Informativa sulla privacy di Delphi Verify

Delphi Verify Inc., una società del Delaware, è responsabile del trattamento descritto nella presente Informativa, in cui decidiamo il motivo e le modalità di utilizzo dei dati personali. Il nostro indirizzo di contatto è Corporation Service Company, 251 Little Falls Drive, Wilmington, Delaware 19808, Stati Uniti. Le richieste relative alla privacy possono essere inviate a contact@delphiverify.com.

Il nostro ruolo dipende dal trattamento coinvolto:

• —siamo un titolare del trattamento per l'amministrazione dell'account, il funzionamento e la sicurezza del Servizio, la prevenzione delle frodi, il supporto, l'analisi del sito web e i nostri obblighi legali;
• —laddove un'organizzazione decida quali prove vengono acquisite, perché vengono acquisite, chi può accedervi e per quanto tempo vengono conservate, tale organizzazione è generalmente il titolare del trattamento e noi agiamo come suo responsabile del trattamento secondo le sue istruzioni e l'accordo sul trattamento dei dati applicabile; e
• —laddove si utilizzi Delphi Verify in modo indipendente, siamo generalmente il titolare del trattamento per tale utilizzo.

A seconda di come si utilizza il Servizio, trattiamo:

• —Dati dell'account: identificatore utente, indirizzo email, nome (se fornito), provider di autenticazione e identificatori correlati di Apple, Google o Firebase Authentication. Firebase Authentication elabora le credenziali per gli account email e password; Delphi Verify non memorizza tali password nel proprio database dell'applicazione.
• —Dati di prova e certificato: immagini acquisite e altri media inviati, titolo e descrizione del certificato, tempi di acquisizione e pubblicazione, posizione e precisione segnalate dal dispositivo, livello di privacy della posizione selezionato, hash, materiale di prova crittografico e risultati della verifica.
• —Dati di screening e integrità: attestazione dell'applicazione e del dispositivo, identificatori di installazione o dispositivo, eventi di sicurezza, punteggi e motivi di screening automatico dei media e registrazioni necessarie per verificare l'integrità del certificato.
• —Dati dell'organizzazione: spazi di lavoro, inviti, ruoli e registrazioni configurati da un'organizzazione.
• —Dati tecnici: indirizzo IP, informazioni di connessione, tipo di dispositivo, sistema operativo, versione dell'applicazione o del browser, log diagnostici, informazioni sugli errori ed eventi di autenticazione o sicurezza.
• —Dati di comunicazione e utilizzo: messaggi di supporto e contatto, rapporti sui certificati, attività del codice pubblico e dati limitati di interazione con il sito web laddove sia abilitata l'analisi opzionale.

Le prove possono contenere dati personali su persone che non hanno un account Delphi Verify, inclusi persone, registrazioni di veicoli, documenti, indirizzi o beni visibili in un'acquisizione. Questa Informativa si applica anche a tali individui. La persona o l'organizzazione che commissiona l'acquisizione è responsabile di garantire di avere una base legale e qualsiasi autorizzazione richiesta per acquisire e pubblicare tali informazioni.

Con la tua autorizzazione, Delphi Verify accede alla fotocamera per acquisire immagini del certificato. Non importa immagini dalla libreria fotografica del tuo dispositivo.

Utilizziamo i dati personali per:

• —creare e autenticare account e gestire l'accesso all'organizzazione;
• —acquisire, creare, archiviare, pubblicare e verificare i certificati di prova;
• —visualizzare il contenuto del certificato e la precisione della posizione selezionata dall'editore;
• —eseguire controlli di integrità dell'applicazione, del dispositivo, dei media e prevenzione delle frodi;
• —gestire, proteggere, diagnosticare e migliorare il Servizio;
• —fornire supporto e inviare email operative o di invito;
• —fornire analisi opzionali e mappe incorporate laddove sia stato dato il consenso; e
• —rispettare la legge, far rispettare i nostri accordi e proteggere i diritti, la sicurezza e la protezione.

Laddove si applica il GDPR dell'UE o del Regno Unito e agiamo in qualità di titolari del trattamento, ci basiamo sulle seguenti basi giuridiche:

Laddove ci basiamo su interessi legittimi, consideriamo la necessità e l'impatto del trattamento e i diritti delle persone interessate. È possibile opporsi a questo trattamento come spiegato nella sezione 12. Laddove ci basiamo sul consenso, è possibile revocarlo in qualsiasi momento; la revoca non pregiudica il trattamento già eseguito legalmente.

