O que acontece com os meus dados
A foto do seu documento e a sua selfie são criptografadas, processadas na UE por padrão, e mantidas pelo tempo que a empresa que solicitou a verificação decidir - e ela pode excluí-las.
Os seus dados são criptografados em trânsito e em repouso, e processados na UE por padrão. A empresa que pediu para você se verificar decide por quanto tempo eles são mantidos e pode excluí-los - então uma solicitação para eliminar os seus dados vai para ela, não para a Didit.
#Quem guarda os seus dados, e quem decide sobre eles
Duas funções diferentes, e a distinção determina com quem você fala:
- A empresa que te enviou o link decide o que coletar, por quê, por quanto tempo manter, e se deve excluir. Em termos de proteção de dados, ela é a controladora.
- A Didit realiza a verificação seguindo as instruções dela. Em termos de proteção de dados, a Didit é a operadora.
É por isso que uma solicitação sobre os seus dados - uma cópia deles, ou a eliminação - vai para a empresa. Ela tem as ferramentas para agir diretamente sobre isso, e a Didit não pode tomar essa decisão no lugar dela.
#O que é coletado
Normalmente, a foto (ou fotos) do seu documento de identidade, uma selfie ou uma gravação curta de prova de vida, e os dados lidos do documento - seu nome, data de nascimento, número do documento, e validade. Dependendo do que a empresa configurou, também pode incluir um número de telefone, um endereço de e-mail, um comprovante de endereço, ou respostas a perguntas que ela fez.
Você deveria ter sido informado sobre o que estava sendo coletado e por quê antes de começar. Se não foi, essa é uma pergunta para a empresa.
#Como isso é protegido
- Criptografado em trânsito usando TLS 1.3, e em repouso usando AES-256.
- Processado na UE por padrão.
- O acesso é restrito por função, então só pessoas autorizadas conseguem chegar até os dados, e todo acesso é registrado.
- Os controles de segurança da plataforma são auditados de forma independente - SOC 2 Type 2 e ISO/IEC 27001, entre outros - e não são uma autodeclaração.
O detalhe técnico está em como a Didit protege os dados dos seus usuários, escrito para as empresas que integram a plataforma.
#Por quanto tempo é mantido
A empresa escolhe o período de retenção - de um mês a vários anos - ou pode optar por excluir a verificação assim que registrar o resultado. Algumas empresas têm a própria obrigação legal de manter registros por um período determinado; essa obrigação é delas, e elas podem dizer qual é.
#Pedindo a exclusão dos seus dados
Envie a solicitação para a empresa com a qual você se verificou. Quando ela exclui uma verificação, isso é imediato e irreversível: a decisão, os dados extraídos, e todas as imagens e vídeos são removidos, e qualquer link para essa mídia para de funcionar.
Se ela não souber como, o mecanismo está documentado para ela: excluindo sessões e dados pessoais.
#Os seus direitos
Se você estiver na UE ou no Reino Unido, o GDPR te dá direitos sobre os seus dados pessoais - incluindo acesso, correção, e eliminação - e dados biométricos recebem proteção mais rigorosa do que dados pessoais comuns. Esses direitos são exercidos contra a controladora: a empresa que pediu para você se verificar.
Outras jurisdições têm regimes equivalentes. Em todos os casos, a empresa é o seu primeiro ponto de contato, e ela é obrigada a ter um canal para esse tipo de solicitação.
#Se a empresa não responder
Se você já pediu à empresa e não chegou a lugar nenhum, o seu canal de escalonamento é a sua autoridade nacional de proteção de dados, não o provedor de verificação. A Didit não pode obrigar um cliente a te responder, e não pode agir sobre os seus dados sem a instrução dele.
#O que a Didit não vai fazer
Para ser direto sobre os limites, porque as pessoas perguntam com razão:
- A Didit não vai te dizer por que uma empresa te reprovou.
- A Didit não vai excluir os seus dados por sua conta, sem a instrução da controladora.
- A Didit não vai reiniciar a sua verificação ou gerenciar a sua conta com ela.
Nada disso é falta de vontade de ajudar - é a mesma separação de responsabilidades que impede qualquer outra pessoa de acessar a sua verificação também.