Polityka prywatności Delphi Verify

Delphi Verify Inc., korporacja z Delaware, jest odpowiedzialna za przetwarzanie opisane w niniejszej Polityce, w którym decydujemy, dlaczego i w jaki sposób dane osobowe są wykorzystywane. Nasz adres kontaktowy to Corporation Service Company, 251 Little Falls Drive, Wilmington, Delaware 19808, Stany Zjednoczone. Zapytania dotyczące prywatności można przesyłać na adres contact@delphiverify.com.

Nasza rola zależy od rodzaju przetwarzania:

• —jesteśmy administratorem w zakresie administrowania kontami, działania i bezpieczeństwa Usługi, zapobiegania oszustwom, wsparcia, analityki stron internetowych i naszych zobowiązań prawnych;
• —jeśli organizacja decyduje, jakie dowody są gromadzone, dlaczego są gromadzone, kto może mieć do nich dostęp i jak długo są przechowywane, organizacja ta jest zazwyczaj administratorem, a my działamy jako jej podmiot przetwarzający zgodnie z jej instrukcjami i obowiązującą umową o przetwarzaniu danych; oraz
• —jeśli korzystasz z Delphi Verify niezależnie, zazwyczaj jesteśmy administratorem w tym zakresie.

W zależności od sposobu korzystania z Usługi, przetwarzamy:

• —Dane konta: identyfikator użytkownika, adres e-mail, imię i nazwisko (jeśli podano), dostawca uwierzytelniania oraz powiązane identyfikatory Apple, Google lub Firebase Authentication. Firebase Authentication przetwarza dane uwierzytelniające dla kont e-mail i haseł; Delphi Verify nie przechowuje tych haseł we własnej bazie danych aplikacji.
• —Dane dowodów i certyfikatów: przechwycone obrazy i inne przesłane media, tytuł i opis certyfikatu, czasy przechwytywania i publikacji, zgłoszona przez urządzenie lokalizacja i dokładność, wybrany poziom prywatności lokalizacji, skróty, materiał dowodowy kryptograficzny i wyniki weryfikacji.
• —Dane dotyczące weryfikacji i integralności: poświadczenie aplikacji i urządzenia, identyfikatory instalacji lub urządzenia, zdarzenia bezpieczeństwa, zautomatyzowane wyniki i powody weryfikacji mediów oraz zapisy wymagane do weryfikacji integralności certyfikatu.
• —Dane organizacji: obszary robocze, zaproszenia, role i zapisy skonfigurowane przez organizację.
• —Dane techniczne: adres IP, informacje o połączeniu, typ urządzenia, system operacyjny, wersja aplikacji lub przeglądarki, dzienniki diagnostyczne, informacje o błędach oraz zdarzenia uwierzytelniania lub bezpieczeństwa.
• —Dane komunikacyjne i dotyczące użytkowania: wiadomości wsparcia i kontaktowe, raporty certyfikatów, aktywność kodu publicznego i ograniczone dane dotyczące interakcji ze stroną internetową, jeśli włączono opcjonalną analitykę.

Dowody mogą zawierać dane osobowe osób, które nie posiadają konta Delphi Verify, w tym osób, rejestracji pojazdów, dokumentów, adresów lub przedmiotów widocznych na zdjęciu. Niniejsza Polityka dotyczy również tych osób. Osoba lub organizacja zlecająca przechwycenie jest odpowiedzialna za zapewnienie, że posiada podstawę prawną i wszelkie wymagane zezwolenia na przechwytywanie i publikowanie tych informacji.

Za Twoją zgodą Delphi Verify uzyskuje dostęp do aparatu w celu przechwytywania obrazów certyfikatów. Nie importuje obrazów z biblioteki zdjęć urządzenia.

