验证隐私声明

本验证隐私声明解释了Didit如何代表其客户处理个人数据，包括生物识别数据，当Didit提供身份验证、欺诈预防、身份验证或合规性工作流程时。

本声明补充了我们的隐私政策和身份验证最终用户条款。

1. 范围

本声明适用于您与由Didit为客户提供支持的验证流程、托管页面、SDK、基于API的旅程、移动流程或白标体验进行交互时。

它涵盖以下数据的处理：

• 身份和联系数据；
• 您提交的文件和文件；
• 自拍、面部图像、视频和活体捕获；
• 从这些提交中获取的生物识别数据；
• 设备、IP、位置和反欺诈遥测数据；
• 验证结果、风险信号和审计记录；以及
• 与验证会话相关的支持、合规性和安全记录。

2. 参与方是谁，他们的角色是什么？

如果验证旅程是白标或使用自定义域名，Didit仍可能是处理您数据的底层技术提供商，位于品牌界面之后。

3. 验证中使用的数据类别

根据配置的工作流程，Didit可能会处理：

• 身份数据，例如姓名、出生日期、地址、电话号码、电子邮件、国籍和其他身份识别详细信息。
• 文件数据，例如护照、身份证、居留许可、驾驶执照、地址证明文件以及从这些材料中提取的数据。
• 生物识别和活体数据，例如面部图像、自拍图像、视频、活体捕获、反欺骗信号以及从面部几何扫描中获取的数据，用于将您的面部与身份证明文件进行比较或确认真实人物在场。
• 技术和欺诈预防数据，例如IP地址、浏览器、设备数据、时间戳、会话数据、从网络数据推断的地理位置以及类似完整性或风险信号。
• 问卷和工作流程数据，例如声明、答案、上传文件、同意记录和状态转换。
• 验证输出，例如匹配分数、警告、欺诈指标、审查结果和审计证据。

4. 处理目的

Didit可能会处理上述数据以：

• 验证身份并验证个人；
• 检查文件真实性和完整性；
• 检测欺骗、篡改、欺诈或滥用；
• 遵守客户配置的法律、法规、制裁、反洗钱 (AML)、了解您的客户 (KYC) 和风险管理要求；
• 保护验证流程和底层基础设施；
• 支持人工审查、重新提交、升级和审计流程；
• 响应合法请求并辩护法律索赔；以及
• 维护服务完整性、解决事件并执行质量和安全监控。

在法律允许且有适当控制措施的情况下，Didit还可能使用匿名化或假名化的验证相关数据进行服务测试、质量保证、欺诈模型训练和验证以及安全改进。如果二次使用需要单独的通知、同意或额外的法律依据，Didit将获取或避免该使用。

您（或客户代表您）可以通过 (a) 通过客户的应用程序或通过Didit的API或业务控制台删除底层验证记录，或 (b) 发送电子邮件至privacy@didit.me并附上相关的会话标识符或账户，选择退出此匿名化/假名化处理。选择退出自请求之日起生效；Didit还将尽商业上合理的努力从活跃的训练数据集中清除符合条件的记录。

5. Didit如何处理生物识别数据

就本通知而言，生物识别数据包括从面部几何扫描或从图像或视频中提取的类似生物识别特征中获取的数据，其中这些数据用于验证身份、确认活体或预防欺诈。

当工作流程包括面部验证或活体检测时，Didit可能会：

• 捕获或接收自拍图像、面部图像和/或视频；
• 从这些提交和您的身份证明文件上的肖像中提取面部特征；
• 比较这些信号以验证出示文件的人与文件上显示的人是同一个人；
• 分析活体和反欺骗指标以确认真实人物在场；以及
• 生成验证结果、置信度指标以及欺诈或审查信号。

Didit：

• 仅将生物识别数据用于本通知、客户指示和适用法律中描述的合法目的；
• 采用为敏感数据设计的保护措施，包括访问控制、监控和安全处理实践；
• 不出售、租赁、交易或以其他方式从生物识别标识符或生物识别信息中获利；以及
• 期望使用API或白标旅程的客户在生物识别捕获开始前明确披露Didit作为验证提供商，并获得法律要求的任何通知或同意。

6. 额外的美国生物识别隐私披露

如果您位于伊利诺伊州、德克萨斯州、华盛顿州或其他具有生物识别隐私要求的司法管辖区，以下附加要点很重要：

• 生物识别数据可能包括从面部几何扫描、自拍图像、活体视频或类似身份验证媒体中获取的数据。
• 在捕获或上传生物识别数据之前，您可能需要提供明确的电子或书面同意。
• 客户在白标或基于API的旅程中提供所需通知时，应将Didit标识为验证提供商或处理者。
• Didit使用生物识别数据执行客户请求的身份验证、活体检测、反欺骗、欺诈预防、安全和相关合规操作。
• Didit仅在提供服务、遵循合法客户指示、履行法律义务、解决争议或辩护索赔所需的时间内保留生物识别数据，并且在任何情况下均不超过适用法律允许的最长时间。
• Didit采用为敏感数据设计的合理谨慎标准，并且不出售、租赁、交易或以其他方式从生物识别标识符或生物识别信息中获利。

