Formulario de Consentimiento para Datos Biométricos de World Foundation

No puede proporcionar su información biométrica en Orb sin leer el texto informativo completo y firmar el formulario de consentimiento. No puede proporcionar su información biométrica en Orb si es residente del estado de Illinois, Texas o Washington, o de las ciudades de Portland, Oregón o Baltimore, Maryland.

¡Nos complace que haya decidido ampliar su participación en la comunidad de World! World es un protocolo de código abierto, respaldado por una comunidad global de desarrolladores, individuos y otros colaboradores. La privacidad está en el ADN de nuestra compañía. Proporcionamos una prueba de singularidad y humanidad (proof-of-personhood) que requiere la menor cantidad de datos posible. No se requiere pasaporte ni documentos oficiales. Ni siquiera nos interesa saber su nombre.

The World Foundation (la “Fundación”, “nosotros”, “nos” o “nuestro”) es la administradora responsable del protocolo de World. Nuestro tratamiento (recopilación, uso, almacenamiento, divulgación y eliminación) de sus datos personales se rige por dos documentos: el Aviso de Privacidady este Formulario de Consentimiento para Datos Biométricos. El Aviso de Privacidadcontempla los datos recopilados a través del sitio web, la aplicación y otros servicios, mientras que este Formulario de Consentimiento para Datos Biométricos describe cómo tratamos los datos biométricos recopilados de usted a través de nuestro dispositivo Orb. Estos documentos se aplican de manera conjunta, y ambos son importantes para comprender qué efecto tendrá su participación en el proyecto World sobre su privacidad. El Aviso de Privacidady este Formulario de Consentimiento para Datos Biométricos se incorporan y se rigen por los Términos y Condiciones de Usuario.

Además, tenemos un enfoque de privacidad por defecto y de diseño para todas las jurisdicciones en las que lanzamos World. Realizamos una amplia evaluación previa de las leyes de privacidad locales previo al lanzamiento y hacemos todo lo posible para cumplir con las normas locales, aunque World es un proyecto mundial. Además, usaremos sus datos solo para los fines mencionados más adelante en la Sección 2.2 (y la Sección 3.4 si la Conservación de Datos está disponible en su jurisdicción y si usted la habilita), aun cuando las leyes de privacidad de datos de su país no limiten de otro modo la forma en la que utilizamos sus datos.

Este Formulario de Consentimiento para Datos Biométricos consta de cuatro partes:

1. antecedentes del proyecto World;

2. consentimiento para el tratamiento de datos biométricos;

3. habilitación de la Conservación de Datos;

4. derechos de los interesados.

1. Antecedentes.

1.1 El proyecto World.

World es un protocolo o sistema de código abierto creado con el objetivo de ayudar a brindar acceso a la economía global a todos. Está diseñado para ser descentralizado, lo que significa que, en última instancia, su supervisión y toma de decisiones recaerán en su comunidad global de usuarios. Es importante destacar que World, a través de World ID, puede cumplir un papel importante en la demostración de la calidad de humano en un mundo en línea poblado por inteligencia artificial cada vez más avanzada. La verificación de World ID es gratuita, privada y está abierta a todos los seres humanos mayores de 18 años.

1.2 Orb.

Para implementar una verificación segura, hemos desarrollado un dispositivo patentado llamado Orb. Este confirma que usted es un “ser humano único” sin exigirle que proporcione ninguna documentación de identidad ni otra información sobre quién es usted. El Orb captura una serie de imágenes de alta resolución a partir de los ojos (concretamente, de los iris) y del rostro (tanto de la cabeza como de los hombros).

1.3. El responsable del tratamiento.

Somos los Responsables del Tratamiento de Datos de sus imágenes y datos biométricos recopilados a través de nuestro Orb: Suite 3119, 9 Forum Lane, Camana Bay, PO Box 144, George Town, Grand Cayman KY1-9006, Islas Caimán. World Foundation mantiene un único establecimiento en la Unión Europea cuyo objetivo es permitir este tratamiento de los datos sin transferencias de datos a las Islas Caimán.

1.4 Riesgos del tratamiento de los datos biométricos.

Los datos que recopilamos (descritos antes) pueden o no ser considerados datos personales o datos biométricos, según las leyes aplicables en su lugar de residencia. Sin embargo, cuando se trata de seguridad, los tratamos como datos biométricos y los manejamos con seguridad y cuidado adicionales. En este contexto, es importante estar informado sobre los riesgos del tratamiento de los datos biométricos. Tenga en cuenta que la descripción a continuación es solo una descripción de alto nivel de los riesgos asociados con el tratamiento de los datos biométricos y no es una lista completa.

