Политика хранения и уничтожения биометрических данных

Настоящая Политика хранения и уничтожения биометрических данных объясняет, какие биометрические данные Didit обрабатывает при предоставлении своим клиентам услуг по верификации личности и предотвращению мошенничества, зачем Didit их использует, как долго они хранятся и каким образом они уничтожаются. Она представляет собой публичный письменный график хранения биометрических данных Didit и руководящие принципы их уничтожения, в том числе для целей Закона Иллинойса о конфиденциальности биометрической информации (740 ILCS 14/15(a)) и законодательства Колорадо (C.R.S. § 6-1-1314).

Настоящая политика дополняет наше Уведомление о конфиденциальности при верификации, наши Условия использования услуг по верификации личности для конечных пользователей и нашу Политику конфиденциальности.

1. Область применения

Настоящая политика применяется к биометрическим данным, которые Didit обрабатывает, когда вы проходите процесс верификации (размещенный Didit процесс, SDK, white-label решение или процесс на основе API), который клиент Didit («Клиент») настроил с захватом изображения лица, например селфи, проверкой живости или проверкой совпадения лиц.

2. Кто принимает решения и кто осуществляет обработку

• Клиент, который просит вас пройти верификацию, решает, зачем и каким образом собираются ваши биометрические данные. Он является контролером этих данных или выполняет эквивалентную роль в соответствии с применимым законодательством.
• Didit обрабатывает биометрические данные от имени Клиента и по его документированным инструкциям в качестве его обработчика или поставщика услуг.

3. Какие биометрические данные собирает Didit

В зависимости от того, как Клиент настроил верификацию, Didit может собирать:

• Геометрию лица и шаблоны лица: измерения черт лица, полученные из вашего селфи, вашего захвата живости или портрета на вашем документе, удостоверяющем личность, а также шаблоны (числовые представления лица), созданные на их основе.
• Изображения селфи, сделанные во время верификации.
• Портрет на документе: изображение вашего лица на предоставляемом вами документе, удостоверяющем личность.
• Видео живости: видео или кадры изображений, захваченные для подтверждения присутствия реального человека.

4. Зачем Didit их использует

Didit использует биометрические данные для верификации личности и предотвращения мошенничества для Клиента, по инструкциям Клиента:

• чтобы проверить, что человек, предъявляющий документ, удостоверяющий личность, является тем человеком, который изображен на нем;
• чтобы подтвердить присутствие реального живого человека и выявить попытки спуфинга; и
• если Клиент включает такие функции, чтобы выявлять дублирующиеся аккаунты и лица, внесенные в черный список Клиента.

5. График хранения

Биометрические данные удаляются при наступлении наиболее раннего из следующих событий:

1. достижение цели, для которой Клиент их собрал;
2. окончание срока хранения, установленного Клиентом; и
3. для лиц, на которых распространяются указанные ниже законы штатов, истечение срока, установленного законом штата и отсчитываемого от их последней верификации у этого Клиента.

Вашей последней верификацией у Клиента считается ваша самая последняя сессия верификации для этого Клиента, и новая сессия начинает отсчет заново. Срок, установленный законом штата, применяется, даже если настройка срока хранения Клиента предусматривает более длительный срок, в том числе если для нее установлено значение «без ограничений». Если применяется более одного срока, применяется самый ранний из них.

Срок, установленный законом штата, применяется к вам, например, если вы находились в этом штате в момент захвата изображения вашего лица, если ваш документ, удостоверяющий личность, был выдан этим штатом или если Клиент сообщил Didit, что вы находитесь в этом штате.

Didit не хранит биометрические данные после истечения установленного для них срока.

6. Как осуществляется удаление

• Безвозвратно. Удаление является безвозвратным. Didit не хранит никаких копий удаленных биометрических данных.
• Во всех хранилищах. Удаление распространяется на все места, где Didit хранит данные: исходные изображения и видео, созданные на их основе геометрию лица и шаблоны, а также записи поиска по лицам, используемые для проверок на дубликаты и по черному списку, в том числе в системах субобработчиков Didit.
• Автоматически. Didit применяет сроки, указанные в разделе 5, автоматически, не дожидаясь запроса.
• С фиксацией. Didit фиксирует факт удаления, не сохраняя удаленные данные.

Биометрические данные также удаляются до истечения любого срока, если Клиент поручает Didit их удалить или если принят действительный запрос на удаление, касающийся вас (см. раздел 10).

7. Отсутствие продажи и извлечения выгоды

Didit не продает, не сдает в аренду, не обменивает и иным образом не извлекает выгоду из биометрических идентификаторов или биометрической информации.

8. Обработчики и субобработчики

Didit привлекает субобработчиков, например поставщиков услуг облачного хостинга и хранения данных, для содействия в предоставлении услуги. Didit возлагает на каждого субобработчика обязательства по защите данных, по существу аналогичные обязательствам, предусмотренным Дополнением об обработке данных Didit, которое является частью Условий использования для бизнеса, и сохраняет ответственность перед Клиентом за соблюдение ими этих обязательств. Клиенты могут запросить актуальный список субобработчиков по адресу privacy@didit.me.

9. Согласие и его отзыв

До захвата. Если этого требует закон, у вас запрашивается явное согласие до захвата вашего селфи или видео живости. Процесс верификации объясняет, какие данные собираются, с какой целью и на какой срок, содержит ссылку на настоящую политику и предлагает вам выразить согласие, например поставив отметку в соответствующем поле. Если вы отказываетесь, верификация завершается, и Didit не захватывает ваше селфи или видео живости. Ваш ответ фиксируется вместе с сессией верификации.

Экраны Клиента. Если Клиент использует собственные экраны верификации (процессы на основе API или white-label), Didit ожидает, что Клиент четко укажет Didit в качестве поставщика услуг верификации и получит любое уведомление или согласие, требуемое законом, до начала захвата биометрических данных.

Отзыв согласия. Вы можете отозвать свое согласие в любое время, связавшись с Клиентом, который попросил вас пройти верификацию, или с Didit по адресу privacy@didit.me. Отзыв согласия не влияет на обработку, осуществленную до такого отзыва. Чтобы добиться удаления уже собранных биометрических данных, направьте запрос на удаление в порядке, описанном в разделе 10.

10. Запросы на доступ и удаление

Чтобы получить доступ к своим биометрическим данным или удалить их, сначала свяжитесь с Клиентом, который попросил вас пройти верификацию: он контролирует эти данные и может непосредственно принять по ним меры. Вы также можете написать по адресу privacy@didit.me или Сотруднику по защите данных Didit по адресу dpo@didit.me. Если Didit действует в качестве обработчика Клиента, Didit может переслать ваш запрос Клиенту.

Действительный запрос на удаление, касающийся вас, приводит к удалению ваших биометрических данных из всех хранилищ, включая любой шаблон лица, который Клиент решил сохранить.

11. Безопасность

Didit защищает биометрические данные, соблюдая разумный стандарт заботы, разработанный для конфиденциальных данных, включая контроль доступа, мониторинг и шифрование. Наша Политика информационной безопасности описывает эти меры защиты.

12. Изменения в настоящей политике

Didit может обновлять настоящую политику, чтобы отразить изменения в законодательстве, операционной деятельности или продуктах. В этом случае Didit обновляет дату в верхней части настоящей политики.

13. Контакты

Если у вас есть вопросы по настоящей политике, свяжитесь с:

• privacy@didit.me
• dpo@didit.me