Didit traite les données dans l'UE par défaut, avec un traitement en pays local en option sur les contrats entreprise. Voici comment obtenir un DPA et les TOM.
Traitement dans l'UE par défaut, sur AWS en Irlande. Le traitement dans le pays est disponible sur les contrats entreprise, sous réserve de disponibilité. Le DPA et le SLA sont publiés et font déjà partie des conditions que vous avez acceptées ; un DPA, SLA ou MSA contresigné sur votre propre papier s'accompagne d'un accord de crédit prépayé. Le document des TOM est disponible sur demande.
#Où les données sont traitées
Par défaut, les données de vérification sont traitées et stockées dans l'UE, sur l'infrastructure AWS en Irlande (eu-west-1). Les opérations biométriques s'exécutent dans la même région.
Le traitement en pays local (résidence locale des données pour une juridiction précise) est disponible pour les comptes entreprise, sous réserve de disponibilité et de contrat. Si votre besoin porte sur une région précise, demandez directement quelles régions sont disponibles aujourd'hui et obtenez la réponse par écrit. La disponibilité régionale évolue, et c'est exactement le type d'engagement qu'une revue d'approvisionnement voudra voir justifié plutôt que simplement décrit.
Une région qu'il vaut mieux nommer clairement, car la question revient souvent : il n'y a aucune région de traitement en Russie, sur aucune offre, donc une exigence de conserver les données à l'intérieur de la Fédération de Russie ne peut pas être satisfaite.
Si votre obligation porte sur le stockage local plutôt que sur le traitement local, le schéma utilisé par la plupart des clients est traiter puis purger : exécuter la vérification via Didit, recevoir le résultat par webhook, stocker ce dont vous avez besoin sur votre propre infrastructure dans votre pays, et supprimer la session de Didit juste après. Voir supprimer des sessions et des données personnelles.
« Où les données sont-elles traitées ? » et « où les appels biométriques sont-ils traités ? » peuvent avoir des réponses différentes qu'il vaut la peine de confirmer séparément. Si votre obligation couvre spécifiquement la région de traitement des opérations biométriques, posez la question spécifiquement plutôt que d'accepter une réponse générale sur le stockage.
#Obtenir un DPA
Vous en avez déjà un. L'avenant de traitement des données (DPA) est l'Annexe 2 des Conditions générales professionnelles que votre organisation a acceptées à l'inscription, et l'accord de niveau de service (SLA) est l'Annexe 1. Les deux sont aussi publiés séparément (Conditions professionnelles, Data Processing Addendum, Service Level Agreement) et constituent l'accord au titre de l'article 28 entre vous et Didit sur les offres gratuite et à l'usage. Le document des mesures techniques et organisationnelles (TOM) attendu par l'article 32 du RGPD est disponible sur demande auprès de votre contact Didit, sans NDA.
Ce qui n'existe pas en paiement à l'usage, c'est une copie contresignée : le contrat est constitué des conditions publiées telles qu'acceptées, et le support peut confirmer la date d'acceptation de votre organisation si un auditeur le demande. Si votre dossier de conformité exige un MSA signé, un DPA sur votre propre papier ou un SLA négocié, cela s'accompagne d'un accord de crédit prépayé, à partir de 2 000 USD, converti en crédits qui n'expirent jamais. Demandez-le à votre contact Didit en ayant sous la main votre raison sociale, l'e-mail du signataire et votre pays d'immatriculation.
Si votre organisation s'appuie sur les conditions acceptées plutôt que sur une copie signée, demandez au support de confirmer exactement quelle version vous avez acceptée et quand. C'est une question factuelle avec une réponse factuelle, et c'est celle qu'un auditeur vous demandera.
#Sous-traitants ultérieurs
La liste complète et à jour des sous-traitants ultérieurs de Didit est publique sur didit.me/terms/sub-processors, avec le rôle de chacun, les données personnelles qu'il traite et où. C'est la liste à laquelle renvoie le DPA. Certains sous-traitants ultérieurs travaillent pour tous les clients, comme l'infrastructure cloud en Irlande (eu-west-1) où les données de vérification sont traitées et stockées ; d'autres ne reçoivent des données que lorsque vos workflows utilisent la fonctionnalité qu'ils prennent en charge.
La page de vérification hébergée exécute deux outils de suivi, l'un pour le suivi des erreurs et l'autre pour l'analytique produit, tous deux figurant sur cette liste. Ils reçoivent les étapes et les erreurs d'une session et des enregistrements masqués de sa mise en page, des appuis et des défilements, liés à son ID de session, et jamais d'images de la caméra, d'images de documents, de selfies ni de données lues sur des documents ; aucune adresse IP n'est conservée. Les détails se trouvent dans les données personnelles collectées par une vérification.
Didit prévient au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, et vous pouvez vous y opposer pour des motifs liés à la protection des données ; le DPA précise comment.
#Répondre à un questionnaire de sécurité
La plupart de ce qu'une revue de sécurité demande existe sous forme de document. Dans l'ordre approximatif où les questionnaires le demandent :
| Ce qu'ils demanderont | Ce qui existe |
|---|---|
| Audit indépendant des contrôles | Rapport SOC 2 Type 2, disponible sous accord de confidentialité |
| Certification de sécurité de l'information | ISO/IEC 27001, plus 27017 et 27018 pour le cloud |
| Chiffrement en transit et au repos | TLS 1.3 et AES-256 |
| Test anti-usurpation biométrique | iBeta Level 1 PAD sous ISO/IEC 30107-3 |
| Test d'intrusion | Test tiers périodique avec remédiation suivie |
| Conditions de traitement des données | DPA et MTO |
| Conservation et effacement | Conservation configurable de 1 mois à 10 ans ; effacement via l'API |
| Piste d'audit | Journal d'audit de 365 jours de toute l'activité API |
Voir certifications et conformité pour la liste complète des attestations avec dates.
#Engagements que cette page ne peut pas prendre pour vous
Certaines questions qui reviennent en approvisionnement sont contractuelles, pas techniques, et la réponse honnête est qu'elles relèvent d'un accord négocié :
- Les garanties contractuelles sur la suppression, adossées à une piste d'audit vérifiable ou à une certification périodique.
- Les délais de notification de violation autres que le délai du RGPD, par exemple la fenêtre d'évaluation des violations notifiables en Australie.
- Les feuilles de route d'hébergement régional et les dates qui y sont associées.
- Les obligations de conservation que vous pensez applicables à votre situation.
Apportez chacun de ces points à votre contact Didit et obtenez la réponse dans le contrat. Une page d'aide décrivant un engagement n'est pas un engagement, et traiter l'un comme l'autre est un risque pour vous plutôt que pour nous.
#Demandes d'effacement de la part de vos utilisateurs
Vos utilisateurs sont vos personnes concernées, et une demande d'effacement vous parvient en tant que responsable de traitement. Vous disposez des outils pour agir directement : supprimez la session depuis la console ou l'API, immédiatement et irréversiblement. Voir supprimer des sessions et des données personnelles.
Si votre processus doit être automatisé de bout en bout (une demande dans votre produit déclenchant une suppression ici), c'est le endpoint de suppression associé à votre propre workflow, et c'est un schéma bien établi.
Toujours bloqué ? Parlez à un humain.
Indiquez l'ID de votre organisation et l'ID de la session concernée.