通信時および保存時の暗号化
データは、申込者、RentKey、提携する審査パートナーの間で送信される際に暗号化され、保管時にも再度暗号化されます。
セキュリティとコンプライアンス
銀行と同じ水準で取り扱います。
審査は、申込者に信頼され、規制当局に受け入れられてはじめて成り立ちます。ここでは、カナダと米国における、申込者のデータの扱い、つまり何が移動し、何が保管され、何が破棄されるか、そして各段階にどの法律が適用されるかを、正確に説明します。
データフロー
申込者のデータの流れ。
最初から最後まで6つの手順です。各手順では、次の手順に進む前に、何が保管され、何が破棄されるかを明記しています。
1. 招待
家主または物件管理者が、メールまたはテキストメッセージで審査リンクを送信し、費用の支払者と実行するパッケージを選択します。
保管：招待の記録（送信先、送信日時、パッケージ）。破棄：この時点ではなし。申込者のデータはまだ収集されていません。
2. 同意と開示事項
申込者は、誰が依頼しているか、何を確認するか、その理由を確認し、何かが実行される前に同意します。
保管：同意記録とそのタイムスタンプ（レポートに添付）。破棄：なし。これは同意した内容の法的な記録です。
3. 端末での本人確認
申込者は自分のスマートフォンで、パスポート、運転免許証、永住権／グリーンカードをスキャンし、ライブネスと改ざんの確認を伴うライブの顔スキャンを行います。所要時間は約3分です。
保管：照合結果と署名付きの検証ハッシュ。破棄：OCRと照合が完了した時点で、IDの画像と顔スキャンのすべてのフレーム。
4. 確認済みの本人情報に基づく確認の実行
信用情報、制裁、法執行機関、裁判所の照会は、入力された氏名ではなく、先ほど本人確認された身元に照合して並行して実行されます。
保存するもの：各情報源から返された内容と、検索した時刻。破棄するもの：SIN または SSN が提供された場合は、その番号。信用情報機関への照会にのみ使用し、保持しません。
5. レポートの作成と署名
上記の結果から分かりやすい言葉のレポートが作成され、すべての情報源が検索時刻とともに明記されます。完成した PDF には署名付きハッシュが付与されます。
保存するもの：完成したレポートとその署名付きハッシュ（7年間）。破棄するもの：新たに破棄するものはありません。この手順は、すでに保存されている内容をまとめるものです。
6. 有効期限付きリンクで共有：保持期間のカウント開始
家主は、メールの添付ファイルではなく、有効期限付きリンクからレポートを開きます。開くたびに記録され、7年間の保持期間のカウントダウンが始まります。
保存するもの：開かれるたびのアクティビティ台帳の記録と、保持期間が終了するまでのレポート。破棄するもの：保持期間が終了すると、レポートとその同意記録を自動的に破棄します。
データの取り扱い
生体データの保持：保持するもの、保持しないもの。
保持リストは意図的に短くしています。保有する原材料が少ないほど、守るべきもの、失うおそれのあるものも少なくなります。
保持するもの
確認結果と署名付きハッシュ レポート PDF（7年間） 同意記録 アクティビティ台帳の記録
保持しないもの
顔スキャンのフレーム OCR 後の身分証明書画像 生体テンプレート 信用情報機関への照会以外での SIN / SSN
管理策
安全に保つための仕組みです。
ロールベースのアクセス制御と 2FA
スタッフとお客様のアカウントには、それぞれの役割に必要な情報のみが表示されます。二要素認証はすべてのアカウントでご利用いただけます。
有効期限付き共有リンク
レポートは有効期限付きのリンクで共有され、受信トレイに無期限に残るメール添付ファイルとして送られることはありません。
アクティビティ台帳
レポートを誰がいつ開いたかを記録する追記専用の記録です。後からの編集や削除はできません。
台帳の仕組みを見るアクセス元とデバイスのフォレンジック
レポートがどこから、どのようにアクセスされたかに関する技術的な詳細は、レポート本体とは別に保管され、要請があった場合にのみ開示されます。その開示も記録されます。
保持と削除
レポートは7年間保持されます。期間が終了すると、RentKey のシステムから削除され、削除は想定ではなく確認のうえで行われます。
コンプライアンス対応表
各規則が製品のどこに反映されているか。
ポリシーの要約ではなく、各原則や要件から RentKey が実際に行っていることまでを、1行ずつ対応づけた一覧です。
PIPEDA の公正な情報取扱原則
| 原則 | RentKey の適用方法 |
|---|---|
| 説明責任 | RentKey と Crown Stack Systems は、収集から削除まで、個人情報に責任を負います。 |
| 目的の明確化 | 何かが実行される前に、何を、なぜ照会するのかが申込者に正確に伝えられます。 |
| 同意 | 申込者がフロー内で同意するまで何も照会されず、その依頼は記録されます。 |
| 収集の制限 | 各照会に必要な項目のみが収集されます。レポートの実行に SIN や SSN は必要ありません。 |
