Privacybeleid voor biometrische gegevens

Privacybeleid voor biometrische gegevens

Versie: 1.1  |  Ingangsdatum: 30 september 2026

DateSteady wordt geëxploiteerd door HoopFrog Inc. («wij», «ons», «onze»). Dit beleid is vastgesteld op grond van de Illinois Biometric Information Privacy Act, 740 ILCS 14/15(a) (BIPA), de Texas Capture or Use of Biometric Identifier Act (CUBI), de H.B. 1493 van de staat Washington en, voor betrokkenen in de Europese Unie of het Verenigd Koninkrijk, de vereisten van artikel 9 AVG en de Britse DPA 2018 met betrekking tot bijzondere categorieën van persoonsgegevens.

1. Doel van de verzameling

Wij verzamelen scores van gezichtsgeometrie tijdens onze selfiecontroles om:

• frauduleuze aanmeldingen te voorkomen (bots, catfish-accounts, accountovernames);
• leeftijdsverificatie te ondersteunen waar de wet (UK Online Safety Act 2023, EU-DSA, Amerikaanse staatswetten) vereist dat gebruikers 18 jaar of ouder zijn. De leeftijdscontrole zelf wordt afzonderlijk uitgevoerd door een onafhankelijke aanbieder van leeftijdsverificatie en wordt niet afgeleid uit uw gezichtsgeometrie;
• onze community te beschermen tegen identiteitsfraude door een live selfie te vergelijken met de profielfoto's die u uploadt.

Scores van gezichtsgeometrie zijn wiskundige weergaven van de ruimtelijke verhoudingen tussen gezichtsherkenningspunten. Het zijn geen foto's en ze kunnen niet worden gebruikt om uw beeltenis te reconstrueren.

2. Verwerkers en internationale doorgiften

De volgende subverwerkers kunnen namens ons biometrische identificatoren verwerken (met uitzondering van de hashcontrole op bekende CSAM: deze ontvangt alleen beeld-hashes en geen gegevens van gezichtsgeometrie). Elk is gebonden aan een verwerkersovereenkomst en, waar van toepassing, aan modelcontractbepalingen (SCC's) voor grensoverschrijdende doorgiften:

• VerifyMy (Verenigd Koninkrijk), externe aanbieder van leeftijdsverificatie. Gedekt door de Britse AVG en het adequaatheidsbesluit EU→Verenigd Koninkrijk. SCC's aanwezig voor verdere doorgiften.
• Een cloudaanbieder voor gezichtsvergelijking (EU, Ierland): gezichtsvergelijking en controles op beeldkwaliteit en anti-spoofing voor de foto-selfiecontrole, en een levendheidscontrole voor de live selfiecontrole, waarbij een korte video rechtstreeks van uw apparaat naar de aanbieder wordt gestreamd en één beeld daaruit wordt vergeleken met uw goedgekeurde openbare hoofdprofielfoto. Verwerkt onder de verwerkersovereenkomst van de aanbieder, met SCC's voor elke verdere doorgifte, en uitgesloten van de AI-training van de aanbieder via een afmelding die ons hele account omvat.
• Een dienst voor hashcontroles op bekende CSAM (Verenigde Staten): hashcontroles van beelden voor het filteren van illegale inhoud (CSAM). Gedekt door SCC's. De dienst ontvangt alleen beeld-hashes; hij ontvangt geen biometrische gegevens van gezichtsgeometrie.

Geen enkele biometrische identificator wordt verkocht, verhuurd, verhandeld of anderszins te gelde gemaakt. Wij gebruiken biometrische gegevens niet voor advertenties of analyses.

3. Bewaartermijn

Biometrische identificatoren (scores van gezichtsgeometrie) worden vernietigd zodra het oorspronkelijke doel van de verzameling is bereikt (d.w.z. de verificatie-uitkomst is vastgelegd) OF binnen drie (3) jaar na de laatste interactie van de betrokkene met de Dienst, afhankelijk van wat zich het eerst voordoet. Dit voldoet aan de norm «afhankelijk van wat zich het eerst voordoet» van BIPA 15(a).

Mislukte, afgewezen of verlopen verificatiepogingen worden binnen 90 dagen gewist via een geautomatiseerde dagelijkse cronjob.

Foto-selfiecontrole: bij een geslaagde verificatie bewaren wij de uitkomst, de scores van de controle (bijvoorbeeld hoe sterk de selfie op uw profielfoto leek, en scores voor beeldkwaliteit) en met welke foto is vergeleken, alleen voor uw meest recente geslaagde controle; dit zijn getallen over de controle, geen metingen van uw gezicht. De selfieafbeelding zelf wordt na de verwerking verwijderd en niet opgeslagen.

Live selfiecontrole: wij slaan de video, het beeld en een gezichtssjabloon niet op. Wij bewaren de uitkomst en twee scores (hoe zeker de aanbieder was dat er een levend persoon aanwezig was, en hoe sterk het beeld op uw foto leek); dit zijn getallen over de controle, geen metingen van uw gezicht. Resultaten van controles die niet zijn geslaagd, worden 90 dagen na de controle verwijderd, en resultaten van geslaagde controles 3 jaar na de controle, tenzij wij wettelijk verplicht zijn ze te bewaren. Ze worden samen met uw account gewist wanneer u dat verwijdert.

