Seguridad y cumplimiento: SOC 2, ISO 27001 y RGPD

Didit está construido desde cero con la seguridad como principio de primer nivel. Cada capa de la plataforma, desde la infraestructura hasta los modelos de IA, está diseñada para cumplir los más altos estándares internacionales de seguridad de la información, privacidad de datos y precisión biométrica.

SOC 2Certificado Tipo 2

ISOCertificado 27001

RGPDConforme

iBetaCertificado Nivel 1

FSMProtección de menores

Ley de IAPreparado

«La verificación NFC + prueba de vida activa de Didit ofrece una seguridad equivalente o superior a la verificación presencial.»

Informe oficial del Tesoro español (tesoro.es)

Tras un año de pruebas por parte de los reguladores financieros españoles (el Tesoro Público, el SEPBLAC, la unidad de inteligencia financiera, el Banco de España y la CNMV, la comisión del mercado de valores), Didit fue reconocido como el único proveedor cuyo flujo de NFC + prueba de vida activa iguala o supera el nivel de seguridad de la verificación de identidad presencial.

SOC 2 Tipo 2

Service Organization Controls, Tipo 2. Una auditoría independiente según los Trust Services Criteria de la AICPA confirmó que los controles de seguridad, disponibilidad y confidencialidad de Didit funcionaron de forma eficaz durante el periodo de observación del 9 de marzo al 1 de julio de 2026. Emitido en julio de 2026 (el Tipo 1 se emitió en abril de 2026). Informe disponible para clientes empresariales bajo NDA.

FSM Jugendschutz geprüft

Certificación alemana de protección de menores. El organismo alemán de autorregulación de la protección de menores (FSM) certificó que el Age Verification System de Didit establece de forma fiable un grupo cerrado de usuarios conforme a la Sección 4(2) del JMStV, de modo que solo los adultos verificados acceden a contenido con restricción de edad.

ISO/IEC 27001

Gestión de la seguridad de la información. Didit mantiene un Sistema de Gestión de Seguridad de la Información (SGSI) certificado que cubre el diseño, el desarrollo y la operación de la plataforma de verificación de identidad. Extractos del certificado disponibles bajo petición.

ISO/IEC 27017

Controles de seguridad en la nube. Controles de seguridad específicos para la nube que complementan nuestra certificación ISO 27001 y garantizan una protección sólida de los servicios de verificación basados en la nube.

ISO/IEC 27018

Protección de la privacidad en la nube. Controles específicos para proteger la información de identificación personal (PII) en entornos de nube, más allá de los requisitos generales de protección de datos.

Conforme con el RGPD

Cumplimiento total de la protección de datos de la UE. Didit cumple plenamente el Reglamento General de Protección de Datos. Actuamos como encargado del tratamiento: tú sigues siendo el responsable del tratamiento. Para solicitar el DPA y las TOM, escribe a privacy@didit.me.

iBeta Nivel 1 - ISO 30107-3

Detección de ataques de presentación biométricos. Nuestra tecnología de prueba de vida está certificada iBeta Nivel 1 según la norma ISO 30107-3, lo que garantiza una detección fiable de intentos de suplantación, incluidas fotos impresas, reproducciones en pantalla y máscaras 3D.

Preparado para la Ley de IA de la UE

Cumplimiento de IA responsable. Los sistemas de verificación con IA de Didit están diseñados conforme a los requisitos de la Ley de IA de la UE para sistemas de IA de alto riesgo, incluidos transparencia, mecanismos de supervisión humana, gobernanza de datos y monitorización de sesgos.

Compatibilidad con EBA / MiCA

Alta remota con nivel regulatorio. Un dictamen jurídico independiente confirma que el alta remota de Didit cumple las Directrices de la EBA sobre el alta remota de clientes (EBA/GL/2022/15) y es compatible con el Single Rulebook de la UE en materia de AML y con MiCA.

