Seguretat i compliment: SOC 2, ISO 27001, RGPD

Didit està dissenyat des de zero amb la seguretat com a principi fonamental. Cada capa de la plataforma —des de la infraestructura fins als models d’IA— està dissenyada per complir els estàndards internacionals més exigents en matèria de seguretat de la informació, privacitat de les dades i precisió biomètrica.

SOC 2Certificat Type 2

ISOCertificat 27001

GDPRConforme

iBetaCertificat Level 1

FSMProtecció de menors

AI ActA punt

“La verificació amb NFC + prova de vida activa de Didit ofereix una seguretat equivalent o superior a la verificació presencial.” — Informe oficial, Tesoro Público espanyol (tesoro.es)

Després d’una prova d’un any per part dels reguladors financers espanyols —el Tesoro Público, el SEPBLAC (la unitat d’intel·ligència financera), el Banco de España i la CNMV (la comissió nacional del mercat de valors)—, Didit va ser reconegut com l’únic proveïdor el flux de NFC + prova de vida activa del qual assoleix o supera el nivell de seguretat de la verificació d’identitat presencial.

SOC 2 Type 2

Service Organization Controls — Type 2. Una auditoria independent basada en els AICPA Trust Services Criteria va confirmar que els controls de seguretat, disponibilitat i confidencialitat de Didit van operar eficaçment durant el període d’observació del 9 de març a l’1 de juliol de 2026. Emès el juliol de 2026 (Type 1 emès l’abril de 2026). Informe disponible per a clients Enterprise sota acord de confidencialitat (NDA).

FSM Jugendschutz geprüft

Certificació alemanya de protecció de menors. L’organisme d’autoregulació per a la protecció de menors d’Alemanya (FSM) va certificar que el sistema de verificació d’edat de Didit estableix de manera fiable un grup d’usuaris tancat segons la Secció 4(2) de la JMStV, de manera que només els adults verificats accedeixen a contingut amb restricció d’edat.

ISO/IEC 27001

Gestió de la seguretat de la informació. Didit manté un sistema de gestió de la seguretat de la informació (SGSI) certificat que cobreix el disseny, desenvolupament i funcionament de la plataforma de verificació d’identitat. Extractes del certificat disponibles a petició.

ISO/IEC 27017

Controls de seguretat al núvol. Controls de seguretat ampliats i específics per al núvol que complementen la nostra certificació ISO 27001, garantint una protecció robusta per als serveis de verificació basats en el núvol.

ISO/IEC 27018

Protecció de la privacitat al núvol. Controls dedicats a protegir la informació d’identificació personal (PII) en entorns al núvol, anant més enllà dels requisits generals de protecció de dades.

Conforme amb el GDPR

Compliment íntegre de la protecció de dades de la UE. Didit compleix plenament el Reglament general de protecció de dades. Actuem com a encarregat del tractament; tu continues sent el responsable del tractament. Per sol·licitar el DPA i els TOM, envia un correu a privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Detecció d’atacs de presentació biomètrics. La nostra tecnologia de prova de vida té la certificació iBeta Level 1 segons l’estàndard ISO 30107-3, garantint una detecció fiable d’intents de suplantació com ara fotos impreses, reproduccions en pantalla i màscares 3D.

Preparat per a la Llei d'IA de la UE

Compliment en matèria d’IA responsable. Els sistemes de verificació basats en IA de Didit estan dissenyats en concordança amb els requisits de la Llei d’IA de la UE per a sistemes d’IA d’alt risc, incloent-hi transparència, mecanismes de supervisió humana, governança de dades i monitoratge de biaixos.

Compatibilitat amb EBA / MiCA

Alta remota amb garanties de nivell regulador. Un dictamen jurídic independent confirma que l’alta remota de Didit compleix les directrius de l’EBA sobre l’alta remota de clients (EBA/GL/2022/15) i és compatible amb el Single Rulebook d’AML de la UE i MiCA.

