> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Sécurité et conformité : SOC 2, ISO 27001, RGPD > Sécurité et conformité chez Didit : SOC 2 Type 2, ISO 27001, RGPD, iBeta niveau 1, FSM, EU AI Act, validé par le Trésor espagnol et le SEPBLAC. Didit est conçu dès le départ avec la sécurité comme principe fondamental. Chaque niveau de la plateforme — de l'infrastructure aux modèles d'IA — est pensé pour répondre aux normes internationales les plus exigeantes en matière de sécurité de l'information, de confidentialité des données et de précision biométrique. SOC 2 Certifié Type 2 ISO Certifié 27001 GDPR Conforme iBeta Certifié Niveau 1 FSM Protection des mineurs AI Act Prêt *** Validé par les autorités gouvernementales ## Plus sûr que la vérification en personne Validé par le Trésor espagnol, le SEPBLAC et la CNMV — le premier et seul fournisseur à recevoir cette validation. > [!NOTE] > > **« La vérification Didit combinant NFC et détection active du vivant offre une sécurité équivalente ou supérieure à la vérification en personne. »** > — Rapport officiel, Trésor espagnol ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)) Après un an de tests menés par les régulateurs financiers espagnols — le Trésor espagnol (Tesoro Público), le SEPBLAC (la cellule de renseignement financier), la Banque d'Espagne et la CNMV (la commission nationale du marché des valeurs mobilières) — Didit a été reconnu comme le seul fournisseur dont le flux NFC + détection active du vivant égale ou dépasse le niveau de sécurité de la vérification d'identité en personne. ### Seul fournisseur disposant de cette validation Premier et seul fournisseur à avoir réussi le test d'un an mené par les régulateurs financiers en Espagne. Indépendant, contradictoire et reproductible. ### 200+ signaux par vérification Signaux biométriques, documentaires, comportementaux et de bases de données recoupés en temps réel sur chaque session. ### Connecté aux sources de données gouvernementales Intégré individuellement aux bases de données gouvernementales de référence dans le monde entier pour confirmer l'identité à partir des registres faisant foi. ### Licences mondiales et conformité Certifié SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018, RGPD, iBeta Niveau 1 (ISO 30107-3) et certifié FSM pour la protection des mineurs. Titulaire de licences et conforme dans chaque pays d'activité. *** Certifications ## Certifié pour la confiance des entreprises Notre plateforme répond aux normes internationales les plus rigoureuses en matière de sécurité de l'information, de confidentialité des données et de précision biométrique. > [card] SOC 2 Type 2 > > **Service Organization Controls — Type 2.** Un audit indépendant au regard des critères Trust Services de l'AICPA a confirmé que les contrôles de sécurité, de disponibilité et de confidentialité de Didit **ont fonctionné efficacement sur la période d'observation du 9 mars au 1er juillet 2026**. Délivré en juillet 2026 (Type 1 délivré en avril 2026). Rapport disponible pour les clients Enterprise sous accord de confidentialité (NDA). > [card] FSM Jugendschutz geprüft > > **Certification allemande de protection des mineurs.** L'organisme d'autorégulation allemand pour la protection des mineurs (FSM) a certifié que le système de vérification de l'âge de Didit établit de manière fiable un groupe fermé d'utilisateurs au sens de l'**article 4(2) du JMStV**, afin que seuls les adultes vérifiés accèdent aux contenus soumis à une limite d'âge. > [card] ISO/IEC 27001 > > **Gestion de la sécurité de l'information.** Didit maintient un système de gestion de la sécurité de l'information (SMSI) certifié couvrant la conception, le développement et l'exploitation de la plateforme de vérification d'identité. Extraits de certificat disponibles sur demande. > [card] ISO/IEC 27017 > > **Contrôles de sécurité cloud.** Contrôles de sécurité complémentaires spécifiques au cloud renforçant notre certification ISO 27001, afin d'assurer une protection robuste des services de vérification basés sur le cloud. > [card] ISO/IEC 27018 > > **Protection de la vie privée dans le cloud.