Los datos biométricos son únicos para usted e inmutables. Eso significa que si los datos biométricos están vinculados a otros datos, los otros datos pueden estar claramente vinculados con usted. Para evitarlo y minimizar este riesgo, utilizamos pruebas de conocimiento cero (Zero Knowledge Proof, ZKP) con el fin de garantizar que sus datos biométricos se desvinculen de su cuenta de World App, su uso de World ID y su billetera de transacciones.

Los riesgos particulares de la biometría pueden verse en los siguientes casos que intentamos prevenir de las siguientes maneras:

• Los datos biométricos pueden sufrir filtraciones como resultado de un ataque cibernético. Lo evitamos recurriendo a medidas de ciberseguridad que superan el estándar de la industria.

• Los datos biométricos pueden ser solicitados por un gobierno. Lo evitamos comprometiéndonos a objetar cualquier solicitud desproporcionada e indebida de los gobiernos.

• El responsable del tratamiento de datos puede abusar de los datos biométricos. Lo evitamos al hacer que la Fundación se comprometa con su propósito sin fines de lucro para el proyecto World en su escritura constitutiva.

2. Consentimiento para el Tratamiento de Datos Biométricos.

2.1 Datos que recopilamos.

Con su consentimiento, recopilamos los siguientes datos biométricos y personales a través del Orb:

• Imágenes de los iris y de los ojos.Estas imágenes se obtienen en el espectro visible y casi infrarrojo. Como se describe más adelante en la Sección 2.3, el algoritmo no es perfecto y podrá cometer errores, por ejemplo, al determinar de manera errónea que usted ya se registró en Orb.

• Imágenes de su rostro.Estas imágenes también se recopilan dentro del espectro visible, infrarrojo cercano e infrarrojo lejano. También recopilamos imágenes de profundidad (3D). Las imágenes se utilizan para confirmar que usted es un ser humano y, por lo tanto, ayudan a prevenir y detectar el fraude, y entrenan el algoritmo de prevención de fraude (junto con las imágenes del iris a las que, en lo sucesivo, se hace referencia como “Datos de Imagen”).

• Derivados de los datos anteriores.Utilizamos algoritmos complejos de vanguardia y nuestras propias redes neuronales para crear representaciones numéricas (“Derivados”) de las imágenes anteriores para permitir comparaciones de máquinas e interacciones entre ellas. Estos derivados son cadenas de números (p. ej., “10111011100…”) que implican las características de las imágenes. No es posible invertir completamente los Derivados a la imagen original. Lo que es más importante, utilizamos nuestra versión personalizada del Algoritmo de Daugman para calcular dicha cadena de números a partir de la imagen del iris (el “Código de Iris”). Además, anonimizamos este Código de Iris a fragmentos SMPC para garantizar que los usuarios solo puedan registrarse una vez.

¡Importante!Estamos recopilando los Datos de Imagen para determinar si usted es un ser humano único. En otras palabras, el sistema está diseñado para confirmar que usted es un ser humano real (con vida) y que esta es la primera vez que visita un Orb (singularidad).No utilizamos los Datos de Imagen para saberquiénes usted (identificación).

Anonimizamos su código de iris dividiéndolo en fragmentos almacenados por terceros de confianza en una sistema de computación multipartita (Multi-Party Computation, MPC). Puede encontrar más información sobre esto aquí: https://world.org/blog/announcements/worldcoin-foundation-unveils-new-smpc-system-deletes-old-iris-codes

Los datos que recopilamos (descritos antes) pueden o no ser considerados datos personales o datos biométricos, según las leyes aplicables en su lugar de residencia. Sin embargo, cuando se trata de seguridad, los tratamos como datos biométricos y los manejamos con seguridad y cuidado adicionales. El fundamento legal para recopilar los Datos de Imagen es su consentimiento explícito. El fundamento legal para calcular derivados de esos Datos de Imagen (como el Código de Iris) y para anonimizarlos a fin de compararlos activamente a partir de nuestra base de datos es su consentimiento explícito.

2.2 Qué hacemos con estos datos.

Con su consentimiento, utilizamos los datos antes indicados únicamente con los siguientes fines (a menos que habilite la Conservación de Datos, según se describe más adelante):

• cálculo de los Códigos de Iris;

• comparación de su Código de Iris con otros Códigos de Iris; y

• seguridad y prevención de fraude. Esto incluye:

  • detectar si un usuario es un ser humano vivo, lo que incluye verificar si la temperatura de los rostros detectados coincide con el rango de temperatura normal del cuerpo humano;

  • detectar si una inscripción muestra un iris humano natural e inalterado y sin obstrucciones, lo que incluye verificar si el rostro cambia durante el registro; y

  • detectar si la persona ya apareció frente al Orb, lo que incluye tratar los Derivados de imágenes del rostro almacenados localmente.

