您好，关于单位采集人脸和指纹是否合法的问题，这主要取决于单位在采集过程中的具体做法以及是否遵循了相关的法律法规。
首先，从法律法规的角度来看，我国已经出台了一系列关于个人信息保护的法律，如《中华人民共和国民法典》、《中华人民共和国个人信息保护法》以及《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》等。这些法律明确规定了自然人的个人信息，包括生物识别信息如人脸和指纹，是受法律保护的，任何组织或个人在处理这些信息时都必须遵循合法、正当、必要的原则，并征得自然人的同意。
对于单位采集人脸和指纹的情况，如果单位能够做到以下几点，那么其采集行为通常是合法的：
向员工说明情况：单位在采集前应向员工明确说明采集的目的、方式、范围以及可能带来的影响，确保员工对采集行为有充分的了解。
征得员工同意：单位必须征得员工的明确同意，这种同意可以是明示的，也可以是默示的（如员工通过每天准时“刷脸”或“按指纹”所表达出的同意）。同时，单位应尊重员工的拒绝权，对于拒绝采集的员工，应提供其他合理的替代方式。
妥善保管信息：单位在采集后应妥善保管员工的人脸和指纹信息，采取必要的技术措施和管理制度确保信息的安全，防止信息泄露、篡改或丢失。
遵循非唯一验证原则：如果单位在考勤或其他场景中采用人脸或指纹识别技术，应确保这不是唯一的验证方式，以便为员工提供其他选择。
然而，如果单位在采集过程中违反了上述原则，如未经员工同意擅自采集、未妥善保管信息导致泄露等，那么其采集行为就可能是违法的，并可能承担相应的法律责任，包括民事责任、行政责任乃至刑事责任。
此外，对于军队、重要军工企业等涉密单位，由于其对信息安全的要求更高，因此在采集人脸和指纹信息时应更加谨慎，避免系统被不法分子利用或攻破导致涉密信息泄露。
综上所述，单位采集人脸和指纹是否合法取决于其是否遵循了相关的法律法规和原则。如果您对单位的采集行为有疑问或担忧，建议您与单位进行沟通并了解其采集的具体做法和目的，必要时可以寻求法律帮助以维护自己的合法权益。