CCPA- en CPRA-naleving voor identiteitsverificatie

REGELGEVING EN NALEVING · CCPA / CPRA

Shufti is een dienstverlener die voldoet aan de Californische wetgeving.

Volgens de CCPA/CPRA is uw verificatieprovider ofwel een dienstverlener die onder strikte contractuele beperkingen opereert, ofwel een derde partij met het recht om de gegevens van uw gebruikers in brede zin te gebruiken. Shufti is een dienstverlener en gebruikt identiteitsverificatiegegevens uitsluitend voor het leveren van de verificatiedienst, niet voor enig secundair doel, en deze gegevens worden nooit verkocht of gedeeld. De overeenkomst met Shufti voor dienstverleners is opgenomen in elk bedrijfscontract.

Demo aanvragen Contact

Wat is CCPA / CPRA?

De privacywetgeving van Californië bestaat uit twee fasen. Het is belangrijk om beide fasen te begrijpen, omdat de wijzigingen in de CPRA (California Privacy Protection Act) aanzienlijke nieuwe verplichtingen hebben geïntroduceerd die direct van invloed zijn op de manier waarop biometrische gegevens en gegevens voor identiteitsverificatie moeten worden verwerkt.

CCPA (2018)

De California Consumer Privacy Act (CCPA) heeft consumentenrechten vastgelegd met betrekking tot persoonlijke informatie: het recht om te weten welke gegevens worden verzameld, het recht om deze te verwijderen, het recht om zich af te melden voor de verkoop ervan en het recht op non-discriminatie. De wet introduceerde de classificatie van dienstverlener, een leverancier die gegevens alleen gebruikt voor de overeengekomen dienstverlening.

CPRA (wijziging van 2023)

De California Privacy Rights Act heeft de CCPA aanzienlijk uitgebreid. Er is een nieuwe categorie gecreëerd, gevoelige persoonsgegevens, die expliciet biometrische gegevens, gezichtsafbeeldingen en identiteitsdocumenten omvat. De wet voegt het recht toe om het gebruik van gevoelige persoonsgegevens te beperken, versterkt de handhaving door de oprichting van het California Privacy Protection Agency en verscherpt de verplichtingen van dienstverleners.

Waarom het uitmaakt

Als uw verificatieprovider geen CCPA-conforme serviceproviderovereenkomst heeft of technisch gezien geen verzoek van een consument tot verwijdering of inzage kan ondersteunen, kunt u niet voldoen aan uw CPRA-verplichtingen wanneer een inwoner van Californië een dergelijk verzoek indient. Het California Privacy Protection Agency handhaaft de CPRA actief tegen bedrijven waarvan de leveranciers de vereiste bescherming niet bieden.

U heeft 45 dagen de tijd om te reageren op een geverifieerd verzoek om consumentenrechten.

Met de API en beheerdersconsole van Shufti kunt u de verificatiegegevens van een persoon opzoeken, exporteren of verwijderen en een verwijderingsbevestiging genereren. Deze bevestiging dient als wettelijk bewijs dat het verzoek is ingewilligd.

Wettelijke reactietermijn: 45 dagen

Voor verzoeken om consumentenrechten onder de CCPA. Als uw verificatieleverancier het verwijderen of exporteren van individuele gegevens niet binnen die termijn kan ondersteunen, bent u zelf verantwoordelijk voor het nalevingsprobleem.

Hoe Shufti zijn IT-systemen onderhoudt

De bepalingen van Shufti CCPA/CPRA voor dienstverleners zijn opgenomen in de standaard bedrijfsovereenkomst; u hoeft geen aparte aanvulling te sluiten. Het contract beperkt ons gebruik van gegevens, verbiedt de verkoop en het delen van gegevens, verplicht ons tot specifieke beveiligingsnormen en vereist dat we meewerken aan verzoeken met betrekking tot consumentenrechten.

Dezelfde nalevingsaanpak geldt ook voor de Virginia CDPA, Colorado CPA, Connecticut CTDPA en Texas TDPSA, waardoor één Shufti-integratie al deze regelgeving dekt zonder dat er aparte add-ons nodig zijn.

Certificatiedetails

Gegevensclassificatie

Biometrische gegevens en identiteitsdocumenten worden volgens de CPRA geclassificeerd als gevoelige persoonsgegevens.

Rol onder CCPA/CPRA

Dienstverlener, geen derde partij of databroker.

Ondersteuning van consumentenrechten

Verwijderen, toegang en overdraagbaarheid worden ondersteund via API en beheerdersconsole binnen een periode van 45 dagen.

Contractdekking

CCPA/CPRA-serviceproviderbepalingen in standaard bedrijfscontract, geen addendum vereist.

Dekking in meerdere staten

De nalevingsaanpak omvat de Virginia CDPA, Colorado CPA, Connecticut CTDPA en Texas TDPSA.