Todos los cálculos de los derivados se realizan localmente en Orb.

No compartimos las imágenes ni los derivados de las imágenes con nadie que no trabaje en el proyecto World y no para otros fines que no sean los que fueron descritos antes.

2.3 Precisión.

Nuestro software utiliza probabilidades para determinar si usted se registró en un Orb antes. No es perfecto. Por lo tanto, es posible que determine erróneamente que usted ya se registró en un Orb. En este momento, no contamos con una manera en la que los usuarios puedan informar presuntos errores o refutar las determinaciones del algoritmo. Al aceptar este Formulario de Consentimiento para Datos Biométricos, usted nos da torga su consentimiento para esta toma de decisiones automatizada.

2.4 No es necesario aceptar este Formulario de Consentimiento para Datos Biométricos para participar en World.

Usted no estará obligado a aceptar el Formulario de Consentimiento para Datos Biométricos para participar en World. Usted igualmente podrá crear una cuenta y establecer una billetera de World sin dar este consentimiento, aunque tendrá que aceptar los Términos y Condiciones de Usuario de World y leer y acusar recibo de nuestro Aviso de Privacidad. Además, si elige no aceptar este Formulario de Consentimiento para Datos Biométricos, no podrá participar en determinados aspectos de World, como establecer una Proof of Personhood o prueba de identidad digital única.

2.5 Cómo retirar su consentimiento.

Puede ejercer sus derechos como interesado, lo que podría incluir el retiro de su consentimiento, comunicándose con nosotros por los siguientes medios:

En el Portal de Solicitudes de World, o por correo a World Foundation, Suite 3119, 9 Forum Lane, Camana Bay, PO Box 144, George Town, Grand Cayman KY1-9006, Islas Caimán.

Si retira su consentimiento, ya no usaremos sus datos para los fines mencionados antes, pero todas las acciones previas llevadas a cabo con su consentimiento mientras este se encontraba aún activo seguirán siendo válidas. El tratamiento que no se basa en el consentimiento, como el almacenamiento de códigos de iris, no se ve afectado por el retiro del consentimiento.

3. Habilitación de la Custodia de Datos.

Tenga en cuenta que la conservación de datos puede estar deshabilitada en algunas jurisdicciones debido a los requisitos reglamentarios.Consulte la sección Apéndices más adelante para confirmar si esta opción está disponible para usted.

3.1 Estado actual del proyecto World.

Para mejorar la precisión de las determinaciones de elegibilidad del sistema, necesitamos continuar entrenando nuestro software de algoritmo. “Entrenar” significa usar imágenes de personas reales como usted para ayudar al software a “aprender” a distinguir a los seres humanos de los no humanos y diferenciar a una persona de todas las demás. Esporádicamente realizaremos actualizaciones, a medida que el software se entrene y mejore. Cuando eso suceda, es posible que debamos volver a verificar su identidad digital única, para lo cual será necesario usar nuevamente sus Datos de Imagen.

3.2 Conservación de datos.

Si acepta este Formulario de Consentimiento para Datos Biométricos, se le solicitará Habilitar la Conservación de Datos” en la Aplicación. Si decide aceptar la Conservación de Datos (opcional), usted nos permitirá:

1. conservar los Datos de Imagen y los Derivados recopilados y calculados por Orb;

2. enviar los Datos de Imagen a nuestros equipos de la Unión Europea y los Estados Unidos; y

3. utilizar los Datos de Imagen para continuar desarrollando y mejorando el software, tal como se describe más adelante.

4. Etiquete sus Datos de Imagen con el género percibido, rango de edad y color de piel aproximados para entrenar la imparcialidad algorítmica en vista de la diversidad presente en el mundo.

Esto probablemente lo ayudará a evitar algunos inconvenientes porque, si tenemos sus Datos de Imagen, no será necesario que vuelva a un Orb para verificar nuevamente su identidad digital cuando actualicemos el software. También nos ayudará porque, entonces, podremos usar sus Datos de Imagen para mejorar el sistema y llevar World al mundo más rápido. Como dijimos, no está obligado a habilitar la Conservación de Datos, pero hacerlo puede ayudarlo a usted y ayudarnos a nosotros, y, por eso, se lo agradeceríamos enormemente.

3.3 Datos que recopilamos cuando habilita la conservación de datos.

Cuando usted acepta el Formulario de Consentimiento para Tratamiento de Datos Biométricos, recopilamos Datos de Imagen, imágenes del iris e imágenes del rostro, como se describió anteriormente en la Sección II.1. Los Datos de Imagen que recopilamos no cambian si usted acepta la conservación de datos.