Wykorzystujemy dane osobowe do:

• —tworzenia i uwierzytelniania kont oraz zarządzania dostępem do organizacji;
• —przechwytywania, tworzenia, przechowywania, publikowania i weryfikowania certyfikatów dowodowych;
• —wyświetlania treści certyfikatu i precyzji lokalizacji wybranej przez wydawcę;
• —wykonywania kontroli aplikacji, urządzenia, integralności mediów i zapobiegania oszustwom;
• —obsługi, zabezpieczania, diagnozowania i ulepszania Usługi;
• —zapewniania wsparcia i wysyłania wiadomości e-mail dotyczących działania lub zaproszeń;
• —zapewniania opcjonalnej analityki i osadzonych map, jeśli wyrażono zgodę; oraz
• —przestrzegania prawa, egzekwowania naszych umów i ochrony praw, bezpieczeństwa i ochrony.

Tam, gdzie ma zastosowanie RODO UE lub RODO Zjednoczonego Królestwa i działamy jako administrator, opieramy się na następujących podstawach prawnych:

Tam, gdzie opieramy się na uzasadnionych interesach, bierzemy pod uwagę konieczność i wpływ przetwarzania oraz prawa osób, których dane dotyczą. Możesz sprzeciwić się temu przetwarzaniu, jak wyjaśniono w sekcji 12. Tam, gdzie opieramy się na zgodzie, możesz ją wycofać w dowolnym momencie; wycofanie nie wpływa na przetwarzanie już przeprowadzone zgodnie z prawem.

Uprawnienia urządzenia pozwalają aplikacji na dostęp do funkcji, takich jak kamera lub lokalizacja. Możesz je wycofać w ustawieniach urządzenia, chociaż funkcje, które ich wymagają, przestaną wtedy działać. Uprawnienie urządzenia nie jest traktowane jako zgoda w świetle prawa o ochronie danych, chyba że wyraźnie tak stwierdzimy.

Tam, gdzie działamy jako podmiot przetwarzający, administrator klienta określa i dokumentuje odpowiednią podstawę prawną.

Lokalizacja stanowi dowód geograficzny dla certyfikatu. Za zgodą urządzenia aplikacja zbiera lokalizację i jej zgłoszoną dokładność w momencie przechwytywania. Wydawca wybiera dokładny, pobliski lub szerszy poziom ujawnienia. W przypadku ujawnienia pobliskiego lub obszarowego, współrzędne są redukowane w precyzji przed utworzeniem certyfikatu. Zachowuje to ochronę integralności zastosowaną do ujawnionej lokalizacji, ale zmienia to, co certyfikat ustala: obszar, a nie dokładny punkt.

Usługa ogranicza opcje lokalizacji, gdy dostępna dokładność nie może obsłużyć wybranego poziomu. Przepływ pracy certyfikatu wymagający dowodów geograficznych nie może zostać ukończony bez pozwolenia na lokalizację.

Używamy usług Google Cloud Vertex AI i Gemini do analizy przesłanych mediów pod kątem wskazań ponownego przechwycenia lub przedstawionego obrazu, obecności osób oraz widocznych prywatnych lub identyfikujących informacji. Sprawdzanie zwraca wyniki prawdopodobieństwa i krótki powód oraz może wymagać nowego przechwycenia lub odrzucenia mediów, zanim staną się częścią certyfikatu.

Automatyczne sprawdzanie jest probabilistyczne i może być błędne. Służy do ochrony integralności certyfikatów i ograniczenia niewłaściwych lub nieautoryzowanych publikacji; nie jest przeznaczone do podejmowania decyzji, które wywołują skutki prawne lub podobnie istotne dla osoby fizycznej. Możesz skontaktować się z nami, aby zakwestionować wynik. Delphi Verify nie wykorzystuje przesłanych mediów do szkolenia własnych modeli AI.

Media wykryte jako zawierające osoby, wrażliwe informacje lub wskaźniki ataku prezentacyjnego są odrzucane i automatycznie usuwane. Nie są one uwzględniane w certyfikacie i nie są wykorzystywane przez Delphi Verify do szkolenia modeli AI.