** Contrôles dédiés à la protection des données à caractère personnel (PII) dans les environnements cloud, allant au-delà des exigences générales de protection des données. > [card] Conforme au RGPD > > **Pleine conformité au droit de l'Union européenne en matière de protection des données.** Didit respecte intégralement le Règlement général sur la protection des données. Nous agissons en tant que sous-traitant - vous demeurez le responsable du traitement. Pour demander le DPA et les TOMs, contactez [privacy@didit.me](mailto:privacy@didit.me). > [card] iBeta Level 1 — ISO 30107-3 > > **Détection des attaques par présentation biométrique.** Notre technologie de détection du vivant est certifiée iBeta Niveau 1 selon la norme ISO 30107-3, garantissant la détection fiable des tentatives d'usurpation telles que photos imprimées, rediffusions sur écran et masques 3D. > [card] Prêt pour l'AI Act de l'UE > > **Conformité pour une IA responsable.** Les systèmes de vérification basés sur l'IA de Didit sont conçus en adéquation avec les exigences de l'EU AI Act relatives aux systèmes d'IA à haut risque, incluant transparence, mécanismes de contrôle humain, gouvernance des données et surveillance des biais. > [card] Compatibilité EBA / MiCA > > **Onboarding à distance de niveau réglementaire.** Un avis juridique indépendant confirme que l'onboarding à distance de Didit respecte les lignes directrices de l'EBA sur l'entrée en relation à distance avec les clients (EBA/GL/2022/15) et est compatible avec le Single Rulebook AML de l'UE ainsi qu'avec MiCA. > [card] [Voir toutes les certifications](https://docs.didit.me/fr/getting-started/certifications.md) > > La liste complète et tenue à jour en permanence — SOC 2 Type 2 et Type 1, ISO 27001/27017/27018, iBeta Niveau 1, FSM, l'attestation du régulateur espagnol, EBA/MiCA et RGPD — avec dates et modalités d'obtention de chaque rapport. Nous en ajoutons continuellement ; si vous avez besoin d'une certification particulière, [réservez une démo](https://didit.me/get-a-demo/) pour nous en faire part. *** Infrastructure de sécurité ## Comment nous protégeons vos données ### Chiffrement de bout en bout Toutes les données sont chiffrées en transit (TLS 1.3) et au repos (AES-256). Des protocoles cryptographiques aux normes du secteur protègent les données sensibles à chaque étape. ### Contrôle d'accès basé sur les rôles Des autorisations granulaires et un accès basé sur les rôles garantissent que seul le personnel autorisé peut accéder aux données de vérification et aux configurations système. ### Journaux d'audit exhaustifs Chaque action est enregistrée avec horodatages, identifiants d'utilisateur et adresses. Votre forfait détermine jusqu'à quelle date vous pouvez consulter les journaux d'audit : 30 jours sur Free, 1 an sur Growth, 3 ans sur Scale et selon les termes de votre contrat sur Enterprise, avec export disponible sur Scale et Enterprise. ### Surveillance de la sécurité 24/7 Surveillance continue et détection automatisée des menaces sur l'ensemble de notre infrastructure, avec alertes en temps réel en cas d'activité suspecte. ### Infrastructure hébergée dans l'UE Par défaut, les données sont traitées et stockées dans l'UE sur les serveurs d'AWS. Les clients Enterprise peuvent activer le traitement local avec des options de résidence des données dans leur pays. ### Conservation des données paramétrable Définissez des règles de conservation de 1 mois à 10 ans, ou supprimez des sessions à la demande via l'API. Prise en charge des architectures de traitement puis purge pour minimiser l'empreinte des données. Tout gabarit biométrique que vous choisissez de conserver après la suppression d'une session est assorti d'une date d'expiration qui lui est propre. *** Signaux de fraude ## 200+ signaux, boucle de fraude en temps réel Boucle de fraude entièrement intégrée — détectez, analysez et corrigez en temps réel. Chaque vérification est évaluée