如果某个司法管辖区要求更短的保留期限、单独的公开时间表或额外的披露，Didit和客户将适用管辖相关验证流程的更短或更严格的要求。

其他具有生物识别隐私要求的司法管辖区。上述要点，经适当调整后，适用于任何其他具有生物识别隐私要求的州、省、国家或司法管辖区——包括（但不限于）加州消费者隐私法 (CCPA) / 加州隐私权法 (CPRA) 对敏感个人信息的处理、科罗拉多州隐私法 (CPA)、弗吉尼亚州消费者数据保护法 (VCDPA)、康涅狄格州数据隐私法 (CTDPA)、犹他州消费者隐私法 (UCPA)、纽约州的生物识别隐私提案、欧盟通用数据保护条例 (GDPR) 第9条关于生物识别数据的框架、英国GDPR和2018年数据保护法、瑞士联邦数据保护法 (FADP)、加拿大个人信息保护和电子文件法 (PIPEDA) 和魁北克省第25号法案、巴西通用数据保护法 (LGPD) 以及适用于相关验证流程的任何未来生物识别隐私法。

7. 披露和服务提供商

Didit可能会向以下对象披露与验证相关的数据：

• 要求您进行验证的客户；
• 参与提供、支持或保护服务的Didit集团实体；
• 托管、云存储、通信、身份、欺诈、分析、审计、安全和专业服务的提供商；
• 法律要求时向监管机构、法院、执法部门或公共机构披露；以及
• 在合并、收购、重组或资产转让中的交易对手方，但须遵守合法保障措施。

确切的接收方取决于服务、地区、工作流程配置和法律要求。

8. 国际传输

验证数据可能在您开始验证流程的国家/地区以外的国家/地区进行处理。在法律要求的情况下，Didit会应用适当的传输保障措施，例如充分性决定、标准合同条款或其他公认的法律机制。

9. 保留和销毁

默认保留。验证数据的默认保留期限是无限期（“无限制”），除非客户配置了更短的期限或您行使了删除权。客户可以在业务控制台中为每个应用程序配置30天到10年的保留期限，并且可以随时删除任何单个验证会话。您也可以行使第11节中描述的删除权。生物识别数据保留期限在任何情况下均受适用生物识别隐私法律法规的约束和限制 — 包括欧盟通用数据保护条例 (GDPR) 第9条、伊利诺伊州生物识别信息隐私法 (BIPA)、德克萨斯州生物识别标识符捕获或使用法 (CUBI)、华盛顿州H.B. 1493以及任何其他适用的生物识别隐私法；如果此类法律规定了更短的保留期限或更早的销毁义务，则该更短或更严格的规则优先于任何默认或客户配置的保留期限。

在任何情况下，Didit都会根据以下规定保留验证数据，包括生物识别数据：

• 客户记录的指示和配置的保留设置（最短30天，最长10年，如果客户未降低上限则为无限期）；
• 适用的合同、法规、审计和法律义务；
• 欺诈预防、安全和争议解决需求；以及
• 适用法律要求的更短或更严格的保留规则，该规则始终适用。

当相关数据不再需要时，Didit会删除、编辑、匿名化、去识别化或安全销毁它。

对于生物识别数据，Didit旨在确保在以下情况下删除、去识别化或安全销毁生物识别标识符和生物识别信息：

• 原始验证目的已满足；
• 适用的保留期限届满；
• 客户合法指示删除；或
• 适用法律要求更早销毁。

10. 自动化处理和人工审查

Didit可能会使用自动化系统来审查文件完整性、活体检测、面部匹配、欺诈指标和其他验证信号。某些会话也可能根据客户的工作流程和风险配置进行人工审查、质量保证或升级。

除非特定服务另有说明，否则客户仍负责其在自身业务决策中如何使用验证结果。

11. 权利和请求

如果您想访问、更正、删除、限制、反对或以其他方式行使对特定验证会话中处理的数据的权利，您通常应首先联系客户。客户通常决定验证的主要目的，并且是与该关系相关的权利的最佳联系点。

如果Didit在处理者上下文中直接收到请求，Didit可能会在适当情况下将请求转发或重定向到相关客户。如果Didit作为独立控制者处理有限目的，您也可以联系privacy@didit.me或Didit的数据保护官dpo@didit.me。

您也可以向监管机构提出投诉。Didit的主要监管机构是西班牙数据保护局 (Agencia Española de Protección de Datos / AEPD)，网址为`aepd.es`。您也可以向您当地的数据保护机构提出投诉。

12. 安全

Didit采用旨在保护验证数据（包括敏感和生物识别数据）的技术、组织和管理保障措施。这些保障措施可能包括加密、访问控制、环境隔离、日志记录、监控和事件响应程序。

13. 儿童

Didit无意通过本验证声明授权非法收集儿童数据。如果验证流程用于年龄相关或青少年相关检查，客户必须确保有合法依据、适当通知以及任何所需的父母或监护人许可。

14. 本声明的变更

Didit可能会不时更新本验证隐私声明，以反映法律、运营或产品变更。届时，我们将更新本声明顶部的生效日期。

15. 联系方式

如果您对本声明有疑问，请联系：

• privacy@didit.me
• hello@didit.me