Политика конфиденциальности

Настоящая Политика конфиденциальности объясняет, как Didit обрабатывает персональные данные, когда вы посещаете наши веб-сайты, связываетесь с нами, используете наши продукты и услуги или проходите процедуру верификации личности или проверки на мошенничество с помощью Didit.

Если вы верифицируете свою личность для банка, финтех-компании, криптоплатформы, маркетплейса, работодателя или другой организации, использующей Didit, эта организация является стороной, которая определяет, почему требуется верификация. В таких случаях она является контролёром или бизнесом, а Didit выступает в качестве её обработчика или поставщика услуг. Для обработки, специфичной для верификации, биометрических данных и white-label потоков, ознакомьтесь с нашим Уведомлением о конфиденциальности верификации и Условиями для конечных пользователей по верификации личности.

1. Кто мы

В зависимости от услуги и географии, ваши данные могут обрабатываться одной или обеими следующими организациями Didit:

• Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Барселона, Испания. Договаривающаяся сторона для клиентов из Европейского Союза, Великобритании, Европейской экономической зоны, Швейцарии и Латинской Америки, а также учреждение, управляющее европейским центром обработки данных.
• Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Довер, Делавэр 19904, США. Договаривающаяся сторона для клиентов из США, Канады, Азиатско-Тихоокеанского региона, Ближнего Востока и глобальных клиентов.

Когда мы говорим «Didit», «мы», «нас» или «наш», мы имеем в виду организацию или организации Didit, предоставляющие соответствующую услугу.

• Контакт по вопросам конфиденциальности: privacy@didit.me
• Сотрудник по защите данных: dpo@didit.me
• Контакт по вопросам безопасности: security@didit.me
• Общий контакт: hello@didit.me

2. Область применения и наша роль

Настоящая Политика конфиденциальности применяется, когда вы:

• посещаете `didit.me` или любой веб-сайт, управляемый Didit;
• запрашиваете информацию, демо или поддержку;
• создаёте или управляете деловыми отношениями, учётной записью или интеграцией Didit;
• подаёте заявку на вакансию в Didit; или
• используете поток верификации, предотвращения мошенничества, аутентификации или соответствия требованиям, управляемый Didit или через Didit.

Наша роль меняется в зависимости от контекста:

Если вы находитесь в white-label потоке верификации или на пользовательском домене, пользовательский брендинг не обязательно означает, что только брендированная компания обрабатывает ваши данные. Didit всё ещё может предоставлять базовую технологию верификации и связанную с ней обработку.

3. Категории персональных данных, которые мы обрабатываем

Категории данных, которые мы обрабатываем, зависят от услуги, конфигурации рабочего процесса и ваших отношений с Didit. Они могут включать:

• Идентификаторы и контактные данные, имя, адрес электронной почты, номер телефона, почтовый адрес, дата рождения и аналогичная идентифицирующая информация.
• Данные о бизнесе и учётной записи, название компании, платёжная информация, учётные данные, сведения об использовании API и записи о ваших отношениях с Didit.
• Данные верификации, изображения документов, удостоверяющих личность, извлечённые данные из документов, файлы подтверждения адреса, ответы на вопросы анкеты, входные данные для проверки санкций или списков наблюдения, а также результаты верификации.
• Биометрические данные и данные о живости, если рабочий процесс включает верификацию лица или аналогичные проверки, селфи, изображения лица, видео, снимки живости, сигналы антиспуфинга и данные, полученные в результате сканирования геометрии лица.
• Данные устройства, сети и технические данные, IP-адрес, тип браузера, операционная система, язык, идентификаторы устройства, временные метки, геолокация, выведенная из сетевых данных, и другие данные телеметрии безопасности или борьбы с мошенничеством.
• Данные связи и поддержки, сообщения, тикеты поддержки, записи звонков, переписка по электронной почте и операционные журналы.
• Данные третьих сторон и общедоступных источников, информация, предоставленная нашими клиентами, партнёрами по идентификации или предотвращению мошенничества, государственными органами, поставщиками телекоммуникационных услуг и общедоступными источниками, где это разрешено законом.
• Данные о подборе персонала, резюме, история трудоустройства и другие материалы, представленные при найме.