par rapport à 200+ signaux issus de sources biométriques, documentaires, comportementales et de bases de données. | Type de signal | Fonctionnalité | | - | - | | **Deepfakes** | +20 modèles d'IA propriétaires, développés en interne pour l'ère de l'IA générative. [Détection du vivant →](https://docs.didit.me/fr/core-technology/liveness/overview.md) | | **Attaques par injection** | Prévention de la falsification du flux de caméra — détecte le rejeu et l'injection vidéo. [Détection du vivant →](https://docs.didit.me/fr/core-technology/liveness/overview.md) | | **Falsification de documents** | Détection d'hologrammes, de réimpressions, de captures d'écran et d'altérations numériques. [Vérification d'identité →](https://docs.didit.me/fr/core-technology/id-verification/overview.md) | | **Identités synthétiques** | Recoupement avec des bases de données gouvernementales faisant autorité dans le monde entier. [Validation en base de données →](https://docs.didit.me/fr/core-technology/database-validation/overview.md) | | **Signaux comportementaux** | Analyse de l'appareil et de l'IP, empreinte de l'appareil et détection de rejeu. [Analyse de l'appareil et de l'IP →](https://docs.didit.me/fr/core-technology/ip-analysis/overview.md) | | **Recherche faciale 1:N** | Détection des doublons et des comptes multiples parmi tous les utilisateurs vérifiés. [Recherche faciale →](https://docs.didit.me/fr/core-technology/face-search/overview.md) | > [!TIP] > > Notre équipe d'experts en fraude réagit aux nouveaux vecteurs d'attaque en quelques heures, et non en trimestres. Les modèles et les règles sont mis à jour en continu à mesure que le paysage des menaces évolue. *** Conformité à l'AI Act ## Une IA responsable — dès la conception En tant que plateforme d'identité nativement conçue pour l'IA, Didit prend l'AI Act de l'UE très au sérieux. Nos systèmes sont conçus pour répondre aux exigences des applications d'IA à haut risque. La vérification d'identité par la biométrie est classée comme **à haut risque** en vertu de l'AI Act de l'UE. Didit répond de manière proactive à ces exigences : | Exigence | Comment Didit s'y conforme | | - | - | | **Gestion des risques** | Évaluation continue des risques sur tous les modèles d'IA avec des stratégies d'atténuation documentées. | | **Gouvernance des données** | Les données d'entraînement sont sélectionnées pour leur qualité, leur pertinence et leur représentativité. Tests de biais sur l'ensemble des groupes démographiques. | | **Transparence** | Documentation claire des capacités et des limites de l'IA. Les utilisateurs sont informés lorsque l'IA traite leurs données. | | **Supervision humaine** | Les workflows d'examen manuel permettent aux opérateurs humains de passer outre les décisions de l'IA à tout moment. | | **Exactitude et robustesse** | Détection du vivant certifiée iBeta. Évaluation régulière des modèles contre les attaques adversariales (deepfakes, injection, rejeu). | | **Tenue des registres** | Journaux d'audit complets et enregistrements des sessions conservés pour examen réglementaire. | | **Non-discrimination** | Surveillance et tests des biais en fonction de l'âge, du sexe, de l'origine ethnique et des types de documents afin de garantir un traitement équitable. | > [!NOTE] > > Didit met continuellement à jour sa posture de conformité à mesure que les mesures d'application de l'AI Act de l'UE sont finalisées. Contactez votre représentant Didit pour obtenir la documentation la plus récente sur la préparation à l'AI Act. *** Protection des données ## Votre partenaire de protection des données Didit agit en tant que **sous-traitant** — vous restez le **responsable du traitement**. La plateforme est conçue pour prendre en charge le RGPD et les régimes locaux de protection des données dès le départ. | Aspect | Détail | | - | - | | **Rôle du sous-traitant** | Didit traite les données personnelles strictement pour votre compte et selon vos instructions. | | **Région de traitement** | UE par défaut (AWS). Les clients Entreprise peuvent