> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Seguretat i compliment: SOC 2, ISO 27001, RGPD > Didit compleix amb SOC 2 Tipus 2, ISO 27001, RGPD, iBeta Nivell 1, FSM, l'EU AI Act i està validat pel Tresor d'Espanya i el SEPBLAC. Didit està dissenyat des de zero amb la seguretat com a principi fonamental. Cada capa de la plataforma —des de la infraestructura fins als models d'IA— està dissenyada per complir els estàndards internacionals més exigents en matèria de seguretat de la informació, privacitat de les dades i precisió biomètrica. SOC 2 Certificat Type 2 ISO Certificat 27001 GDPR Conforme iBeta Certificat Level 1 FSM Protecció de menors AI Act A punt *** Validat per organismes governamentals ## Més segur que la verificació presencial Validat pel Tesoro Público espanyol, el SEPBLAC i la CNMV —el primer i únic proveïdor que ha obtingut aquesta validació. > [!NOTE] > > **"La verificació amb NFC + prova de vida activa de Didit ofereix una seguretat equivalent o superior a la verificació presencial."** > — Informe oficial, Tesoro Público espanyol ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)) Després d'una prova d'un any per part dels reguladors financers espanyols —el Tesoro Público, el SEPBLAC (la unitat d'intel·ligència financera), el Banco de España i la CNMV (la comissió nacional del mercat de valors)—, Didit va ser reconegut com l'únic proveïdor el flux de NFC + prova de vida activa del qual assoleix o supera el nivell de seguretat de la verificació d'identitat presencial. ### Únic proveïdor amb aquesta validació Primer i únic proveïdor a superar la prova d'un any dels reguladors financers a Espanya. Independent, adversari i reproduïble. ### 200+ senyals per verificació Senyals biomètrics, de documents, de comportament i de bases de dades contrastats en temps real a cada sessió. ### Connectat a fonts de dades governamentals Integrat d'una en una amb bases de dades governamentals oficials de tot el món per confirmar la identitat contra registres de referència. ### Llicències globals i compliment normatiu Amb certificació SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018, GDPR, iBeta Level 1 (ISO 30107-3) i FSM per a la protecció de menors. Amb llicència i en compliment de la normativa a tots els països on operem. *** Certificacions ## Certificat per a la confiança empresarial La nostra plataforma compleix els estàndards internacionals més exigents en matèria de seguretat de la informació, privacitat de les dades i precisió biomètrica. > [card] SOC 2 Type 2 > > **Service Organization Controls — Type 2.** Una auditoria independent basada en els AICPA Trust Services Criteria va confirmar que els controls de seguretat, disponibilitat i confidencialitat de Didit **van operar eficaçment durant el període d'observació del 9 de març a l'1 de juliol de 2026**. Emès el juliol de 2026 (Type 1 emès l'abril de 2026). Informe disponible per a clients Enterprise sota acord de confidencialitat (NDA). > [card] FSM Jugendschutz geprüft > > **Certificació alemanya de protecció de menors.** L'organisme d'autoregulació per a la protecció de menors d'Alemanya (FSM) va certificar que el sistema de verificació d'edat de Didit estableix de manera fiable un grup d'usuaris tancat segons la **Secció 4(2) de la JMStV**, de manera que només els adults verificats accedeixen a contingut amb restricció d'edat. > [card] ISO/IEC 27001 > > **Gestió de la seguretat de la informació.** Didit manté un sistema de gestió de la seguretat de la informació (SGSI) certificat que cobreix el disseny, desenvolupament i funcionament de la plataforma de verificació d'identitat. Extractes del certificat disponibles a petició. > [card] ISO/IEC 27017 > > **Controls de seguretat al núvol.