> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Retención y eliminación de datos según el RGPD > Configura cuánto tiempo guarda Didit los datos de verificación, elimina sesiones a demanda y aplica un KYC con privacidad desde el diseño: UE, RGPD y DPA. ## Rol y ubicación del procesamiento | Aspecto | Detalle | | - | - | | **Rol de encargado** | Didit actúa como **encargado del tratamiento**; tú sigues siendo el responsable del tratamiento. | | **Región de procesamiento** | UE por defecto. Las cuentas Enterprise pueden activar el **procesamiento en el país** (residencia local de los datos), sujeto a disponibilidad y contrato. | | **Postura regulatoria** | Diseñado para respaldar el **RGPD** y los regímenes locales de protección de datos. Configura la retención más abajo para cumplir tus obligaciones. | > [!NOTE] > > ¿Necesitas un DPA, las TOM u otras certificaciones de cumplimiento? Contacta con tu representante de Didit. *** ## Controles de retención Configura la retención en **Business Console → Configuración de la aplicación → Retención de datos**. **1. Abre los ajustes de retención** Ve a **Business Console → Configuración de la aplicación → Retención de datos**. **2. Elige una política de retención** Selecciona un periodo de **1 mes** a **10 años**. **Ilimitado** y los periodos personalizados están disponibles en Enterprise. Una aplicación nueva empieza con el periodo más largo que incluye su plan: **1 año** en Free, **5 años** en Growth, **10 años** en Scale e **ilimitado** en Enterprise. **3. Guarda** Haz clic en **Guardar** para aplicar la política a todas las sesiones futuras y existentes. La política se aplica a las entradas y salidas de verificación, a los resultados derivados y a los metadatos operativos que Didit almacena. Cuando una sesión llega al final del periodo, se elimina exactamente igual que con [Delete Session](https://docs.didit.me/sessions-api/delete-session.md), incluido su embedding facial, salvo que hayas activado la [retención de plantillas biométricas](#retención-de-plantillas-biométricas). ![Ajustes de retención de datos en la Business Console](https://mintcdn.com/didit-0f962782/z6T2GHM4Zh-iSj-K/images/data-retention-settings.png?fit=max\&auto=format\&n=z6T2GHM4Zh-iSj-K\&q=85\&s=e2ca6a8e32ed8ec5a2cd910d3cdbaefc) *** ## Eliminación manual Elimina sesiones individuales desde la consola cuando necesites eliminaciones puntuales. 1. Ve a **Panel → Verificaciones**. 2. Busca o filtra la sesión que quieres eliminar. 3. Haz clic en el botón **Eliminar** (arriba a la derecha) y confirma. ![Eliminar una sesión de verificación desde la consola](https://mintcdn.com/didit-0f962782/z6T2GHM4Zh-iSj-K/images/data-retention-delete-session.png?fit=max\&auto=format\&n=z6T2GHM4Zh-iSj-K\&q=85\&s=ff1947059d7d9d60643b7568e189e3a6) *** ## Eliminación mediante programación Elimina una sesión a través de la API en cualquier momento llamando al endpoint [Delete Session](https://docs.didit.me/sessions-api/delete-session.md). ```bash theme={null} curl --request DELETE \ --url https://verification.didit.me/v3/session/{session_id}/delete/ \ --header 'x-api-key: YOUR_API_KEY' ``` | Respuesta | Significado | | - | - | | `200 OK` | Sesión eliminada. El cuerpo indica qué ocurrió con los datos biométricos faciales (`face_retention_outcome`). | | `404 Not Found` | La sesión ya se eliminó o el `session_id` es desconocido. | Para una solicitud de supresión de un interesado, envía `{"deletion_instruction": "privacy_erasure"}` en el cuerpo para que también se purgue cualquier plantilla biométrica conservada de esa persona. *** ## Retención de plantillas biométricas Cada sesión KYC con un selfie de prueba de vida lleva un embedding facial que alimenta la detección de duplicados y la [búsqueda facial 1:N](https://docs.didit.me/es/core-technology/face-search/overview.md). Por defecto, ese embedding se elimina junto con la sesión, de modo que una persona cuya sesión eliminaste puede verificarse de nuevo sin que se la marque como duplicada. Los flujos cuyo paso de prueba de vida tiene la [búsqueda facial automática desactivada](https://docs.didit.me/es/core-technology/face-search/overview.md#desactivar-la-búsqueda-facial-automática) nunca almacenan ese embedding, por lo que la retención no tiene nada que conservar para sus sesiones. Si eliminas las sesiones poco después de su aprobación pero aun así necesitas detectar registros repetidos, activa la **retención de plantillas biométricas**. Didit elimina entonces la sesión y todos sus datos como siempre y conserva una plantilla biométrica facial sin imagen, gestionada por separado y anclada al usuario. > [!WARNING] > > Una plantilla biométrica conservada es un dato biométrico. No es anónima, no es transitoria y no se elimina con la sesión. Permanece hasta su vencimiento programado, un plazo anterior de la ley aplicable, la eliminación del usuario, una solicitud de supresión por privacidad o una purga explícita. Activa la retención solo cuando tu instrucción como responsable del tratamiento y tu aviso de privacidad la cubran, y elige un periodo de retención que cumpla las leyes aplicables a tus usuarios. ### Actívala **1. Abre los ajustes de retención** Ve a **Business Console → Configuración de la aplicación → Retención de datos**. **2. Activa Conservar plantilla biométrica** Selecciona **Conservar hasta el vencimiento programado o una eliminación anterior**. El ajuste dice: *Conserva una plantilla biométrica facial sin imagen para la detección de duplicados a nivel de organización tras la eliminación operativa de la sesión. Sigue siendo un dato biométrico y se elimina según su calendario configurado, un plazo legal aplicable, la eliminación del Usuario, una solicitud de supresión por privacidad o una purga explícita.