Qué pasa con mis datos
Tu foto de documento y tu selfie se cifran, se procesan en la UE por defecto, y se conservan durante el tiempo que decida la empresa que solicitó la verificación - y ellos pueden eliminarlos.
Tus datos se cifran en tránsito y en reposo y se procesan en la UE por defecto. La empresa que te pidió verificarte decide cuánto tiempo se conservan y puede eliminarlos, así que una solicitud para eliminar tus datos va dirigida a ellos, no a Didit.
#Quién tiene tus datos, y quién decide sobre ellos
Dos roles distintos, y la diferencia determina con quién hablas:
- La empresa que te envió el enlace decide qué se recopila, por qué, cuánto tiempo se conserva y si se elimina. En términos de protección de datos, son el responsable del tratamiento.
- Didit realiza la verificación siguiendo sus instrucciones. En términos de protección de datos, Didit es el encargado del tratamiento.
Por eso una solicitud sobre tus datos (una copia de ellos, o su eliminación) va dirigida a la empresa. Ellos tienen las herramientas para actuar directamente, y Didit no puede tomar esa decisión en su nombre.
#Qué se recopila
Normalmente la foto (o fotos) de tu documento de identidad, una selfie o una breve grabación de prueba de vida, y los datos leídos del documento: tu nombre, fecha de nacimiento, número de documento y fecha de caducidad. Según lo que haya configurado la empresa, también puede incluir un número de teléfono, una dirección de correo electrónico, un comprobante de domicilio o respuestas a preguntas que te hicieron.
Deberían haberte informado de qué se estaba recopilando y por qué antes de empezar. Si no fue así, esa es una pregunta para la empresa.
#Cómo se protege
- Cifrado en tránsito mediante TLS 1.3, y en reposo mediante AES-256.
- Procesado en la UE por defecto.
- El acceso está restringido por roles, así que solo personas autorizadas pueden acceder, y cada acceso queda registrado.
- Los controles de seguridad de la plataforma están auditados de forma independiente (SOC 2 Type 2 e ISO/IEC 27001, entre otros), no autodeclarados.
El detalle técnico está en cómo protege Didit los datos de tus usuarios, escrito para las empresas que lo integran.
#Cuánto tiempo se conservan
La empresa elige el periodo de retención, desde un mes hasta varios años, o puede optar por eliminar la verificación en cuanto haya registrado el resultado. Algunas empresas tienen su propia obligación legal de conservar registros durante un periodo determinado; esa obligación es suya, y pueden decirte cuál es.
#Pedir que se eliminen tus datos
Envía la solicitud a la empresa con la que te verificaste. Cuando eliminan una verificación, es inmediato e irreversible: la decisión, los datos extraídos y todas las imágenes y vídeos se eliminan, y cualquier enlace a esos archivos deja de funcionar.
Si no saben cómo hacerlo, el mecanismo está documentado para ellos: eliminar sesiones y datos personales.
#Tus derechos
Si estás en la UE o el Reino Unido, el GDPR te da derechos sobre tus datos personales, incluidos el acceso, la corrección y la eliminación, y los datos biométricos reciben una protección más estricta que los datos personales ordinarios. Esos derechos se ejercen frente al responsable del tratamiento: la empresa que te pidió verificarte.
Otras jurisdicciones tienen regímenes comparables. En cualquier caso, la empresa es tu primer punto de contacto, y están obligados a tener una vía para estas solicitudes.
#Si la empresa no responde
Si has preguntado a la empresa y no has obtenido respuesta, tu vía de escalado es tu autoridad nacional de protección de datos, no el proveedor de verificación. Didit no puede obligar a un cliente a responderte, y no puede actuar sobre tus datos sin su instrucción.
#Lo que Didit no hará
Para ser directos sobre los límites, porque es razonable que la gente pregunte:
- Didit no te dirá por qué una empresa te rechazó.
- Didit no eliminará tus datos porque tú lo pidas, sin la instrucción del responsable del tratamiento.
- Didit no reiniciará tu verificación ni gestionará tu cuenta con ellos.
Nada de esto es falta de ayuda: es la misma separación de responsabilidades que impide que cualquier otra persona pueda entrar en tu verificación.