** Controls de seguretat ampliats i específics per al núvol que complementen la nostra certificació ISO 27001, garantint una protecció robusta per als serveis de verificació basats en el núvol. > [card] ISO/IEC 27018 > > **Protecció de la privacitat al núvol.** Controls dedicats a protegir la informació d'identificació personal (PII) en entorns al núvol, anant més enllà dels requisits generals de protecció de dades. > [card] Conforme amb el GDPR > > **Compliment íntegre de la protecció de dades de la UE.** Didit compleix plenament el Reglament general de protecció de dades. Actuem com a encarregat del tractament; tu continues sent el responsable del tractament. Per sol·licitar el DPA i els TOM, envia un correu a [privacy@didit.me](mailto:privacy@didit.me). > [card] iBeta Level 1 — ISO 30107-3 > > **Detecció d'atacs de presentació biomètrics.** La nostra tecnologia de prova de vida té la certificació iBeta Level 1 segons l'estàndard ISO 30107-3, garantint una detecció fiable d'intents de suplantació com ara fotos impreses, reproduccions en pantalla i màscares 3D. > [card] Preparat per a la Llei d'IA de la UE > > **Compliment en matèria d'IA responsable.** Els sistemes de verificació basats en IA de Didit estan dissenyats en concordança amb els requisits de la Llei d'IA de la UE per a sistemes d'IA d'alt risc, incloent-hi transparència, mecanismes de supervisió humana, governança de dades i monitoratge de biaixos. > [card] Compatibilitat amb EBA / MiCA > > **Alta remota amb garanties de nivell regulador.** Un dictamen jurídic independent confirma que l'alta remota de Didit compleix les directrius de l'EBA sobre l'alta remota de clients (EBA/GL/2022/15) i és compatible amb el Single Rulebook d'AML de la UE i MiCA. > [card] [Consulta totes les certificacions](https://docs.didit.me/ca/getting-started/certifications.md) > > La llista completa i sempre actualitzada —SOC 2 Type 2 i Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, l'atestació del regulador espanyol, EBA/MiCA i GDPR— amb dates i com obtenir cada informe. N'afegim contínuament; si necessites una certificació específica, [reserva una demo](https://didit.me/get-a-demo/) i fes-nos-ho saber. *** Infraestructura de seguretat ## Com protegim les teves dades ### Xifratge d'extrem a extrem Totes les dades es xifren en trànsit (TLS 1.3) i en repòs (AES-256). Els protocols criptogràfics estàndard del sector protegeixen la informació confidencial en cada etapa. ### Control d'accés basat en rols Els permisos granulars i l'accés basat en rols garanteixen que només el personal autoritzat pugui accedir a les dades de verificació i a les configuracions del sistema. ### Registres d'auditoria complets Cada acció es registra amb marques de temps, ID d'usuari i adreces IP. El teu pla estableix fins a quina antiguitat pots consultar els registres d'auditoria: 30 dies a Free, 1 any a Growth, 3 anys a Scale i el que indiqui el teu contracte a Enterprise, amb exportació a Scale i Enterprise. ### Monitoratge de seguretat 24/7 Monitoratge continu i detecció automatitzada d'amenaces a tota la nostra infraestructura amb alertes en temps real per a activitats sospitoses. ### Infraestructura basada a la UE Per defecte, les dades es processen i s'emmagatzemen a la UE en servidors d'AWS. Els clients Enterprise poden habilitar el processament al mateix país amb opcions locals de residència de les dades. ### Conservació de dades configurable Configura polítiques de conservació des d'1 mes fins a 10 anys, o elimina sessions sota demanda mitjançant l'API. S'admeten patrons de processament i purga per minimitzar la petjada de dades. Qualsevol plantilla biomètrica que decideixis conservar després d'eliminar una sessió té la seva pròpia caducitat definida. *** Senyals de frau ## 200+ senyals, bucle de frau en temps real Bucle de frau totalment integrat: detecta, analitza i soluciona en temps real. Cada verificació s'avalua en funció de 200+ senyals procedents de fonts