Publikowanie certyfikatu jest działaniem jawnym. Przed publikacją Usługa wyjaśnia, że wybrane informacje o certyfikacie będą dostępne dla każdego, kto posiada jego kod QR, kod publiczny lub link. Osoba ta może otworzyć go bez konta i może kopiować, pobierać, nagrywać lub przesyłać to, co pokazuje. Kod publiczny nie jest kontrolą dostępu.

W zależności od wyborów wydawcy, certyfikat publiczny może wyświetlać obrazy, tytuł, opis, czas przechwycenia, wybraną precyzję lokalizacji, wyniki weryfikacji i potwierdzenie blockchain. Nie wyświetla adresu e-mail konta wydawcy, wewnętrznego identyfikatora użytkownika lub organizacji, ani wewnętrznej ścieżki przechowywania.

Nie publikuj danych osobowych ani poufnych informacji, chyba że masz uprawnienia do ich ujawnienia. Jeśli jesteś możliwy do zidentyfikowania w certyfikacie opublikowanym przez kogoś innego, możesz skorzystać z praw opisanych w sekcji 12. Jeśli organizacja kontroluje dowody, możemy przekazać Twoje żądanie tej organizacji i poinformujemy Cię o tym.

W obecnym formacie, zapis on-chain zawiera hashe mediów i zasolone kryptograficzne zobowiązania dotyczące opublikowanej lokalizacji i czasu przechwycenia, wraz z polami dowodów technicznych. Nie zawiera obrazów, czytelnej lokalizacji ani znaczników czasu, informacji o koncie, opisów certyfikatów ani publicznych kodów weryfikacyjnych. Po zakończeniu usuwania zgodnie z sekcją 11, Delphi Verify nie udostępnia już podstawowych danych certyfikatu. Stałe zobowiązania on-chain same w sobie nie ujawniają tej treści.

Publiczne zapisy blockchain są trwałe i poza naszą kontrolą. Usunięcie certyfikatu usuwa media i dane certyfikatu przechowywane przez Delphi Verify, jak opisano poniżej, ale nie może edytować ani usuwać poświadczenia już opublikowanego on-chain.

Nie sprzedajemy danych osobowych. Ujawniamy je tylko w zakresie wymaganym do świadczenia Usługi lub w celach opisanych w niniejszej Polityce, w tym:

• —Google Cloud i Firebase: uwierzytelnianie, bazy danych, przechowywanie, hosting, przetwarzanie backendu, bezpieczeństwo i automatyczne sprawdzanie mediów;
• —Apple i Google: usługi logowania oraz poświadczania aplikacji lub urządzeń;
• —Dostawcy Google Maps i OpenStreetMap: opcjonalne wbudowane mapy;
• —Google: geokodowanie wsteczne używane do tworzenia kontekstu lokalizacji;
• —PostHog: analityka strony internetowej oparta na zgodzie;
• —Resend: operacyjne, zaproszenia, kontaktowe i wsparcia e-maile;
• —Base, Ethereum Attestation Service i dostawcy infrastruktury blockchain: publiczne kryptograficzne zapisy integralności; oraz
• —profesjonalni doradcy, organy regulacyjne, sądy, organy ścigania lub inni odbiorcy, gdy jest to wymagane przez prawo lub uzasadnione w celu ochrony praw, bezpieczeństwa lub Usługi.

Dostawcy usług mogą przetwarzać dane osobowe wyłącznie w celu świadczenia odpowiedniej usługi i zgodnie z obowiązującymi zobowiązaniami umownymi i prawnymi.

Używamy niezbędnego pliku cookie pierwszej strony o nazwie delphi_cookie_consent przez maksymalnie 180 dni, aby zapamiętać Twoje wybory dotyczące prywatności. Za Twoją zgodą, plik cookie pierwszej strony delphi-lang może zapamiętać Twoje preferencje językowe przez maksymalnie 365 dni. Firebase może używać pamięci przeglądarki wymaganej do utrzymania uwierzytelnienia, a my możemy przechowywać preferencje wyświetlania.

