Uso legal y ético

Las organizaciones que hemos verificado. Antes del primer caso comprobamos que la persona jurídica existe y está activa en su registro, que su sitio web y su dominio de correo corresponden a ella, que el uso declarado se ajusta a la política y que ni la entidad ni sus propietarios figuran en listas de sanciones. Podemos volver a verificarlas en cualquier momento.

Cada organización se aprueba para una o varias de estas finalidades, y cada caso debe ajustarse a una de ellas:

• Conocimiento de empresas (KYB): incorporación de clientes, socios o proveedores
• Revisión de riesgos de terceros y de la cadena de suministro
• Diligencia debida de inversión, fusiones y adquisiciones o financiación
• Cumplimiento en materia de AML, sanciones o antisoborno
• Investigación de fraude, corrupción o conducta indebida
• Apoyo en litigios o rastreo de activos por o para asesores jurídicos
• Revisión de la exposición de seguridad de su propia organización y su personal
• Verificación previa a la contratación fuera de EE. UU., con el candidato informado

Investigar a una persona solo está permitido dentro de una de estas finalidades, por ejemplo, los administradores y propietarios de una empresa que esté incorporando.

Cada caso registra su finalidad, la decisión que respalda el informe, una base jurídica y una fecha de conservación. Las ejecuciones no pueden iniciarse sin ese registro, y la persona que inicia una ejecución lo declara; la declaración se almacena con la tarea. Las claves de API siguen el mismo control.

• Acoso, hostigamiento o vigilancia de una persona fuera de un encargo profesional legítimo
• Localizar o contactar a una persona, o rastrear a alguien para abordarlo
• Investigar a menores de 18 años
• Verificación para empleo, arrendamiento, crédito o seguros en EE. UU., o cualquier otra finalidad sujeta a la FCRA
• Recopilar o inferir datos de salud, religión, vida sexual, origen étnico u otras características protegidas
• Pretexting, iniciar sesión con una identidad falsa o acceder a sistemas o cuentas sin autorización
• Usar credenciales filtradas o comprar conjuntos de datos filtrados
• Revender, licenciar o exportar masivamente los datos recopilados, o crear con ellos una base de datos de personas

La propia recopilación se limita a fuentes públicas y accesibles legítimamente. Los datos de filtraciones se usan solo como indicador notificado de que una cuenta quedó expuesta; no consultamos ni probamos credenciales filtradas.

Cada hallazgo cita capturas almacenadas con su dirección de origen, la hora de obtención y su hash SHA-256, y cada fuente se califica según su clase. Metodología

Las versiones de los informes, las aprobaciones, las purgas y las llamadas a la API se registran en un registro de auditoría encadenado por hash por organización. Las colas y las búsquedas tienen límites de frecuencia. Podemos preguntar por cualquier caso, su control y su uso. Si consideramos que se ha incumplido la política, podemos suspender la organización de inmediato: los casos y las tareas se detienen, los datos siguen siendo legibles para su exportación, y la suspensión y su motivo quedan en el registro de auditoría.

• Mantener exactas la finalidad y la base jurídica del caso. Una incorrecta supone un incumplimiento de la política.
• Recopilar solo lo que la decisión necesita y desactivar los módulos que no necesite.
• Hacer que un analista revise cada informe antes de usarlo.
• Informar a las personas como exige la ley, o registrar por qué se aplica una excepción.
• Fijar el plazo de conservación más corto que se ajuste a la finalidad y purgar el caso cuando termine.

Pedirnos que retiremos o corrijamos una muestra pública. Una solicitud de retirada normalmente la oculta de inmediato mientras la revisamos. El aviso de privacidad explica los derechos de las personas cuyos datos aparecen en investigaciones.

Retirar o corregir una muestraAviso de Privacidad