biomètriques, documentals, de comportament i de bases de dades. | Tipus de senyal | Capacitat | | - | - | | **Deepfakes** | +20 models d'IA propietaris, desenvolupats internament per a l'era de la IA generativa. [Prova de vida →](https://docs.didit.me/ca/core-technology/liveness/overview.md) | | **Atacs d'injecció** | Prevenció de manipulació del flux de la càmera: detecta la reproducció i la injecció de vídeo. [Prova de vida →](https://docs.didit.me/ca/core-technology/liveness/overview.md) | | **Falsificació de documents** | Detecció d'hologrames, reimpressions, captures de pantalla i alteracions digitals. [Verificació d'identitat →](https://docs.didit.me/ca/core-technology/id-verification/overview.md) | | **Identitats sintètiques** | Contrastació amb bases de dades governamentals oficials d'arreu del món. [Validació en bases de dades →](https://docs.didit.me/ca/core-technology/database-validation/overview.md) | | **Senyals de comportament** | Anàlisi de dispositiu i IP, empremta digital del dispositiu i detecció de reproducció. [Anàlisi de dispositiu i IP →](https://docs.didit.me/ca/core-technology/ip-analysis/overview.md) | | **Cerca facial 1:N** | Detecció de duplicats i de múltiples comptes entre tots els usuaris verificats. [Cerca facial →](https://docs.didit.me/ca/core-technology/face-search/overview.md) | > [!TIP] > > El nostre equip expert en frau respon a nous vectors d'atac en qüestió d'hores, no de trimestres. Els models i les regles s'actualitzen contínuament a mesura que canvia l'escenari d'amenaces. *** Compliment de la Llei d'IA ## IA responsable per disseny Com a plataforma d'identitat nativa d'IA, Didit es pren seriosament la Llei d'IA de la UE. Els nostres sistemes estan dissenyats per complir els requisits per a aplicacions d'IA d'alt risc. La verificació d'identitat mitjançant biometria està classificada com a **d'alt risc** segons la Llei d'IA de la UE. Didit aborda aquests requisits de manera proactiva: | Requisit | Com compleix Didit | | - | - | | **Gestió de riscos** | Avaluació contínua de riscos en tots els models d'IA amb estratègies de mitigació documentades. | | **Governança de dades** | Les dades d'entrenament se seleccionen per garantir-ne la qualitat, rellevància i representativitat. Proves de biaix entre grups demogràfics. | | **Transparència** | Documentació clara de les capacitats i limitacions de la IA. S'informa els usuaris quan la IA processa les seves dades. | | **Supervisió humana** | Els fluxos de treball de revisió manual permeten als operadors humans anul·lar les decisions de la IA en qualsevol moment. | | **Precisió i robustesa** | Prova de vida certificada per iBeta. Avaluació periòdica dels models contra atacs adversaris (deepfakes, injecció, reproducció). | | **Manteniment de registres** | Registres d'auditoria complets i registres de sessions mantinguts per a revisions regulatòries. | | **No-discriminació** | Monitoratge i proves de biaix per edat, gènere, ètnia i tipus de document per garantir un tracte equitatiu. | > [!NOTE] > > Didit actualitza contínuament el seu estat de compliment a mesura que es finalitzen les mesures d'execució de la Llei d'IA de la UE. Posa't en contacte amb el teu representant de Didit per obtenir la documentació més recent sobre la preparació per a la Llei d'IA. *** Protecció de dades ## El teu soci en protecció de dades Didit actua com a **encarregat del tractament**; tu continues sent el **responsable del tractament**. La plataforma està dissenyada per ser compatible de manera nativa amb el RGPD i els règims locals de protecció de dades. | Aspecte | Detall | | - | - | | **Rol d'encarregat** | Didit processa les dades personals estrictament en nom teu i sota les teves instruccions. | | **Regió de processament** | UE per defecte (AWS). Els clients Enterprise poden habilitar el processament al mateix