Opcjonalna analityka jest wyłączona, dopóki nie wyrazisz zgody. Jeśli jest włączona, nasz projekt PostHog hostowany w UE otrzymuje informacje o odwiedzinach stron, nazwane interakcje oraz ograniczone informacje o przeglądarce lub urządzeniu. Automatyczne przechwytywanie elementów, odtwarzanie sesji, profile osób i automatyczne przechwytywanie błędów są wyłączone, a publiczne kody certyfikatów są redagowane z adresów URL analityki.

Zawartość Google Maps i OpenStreetMap jest wyłączona, dopóki nie wyrazisz zgody. Włączenie mapy może wysłać ujawnione współrzędne certyfikatu, Twój adres IP oraz standardowe informacje o żądaniu lub urządzeniu do odpowiedniego dostawcy i może pozwolić Google na używanie plików cookie stron trzecich lub podobnych technologii. Lokalizacja certyfikatu nie jest aktualną lokalizacją przeglądającego.

Możesz zaakceptować, odrzucić lub zmienić opcjonalne wybory w dowolnym momencie poprzez Ustawienia plików cookie w stopce witryny. Wycofanie zgody zatrzymuje przyszłe opcjonalne przetwarzanie i nie wpływa na przetwarzanie już przeprowadzone zgodnie z prawem.

Delphi Verify ma siedzibę w Stanach Zjednoczonych, a niektórzy dostawcy przetwarzają dane poza Wielką Brytanią lub Europejskim Obszarem Gospodarczym. Media certyfikatów w Firebase Storage są skonfigurowane w US-EAST1; automatyczne sprawdzanie mediów jest skonfigurowane w regionie Google Cloud us-central1. Inni dostawcy i ich podwykonawcy mogą działać w dodatkowych krajach.

Tam, gdzie wymaga tego RODO lub RODO Wielkiej Brytanii, transfery międzynarodowe są objęte decyzją o adekwatności lub odpowiednimi zabezpieczeniami, takimi jak Standardowe Klauzule Umowne Komisji Europejskiej, Umowa o Międzynarodowym Transferze Danych Wielkiej Brytanii lub Aneks Wielkiej Brytanii, wraz z dodatkowymi zabezpieczeniami, jeśli są wymagane. Możesz skontaktować się z nami w celu uzyskania informacji o mechanizmie mającym zastosowanie do transferu.

Przechowujemy dane osobowe tylko tak długo, jak jest to wymagane do celu, dla którego zostały zebrane, instrukcji klienta, zobowiązań prawnych, rozwiązywania sporów, bezpieczeństwa i zapobiegania oszustwom:

• —dowody i dane certyfikatu są przechowywane do momentu usunięcia certyfikatu lub przez okres uzgodniony z organizacją go kontrolującą;
• —dane konta i organizacji są przechowywane, dopóki konto lub relacja z klientem pozostaje aktywna, a następnie usuwane lub anonimizowane, gdy nie są już potrzebne;
• —zapisy dotyczące wsparcia, operacji i bezpieczeństwa są przechowywane tylko przez okres rozsądnie niezbędny do zapytania, celu bezpieczeństwa lub obowiązku prawnego; oraz
• —zapisy audytu usunięcia i integralności mogą być przechowywane po usunięciu podstawowych dowodów, aby zarejestrować, że usunięcie nastąpiło i zachować wiarygodność ścieżki audytu.

