Sécurité et conformité : SOC 2, ISO 27001, RGPD

Didit est conçu dès le départ avec la sécurité comme principe fondamental. Chaque niveau de la plateforme — de l’infrastructure aux modèles d’IA — est pensé pour répondre aux normes internationales les plus exigeantes en matière de sécurité de l’information, de confidentialité des données et de précision biométrique.

SOC 2Certifié Type 2

ISOCertifié 27001

GDPRConforme

iBetaCertifié Niveau 1

FSMProtection des mineurs

AI ActPrêt

« La vérification Didit combinant NFC et détection active du vivant offre une sécurité équivalente ou supérieure à la vérification en personne. » — Rapport officiel, Trésor espagnol (tesoro.es)

Après un an de tests menés par les régulateurs financiers espagnols — le Trésor espagnol (Tesoro Público), le SEPBLAC (la cellule de renseignement financier), la Banque d’Espagne et la CNMV (la commission nationale du marché des valeurs mobilières) — Didit a été reconnu comme le seul fournisseur dont le flux NFC + détection active du vivant égale ou dépasse le niveau de sécurité de la vérification d’identité en personne.

SOC 2 Type 2

Service Organization Controls — Type 2. Un audit indépendant au regard des critères Trust Services de l’AICPA a confirmé que les contrôles de sécurité, de disponibilité et de confidentialité de Didit ont fonctionné efficacement sur la période d’observation du 9 mars au 1er juillet 2026. Délivré en juillet 2026 (Type 1 délivré en avril 2026). Rapport disponible pour les clients Enterprise sous accord de confidentialité (NDA).

FSM Jugendschutz geprüft

Certification allemande de protection des mineurs. L’organisme d’autorégulation allemand pour la protection des mineurs (FSM) a certifié que le système de vérification de l’âge de Didit établit de manière fiable un groupe fermé d’utilisateurs au sens de l’article 4(2) du JMStV, afin que seuls les adultes vérifiés accèdent aux contenus soumis à une limite d’âge.

ISO/IEC 27001

Gestion de la sécurité de l’information. Didit maintient un système de gestion de la sécurité de l’information (SMSI) certifié couvrant la conception, le développement et l’exploitation de la plateforme de vérification d’identité. Extraits de certificat disponibles sur demande.

ISO/IEC 27017

Contrôles de sécurité cloud. Contrôles de sécurité complémentaires spécifiques au cloud renforçant notre certification ISO 27001, afin d’assurer une protection robuste des services de vérification basés sur le cloud.

ISO/IEC 27018

Protection de la vie privée dans le cloud. Contrôles dédiés à la protection des données à caractère personnel (PII) dans les environnements cloud, allant au-delà des exigences générales de protection des données.

Conforme au RGPD

Pleine conformité au droit de l’Union européenne en matière de protection des données. Didit respecte intégralement le Règlement général sur la protection des données. Nous agissons en tant que sous-traitant - vous demeurez le responsable du traitement. Pour demander le DPA et les TOMs, contactez privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Détection des attaques par présentation biométrique. Notre technologie de détection du vivant est certifiée iBeta Niveau 1 selon la norme ISO 30107-3, garantissant la détection fiable des tentatives d’usurpation telles que photos imprimées, rediffusions sur écran et masques 3D.

Prêt pour l'AI Act de l'UE

Conformité pour une IA responsable. Les systèmes de vérification basés sur l’IA de Didit sont conçus en adéquation avec les exigences de l’EU AI Act relatives aux systèmes d’IA à haut risque, incluant transparence, mécanismes de contrôle humain, gouvernance des données et surveillance des biais.

Compatibilité EBA / MiCA

Onboarding à distance de niveau réglementaire. Un avis juridique indépendant confirme que l’onboarding à distance de Didit respecte les lignes directrices de l’EBA sur l’entrée en relation à distance avec les clients (EBA/GL/2022/15) et est compatible avec le Single Rulebook AML de l’UE ainsi qu’avec MiCA.

