Sicurezza e compliance: SOC 2, ISO 27001, GDPR

Didit è sviluppata fin dalle fondamenta con la sicurezza come principio prioritario. Ogni livello della piattaforma — dall’infrastruttura ai modelli di intelligenza artificiale — è progettato per soddisfare i più elevati standard internazionali in materia di sicurezza delle informazioni, privacy dei dati e accuratezza biometrica.

SOC 2Certificato Type 2

ISOCertificato 27001

GDPRConforme

iBetaCertificato Level 1

FSMProtezione dei minori

AI ActPronto

“La verifica di Didit con NFC + rilevamento della vitalità attiva offre una sicurezza equivalente o superiore alla verifica di persona.” — Report ufficiale, Tesoro spagnolo (tesoro.es)

Dopo un test durato un anno condotto dalle autorità di regolamentazione finanziaria spagnole — il Tesoro spagnolo (Tesoro Público), il SEPBLAC (l’unità di informazione finanziaria), il Banco de España e la CNMV (la commissione per i titoli e i mercati finanziari) — Didit è stata riconosciuta come l’unico fornitore il cui flusso con NFC + rilevamento della vitalità attiva raggiunge o supera il livello di sicurezza della verifica dell’identità di persona.

SOC 2 Type 2

Service Organization Controls — Type 2. Un audit indipendente condotto secondo i Trust Services Criteria dell’AICPA ha confermato che i controlli di sicurezza, disponibilità e riservatezza di Didit hanno operato in modo efficace durante il periodo di osservazione dal 9 marzo al 1° luglio 2026. Rilasciato a luglio 2026 (Type 1 rilasciato ad aprile 2026). Report disponibile per i clienti Enterprise previa sottoscrizione di un NDA.

FSM Jugendschutz geprüft

Certificazione tedesca per la protezione dei minori. L’organismo di autoregolamentazione per la protezione dei minori in Germania (FSM) ha certificato che il sistema di verifica dell’età di Didit definisce in modo affidabile un gruppo chiuso di utenti ai sensi dell’Articolo 4(2) JMStV, garantendo che solo gli adulti verificati accedano a contenuti soggetti a limiti di età.

ISO/IEC 27001

Gestione della sicurezza delle informazioni. Didit mantiene un sistema di gestione della sicurezza delle informazioni (ISMS) certificato che copre la progettazione, lo sviluppo e l’operatività della piattaforma di verifica dell’identità. Estratti del certificato disponibili su richiesta.

ISO/IEC 27017

Controlli di sicurezza cloud. Controlli di sicurezza estesi e specifici per il cloud che integrano la nostra certificazione ISO 27001, garantendo una protezione solida per i servizi di verifica basati su cloud.

ISO/IEC 27018

Protezione della privacy nel cloud. Controlli dedicati alla protezione delle informazioni di identificazione personale (PII) negli ambienti cloud, andando oltre i requisiti generali di protezione dei dati.

Conforme al GDPR

Piena conformità alla protezione dei dati nell’UE. Didit è pienamente conforme al Regolamento generale sulla protezione dei dati. Operiamo in qualità di responsabile del trattamento: tu rimani il titolare del trattamento. Per richiedere il DPA e le TOMs, scrivi a privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Rilevamento degli attacchi di presentazione biometrici. La nostra tecnologia di rilevamento della vitalità è certificata iBeta Level 1 secondo lo standard ISO 30107-3, garantendo un rilevamento affidabile dei tentativi di spoofing, inclusi foto stampate, replay su schermo e maschere 3D.

Pronta per l'EU AI Act

Conformità per un’IA responsabile. I sistemi di verifica basati sull’AI di Didit sono progettati in linea con i requisiti dell’EU AI Act per i sistemi di intelligenza artificiale ad alto rischio, inclusi trasparenza, meccanismi di supervisione umana, governance dei dati e monitoraggio dei bias.

Compatibilità con EBA / MiCA

Onboarding da remoto di livello regolamentare. Un parere legale indipendente conferma che l’onboarding da remoto di Didit rispetta gli Orientamenti EBA sull’onboarding da remoto dei clienti (EBA/GL/2022/15) ed è compatibile con l’EU AML Single Rulebook e il MiCA.