país. | | **Minimització de dades** | Els patrons de processament i purga et permeten conservar només els camps que la teva empresa necessita. | | **Portabilitat de dades** | Exporta les dades de les sessions a través de la Console o de l'API en qualsevol moment. | | **Dret de supressió** | Elimina sessions individuals sota demanda a través de la Console o de l'API [Delete Session](https://docs.didit.me/ca/sessions-api/delete-session.md). Envia `deletion_instruction: "privacy_erasure"` per purgar també qualsevol plantilla biomètrica conservada per a aquesta persona. | | **Plantilles biomètriques** | Els embeddings facials s'eliminen amb la sessió per defecte. Una aplicació pot optar per conservar una plantilla biomètrica sense imatge per a la detecció de duplicats; continua sent una dada biomètrica, té un termini de caducitat finit i es purga en eliminar l'usuari, per supressió de privacitat, per caducitat o mitjançant purga explícita. Consulta [Plantilles biomètriques](https://docs.didit.me/ca/management-api/biometric-templates/overview.md). | | **Controls de conservació** | Configura la conservació des d'1 mes fins a 10 anys a **Console → App Settings → Data retention**. | ## Responsabilitats del client en els fluxos de verificació Quan utilitzes Didit en la teva pròpia experiència d'alta, autenticació o verificació, continues sent responsable de la **base jurídica i la informació obligatòria per part del responsable del tractament** d'aquest flux. | Requisit | Què has de fer | | - | - | | **Informar l'usuari sobre qui hi participa** | Deixa clar que la teva empresa està sol·licitant la verificació i que Didit és el proveïdor de verificació / encarregat del tractament que gestiona el flux. | | **Mostrar el teu avís de privacitat** | Enllaça amb el teu propi avís de privacitat o informació equivalent abans que l'usuari comenci la verificació. | | **Enllaçar els documents legals de Didit** | Enllaça amb l'[Avís de privacitat de verificació](https://didit.me/terms/verification-privacy-notice) de Didit, amb els [Termes d'usuari final per a la verificació d'identitat](https://didit.me/terms/identity-verification) i amb qualsevol altra política de Didit que el teu equip jurídic requereixi. | | **Recollir el consentiment explícit quan sigui necessari** | Si el teu flux captura documents, selfies, vídeo de prova de vida o dades biomètriques, utilitza una casella sense marcar o un altre control d'acció afirmativa sempre que la legislació aplicable exigeixi el consentiment explícit. Per a les persones cobertes per les lleis d'Illinois, Texas o Colorado, el flux allotjat i l'SDK natiu 4.10.0 o posterior poden mostrar el [pas de consentiment biomètric](https://docs.didit.me/ca/getting-started/biometric-consent.md) de Didit abans de la selfie; els SDK natius anteriors a la versió 4.10.0 no poden fer-ho. | | **Gestionar correctament la marca blanca i la interfície personalitzada** | Si utilitzes un domini personalitzat, un flux de marca blanca o una interfície basada en API, has de mostrar aquesta informació al teu propi producte perquè la marca per si sola no informa del rol de Didit. | | **Mantenir els teus propis registres** | Si el teu equip jurídic requereix proves que s'ha proporcionat la informació o obtingut el consentiment, emmagatzema la versió del text, la marca de temps i les metadades relacionades en els teus propis sistemes. | > [!WARNING] > > Didit proporciona la infraestructura de verificació, però no decideix si el teu flux d'usuari específic compleix els requisits de consentiment, d'informació obligatòria o de les lleis biomètriques aplicables a la teva empresa. Revisa la teva implementació amb assessors jurídics abans de passar a producció. > [!NOTE] > > Els subencarregats del tractament de Didit estan llistats a la [pàgina de subencarregats](https://didit.me/legal/sub-processors). Per