* **3. Define un periodo de retención finito** Introduce el número de días (de 1 a 3650) que se puede conservar una plantilla. El ajuste no se puede guardar sin él. Didit aplica el más corto entre este periodo, tu periodo de retención general y cualquier plazo que envíes en una llamada de eliminación. **4. Guarda** La política se aplica a las eliminaciones a partir de ahora. Cambiar el ajuste no crea ni purga ninguna plantilla existente. Mediante programación, define la misma política con `PATCH /v3/webhook/`: ```bash theme={null} curl -X PATCH https://verification.didit.me/v3/webhook/ \ -H "x-api-key: YOUR_API_KEY" \ -H "Content-Type: application/json" \ -d '{"face_retention_policy": "retain_until_user_deleted", "face_retention_days": 365}' ``` | Campo | Valores | Descripción | | - | - | - | | `face_retention_policy` | `delete_with_session` (predeterminado), `retain_until_user_deleted` | Qué ocurre con el embedding facial cuando se elimina una sesión. | | `face_retention_days` | entero de 1 a 3650 | Periodo de retención finito de las plantillas conservadas. Obligatorio cuando la política es `retain_until_user_deleted`; sin él, la solicitud se rechaza con `400`. | Las aplicaciones existentes se mantienen en `delete_with_session` hasta que cambies la política. Nada activa la retención en tu nombre. ### Qué se conserva y qué se elimina | Se elimina con la sesión | Se conserva (solo si lo activas) | | - | - | | La decisión, los datos extraídos y cada registro de función | La plantilla facial numérica usada para la comparación | | Imágenes de documentos, retratos, selfies, vídeo de prueba de vida, documentos de prueba de domicilio, archivos adicionales | Un nuevo ID de plantilla aleatorio y una referencia de procedencia opaca | | El ID de sesión, el número y su vínculo con cualquier archivo multimedia | El usuario propietario, las fechas de retención, la clase y el ID de la instrucción, y el ID de la entidad que actúa | La plantilla conservada está limitada a tu organización y se usa únicamente según tu instrucción para detectar rostros duplicados y multicuentas, para la autenticación biométrica y para tus propias listas de rostros. Nunca se usa para entrenar modelos, para analítica, para coincidencias entre organizaciones ni para el tratamiento antifraude propio de Didit. ### Control por eliminación Cada eliminación informa de su resultado, y cada llamada de eliminación puede anular la política: * **Consola**: la confirmación de eliminación muestra si la plantilla de cada sesión se conservará o se eliminará. La confirmación dice: *Esto elimina la sesión e inicia la eliminación de sus datos de sesión. Si la retención de plantillas biométricas está habilitada para esta eliminación operativa, una plantilla biométrica sin imagen permanece por separado hasta su vencimiento programado o una purga anterior. Las solicitudes de supresión por privacidad también purgan la plantilla.* Las sesiones sin usuario no pueden conservar una plantilla y se marcan como tales. * **API**: envía `retain_face_embeddings`, `face_retention_days`, `face_retention_deadline`, `deletion_instruction` e `instruction_id` en [Delete Session](https://docs.didit.me/sessions-api/delete-session.md) o [Batch Delete Sessions](https://docs.didit.me/management-api/sessions/batch-delete.md). ### Dos tipos de instrucción de eliminación | Instrucción | Qué hace | | - | - | | Eliminación operativa de la sesión (`operational_session_delete`, predeterminada) | Elimina la sesión y sus datos. Solo se conserva una plantilla cuando lo indica la política o la solicitud, y la respuesta indica el resultado. | | Supresión por privacidad (`privacy_erasure`) | Elimina la sesión y purga todas las plantillas conservadas de esa persona. La política de la aplicación no puede anularla. Úsala para solicitudes de interesados. | ### Cuándo se purga una plantilla * La purgas en **Listas → Plantillas biométricas** o mediante la [Biometric Templates API](https://docs.didit.me/management-api/biometric-templates/overview.md). * Eliminas al usuario con [Batch Delete Users](https://docs.didit.me/management-api/users/delete.md). * Eliminas cualquier sesión de ese usuario con `deletion_instruction: "privacy_erasure"`. * Termina su periodo de retención. Didit la purga automáticamente. Volver a poner la política en **Eliminar junto con la sesión** detiene la creación de