Vedi tutte le certificazioni

L’elenco completo e sempre aggiornato — SOC 2 Type 2 e Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, l’attestazione dell’autorità di regolamentazione spagnola, EBA/MiCA e GDPR — con date e indicazioni su come ottenere ciascun report. Ne aggiungiamo continuamente di nuove; se hai bisogno di una certificazione specifica, prenota una demo e comunicacelo.

Tipo di segnale	Funzionalità
Deepfake	Oltre 20 modelli proprietari di IA, sviluppati internamente per l’era dell’IA generativa. Rilevamento della vitalità →
Attacchi di iniezione	Prevenzione delle manomissioni del flusso della fotocamera: rileva replay e iniezione video. Rilevamento della vitalità →
Falsificazione di documenti	Rilevamento di ologrammi, ristampe, screenshot e alterazioni digitali. Verifica dell’identità →
Identità sintetiche	Controllo incrociato con database governativi ufficiali a livello mondiale. Validazione su database →
Segnali comportamentali	Analisi dispositivo e IP, fingerprinting del dispositivo e rilevamento del replay. Analisi dispositivo e IP →
Ricerca facciale 1:N	Rilevamento di duplicati e account multipli tra tutti gli utenti verificati. Ricerca facciale →

Il nostro team di esperti antifrode risponde ai nuovi vettori di attacco nel giro di poche ore, non di trimestri. Modelli e regole vengono aggiornati continuamente con l’evolversi del panorama delle minacce.

La verifica dell’identità tramite dati biometrici è classificata come ad alto rischio ai sensi dell’AI Act dell’UE. Didit affronta in modo proattivo questi requisiti:

Requisito	Come Didit garantisce la conformità
Gestione del rischio	Valutazione continua del rischio su tutti i modelli di IA con strategie di mitigazione documentate.
Governance dei dati	I dati di addestramento sono curati in termini di qualità, pertinenza e rappresentatività. Test sui bias attraverso i diversi gruppi demografici.
Trasparenza	Documentazione chiara delle funzionalità e delle limitazioni dell’IA. Gli utenti vengono informati quando l’IA elabora i loro dati.
Supervisione umana	I workflow di revisione manuale consentono agli operatori umani di sovrascrivere le decisioni dell’IA in qualsiasi momento.
Accuratezza e robustezza	Rilevamento della vitalità certificato iBeta. Valutazione periodica dei modelli contro gli attacchi avversari (deepfake, iniezione, replay).
Conservazione dei registri	Registri di audit completi e record delle sessioni conservati per la revisione normativa.
Non discriminazione	Monitoraggio e test dei bias in base a età, genere, etnia e tipologie di documenti per garantire un trattamento equo.

Didit aggiorna costantemente il proprio assetto di conformità man mano che le misure attuative dell’AI Act dell’UE vengono finalizzate. Contatta il tuo referente Didit per la documentazione più recente sulla conformità all’AI Act.

Didit agisce in qualità di responsabile del trattamento — tu rimani il titolare del trattamento. La piattaforma è progettata per supportare fin da subito il GDPR e le normative locali sulla protezione dei dati.

Aspetto	Dettaglio
Ruolo di responsabile	Didit tratta i dati personali rigorosamente per tuo conto e secondo le tue istruzioni.
Regione di elaborazione	UE per impostazione predefinita (AWS). I clienti Enterprise possono abilitare l’elaborazione all’interno del proprio paese.
Minimizzazione dei dati	I modelli di elaborazione ed eliminazione ti consentono di conservare solo i campi necessari per la tua azienda.
Portabilità dei dati	Esporta i dati della sessione tramite la Console o le API in qualsiasi momento.
Diritto alla cancellazione	Elimina singole sessioni su richiesta tramite la Console o l’API Delete Session. Invia `deletion_instruction: "privacy_erasure"` per rimuovere anche qualsiasi modello biometrico conservato per tale persona.
Modelli biometrici	Gli embedding facciali vengono eliminati con la sessione per impostazione predefinita. Un’applicazione può scegliere di conservare un modello biometrico privo di immagini per il rilevamento dei duplicati; rimane un dato biometrico, ha una scadenza definita e viene eliminato alla cancellazione dell’utente, in caso di cancellazione per la privacy, alla scadenza o in caso di eliminazione esplicita. Vedi Modelli biometrici.
Controlli di conservazione	Configura la conservazione da 1 mese a 10 anni in Console → App Settings → Data retention.