3.4 Qué hacemos con los datos cuando habilita la conservación de datos.

Cuando acepta el Formulario de Consentimiento para Tratamiento de Datos Biométricos, utilizamos los datos mencionados anteriormente para los fines descritos en la Sección 2.2. Cuando también habilita la conservación de datos, utilizamos los datos para los siguientes fines adicionales:

• actualización automática de su Código de Iris en caso de que actualicemos el algoritmo que calcula los Códigos de Iris;

• optimización y mejora del cálculo del Código de Iris y los Derivados;

• etiquetado de los datos recopilados;

• uso de datos para entrenar y seleccionar al personal de etiquetado;

• desarrollo y capacitación de los algoritmos para que reconozcan, segmenten y diferencien entre las imágenes de iris y rostros humanos;

• evaluación de los algoritmos en comparación con los resultados etiquetados en seres humanos;

• detección y eliminación de sesgos de nuestros algoritmos (como, por ejemplo, capacitación en equidad algorítmica al etiquetar el género, rango de edad y color de piel aproximados);

• desarrollo, capacitación y prueba de un sistema para detectar si un usuario es un ser humano que presenta un ojo humano real y si un registro es válido;

• desarrollo, capacitación y prueba de modelos que utilicen imágenes artificiales del iris para entrenar aún más los algoritmos;

• desarrollo, capacitación y prueba de modelos que mejoren el desempeño del Orb y la experiencia del usuario; y

• capacitación y evaluación del personal que trabaja con estos sistemas.

Nunca venderemos sus datos. Tampoco utilizaremos ningún dato mencionado en este formulario para hacerle un seguimiento o publicitar productos de terceros.

4. Con quiénes compartimos los datos.

Cuando compartamos sus datos fuera de nuestra organización, siempre haremos lo siguiente:

• los compartiremos de manera segura;

• tomaremos medidas para asegurarnos de que se gestionen de un modo compatible con nuestro compromiso con su privacidad; y

• prohibiremos que otras empresas los usen para sus propios fines.

Compartimos sus datos de estas maneras limitadas:

• Con Tools for Humanity:solo divulgaremos datos a uno de nuestros proveedores de servicios, Tools for Humanity, y a los miembros de su equipo que necesiten acceder para realizar sus tareas y funciones. Solo divulgaremos los datos necesarios para realizar tareas y funciones específicas, y disponemos de un sistema de estricto control de acceso.

5. Transferencia de datos, incluidos los posibles riesgos.

Cuando usted habilita la conservación de datos y, por lo tanto, da su consentimiento y acepta que usemos sus datos para los fines descritos antes en la Sección 3.4, generalmente enviamos los datos a nuestros equipos de Investigación y Desarrollo (“I+D”), y esto puede dar lugar a que sus datos se transfieran fuera del país en el que fueron recopilados. En este momento, estos equipos se encuentran en la Unión Europea y los Estados Unidos. Nuestro Aviso de Privacidadexplica cómo protegemos y cumplimos con las leyes de transferencia de datos transnacional. La Sección 6 del Aviso de Privacidadestableció los riesgos relacionados con dicha transferencia de datos transnacional.

Con su consentimiento, almacenamos los Datos de Imagen en grupos regionales en la UE, los EE. UU., Brasil, India, Singapur y Sudáfrica. Si se registra en estas jurisdicciones, sus datos quedarán almacenados allí. Si se registra en otros países, sus Datos de Imagen se almacenan en uno de los grupos en función de la latencia y la disponibilidad de la red. Por ejemplo:

• Si se registra en el EEE, Suiza o el Reino Unido, sus Datos de Imagen se almacenan en la UE.

• Si se registra en Kenia, Uganda, Ghana o Nigeria, sus Datos de Imagen pueden almacenarse en Sudáfrica o en la UE, según la latencia al momento de su registro.

• Si se registra en Indonesia, sus Datos de Imagen pueden almacenarse en Singapur o en la India, según la latencia al momento de su registro.

• Si se registra en México, sus Datos de Imagen pueden almacenarse en los EE. UU. o en Brasil, según la latencia al momento de su registro.

• Si se registra en Chile, Argentina o Colombia, es probable que sus Datos de Imagen se almacenen en Brasil.

A los fines del aprendizaje automático, todos los Datos de Imagen se transferirán y almacenarán en la Unión Europea y los Estados Unidos.

A continuación, se presenta una lista de posibles riesgos que pueden surgir si transferimos sus datos a los Estados Unidos, la Unión Europea u otro país. A continuación, también resumimos cómo mitigamos los riesgos respectivos.