Le autorizzazioni del dispositivo consentono all'applicazione di accedere a funzionalità come la fotocamera o la posizione. È possibile revocarle tramite le impostazioni del dispositivo, anche se le funzioni che le richiedono smetteranno di funzionare. Un'autorizzazione del dispositivo non è considerata un consenso ai sensi della legge sulla protezione dei dati, a meno che non lo dichiariamo espressamente.

Laddove agiamo in qualità di responsabili del trattamento, il titolare del trattamento cliente determina e documenta la base giuridica applicabile.

La posizione fornisce prove geografiche per un certificato. Con l'autorizzazione del dispositivo, l'applicazione raccoglie la posizione e la sua accuratezza segnalata al momento dell'acquisizione. L'editore seleziona un livello di divulgazione esatto, nelle vicinanze o in un'area più ampia. Per la divulgazione nelle vicinanze o nell'area, le coordinate vengono ridotte in precisione prima della creazione del certificato. Ciò preserva la protezione dell'integrità applicata alla posizione divulgata, ma modifica ciò che il certificato stabilisce: un'area piuttosto che un punto esatto.

Il Servizio limita le opzioni di posizione laddove l'accuratezza disponibile non può supportare il livello selezionato. Un flusso di lavoro del certificato che richiede prove geografiche non può essere completato senza l'autorizzazione alla posizione.

Utilizziamo i servizi Google Cloud Vertex AI e Gemini per analizzare i media inviati alla ricerca di indicazioni di un'immagine ricatturata o presentata, la presenza di persone e informazioni private o identificative visibili. Lo screening restituisce punteggi di probabilità e una breve motivazione e potrebbe richiedere una nuova acquisizione o rifiutare i media prima che diventino parte di un certificato.

Lo screening automatizzato è probabilistico e può essere errato. Viene utilizzato per proteggere l'integrità dei certificati e ridurre la pubblicazione inappropriata o non autorizzata; non è destinato a prendere decisioni che producano effetti legali o analogamente significativi su un individuo. Puoi contattarci per contestare un risultato. Delphi Verify non utilizza i media inviati per addestrare i propri modelli di intelligenza artificiale.

I media rilevati come contenenti persone, informazioni sensibili o indicatori di attacco di presentazione vengono rifiutati ed eliminati automaticamente. Non sono inclusi in un certificato e non vengono utilizzati da Delphi Verify per addestrare modelli di intelligenza artificiale.

La pubblicazione di un certificato è un'azione esplicita. Prima della pubblicazione, il Servizio spiega che le informazioni del certificato selezionato saranno disponibili a chiunque abbia il suo codice QR, codice pubblico o link. Tale persona può aprirlo senza un account e può copiare, scaricare, registrare o inoltrare ciò che mostra. Un codice pubblico non è un controllo di accesso.

A seconda delle scelte dell'editore, un certificato pubblico può visualizzare immagini, titolo, descrizione, ora di acquisizione, precisione della posizione selezionata, risultati della verifica e conferma della blockchain. Non visualizza l'e-mail dell'account dell'editore, l'utente interno o l'identificatore dell'organizzazione, o il percorso di archiviazione interno.

Non pubblicare informazioni personali o riservate a meno che tu non sia autorizzato a divulgarle. Se sei identificabile in un certificato pubblicato da qualcun altro, puoi esercitare i diritti descritti nella sezione 12. Laddove un'organizzazione controlli le prove, potremmo inoltrare la tua richiesta a tale organizzazione e ti informeremo quando lo faremo.

Nel formato attuale, il record on-chain contiene hash multimediali e impegni crittografici salati per la posizione pubblicata e l'ora di acquisizione, insieme a campi di prova tecnici. Non contiene immagini, posizione leggibile o timestamp, informazioni sull'account, descrizioni dei certificati o codici di verifica pubblici. Una volta completata l'eliminazione ai sensi della sezione 11, Delphi Verify non rende più disponibili i dati del certificato sottostante. Gli impegni on-chain permanenti non rivelano quel contenuto da soli.

