Ce qui arrive à mes données
Votre photo de document et votre selfie sont chiffrés, traités dans l'UE par défaut, et conservés aussi longtemps que le décide l'entreprise qui a demandé la vérification, laquelle peut les supprimer.
Vos données sont chiffrées en transit et au repos et traitées dans l'UE par défaut. L'entreprise qui vous a demandé de vérifier décide de la durée de leur conservation et peut les supprimer : une demande d'effacement de vos données s'adresse donc à elle, pas à Didit.
#Qui détient vos données, et qui en décide
Deux rôles différents, et la distinction détermine à qui vous devez vous adresser :
- L'entreprise qui vous a envoyé le lien décide ce qui est collecté, pourquoi, combien de temps le conserver, et si elle doit le supprimer. En termes de protection des données, elle est le responsable de traitement.
- Didit exécute la vérification sur ses instructions. En termes de protection des données, Didit est le sous-traitant.
C'est pourquoi une demande concernant vos données (une copie, ou leur effacement) s'adresse à l'entreprise. Elle dispose des outils pour y répondre directement, et Didit ne peut pas prendre cette décision en son nom.
#Ce qui est collecté
Généralement, la ou les photos de votre document d'identité, un selfie ou un court enregistrement de preuve de vie, et les données lues sur le document : votre nom, votre date de naissance, le numéro du document, et sa date d'expiration. Selon ce que l'entreprise a configuré, cela peut aussi inclure un numéro de téléphone, une adresse e-mail, un justificatif de domicile, ou des réponses à des questions qu'elle a posées.
Vous auriez dû être informé de ce qui était collecté et pourquoi avant de commencer. Si ce n'est pas le cas, c'est une question à poser à l'entreprise.
#Comment c'est protégé
- Chiffré en transit avec TLS 1.3, et au repos avec AES-256.
- Traité dans l'UE par défaut.
- L'accès est restreint par rôle, de sorte que seules les personnes autorisées peuvent y accéder, et chaque accès est journalisé.
- Les contrôles de sécurité de la plateforme sont audités de manière indépendante (SOC 2 Type 2 et ISO/IEC 27001, entre autres), et non auto-déclarés.
Le détail technique se trouve dans comment Didit protège les données de vos utilisateurs, rédigé pour les entreprises qui l'intègrent.
#Combien de temps c'est conservé
L'entreprise choisit la période de conservation, allant d'un mois à plusieurs années, ou peut choisir de supprimer la vérification dès qu'elle a enregistré le résultat. Certaines entreprises ont leur propre obligation légale de conserver des registres pendant une période déterminée ; cette obligation leur appartient, et elles peuvent vous indiquer ce qu'elle est.
#Demander la suppression de vos données
Envoyez la demande à l'entreprise auprès de laquelle vous avez vérifié. Lorsqu'elle supprime une vérification, c'est immédiat et irréversible : la décision, les données extraites, et toutes les images et vidéos sont retirées, et tout lien vers ces médias cesse de fonctionner.
Si elle ne sait pas comment faire, le mécanisme est documenté pour elle : supprimer des sessions et des données personnelles.
#Vos droits
Si vous êtes dans l'UE ou au Royaume-Uni, le RGPD vous accorde des droits sur vos données personnelles, y compris l'accès, la rectification et l'effacement, et les données biométriques font l'objet d'une protection plus stricte que les données personnelles ordinaires. Ces droits s'exercent auprès du responsable de traitement : l'entreprise qui vous a demandé de vérifier.
D'autres juridictions ont des régimes comparables. Dans tous les cas, l'entreprise est votre premier point de contact, et elle est tenue de disposer d'un moyen de traiter ces demandes.
#Si l'entreprise ne répond pas
Si vous avez sollicité l'entreprise sans succès, votre voie de recours est votre autorité nationale de protection des données, pas le prestataire de vérification. Didit ne peut pas contraindre un client à vous répondre, ni agir sur vos données sans ses instructions.
#Ce que Didit ne fera pas
Pour être direct sur les limites, parce que les gens posent raisonnablement la question :
- Didit ne vous dira pas pourquoi une entreprise vous a refusé.
- Didit ne supprimera pas vos données sur votre seule demande, sans l'instruction du responsable de traitement.
- Didit ne relancera pas votre vérification et ne gérera pas votre compte chez elle.
Rien de tout cela n'est un manque de service : c'est la même séparation des responsabilités qui empêche aussi quiconque d'autre d'accéder à votre vérification.