sol·licitar un DPA o les TOM, envia un correu a [privacy@didit.me](mailto:privacy@didit.me). Per a altres atestacions de compliment, contacta amb el teu representant de Didit o envia un correu a [hello@didit.me](mailto:hello@didit.me). *** Seguretat operativa ## Protecció contínua ### Proves de penetració Proves de penetració periòdiques d'empreses externes amb seguiment de les mesures correctives. Informes disponibles per a clients empresarials sota acord de confidencialitat (NDA). ### Cap bretxa coneguda Cap bretxa de seguretat notificada fins avui. Procediments de resposta a incidents provats i documentats. ### Equip intern de seguretat Equip de ciberseguretat dedicat amb accés amb els privilegis mínims i estricta separació d'entorns en tots els sistemes. ### Seguretat de les claus d'API Claus d'API separades per a Sandbox i Live. Les claus es poden rotar en qualsevol moment des de la Business Console. *** ## Preguntes freqüents sobre seguretat > [accordion] Quines certificacions té Didit? > > Didit compta amb la **certificació SOC 2 Type 2** (juliol de 2026, que cobreix el període d'observació del 9 de març a l'1 de juliol de 2026; Type 1 emesa l'abril de 2026), la certificació ISO 27001 de gestió de la seguretat de la informació, les certificacions ISO 27017 i ISO 27018 de seguretat i privadesa al núvol, compleix plenament amb el GDPR, compta amb la certificació iBeta Level 1 (ISO 30107-3) per a la detecció d'atacs de presentació biomètrics, i amb la certificació **FSM Jugendschutz geprüft** a Alemanya per a la verificació d'edat segons l'article 4(2) de la JMStV. Didit també és l'únic proveïdor avalat pels reguladors financers espanyols (Tesoro, Banco de España, SEPBLAC, CNMV) com a mínim tan segur com la verificació presencial, i compta amb un dictamen jurídic independent que confirma la compatibilitat amb EBA/MiCA. Consulta la llista completa a la [pàgina de certificacions](https://docs.didit.me/ca/getting-started/certifications.md). Continuem afegint-ne més: si necessites una certificació específica, [reserva una demo](https://didit.me/get-a-demo/) i explica'ns-ho. > [accordion] Les meves dades estan xifrades? > > Sí. Totes les dades es xifren en trànsit mitjançant TLS 1.3 i en repòs mitjançant el xifratge AES-256. Utilitzem protocols criptogràfics estàndard del sector a tota la nostra infraestructura. > [accordion] On s'emmagatzemen i es processen les dades? > > Per defecte, totes les dades es processen i s'emmagatzemen a la UE en infraestructura d'AWS. Els clients Enterprise poden sol·licitar el processament dins del país amb opcions locals de residència de les dades, subjectes a disponibilitat. > [accordion] Com configuro la conservació de dades? > > Ves a **Business Console → App Settings → Data retention** per definir la teva finestra de conservació (d'1 mes a 10 anys). També pots eliminar sessions a petició a través de la Console o mitjançant la [Delete Session API](https://docs.didit.me/ca/sessions-api/delete-session.md). Consulta la pàgina de [conservació de dades](https://docs.didit.me/ca/console/data-retention.md) per a més detalls. > [accordion] Puc eliminar dades de verificació? > > Sí. Pots eliminar sessions individuals a través de la Console o de manera programàtica mitjançant la [Delete Session API](https://docs.didit.me/ca/sessions-api/delete-session.md). Per a una màxima minimització de dades, fes servir el patró de processament i purga per eliminar cada sessió tan bon punt hagis rebut els resultats del seu webhook. > [accordion] Eliminar una sessió elimina les dades biomètriques? > > Per defecte, sí: la imatge facial, el vídeo de prova de vida i l'embedding facial utilitzat per a la detecció de duplicats s'eliminen amb la sessió. Si la teva aplicació ha activat la [conservació de plantilles