DPAs, residência de dados e subcontratantes

A Didit processa dados na UE por predefinição, com processamento no próprio país em contratos empresariais. Vê como obter o DPA e responder às compras.

#Onde os dados são processados

Por defeito, os dados de verificação são processados e armazenados na UE, em infraestrutura AWS na Irlanda (eu-west-1). As operações biométricas correm na mesma região.

O processamento no próprio país - residência local de dados para uma jurisdição específica - está disponível para contas empresariais, sujeito a disponibilidade e contrato. Se a tua exigência for uma região específica, pergunta diretamente que regiões estão disponíveis hoje e obtém a resposta por escrito. A disponibilidade regional muda, e é exatamente o tipo de compromisso que uma revisão de compras vai querer ver evidenciado em vez de descrito.

Uma região que vale a pena afirmar sem rodeios porque é perguntada muitas vezes: não há região de processamento na Rússia, em nenhum plano, pelo que um requisito de manter os dados dentro da Federação Russa não pode ser cumprido.

Se a sua obrigação é armazenamento local e não processamento local, o padrão que a maioria dos clientes usa é processar e expurgar: corra a verificação pela Didit, receba o resultado por webhook, guarde o que precisar na sua própria infraestrutura no seu país e elimine a sessão da Didit logo a seguir. Veja eliminar sessões e dados pessoais.

#Obter um DPA

Já tem um. A Adenda de tratamento de dados (DPA) é o Anexo 2 dos Termos e condições empresariais que a sua organização aceitou no registo, e o Acordo de nível de serviço (SLA) é o Anexo 1. Ambos estão publicados também em separado (Termos empresariais, Data Processing Addendum, Service Level Agreement) e são o acordo do artigo 28.º entre si e a Didit nos planos gratuito e de pagamento por utilização. O documento de medidas técnicas e organizativas (TOMs) que o artigo 32.º do RGPD espera está disponível a pedido ao seu contacto na Didit, sem NDA.

O que não existe no pagamento por utilização é uma cópia contra-assinada: o contrato são os termos publicados tal como aceites, e o suporte pode confirmar a data de aceitação da sua organização se um auditor o pedir. Se o seu dossiê de conformidade precisa de um MSA assinado, um DPA no seu próprio papel ou um SLA negociado, isso vem com um acordo de crédito pré-pago, que começa em 2.000 USD e se converte em créditos que nunca expiram. Peça ao seu contacto na Didit, tendo à mão a sua denominação social, o e-mail do signatário e o país de constituição.

Se a sua organização se apoia nos termos aceites e não numa cópia assinada, peça ao suporte que confirme exatamente que versão aceitou e quando. É uma pergunta factual com resposta factual, e é a que um auditor lhe pedirá.

#Subcontratantes

A lista completa e atual de subcontratantes da Didit é pública em didit.me/terms/sub-processors, com o que cada um faz, os dados pessoais que trata e onde. É a lista referida no DPA. Alguns subcontratantes trabalham para todos os clientes, como a infraestrutura cloud na Irlanda (eu-west-1) onde os dados de verificação são tratados e guardados; outros só recebem dados quando os teus fluxos usam a funcionalidade que suportam.

A página de verificação alojada executa duas ferramentas de monitorização, uma para a monitorização de erros e outra para a análise de produto, ambas nessa lista. Recebem os passos e os erros de uma sessão e gravações mascaradas do esquema, dos toques e das deslocações, associados ao respetivo ID da sessão, e nunca imagens da câmara, imagens de documentos, selfies nem dados lidos de documentos; nenhum endereço IP é guardado. Os detalhes estão em que dados pessoais uma verificação recolhe.

A Didit avisa com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante, e podes opor-te por motivos de proteção de dados; o DPA explica como.

#Responder a um questionário de segurança

A maior parte do que uma revisão de segurança pede existe como documento. Pela ordem aproximada em que os questionários costumam pedir:

Consulta certificações e conformidade para a lista completa de credenciais com datas.

#Compromissos que esta página não pode assumir por ti

Algumas perguntas que surgem em processos de compras são contratuais, não técnicas, e a resposta honesta é que pertencem a um acordo negociado:

• Garantias contratuais sobre eliminação, sustentadas por um registo de auditoria inspecionável ou uma certificação periódica.
• Prazos de notificação de violação diferentes do prazo do GDPR - por exemplo a janela de avaliação das Notifiable Data Breaches da Austrália.
• Roteiros de alojamento regional e as datas associadas a eles.
• Obrigações de retenção que acredites que se aplicam a ti.

Traz cada uma dessas questões ao teu contacto na Didit e obtém a resposta no contrato. Uma página de ajuda que descreve um compromisso não é um compromisso, e tratar uma coisa como a outra é um risco para ti, não para nós.

#Pedidos de eliminação dos teus utilizadores

Os teus utilizadores são os teus titulares de dados, e um pedido de eliminação chega-te a ti como responsável pelo tratamento. Tens as ferramentas para atuar sobre ele diretamente: elimina a sessão a partir da consola ou da API, de forma imediata e irreversível. Consulta eliminar sessões e dados pessoais.

Se o teu processo precisar de estar automatizado de ponta a ponta - um pedido no teu produto a desencadear a eliminação aqui - isso é o endpoint de eliminação mais o teu próprio fluxo de trabalho, e é um padrão bem testado.