Cifrado en tránsito y en reposo
Los datos se cifran mientras viajan entre el solicitante, RentKey y nuestros socios de verificación, y se vuelven a cifrar cuando están almacenados.
Seguridad y cumplimiento normativo
Gestionado como lo haría un banco.
La evaluación solo funciona si los solicitantes confían en ella y los reguladores la aceptan. Aquí explicamos exactamente qué sucede con los datos de un solicitante (qué se transfiere, qué se conserva, qué se descarta y qué ley rige cada paso) en Canadá y en los Estados Unidos.
Flujo de datos
Cómo se transfieren los datos del solicitante.
Seis pasos, de principio a fin. En cada uno se indica qué se almacena y qué se descarta antes de que comience el siguiente paso.
1. Invitación
El propietario o administrador de la propiedad envía un enlace de evaluación por correo electrónico o mensaje de texto, y elige quién paga y qué paquete se ejecutará.
Se almacena: el registro de la invitación: a quién se envió, cuándo y qué paquete. Se descarta: nada todavía, porque aún no se han recopilado datos del solicitante.
2. Consentimiento & divulgaciones
El solicitante ve quién hace la solicitud, qué se verificará exactamente y por qué, y da su consentimiento antes de que se ejecute cualquier verificación.
Se almacena: el registro del consentimiento y sus marcas de tiempo, adjuntos al informe. Se descarta: nada, ya que este es el registro legal de lo que se aceptó.
3. Identidad en el dispositivo
En su propio teléfono, el solicitante escanea un pasaporte, una licencia de conducir o una tarjeta de residencia permanente (PR/Green Card) y completa un escaneo facial en vivo con verificaciones de prueba de vida y de manipulación. Esto toma unos tres minutos.
Se guarda: el resultado de la coincidencia y un hash de verificación firmado. Se descarta: la imagen de la identificación y cada fotograma del escaneo facial, en cuanto finalizan el OCR y la coincidencia.
4. Las verificaciones se realizan sobre la identidad verificada
Las verificaciones de crédito, sanciones, fuerzas del orden y tribunales se realizan en paralelo, vinculadas a la identidad recién verificada, no a un nombre escrito a mano.
Se guarda: lo que devolvió cada fuente y la hora en que se consultó. Se descarta: el SIN o SSN, si se proporcionó: se usa solo para esa solicitud a la agencia de crédito y no se conserva.
5. El informe se compila y se firma
El informe en lenguaje sencillo se elabora a partir de los resultados anteriores, con cada fuente identificada junto con su hora de consulta, y el PDF final recibe un hash firmado.
Se guarda: el informe final y su hash firmado, durante siete años. Se descarta: nada nuevo; este paso solo reúne lo que ya se había conservado.
6. Se comparte mediante un enlace con vencimiento: comienza el plazo de conservación
El arrendador abre el informe mediante un enlace con vencimiento, nunca como archivo adjunto en un correo electrónico. Cada apertura queda registrada y comienza la cuenta regresiva del plazo de conservación de siete años.
Se guarda: los registros de actividad de cada apertura y el informe hasta que termine el plazo. Se descarta: el informe y su registro de consentimiento, de forma automática, cuando termina el plazo.
Manejo de datos
Conservación de datos biométricos: qué guardamos y qué no.
La lista de lo que conservamos es breve a propósito: cuantos menos datos sin procesar guardemos, menos habrá que proteger o que se pueda perder.
Se conserva
Resultado de la verificación y hash firmado PDF del informe, durante siete años Registro del consentimiento Entradas del registro de actividad
No se conserva
Fotogramas del escaneo facial Imágenes del documento de identidad, después del OCR Plantillas biométricas SIN / SSN, más allá de la solicitud al buró de crédito
Controles
Cómo mantenemos todo seguro.
Acceso basado en roles y 2FA
Las cuentas del personal y de los clientes solo ven lo que su rol requiere. La autenticación de dos factores está disponible en todas las cuentas.
Enlaces para compartir con vencimiento
Los informes se comparten mediante un enlace que caduca, nunca como un archivo adjunto de correo electrónico que permanece indefinidamente en una bandeja de entrada.
Libro de actividad
Un registro de solo anexión que indica quién abrió un informe y cuándo. Nada de su contenido puede editarse ni eliminarse posteriormente.
Consulta cómo funciona el registroAnálisis forense de origen y dispositivo
Los detalles técnicos sobre dónde y cómo se accedió a un informe se guardan por separado del informe y se divulgan solo a petición. Esa divulgación también queda registrada.
Conservación y eliminación
Los informes se conservan durante siete años. Cuando vence ese plazo, se eliminan de los sistemas de RentKey, y la eliminación se verifica, no se da por hecha.
Mapa de cumplimiento
Dónde aparece cada norma en el producto.
No es un resumen de políticas: es un mapa, punto por punto, de cada principio o requisito a lo que RentKey hace en la práctica.
