UAEにおけるデジタルアイデンティティ、バイオメトリクスまたは認証会社の設立方法

パスポート写真の確認、顔の照合、再利用可能なクレデンシャルの発行、連続認証は異なる機能であり、トレードライセンスの商業活動記述はこれらを区別しません。ICPは連邦当局としてEmirates IDを発行し、国民のバイオメトリックレジスタを保持しています。そのシステムやそれに基づくクレデンシャルとユーザーのアイデンティティをチェックする会社は、連邦IDインフラストラクチャに触れることになります。TDRAは通信およびデジタル政府インフラを規制しており、政府のデジタルIDスキームに接続、サポート、依存する会社は、民間顧客に独自の確認商品を販売する会社よりも、その管轄に近い位置にあります。

バイオメトリックデータは、一人の個人を識別した瞬間に個人データとなるため、UAEのデータ保護法はビジネスモデルが生じさせる他のいかなる境界と同時に適用されます。会社が自らを技術ベンダー、プラットフォームまたはサービスと称するかにかかわらずです。 プライバシー、同意およびデータガバナンスガイド は、データ処理側をより深く説明しています。このガイドはアイデンティティおよび認証モデル自体に留まります。

個人データに関する2021年連邦デクレ法第45号は2022年1月2日に施行され、公共の利益の保護など限られた場合を除き、所有者の同意なき処理を禁止しています。UAE Data Office が連邦のデータ規制当局として機能します。ICP および TDRA 側のライセンス区分と活動コードは、申請前に最新の公式文書で確認する必要があります。

4つのモデルが一般的であり、それぞれが異なる場所に責任を置きます。

最初の二つでは、UAEの会社が通常は照合を行う当事者となるため、データ保護の問題が最も鋭くなり、TDRAの問題は政府のスキームが関わる場合にのみ生じます。三つ目と四つ目では、会社は他者の認証情報に依拠する依拠当事者（relying party）となり得ますが、契約では、誰がテンプレートを保管し、誤一致の際に誰が損失を負い、誰がデータ主体に対応するのかを示す必要があります。自らを技術レイヤーと称するプラットフォームであっても、グループ会社が生体情報の保管庫を保有していれば、同じ問いに答えることになります。これは、合成データまたはモデル学習の会社が、どの当事者がどのデータで学習するのかを示さなければならないのと同じです。

答えを取引として書いてください。ユーザーがドキュメントまたは顔を提示した瞬間から結果が顧客に到達するまでのプロセスに沿って、一件の確認を追跡し、テンプレートを誰が保存し、誰が結果を発行し、間違っていた場合には誰が責任を負うのかを明記してください。

銀行、企業顧客、投資家は活動記述を超えて技術を見ます。マッチングモデルの所有者は誰か、トレーニングデータの出所がどこか、精度主張が証明可能かどうかを確認します。

以下に関する質問を想定しておくこと:

整合された証拠パックは、ピッチデッキではなく元の書類から作られます。そのパックは、デューデリジェンスチームが読む順序で、ビジネスプランとドキュメンテーションにおいて組み立てられます。口座自体がボトルネックである場合、法人銀行口座準備は、銀行が受け取り事業が実際に行っていることとファイルを整合させます。

バイオメトリックデータを保存しマッチングする企業には、セキュリティテストを実行し、保持制限を設定し、マッチが異議を唱えられたときに対応する責任を持つ人々が必要であり、技術デモだけでは足りません。

価値のある資産はすべて、名前の挙がった所有者に帰属させるべきです。照合モデル、認証情報の形式、顧客契約、データセットがこれに当たります。海外の親会社がコアモデルまたは生体情報の保管庫をUAE国外に置いている場合、グループ会社間の取り決めでは、範囲、アクセス、責任、終了を定めるべきです。所有関係自体が、投資家の資金、外国の親会社、複数の株主階層などで重層的になっている場合は、規制対象かつ複雑な所有構造の設立ルートがその構造向けに用意されています。また、多くのID事業者はフィンテックの顧客に販売しており、その顧客自身のオンボーディングでも同じ問いが返されます。