Política de privacidad de Delphi Verify

Delphi Verify Inc., una corporación de Delaware, es responsable del procesamiento descrito en esta Política cuando decidimos por qué y cómo se utilizan los datos personales. Nuestra dirección de contacto es Corporation Service Company, 251 Little Falls Drive, Wilmington, Delaware 19808, Estados Unidos. Las consultas sobre privacidad pueden enviarse a contact@delphiverify.com.

Nuestro papel depende del procesamiento involucrado:

• —somos un controlador para la administración de cuentas, la operación y seguridad del Servicio, la prevención de fraudes, el soporte, el análisis del sitio web y nuestras obligaciones legales;
• —cuando una organización decide qué evidencia se captura, por qué se captura, quién puede acceder a ella y cuánto tiempo se retiene, esa organización es generalmente el controlador y nosotros actuamos como su procesador bajo sus instrucciones y el acuerdo de procesamiento de datos aplicable; y
• —cuando utiliza Delphi Verify de forma independiente, generalmente somos el controlador para ese uso.

Dependiendo de cómo utilice el Servicio, procesamos:

• —Datos de la cuenta: identificador de usuario, dirección de correo electrónico, nombre (si se proporciona), proveedor de autenticación e identificadores relacionados de Apple, Google o Firebase Authentication. Firebase Authentication procesa las credenciales para las cuentas de correo electrónico y contraseña; Delphi Verify no almacena esas contraseñas en su propia base de datos de aplicaciones.
• —Datos de evidencia y certificado: imágenes capturadas y otros medios enviados, título y descripción del certificado, tiempos de captura y publicación, ubicación e precisión informadas por el dispositivo, nivel de privacidad de ubicación seleccionado, hashes, material de prueba criptográfica y resultados de verificación.
• —Datos de detección e integridad: atestación de la aplicación y el dispositivo, identificadores de instalación o dispositivo, eventos de seguridad, puntuaciones y razones de detección automática de medios, y registros necesarios para verificar la integridad del certificado.
• —Datos de la organización: espacios de trabajo, invitaciones, roles y registros configurados por una organización.
• —Datos técnicos: dirección IP, información de conexión, tipo de dispositivo, sistema operativo, versión de la aplicación o del navegador, registros de diagnóstico, información de errores y eventos de autenticación o seguridad.
• —Datos de comunicaciones y uso: mensajes de soporte y contacto, informes de certificados, actividad de código público y datos limitados de interacción del sitio web cuando se habilita el análisis opcional.

La evidencia puede contener datos personales sobre personas que no tienen una cuenta de Delphi Verify, incluidas personas, registros de vehículos, documentos, direcciones o posesiones visibles en una captura. Esta Política también se aplica a esas personas. La persona u organización que encarga la captura es responsable de garantizar que tiene una base legal y cualquier permiso requerido para capturar y publicar esa información.

Con su permiso, Delphi Verify accede a la cámara para capturar imágenes de certificados. No importa imágenes de la biblioteca de fotos de su dispositivo.

Utilizamos datos personales para:

• —crear y autenticar cuentas y administrar el acceso a la organización;
• —capturar, crear, almacenar, publicar y verificar certificados de evidencia;
• —mostrar el contenido del certificado y la precisión de la ubicación seleccionada por el editor;
• —realizar comprobaciones de integridad de la aplicación, el dispositivo, los medios y prevención de fraudes;
• —operar, proteger, diagnosticar y mejorar el Servicio;
• —proporcionar soporte y enviar correos electrónicos operativos o de invitación; y
• —proporcionar análisis opcionales y mapas incrustados cuando se haya dado el consentimiento; y
• —cumplir con la ley, hacer cumplir nuestros acuerdos y proteger los derechos, la seguridad y la protección.