Нам не требуется каждая из перечисленных выше категорий для каждого взаимодействия. Точные используемые данные зависят от запрашиваемых услуг и конфигурации, выбранной соответствующим клиентом.

4. Как мы используем персональные данные

Мы можем использовать персональные данные для следующих целей:

• Для работы наших веб-сайтов и услуг, доступ к учётной записи, предоставление продуктов, поддержка клиентов, выставление счетов и коммуникации.
• Для предоставления инфраструктурных услуг по идентификации и борьбе с мошенничеством, User Verification (Know Your Customer / KYC), Business Verification (Know Your Business / KYB), Transaction Monitoring, Wallet Screening (Know Your Transaction / KYT) и другие настроенные проверки.
• Для обеспечения безопасности платформы, предотвращение злоупотреблений, обнаружение спуфинга, предотвращение мошенничества, мониторинг подозрительной активности и поддержание целостности услуг.
• Для обучения, оценки и улучшения моделей обнаружения мошенничества и верификации с использованием анонимизированных или псевдонимизированных данных, полученных в результате верификационной деятельности, где это разрешено законом. См. Раздел 11 для отказа.
• Для ответа на запросы, запросы на демо, вопросы поддержки, запросы на комплексную проверку и деловые коммуникации.
• Для управления подбором персонала, рассмотрение заявок и общение с кандидатами.
• Для соблюдения юридических и регуляторных обязательств, ведение учёта, ответы на законные запросы, исполнение контрактов и проведение внутренних или внешних аудитов.
• Для предъявления, осуществления или защиты юридических претензий и защиты прав, безопасности Didit, наших клиентов и затронутых лиц.

5. Правовые основания для обработки

В случаях, когда применяется Общий регламент по защите данных (GDPR), GDPR Великобритании, швейцарское законодательство о защите данных или аналогичные законы, Didit опирается на одно или несколько из следующих правовых оснований:

• Исполнение договора или действия, предпринятые по вашему запросу до заключения договора.
• Законные интересы, обеспечение безопасности нашей платформы, поддержка клиентов, предотвращение мошенничества, ведение учёта, обучение и улучшение моделей обнаружения мошенничества и верификации на анонимизированных или псевдонимизированных данных, а также общение с деловыми контактами, при условии, что эти интересы не перевешиваются вашими правами.
• Согласие, в том числе, когда согласие требуется для маркетинговых коммуникаций, определённых файлов cookie или биометрической обработки в конкретной юрисдикции или рабочем процессе.
• Юридическое обязательство, когда обработка требуется для соблюдения применимого законодательства, регулирования, постановления суда или законного запроса от властей.
• Предъявление, осуществление или защита юридических претензий.

В случаях обработки специальных категорий или конфиденциальных данных, включая биометрические данные, используемые для вашей уникальной идентификации, Didit обрабатывает эти данные только там, где это разрешено применимым законодательством. В потоках верификации соответствующий клиент несёт ответственность за определение и документирование основного правового основания для самой верификации, включая необходимость явного согласия.

6. Как мы раскрываем персональные данные

Мы можем раскрывать персональные данные:

• Клиенту, который попросил нас провести верификацию, чтобы клиент мог завершить онбординг, проверку на мошенничество, проверки соответствия или связанные бизнес-процессы.
• Субъектам группы Didit, где это необходимо для работы, поддержки, обеспечения безопасности или предоставления соответствующих услуг.
• Поставщикам услуг и субпроцессорам, поставщикам облачного хостинга, хранения, инфраструктуры, связи, поддержки, аналитики, предотвращения мошенничества, обработки документов, безопасности, аудита и профессиональных услуг. Текущий список субпроцессоров доступен клиентам и потенциальным клиентам по подписанному Соглашению о неразглашении (NDA) по запросу на security@didit.me.
• Профессиональным консультантам, юристам, аудиторам, страховщикам и консультантам, где это необходимо для законных деловых, комплаенс или юридических целей.
• Государственным органам, регуляторам, судам, правоохранительным органам или другим третьим сторонам, когда это требуется законом, судебным процессом или принудительным государственным запросом.
• Правопреемникам и контрагентам по сделкам, если Didit участвует в слиянии, поглощении, финансировании, процессе несостоятельности или продаже активов, при условии соблюдения конфиденциальности и правовых гарантий.