Responsabilità del cliente nei flussi di verifica

Quando utilizzi Didit nella tua esperienza di onboarding, autenticazione o verifica, mantieni la responsabilità delle informative e della base giuridica lato titolare del trattamento per quel flusso.

Requisito	Cosa devi fare
Informare l’utente sui soggetti coinvolti	Chiarisci che la tua azienda richiede la verifica e che Didit è il fornitore / responsabile del trattamento che gestisce il flusso.
Mostrare la propria informativa sulla privacy	Inserisci un link alla tua informativa sulla privacy o informativa equivalente prima che l’utente avvii la verifica.
Inserire i link ai documenti legali di Didit	Inserisci i link all’Informativa sulla privacy per la verifica, ai Termini per l’utente finale per la verifica dell’identità di Didit e a qualsiasi altra politica di Didit richiesta dal tuo team legale.
Raccogliere il consenso esplicito dove richiesto	Se il tuo flusso acquisisce documenti, selfie, video di rilevamento della vitalità o dati biometrici, usa una casella di controllo deselezionata o un altro controllo affermativo ovunque la legge applicabile richieda il consenso esplicito. Per le persone coperte dalle leggi dell’Illinois, del Texas o del Colorado, il flusso ospitato e l’SDK nativo 4.10.0 o successivo possono mostrare il passaggio di consenso biometrico di Didit prima del selfie; le versioni dell’SDK nativo precedenti alla 4.10.0 non possono farlo.
Gestire correttamente il White label e la UI personalizzata	Se utilizzi un dominio personalizzato, un flusso White label o una UI gestita tramite API, devi mostrare queste informative all’interno del tuo prodotto, poiché il solo branding non informa del ruolo di Didit.
Conservare i propri registri	Se il tuo team legale richiede una prova dell’avvenuta informativa o del consenso, memorizza la versione del testo, data e ora e i relativi metadati nei tuoi sistemi.

Didit fornisce l’infrastruttura di verifica, ma non stabilisce se il tuo specifico percorso utente soddisfi i requisiti relativi al consenso, all’informativa o alle leggi sulla biometria applicabili alla tua azienda. Esamina la tua implementazione con un consulente legale prima di passare in produzione.

I sub-responsabili del trattamento di Didit sono elencati nella pagina dei sub-responsabili del trattamento. Per richiedere un DPA o le misure tecniche e organizzative (TOM), invia un’email a privacy@didit.me. Per altre attestazioni di conformità, contatta il tuo referente Didit o scrivi a hello@didit.me.

FAQ sulla sicurezza

Quali certificazioni possiede Didit?

Didit è certificata SOC 2 Type 2 (luglio 2026, a copertura del periodo di osservazione dal 9 marzo al 1° luglio 2026; Type 1 rilasciata ad aprile 2026), certificata ISO 27001 per la gestione della sicurezza delle informazioni, certificata ISO 27017 e ISO 27018 per la sicurezza cloud e la privacy, pienamente conforme al GDPR, certificata iBeta Level 1 (ISO 30107-3) per il rilevamento degli attacchi di presentazione biometrici, e FSM Jugendschutz geprüft in Germania per la verifica dell’età ai sensi della Sezione 4(2) JMStV. Didit è inoltre l’unico fornitore attestato dalle autorità di regolamentazione finanziaria spagnole (Tesoro, Banco de España, SEPBLAC, CNMV) come sicuro almeno quanto la verifica di persona, e dispone di un parere legale indipendente che conferma la compatibilità con EBA/MiCA. Consulta l’elenco completo nella pagina delle certificazioni. Ne aggiungiamo continuamente di nuove: se hai bisogno di una certificazione specifica, prenota una demo e spiegaci le tue esigenze.

I miei dati sono crittografati?