activer le traitement dans leur pays. | | **Minimisation des données** | Les mécanismes de traitement et de purge vous permettent de ne conserver que les champs requis par votre activité. | | **Portabilité des données** | Exportez les données de session via la Console ou l'API à tout moment. | | **Droit à l'effacement** | Supprimez des sessions individuelles à la demande via la Console ou l'API [Delete Session](https://docs.didit.me/fr/sessions-api/delete-session.md). Envoyez `deletion_instruction: "privacy_erasure"` pour purger également tout gabarit biométrique conservé pour cette personne. | | **Gabarits biométriques** | Les embeddings faciaux sont supprimés avec la session par défaut. Une application peut choisir de conserver un gabarit biométrique sans image pour la détection de doublons ; il reste une donnée biométrique, a une durée de validité limitée et est purgé lors de la suppression de l'utilisateur, de l'effacement pour des raisons de confidentialité, de l'expiration ou d'une purge explicite. Voir [Gabarits biométriques](https://docs.didit.me/fr/management-api/biometric-templates/overview.md). | | **Contrôles de conservation** | Configurez la conservation de 1 mois à 10 ans dans **Console → App Settings → Data retention**. | ## Responsabilités du client dans les flux de vérification Lorsque vous utilisez Didit dans votre propre parcours d'onboarding, d'authentification ou de vérification, vous demeurez responsable des **informations à fournir et de la base légale, en votre qualité de responsable du traitement,** pour ce flux. | Exigence | Ce que vous devez faire | | - | - | | **Informer l'utilisateur des parties impliquées** | Indiquez clairement que votre entreprise demande la vérification et que Didit est le prestataire de vérification / sous-traitant qui opère le flux. | | **Afficher votre politique de confidentialité** | Intégrez un lien vers votre propre politique de confidentialité ou déclaration équivalente avant que l'utilisateur ne commence la vérification. | | **Lier les documents juridiques de Didit** | Ajoutez un lien vers la [Notice de confidentialité relative à la vérification](https://didit.me/terms/verification-privacy-notice) de Didit, les [Conditions de l'utilisateur final pour la vérification d'identité](https://didit.me/terms/identity-verification) et toute autre politique de Didit requise par votre équipe juridique. | | **Recueillir un consentement explicite lorsque requis** | Si votre flux capture des documents, des selfies, des vidéos de détection du vivant ou des données biométriques, utilisez une case à cocher non précochée ou un autre mécanisme d'action positive partout où la législation applicable exige un consentement explicite. Pour les personnes couvertes par les lois de l'Illinois, du Texas ou du Colorado, le flux hébergé et le SDK natif 4.10.0 ou supérieur peuvent afficher l'[étape de consentement biométrique](https://docs.didit.me/fr/getting-started/biometric-consent.md) de Didit avant le selfie ; les SDK natifs antérieurs à la version 4.10.0 ne le peuvent pas. | | **Gérer correctement la marque blanche et les interfaces personnalisées** | Si vous utilisez un domaine personnalisé, un flux en marque blanche ou une interface utilisateur pilotée par API, vous devez présenter ces informations dans votre propre produit, car l'image de marque seule ne précise pas le rôle de Didit. | | **Conserver vos propres registres** | Si votre équipe juridique exige une preuve d'information ou de consentement, enregistrez la version du texte, l'horodatage et les métadonnées associées dans vos propres systèmes. | > [!WARNING] > > Didit fournit l'infrastructure de vérification, mais ne détermine pas si votre parcours utilisateur spécifique respecte les exigences de consentement, d'information ou relatives aux lois sur la biométrie qui s'appliquent à votre entreprise. Examinez votre implémentation avec un conseiller juridique avant le passage en production. > [!NOTE] > > Les sous-traitants ultérieurs de Didit sont répertoriés sur la [page