Didit не продаёт, не сдаёт в аренду, не обменивает и иным образом не извлекает выгоду из биометрических идентификаторов или биометрической информации.

7. Международные передачи

Didit может обрабатывать данные в нескольких странах. При передаче персональных данных за пределы Европейской экономической зоны, Великобритании, Швейцарии или другой юрисдикции с ограничениями на передачу, Didit использует соответствующие гарантии, где это требуется, включая:

• решения об адекватности;
• Стандартные договорные положения (SCC) Европейской комиссии 2021 года и любые эквивалентные британские или швейцарские дополнения;
• внутригрупповые соглашения о передаче; или
• другой законный механизм передачи, признанный применимым законодательством.

8. Хранение

Didit хранит персональные данные столько, сколько разумно необходимо для целей, описанных в настоящей Политике конфиденциальности, включая:

• предоставление и поддержку соответствующих услуг;
• выполнение инструкций клиента в отношениях с обработчиком;
• соблюдение договорных, юридических, налоговых, бухгалтерских и регуляторных обязательств;
• ведение записей о безопасности и предотвращении мошенничества;
• разрешение споров; и
• предъявление, осуществление или защита юридических претензий.

Сроки хранения варьируются в зависимости от услуги, конфигурации рабочего процесса, применимого законодательства и роли Didit в обработке:

• Данные о деловых отношениях обычно хранятся в течение срока отношений и в течение законных периодов ведения учёта после прекращения действия.
• Записи поддержки и аудита могут храниться для операционных целей, целей безопасности и соответствия требованиям.
• Данные о подборе персонала хранятся в течение процесса подбора и любого законного последующего периода, или дольше, если вы дадите отдельное согласие.
• Данные верификации, срок хранения по умолчанию неограничен («indefinite»), если клиент не настроит более короткий период. Клиенты настраивают срок хранения для каждого приложения в Business Console в диапазоне от 30 дней до 10 лет, или запускают удаление для каждой сессии в любое время через конечную точку API `POST /v3/sessions/:session_id/delete/`. Конечные пользователи также могут осуществлять права на удаление, как описано в Разделе 9. Срок хранения биометрических данных в любом случае регулируется и ограничивается применимыми законами и правилами о конфиденциальности биометрических данных, включая Статью 9 Общего регламента по защите данных (GDPR) ЕС, Закон Иллинойса о конфиденциальности биометрической информации (BIPA), Закон Техаса о сборе или использовании биометрических идентификаторов (CUBI), Закон Вашингтона H.B. 1493 и любой другой применимый закон о конфиденциальности биометрических данных; если такой закон предписывает более короткий срок хранения или более раннее обязательство по уничтожению, это более короткое или более строгое правило превалирует над любым сроком хранения по умолчанию или настроенным клиентом.

Когда данные больше не нужны, Didit удаляет, редактирует, анонимизирует, деидентифицирует или безопасно уничтожает их. Для биометрических данных и носителей верификации см. Уведомление о конфиденциальности верификации.

9. Ваши права

В зависимости от вашего местоположения и применимого законодательства, вы можете иметь право:

• на доступ к вашим персональным данным;
• запрашивать исправление неточных или неполных данных;
• запрашивать удаление или стирание;
• запрашивать ограничение обработки;
• возражать против определённой обработки, включая обработку на основе законных интересов (см. Раздел 11 для отказа от обучения моделей и обнаружения мошенничества);
• отозвать согласие, если обработка основана на согласии;
• запрашивать переносимость предоставленных вами данных;
• не быть объектом решения, основанного исключительно на автоматизированной обработке, включая профилирование, которое производит юридические или аналогично значимые последствия, при соблюдении условий и исключений Статьи 22 GDPR; и
• подать жалобу в надзорный орган. Ведущим надзорным органом Didit является Испанское агентство по защите данных (Agencia Española de Protección de Datos / AEPD) по адресу `aepd.es`.