Po zażądaniu usunięcia certyfikatu, dostęp publiczny jest natychmiast odwoływany. Certyfikat jest miękko usuwany z bazy danych na 30 dni, z dostępem ograniczonym do autoryzowanych administratorów. Po tym okresie, nośniki certyfikatu, dane GPS, metadane, tokeny pobierania i powiązane aktywne rekordy systemowe są trwale usuwane. Dane kopii zapasowej i odzyskiwania bazy danych są przechowywane przez siedem dni. Firebase Storage przechowuje usunięte media w stanie miękkiego usunięcia przez dodatkowe siedem dni przed trwałym usunięciem. Publiczny rekord blockchain pozostaje trwale, jak opisano w sekcji 8.

Usunięcie indywidualnego konta nie powoduje usunięcia dowodów kontrolowanych przez organizację. W przypadku, gdy usunięcie byłoby sprzeczne z obowiązkiem prawnym lub integralnością zapieczętowanego rekordu, możemy zamiast tego ograniczyć dostęp, zachować oryginał i dołączyć poprawkę, odwołanie lub zastępujący rekord, stosownie do przypadku.

Tam, gdzie ma zastosowanie RODO lub RODO w Wielkiej Brytanii, możesz mieć prawo do:

• —dostępu do swoich danych osobowych i otrzymywania informacji o ich przetwarzaniu;
• —poprawiania niedokładnych lub niekompletnych danych;
• —żądania usunięcia;
• —ograniczenia przetwarzania;
• —otrzymywania danych, które podałeś, w przenośnym formacie i, jeśli jest to technicznie wykonalne, przekazania ich innemu administratorowi;
• —sprzeciwu wobec przetwarzania opartego na uzasadnionych interesach;
• —wycofania zgody w dowolnym momencie; oraz
• —niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, które wywołuje skutki prawne lub podobnie istotne, tam gdzie to prawo ma zastosowanie.

Prawa te zależą od okoliczności i podstawy prawnej i mogą podlegać wyjątkom prawnym. Aby je wykonać, wyślij e-mail na adres contact@delphiverify.com. Może być konieczne zweryfikowanie Twojej tożsamości. Tam, gdzie ma zastosowanie RODO lub RODO w Wielkiej Brytanii, staramy się odpowiedzieć bez zbędnej zwłoki i w ciągu jednego miesiąca, z zastrzeżeniem wszelkich przedłużeń dozwolonych przez prawo.

W każdej chwili możesz złożyć skargę do organu ochrony danych, w którym mieszkasz lub pracujesz, lub gdzie uważasz, że doszło do naruszenia. W Portugalii jest to Comissão Nacional de Proteção de Dados (CNPD); w Wielkiej Brytanii jest to Information Commissioner's Office (ICO). Docenilibyśmy możliwość rozwiązania Twojego problemu w pierwszej kolejności, ale nie jesteś zobowiązany do skontaktowania się z nami przed złożeniem skargi.

Stosujemy techniczne i organizacyjne zabezpieczenia odpowiednie do charakteru i ryzyka przetwarzania, w tym uwierzytelnianie, kontrolę dostępu, szyfrowanie w transporcie, ograniczony dostęp do przechowywania, monitorowanie bezpieczeństwa i kryptograficzne kontrole integralności. Żaden system nie jest całkowicie bezpieczny i nie możemy zagwarantować absolutnego bezpieczeństwa.

Usługa nie jest skierowana do dzieci. Jeśli dowiemy się, że dane osobowe dziecka zostały zebrane niezgodnie z obowiązującym prawem, podejmiemy odpowiednie kroki w celu ich usunięcia lub ograniczenia.

Możemy aktualizować niniejszą Politykę w miarę zmian w Usłudze lub wymogach prawnych. Zmienimy datę powyżej i, w przypadku istotnej zmiany, powiadomimy dotkniętych użytkowników za pośrednictwem Usługi, strony internetowej lub poczty elektronicznej, stosownie do przypadku.

Pytania dotyczące prywatności, wnioski o prawa i skargi można przesyłać na adres:

Delphi Verify Inc. Corporation Service Company 251 Little Falls Drive Wilmington, Delaware 19808 Stany Zjednoczone contact@delphiverify.com