| 利用、開示および保持の制限 | データはレポートの作成にのみ使用され、有効期限付きリンクでのみ共有され、7年間の保持期間が終了した時点で削除されます。 |
| 正確性 | 身元は政府発行の書類およびライブスキャンと照合されます。信用情報、制裁、裁判所の結果は情報源から直接取得されます。 |
| 安全管理措置 | 通信時および保存時の暗号化、ロールベースのアクセス制御、2FA、追記専用のアクティビティ台帳。 |
| 公開性 | このページとサンプルレポートでは、申込者の情報がどのように扱われるかを、分かりやすい言葉で正確に説明しています。 |
| 本人によるアクセス | 申込者は、レポートを依頼した家主または物件管理者に対して、自身について収集された内容の開示を請求できます。 |
| コンプライアンスへの異議 | 申込者は、調査結果について RentKey に直接、または信用情報機関が報告した情報については信用情報機関に対して、異議を申し立てることができます。 |
米国 FCRA：誰が何を担うか
| 要件 | RentKey | 家主 |
|---|---|---|
| 許容される目的 | レポートが入居の判断のために依頼されたものであることを確認します | レポートを取得するための許容される目的を明示し、保持します |
| 申込者の同意 | 照会が実行される前に、申込者フロー内で同意を取得します | フロー外で別途同意を取得する必要はありません |
| 不利益措置の通知 | 通知文および開示事項をレポート内に提供します | レポートに基づいて却下する際に、申込者へ通知を送付します |
| 異議申し立て | 異議が出された制裁、裁判所、法執行機関の一致事項を手作業で確認します | 信用情報機関が報告した情報に関する異議については、申込者を信用情報機関へ案内します |
| データの提供 | 申込者のデータを信用情報機関やその他の機関に提供することはありません | このモデルでは、データ提供者ではなくレポート利用者です |
人権と公正な住宅提供
レポートの公正さは、その使い方次第です。
RentKey は検証可能な事実を提供できます。それをどう使うかはお客様の責任です。公正に保つための方法をご紹介します。
このレポートに含まれないもの。
SNS によるスコアリングも、保護される属性も、検証可能な身元、信用情報、制裁、法執行機関、裁判所の記録以外のものも含まれません。合法的に判断の根拠にできる事実でなければ、レポートには掲載されません。
毎回同じ基準を適用してください。
誰かを審査する前に、申込者を不適格とする基準を決め、ある部屋や建物へのすべての申込に同じように適用してください。レポートは、一貫して使用されて初めて公正になります。
結果だけでなく、判断の経緯も記録してください。
辞退の根拠と送付した通知を記録しておいてください。判断が問われた場合でも、レポートとアクティビティ台帳により、何がいつ確認されたかが正確に分かります。
毎回、通知を利用してください。
レポートが申込者の却下の一因となった場合は、レポートに付属する不利益措置の通知を送付してください。これは米国 FCRA で義務付けられており、RentKey が事業を行うすべての地域で望ましい慣行です。
責任ある脆弱性開示
脆弱性を報告する。
RentKey のセキュリティ上の問題を発見された場合は、他の誰かに知らせる前に、まず当社にご連絡ください。件名に「Security」と記載して info@rentkey.ca までメールをお送りください。専用のセキュリティ窓口は、一般提供の開始に合わせて開設予定です。
記載事項
- 発見した内容とその場所
- 再現手順
- 想定される影響
当社がお約束すること
- 報告の受領確認
- 確認された問題の調査と修正
- ご希望に応じた、報告者としてのクレジット表記
現段階では、有償のバグ報奨金プログラムは実施していません。
よくある質問
率直にお答えします。
データはどこに保管されますか？
カナダおよび米国です。お客様のアカウントの具体的なリージョンは、事業を行う地域に基づき、オンボーディング時にお伝えします。
データを販売していますか？
一切販売しません。RentKey は、いかなる目的でも、申込者やお客様のデータを誰にも販売しません。
スタッフはレポートを閲覧できますか？
役割上必要なスタッフのみが閲覧でき、すべてのアクセスが記録されます。お客様のチームがレポートを開いた際にアクティビティ台帳に残る記録と同様のものです。
情報漏えいが発生した場合はどうなりますか？
法律で求められるとおり、影響を受けるお客様および関係する規制当局に通知し、何が起きたか、そして当社が何を行っているかを率直にお伝えします。
データ処理契約を締結できますか？
はい、物件管理者およびプラットフォームパートナー向けにご用意しています。お問い合わせから依頼する。
早期アクセス
玄関先での当て推量はもう終わり。全体像を審査しましょう。
事業を行っている地域と管理している部屋数をお知らせください。1営業日以内にご返信します。