4. Vernietigingsproces

Wanneer de bewaartermijnen zijn bereikt, of op verzoek van de gebruiker:

• Wij verwijderen alle kopieën uit onze eigen opslag (databaserijen en alle afgeleide artefacten).
• Gezichtsvergelijking is staatloos, zonder gezichtscollectie, zodat de aanbieder geen gezichtsgeometrie bewaart om te verwijderen; de selfie bestaat slechts tijdelijk en wordt onmiddellijk na de vergelijking gewist. Ook de live selfiecontrole gebruikt geen gezichtscollectie: de video gaat rechtstreeks van uw apparaat naar de aanbieder en wordt verwerkt onder de servicevoorwaarden van de aanbieder, en wij slaan die niet op. Wij verwijderen onze eigen databaserecords en leggen de verwijderingsgebeurtenis vast. Bij volledige accountverwijdering dienen wij een wisverzoek in bij VerifyMy waar een eindpunt voor verzoeken van betrokkenen is geconfigureerd. De hashcontrole op bekende CSAM bewaart geen biometrische gegevens (alleen beeld-hashes), dus daar is niets biometrisch te verwijderen.
• Wij bewaren een auditregistratie van de verwijderingsgebeurtenis (zonder de biometrische gegevens zelf) om de naleving aan te tonen.

5. Rechtsgrond

• AVG / Britse AVG: Artikel 9(2)(a), uw uitdrukkelijke toestemming. Voor de foto-selfiecontrole is dit voor de meeste leden de toestemming voor gevoelige gegevens, die gezichtsgeometrie omvat en die zij geven bij het aanmaken van hun account; als wij die niet hebben, vragen wij erom via het scherm voor biometrische toestemmingsverklaring voordat de selfie-opname begint. Voor de live selfiecontrole vragen wij uw uitdrukkelijke toestemming op een afzonderlijk scherm wanneer u de controle voor het eerst start, en opnieuw als u uw toestemming hebt ingetrokken; daarvoor baseren wij ons niet op de toestemming die bij de registratie is gegeven.
• BIPA (Illinois): 740 ILCS 14/15(b), geïnformeerde schriftelijke verklaring ondertekend door de betrokkene, met volledige bekendmaking van het doel en de bewaartermijn.
• Texas CUBI § 503.001 / Washington H.B. 1493: geïnformeerde bekendmaking en toestemming op het moment van verzameling.
• PIPEDA (Canada): betekenisvolle toestemming op grond van Beginsel 4.3.

6. Uw rechten

U kunt te allen tijde:

• Uw toestemming intrekken. Ga naar Instellingen → Privacy → Biometrische toestemming intrekken. Na de intrekking verwijderen wij de bewaarde gezichtsgeometrie uit onze opslag en instrueren wij de verwerkers om binnen 7 dagen hetzelfde te doen. Let op: het intrekken van toestemming maakt rechtmatige verwerking die vóór de intrekking heeft plaatsgevonden niet met terugwerkende kracht ongeldig. Resultaten van eerdere live selfiecontroles (de uitkomst en twee scores, geen afbeeldingen) worden bewaard gedurende de termijnen in Sectie 3.
• Inzage verzoeken in elk biometrisch record dat wij over u bewaren (AVG art. 15, BIPA 15(d)).
• Verwijdering verzoeken. U kunt te allen tijde om verwijdering verzoeken, los van het intrekken van uw toestemming.
• Overdraagbaarheid verzoeken van uw verificatie-uitkomst (geslaagd/niet-geslaagd-vlag), hoewel de ruwe score van gezichtsgeometrie niet overdraagbaar is onder de huidige API's van subverwerkers.

7. Beveiligingsmaatregelen

Biometrische identificatoren tijdens verzending worden beschermd door TLS 1.3. In rust worden ze versleuteld met AES-256 binnen de infrastructuur van elke verwerker. De toegang is beperkt tot de nauw afgebakende geautomatiseerde pijplijn die de gezichtsvergelijking uitvoert; geen enkele menselijke operator bij HoopFrog Inc. bekijkt ruwe biometrische gegevens in de normale bedrijfsuitoefening.

8. Contact

Vragen, inzageverzoeken of intrekkingen van toestemming met betrekking tot biometrische gegevens:

HoopFrog Inc.
T.a.v.: Privacy Officer (Biometrische verzoeken)
3-11 Bellerose Drive, Suite 312
St. Albert, AB T8N 5C9, Canada
E-mail: support@datesteady.com

9. Wijzigingen in dit beleid

Als wij dit beleid wezenlijk wijzigen, bijvoorbeeld door een nieuwe subverwerker toe te voegen of de bewaartermijn te verlengen, verhogen wij het versienummer en vragen wij de betrokken gebruikers opnieuw om toestemming voordat wij hun biometrische gegevens onder de nieuwe voorwaarden verder verwerken.