Voir toutes les certifications

La liste complète et tenue à jour en permanence — SOC 2 Type 2 et Type 1, ISO 27001/27017/27018, iBeta Niveau 1, FSM, l’attestation du régulateur espagnol, EBA/MiCA et RGPD — avec dates et modalités d’obtention de chaque rapport. Nous en ajoutons continuellement ; si vous avez besoin d’une certification particulière, réservez une démo pour nous en faire part.

Type de signal	Fonctionnalité
Deepfakes	+20 modèles d’IA propriétaires, développés en interne pour l’ère de l’IA générative. Détection du vivant →
Attaques par injection	Prévention de la falsification du flux de caméra — détecte le rejeu et l’injection vidéo. Détection du vivant →
Falsification de documents	Détection d’hologrammes, de réimpressions, de captures d’écran et d’altérations numériques. Vérification d’identité →
Identités synthétiques	Recoupement avec des bases de données gouvernementales faisant autorité dans le monde entier. Validation en base de données →
Signaux comportementaux	Analyse de l’appareil et de l’IP, empreinte de l’appareil et détection de rejeu. Analyse de l’appareil et de l’IP →
Recherche faciale 1:N	Détection des doublons et des comptes multiples parmi tous les utilisateurs vérifiés. Recherche faciale →

Notre équipe d’experts en fraude réagit aux nouveaux vecteurs d’attaque en quelques heures, et non en trimestres. Les modèles et les règles sont mis à jour en continu à mesure que le paysage des menaces évolue.

La vérification d’identité par la biométrie est classée comme à haut risque en vertu de l’AI Act de l’UE. Didit répond de manière proactive à ces exigences :

Exigence	Comment Didit s’y conforme
Gestion des risques	Évaluation continue des risques sur tous les modèles d’IA avec des stratégies d’atténuation documentées.
Gouvernance des données	Les données d’entraînement sont sélectionnées pour leur qualité, leur pertinence et leur représentativité. Tests de biais sur l’ensemble des groupes démographiques.
Transparence	Documentation claire des capacités et des limites de l’IA. Les utilisateurs sont informés lorsque l’IA traite leurs données.
Supervision humaine	Les workflows d’examen manuel permettent aux opérateurs humains de passer outre les décisions de l’IA à tout moment.
Exactitude et robustesse	Détection du vivant certifiée iBeta. Évaluation régulière des modèles contre les attaques adversariales (deepfakes, injection, rejeu).
Tenue des registres	Journaux d’audit complets et enregistrements des sessions conservés pour examen réglementaire.
Non-discrimination	Surveillance et tests des biais en fonction de l’âge, du sexe, de l’origine ethnique et des types de documents afin de garantir un traitement équitable.

Didit met continuellement à jour sa posture de conformité à mesure que les mesures d’application de l’AI Act de l’UE sont finalisées. Contactez votre représentant Didit pour obtenir la documentation la plus récente sur la préparation à l’AI Act.

Didit agit en tant que sous-traitant — vous restez le responsable du traitement. La plateforme est conçue pour prendre en charge le RGPD et les régimes locaux de protection des données dès le départ.

Aspect	Détail
Rôle du sous-traitant	Didit traite les données personnelles strictement pour votre compte et selon vos instructions.
Région de traitement	UE par défaut (AWS). Les clients Entreprise peuvent activer le traitement dans leur pays.
Minimisation des données	Les mécanismes de traitement et de purge vous permettent de ne conserver que les champs requis par votre activité.
Portabilité des données	Exportez les données de session via la Console ou l’API à tout moment.
Droit à l’effacement	Supprimez des sessions individuelles à la demande via la Console ou l’API Delete Session. Envoyez `deletion_instruction: "privacy_erasure"` pour purger également tout gabarit biométrique conservé pour cette personne.
Gabarits biométriques	Les embeddings faciaux sont supprimés avec la session par défaut. Une application peut choisir de conserver un gabarit biométrique sans image pour la détection de doublons ; il reste une donnée biométrique, a une durée de validité limitée et est purgé lors de la suppression de l’utilisateur, de l’effacement pour des raisons de confidentialité, de l’expiration ou d’une purge explicite. Voir Gabarits biométriques.
Contrôles de conservation	Configurez la conservation de 1 mois à 10 ans dans Console → App Settings → Data retention.

