Beleid vir die bewaring en vernietiging van biometriese data

Laas opgedateer: 12 Oktober 2026

Dit is die geskrewe bewarings- en vernietigingsplan vir biometriese data waarna ons privaatheidsbeleid verwys. Dit geld vir almal wat die gesigskontrole in die Diens begin, waar hulle ook al is. Die Diens is die Wêreldrepubliek se toepassing en webwerf, insluitend dieselfde toepassing waar dit onder die naam Raised by Humanity aangebied word. Afdeling 1 van die privaatheidsbeleid sit uiteen watter webwerwe die Diens dek, en hierdie beleid gebruik dieselfde betekenis. Hierdie beleid word gepubliseer sodat jy van ons kan eis dat ons daarby hou, en sodat daar voldoen word aan die wette wat ’n openbare plan van hierdie aard vereis.

1. Wat hierdie beleid dek

Die gesigskontrole — die kontrole wat in Afdeling 4 van die privaatheidsbeleid beskryf word — skep twee soorte biometriese data, wat albei namens ons deur Amazon Web Services (AWS) in sy EU-streek (Ierland) gehou word:

’n Verwysingsbeeld van jou gesig uit jou gesigskontrole-sessie, gestoor in Amazon S3.
’n Gesigsvektor (sjabloon) wat uit daardie beeld afgelei is, gestoor in ’n Amazon Rekognition-versameling en aan jou rekening gekoppel. Dit is die versameling wat ons in staat stel om na te gaan dat dieselfde gesig nie gebruik word om ’n tweede rekening te verifieer nie.

“Biometriese data” beteken in hierdie beleid albei hiervan, saam met die interne rekords in ons databasis wat daarna wys (die sessierekords van jou gesigskontroles).

Dit dek nie die uitkoms van ’n kontrole nie. Of jou rekening geverifieer is, en die rekord dat jou gesig by ’n ander rekening gepas het en verifikasie geweier is (watter rekening, en die ooreenstemmingstelling), is gewone rekeningrekords en word hanteer soos in die privaatheidsbeleid beskryf.

Die tydperke van hierdie beleid geld nie vir een rekord nie. Die sekuriteitsouditlog van ons wolkrekeninge teken die versoek aan wat jou gesig by die versameling voeg, en daardie inskrywing teken aan waar jou oë, neus en mond in die verwysingsbeeld lê en die hoek van jou kop — nooit die beeld of die sjabloon nie. Ons behandel daardie posisies as biometriese data. Daardie inskrywing word gehou vir die tydperk wat Afdeling 8 van die privaatheidsbeleid vir die sekuriteitsouditlog gee, wat langer kan wees as die tydperke in hierdie beleid, en die vernietiging van jou ander biometriese data verwyder dit nie. Ons gebruik daardie posisies nooit nie.

2. Wanneer biometriese data vernietig word

Ons hou biometriese data net so lank as wat dit nodig is om te verifieer dat jy ’n unieke, lewende mens is en om duplikaatstemrekeninge te voorkom. Dit word permanent vernietig by die vroegste van die volgende:

