O que acontece aos meus dados
A foto do teu documento e a tua selfie são cifradas, processadas na UE por predefinição, e guardadas durante o tempo que a empresa que pediu a verificação decidir - e ela pode eliminá-las.
Os teus dados são cifrados em trânsito e em repouso, e processados na UE por predefinição. A empresa que te pediu para te verificares decide durante quanto tempo são guardados e pode eliminá-los - por isso um pedido para eliminar os teus dados deve ir para ela, não para a Didit.
#Quem guarda os teus dados, e quem decide sobre eles
Duas funções diferentes, e a distinção determina com quem falas:
- A empresa que te enviou o link decide o que recolher, porquê, durante quanto tempo guardar, e se elimina. Em termos de proteção de dados, é o responsável pelo tratamento.
- A Didit realiza a verificação segundo as instruções dela. Em termos de proteção de dados, a Didit é o subcontratante.
É por isso que um pedido sobre os teus dados - uma cópia deles, ou a sua eliminação - vai para a empresa. Ela tem as ferramentas para atuar diretamente sobre isso, e a Didit não pode tomar essa decisão em nome dela.
#O que é recolhido
Normalmente a foto (ou fotos) do teu documento de identidade, uma selfie ou uma breve gravação de prova de vida, e os dados lidos do documento - o teu nome, data de nascimento, número do documento, e validade. Dependendo do que a empresa configurou, também pode incluir um número de telefone, um endereço de email, um documento de comprovativo de morada, ou respostas a perguntas que te fizeram.
Devias ter sido informado sobre o que estava a ser recolhido e porquê, antes de começares. Se não foste, essa é uma pergunta para a empresa.
#Como são protegidos
- Cifrados em trânsito usando TLS 1.3, e em repouso usando AES-256.
- Processados na UE por predefinição.
- O acesso é restrito por função, para que apenas pessoas autorizadas lhe consigam aceder, e cada acesso é registado.
- Os controlos de segurança da plataforma são auditados de forma independente - SOC 2 Type 2 e ISO/IEC 27001, entre outros - e não são autodeclarados.
O detalhe técnico está em como a Didit protege os dados dos teus utilizadores, escrito para as empresas que a integram.
#Durante quanto tempo são guardados
A empresa escolhe o período de retenção - entre um mês e vários anos - ou pode optar por eliminar a verificação assim que registar o resultado. Algumas empresas têm a sua própria obrigação legal de manter registos durante um período definido; essa obrigação é delas, e podem dizer-te qual é.
#Pedir a eliminação dos teus dados
Envia o pedido à empresa com quem te verificaste. Quando ela elimina uma verificação, isso é imediato e irreversível: a decisão, os dados extraídos, e todas as imagens e vídeos são removidos, e quaisquer links para esse conteúdo deixam de funcionar.
Se não souberem como, o mecanismo está documentado para eles: eliminar sessões e dados pessoais.
#Os teus direitos
Se estiveres na UE ou no Reino Unido, o GDPR dá-te direitos sobre os teus dados pessoais - incluindo acesso, correção, e eliminação - e os dados biométricos recebem uma proteção mais rigorosa do que os dados pessoais comuns. Esses direitos exercem-se junto do responsável pelo tratamento: a empresa que te pediu para te verificares.
Outras jurisdições têm regimes comparáveis. Em todos os casos, a empresa é o teu primeiro ponto de contacto, e é obrigada a ter uma via para estes pedidos.
#Se a empresa não responder
Se já pediste à empresa e não chegaste a lado nenhum, a tua via de escalada é a tua autoridade nacional de proteção de dados, não o fornecedor de verificação. A Didit não pode obrigar um cliente a responder-te, e não pode atuar sobre os teus dados sem as instruções dele.
#O que a Didit não vai fazer
Para ser direto sobre os limites, porque as pessoas razoavelmente perguntam:
- A Didit não te vai dizer porque uma empresa te recusou.
- A Didit não vai eliminar os teus dados só porque tu o pedes, sem as instruções do responsável pelo tratamento.
- A Didit não vai reiniciar a tua verificação nem gerir a tua conta com essa empresa.
Nada disto é falta de vontade em ajudar - é a mesma separação de responsabilidades que impede qualquer outra pessoa de conseguir intervir na tua verificação.