Consulta totes les certificacions

La llista completa i sempre actualitzada —SOC 2 Type 2 i Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, l’atestació del regulador espanyol, EBA/MiCA i GDPR— amb dates i com obtenir cada informe. N’afegim contínuament; si necessites una certificació específica, reserva una demo i fes-nos-ho saber.

Tipus de senyal	Capacitat
Deepfakes	+20 models d’IA propietaris, desenvolupats internament per a l’era de la IA generativa. Prova de vida →
Atacs d’injecció	Prevenció de manipulació del flux de la càmera: detecta la reproducció i la injecció de vídeo. Prova de vida →
Falsificació de documents	Detecció d’hologrames, reimpressions, captures de pantalla i alteracions digitals. Verificació d’identitat →
Identitats sintètiques	Contrastació amb bases de dades governamentals oficials d’arreu del món. Validació en bases de dades →
Senyals de comportament	Anàlisi de dispositiu i IP, empremta digital del dispositiu i detecció de reproducció. Anàlisi de dispositiu i IP →
Cerca facial 1:N	Detecció de duplicats i de múltiples comptes entre tots els usuaris verificats. Cerca facial →

El nostre equip expert en frau respon a nous vectors d’atac en qüestió d’hores, no de trimestres. Els models i les regles s’actualitzen contínuament a mesura que canvia l’escenari d’amenaces.

La verificació d’identitat mitjançant biometria està classificada com a d’alt risc segons la Llei d’IA de la UE. Didit aborda aquests requisits de manera proactiva:

Requisit	Com compleix Didit
Gestió de riscos	Avaluació contínua de riscos en tots els models d’IA amb estratègies de mitigació documentades.
Governança de dades	Les dades d’entrenament se seleccionen per garantir-ne la qualitat, rellevància i representativitat. Proves de biaix entre grups demogràfics.
Transparència	Documentació clara de les capacitats i limitacions de la IA. S’informa els usuaris quan la IA processa les seves dades.
Supervisió humana	Els fluxos de treball de revisió manual permeten als operadors humans anul·lar les decisions de la IA en qualsevol moment.
Precisió i robustesa	Prova de vida certificada per iBeta. Avaluació periòdica dels models contra atacs adversaris (deepfakes, injecció, reproducció).
Manteniment de registres	Registres d’auditoria complets i registres de sessions mantinguts per a revisions regulatòries.
No-discriminació	Monitoratge i proves de biaix per edat, gènere, ètnia i tipus de document per garantir un tracte equitatiu.

Didit actualitza contínuament el seu estat de compliment a mesura que es finalitzen les mesures d’execució de la Llei d’IA de la UE. Posa’t en contacte amb el teu representant de Didit per obtenir la documentació més recent sobre la preparació per a la Llei d’IA.

Didit actua com a encarregat del tractament; tu continues sent el responsable del tractament. La plataforma està dissenyada per ser compatible de manera nativa amb el RGPD i els règims locals de protecció de dades.

Aspecte	Detall
Rol d’encarregat	Didit processa les dades personals estrictament en nom teu i sota les teves instruccions.
Regió de processament	UE per defecte (AWS). Els clients Enterprise poden habilitar el processament al mateix país.
Minimització de dades	Els patrons de processament i purga et permeten conservar només els camps que la teva empresa necessita.
Portabilitat de dades	Exporta les dades de les sessions a través de la Console o de l’API en qualsevol moment.
Dret de supressió	Elimina sessions individuals sota demanda a través de la Console o de l’API Delete Session. Envia `deletion_instruction: "privacy_erasure"` per purgar també qualsevol plantilla biomètrica conservada per a aquesta persona.
Plantilles biomètriques	Els embeddings facials s’eliminen amb la sessió per defecte. Una aplicació pot optar per conservar una plantilla biomètrica sense imatge per a la detecció de duplicats; continua sent una dada biomètrica, té un termini de caducitat finit i es purga en eliminar l’usuari, per supressió de privacitat, per caducitat o mitjançant purga explícita. Consulta Plantilles biomètriques.
Controls de conservació	Configura la conservació des d’1 mes fins a 10 anys a Console → App Settings → Data retention.