Cuando se aplica el RGPD de la UE o el RGPD del Reino Unido y actuamos como responsables del tratamiento, nos basamos en las siguientes bases legales:

Cuando nos basamos en intereses legítimos, consideramos la necesidad y el impacto del procesamiento y los derechos de las personas afectadas. Puede oponerse a este procesamiento como se explica en la sección 12. Cuando nos basamos en el consentimiento, puede retirarlo en cualquier momento; la retirada no afecta al procesamiento ya realizado legalmente.

Los permisos del dispositivo permiten que la aplicación acceda a funciones como la cámara o la ubicación. Puede retirarlos a través de la configuración de su dispositivo, aunque las funciones que los requieren dejarán de funcionar. Un permiso del dispositivo no se trata como consentimiento según la ley de protección de datos a menos que lo indiquemos expresamente.

Cuando actuamos como encargados del tratamiento, el responsable del tratamiento del cliente determina y documenta la base legal aplicable.

La ubicación proporciona pruebas geográficas para un certificado. Con el permiso del dispositivo, la aplicación recopila la ubicación y su precisión informada en el momento de la captura. El editor selecciona un nivel de divulgación exacto, cercano o de área más amplia. Para la divulgación cercana o de área, las coordenadas se reducen en precisión antes de que se cree el certificado. Esto preserva la protección de integridad aplicada a la ubicación divulgada, pero cambia lo que establece el certificado: un área en lugar de un punto exacto.

El Servicio restringe las opciones de ubicación cuando la precisión disponible no puede soportar el nivel seleccionado. Un flujo de trabajo de certificado que requiere pruebas geográficas no se puede completar sin el permiso de ubicación.

Utilizamos los servicios Google Cloud Vertex AI y Gemini para analizar los medios enviados en busca de indicios de una imagen recapturada o presentada, la presencia de personas e información privada o identificativa visible. La detección devuelve puntuaciones de probabilidad y una breve razón, y puede requerir una nueva captura o rechazar los medios antes de que pasen a formar parte de un certificado.

La detección automatizada es probabilística y puede ser errónea. Se utiliza para proteger la integridad del certificado y reducir la publicación inapropiada o no autorizada; no tiene la intención de tomar decisiones que produzcan efectos legales o significativamente similares sobre un individuo. Puede ponerse en contacto con nosotros para cuestionar un resultado. Delphi Verify no utiliza los medios enviados para entrenar sus propios modelos de IA.

Los medios detectados que contienen personas, información sensible o indicadores de ataque de presentación son rechazados y eliminados automáticamente. No se incluyen en un certificado y Delphi Verify no los utiliza para entrenar modelos de IA.

La publicación de un certificado es una acción explícita. Antes de la publicación, el Servicio explica que la información del certificado seleccionada estará disponible para cualquier persona que tenga su código QR, código público o enlace. Esa persona puede abrirlo sin una cuenta y puede copiar, descargar, grabar o reenviar lo que muestra.

Dependiendo de las elecciones del editor, un certificado público puede mostrar imágenes, título, descripción, tiempo de captura, precisión de ubicación seleccionada, resultados de verificación y confirmación de blockchain. No muestra el correo electrónico de la cuenta del editor, el identificador interno de usuario u organización, ni la ruta de almacenamiento interna.

No publique información personal o confidencial a menos que esté autorizado a divulgarla. Si usted es identificable en un certificado publicado por otra persona, puede ejercer los derechos descritos en la sección 12. Cuando una organización controla la evidencia, podemos remitir su solicitud a esa organización y le informaremos cuando lo hagamos.

Bajo el formato actual, el registro en cadena contiene hashes de medios y compromisos criptográficos salados para la ubicación y el tiempo de captura publicados, junto con campos de prueba técnicos. No contiene imágenes, ubicación legible o marcas de tiempo, información de cuenta, descripciones de certificados o códigos de verificación públicos. Una vez que la eliminación se completa según la sección 11, Delphi Verify ya no pone a disposición los datos del certificado subyacente. Los compromisos permanentes en cadena no revelan ese contenido por sí mismos.

Los registros públicos de blockchain son permanentes y están fuera de nuestro control. La eliminación de un certificado elimina los medios y los datos del certificado en poder de Delphi Verify como se describe a continuación, pero no puede editar ni borrar una atestación ya publicada en cadena.