• Si bien hacemos todo lo posible para garantizar que nuestros encargados del tratamiento (es decir, “subcontratistas”) estén obligados contractualmente a proteger de manera adecuada sus datos, es posible que estos subcontratistas no estén sujetos a la ley de privacidad de los datos de su país. Si los subcontratistas procesaran ilegalmente sus datos sin autorización, en ese caso tal vez sea difícil hacer valer sus derechos de privacidad contra ese subcontratista. Para mitigar este riesgo, mantenemos acuerdos estrictos de tratamiento de datos con nuestros subcontratistas que los obliga a proteger los datos a un nivel similar al del RGPD y a cumplir con las solicitudes de los interesados.

• Es posible que la ley de privacidad de los datos de su país sea incompatible con las leyes de privacidad de datos de los EE. UU. o la UE. Siempre intentamos cumplir con el más alto estándar de protección de datos al que estamos sujetos. Hasta el momento, encontramos que este es el RGPD y tratamos todos los datos como si estuvieran regidos por el RGPD.

• Es posible que sus datos estén sujetos al acceso gubernamental de funcionarios y autoridades. En esos casos, nos hemos comprometido a impugnar cualquier solicitud de acceso gubernamental inválida, excesiva o ilegal ante un tribunal. Además, utilizamos el cifrado avanzado para impedir el acceso no autorizado.

Tenga en cuenta que esta lista contiene ejemplos, pero es posible que no incluya todos los posibles factores de riesgo.

No venderemos, arrendaremos, comercializaremos ni obtendremos de otro modo ganancias de sus datos biométricos.

6. Conservación de datos.

Si no opta por la conservación de datos, eliminaremos sus datos de imagen inmediatamente después del registro. Lo mismo ocurre con el Paquete de Datos que puede descargar para conservación propia. Los códigos de iris solo se almacenan de manera anonimizada. Los usuarios pueden ejercer sus derechos como interesados en este portal: https://world.org/requestportal.Lo siguiente solo se aplica a los usuarios de conservación de datos: Conservaremos los Datos de Imagen en conservación de datos hasta que finalice el desarrollo y la mejora del algoritmo, o según lo exijan las leyes o reglamentaciones. En cualquier caso, eliminaremos los Datos de Imagen a solicitud suya. Además, nos comprometemos a eliminar todos los Datos de Imagen después de un máximo de diez años posterior a la recopilación, aunque es muy posible que el desarrollo del algoritmo y la eliminación concomitante de todos los Datos de Imagen concluyan antes.

7. Conservación propia y reautenticación (sujeto a disponibilidad en ciertas jurisdicciones seleccionadas).

En los casos en los que la conservación propia esté disponible, le enviaremos las imágenes de su rostro y ojos y cualquier derivado de los calculados en Orb (Paquete de Datos) a su teléfono con cifrado de extremo a extremo (esto significa que no podemos leer los datos).

Eliminaremos permanentemente el Paquete de Datos (además del código de iris) de nuestros sistemas después de enviar el Paquete de Datos a su teléfono (a más tardar, eliminaremos estos datos después de un mes en casos, por ejemplo, de falla de la descarga). En el caso de conservación propia, realizamos el tratamiento de los datos que se indican a continuación para los siguientes fines:

• Se toma una fotografía de su rostro con su teléfono (selfie) y se convierte en un Derivado (plantilla de rostro). Esta plantilla de rostro diseñada para la comparación 1:1 le permite demostrar que usted es el titular legítimo de un World ID que podría ser exigido por algunos casos de uso de World ID en el futuro. Esto puede ayudar a evitar que otra persona use su World ID. Se le pedirá su consentimiento cada vez antes de que se realice dicha autenticación facial.

• Le permite optar tardíamente por la conservación de datos y, posiblemente, otras características, en cuyo caso sus datos serán enviados a un servidor o base de datos si decide hacerlo. Se le pedirá su consentimiento antes de que se lleve a cabo dicha inclusión tardía en conservación de datos.

8. Evaluaciones del impacto de la seguridad y la protección de los datos.

Hemos realizado una evaluación del impacto de la protección de los datos que determina que el tratamiento de datos es proporcional y cumple con las normas. Podrá encontrar las principales conclusiones y un resumen de este documento publicados aquí. Los datos personales están protegidos por las siguientes medidas:

• Autenticación de varios factores para todos los servicios en la infraestructura interna de TI.

• Transferencias TLS, cifrado en reposo, segundas capas de cifrado, claves de descifrado almacenadas en hardware separado.

• Separamos los datos biométricos de otros datos del usuario, diferentes servidores (incluso diferentes cuentas de AWS) y se eliminan activamente los enlaces entre bases de datos.

• El registro estricto de toda la actividad interna en servidores que almacenan datos biométricos se marca inmediatamente como actividad sospechosa.

• Control de derechos de acceso y eliminación de derechos de acceso (el acceso ocurrirá según fuese necesario)

• Política interna de tratamiento de datos biométricos modelada en función la política biométrica de la Cruz Roja.