I record pubblici della blockchain sono permanenti e fuori dal nostro controllo. L'eliminazione di un certificato rimuove i dati multimediali e del certificato detenuti da Delphi Verify come descritto di seguito, ma non può modificare o cancellare un'attestazione già pubblicata on-chain.

Non vendiamo dati personali. Li divulghiamo solo come richiesto per il funzionamento del Servizio o per gli scopi descritti in questa Politica, incluso a:

• —Google Cloud e Firebase: autenticazione, database, archiviazione, hosting, elaborazione backend, sicurezza e screening multimediale automatizzato;
• —Apple e Google: servizi di accesso e attestazione di applicazioni o dispositivi;
• —Fornitori di Google Maps e OpenStreetMap: mappe incorporate opzionali;
• —Google: geocodifica inversa utilizzata per creare il contesto della posizione;
• —PostHog: analisi del sito web basate sul consenso;
• —Resend: e-mail operative, di invito, di contatto e di supporto;
• —Base, Ethereum Attestation Service e fornitori di infrastrutture blockchain: registri pubblici di integrità crittografica; e
• —consulenti professionali, regolatori, tribunali, forze dell'ordine o altri destinatari laddove richiesto dalla legge o ragionevolmente necessario per proteggere diritti, sicurezza o il Servizio.

I fornitori di servizi possono elaborare dati personali solo per il servizio pertinente e soggetti agli obblighi contrattuali e legali applicabili.

Utilizziamo un cookie essenziale di prima parte denominato delphi_cookie_consent per un massimo di 180 giorni per ricordare le tue scelte sulla privacy. Con il tuo consenso, il cookie di prima parte delphi-lang può ricordare la tua preferenza linguistica per un massimo di 365 giorni. Firebase può utilizzare l'archiviazione del browser necessaria per mantenere l'autenticazione e potremmo memorizzare le preferenze di visualizzazione.

L'analisi opzionale è disabilitata fino a quando non acconsenti. Se abilitata, il nostro progetto PostHog ospitato nell'UE riceve visite di pagina, interazioni nominate e informazioni limitate sul browser o sul dispositivo. La cattura automatica degli elementi, la riproduzione delle sessioni, i profili delle persone e la cattura automatica degli errori sono disabilitati e i codici dei certificati pubblici sono redatti dagli URL di analisi.

I contenuti di Google Maps e OpenStreetMap sono disabilitati fino a quando non acconsenti. L'abilitazione di una mappa può inviare le coordinate divulgate del certificato, il tuo indirizzo IP e le informazioni standard di richiesta o dispositivo al fornitore pertinente e può consentire a Google di utilizzare cookie di terze parti o tecnologie simili. La posizione del certificato non è la posizione attuale dello spettatore.

Puoi accettare, rifiutare o modificare le scelte opzionali in qualsiasi momento tramite Impostazioni cookie nel piè di pagina del sito web. Il ritiro interrompe l'elaborazione opzionale futura e non influisce sull'elaborazione già eseguita legalmente.

Delphi Verify è stabilito negli Stati Uniti e alcuni fornitori elaborano dati al di fuori del Regno Unito o dello Spazio Economico Europeo. I media dei certificati in Firebase Storage sono configurati in US-EAST1; lo screening multimediale automatizzato è configurato nella regione us-central1 di Google Cloud. Altri fornitori e i loro sub-processori possono operare in paesi aggiuntivi.

Laddove richiesto dal GDPR o dal GDPR del Regno Unito, i trasferimenti internazionali sono coperti da una decisione di adeguatezza o da garanzie appropriate come le Clausole Contrattuali Standard della Commissione Europea, l'Accordo Internazionale sul Trasferimento di Dati del Regno Unito o l'Addendum del Regno Unito, insieme a garanzie supplementari laddove richiesto. Puoi contattarci per informazioni sul meccanismo applicabile a un trasferimento.