Principios de información justa de PIPEDA
| Principio | Cómo lo aplica RentKey |
|---|---|
| Responsabilidad | RentKey y Crown Stack Systems son responsables de la información personal desde su recopilación hasta su eliminación. |
| Identificación de propósitos | Se le informa al solicitante exactamente qué se verificará y por qué, antes de que se realice cualquier verificación. |
| Consentimiento | No se verifica nada hasta que el solicitante da su consentimiento en el proceso, y la solicitud queda registrada. |
| Limitación de la recopilación | Solo se recopilan los campos que necesita cada verificación; no se requiere SIN ni SSN para generar el informe. |
| Limitación del uso, la divulgación y la conservación | Los datos se usan únicamente para generar el informe, se comparten solo mediante un enlace con vencimiento y se eliminan al cumplirse el plazo de conservación de siete años. |
| Exactitud | La identidad se verifica con documentos emitidos por el gobierno y un escaneo en vivo; los resultados de crédito, sanciones y tribunales provienen directamente de la fuente. |
| Medidas de seguridad | Cifrado en tránsito y en reposo, acceso basado en roles, 2FA y un registro de actividad de solo adición. |
| Transparencia | Esta página y el informe de muestra describen exactamente qué sucede con la información de un solicitante, en lenguaje sencillo. |
| Acceso individual | Los solicitantes pueden pedir lo que se recopiló sobre ellos al propietario o administrador de la propiedad que solicitó el informe. |
| Impugnación del cumplimiento | Los solicitantes pueden disputar un hallazgo directamente con RentKey, o con el buró de crédito en el caso de información reportada por el buró. |
La FCRA de EE. UU.: quién hace qué
| Requisito | RentKey | Arrendador |
|---|---|---|
| Propósito permisible | Confirma que el informe se solicita para una decisión de arrendamiento | Declara y conserva el propósito permitido para consultarlo |
| Consentimiento del solicitante | Obtiene el consentimiento en el flujo del solicitante antes de realizar las verificaciones | No necesita recabar un consentimiento aparte fuera del flujo |
| Aviso de acción adversa | Proporciona el texto del aviso y las divulgaciones dentro del informe | Envía el aviso al solicitante cuando rechaza su solicitud con base en el informe |
| Disputas | Revisa manualmente las coincidencias impugnadas en listas de sanciones, registros judiciales o de fuerzas del orden | Remite a los solicitantes a la agencia de crédito para las disputas sobre datos reportados por esta |
| Suministro de datos | No proporciona datos de los solicitantes a burós de crédito ni a otras agencias | Usuario del informe, no proveedor de datos, según este modelo |
Derechos humanos & vivienda justa
Un informe es tan justo como el uso que se le da.
RentKey puede entregarle hechos verificables. Lo que haga con ellos sigue siendo su responsabilidad; así puede mantenerlo justo.
Lo que este informe deja fuera.
Sin puntuaciones basadas en redes sociales, sin características protegidas, nada más allá de registros verificables de identidad, crédito, sanciones, fuerzas del orden y tribunales. Si no es un hecho sobre el que pueda actuar legalmente, no aparece en el informe.
Aplique siempre el mismo criterio.
Decida qué descalifica a un solicitante antes de evaluar a nadie, y aplíquelo de la misma manera a cada solicitud para una unidad o un edificio. Un informe solo es justo si se usa de forma coherente.
Documente la decisión, no solo el resultado.
Anote en qué se basó un rechazo y qué aviso envió. Si alguna vez se cuestiona una decisión, el informe y el registro de actividad muestran exactamente qué se vio y cuándo.
Use el aviso, siempre.
Si un informe contribuyó al rechazo de un solicitante, envíe el aviso de acción adversa que lo acompaña: es obligatorio según la FCRA de EE. UU. y una buena práctica en todos los lugares donde opera RentKey.
Divulgación responsable
Reporte una vulnerabilidad.
Si encontró un problema de seguridad en RentKey, avísenos antes de comunicárselo a cualquier otra persona. Escriba a info@rentkey.ca con "Seguridad" en el asunto. Contaremos con una dirección de seguridad dedicada cuando el servicio alcance la disponibilidad general.
Incluya
- Qué encontró y dónde
- Los pasos para reproducirlo
- Cuál cree que es el impacto
Nos comprometemos a
- Confirmar la recepción de su reporte
- Investigar y corregir los problemas confirmados
- Darle el crédito correspondiente, si así lo desea
Por el momento no tenemos un programa de recompensas por errores pagado.
Preguntas
Respuestas directas.
¿Dónde se almacenan los datos?
En Canadá y Estados Unidos. Al momento de la incorporación te indicamos la región específica de tu cuenta, según dónde operes.
¿Venden datos?
Nunca. RentKey no vende datos de solicitantes ni de clientes a nadie, con ningún fin.
¿El personal puede leer los informes?
Solo el personal cuya función lo requiere, y cada acceso queda registrado, igual que las consultas de tu propio equipo en el registro de actividad.
¿Qué sucede si hay una filtración de datos?
Notificamos a los clientes afectados y a los organismos reguladores correspondientes según lo exige la ley, y te explicamos con claridad qué pasó y qué estamos haciendo al respecto.
¿Puedo obtener un acuerdo de procesamiento de datos?
Sí, para administradores de propiedades y socios de plataforma. Solicítalo a través de contacto.
Acceso anticipado
Deje de adivinar en la puerta. Evalúe el panorama completo.
Cuéntenos dónde opera y cuántas unidades administra. Le responderemos en un día hábil.