9. Sus derechos.

Dependiendo de su jurisdicción, generalmente tiene ciertos derechos con respecto a sus datos. Lea la información que se incluye a continuación, junto con la secciónApéndices para conocer los derechos que le corresponden de acuerdo con su jurisdicción.

Estos derechos se aplican en la medida en que podamos identificar al solicitante en nuestra base de datos y en tanto no violemos los derechos de otros interesados al ejercer los derechos del solicitante:

• Tiene derecho a obtener de nosotros, en cualquier momento y por pedido, información sobre los datos personales que tratamos en relación con usted. Tiene derecho a recibir de nosotros los datos personales relacionados con usted.

• Tiene derecho a exigir que corrijamos de inmediato los datos personales sobre usted si son incorrectos.

• Tiene derecho a exigir que eliminemos los datos personales sobre usted. Estos requisitos previos establecen, en particular, un derecho a la eliminación si los datos personales ya no son necesarios para los fines para los cuales fueron recopilados o, de otro modo, tratados, siempre que se cumplan los requisitos para la eliminación en virtud de las leyes aplicables (p. ej., las leyes de varias jurisdicciones nos obligan a conservar la información de la transacción durante un determinado período).

• Tiene derecho a retirar libremente su consentimiento para cualquier tratamiento de datos basado en el consentimiento o a objetar el tratamiento de los datos si no se basa en el consentimiento.

10. Apéndices.

Los diversos apéndices que siguen ofrecen la información legalmente exigida para los respectivos mercados en los que operamos. Esta información forma parte del consentimiento según la región en la que reside el interesado. Esta información puede diferir de la información de su ubicación porque bloqueamos ciertos servicios en ciertas jurisdicciones. En caso de cualquier incompatibilidad con lo anterior, prevalecerá la declaración más especial sobre la jurisdicción en particular, según se indica a continuación:

Tenga en cuenta que la referencia a una jurisdicción específica no significa que el protocolo de World ya esté disponible en dicha jurisdicción; ninguna referencia de este tipo indica que tendrá alguna garantía de que esté a su disposición pronto. La inclusión de jurisdicciones específicas forma parte de la evaluación legal integral y continua que realiza World de las diferentes jurisdicciones en todo el mundo y se la calificará como un trabajo en curso.

APÉNDICE A: ESPACIO ECONÓMICO EUROPEO Y REINO UNIDO

Si se encuentra en el Espacio Económico Europeo o en el Reino Unido, lo siguiente se aplica a su caso:

Opción de conservación de datos: disponible.

Característica de conservación propia:disponible una vez anunciada y en directo.

Usted tiene al menos de los siguientes derechos. Para ejercer los derechos que tiene a su disposición en virtud del RGPD, comuníquese con nosotros en nuestro Portal de solicitudes. Salvo en casos excepcionales, resolveremos su solicitud en el plazo legal de un mes. El uso del término RGPD en la siguiente sección también implica el RGPD del Reino Unido. El uso del término RGPD en la sección que sigue también implica el RGPD del Reino Unido incorporado a la legislación nacional del Reino Unido como la Ley de Protección de Datos del Reino Unido de 2018 y retenida como parte de la ley de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud de la sección 3 de la Ley de la Unión Europea (Retiro) de 2018, según lo enmienda del Anexo 1 de las Regulaciones de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Enmiendas, etc.) (Salida de la UE) de 2019 (SI 2019/419).

• Tiene derecho a obtener de nosotros, en cualquier momento y por pedido, información sobre los datos personales que tratamos en relación con usted dentro del alcance del Art. 15 del RGPD.

• Tiene derecho a exigir que corrijamos de inmediato los datos personales sobre usted si son incorrectos.

• Tiene derecho, de acuerdo con las condiciones descritas en el Art. 17 del RGPD, a exigir que eliminemos los datos personales sobre usted. Estos prerrequisitos establecen, en particular, un derecho de eliminación si los datos personales ya no son necesarios para los fines para los que fueron recopilados o tratados de otro modo, así como en los casos de tratamiento ilegal, la existencia de una objeción o la existencia de una obligación de eliminación en virtud del Derecho de la Unión o la ley del Estado miembro al que estamos sujetos.

• Tiene derecho a exigir que restrinjamos el tratamiento de acuerdo con el Art. 18 del RGPD.

• Tiene derecho a recibir de nosotros los datos personales sobre usted que nos haya proporcionado en un formato estructurado, de uso común y legible en máquina, de acuerdo con el Art. 20 del RGPD.

• Tiene derecho a objetar en cualquier momento, por motivos relacionados con su situación particular, el tratamiento de los datos personales sobre usted que se lleve a cabo, entre otros, sobre la base del Artículo 6 (1), oración 1 lit. f del RGPD, de acuerdo con el Artículo 21 del RGPD.

