DPA, lokasi data, dan subprosesor

Didit memproses data di UE secara default, di AWS Irlandia; pemrosesan dalam negeri tersedia lewat kontrak enterprise. DPA dan SLA sudah termasuk syarat Anda.

#Di mana data diproses

Secara default, data verifikasi diproses dan disimpan di UE, pada infrastruktur AWS di Irlandia (eu-west-1). Operasi biometrik berjalan di wilayah yang sama.

Pemrosesan dalam negeri - lokasi data lokal untuk yurisdiksi tertentu - tersedia untuk akun enterprise, tergantung ketersediaan dan kontrak. Jika kebutuhan Anda adalah wilayah tertentu, tanyakan langsung wilayah mana saja yang tersedia saat ini dan dapatkan jawabannya secara tertulis. Ketersediaan regional berubah-ubah, dan ini justru jenis komitmen yang ingin dibuktikan oleh tinjauan pengadaan, bukan sekadar dijelaskan.

Satu wilayah yang perlu dinyatakan terang-terangan karena sering ditanyakan: tidak ada wilayah pemrosesan di Rusia, di paket mana pun, jadi persyaratan menyimpan data di dalam Federasi Rusia tidak bisa dipenuhi.

Jika kewajiban Anda adalah penyimpanan lokal, bukan pemrosesan lokal, pola yang dipakai kebanyakan pelanggan adalah proses lalu hapus: jalankan verifikasi lewat Didit, terima hasilnya lewat webhook, simpan yang Anda butuhkan di infrastruktur sendiri di negara Anda, dan hapus sesi dari Didit segera sesudahnya. Lihat menghapus sesi dan data pribadi.

#Mendapatkan DPA

Anda sudah memilikinya. Data Processing Addendum (DPA) adalah Lampiran 2 dari Syarat dan Ketentuan Bisnis yang disetujui organisasi Anda saat mendaftar, dan Service Level Agreement (SLA) adalah Lampiran 1. Keduanya juga dipublikasikan terpisah (Syarat Bisnis, Data Processing Addendum, Service Level Agreement) dan merupakan perjanjian Pasal 28 antara Anda dan Didit pada paket gratis dan bayar sesuai pemakaian. Dokumen tindakan teknis dan organisasi (TOMs) yang diharapkan Pasal 32 GDPR tersedia atas permintaan dari kontak Didit Anda, tanpa NDA.

Yang tidak ada pada bayar sesuai pemakaian adalah salinan yang ditandatangani balik: kontraknya adalah syarat yang dipublikasikan sebagaimana disetujui, dan dukungan bisa mengonfirmasi tanggal persetujuan organisasi Anda jika auditor bertanya. Jika berkas kepatuhan Anda membutuhkan MSA yang ditandatangani, DPA di atas kertas Anda sendiri, atau SLA hasil negosiasi, itu datang bersama perjanjian kredit prabayar yang dimulai dari 2.000 USD dan dikonversi menjadi kredit yang tidak pernah kedaluwarsa. Minta ke kontak Didit Anda dengan menyiapkan nama resmi perusahaan, email penanda tangan, dan negara pendirian.

Jika organisasi Anda mengandalkan syarat yang disetujui alih-alih salinan yang ditandatangani, minta dukungan mengonfirmasi persis versi mana yang Anda setujui dan kapan. Itu pertanyaan faktual dengan jawaban faktual, dan itulah yang akan diminta auditor.

#Subprosesor

Daftar lengkap dan terkini subprosesor Didit tersedia untuk umum di didit.me/terms/sub-processors, berisi fungsi masing-masing, data pribadi yang diprosesnya, dan lokasinya. Itulah daftar yang dirujuk DPA. Sebagian subprosesor bekerja untuk semua klien, seperti infrastruktur cloud di Irlandia (eu-west-1) tempat data verifikasi diproses dan disimpan; yang lain hanya menerima data saat alur Anda memakai fitur yang mereka dukung.

Halaman verifikasi yang dihosting menjalankan dua alat pemantauan, satu untuk pemantauan kesalahan dan satu untuk analitik produk, keduanya ada dalam daftar itu. Keduanya menerima langkah dan kesalahan sebuah sesi serta rekaman tata letak, ketukan, dan guliran yang disamarkan, terkait dengan ID sesinya, dan tidak pernah menerima gambar kamera, gambar dokumen, selfie, atau data yang dibaca dari dokumen; tidak ada alamat IP yang disimpan. Rinciannya ada di data pribadi apa yang dikumpulkan sebuah verifikasi.

Didit memberi pemberitahuan setidaknya 30 hari sebelum menambahkan atau mengganti subprosesor, dan Anda dapat mengajukan keberatan atas dasar pelindungan data; DPA menjelaskan caranya.

#Menjawab kuesioner keamanan

Sebagian besar hal yang diminta tinjauan keamanan sudah ada sebagai dokumen. Kurang lebih dalam urutan yang biasa ditanyakan kuesioner:

Lihat sertifikasi dan kepatuhan untuk daftar kredensial lengkap beserta tanggalnya.

#Komitmen yang tidak bisa dibuat oleh halaman ini untuk Anda

Beberapa pertanyaan yang muncul dalam pengadaan bersifat kontraktual, bukan teknis, dan jawaban jujurnya adalah bahwa hal tersebut ada di dalam perjanjian yang dinegosiasikan:

• Jaminan kontraktual tentang penghapusan, didukung oleh jejak audit yang dapat diperiksa atau sertifikasi berkala.
• Jangka waktu notifikasi pelanggaran di luar batas waktu GDPR - misalnya jendela penilaian Notifiable Data Breaches milik Australia.
• Peta jalan hosting regional dan tanggal-tanggal yang menyertainya.
• Kewajiban retensi yang Anda yakini berlaku untuk Anda.

Bawa masing-masing hal tersebut ke kontak Didit Anda dan dapatkan jawabannya di dalam kontrak. Halaman bantuan yang menjelaskan sebuah komitmen bukanlah komitmen itu sendiri, dan memperlakukan keduanya sebagai hal yang sama adalah risiko bagi Anda, bukan bagi kami.

#Permintaan penghapusan dari pengguna Anda

Pengguna Anda adalah subjek data Anda, dan permintaan penghapusan datang kepada Anda sebagai pengendali. Anda memiliki alat untuk bertindak atas permintaan itu secara langsung: hapus sesi dari konsol atau API, secara langsung dan tidak dapat dibatalkan. Lihat menghapus sesi dan data pribadi.

Jika proses Anda perlu diotomatisasi dari ujung ke ujung - sebuah permintaan di produk Anda yang memicu penghapusan di sini - itu adalah endpoint hapus ditambah alur kerja Anda sendiri, dan itu pola yang sudah lazim digunakan.