Consulta todas las certificaciones

La lista completa y siempre actualizada: SOC 2 Tipo 2 y Tipo 1, ISO 27001/27017/27018, iBeta Nivel 1, FSM, el aval del regulador español, EBA/MiCA y RGPD, con fechas y cómo obtener cada informe. Añadimos más continuamente; si necesitas una certificación concreta, reserva una demo y cuéntanoslo.

Tipo de señal	Capacidad
Deepfakes	+20 modelos de IA propios, desarrollados internamente para la era de la IA generativa. Prueba de vida →
Ataques de inyección	Prevención de la manipulación del flujo de la cámara: detecta repeticiones e inyección de vídeo. Prueba de vida →
Falsificación de documentos	Detección de hologramas, reimpresiones, capturas de pantalla y alteraciones digitales. Verificación de identidad →
Identidades sintéticas	Contraste con bases de datos oficiales de todo el mundo. Validación de base de datos →
Señales de comportamiento	Análisis de dispositivo e IP, huella digital del dispositivo y detección de repeticiones. Análisis de dispositivo e IP →
Búsqueda facial 1:N	Detección de duplicados y de cuentas múltiples entre todos los usuarios verificados. Búsqueda facial →

Nuestro equipo experto en fraude responde a nuevos vectores de ataque en horas, no en trimestres. Los modelos y las reglas se actualizan continuamente a medida que cambia el panorama de amenazas.

La verificación de identidad mediante biometría se clasifica como de alto riesgo según la Ley de IA de la UE. Didit aborda estos requisitos de forma proactiva:

Requisito	Cómo cumple Didit
Gestión de riesgos	Evaluación continua de riesgos en todos los modelos de IA, con estrategias de mitigación documentadas.
Gobernanza de datos	Los datos de entrenamiento se seleccionan por calidad, relevancia y representatividad. Pruebas de sesgo entre grupos demográficos.
Transparencia	Documentación clara de las capacidades y limitaciones de la IA. Se informa a los usuarios cuando la IA procesa sus datos.
Supervisión humana	Los flujos de revisión manual permiten a los operadores humanos anular las decisiones de la IA en cualquier momento.
Precisión y robustez	Prueba de vida certificada por iBeta. Evaluación periódica de los modelos frente a ataques adversariales (deepfakes, inyección, repetición).
Conservación de registros	Registros de auditoría y registros de sesión completos, mantenidos para su revisión regulatoria.
No discriminación	Monitorización y pruebas de sesgo por edad, género, etnia y tipo de documento para garantizar un trato equitativo.

Didit actualiza continuamente su postura de cumplimiento a medida que se ultiman las medidas de desarrollo de la Ley de IA de la UE. Contacta con tu representante de Didit para obtener la documentación más reciente sobre la preparación para la Ley de IA.

Didit actúa como encargado del tratamiento: tú sigues siendo el responsable del tratamiento. La plataforma está diseñada para admitir el RGPD y los regímenes locales de protección de datos desde el primer momento.

Aspecto	Detalle
Rol de encargado	Didit trata los datos personales estrictamente en tu nombre y siguiendo tus instrucciones.
Región de procesamiento	UE por defecto (AWS). Los clientes empresariales pueden activar el procesamiento en su propio país.
Minimización de datos	Los patrones de procesar y purgar te permiten conservar solo los campos que tu negocio necesita.
Portabilidad de datos	Exporta los datos de las sesiones desde la consola o la API en cualquier momento.
Derecho de supresión	Elimina sesiones individuales bajo demanda desde la consola o con la API Eliminar sesión. Envía `deletion_instruction: "privacy_erasure"` para purgar también cualquier plantilla biométrica conservada de esa persona.
Plantillas biométricas	Los vectores faciales se eliminan con la sesión por defecto. Una aplicación puede optar por conservar una plantilla biométrica sin imagen para la detección de duplicados; sigue siendo un dato biométrico, tiene una caducidad finita y se purga al eliminar al usuario, con una supresión por privacidad, al caducar o con una purga explícita. Consulta Plantillas biométricas.
Controles de retención	Configura la retención de 1 mes a 10 años en Consola → Configuración de la aplicación → Retención de datos.

