위해 자동화된 시스템을 사용할 수 있습니다. 일부 세션은 고객의 워크플로우 및 위험 구성에 따라 수동 검토, 품질 보증 또는 에스컬레이션을 위해 라우팅될 수도 있습니다.

특정 서비스에서 달리 명시하지 않는 한, 고객은 자체 비즈니스 의사 결정에서 확인 결과를 사용하는 방식에 대한 책임이 있습니다.