• Tiene derecho a comunicarse con la autoridad supervisora competente en caso de quejas sobre el tratamiento de datos que realiza el responsable del tratamiento. La autoridad de supervisión responsable es la Oficina Estatal Bávara para la Supervisión de la Protección de Datos (Bayerisches Landesamt für Datenschutz). En el Reino Unido, la autoridad supervisora competente es la Oficina del Comisionado de Información (Information Commissioner’s Office, ICO).

Si el tratamiento de datos personales se basa en su consentimiento, de acuerdo con el Art. 7 del RGPD, usted tiene derecho a revocar su consentimiento para el uso de sus datos personales en cualquier momento con efecto a futuro, por lo que la revocación es tan fácil de declarar como el consentimiento propiamente dicho. Tenga en cuenta que la revocación solo entra en vigencia para el futuro. El tratamiento que tuvo lugar antes de la revocación no se ve afectado.

APÉNDICE B: JAPÓN

Si reside en Japón, además, lo siguiente se aplica a su persona:

Después de procesar sus datos biométricos para crear el Código de Iris, no trataremos más datos personales del procesamiento de Orb.

Opción de conservación de datos:disponible.

Característica de conservación propia:disponible.

B1: Información sobre las reglamentaciones japonesas

Cumplimos con las leyes y reglamentaciones japonesas, incluida la Ley de Protección de la Información Personal de Japón (“APPI”). Esta sección se aplica a nuestro manejo de la “información personal”, según se define en la APPI, en precedencia de las otras partes de este formulario de Consentimiento para Datos Biométricos.

B2: Intercambio de datos.

Sin perjuicio de la Sección 4 de este Formulario de Consentimiento para Datos Biométricos, a menos que las leyes aplicables permitan lo contrario, no divulgamos ni vendemos, proporcionamos, compartimos o transferimos su información personal a ningún tercero.

B3: Medidas de control de seguridad

Con respecto a la Secciones 6 a 8 de este Formulario de Consentimiento para Datos Biométricos, tomamos las medidas necesarias y apropiadas para evitar cualquier filtración, pérdida o daño en su información personal que se esté manejando, y para mantener la seguridad de la información personal, lo que incluye establecer reglas para el manejo de información personal, el monitoreo regular del manejo de la información personal, la capacitación regular de los empleados en el manejo de la información personal, la prevención del robo o la pérdida de los equipos utilizados para manejar la información personal y la implementación de controles de acceso. También supervisamos adecuadamente a nuestros contratistas y empleados que manejan información personal. Puede obtener más detalles sobre las medidas de control de seguridad implementadas en relación con el manejo de su información personal comunicándose con nosotros a través de nuestro Portal de Solicitudes.

B4: Los derechos legales en virtud de APPI

Para ejercer los derechos que le otorga APPI, comuníquese con nosotros a través de nuestro Portal de solicitudes.

APÉNDICE C: ARGENTINA

Si tiene domicilio en la República de Argentina, lo siguiente se aplica a su persona:

Opción de conservación de datos:disponible.

Característica de conservación propia:disponible una vez anunciada y en directo.

Le informamos que la AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su calidad de Agencia de Control de la Ley N.º 25.326, tiene facultad para escuchar las quejas y los reclamos que presenten aquellos que consideren que sus derechos se ven afectados por el incumplimiento de las normas vigentes con respecto a la protección de los datos personales.

Se puede comunicar con la Agencia de la siguiente manera:

Dirección: Av. Pte. Gral. Julio A. Roca 710, 5º Piso - Ciudad Autónoma de Buenos Aires

Código postal: C1067ABP

Número de teléfono: (54-11) 3988-3968

Correo electrónico: [email protected]

APÉNDICE D: SINGAPUR

Si usted es residente de Singapur, lo siguiente se aplica a su persona:

Opción de conservación de datos:disponible.

Característica de conservación propia:disponible una vez anunciada y en directo.

D1. Recopilación, uso y divulgación de sus datos personales

Si usted es residente de Singapur y con su consentimiento, recopilaremos, usaremos o, de otro modo, divulgaremos sus datos personales para cada uno de los fines establecidos en nuestro aviso de privacidad. Puede ejercer su derecho a retirar su consentimiento en cualquier momento, pero tenga en cuenta que es posible que no podamos continuar prestándole nuestros servicios en función de la naturaleza y el alcance de su solicitud. Tenga en cuenta también que retirar el consentimiento no afecta nuestro derecho de continuar recopilando, usando y divulgando datos personales cuando dicha recopilación, uso y divulgación sin consentimiento estén permitidos o sean exigidos por las leyes aplicables.

