Keamanan & Kepatuhan: SOC 2, ISO 27001, GDPR

Didit dibangun sejak awal dengan keamanan sebagai prinsip utama. Setiap lapisan platform — dari infrastruktur hingga model AI — dirancang untuk memenuhi standar internasional tertinggi untuk keamanan informasi, privasi data, dan akurasi biometrik.

SOC 2Tersertifikasi Type 2

ISOTersertifikasi 27001

GDPRPatuh

iBetaTersertifikasi Level 1

FSMPerlindungan Remaja

AI ActSiap

“Verifikasi NFC + Deteksi Liveness aktif Didit menawarkan tingkat keamanan yang setara atau lebih tinggi daripada verifikasi tatap muka.” — Laporan resmi, Departemen Keuangan Spanyol (tesoro.es)

Setelah pengujian selama setahun oleh regulator keuangan Spanyol — Departemen Keuangan Spanyol (Tesoro Público), SEPBLAC (unit intelijen keuangan), Banco de España, dan CNMV (komisi sekuritas dan pasar) — Didit diakui sebagai satu-satunya penyedia yang alur NFC + Deteksi Liveness aktifnya memenuhi atau melampaui tingkat keamanan verifikasi identitas tatap muka.

SOC 2 Type 2

Service Organization Controls — Type 2. Audit independen terhadap AICPA Trust Services Criteria mengonfirmasi kontrol keamanan, ketersediaan, dan kerahasiaan Didit beroperasi secara efektif selama periode observasi 9 Maret – 1 Juli 2026. Diterbitkan Juli 2026 (Type 1 diterbitkan April 2026). Laporan tersedia untuk pelanggan enterprise dengan NDA.

FSM Jugendschutz geprüft

Sertifikasi perlindungan remaja Jerman. Badan regulator mandiri perlindungan remaja Jerman (FSM) menyertifikasi bahwa Sistem Verifikasi Usia Didit secara andal menetapkan grup pengguna tertutup berdasarkan Bagian 4(2) JMStV, sehingga hanya orang dewasa terverifikasi yang dapat mengakses konten dengan pembatasan usia.

ISO/IEC 27001

Manajemen keamanan informasi. Didit mempertahankan Sistem Manajemen Keamanan Informasi (ISMS) tersertifikasi yang mencakup perancangan, pengembangan, dan pengoperasian platform verifikasi identitas. Kutipan sertifikat tersedia berdasarkan permintaan.

ISO/IEC 27017

Kontrol keamanan cloud. Kontrol keamanan khusus cloud yang diperluas untuk melengkapi sertifikasi ISO 27001 kami, memastikan perlindungan yang kuat untuk layanan verifikasi berbasis cloud.

ISO/IEC 27018

Perlindungan privasi cloud. Kontrol khusus untuk melindungi informasi identitas pribadi (PII) di lingkungan cloud, melampaui persyaratan perlindungan data umum.

GDPR Compliant

Kepatuhan penuh terhadap perlindungan data Uni Eropa. Didit sepenuhnya mematuhi General Data Protection Regulation. Kami bertindak sebagai pemroses data - Anda tetap menjadi pengendali data. Untuk meminta DPA dan TOMs, kirim email ke privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Deteksi serangan presentasi biometrik. Teknologi Deteksi Liveness kami tersertifikasi iBeta Level 1 di bawah standar ISO 30107-3, memastikan deteksi andal terhadap upaya spoofing termasuk foto cetak, pemutaran ulang layar, dan topeng 3D.

EU AI Act Ready

Kepatuhan AI yang bertanggung jawab. Sistem verifikasi bertenaga AI Didit dirancang selaras dengan persyaratan EU AI Act untuk sistem AI berisiko tinggi, termasuk transparansi, mekanisme pengawasan manusia, tata kelola data, dan pemantauan bias.

Kompatibilitas EBA / MiCA

Onboarding jarak jauh yang memenuhi standar regulator. Pendapat hukum independen mengonfirmasi bahwa onboarding jarak jauh Didit memenuhi Panduan Onboarding Pelanggan Jarak Jauh EBA (EBA/GL/2022/15) dan kompatibel dengan Single Rulebook AML Uni Eropa serta MiCA.

Lihat setiap sertifikasi

Daftar lengkap yang selalu terkini — SOC 2 Type 2 dan Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, atestasi regulator Spanyol, EBA/MiCA, dan GDPR — beserta tanggal dan cara mendapatkan setiap laporan. Kami terus menambahkan sertifikasi baru; jika Anda memerlukan sertifikasi tertentu, jadwalkan demo dan beri tahu kami.