Responsabilitats del client en els fluxos de verificació

Quan utilitzes Didit en la teva pròpia experiència d’alta, autenticació o verificació, continues sent responsable de la base jurídica i la informació obligatòria per part del responsable del tractament d’aquest flux.

Requisit	Què has de fer
Informar l’usuari sobre qui hi participa	Deixa clar que la teva empresa està sol·licitant la verificació i que Didit és el proveïdor de verificació / encarregat del tractament que gestiona el flux.
Mostrar el teu avís de privacitat	Enllaça amb el teu propi avís de privacitat o informació equivalent abans que l’usuari comenci la verificació.
Enllaçar els documents legals de Didit	Enllaça amb l’Avís de privacitat de verificació de Didit, amb els Termes d’usuari final per a la verificació d’identitat i amb qualsevol altra política de Didit que el teu equip jurídic requereixi.
Recollir el consentiment explícit quan sigui necessari	Si el teu flux captura documents, selfies, vídeo de prova de vida o dades biomètriques, utilitza una casella sense marcar o un altre control d’acció afirmativa sempre que la legislació aplicable exigeixi el consentiment explícit. Per a les persones cobertes per les lleis d’Illinois, Texas o Colorado, el flux allotjat i l’SDK natiu 4.10.0 o posterior poden mostrar el pas de consentiment biomètric de Didit abans de la selfie; els SDK natius anteriors a la versió 4.10.0 no poden fer-ho.
Gestionar correctament la marca blanca i la interfície personalitzada	Si utilitzes un domini personalitzat, un flux de marca blanca o una interfície basada en API, has de mostrar aquesta informació al teu propi producte perquè la marca per si sola no informa del rol de Didit.
Mantenir els teus propis registres	Si el teu equip jurídic requereix proves que s’ha proporcionat la informació o obtingut el consentiment, emmagatzema la versió del text, la marca de temps i les metadades relacionades en els teus propis sistemes.

Didit proporciona la infraestructura de verificació, però no decideix si el teu flux d’usuari específic compleix els requisits de consentiment, d’informació obligatòria o de les lleis biomètriques aplicables a la teva empresa. Revisa la teva implementació amb assessors jurídics abans de passar a producció.

Els subencarregats del tractament de Didit estan llistats a la pàgina de subencarregats. Per sol·licitar un DPA o les TOM, envia un correu a privacy@didit.me. Per a altres atestacions de compliment, contacta amb el teu representant de Didit o envia un correu a hello@didit.me.

Preguntes freqüents sobre seguretat

Quines certificacions té Didit?

Didit compta amb la certificació SOC 2 Type 2 (juliol de 2026, que cobreix el període d’observació del 9 de març a l’1 de juliol de 2026; Type 1 emesa l’abril de 2026), la certificació ISO 27001 de gestió de la seguretat de la informació, les certificacions ISO 27017 i ISO 27018 de seguretat i privadesa al núvol, compleix plenament amb el GDPR, compta amb la certificació iBeta Level 1 (ISO 30107-3) per a la detecció d’atacs de presentació biomètrics, i amb la certificació FSM Jugendschutz geprüft a Alemanya per a la verificació d’edat segons l’article 4(2) de la JMStV. Didit també és l’únic proveïdor avalat pels reguladors financers espanyols (Tesoro, Banco de España, SEPBLAC, CNMV) com a mínim tan segur com la verificació presencial, i compta amb un dictamen jurídic independent que confirma la compatibilitat amb EBA/MiCA. Consulta la llista completa a la pàgina de certificacions. Continuem afegint-ne més: si necessites una certificació específica, reserva una demo i explica’ns-ho.

Les meves dades estan xifrades?

Sí. Totes les dades es xifren en trànsit mitjançant TLS 1.3 i en repòs mitjançant el xifratge AES-256. Utilitzem protocols criptogràfics estàndard del sector a tota la nostra infraestructura.

On s'emmagatzemen i es processen les dades?

Per defecte, totes les dades es processen i s’emmagatzemen a la UE en infraestructura d’AWS. Els clients Enterprise poden sol·licitar el processament dins del país amb opcions locals de residència de les dades, subjectes a disponibilitat.