Когда Didit выступает в качестве контролёра, отправляйте запросы о конфиденциальности на privacy@didit.me или dpo@didit.me.

Когда Didit выступает в качестве обработчика или поставщика услуг для потока верификации клиента, направляйте свой запрос организации, которая попросила вас пройти верификацию. Этот клиент контролирует цель верификации и лучше всего подходит для ответа. Если Didit получает такой запрос напрямую, мы можем переслать его соответствующему клиенту.

10. Файлы cookie и аналогичные технологии

Didit использует файлы cookie и аналогичные технологии на своих веб-сайтах для обеспечения функциональности, безопасности, аналитики и атрибуции. Ознакомьтесь с нашей Политикой использования файлов cookie для полного перечня, элементов управления баннером согласия и нашей позиции по Global Privacy Control (GPC) и Do Not Track (DNT).

11. Анонимизированное обучение моделей и обнаружение мошенничества, ваш отказ

Didit обучает, оценивает и улучшает свои модели верификации личности, биометрические модели и модели обнаружения мошенничества, а также применяет межклиентские меры по предотвращению мошенничества, используя анонимизированные или псевдонимизированные данные, полученные в результате верификационной деятельности (например: характеристики документов, сигналы мошенничества, паттерны атак, образцы ошибок моделей). Didit применяет анонимизацию, псевдонимизацию, агрегацию и контроль доступа, чтобы данные, используемые для обучения и обнаружения мошенничества, не могли быть разумно связаны с идентифицируемым лицом вне базовой записи верификации.

Эта обработка основана на законном интересе Didit в:

• повышении точности и безопасности инфраструктуры идентификации и борьбы с мошенничеством, используемой всеми клиентами;
• обнаружении и предотвращении мошенничества, атак с кражей личности, дипфейков и повторных попыток известных злоумышленников; и
• соблюдении регуляторных требований в отношении производительности, справедливости и безопасности моделей.

Отказ. Клиент или конечный пользователь может отказаться от обработки своих данных для обучения моделей и обнаружения мошенничества путём:

• удаления базовой записи верификации через API или Business Console (удаление удаляет запись из конвейеров обучения при следующем цикле обновления), или
• отправки электронного письма на privacy@didit.me с соответствующим идентификатором сессии или учётной записью, запрашивая отказ.

Отказы применяются перспективно с даты запроса; Didit также приложит коммерчески разумные усилия для удаления соответствующих записей из активных наборов данных для обучения.

12. США, Дополнение к Закону о конфиденциальности потребителей Калифорнии (CCPA) / Закону о правах на конфиденциальность Калифорнии (CPRA)

Этот раздел дополняет настоящую Политику конфиденциальности для жителей Калифорнии и применяется всякий раз, когда Didit является «бизнесом» в соответствии с Законом о конфиденциальности потребителей Калифорнии (CCPA), с поправками, внесёнными Законом о правах на конфиденциальность Калифорнии (CPRA). Когда Didit является «поставщиком услуг» или «подрядчиком» для клиента Didit («бизнес» в соответствии с CCPA), уведомление о конфиденциальности клиента регулирует соответствующий поток верификации, и Didit обрабатывает персональную информацию в соответствии с соответствующим Соглашением об обработке данных.

Категории персональной информации, собранной за последние 12 месяцев (категории CCPA):

• Идентификаторы (имя, электронная почта, телефон, IP-адрес, идентификаторы устройства).
• Записи клиентов (счета, контакты, учётные записи).
• Активность в интернете или сети (просмотр, взаимодействия, телеметрия).
• Геолокационные данные (выведенные из IP).
• Сенсорные данные (селфи, изображения лица, видео живости, изображения документов).
• Профессиональные или трудовые данные (для кандидатов).
• Конфиденциальная персональная информация (SPI), включая биометрическую информацию, используемую для уникальной идентификации потребителя, государственные идентификаторы, содержащиеся в документах, удостоверяющих личность, и учётные данные для входа в учётную запись.
• Выводы, сделанные из любого из вышеперечисленного (оценки риска, сигналы мошенничества, результаты решений).

