Guia de Conformidade com o RGPD

CONFORMIDADE REGULATÓRIA · RGPD

Todos os direitos do titular dos dados são operacionalmente suportados, e não apenas previstos em uma política.

Dados biométricos e documentos de identidade são considerados dados pessoais de categoria especial, conforme o Artigo 9 do RGPD (Regulamento Geral sobre a Proteção de Dados), a categoria de dados mais rigorosamente regulamentada pela legislação da UE. A Shufti processa esses dados com base em fundamentos jurídicos documentados, retém-nos apenas pelo período configurado e oferece suporte operacional a todos os direitos que seus usuários possam exercer como titulares dos dados. O Acordo de Processamento de Dados em Conformidade com o RGPD da Shufti está incluído no contrato empresarial padrão, não sendo um complemento opcional.

Solicite uma demonstração Contato

O que o RGPD abrange

O RGPD aplica-se a qualquer organização que processe dados pessoais de residentes da UE. Distingue entre dados pessoais comuns e dados de categorias especiais, cada um com obrigações diferentes. Para os fornecedores de verificação de identidade, esta distinção é crucial.

Dados pessoais padrão

Nome, endereço de e-mail, número de telefone e endereço IP são regulamentados pelos Artigos 5 e 6 do RGPD. Exigem uma base legal para o processamento, medidas de segurança razoáveis e respeito aos direitos do titular dos dados. A maioria das plataformas SaaS opera nesta categoria.

Artigo 9.º Dados de categoria especial

Dados biométricos usados para identificar uma pessoa de forma única, imagens faciais e dados de documentos de identidade constituem a categoria mais rigorosamente regulamentada pelo RGPD. Requerem consentimento explícito ou obrigação legal como base para o processamento, controles de segurança mais rigorosos, minimização obrigatória de dados, pleno respeito aos direitos do titular dos dados e um Acordo de Proteção de Dados documentado antes do início de qualquer processamento.

Por que isso importa

As autoridades de supervisão, a Garante da Itália, a DPC da Irlanda e a CNIL da França, investigaram especificamente os fluxos de integração digital em que os provedores de verificação retiveram dados biométricos além do necessário, não possuíam uma base documentada para o processamento ou não conseguiam dar suporte operacional aos direitos dos titulares dos dados. Ações de fiscalização foram tomadas contra as empresas que contrataram esses provedores.

Quando um usuário exerce seu direito ao apagamento

Sua equipe precisa implementar isso operacionalmente, não apenas reconhecer. A API e o console de administração do Shufti permitem que você acione a exclusão de registros de verificação individuais e receba uma confirmação de exclusão como comprovante de auditoria.

EUR 1.2 bilhão+

Multas por descumprimento do GDPR, 2023-2024, com foco específico em dados biométricos em fluxos de integração. A responsabilidade recai sobre o controlador, que é você. O DPA e os controles de exclusão da Shufti são a forma de mitigar essa exposição.

Como Shufti mantém a TI

O pacote de documentação da Shufti sobre o RGPD inclui: a Lei de Proteção de Dados (DPA) em conformidade com o Artigo 28, o registo de subcontratados (atualizado no prazo de 30 dias após qualquer alteração), a política de retenção e eliminação de dados e a documentação técnica sobre como os direitos do titular dos dados são operacionalmente suportados. Tudo disponível mediante pedido antes da assinatura do contrato.

Os dados de residentes na UE são processados em infraestrutura da UE. Os dados de residentes no Reino Unido são processados de acordo com o RGPD do Reino Unido. Implantações regionais nos EUA e na região Ásia-Pacífico estão disponíveis para fluxos de dados fora da UE.

Detalhes de Certificação

Base jurídica

Artigo 28 do RGPD (processador); Artigo 9(2)(a) ou 9(2)(b) base de processamento configurada pelo controlador.

Incluído como padrão

DPA em conformidade com o RGPD em todos os contratos empresariais, sem necessidade de negociação separada.

Residência de dados

Infraestrutura da UE para fluxos da UE; opções regionais disponíveis no Reino Unido, EUA e região Ásia-Pacífico.

Direitos do titular dos dados

Exclusão, acesso e portabilidade suportados via API e console de administração com confirmação de registro de auditoria.

O que você ganha

DPA (Documento de Proteção de Dados), registro de subcontratados, política de retenção e documentação de exclusão, disponíveis antes da assinatura do contrato.