Jenis sinyal	Kemampuan
Deepfake	+20 model AI berpemilik, dibangun secara internal untuk era AI generatif. Deteksi Liveness →
Serangan injeksi	Pencegahan manipulasi feed kamera — menangkap replay dan injeksi video. Deteksi Liveness →
Pemalsuan dokumen	Deteksi hologram, cetak ulang, tangkapan layar, dan perubahan digital. Verifikasi Identitas →
Identitas sintetis	Referensi silang terhadap database pemerintah resmi di seluruh dunia. Validasi Database →
Sinyal perilaku	Analisis Perangkat & IP, fingerprinting perangkat, dan deteksi replay. Analisis Perangkat & IP →
Pencarian Wajah 1:N	Deteksi duplikat dan multi-akun di seluruh pengguna yang terverifikasi. Pencarian Wajah →

Tim ahli penipuan kami merespons vektor serangan baru dalam hitungan jam, bukan kuartal. Model dan aturan diperbarui secara berkelanjutan seiring perubahan lanskap ancaman.

Verifikasi identitas menggunakan biometrik diklasifikasikan sebagai berisiko tinggi berdasarkan EU AI Act. Didit secara proaktif menangani persyaratan ini:

Persyaratan	Cara Didit mematuhinya
Manajemen risiko	Penilaian risiko berkelanjutan di seluruh model AI dengan strategi mitigasi yang terdokumentasi.
Tata kelola data	Data pelatihan dikurasi untuk kualitas, relevansi, dan keterwakilan. Pengujian bias di seluruh demografi.
Transparansi	Dokumentasi yang jelas mengenai kemampuan dan batasan AI. Pengguna diberi tahu saat AI memproses data mereka.
Pengawasan manusia	Alur kerja peninjauan manual memungkinkan operator manusia untuk mengesampingkan keputusan AI kapan saja.
Akurasi & ketahanan	Deteksi liveness bersertifikasi iBeta. Evaluasi model berkala terhadap serangan adversarial (deepfake, injeksi, replay).
Pencatatan	Log audit komprehensif dan catatan sesi dikelola untuk tinjauan regulasi.
Non-diskriminasi	Pemantauan dan pengujian bias di seluruh usia, jenis kelamin, etnis, dan jenis dokumen untuk memastikan perlakuan yang adil.

Didit terus memperbarui status kepatuhannya seiring langkah-langkah implementasi EU AI Act diselesaikan. Hubungi perwakilan Didit Anda untuk dokumentasi kesiapan AI Act terbaru.

Didit bertindak sebagai pemroses data — Anda tetap menjadi pengendali data. Platform ini dirancang untuk langsung mendukung GDPR dan rezim perlindungan data lokal.

Aspek	Detail
Peran pemroses	Didit memproses data pribadi secara ketat atas nama Anda dan berdasarkan instruksi Anda.
Wilayah pemrosesan	Uni Eropa secara default (AWS). Pelanggan Enterprise dapat mengaktifkan pemrosesan di dalam negeri.
Minimalisasi data	Pola pemrosesan lalu penghapusan memungkinkan Anda mempertahankan hanya kolom yang diperlukan bisnis Anda.
Portabilitas data	Ekspor data sesi melalui Konsol atau API kapan saja.
Hak penghapusan	Hapus sesi individual sesuai permintaan melalui Konsol atau API Hapus Sesi. Kirim `deletion_instruction: "privacy_erasure"` untuk juga menghapus templat biometrik apa pun yang disimpan untuk orang tersebut.
Templat biometrik	Embedding wajah dihapus bersama sesi secara default. Aplikasi dapat memilih untuk menyimpan templat biometrik tanpa gambar untuk deteksi duplikat; templat ini tetap merupakan data biometrik, memiliki masa kedaluwarsa terbatas, dan dihapus saat penghapusan Pengguna, penghapusan privasi, kedaluwarsa, atau penghapusan eksplisit. Lihat Templat biometrik.
Kontrol retensi	Konfigurasikan retensi dari 1 bulan hingga 10 tahun di Console → App Settings → Data retention.