No vendemos datos personales. Los divulgamos solo según sea necesario para operar el Servicio o para los fines descritos en esta Política, incluyendo a:

• —Google Cloud y Firebase: autenticación, bases de datos, almacenamiento, alojamiento, procesamiento de backend, seguridad y detección automatizada de medios;
• —Apple y Google: servicios de inicio de sesión y atestación de aplicaciones o dispositivos;
• —Google Maps y proveedores de OpenStreetMap: mapas incrustados opcionales;
• —Google: geocodificación inversa utilizada para crear contexto de ubicación;
• —PostHog: análisis de sitios web basados en el consentimiento;
• —Resend: correos electrónicos operativos, de invitación, de contacto y de soporte;
• —Base, Ethereum Attestation Service y proveedores de infraestructura de blockchain: registros públicos de integridad criptográfica; y
• —asesores profesionales, reguladores, tribunales, fuerzas del orden u otros destinatarios cuando lo exija la ley o sea razonablemente necesario para proteger los derechos, la seguridad o el Servicio.

Los proveedores de servicios pueden procesar datos personales solo para el servicio relevante y sujetos a las obligaciones contractuales y legales aplicables.

Utilizamos una cookie esencial de origen llamada delphi_cookie_consent durante un máximo de 180 días para recordar sus opciones de privacidad. Con su consentimiento, la cookie de origen delphi-lang puede recordar su preferencia de idioma durante un máximo de 365 días. Firebase puede usar el almacenamiento del navegador necesario para mantener la autenticación, y podemos almacenar las preferencias de visualización.

El análisis opcional está deshabilitado hasta que usted dé su consentimiento. Si está habilitado, nuestro proyecto PostHog alojado en la UE recibe visitas a la página, interacciones nombradas e información limitada del navegador o dispositivo. La captura automática de elementos, la reproducción de sesiones, los perfiles de personas y la captura automática de errores están deshabilitados, y los códigos de certificados públicos se redactan de las URL de análisis.

El contenido de Google Maps y OpenStreetMap está deshabilitado hasta que usted dé su consentimiento. Habilitar un mapa puede enviar las coordenadas divulgadas del certificado, su dirección IP e información estándar de solicitud o dispositivo al proveedor relevante y puede permitir que Google use cookies de terceros o tecnologías similares. La ubicación del certificado no es la ubicación actual del espectador.

Puede aceptar, rechazar o cambiar las opciones opcionales en cualquier momento a través de Configuración de cookies en el pie de página del sitio web. La retirada detiene el procesamiento opcional futuro y no afecta el procesamiento ya realizado legalmente.

Delphi Verify está establecido en los Estados Unidos, y algunos proveedores procesan datos fuera del Reino Unido o del Espacio Económico Europeo. Los medios del certificado en Firebase Storage están configurados en US-EAST1; la detección automatizada de medios está configurada en la región us-central1 de Google Cloud. Otros proveedores y sus subprocesadores pueden operar en países adicionales.

Cuando el RGPD o el RGPD del Reino Unido lo exigen, las transferencias internacionales están cubiertas por una decisión de adecuación o salvaguardias apropiadas, como las Cláusulas Contractuales Estándar de la Comisión Europea, el Acuerdo de Transferencia Internacional de Datos del Reino Unido o el Anexo del Reino Unido, junto con salvaguardias complementarias cuando sea necesario. Puede ponerse en contacto con nosotros para obtener información sobre el mecanismo aplicable a una transferencia.