Цели, цели, перечисленные в Разделе 4.

Продажа или передача персональной информации. Didit не продаёт и не передаёт (как эти термины определены в CCPA/CPRA) персональную информацию, включая биометрическую информацию.

Использование и раскрытие конфиденциальной персональной информации. Didit использует конфиденциальную персональную информацию только для целей, разрешённых в соответствии с Гражданским кодексом Калифорнии § 1798.121(a) и имплементирующими положениями, для предоставления и обеспечения безопасности услуги верификации, предотвращения мошенничества и инцидентов безопасности, соблюдения юридических обязательств и других целей, разрешённых без отдельного права потребителя на ограничение.

Ваши права в Калифорнии:

• право знать, какая персональная информация собирается, используется, раскрывается и продаётся/передаётся;
• право на удаление персональной информации;
• право на исправление неточной персональной информации;
• право отказаться от продажи или передачи (Didit не делает ни того, ни другого);
• право на ограничение использования и раскрытия конфиденциальной персональной информации (обработка Didit уже ограничена целями, которые не вызывают это право);
• право на переносимость данных; и
• право на недискриминацию за осуществление любого из вышеперечисленных прав.

Отправляйте запросы из Калифорнии на privacy@didit.me. Для ответа может потребоваться подтверждение вашей личности. Уполномоченные агенты могут подавать запросы с подтверждением полномочий.

Global Privacy Control (GPC) и Do Not Track (DNT). Didit учитывает сигналы Global Privacy Control на основе браузера на маркетинговом сайте как отказ от продажи или передачи, хотя Didit не продаёт и не передаёт персональную информацию, сигналы GPC записываются, чтобы для этого браузера не устанавливались рекламные или аналитические файлы cookie, которые могли бы быть истолкованы как передача. Didit в настоящее время не реагирует на устаревшие заголовки Do Not Track (DNT), поскольку нет единого мнения в отрасли о том, как их интерпретировать; сигнал GPC заменяет DNT для целей Didit.

13. Безопасность

Didit использует административные, технические и организационные меры безопасности, разработанные для защиты персональных данных от несанкционированного доступа, потери, неправомерного использования, изменения и незаконного уничтожения, включая шифрование в состоянии покоя с AES-256, шифрование при передаче с TLS 1.3, управление ключами в AWS KMS, ролевой контроль доступа, разделение сред, непрерывный мониторинг, надзор за поставщиками и процедуры реагирования на инциденты. См. Политику информационной безопасности для полного описания мер и сертификаций.

Ни одна мера безопасности не является идеальной. Вы также должны защищать свои собственные устройства, учётные данные и коммуникации.

14. Дети

Публичные веб-сайты Didit и стандартные бизнес-услуги не предназначены для детей. Некоторые клиенты могут законно использовать Didit для проверок, связанных с возрастом или личностью, с участием несовершеннолетних пользователей, но такое использование должно быть подкреплено соответствующим правовым основанием и собственными уведомлениями клиента. Если вы считаете, что персональные данные были переданы Didit без надлежащего разрешения, свяжитесь с privacy@didit.me.

15. Изменения в настоящей Политике конфиденциальности

Мы можем время от времени обновлять настоящую Политику конфиденциальности, чтобы отразить юридические, технические, операционные или продуктовые изменения. Дата вступления в силу в верхней части политики отражает последнее обновление. Существенные изменения будут сообщены, если это требуется законом.

16. Контакты

• Общие вопросы: hello@didit.me
• Конфиденциальность: privacy@didit.me
• Сотрудник по защите данных: dpo@didit.me
• Безопасность и пакет доверия: security@didit.me
• Юридические вопросы / контракты: legal@didit.me