des sous-traitants ultérieurs](https://didit.me/legal/sub-processors). Pour demander un DPA ou les TOMs, envoyez un e-mail à [privacy@didit.me](mailto:privacy@didit.me). Pour toute autre attestation de conformité, contactez votre représentant Didit ou écrivez à [hello@didit.me](mailto:hello@didit.me). *** Sécurité opérationnelle ## Protection continue ### Tests d'intrusion Tests d'intrusion périodiques réalisés par des tiers avec suivi des correctifs. Rapports disponibles pour les clients Enterprise sous accord de confidentialité (NDA). ### Aucune faille de sécurité connue Aucune violation de sécurité signalée à ce jour. Procédures de réponse aux incidents testées et documentées. ### Équipe de sécurité interne Équipe dédiée à la cybersécurité avec accès selon le principe du moindre privilège et séparation stricte des environnements sur l'ensemble des systèmes. ### Sécurité des clés API Clés API Sandbox et Live distinctes. Les clés peuvent être renouvelées à tout moment via la Business Console. *** ## FAQ sur la sécurité > [accordion] Quelles certifications Didit détient-elle ? > > Didit est **certifiée SOC 2 Type 2** (juillet 2026, couvrant la période d'observation du 9 mars au 1er juillet 2026 ; Type 1 délivré en avril 2026), certifiée ISO 27001 pour le management de la sécurité de l'information, certifiée ISO 27017 et ISO 27018 pour la sécurité et la confidentialité dans le cloud, entièrement conforme au RGPD, certifiée iBeta Niveau 1 (ISO 30107-3) pour la détection des attaques par présentation biométrique, et **FSM Jugendschutz geprüft** en Allemagne pour la vérification de l'âge selon l'article 4(2) du JMStV. Didit est également le seul fournisseur attesté par les régulateurs financiers espagnols (Tesoro, Banco de España, SEPBLAC, CNMV) comme étant au moins aussi sûr qu'une vérification en personne, et dispose d'un avis juridique indépendant confirmant sa compatibilité EBA/MiCA. Consultez la liste complète sur la [page Certifications](https://docs.didit.me/fr/getting-started/certifications.md). Nous en ajoutons constamment de nouvelles — si vous avez besoin d'une certification spécifique, [réservez une démo](https://didit.me/get-a-demo/) et faites-le nous savoir. > [accordion] Mes données sont-elles chiffrées ? > > Oui. Toutes les données sont chiffrées en transit à l'aide de TLS 1.3 et au repos à l'aide du chiffrement AES-256. Nous utilisons des protocoles cryptographiques conformes aux normes de l'industrie sur l'ensemble de notre infrastructure. > [accordion] Où les données sont-elles stockées et traitées ? > > Par défaut, toutes les données sont traitées et stockées dans l'UE sur une infrastructure AWS. Les clients Enterprise peuvent demander un traitement dans leur pays avec des options de résidence locale des données, sous réserve de disponibilité. > [accordion] Comment configurer la conservation des données ? > > Accédez à **Business Console → App Settings → Data retention** pour définir votre fenêtre de conservation (de 1 mois à 10 ans). Vous pouvez également supprimer des sessions à la demande via la Console ou l'[API Delete Session](https://docs.didit.me/fr/sessions-api/delete-session.md). Consultez la page [Conservation des données](https://docs.didit.me/fr/console/data-retention.md) pour plus de détails. > [accordion] Puis-je supprimer les données de vérification ? > > Oui. Supprimez des sessions individuelles via la Console ou par programmation via l'[API Delete Session](https://docs.didit.me/fr/sessions-api/delete-session.md). Pour une minimisation maximale des données, utilisez le modèle de traitement et purge afin de supprimer chaque session dès que vous avez reçu ses résultats par webhook. > [accordion] La suppression d'une session supprime-t-elle les données biométriques ? > > Par défaut, oui : l'image du visage, la vidéo de détection du vivant et l'embedding facial utilisé pour la détection des doublons sont supprimés avec la session. Si votre application a activé la [conservation des gabarits