nuevas plantillas, pero no purga las existentes; púrgalas de forma explícita. ### Dónde verlas * **Listas → Plantillas biométricas** enumera todas las plantillas con su usuario, origen, fechas de conservación y vencimiento, y estado, con purga individual y masiva. * **Usuarios → \[usuario] → Plantillas biométricas** muestra las plantillas ancladas a un usuario. * La [Biometric Templates API](https://docs.didit.me/management-api/biometric-templates/overview.md) expone los mismos datos y acciones, y cada conservación y purga queda registrada en el registro de auditoría. > [!NOTE] > > Las plantillas conservadas están cubiertas por los términos de datos biométricos de tu DPA. Nada de esta página es asesoramiento jurídico: sigues siendo responsable de la base jurídica, los avisos, el consentimiento y el periodo de retención aplicables a tus usuarios. *** ## Patrón de procesar y purgar Para una minimización de datos máxima, procesa los datos de verificación con Didit y púrgalos inmediatamente después de recibir los resultados por webhooks. **1. Crea una sesión** Tu backend llama a la API [Create Session](https://docs.didit.me/sessions-api/create-session.md). **2. Didit ejecuta las comprobaciones** La identidad, la prueba de vida, el AML y cualquier otra comprobación configurada se ejecutan automáticamente. **3. Recibe el webhook** Didit envía un [webhook](https://docs.didit.me/integration/webhooks.md) con `status`, `session_id`, `vendor_data` y todos los datos de la verificación. **4. Conserva solo lo que necesitas** Almacena los campos mínimos necesarios para tus registros (por ejemplo, `status`, `vendor_data`). **5. Elimina de Didit** Llama a la API [Delete Session](https://docs.didit.me/sessions-api/delete-session.md) con ese `session_id` para eliminar de Didit la sesión y sus datos. Si dependes de la detección de duplicados en futuros registros, activa antes la [retención de plantillas biométricas](#retención-de-plantillas-biométricas); de lo contrario, el embedding facial también se elimina. *** ## Seguridad y garantías > **ISO/IEC 27001** > > SGSI implantado. Certificado y extractos disponibles bajo petición. > **Pruebas de penetración** > > Pruebas de penetración periódicas realizadas por terceros, con seguimiento de la corrección. > **Sin brechas conocidas** > > No se ha notificado ninguna brecha de seguridad hasta la fecha. > **Equipo de seguridad interno** > > Equipo de ciberseguridad dedicado, con acceso de mínimo privilegio y separación estricta de entornos. > [!NOTE] > > Toda la actividad de la API se registra en los **Registros de auditoría** para seguridad, cumplimiento y resolución de problemas. Los registros se conservan durante **365 días** y después se eliminan automáticamente. *** ## Almacenamiento con privacidad minimizada Estamos añadiendo funciones que te permiten **conservar solo campos de datos seleccionados**, por ejemplo mantener `status` y `vendor_data` mientras se purgan automáticamente los artefactos más pesados, como imágenes y documentos. Esto da un control más estricto a los equipos que trabajan bajo principios de minimización de datos. > [!TIP] > > ¿Quieres acceso anticipado a las reglas de retención a nivel de artefacto? Contacta con tu representante de Didit. *** ## Preguntas frecuentes > **¿Puedo definir una retención distinta por entorno?** > > Sí. Puedes configurar políticas de retención distintas para cada aplicación que tengas en Didit. > **¿Puedo exportar los datos antes de eliminarlos?** > > Sí. Exporta los datos de la sesión desde la consola o la API y después llama al endpoint Delete Session. > **¿Se detectará como duplicado a un usuario eliminado?** > > Solo si activaste la retención de plantillas biométricas antes de eliminar su sesión. Por defecto, el embedding facial se elimina con la sesión y la persona puede verificarse de nuevo sin una marca de duplicado. Consulta [Retención de plantillas biométricas](#retención-de-plantillas-biométricas). > **¿Dónde puedo ver quién accedió a qué?** > > Usa los **Registros de auditoría** de la consola. Filtra por usuario, endpoint o rango de fechas. Los registros se conservan durante **365 días**. *** ## Lista de comprobación de implementación **1. Configura la retención** Define tu política de retención en **Consola → Configuración de la aplicación → Retención de datos**. **2. Suscríbete a los webhooks** Configura los [webhooks](https://docs.didit.me/integration/webhooks.md) y verifica las firmas. **3. Conserva los campos mínimos** Almacena solo los campos que tu negocio necesita. **4. Implementa la eliminación mediante programación** Llama a la API [Delete Session](https://docs.didit.me/sessions-api/delete-session.md) si usas el patrón de procesar y purgar. **5. Confirma la región de procesamiento** Verifica tu región de procesamiento (UE por defecto, o en el país para Enterprise). **6. Separa los entornos** Usa claves de API de Sandbox y de producción distintas, con políticas de retención independientes. Rota las claves con regularidad. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.