Wanneer die rekening uitgevee word. Dit dek dit wanneer jy jou rekening self in die Diens uitvee, en wanneer ons dit self, met die hand, sluit — ingevolge die Gebruiksvoorwaardes, of omdat ons verneem dat die rekeninghouer onder 18 is. Wat tussen die twee verskil, is hoe die vernietiging begin. As jy self in die Diens uitvee, begin dit outomaties: jou verwysingsbeelde en jou gesigsvektor word as deel van die uitvee self vernietig — dadelik, of, as ’n toetsverkiesing waarin jy gestem het binne die volgende veertien dae sluit, wanneer daardie verkiesing sluit. ’n Verkiesing wat meer as veertien dae ná jou handeling sluit, hou die vernietiging glad nie terug nie; die rede word in Afdeling 4.5 van die privaatheidsbeleid uiteengesit. ’n Sluiting wat ons met die hand doen, het geen skerm in die Diens wat dit begin nie, en daarom teken ons self aan dat die vernietiging verskuldig is, wat dit stadiger kan laat begin. Sodra ’n vernietiging as verskuldig aangeteken is, word dit outomaties uitgevoer, en dit word elke dag outomaties weer probeer totdat dit slaag. Dit is so wanneer jy self uitvee en wanneer ons self sluit. Dit is ook wat gebeur as die vernietiging nie voltooi kan word op die oomblik wanneer jy jou rekening uitvee nie: jou rekening word steeds uitgevee, en die vernietiging word as verskuldig aangeteken.
Wanneer jy jou toestemming intrek of ons vra om dit uit te vee. Die intrekking van jou toestemming in die Diens (Afdeling 4.4 van die privaatheidsbeleid sê waar), en ’n versoek aan die kontak in die privaatheidsbeleid, word op dieselfde manier hanteer as ’n uitvee onder punt 1, met een verskil: as ’n hangende vernietiging nog nie uitgevoer is nie en jy ’n nuwe gesigskontrole voltooi, is die nuwe kontrole ’n nuwe toestemming en word die hangende vernietiging gekanselleer. Die uitvee van ’n rekening word nooit op hierdie manier gekanselleer nie.
Drie jaar ná jou laaste interaksie met die Diens. Drie jaar ná die laaste interaksie wat ons rekords wys — ’n stem, ’n WDD-onttrekking, ’n verifikasiepoging, ’n wysiging aan ’n party wat jy geregistreer het, of ’n sessie wat nog aangemeld is — vernietig ’n outomatiese taak jou biometriese data en verwyder jou verifikasie. Aan- en afmeld op sigself word andersins nie aangeteken nie. Belonings wat aan jou toegeken word, tel nie as ’n interaksie nie. Jou rekening, saldo en vorige stemme word nie geraak nie. As jy terugkom, kan jy weer verifieer met ’n nuwe gesigskontrole.
Wanneer die doel waarvoor dit ingesamel is, vervul is. Daardie doel is om te verifieer dat jy ’n unieke, lewende mens is en om te keer dat dieselfde gesig ’n tweede rekening verifieer. Dit duur so lank as wat die rekening duur, want die gesigsvektor is die enigste ding wat kan sien dat ’n tweede rekening met dieselfde gesig oopgemaak word. Wanneer die doel eindig, word die data vernietig.
Vroeër indien die wet dit vereis.

Ons hou biometriese data nie langer as drie jaar ná jou laaste interaksie nie, behalwe die inskrywing in die sekuriteitsouditlog wat in Afdeling 1 beskryf word.

Drie jaar is dieselfde tydperk vir almal, en sommige wette stel ’n korter maksimum. Colorado vereis dat biometriese data nie later as 24 maande ná jou laaste interaksie vernietig word nie. Ons vra nie waar jy woon nie, daarom kan die outomatiese taak wat hierbo beskryf word, nie uit sy eie ’n korter tydperk op jou toepas nie. Jy hoef nie vir daardie taak te wag nie. Jy kan jou biometriese data enige tyd self vernietig, sonder om jou rekening uit te vee — Afdeling 4.4 van die privaatheidsbeleid sê waar om dit in die Diens te doen — en jy kan ons vra om dit te vernietig by die adres in Afdeling 7.

3. Hoe vernietiging werk

Vernietiging beteken dat die data uitgevee word, nie dat dit as ongebruik gemerk word nie:

Die verwysingsbeelde word uit Amazon S3 uitgevee, onder elke gesigskontrole-sessie van jou.
Die gesigsvektor word uit die Amazon Rekognition-versameling uitgevee, en die rekening se inskrywing in daardie versameling word saam daarmee verwyder.
Die interne rekords wat daarna gewys het, word uit ons databasis uitgevee. Die een uitsondering is die rekord dat jou gesig by ’n ander rekening gepas het en verifikasie geweier is (watter rekening, en die ooreenstemmingstelling), wat, as jou rekening nog oop is, as ’n rekeningrekord behou word met sy beeldverwysing verwyder; wanneer die rekening uitgevee word, word dit saam met die res uitgevee.