Retenemos los datos personales solo durante el tiempo necesario para el propósito para el que fueron recopilados, las instrucciones del cliente, las obligaciones legales, la resolución de disputas, la seguridad y la prevención del fraude:

• —la evidencia y los datos del certificado se retienen hasta que el certificado se elimine o durante el período acordado con la organización que lo controla;
• —los datos de la cuenta y la organización se conservan mientras la cuenta o la relación con el cliente permanezcan activas y luego se eliminan o anonimizan cuando ya no son necesarios;
• —los registros de soporte, operativos y de seguridad se conservan solo durante el período razonablemente necesario para la consulta, el propósito de seguridad o la obligación legal; y
• —los registros de auditoría de eliminación e integridad pueden conservarse después de que se elimine la evidencia subyacente para registrar que la eliminación ocurrió y preservar la fiabilidad de la pista de auditoría.

Cuando se solicita la eliminación de un certificado, el acceso público se revoca inmediatamente. El certificado se elimina de forma lógica en la base de datos durante 30 días, con acceso restringido a los administradores autorizados. Después de ese período, los medios del certificado, los datos GPS, los metadatos, los tokens de descarga y los registros del sistema activo asociados se eliminan permanentemente. Los datos de copia de seguridad y recuperación de la base de datos se conservan durante siete días. Firebase Storage mantiene los medios eliminados en un estado de eliminación lógica durante siete días adicionales antes de la eliminación permanente. Un registro público de blockchain permanece permanentemente como se describe en la sección 8.

La eliminación de una cuenta individual no elimina la evidencia controlada por una organización. Cuando la eliminación entre en conflicto con una obligación legal o la integridad de un registro sellado, podemos restringir el acceso, preservar el original y adjuntar una corrección, revocación o registro sustituto, según corresponda.

Cuando se aplique el RGPD o el RGPD del Reino Unido, usted puede tener derecho a:

• —acceder a sus datos personales y recibir información sobre su procesamiento;
• —corregir datos inexactos o incompletos;
• —solicitar la eliminación;
• —restringir el procesamiento;
• —recibir los datos que proporcionó en un formato portátil y, cuando sea técnicamente factible, que se transmitan a otro controlador;
• —oponerse al procesamiento basado en intereses legítimos;
• —retirar el consentimiento en cualquier momento; y
• —no ser objeto de una decisión basada únicamente en el procesamiento automatizado que produzca efectos legales o igualmente significativos, cuando ese derecho sea aplicable.

Estos derechos dependen de las circunstancias y la base legal y pueden estar sujetos a excepciones legales. Para ejercerlos, envíe un correo electrónico a contact@delphiverify.com. Es posible que necesitemos verificar su identidad. Cuando se aplique el RGPD o el RGPD del Reino Unido, nuestro objetivo es responder sin demoras indebidas y dentro de un mes, sujeto a cualquier extensión permitida por la ley.

Puede presentar una queja en cualquier momento ante la autoridad de protección de datos de su lugar de residencia o trabajo, o donde crea que ocurrió una infracción. En Portugal, esta es la Comissão Nacional de Proteção de Dados (CNPD); en el Reino Unido, es la Information Commissioner's Office (ICO). Agradeceríamos la oportunidad de abordar su inquietud primero, pero no está obligado a contactarnos antes de presentar una queja.

Utilizamos salvaguardas técnicas y organizativas apropiadas a la naturaleza y el riesgo del procesamiento, incluyendo autenticación, controles de acceso, cifrado en tránsito, acceso restringido al almacenamiento, monitoreo de seguridad y controles de integridad criptográfica. Ningún sistema es completamente seguro y no podemos garantizar una seguridad absoluta.

El Servicio no está dirigido a niños. Si nos enteramos de que se recopilaron datos personales de un niño en contravención de la ley aplicable, tomaremos las medidas apropiadas para eliminarlos o restringirlos.

Podemos actualizar esta Política a medida que cambien el Servicio o los requisitos legales. Revisaremos la fecha anterior y, cuando un cambio sea sustancial, notificaremos a los usuarios afectados a través del Servicio, el sitio web o el correo electrónico, según corresponda.

Las preguntas sobre privacidad, las solicitudes de derechos y las quejas pueden enviarse a:

Delphi Verify Inc. Corporation Service Company 251 Little Falls Drive Wilmington, Delaware 19808 Estados Unidos contact@delphiverify.com