As fotos de identificação que você copiou após o KYC (Conheça Seu Cliente) são a violação de dados que você terá que reportar. Veja aqui como minimizar esse problema.

Uma nova analista é encarregada de organizar o data warehouse. Em uma tabela que não pertence a ninguém, ela encontra uma coluna com longos valores de texto. Ela decodifica um deles. Trata-se de uma página com foto de passaporte. Há centenas de milhares de linhas.

Ninguém decidiu colocá-los lá. Há dois anos, um engenheiro salvou todos os dados de webhook para que as entregas com falha pudessem ser reproduzidas. Os dados continham imagens e a sincronização do data warehouse copiava a tabela.

Esse é o padrão. A verificação terminou há muito tempo e as cópias permaneceram. Cada uma delas é uma fonte de vazamento do rosto e do número de identificação de um cliente, e você é responsável por todas elas.

Qual o custo quando uma cópia vaza?

Uma senha vazada é redefinida. Um rosto e um número de identidade nacional vazados não são. Os custos chegam rapidamente.

• Um prazo. Na Nigéria, o controlador de dados deve notificar a Comissão no prazo de 72 horas após tomar conhecimento de uma violação que possa colocar em risco os direitos das pessoas, e deve informar imediatamente as pessoas afetadas quando o risco for elevado ( Lei de Proteção de Dados da Nigéria de 2023, seção 40 (abre num novo separador) ). O Quênia também estabelece um prazo de 72 horas para o regulador e concede ao processador 48 horas, sempre que razoavelmente possível, para notificar o controlador ( Lei de Proteção de Dados de 2019, seção 43 (abre num novo separador) ).

• Uma pergunta que você não pode responder. O aviso nigeriano deveria descrever as categorias e os números aproximados de pessoas e registros envolvidos. Para uma mesa que não pertencia a ninguém, você inicia a contagem do tempo sem saber.

• Cada solicitação, multiplicada. Um cliente que pede seus dados, ou que solicita a sua exclusão, agora gera uma busca em todos os sistemas que possam conter uma cópia.

A África do Sul e o Gana não estabelecem um número de horas. Ambos exigem notificação ao regulador e à pessoa envolvida o mais brevemente possível após a descoberta. POPIA , seção 22 (abre num novo separador) ; Lei de Proteção de Dados do Gana de 2012, seção 31 (abre num novo separador) ).

O que a lei de registro de dados realmente exige?

A resposta habitual é: temos que mantê-lo, o órgão regulador assim o exige. Isso é parcialmente verdade.

FATF A Recomendação 11 (abre num novo separador) estabelece que as instituições financeiras devem manter os registros obtidos por meio da diligência prévia do cliente, que descreve como cópias ou registros de documentos oficiais de identificação, juntamente com arquivos de contas e correspondências comerciais, por pelo menos cinco anos após o término da relação comercial. Os registros devem estar disponíveis para as autoridades competentes.

Os países que verificamos seguem essa tendência de perto, a partir de outubro de 2026:

• Nigéria. Os registros de identificação do cliente são mantidos por pelo menos cinco anos após o término da relação comercial, os registros de transações por pelo menos cinco anos após a transação, e ambos devem ser disponibilizados rapidamente às autoridades ( Lei de Lavagem de Dinheiro (Prevenção e Proibição) de 2022, seção 8 (abre num novo separador) ).

• África do Sul. Pelo menos cinco anos a partir da data em que a relação comercial for encerrada ou a transação for concluída ( Lei do Centro de Inteligência Financeira, seção 23 (abre num novo separador) ).

Não lemos as normas sobre os prazos de retenção para fins de combate à lavagem de dinheiro no Quênia ou em Gana, portanto, não as incluímos aqui. Os órgãos reguladores do setor também podem estabelecer prazos mais longos do que os previstos na lei. Verifique as normas para cada licença que você possui.

Observe o que essas disposições exigem: um registro, mantido por um período, que possa ser apresentado. Nenhuma delas exige que a imagem fique armazenada em seu banco de dados, em seus registros e em sua central de atendimento.

O que exige a lei de proteção de dados

A legislação de proteção de dados se aplica aos mesmos arquivos e funciona na direção oposta.

• Limitar ao mínimo. A Nigéria exige que os dados pessoais sejam limitados ao mínimo necessário para a sua finalidade ( artigo 24 (abre num novo separador) ). O Gana afirma que só podem ser tratados se tal for necessário, relevante e não excessivo ( artigo 19 (abre num novo separador) ). O Quénia exige que, por defeito, apenas sejam tratados os dados necessários para cada finalidade, tendo em conta o tempo de armazenamento e quem pode aceder aos mesmos ( artigo 41 (abre num novo separador) ).

• Não guarde por mais tempo do que o necessário. Todos os quatro países limitam a retenção ao que a finalidade exige. Gana e Quênia permitem expressamente a retenção exigida ou autorizada por lei, que é onde se enquadra o prazo de cinco anos. Quando o período termina, Gana e África do Sul exigem que o registro seja destruído, apagado ou anonimizado ( Gana, seção 24 (abre num novo separador) ; POPIA , seção 14 (abre num novo separador) ).