biométriques](https://docs.didit.me/fr/console/data-retention.md#conservation-des-gabarits-biométriques), Didit conserve un gabarit biométrique facial sans image ancré à l'Utilisateur après la suppression d'une session opérationnelle. Ce gabarit reste une donnée biométrique, n'est utilisé que pour la détection des doublons propre à votre organisation, a une durée de validité limitée et est purgé lors de la suppression de l'Utilisateur, d'une demande d'effacement de données personnelles, à son expiration ou lors d'une purge explicite via l'[API Biometric Templates](https://docs.didit.me/fr/management-api/biometric-templates/overview.md). Les entrées de la liste de blocage des visages que vous gérez sont distinctes et restent jusqu'à ce que vous les supprimiez. > [accordion] Comment gérez-vous les incidents de sécurité ? > > Nous maintenons un plan de réponse aux incidents documenté avec des niveaux de gravité définis, des procédures d'escalade et des protocoles de communication. Si une violation de données personnelles affecte vos données, nous vous en informons dans les 48 heures suivant sa confirmation, afin que vous puissiez respecter vos propres obligations en vertu du RGPD et des réglementations applicables. > [accordion] Didit est-elle conforme à l'EU AI Act ? > > Didit s'aligne de manière proactive sur les exigences de l'EU AI Act pour les systèmes d'IA à haut risque, notamment la gestion des risques, la gouvernance des données, la transparence, la supervision humaine, les tests de précision et la non-discrimination. Nous mettons continuellement à jour notre posture de conformité au fur et à mesure de la finalisation des mesures d'application. > [accordion] Puis-je obtenir de la documentation sur la sécurité ? > > Oui. La liste complète des sous-traitants ultérieurs est publiée sur la [page Sous-traitants ultérieurs](https://didit.me/legal/sub-processors). Pour demander un DPA ou des TOMs, écrivez à [privacy@didit.me](mailto:privacy@didit.me). Pour obtenir des résumés de tests d'intrusion (sous NDA) et des extraits de certificats ISO, contactez votre représentant Didit ou écrivez à [hello@didit.me](mailto:hello@didit.me). > [accordion] Comment les journaux d'audit sont-ils traités ? > > Chaque appel d'API et action dans la Console est enregistré avec un horodatage, les identifiants d'utilisateur et les adresses IP. Votre forfait définit la durée pendant laquelle vous pouvez consulter les journaux d'audit : 30 jours pour Free, 1 an pour Growth, 3 ans pour Scale et selon les termes de votre contrat pour Enterprise, avec possibilité d'export pour Scale et Enterprise. Consultez la page [Journaux d'audit](https://docs.didit.me/fr/console/audit-logs.md) pour plus de détails. *** ## Ressources connexes > [card] [Certifications & attestations](https://docs.didit.me/fr/getting-started/certifications.md) > > Toutes les certifications et attestations de Didit, avec les dates et la marche à suivre pour obtenir chaque rapport. > [card] [Guide de conformité AMLR](https://docs.didit.me/fr/getting-started/amlr-compliance.md) > > Faites correspondre le règlement européen AML aux workflows, endpoints d'API et webhooks de Didit. > [card] [Consentement biométrique](https://docs.didit.me/fr/getting-started/biometric-consent.md) > > L'étape de consentement explicite pour l'Illinois, le Texas et le Colorado, et son affichage dans les décisions. > [card] [Conservation des données](https://docs.didit.me/fr/console/data-retention.md) > > Configurez les politiques de conservation et appliquez des modèles axés sur la confidentialité. > [card] [Journaux d'audit](https://docs.didit.me/fr/console/audit-logs.md) > > Suivez chaque action grâce à des pistes d'audit exhaustives. > [card] [Webhooks](https://docs.didit.me/fr/integration/webhooks.md) > > Recevez des notifications en temps réel pour les événements de vérification. > [card] [Authentification d'API](https://docs.didit.me/fr/getting-started/api-authentication.md) > > Gestion sécurisée des clés API et de l'authentification. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.