Tanggung jawab pelanggan dalam alur verifikasi

Saat Anda menggunakan Didit dalam pengalaman onboarding, autentikasi, atau verifikasi Anda sendiri, Anda tetap bertanggung jawab atas pengungkapan dan dasar hukum di sisi pengendali (controller) untuk alur tersebut.

Persyaratan	Yang perlu Anda lakukan
Beri tahu pengguna siapa yang terlibat	Jelaskan bahwa perusahaan Anda meminta verifikasi dan Didit adalah penyedia / pemroses verifikasi yang menjalankan alur tersebut.
Tampilkan pemberitahuan privasi Anda	Berikan tautan ke pemberitahuan privasi Anda sendiri atau pengungkapan serupa sebelum pengguna memulai verifikasi.
Cantumkan dokumen hukum Didit	Tautkan ke Pemberitahuan Privasi Verifikasi, Ketentuan Pengguna Akhir untuk Verifikasi Identitas milik Didit, dan kebijakan Didit lainnya yang disyaratkan oleh tim hukum Anda.
Kumpulkan persetujuan eksplisit jika diperlukan	Jika alur Anda mengambil dokumen, swafoto, video liveness, atau biometrik, gunakan kotak centang yang tidak dicentang atau kontrol afirmatif lainnya di mana pun hukum yang berlaku mewajibkan persetujuan eksplisit. Untuk orang yang tunduk pada hukum Illinois, Texas, atau Colorado, alur yang di-hosting dan SDK native 4.10.0 atau yang lebih baru dapat menampilkan langkah persetujuan biometrik Didit sebelum swafoto; SDK native di bawah 4.10.0 tidak dapat menampilkannya.
Tangani White Label dan UI kustom dengan benar	Jika Anda menggunakan domain kustom, alur White Label, atau UI berbasis API, Anda harus menampilkan pengungkapan ini di dalam produk Anda sendiri karena branding semata tidak mengungkapkan peran Didit.
Simpan catatan Anda sendiri	Jika tim hukum Anda mewajibkan bukti pemberitahuan atau persetujuan, simpan versi teks, stempel waktu, dan metadata terkait di sistem Anda sendiri.

Didit menyediakan infrastruktur verifikasi, namun tidak menentukan apakah alur pengguna spesifik Anda memenuhi persyaratan persetujuan, pengungkapan, atau hukum biometrik yang berlaku untuk bisnis Anda. Tinjau implementasi Anda bersama penasihat hukum sebelum beralih ke lingkungan produksi.

Subprosesor Didit tercantum di halaman Subprosesor. Untuk meminta DPA atau TOMs, kirim email ke privacy@didit.me. Untuk atestasi kepatuhan lainnya, hubungi perwakilan Didit Anda atau kirim email ke hello@didit.me.

FAQ Keamanan

Sertifikasi apa saja yang dimiliki Didit?

Didit tersertifikasi SOC 2 Type 2 (Juli 2026, mencakup periode observasi 9 Maret – 1 Juli 2026; Type 1 diterbitkan April 2026), tersertifikasi ISO 27001 untuk manajemen keamanan informasi, tersertifikasi ISO 27017 dan ISO 27018 untuk keamanan cloud dan privasi, sepenuhnya mematuhi GDPR, tersertifikasi iBeta Level 1 (ISO 30107-3) untuk deteksi serangan presentasi biometrik, dan FSM Jugendschutz geprüft di Jerman untuk verifikasi usia berdasarkan Bagian 4(2) JMStV. Didit juga merupakan satu-satunya penyedia yang diatestasi oleh regulator keuangan Spanyol (Tesoro, Banco de España, SEPBLAC, CNMV) setidaknya sama amannya dengan verifikasi tatap muka, dan memegang opini hukum independen yang mengonfirmasi kompatibilitas EBA/MiCA. Lihat daftar lengkapnya di halaman Sertifikasi. Kami terus menambahkan sertifikasi baru sepanjang waktu — jika Anda memerlukan sertifikasi tertentu, jadwalkan demo dan beri tahu kami.

Apakah data saya dienkripsi?

Ya. Semua data dienkripsi saat transit menggunakan TLS 1.3 dan saat disimpan menggunakan enkripsi AES-256. Kami menggunakan protokol kriptografi standar industri di seluruh infrastruktur kami.

Di mana data disimpan dan diproses?

Secara default, semua data diproses dan disimpan di UE pada infrastruktur AWS. Pelanggan Enterprise dapat meminta pemrosesan di dalam negeri dengan opsi residensi data lokal, tergantung ketersediaan.

