Servicios de Verificación de Identidad

1. Introducción

La presente Política de Privacidad describe cómo Veridas Digital Authentication Solutions, S.L. ( NIF B71322804 y domicilio social en Polígono Industrial Talluntxe II, M-10 – 31192, Tajonar (Navarra, España)) trata los datos personales de los usuarios reales cuando presta servicios de verificación de identidad (“Servicios”) en nombre de sus clientes. Nuestro principal objetivo es garantizar que el tratamiento de los datos personales se realiza de forma segura, eficiente y cumpliendo con toda la normativa aplicable.

Cuando procesamos datos personales para prestar los Servicios, actuamos como proveedor (Encargado del tratamiento), por lo que actuamos únicamente bajo las instrucciones de nuestros clientes (Responsables del Tratamiento), tratando datos personales para verificar la identidades de los usuarios y prestar servicios relacionados. Esta Política de Privacidad se refiere a las actividades de tratamiento de Veridas.

Ten en cuenta que, dependiendo del caso, pueden ser de aplicación normativas específicas de protección de datos y que el cliente, como Responsable del Tratamiento, puede tener obligaciones adicionales, por lo que si eres usuario de un cliente de Veridas, te recomendamos revisar también la política de privacidad de dicho cliente para obtener más detalles sobre la recogida y uso de datos.

Es posible que actualicemos periódicamente esta política de privacidad para reflejar los cambios en nuestras prácticas y en los requisitos legales.

Cualquier actualización significativa será comunicada a nuestros clientes con antelación, permitiéndoles realizar los ajustes necesarios e informar a sus usuarios.

2. Proceso de verificación de identidad: ¿cómo procesa Veridas la información personal de sus clientes?

Cuando prestamos nuestros Servicios sólo tratamos datos en nombre de nuestros clientes, como Encargados del tratamiento. En este sentido, es importante señalar que no utilizamos ninguna información personal de usuarios reales para entrenar nuestros sistemas.

La tecnología biométrica de Veridas permite a nuestros clientes verificar la identidad de una persona de forma remota, para lo que será necesario que el usuario se haga una selfie y facilite una fotografía para verificar que se trata de la misma persona (por ejemplo: utilizando un documento de identidad). Esto se suele hacer durante el proceso de registro o de “onboarding”, donde nuestros clientes nos darán acceso a una fotografía o vídeo del usuario y a un documento que permita acreditar su identidad; estos datos son obtenidos por el cliente a través de los procesos que éste haya implementado, utilizando la tecnología de Veridas; en este sentido, Veridas se compromete a contar con un Contrato de Encargo del Tratamiento (o “DPA”, por su siglas en inglés) u otros medios equivalentes en función de la normativa aplicable, para asegurarnos de que todas las actividades de tratamiento están debidamente reguladas antes de su inicio.

La prestación de los Servicios requiere que Veridas trate los siguientes datos personales:

La captura del documento de identidad del usuario.
La captura de la fotografía (selfie) del usuario.
La captura de videos del usuario.
Otros datos personales obtenidos de fuentes y bases de datos oficiales, cuando así se requiera.

Los datos anteriores se tratarán con las siguientes finalidades:

Documento de identidad: extraer la información contenida en el mismo (mediante técnicas de OCR), con el fin de proporcionar al cliente la información necesaria para el onboarding en un formato fácil de utilizar. Esta información también puede utilizarse para realizar una consulta a fuentes y bases de datos oficiales, cuando sea necesario.
Selfie y foto extraída del documento de identidad: generar el hash biométrico de cada uno y compararlos para verificar que se trata de la misma persona.
También se puede realizar una prueba de vida “pasiva” utilizando el selfie, para asegurarse de que hay una persona real realizando el trámite.
Vídeos del usuario: se pueden realizar dos tipos de grabaciones de vídeo:
- La grabación del usuario realizando algunas acciones (por ejemplo, movimientos aleatorios de la cabeza), con el fin de llevar a cabo una prueba de vida “activa”, además de la “pasiva” que puede realizarse directamente a partir de la foto selfie.
- La grabación del usuario mostrando a la cámara el documento de identidad utilizado en el proceso, con el fin de realizar comprobaciones adicionales de validación y vinculación.
Los datos mencionados también podrán utilizarse para llevar a cabo medidas de seguridad “anti-spoofing”.

Los datos capturados se envían desde los sistemas del cliente a los de Veridas, que normalmente se encuentran alojados en la nube. Dependiendo de la región en la que se preste el Servicio y/o de los requisitos específicos de nuestros clientes, los servidores pueden estar ubicados a) en el Espacio Económico Europeo (“EEE”), por defecto para los clientes ubicados dentro de la UE, o b) en EE.UU.. La información del usuario sólo se conservará en los servidores de Veridas durante el tiempo mínimo necesario para llevar a cabo el proceso (normalmente, un par de minutos); tras esto, enviamos toda la información a nuestro cliente y la borramos automáticamente. Puedes encontrar más información sobre estas cuestiones en la sección Protección de Datos de la web.

