关于“刷脸签到是否合法”的问题，这主要取决于刷脸签到的具体应用场景、实施方式以及是否遵循了相关的法律法规。以下是我根据《人脸识别技术应用安全管理办法》及相关法律法规，为您提供的详细解答：

首先，我们需要明确的是，人脸识别技术作为一种敏感的个人信息处理方式，其应用必须严格遵守法律法规，尊重和保护个人隐私及信息安全。《人脸识别技术应用安全管理办法》的出台，正是为了规范人脸识别技术的应用，保护个人信息权益。

针对刷脸签到的合法性，我们可以从以下几个方面进行考量：

1. 应用目的与必要性：

   • 刷脸签到应当具有特定的目的和充分的必要性。例如，在需要严格身份验证的场合（如重要会议、考试等），刷脸签到可能是一种合理且必要的手段。
   • 如果存在其他非人脸识别技术方式可以达到相同目的或满足同等业务要求，那么人脸识别技术不应作为唯一验证方式。

2. 个人同意与告知义务：

   • 在使用刷脸签到前，应当取得个人的充分知情和自愿、明确作出的单独同意。特别是对于不满十四周岁的未成年人，应当取得其父母或其他监护人的同意。
   • 实施刷脸签到的组织或个人应当履行告知义务，明确告知个人刷脸签到的目的、方式、可能的风险以及个人信息的保护措施等。

3. 安全保护措施：

   • 刷脸签到系统应当采取数据加密、安全审计、访问控制、授权管理、入侵检测和防御等措施，确保人脸信息的安全。
   • 人脸信息应当存储于安全的环境中，不得通过互联网对外传输（除非法律、行政法规另有规定），且保存期限不得超过实现处理目的所必需的最短时间。

4. 非强制原则：

   • 如果个人不同意通过人脸信息进行身份验证，应当提供其他合理、便捷的方式供其选择。任何组织和个人不得以办理业务、提升服务质量等为由，误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。

5. 公共场所的安装要求：

   • 如果在公共场所安装刷脸签到设备，应当为维护公共安全所必需，并依法合理确定人脸信息采集区域，设置显著提示标识。同时，不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装刷脸签到设备。

综上所述，刷脸签到的合法性取决于其是否遵循了上述原则和要求。如果刷脸签到的应用符合法律法规的规定，尊重了个人隐私和信息安全，且提供了充分的告知和同意机制，那么它是合法的。反之，如果刷脸签到的应用违反了相关法律法规或侵犯了个人隐私和信息安全，那么它就是不合法的。

因此，在实施刷脸签到前，建议相关组织或个人仔细研究并遵守《人脸识别技术应用安全管理办法》及相关法律法规的规定，确保刷脸签到的合法性和合规性。