Com configuro la conservació de dades?

Ves a Business Console → App Settings → Data retention per definir la teva finestra de conservació (d’1 mes a 10 anys). També pots eliminar sessions a petició a través de la Console o mitjançant la Delete Session API. Consulta la pàgina de conservació de dades per a més detalls.

Puc eliminar dades de verificació?

Sí. Pots eliminar sessions individuals a través de la Console o de manera programàtica mitjançant la Delete Session API. Per a una màxima minimització de dades, fes servir el patró de processament i purga per eliminar cada sessió tan bon punt hagis rebut els resultats del seu webhook.

Eliminar una sessió elimina les dades biomètriques?

Per defecte, sí: la imatge facial, el vídeo de prova de vida i l’embedding facial utilitzat per a la detecció de duplicats s’eliminen amb la sessió. Si la teva aplicació ha activat la conservació de plantilles biomètriques, Didit conserva una plantilla biomètrica facial sense imatge vinculada a l’usuari després de l’eliminació operativa d’una sessió. Aquesta plantilla continua sent una dada biomètrica, s’utilitza únicament per a la detecció de duplicats limitada a la teva organització, té una caducitat limitada i es purga en eliminar l’usuari, davant una sol·licitud de supressió per privadesa, en caducar o mitjançant una purga explícita a través de la Biometric Templates API. Les entrades a la llista de bloqueig facial que gestionis són independents i es mantenen fins que les eliminis.

Com gestioneu els incidents de seguretat?

Mantenim un pla documentat de resposta a incidents amb nivells de gravetat definits, procediments d’escalat i protocols de comunicació. Si una bretxa de dades personals afecta les teves dades, et notifiquem en un termini de 48 hores després d’haver-la confirmat, perquè puguis complir les teves pròpies obligacions en virtut del GDPR i de les normatives aplicables.

Didit compleix amb la Llei d'IA de la UE?

Didit s’alinea de manera proactiva amb els requisits de la Llei d’IA de la UE per a sistemes d’IA d’alt risc, incloent-hi la gestió de riscos, la governança de dades, la transparència, la supervisió humana, les proves de precisió i la no discriminació. Actualitzem contínuament la nostra situació de compliment a mesura que es finalitzen les mesures d’implementació.

Puc obtenir documentació de seguretat?

Sí. La llista completa de subencarregats del tractament es publica a la pàgina de subencarregats del tractament. Per sol·licitar un DPA o TOMs, envia un correu a privacy@didit.me. Per als resums de proves de penetració (sota NDA) i extractes de certificats ISO, contacta amb el teu representant de Didit o envia un correu a hello@didit.me.

Com es gestionen els registres d'auditoria?

Cada crida a l’API i acció a la Console es registra amb marques de temps, ID d’usuari i adreces IP. El teu pla determina fins a quant de temps enrere pots consultar els registres d’auditoria: 30 dies a Free, 1 any a Growth, 3 anys a Scale i el que estableixi el teu contracte a Enterprise, amb exportació a Scale i Enterprise. Consulta la pàgina de registres d’auditoria per a més detalls.

Recursos relacionats

Certificacions i atestacions

Totes les credencials que Didit té, amb les dates i les indicacions sobre com obtenir cada informe.

Guia de compliment d'AMLR

Vincula el Reglament AML de la UE als fluxos de treball, endpoints d’API i webhooks de Didit.

Consentiment biomètric

El pas de consentiment explícit per a Illinois, Texas i Colorado, i com es reflecteix a les decisions.

Conservació de dades

Configura polítiques de conservació i implementa patrons que prioritzen la privadesa.

Registres d'auditoria

Fes un seguiment de cada acció amb registres d’auditoria complets.

Webhooks

Rep notificacions en temps real per als esdeveniments de verificació.

Autenticació de l'API

Gestió segura de claus d’API i autenticació.

Visió general

Preus

Fluxos de treball i verificació

Revisió i operacions

Entitats (usuaris i empreses)

Configuració i personalització