Responsabilidades del cliente en los flujos de verificación

Cuando usas Didit en tu propia experiencia de alta, autenticación o verificación, sigues siendo responsable de las comunicaciones y la base jurídica propias del responsable del tratamiento en ese flujo.

Requisito	Qué debes hacer
Informar al usuario de quién interviene	Deja claro que es tu empresa quien solicita la verificación y que Didit es el proveedor y encargado del tratamiento que impulsa el flujo.
Mostrar tu aviso de privacidad	Enlaza tu propio aviso de privacidad o una comunicación equivalente antes de que el usuario inicie la verificación.
Enlazar los documentos legales de Didit	Enlaza el Aviso de privacidad de la verificación de Didit, los Términos para usuarios finales de la verificación de identidad y cualquier otra política de Didit que tu equipo jurídico requiera.
Recoger el consentimiento explícito cuando se exija	Si tu flujo captura documentos, selfies, vídeo de prueba de vida o datos biométricos, usa una casilla sin marcar u otro control afirmativo siempre que la ley aplicable exija consentimiento explícito. Para las personas amparadas por la ley de Illinois, Texas o Colorado, el flujo alojado y el SDK nativo 4.10.0 o posterior pueden mostrar el paso de consentimiento biométrico de Didit antes del selfie; los SDKs nativos anteriores a la 4.10.0 no pueden.
Gestionar correctamente la marca blanca y la interfaz personalizada	Si usas un dominio propio, un flujo de marca blanca o una interfaz basada en la API, debes mostrar estas comunicaciones en tu propio producto, porque la marca por sí sola no revela el papel de Didit.
Conservar tus propios registros	Si tu equipo jurídico exige una prueba del aviso o del consentimiento, guarda la versión del texto, la marca de tiempo y los metadatos relacionados en tus propios sistemas.

Didit proporciona la infraestructura de verificación, pero no decide si tu recorrido de usuario concreto cumple los requisitos de consentimiento, divulgación o leyes biométricas que se aplican a tu negocio. Revisa tu implementación con asesoría jurídica antes de salir a producción.

Los subencargados de Didit figuran en la página de subencargados. Para solicitar un DPA o las TOM, escribe a privacy@didit.me. Para otras atestaciones de cumplimiento, contacta con tu representante de Didit o escribe a hello@didit.me.

Preguntas frecuentes de seguridad

¿Qué certificaciones tiene Didit?

Didit tiene la certificación SOC 2 Tipo 2 (julio de 2026, con el periodo de observación del 9 de marzo al 1 de julio de 2026; el Tipo 1 se emitió en abril de 2026), la certificación ISO 27001 de gestión de la seguridad de la información, las certificaciones ISO 27017 e ISO 27018 de seguridad y privacidad en la nube, cumple plenamente el RGPD, está certificado iBeta Nivel 1 (ISO 30107-3) en detección de ataques de presentación biométricos y cuenta con FSM Jugendschutz geprüft en Alemania para la verificación de edad conforme a la Sección 4(2) del JMStV. Didit es además el único proveedor avalado por los reguladores financieros españoles (Tesoro, Banco de España, SEPBLAC, CNMV) como al menos tan seguro como la verificación presencial, y cuenta con un dictamen jurídico independiente que confirma la compatibilidad con EBA/MiCA. Consulta la lista completa en la página de certificaciones. Añadimos más continuamente; si necesitas una certificación concreta, reserva una demo y cuéntanoslo.

¿Mis datos están cifrados?

Sí. Todos los datos se cifran en tránsito con TLS 1.3 y en reposo con cifrado AES-256. Usamos protocolos criptográficos estándar del sector en toda nuestra infraestructura.

¿Dónde se almacenan y procesan los datos?