Responsabilités du client dans les flux de vérification

Lorsque vous utilisez Didit dans votre propre parcours d’onboarding, d’authentification ou de vérification, vous demeurez responsable des informations à fournir et de la base légale, en votre qualité de responsable du traitement, pour ce flux.

Exigence	Ce que vous devez faire
Informer l’utilisateur des parties impliquées	Indiquez clairement que votre entreprise demande la vérification et que Didit est le prestataire de vérification / sous-traitant qui opère le flux.
Afficher votre politique de confidentialité	Intégrez un lien vers votre propre politique de confidentialité ou déclaration équivalente avant que l’utilisateur ne commence la vérification.
Lier les documents juridiques de Didit	Ajoutez un lien vers la Notice de confidentialité relative à la vérification de Didit, les Conditions de l’utilisateur final pour la vérification d’identité et toute autre politique de Didit requise par votre équipe juridique.
Recueillir un consentement explicite lorsque requis	Si votre flux capture des documents, des selfies, des vidéos de détection du vivant ou des données biométriques, utilisez une case à cocher non précochée ou un autre mécanisme d’action positive partout où la législation applicable exige un consentement explicite. Pour les personnes couvertes par les lois de l’Illinois, du Texas ou du Colorado, le flux hébergé et le SDK natif 4.10.0 ou supérieur peuvent afficher l’étape de consentement biométrique de Didit avant le selfie ; les SDK natifs antérieurs à la version 4.10.0 ne le peuvent pas.
Gérer correctement la marque blanche et les interfaces personnalisées	Si vous utilisez un domaine personnalisé, un flux en marque blanche ou une interface utilisateur pilotée par API, vous devez présenter ces informations dans votre propre produit, car l’image de marque seule ne précise pas le rôle de Didit.
Conserver vos propres registres	Si votre équipe juridique exige une preuve d’information ou de consentement, enregistrez la version du texte, l’horodatage et les métadonnées associées dans vos propres systèmes.

Didit fournit l’infrastructure de vérification, mais ne détermine pas si votre parcours utilisateur spécifique respecte les exigences de consentement, d’information ou relatives aux lois sur la biométrie qui s’appliquent à votre entreprise. Examinez votre implémentation avec un conseiller juridique avant le passage en production.

Les sous-traitants ultérieurs de Didit sont répertoriés sur la page des sous-traitants ultérieurs. Pour demander un DPA ou les TOMs, envoyez un e-mail à privacy@didit.me. Pour toute autre attestation de conformité, contactez votre représentant Didit ou écrivez à hello@didit.me.

FAQ sur la sécurité

Quelles certifications Didit détient-elle ?

Didit est certifiée SOC 2 Type 2 (juillet 2026, couvrant la période d’observation du 9 mars au 1er juillet 2026 ; Type 1 délivré en avril 2026), certifiée ISO 27001 pour le management de la sécurité de l’information, certifiée ISO 27017 et ISO 27018 pour la sécurité et la confidentialité dans le cloud, entièrement conforme au RGPD, certifiée iBeta Niveau 1 (ISO 30107-3) pour la détection des attaques par présentation biométrique, et FSM Jugendschutz geprüft en Allemagne pour la vérification de l’âge selon l’article 4(2) du JMStV. Didit est également le seul fournisseur attesté par les régulateurs financiers espagnols (Tesoro, Banco de España, SEPBLAC, CNMV) comme étant au moins aussi sûr qu’une vérification en personne, et dispose d’un avis juridique indépendant confirmant sa compatibilité EBA/MiCA. Consultez la liste complète sur la page Certifications. Nous en ajoutons constamment de nouvelles — si vous avez besoin d’une certification spécifique, réservez une démo et faites-le nous savoir.

Mes données sont-elles chiffrées ?

Oui. Toutes les données sont chiffrées en transit à l’aide de TLS 1.3 et au repos à l’aide du chiffrement AES-256. Nous utilisons des protocoles cryptographiques conformes aux normes de l’industrie sur l’ensemble de notre infrastructure.

Où les données sont-elles stockées et traitées ?