Las pruebas del proceso de validación de la identidad se entregan al cliente, incluidas las imágenes procesadas, las puntuaciones de similitud, las comprobaciones de integridad, etc., que se utilizarán para determinar los resultados del proceso de verificación de la identidad.

3. Almacenamiento y eliminación de datos

Veridas no almacena datos personales de usuarios en producción cuando presta sus servicios de verificación de identidad. En su servicio de verificación de identidad, Veridas cuenta con políticas y procedimientos internos para garantizar la privacidad por defecto y desde el diseño, garantizando que los datos personales de los usuarios sólo se procesan durante el tiempo mínimo necesario para llevar a cabo la verificación de la identidad y, a continuación, se ponen a disposición del cliente de Veridas para su almacenamiento y gestión. Así, una vez procesada toda la información recabada durante el proceso de identidad, el resultado del proceso y, en especial, todos los datos personales que supongan una evidencia del servicio de comprobación de identidad (hash biométrico, fotos, resultados de la validación, etc.), serán descargados por nuestro cliente y eliminados de forma instantánea y automática de nuestros sistemas.

Para asegurarnos de que no conservamos ninguna información (por ejemplo, en caso de que hayan quedado procesos colgados), Veridas dispone de un sistema de autoborrado que elimina automáticamente toda la información relativa a un proceso que lleve en el sistema más de 30 minutos (o el periodo acordado con el cliente en función de las necesidades del contexto).

4. Terceros con acceso a datos

Veridas no comparte la información de los usuarios con terceros.

Sin embargo, algunos de los subencargados de Veridas pueden tener acceso a la información personal del usuario cuando sea necesario que la conozcan, y únicamente con el fin de llevar a cabo las actividades requeridas por Veridas y/o los clientes de Veridas, en su caso. Tal y como exige el artículo 28 del GDPR, Veridas cuenta, en todo caso, con un DPA en vigor con dichos proveedores, que nos proporcionan:

Servicios de IT:

Servicios de alojamiento y procesamiento en nube.
Otros servicios relacionados con los servicios informáticos.

Lugar de prestación de los servicios relacionados: el Espacio Económico Europeo. En el caso de Servicios prestados en EE.UU. o si así lo requiere específicamente nuestro cliente, algunos de los servicios mencionados podrán prestarse también desde EE.UU.

Veridas no cederá los datos personales de los usuarios a terceros, salvo obligación legal por parte de alguna autoridad. En este sentido, y con el fin de garantizar que cumplimos con nuestros compromisos de protección de datos, confidencialidad y derechos de propiedad intelectual con nuestros clientes, Veridas anima a cualquier gobierno o entidad encargada de hacer cumplir la ley a solicitar cualquier información personal directamente a aquellos de los clientes de Veridas que actúen como Responsables, en su caso, ya que es posible que no se nos permita proporcionar esa información, en todo o en parte, o que ni siquiera conservemos esa información.

5. Derechos RGPD

Como usuario de Veridas, tienes los siguientes derechos sobre tus datos personales:

derecho a acceder a todos los datos personales que conservamos sobre ti.
derecho a corregir o rectificar información inexacta.
derecho a solicitar la supresión de tus datos personales. Este derecho puede estar limitado en determinadas situaciones.
derecho a oponerse al tratamiento de tus datos personales. Este derecho puede estar limitado en determinadas situaciones.
derecho a limitar el tratamiento de tus datos personales realizado por Veridas.
derecho a solicitar la portabilidad de tus datos, en un formato estructurado y legible por una máquina.
derecho a retirar tu consentimiento, si procede en su caso concreto. La retirada de su consentimiento no afectará a la legalidad de cualquier tratamiento que hayamos realizado antes de su retirada, ni afectará al tratamiento de su información realizado sobre la base de motivos legales de tratamiento distintos del consentimiento.

Si desea ejercer sus derechos, puede ponerse en contacto con Veridas a través de la dirección de correo electrónico o postal indicada en el apartado “6. Datos de contacto”, aportando pruebas que nos permitan verificar su identidad.

Ten en cuenta que es probable que algunos de los derechos anteriores no puedan ser ejecutados directamente por Veridas (por ejemplo, no podemos darle acceso a su información personal si no almacenamos ninguna). Como Encargados del tratamiento, le animamos a que envíe cualquier ejercicio de derechos de protección de datos directamente al cliente de Veridas que actúe en su caso particular como Responsable, para así evitar retrasos innecesarios.

También tiene la posibilidad de ejercitar sus derechos ante la autoridad local de protección de datos (www.aepd.com).

6. Datos de contacto

Si necesita más información sobre cómo Veridas trata la información personal, puede ponerse en contacto con gdpr@veridas.com.

También puede ponerse en contacto con nuestro Delegado de Protección de Datos a través del email dpo@veridas.com.

Por último, puede enviar su solicitud de información o ejercicio de derechos a la siguiente dirección física: Veridas Digital Authentication Solutions, S.L., Polígono Industrial Talluntxe II, M-10, 31192, Tajonar (Navarra, Spain).