Conserviamo i dati personali solo per il tempo necessario allo scopo per cui sono stati raccolti, alle istruzioni del cliente, agli obblighi legali, alla risoluzione delle controversie, alla sicurezza e alla prevenzione delle frodi:

• —le prove e i dati del certificato vengono conservati fino all'eliminazione del certificato o per il periodo concordato con l'organizzazione che lo controlla;
• —i dati dell'account e dell'organizzazione vengono conservati finché l'account o il rapporto con il cliente rimane attivo e quindi cancellati o anonimizzati quando non più necessari;
• —i registri di supporto, operativi e di sicurezza vengono conservati solo per il periodo ragionevolmente necessario per l'indagine, lo scopo di sicurezza o l'obbligo legale; e
• —i registri di audit di cancellazione e integrità possono essere conservati dopo che la prova sottostante è stata rimossa per registrare che la cancellazione è avvenuta e preservare l'affidabilità della traccia di audit.

Quando viene richiesta la cancellazione di un certificato, l'accesso pubblico viene revocato immediatamente. Il certificato viene eliminato in modo soft nel database per 30 giorni, con accesso limitato agli amministratori autorizzati. Dopo tale periodo, i supporti del certificato, i dati GPS, i metadati, i token di download e i relativi record del sistema attivo vengono eliminati in modo permanente. I dati di backup e ripristino del database vengono conservati per sette giorni. Firebase Storage mantiene i supporti eliminati in uno stato di eliminazione soft per altri sette giorni prima dell'eliminazione permanente. Un record pubblico della blockchain rimane permanentemente come descritto nella sezione 8.

L'eliminazione di un singolo account non elimina le prove controllate da un'organizzazione. Laddove l'eliminazione sia in conflitto con un obbligo legale o l'integrità di un record sigillato, potremmo invece limitare l'accesso, preservare l'originale e allegare una correzione, una revoca o un record sostitutivo, a seconda dei casi.

Laddove si applichi il GDPR o il GDPR del Regno Unito, potresti avere il diritto di:

• —accedere ai tuoi dati personali e ricevere informazioni sul loro trattamento;
• —correggere dati inesatti o incompleti;
• —richiedere la cancellazione;
• —limitare il trattamento;
• —ricevere i dati forniti in un formato portabile e, ove tecnicamente fattibile, farli trasmettere a un altro titolare del trattamento;
• —opporsi al trattamento basato su interessi legittimi;
• —revocare il consenso in qualsiasi momento; e
• —non essere soggetto a una decisione basata unicamente sul trattamento automatizzato che produca effetti legali o analogamente significativi, laddove tale diritto si applichi.

Questi diritti dipendono dalle circostanze e dalla base giuridica e possono essere soggetti a eccezioni legali. Per esercitarli, invia un'e-mail a contact@delphiverify.com. Potremmo aver bisogno di verificare la tua identità. Laddove si applichi il GDPR o il GDPR del Regno Unito, ci impegniamo a rispondere senza indebito ritardo ed entro un mese, fatte salve eventuali proroghe consentite dalla legge.

Puoi presentare un reclamo in qualsiasi momento all'autorità per la protezione dei dati del luogo in cui vivi o lavori, o dove ritieni che si sia verificata una violazione. In Portogallo, questa è la Comissão Nacional de Proteção de Dados (CNPD); nel Regno Unito, è l'Information Commissioner's Office (ICO). Apprezzeremmo l'opportunità di affrontare prima la tua preoccupazione, ma non sei tenuto a contattarci prima di presentare un reclamo.

Utilizziamo misure di sicurezza tecniche e organizzative appropriate alla natura e al rischio del trattamento, inclusi autenticazione, controlli di accesso, crittografia in transito, accesso limitato all'archiviazione, monitoraggio della sicurezza e controlli di integrità crittografica. Nessun sistema è completamente sicuro e non possiamo garantire la sicurezza assoluta.

Il Servizio non è rivolto ai bambini. Se veniamo a conoscenza che dati personali sono stati raccolti da un bambino in violazione della legge applicabile, adotteremo le misure appropriate per eliminarli o limitarli.

Potremmo aggiornare questa Politica in base alle modifiche del Servizio o ai requisiti legali. Revisioneremo la data sopra e, laddove una modifica sia sostanziale, informeremo gli utenti interessati tramite il Servizio, il sito web o l'e-mail, a seconda dei casi.

Domande sulla privacy, richieste di diritti e reclami possono essere inviati a:

Delphi Verify Inc. Corporation Service Company 251 Little Falls Drive Wilmington, Delaware 19808 Stati Uniti contact@delphiverify.com