As enige stap misluk, word die rekening gemerk en probeer die taak dit daagliks weer. ’n Gesigskontrole waarvan die data weens onaktiwiteit vernietig is, verloor op dieselfde oomblik ook sy verifikasie, sodat geen rekening kan stem op grond van ’n gesig wat die duplikaatkontrole nie meer kan sien nie.

Onafhanklik van die plan hierbo verwyder dieselfde daaglikse taak elke gesigsvektor wat nie meer aan ’n rekening gekoppel is nie, sodat niks per ongeluk in die versameling agterbly nie.

4. Beelde wat op versoek bekyk word

As jou gesig by ’n ander rekening pas, word verifikasie outomaties geweier en sien geen persoon die beelde nie. Jy kan ons vra om ’n persoon na daardie besluit te laat kyk; die privaatheidsbeleid sit uiteen hoe. As jy wel vra, maak daardie persoon die verwysingsbeeld uit jou kontrole oop en dié wat gehou word vir die rekening waarby dit gepas het — net waar albei nog bestaan, aangesien enige van die twee dalk reeds volgens die plan hierbo vernietig is. Dit is dieselfde verwysingsbeelde wat hierbo beskryf word, hulle word volgens dieselfde plan vernietig, en geen kopie word gehou nadat die persoon gekyk het nie.

5. Diensverskaffers

AWS stoor en verwerk biometriese data namens ons en op ons instruksies, soos in die privaatheidsbeleid beskryf. Ons gesigskontrole-sessies is so opgestel dat AWS geen ouditbeelde daaruit hou nie.

Ons het ’n eskalasie na ’n tweede verskaffer, Didit, ontwerp vir ’n kontrole van ’n identiteitsdokument waar die gesigskontrole iemand verkeerdelik weier. Daardie eskalasie word nie aangebied nie. Die Diens het geen skerm wat so ’n kontrole begin nie, en die versoek wat een sou begin, word altyd geweier. Didit hou geen van ons biometriese data of identiteitsdata nie. Omdat geen kontrole begin kan word nie, is daar niks by Didit wat deur die uitvee van ’n rekening bereik kan word nie, en niks by Didit om oor te vra nie.

As die eskalasie ooit aangebied word, sal die privaatheidsbeleid die voorwaardes uiteensit waarop Didit jou data mag hou en dit moet uitvee, en sal hierdie beleid uiteensit hoe die vernietigingsplan in Afdeling 2 op daardie data van toepassing is. Ons sal albei daardie veranderinge publiseer voordat so ’n kontrole gedoen word.

6. Veranderinge aan hierdie beleid

As ons die bewaringstydperk of die vernietigingsmetode verander, sal ons die verandering op hierdie bladsy publiseer en die “Laas opgedateer”-datum hierbo hersien voordat die verandering in werking tree. Hierdie bladsy is die enigste kennisgewing wat ons kan gee: uit die aanmelding hou ons geen e-posadres, geen telefoonnommer en geen posadres vir jou nie, ’n adres wat jy op ’n rapport oor ’n party gegee het, word vir daardie rapport en vir niks anders nie gebruik, en daar is geen banier of boodskap in die Diens nie — Afdeling 13 van die privaatheidsbeleid verduidelik waarom. ’n Korter bewaringstydperk kan dadelik toegepas word. ’n Langer bewaringstydperk word nie toegepas op data wat ons reeds hou nie voordat die verandering 30 dae lank op hierdie bladsy gepubliseer is.

Hierdie beleid is in Engels geskryf, en ons publiseer dit in ander tale. Die weergawe wat vir jou geld, is die weergawe in die taal waarin die Diens dit aan jou gewys het. Waar daardie weergawe en die Engelse teks verskil, geld die betekenis wat vir jou beter is.

7. Kontak

Vrae oor hierdie beleid en versoeke oor jou biometriese data gaan na die kontakadres in die privaatheidsbeleid.