Par défaut, toutes les données sont traitées et stockées dans l’UE sur une infrastructure AWS. Les clients Enterprise peuvent demander un traitement dans leur pays avec des options de résidence locale des données, sous réserve de disponibilité.

Comment configurer la conservation des données ?

Accédez à Business Console → App Settings → Data retention pour définir votre fenêtre de conservation (de 1 mois à 10 ans). Vous pouvez également supprimer des sessions à la demande via la Console ou l’API Delete Session. Consultez la page Conservation des données pour plus de détails.

Puis-je supprimer les données de vérification ?

Oui. Supprimez des sessions individuelles via la Console ou par programmation via l’API Delete Session. Pour une minimisation maximale des données, utilisez le modèle de traitement et purge afin de supprimer chaque session dès que vous avez reçu ses résultats par webhook.

La suppression d'une session supprime-t-elle les données biométriques ?

Par défaut, oui : l’image du visage, la vidéo de détection du vivant et l’embedding facial utilisé pour la détection des doublons sont supprimés avec la session. Si votre application a activé la conservation des gabarits biométriques, Didit conserve un gabarit biométrique facial sans image ancré à l’Utilisateur après la suppression d’une session opérationnelle. Ce gabarit reste une donnée biométrique, n’est utilisé que pour la détection des doublons propre à votre organisation, a une durée de validité limitée et est purgé lors de la suppression de l’Utilisateur, d’une demande d’effacement de données personnelles, à son expiration ou lors d’une purge explicite via l’API Biometric Templates. Les entrées de la liste de blocage des visages que vous gérez sont distinctes et restent jusqu’à ce que vous les supprimiez.

Comment gérez-vous les incidents de sécurité ?

Nous maintenons un plan de réponse aux incidents documenté avec des niveaux de gravité définis, des procédures d’escalade et des protocoles de communication. Si une violation de données personnelles affecte vos données, nous vous en informons dans les 48 heures suivant sa confirmation, afin que vous puissiez respecter vos propres obligations en vertu du RGPD et des réglementations applicables.

Didit est-elle conforme à l'EU AI Act ?

Didit s’aligne de manière proactive sur les exigences de l’EU AI Act pour les systèmes d’IA à haut risque, notamment la gestion des risques, la gouvernance des données, la transparence, la supervision humaine, les tests de précision et la non-discrimination. Nous mettons continuellement à jour notre posture de conformité au fur et à mesure de la finalisation des mesures d’application.

Puis-je obtenir de la documentation sur la sécurité ?

Oui. La liste complète des sous-traitants ultérieurs est publiée sur la page Sous-traitants ultérieurs. Pour demander un DPA ou des TOMs, écrivez à privacy@didit.me. Pour obtenir des résumés de tests d’intrusion (sous NDA) et des extraits de certificats ISO, contactez votre représentant Didit ou écrivez à hello@didit.me.

Comment les journaux d'audit sont-ils traités ?

Chaque appel d’API et action dans la Console est enregistré avec un horodatage, les identifiants d’utilisateur et les adresses IP. Votre forfait définit la durée pendant laquelle vous pouvez consulter les journaux d’audit : 30 jours pour Free, 1 an pour Growth, 3 ans pour Scale et selon les termes de votre contrat pour Enterprise, avec possibilité d’export pour Scale et Enterprise. Consultez la page Journaux d’audit pour plus de détails.

Ressources connexes

Certifications & attestations

Toutes les certifications et attestations de Didit, avec les dates et la marche à suivre pour obtenir chaque rapport.

Guide de conformité AMLR

Faites correspondre le règlement européen AML aux workflows, endpoints d’API et webhooks de Didit.

Consentement biométrique

L’étape de consentement explicite pour l’Illinois, le Texas et le Colorado, et son affichage dans les décisions.

Conservation des données

Configurez les politiques de conservation et appliquez des modèles axés sur la confidentialité.

Journaux d'audit

Suivez chaque action grâce à des pistes d’audit exhaustives.

Webhooks

Recevez des notifications en temps réel pour les événements de vérification.

Authentification d'API

Gestion sécurisée des clés API et de l’authentification.

Présentation

Tarifs

Workflows et vérification

Examen et opérations

Entités (utilisateurs et entreprises)

Paramètres et personnalisation