biomètriques](https://docs.didit.me/ca/console/data-retention.md#conservació-de-plantilles-biomètriques), Didit conserva una plantilla biomètrica facial sense imatge vinculada a l'usuari després de l'eliminació operativa d'una sessió. Aquesta plantilla continua sent una dada biomètrica, s'utilitza únicament per a la detecció de duplicats limitada a la teva organització, té una caducitat limitada i es purga en eliminar l'usuari, davant una sol·licitud de supressió per privadesa, en caducar o mitjançant una purga explícita a través de la [Biometric Templates API](https://docs.didit.me/ca/management-api/biometric-templates/overview.md). Les entrades a la llista de bloqueig facial que gestionis són independents i es mantenen fins que les eliminis. > [accordion] Com gestioneu els incidents de seguretat? > > Mantenim un pla documentat de resposta a incidents amb nivells de gravetat definits, procediments d'escalat i protocols de comunicació. Si una bretxa de dades personals afecta les teves dades, et notifiquem en un termini de 48 hores després d'haver-la confirmat, perquè puguis complir les teves pròpies obligacions en virtut del GDPR i de les normatives aplicables. > [accordion] Didit compleix amb la Llei d'IA de la UE? > > Didit s'alinea de manera proactiva amb els requisits de la Llei d'IA de la UE per a sistemes d'IA d'alt risc, incloent-hi la gestió de riscos, la governança de dades, la transparència, la supervisió humana, les proves de precisió i la no discriminació. Actualitzem contínuament la nostra situació de compliment a mesura que es finalitzen les mesures d'implementació. > [accordion] Puc obtenir documentació de seguretat? > > Sí. La llista completa de subencarregats del tractament es publica a la [pàgina de subencarregats del tractament](https://didit.me/legal/sub-processors). Per sol·licitar un DPA o TOMs, envia un correu a [privacy@didit.me](mailto:privacy@didit.me). Per als resums de proves de penetració (sota NDA) i extractes de certificats ISO, contacta amb el teu representant de Didit o envia un correu a [hello@didit.me](mailto:hello@didit.me). > [accordion] Com es gestionen els registres d'auditoria? > > Cada crida a l'API i acció a la Console es registra amb marques de temps, ID d'usuari i adreces IP. El teu pla determina fins a quant de temps enrere pots consultar els registres d'auditoria: 30 dies a Free, 1 any a Growth, 3 anys a Scale i el que estableixi el teu contracte a Enterprise, amb exportació a Scale i Enterprise. Consulta la pàgina de [registres d'auditoria](https://docs.didit.me/ca/console/audit-logs.md) per a més detalls. *** ## Recursos relacionats > [card] [Certificacions i atestacions](https://docs.didit.me/ca/getting-started/certifications.md) > > Totes les credencials que Didit té, amb les dates i les indicacions sobre com obtenir cada informe. > [card] [Guia de compliment d'AMLR](https://docs.didit.me/ca/getting-started/amlr-compliance.md) > > Vincula el Reglament AML de la UE als fluxos de treball, endpoints d'API i webhooks de Didit. > [card] [Consentiment biomètric](https://docs.didit.me/ca/getting-started/biometric-consent.md) > > El pas de consentiment explícit per a Illinois, Texas i Colorado, i com es reflecteix a les decisions. > [card] [Conservació de dades](https://docs.didit.me/ca/console/data-retention.md) > > Configura polítiques de conservació i implementa patrons que prioritzen la privadesa. > [card] [Registres d'auditoria](https://docs.didit.me/ca/console/audit-logs.md) > > Fes un seguiment de cada acció amb registres d'auditoria complets. > [card] [Webhooks](https://docs.didit.me/ca/integration/webhooks.md) > > Rep notificacions en temps real per als esdeveniments de verificació. > [card] [Autenticació de l'API](https://docs.didit.me/ca/getting-started/api-authentication.md) > > Gestió segura de claus d'API i autenticació. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.