D2. Ejercicio de sus derechos como interesado

Puede controlar los datos personales que hemos recopilado y ejercer cualquiera de los derechos comunicándose con nosotros en nuestro Portal de solicitudes. Nuestro objetivo es responder a su solicitud lo antes posible, generalmente dentro de los 30 días. Le informaremos con anticipación si no podemos responder a su solicitud dentro de los 30 días, o si no podemos cumplir con su solicitud y los motivos.

En los casos en los que la ley lo permita, podemos cobrarle un cargo administrativo para cumplir con su solicitud.

D3. Transferencia de sus datos personales a otros países

Si usted es residente de Singapur y nosotros hemos recopilado sus datos, también podemos transferir sus datos fuera de Singapur de manera esporádica. Sin embargo, siempre nos aseguraremos de que sus datos personales continúen recibiendo un estándar de protección que sea al menos comparable con el ofrecido en virtud de la Ley de Protección de Datos Personales de Singapur de 2012[, por ejemplo, mediante el uso de Cláusulas Contractuales Modelo de la ASEAN].

APÉNDICE E: COREA DEL SUR

Si usted es residente de Corea del Sur, lo siguiente se aplica a su persona:

El Código de Iris es considerado datos anonimizados en virtud de la ley sudcoreana. Después de procesar sus datos biométricos (que no abandonan Orb para crear el Código de Iris) no accederemos ni trataremos de otro modo más datos personales de Orb.

Opción de conservación de datos:no disponible

Característica de conservación propia:no disponible.

APÉNDICE F: BRASIL

Si reside en Brasil y sus datos personales se recopilaron en Brasil o si utiliza nuestros servicios en Brasil, lo siguiente se aplica a usted.

El Código de Iris se considera datos anonimizados en virtud de la ley N.° 13.709/2018 (Ley General de Protección de Datos o “LGPD”). Después de procesar sus datos biométricos para crear el Código de Iris, ya no trataremos más datos personales del registro de Orb.

Opción de conservación de datos:disponible.

Característica de conservación propia:disponible una vez anunciada y en directo.

F1. Datos biométricos

En virtud de la LGPD, los datos biométricos se consideran información personal confidencial. Solo realizaremos el tratamiento de estos datos si nos proporciona un consentimiento explícito y específico para fines claramente definidos. En ciertas circunstancias, podemos tratar sus datos biométricos sin su consentimiento cuando sea absolutamente necesario, como, por ejemplo, para cumplir con obligaciones legales o regulatorias, ejercer nuestros derechos (incluidos contratos o procedimientos legales), o para prevenir el fraude y proteger la integridad del interesado.

Empleamos medidas y técnicas de seguridad avanzadas para proteger su información personal, lo que incluye cifrado y anonimización, a fin de garantizar que sus datos confidenciales estén protegidos y no puedan asociarse con una persona, según sea el caso.

También fusionamos datos, combinando grandes conjuntos de datos para eliminar los identificadores individuales o referencias a una sola persona. Utilizamos datos anonimizados o fusionados para nuestros fines comerciales, como, por ejemplo, para ayudarnos a entender mejor las necesidades y el comportamiento del usuario, mejorar nuestros servicios, realizar actividades de inteligencia comercial y mercadotecnia, detectar amenazas de seguridad y entrenar nuestros algoritmos. También tratamos sus datos biométricos con fines de conservación de su información personal, autenticación y creación del Código de Iris.

Solo usaremos sus datos biométricos para los fines mencionados anteriormente si nos proporciona un consentimiento explícito y específico a través de este Formulario de Consentimiento para Datos Biométricos.

Al optar por la conservación propia o la conservación de datos, como se describe en este Formulario de Consentimiento para Datos Biométricos, sus datos biométricos se guardarán en su dispositivo. En este caso, debe adoptar medidas de seguridad adicionales para garantizar la seguridad de sus datos biométricos almacenados en su dispositivo, ya que no tenemos acceso ni control sobre el sistema de almacenamiento de su dispositivo fuera de nuestra World App.

F.2 Transferencia internacional de sus datos personales

Si la LGPD se aplica a usted y hemos recopilado sus datos personales, también podemos transferirlos fuera del país. Sin embargo, siempre nos aseguraremos de que sus datos personales solo se transfieran a países extranjeros u organizaciones internacionales que proporcionen un nivel de protección acorde al establecido en la LGPD, según lo reconocido en las decisiones de adecuación emitidas por la ANPD. En ausencia de una decisión de adecuación, continuaremos siguiendo un estándar de protección que sea al menos equivalente al establecido en la LGPD, utilizando las cláusulas contractuales modelo establecidas en las regulaciones de la ANPD o cuando obtengamos su consentimiento específico y destacado para la transferencia internacional.

WFDCF20241112