Didit processa a la UE per defecte, amb processament dins del país en contractes empresarials. Com obtenir un DPA, les TOM i les respostes per a compres.
Processament a la UE per defecte, a AWS a Irlanda. El processament al país està disponible en contractes enterprise, subjecte a disponibilitat. El DPA i l'SLA estan publicats i ja formen part dels termes que vas acceptar; un DPA, SLA o MSA contrasignat en el teu propi paper ve amb un acord de crèdit prepagat. El document de TOMs està disponible sota petició.
#On es processen les dades
Per defecte, les dades de verificació es processen i emmagatzemen a la UE, en infraestructura d'AWS a Irlanda (eu-west-1). Les operacions biomètriques s'executen a la mateixa regió.
El processament dins del país (residència de dades local per a una jurisdicció específica) està disponible per a comptes empresarials, subjecte a disponibilitat i a contracte. Si el teu requisit és una regió específica, pregunta directament quines regions estan disponibles avui i obtén la resposta per escrit. La disponibilitat regional canvia, i és exactament el tipus de compromís que una revisió de compres voldrà veure evidenciat en comptes de descrit.
Una regió que val la pena dir sense embuts perquè es pregunta sovint: no hi ha regió de processament a Rússia, en cap pla, així que un requisit de mantenir les dades dins de la Federació Russa no es pot complir.
Si la teva obligació és l'emmagatzematge local i no el processament local, el patró que fan servir la majoria de clients és processar i purgar: executa la verificació a Didit, rep el resultat per webhook, desa el que necessitis a la teva pròpia infraestructura al teu país i elimina la sessió de Didit just després. Consulta eliminar sessions i dades personals.
"On es processen les dades?" i "on es processen les crides biomètriques?" poden tenir respostes diferents que val la pena confirmar per separat. Si la teva obligació cobreix la regió de processament específicament per a les operacions biomètriques, pregunta específicament per això en comptes d'acceptar una resposta general sobre l'emmagatzematge.
#Com obtenir un DPA
Ja en tens un. L'Annex de tractament de dades (DPA) és l'Annex 2 dels Termes i condicions per a empreses que la teva organització va acceptar en registrar-se, i l'Acord de nivell de servei (SLA) és l'Annex 1. Tots dos estan publicats també per separat (Termes per a empreses, Annex de tractament de dades, Acord de nivell de servei) i són l'acord de l'article 28 entre la teva empresa i Didit als plans gratuït i de pagament per ús. El document de mesures tècniques i organitzatives (TOMs) que espera l'article 32 del RGPD està disponible sota petició al teu contacte a Didit, sense NDA.
El que no existeix en pagament per ús és una còpia contrasignada: el contracte són els termes publicats tal com es van acceptar, i suport pot confirmar la data d'acceptació de la teva organització si un auditor ho demana. Si el teu expedient de compliment necessita un MSA signat, un DPA en el teu propi paper o un SLA negociat, això ve amb un acord de crèdit prepagat, que comença en 2.000 USD i es converteix en crèdits que no caduquen mai. Demana-ho al teu contacte a Didit i tingues a mà la teva raó social, el correu del signant i el teu país de constitució.
Si la teva organització es recolza en els termes acceptats i no en una còpia signada, demana a suport que confirmi exactament quina versió vas acceptar i quan. És una pregunta factual amb una resposta factual, i és la resposta que un auditor et demanarà.
#Subencarregats
La llista completa i actualitzada de subencarregats de Didit és pública a didit.me/terms/sub-processors, amb el que fa cadascun, les dades personals que tracta i on. És la llista que referencia el DPA. Alguns subencarregats treballen per a tots els clients, com la infraestructura al núvol d'Irlanda (eu-west-1) on es tracten i s'emmagatzemen les dades de verificació; d'altres només reben dades quan els teus fluxos fan servir la funció a la qual donen suport.
La pàgina de verificació allotjada executa dues eines de monitoratge, una per al monitoratge d'errors i una altra per a l'analítica de producte, totes dues en aquesta llista. Reben els passos i els errors d'una sessió i enregistraments emmascarats del seu disseny, els tocs i els desplaçaments, vinculats al seu ID de sessió, i mai imatges de la càmera, imatges de documents, selfies ni dades llegides de documents; no es desa cap adreça IP. Els detalls són a quines dades personals recull una verificació.
Didit avisa amb almenys 30 dies d'antelació abans d'afegir o substituir un subencarregat, i t'hi pots oposar per motius de protecció de dades; el DPA explica com.
#Respondre un qüestionari de seguretat
La major part del que demana una revisió de seguretat existeix com a document. Aproximadament en l'ordre en què ho demanen els qüestionaris:
| Et demanaran | Què existeix |
|---|---|
| Auditoria independent de controls | Informe SOC 2 Tipus 2, disponible sota acord de confidencialitat |
| Certificació de seguretat de la informació | ISO/IEC 27001, més 27017 i 27018 per al núvol |
| Xifratge en trànsit i en repòs | TLS 1.3 i AES-256 |
| Proves antisuplantació biomètrica | iBeta Level 1 PAD segons ISO/IEC 30107-3 |
| Proves de penetració | Proves periòdiques de tercers amb remediació registrada |
| Condicions de tractament de dades | DPA i TOM |
| Retenció i esborrament | Retenció configurable d'1 mes a 10 anys; esborrament mitjançant l'API |
| Traça d'auditoria | Registre d'auditoria de 365 dies de tota l'activitat de l'API |
Consulta certificacions i compliment normatiu per veure la llista completa de credencials amb dates.
#Compromisos que aquesta pàgina no pot fer per tu
Algunes preguntes que sorgeixen en processos de compres són contractuals, no tècniques, i la resposta honesta és que pertanyen a un acord negociat:
- Garanties contractuals sobre l'eliminació, recolzades per una traça d'auditoria inspeccionable o una certificació periòdica.
- Terminis de notificació de bretxes diferents del rellotge del GDPR, per exemple la finestra d'avaluació del règim australià de Notifiable Data Breaches.
- Fulls de ruta d'allotjament regional i les dates associades.
- Obligacions de retenció que creguis que se t'apliquen.
Porta cadascuna d'aquestes al teu contacte a Didit i obtén la resposta al contracte. Una pàgina d'ajuda que descriu un compromís no és un compromís, i tractar l'una com l'altra és un risc per a tu, no per a nosaltres.
#Sol·licituds d'esborrament dels teus usuaris
Els teus usuaris són els teus interessats (data subjects), i una sol·licitud d'esborrament t'arriba a tu com a responsable del tractament. Tens les eines per actuar-hi directament: elimina la sessió des de la consola o l'API, de manera immediata i irreversible. Consulta eliminar sessions i dades personals.
Si el teu procés necessita estar automatitzat de cap a cap (una sol·licitud al teu producte que activi l'eliminació aquí), això és l'endpoint d'eliminació més el teu propi flux de treball, i és un patró ben establert.
Encara estàs encallat? Parla amb una persona.
Inclou l'ID de la teva organització i l'ID de la sessió sobre la qual preguntes.