Bagaimana cara mengonfigurasi retensi data?

Buka Business Console → App Settings → Data retention untuk menetapkan periode retensi Anda (1 bulan hingga 10 tahun). Anda juga dapat menghapus sesi kapan saja melalui Console atau Delete Session API. Lihat halaman Retensi Data untuk informasi mendalam.

Dapatkah saya menghapus data verifikasi?

Ya. Hapus setiap sesi individual melalui Console atau secara terprogram melalui Delete Session API. Untuk minimisasi data yang maksimal, gunakan pola proses-dan-hapus untuk menghapus setiap sesi segera setelah Anda menerima hasil webhook-nya.

Apakah menghapus sesi juga menghapus data biometrik?

Secara default, ya: gambar wajah, video liveness, dan embedding wajah yang digunakan untuk deteksi duplikat dihapus bersama sesi tersebut. Jika aplikasi Anda memilih untuk mengaktifkan retensi templat biometrik, Didit menyimpan satu templat biometrik wajah tanpa gambar yang terikat ke Pengguna setelah sesi dihapus secara operasional. Templat tersebut tetap merupakan data biometrik, hanya digunakan untuk deteksi duplikat dalam cakupan tenant Anda, memiliki masa kedaluwarsa terbatas, dan dihapus total saat penghapusan Pengguna, permintaan penghapusan data demi privasi, masa kedaluwarsa habis, atau penghapusan eksplisit melalui Biometric Templates API. Entri daftar blokir wajah yang Anda kelola bersifat terpisah dan tetap ada hingga Anda menghapusnya.

Bagaimana Anda menangani insiden keamanan?

Kami memiliki rencana respons insiden terdokumentasi dengan tingkat keparahan yang ditentukan, prosedur eskalasi, dan protokol komunikasi. Jika terjadi pelanggaran data pribadi yang memengaruhi data Anda, kami akan memberi tahu Anda dalam waktu 48 jam setelah mengonfirmasinya, sehingga Anda dapat memenuhi kewajiban Anda sendiri berdasarkan GDPR dan peraturan yang berlaku.

Apakah Didit mematuhi EU AI Act?

Didit secara proaktif menyelaraskan diri dengan persyaratan EU AI Act untuk sistem AI berisiko tinggi, termasuk manajemen risiko, tata kelola data, transparansi, pengawasan manusia, pengujian akurasi, dan non-diskriminasi. Kami terus memperbarui postur kepatuhan kami seiring langkah-langkah implementasi diselesaikan.

Dapatkah saya memperoleh dokumentasi keamanan?

Ya. Daftar lengkap subprosesor dipublikasikan di halaman Subprosesor. Untuk meminta DPA atau TOMs, kirim email ke privacy@didit.me. Untuk ringkasan uji penetrasi (di bawah NDA) dan kutipan sertifikat ISO, hubungi perwakilan Didit Anda atau kirim email ke hello@didit.me.

Bagaimana penanganan log audit?

Setiap panggilan API dan tindakan Console dicatat dengan stempel waktu, ID pengguna, dan alamat IP. Paket Anda menentukan seberapa jauh Anda dapat membaca log audit ke belakang: 30 hari di paket Free, 1 tahun di Growth, 3 tahun di Scale, dan sesuai kesepakatan kontrak Anda di Enterprise, dengan fitur ekspor pada Scale dan Enterprise. Lihat halaman Log Audit untuk informasi mendalam.

Sumber daya terkait

Sertifikasi & atestasi

Setiap kredensial yang dimiliki Didit, beserta tanggal dan cara memperoleh setiap laporannya.

Panduan kepatuhan AMLR

Petakan Regulasi AML UE ke alur kerja, endpoint API, dan webhook Didit.

Persetujuan biometrik

Langkah persetujuan eksplisit untuk Illinois, Texas, dan Colorado, serta bagaimana hal tersebut ditampilkan dalam keputusan.

Retensi Data

Konfigurasikan kebijakan retensi dan terapkan pola yang mengutamakan privasi.

Log Audit

Lacak setiap tindakan dengan jejak audit yang lengkap.

Webhook

Terima notifikasi waktu nyata untuk event verifikasi.

Autentikasi API

Manajemen dan autentikasi kunci API yang aman.

Ikhtisar

Harga

Alur Kerja & Verifikasi

Peninjauan & Operasional

Entitas (Pengguna & Bisnis)

Pengaturan & Kustomisasi