Què passa amb les meves dades
La foto del teu document i el teu selfie es xifren, es processen a la UE per defecte, i es conserven durant el temps que decideixi el negoci que ha sol·licitat la verificació, i ells les poden eliminar.
Les teves dades es xifren en trànsit i en repòs i es processen a la UE per defecte. El negoci que et va demanar que et verifiquessis decideix durant quant de temps es conserven i les pot eliminar, així que una sol·licitud d'esborrament de les teves dades s'ha de fer a ells, no a Didit.
#Qui té les teves dades, i qui decideix sobre elles
Dos rols diferents, i la distinció determina amb qui has de parlar:
- El negoci que et va enviar l'enllaç decideix què es recull, per què, durant quant de temps es conserva, i si s'elimina. En termes de protecció de dades, són el responsable del tractament.
- Didit fa la verificació seguint les seves instruccions. En termes de protecció de dades, Didit és l'encarregat del tractament.
Per això una sol·licitud sobre les teves dades (una còpia, o el seu esborrament) s'ha de fer al negoci. Ells tenen les eines per actuar-hi directament, i Didit no pot prendre aquesta decisió en el seu lloc.
#Què es recull
Normalment la foto (o fotos) del teu document d'identitat, un selfie o una breu gravació de prova de vida, i les dades llegides del document: el teu nom, data de naixement, número de document, i data de caducitat. Depenent del que hagi configurat el negoci, també pot incloure un número de telèfon, una adreça de correu electrònic, un document de comprovant de domicili, o respostes a preguntes que t'hagin fet.
Se t'hauria d'haver dit què es recollia i per què abans de començar. Si no és així, això és una pregunta per al negoci.
#Com es protegeix
- Xifrades en trànsit fent servir TLS 1.3, i en repòs fent servir AES-256.
- Processades a la UE per defecte.
- L'accés està restringit per rol, així que només hi poden accedir persones autoritzades, i cada accés queda registrat.
- Els controls de seguretat de la plataforma estan auditats de manera independent: SOC 2 Tipus 2 i ISO/IEC 27001, entre d'altres, en comptes de ser una autodeclaració.
El detall tècnic és a com Didit protegeix les dades dels teus usuaris, escrit per als negocis que ho integren.
#Durant quant de temps es conserven
El negoci tria el període de retenció (des d'un mes fins a diversos anys) o pot triar eliminar la verificació tan bon punt hagin registrat el resultat. Alguns negocis tenen la seva pròpia obligació legal de conservar registres durant un període determinat; aquesta obligació és seva, i et poden dir quina és.
#Demanar que s'eliminin les teves dades
Envia la sol·licitud al negoci amb el qual et vas verificar. Quan eliminen una verificació, és immediat i irreversible: la decisió, les dades extretes, i totes les imatges i el vídeo s'eliminen, i qualsevol enllaç a aquest material multimèdia deixa de funcionar.
Si no saben com fer-ho, el mecanisme està documentat per a ells: eliminar sessions i dades personals.
#Els teus drets
Si ets a la UE o al Regne Unit, el GDPR et dona drets sobre les teves dades personals, incloent-hi l'accés, la correcció, i l'esborrament, i les dades biomètriques reben una protecció més estricta que les dades personals ordinàries. Aquests drets s'exerceixen contra el responsable del tractament: el negoci que et va demanar que et verifiquessis.
Altres jurisdiccions tenen règims comparables. En tots els casos, el negoci és el teu primer punt de contacte, i estan obligats a tenir una via per a aquestes sol·licituds.
#Si el negoci no respon
Si ho has demanat al negoci i no has arribat enlloc, la teva via d'escalada és la teva autoritat nacional de protecció de dades, no el proveïdor de verificació. Didit no pot obligar un client a respondre't, ni pot actuar sobre les teves dades sense les seves instruccions.
#El que Didit no farà
Per ser directes sobre els límits, perquè la gent raonablement ho pregunta:
- Didit no et dirà per què un negoci et va rebutjar.
- Didit no eliminarà les teves dades només perquè tu ho demanis, sense la instrucció del responsable del tractament.
- Didit no reiniciarà la teva verificació ni gestionarà el teu compte amb ells.
Res d'això és falta de voluntat d'ajudar: és la mateixa separació de responsabilitats que impedeix que ningú altre pugui accedir a la teva verificació tampoc.