DPA, размещение данных и субобработчики

По умолчанию данные обрабатываются в ЕС, на AWS в Ирландии; внутри страны - по корпоративным контрактам. DPA и SLA входят в ваши условия, TOM - по запросу.

#Где обрабатываются данные

По умолчанию данные проверок обрабатываются и хранятся в ЕС, в инфраструктуре AWS в Ирландии (eu-west-1). Биометрические операции выполняются в том же регионе.

Обработка внутри страны - размещение данных в конкретной юрисдикции - доступна для корпоративных аккаунтов, при наличии возможности и по контракту. Если ваше требование касается конкретного региона, спросите напрямую, какие регионы доступны сегодня, и получите ответ в письменном виде. Доступность по регионам меняется, и это именно то обязательство, которое закупочная проверка захочет увидеть подтверждённым, а не просто описанным.

Один регион стоит назвать прямо, потому что о нём спрашивают часто: региона обработки в России нет ни на одном тарифе, поэтому требование хранить данные на территории Российской Федерации выполнить невозможно.

Если ваше обязательство - локальное хранение, а не локальная обработка, большинство клиентов используют схему обработать и удалить: выполнить проверку через Didit, получить результат по вебхуку, сохранить нужное в собственной инфраструктуре в своей стране и сразу удалить сессию из Didit. См. удаление сессий и персональных данных.

#Как получить DPA

Он у вас уже есть. Дополнение об обработке данных (DPA) - это Приложение 2 к Условиям для бизнеса, которые ваша организация приняла при регистрации, а Соглашение об уровне обслуживания (SLA) - Приложение 1. Оба опубликованы и отдельно (Условия для бизнеса, Data Processing Addendum, Service Level Agreement) и являются соглашением по статье 28 между вами и Didit на бесплатном тарифе и тарифе с оплатой по факту. Документ о технических и организационных мерах (TOMs), которого ожидает статья 32 GDPR, доступен по запросу у вашего контакта в Didit, без NDA.

Чего нет при оплате по факту - так это встречно подписанной копии: договором являются опубликованные условия в принятой редакции, и поддержка может подтвердить дату принятия для вашей организации, если спросит аудитор. Если вашему досье комплаенса нужны подписанный MSA, DPA на вашем бланке или согласованный SLA, это идёт вместе с соглашением о предоплаченном кредите, которое начинается от 2 000 USD и конвертируется в кредиты без срока действия. Запросите у вашего контакта в Didit, подготовив юридическое название компании, адрес почты подписанта и страну регистрации.

Если ваша организация опирается на принятые условия, а не на подписанную копию, попросите поддержку подтвердить, какую именно версию и когда вы приняли. Это фактический вопрос с фактическим ответом, и именно его потребует аудитор.

#Субобработчики

Полный актуальный список субпроцессоров Didit общедоступен по адресу didit.me/terms/sub-processors: в нём указано, что делает каждый из них, какие персональные данные он обрабатывает и где. Именно на этот список ссылается DPA. Одни субпроцессоры работают для всех клиентов, например облачная инфраструктура в Ирландии (eu-west-1), где обрабатываются и хранятся данные проверок; другие получают данные только тогда, когда ваши рабочие процессы используют функцию, которую они поддерживают.

Размещённая страница проверки использует два инструмента мониторинга: один для мониторинга ошибок и один для продуктовой аналитики, оба из этого списка. Они получают шаги и ошибки сессии и замаскированные записи макета страницы, нажатий и прокруток, привязанные к ID сессии, и никогда не получают изображения с камеры, изображения документов, селфи или данные, считанные с документов; IP-адрес не сохраняется. Подробности описаны в статье какие персональные данные собирает проверка.

Didit уведомляет не менее чем за 30 дней до добавления или замены субпроцессора, и вы можете возразить по соображениям защиты данных; порядок описан в DPA.

#Ответы на вопросник по безопасности

Большая часть того, что запрашивает проверка безопасности, существует в виде документа. Примерно в том порядке, в котором это обычно спрашивают:

Полный список документов с датами см. в сертификациях и соответствии требованиям.

#Обязательства, которые эта страница не может дать за вас

Некоторые вопросы, возникающие при закупках, относятся к контракту, а не к технологии, и честный ответ - что им место в согласованном соглашении:

• Контрактные гарантии в отношении удаления, подкреплённые проверяемым журналом аудита или периодической сертификацией.
• Сроки уведомления об утечке, отличные от срока по GDPR - например, окно оценки по австралийскому режиму Notifiable Data Breaches.
• Дорожные карты регионального размещения данных и связанные с ними даты.
• Обязательства по хранению данных, которые, по вашему мнению, к вам применяются.

Обсудите каждый из этих пунктов со своим контактным менеджером Didit и получите ответ в контракте. Описание обязательства на странице помощи не является обязательством, и относиться к нему так - риск для вас, а не для нас.

#Запросы на удаление от ваших пользователей

Ваши пользователи - это ваши субъекты данных, и запрос на удаление приходит к вам как к контролёру. У вас есть инструменты, чтобы отреагировать на него напрямую: удалите сессию из консоли или через API - немедленно и необратимо. См. удаление сессий и персональных данных.

Если ваш процесс должен быть автоматизирован от начала до конца - запрос в вашем продукте, запускающий удаление здесь, - это эндпоинт удаления плюс ваш собственный воркфлоу, и это хорошо отработанный паттерн.