Por defecto, todos los datos se procesan y almacenan en la UE, en infraestructura de AWS. Los clientes empresariales pueden solicitar el procesamiento en su propio país con opciones locales de residencia de datos, sujeto a disponibilidad.

¿Cómo configuro la retención de datos?

Ve a Business Console → Configuración de la aplicación → Retención de datos para definir tu periodo de retención (de 1 mes a 10 años). También puedes eliminar sesiones bajo demanda desde la consola o con la API Eliminar sesión. Consulta la página de retención de datos para más detalles.

¿Puedo eliminar los datos de verificación?

Sí. Elimina sesiones individuales desde la consola o por programación con la API Eliminar sesión. Para una minimización máxima de datos, usa el patrón de procesar y purgar para eliminar cada sesión en cuanto hayas recibido sus resultados por webhook.

¿Eliminar una sesión elimina los datos biométricos?

Por defecto, sí: la imagen del rostro, el vídeo de prueba de vida y el vector facial usado para detectar duplicados se eliminan con la sesión. Si tu aplicación ha optado por la retención de plantillas biométricas, Didit conserva una plantilla biométrica facial sin imagen asociada al usuario tras la eliminación operativa de una sesión. Esa plantilla sigue siendo un dato biométrico, se usa solo para la detección de duplicados dentro de tu propio tenant, tiene una caducidad finita y se purga al eliminar al usuario, con una solicitud de supresión por privacidad, al caducar o con una purga explícita mediante la API de plantillas biométricas. Las entradas de la lista de bloqueo facial que gestionas son independientes y permanecen hasta que las retires.

¿Cómo gestionan los incidentes de seguridad?

Mantenemos un plan documentado de respuesta a incidentes, con niveles de gravedad definidos, procedimientos de escalado y protocolos de comunicación. Si una brecha de datos personales afecta a tus datos, te lo notificamos en un plazo de 48 horas desde su confirmación, para que puedas cumplir tus propias obligaciones conforme al RGPD y a la normativa aplicable.

¿Didit cumple la Ley de IA de la UE?

Didit se alinea de forma proactiva con los requisitos de la Ley de IA de la UE para sistemas de IA de alto riesgo, incluidos la gestión de riesgos, la gobernanza de datos, la transparencia, la supervisión humana, las pruebas de precisión y la no discriminación. Actualizamos continuamente nuestra postura de cumplimiento a medida que se ultiman las medidas de desarrollo.

¿Puedo obtener documentación de seguridad?

Sí. La lista completa de subencargados se publica en la página de subencargados. Para solicitar un DPA o las TOM, escribe a privacy@didit.me. Para los resúmenes de pruebas de penetración (bajo NDA) y los extractos de certificados ISO, contacta con tu representante de Didit o escribe a hello@didit.me.

¿Cómo se gestionan los registros de auditoría?

Cada llamada a la API y cada acción en la consola se registra con marcas de tiempo, ID de usuario y direcciones IP. Los registros de auditoría se conservan durante 365 días y se pueden exportar en cualquier momento. Consulta la página de registros de auditoría para más detalles.

Recursos relacionados

Certificaciones y atestaciones

Todas las credenciales que tiene Didit, con fechas y cómo obtener cada informe.

Guía de cumplimiento del AMLR

Relaciona el Reglamento AML de la UE con los flujos de verificación, endpoints y webhooks de Didit.

Consentimiento biométrico

El paso de consentimiento explícito para Illinois, Texas y Colorado, y cómo aparece en las decisiones.

Retención de datos

Configura políticas de retención e implementa patrones que priorizan la privacidad.

Registros de auditoría

Sigue cada acción con pistas de auditoría completas.

Webhooks

Recibe notificaciones en tiempo real de los eventos de verificación.

Autenticación de la API

Gestión segura de claves de API y autenticación.

Visión general

Flujos y verificación

Entidades (usuarios y empresas)

Ajustes y personalización