Os dois conjuntos de regras não entram em conflito. Um diz que se deve manter um registro recuperável durante o período. O outro diz que não se deve manter mais do que isso, em mais locais do que isso, e que se deve removê-lo quando o período terminar. Uma cópia regida por regras satisfaz ambas as exigências. Sete cópias não regidas por regras não satisfazem nenhuma delas.

Estas informações são de caráter geral e não constituem aconselhamento jurídico para o seu negócio. A Comissão da Nigéria também emitiu uma Diretiva Geral de Aplicação e Implementação, a qual não foi analisada para este artigo.

Onde as cópias se acumulam

• Webhooks armazenados. Payloads salvos para reprodução, contendo tudo o que o provedor enviou.

• Registros. Corpos de requisição e resposta gravados por uma configuração de depuração que nunca foi desativada.

• Ferramentas de suporte. Um cliente envia por e-mail uma foto de seu documento de identidade. Um agente anexa uma captura de tela da verificação ao chamado.

• Análises. Uma sincronização noturna que copia tabelas inteiras, incluindo imagens e números de identificação.

• Pessoas. Exportações para auditoria, capturas de tela no chat.

Como segurar menos

• Armazene o veredicto e uma referência. Seus sistemas precisam saber que um cliente foi aprovado, quando, em qual nível e o ID da verificação. Raramente precisam da foto.

• Obtenha imagens por link, quando alguém precisar visualizá-las. Um link que requer uma chave secreta não é uma cópia. Não baixe arquivos de mídia por padrão.

• Escolha o que será entregue. Se um campo nunca chegar ao seu webhook, ele nunca chegará aos seus registros, ao seu data warehouse ou à sua tabela de reprodução.

• Defina um período de retenção para cada armazenamento. Comece com os armazenamentos de logs e webhooks.

• Atribua um local específico ao registro. Decida em qual sistema ele contém o registro legalmente exigido, anote-o e considere todas as outras cópias como defeitos a serem corrigidos.

O que Toden faz, e o que não faz

• Selfies, vídeos ao vivo e imagens de documentos são capturados no SDK e carregado diretamente para Toden Seus servidores não precisam lidar com isso.

• Os webhooks transportam cada imagem como um link, não como bytes. O link é obtido com uma chave secreta e tem escopo restrito à sua organização e ambiente. Uma chave pública não pode ler mídias, resultados ou dados pessoais.

• Cada etapa do fluxo de trabalho possui uma configuração de Dados retornados que limita quais campos e links de mídia são enviados em seus webhooks. Isso é descrito no guia de retenção de dados (abre num novo separador) .

• Os arquivos enviados que nunca são submetidos são excluídos, a maioria em até 30 minutos. Os documentos de apoio podem ter seu próprio período de validade por fluxo de trabalho, de 1 a 3.650 dias, através desupportingDocuments.retentionDays. API Os registros de solicitações são mantidos por 7 dias.

• Você pode excluir uma verificação ou um registro de cliente do console ou do API Os links de mídia enviados em webhooks anteriores param de funcionar.

• Números de identificação, números de telefone e fotos de registro são criptografados em repouso.

Os limites, definidos como limites:

• As verificações de produção concluídas e suas respectivas capturas são mantidas até que você as exclua. Além dos documentos comprobatórios, não há data de expiração automática que você possa definir para elas atualmente; portanto, o prazo de cinco anos é seu para ser contabilizado.

• A exclusão é suave. O registro deixa tudo o que você pode ler, e Toden Mantém o registro marcado como excluído para que o histórico de conformidade não possa ser reescrito sem deixar rastros. Duas remoções são permanentes: revogar um cadastro biométrico e remover uma entrada de uma lista de reconhecimento facial.

• Os links de mídia não expiram. O acesso é controlado por sua chave secreta, portanto, restrinja-o aos seus próprios endereços IP e revogue-o caso vaze.

• Toden não contém nada SOC 2 ou ISO Ainda não há certificação ISO 27001. O Trust Centre declara a situação atual.

• Ter menos dados reduz sua exposição. Isso não o exime de suas responsabilidades como controlador dos dados.

Perguntas a fazer a qualquer prestador de serviços

• Seus webhooks contêm imagens ou links para elas?

• Posso escolher quais campos e mídias vocês me enviam?

• Por quanto tempo vocês guardam as capturas de tela e posso definir esse período?

• O que o comando "excluir" realmente faz? O arquivo é destruído ou apenas ocultado?

• Se houver uma violação de segurança, com que rapidez você me avisa e o que você poderá me dizer?

Quer ver o que sua própria integração recebe? Abra um Toden No espaço de trabalho (abre num novo separador) , envie uma verificação em ambiente de teste e leia o webhook. Nosso guia sobre dados biométricos sob a legislação africana de proteção de dados aborda imagens faciais com mais detalhes.