Sì. Tutti i dati sono crittografati in transito tramite TLS 1.3 e a riposo tramite crittografia AES-256. Utilizziamo protocolli crittografici standard del settore nell’intera nostra infrastruttura.

Dove vengono archiviati ed elaborati i dati?

Per impostazione predefinita, tutti i dati vengono elaborati e archiviati nell’UE su infrastruttura AWS. I clienti Enterprise possono richiedere l’elaborazione locale nel proprio paese con opzioni di residenza dei dati dedicate, in base alla disponibilità.

Come configuro la conservazione dei dati?

Vai su Business Console → App Settings → Data retention per impostare la tua finestra di conservazione (da 1 mese a 10 anni). Puoi anche eliminare le sessioni su richiesta tramite la Console o l’API Delete Session. Consulta la pagina sulla conservazione dei dati per i dettagli.

Posso eliminare i dati di verifica?

Sì. Elimina singole sessioni tramite la Console o a livello di codice tramite l’API Delete Session. Per ridurre al minimo i dati, utilizza il pattern di elaborazione e cancellazione per eliminare ciascuna sessione non appena hai ricevuto i risultati del webhook.

L'eliminazione di una sessione elimina anche i dati biometrici?

Per impostazione predefinita, sì: l’immagine del volto, il video di rilevamento della vitalità e l’embedding facciale utilizzato per il rilevamento dei duplicati vengono eliminati insieme alla sessione. Se la tua applicazione ha abilitato la conservazione dei modelli biometrici, Didit conserva un modello biometrico facciale privo di immagini ancorato all’Utente dopo l’eliminazione operativa della sessione. Tale modello rimane un dato biometrico, viene utilizzato esclusivamente per il rilevamento dei duplicati limitato al tuo tenant, ha una durata limitata e viene eliminato definitivamente quando l’Utente viene cancellato, in caso di richiesta di cancellazione per motivi di privacy, alla scadenza o mediante un’eliminazione esplicita tramite l’API Biometric Templates. Le voci della blocklist facciale gestite da te sono separate e rimangono fino a quando non le rimuovi.

Come gestite gli incidenti di sicurezza?

Manteniamo un piano documentato di risposta agli incidenti con livelli di gravità definiti, procedure di escalation e protocolli di comunicazione. Se una violazione di dati personali interessa i tuoi dati, ti informiamo entro 48 ore dalla conferma, consentendoti di adempiere ai tuoi obblighi ai sensi del GDPR e delle normative applicabili.

Didit è conforme all'EU AI Act?

Didit si allinea proattivamente ai requisiti dell’EU AI Act per i sistemi di IA ad alto rischio, inclusi gestione del rischio, governance dei dati, trasparenza, supervisione umana, test di accuratezza e non discriminazione. Aggiorniamo costantemente il nostro stato di conformità man mano che le misure attuative vengono finalizzate.

Posso ottenere la documentazione di sicurezza?

Sì. L’elenco completo dei sub-responsabili del trattamento è pubblicato nella pagina dei sub-responsabili del trattamento. Per richiedere un DPA o le TOMs, invia un’email a privacy@didit.me. Per i riepiloghi dei test di penetrazione (sotto NDA) ed estratti dei certificati ISO, contatta il tuo referente Didit o scrivi a hello@didit.me.

Come vengono gestiti i registri di audit?

Ogni chiamata API e azione nella Console viene registrata con marcature temporali, ID utente e indirizzi IP. Il tuo piano stabilisce per quanto tempo puoi consultare i registri di audit: 30 giorni su Free, 1 anno su Growth, 3 anni su Scale e quanto previsto dal tuo contratto su Enterprise, con possibilità di esportazione su Scale ed Enterprise. Consulta la pagina Registri di audit per i dettagli.

Risorse correlate

Certificazioni e attestazioni

Ogni credenziale posseduta da Didit, con date e modalità per ottenere ciascun report.

Guida alla conformità AMLR

Metti in relazione il Regolamento AML dell’UE con i workflow, gli endpoint API e i webhook di Didit.

Consenso biometrico

Il passaggio di consenso esplicito per Illinois, Texas e Colorado, e come appare nelle decisioni.

Conservazione dei dati

Configura i criteri di conservazione e implementa pattern orientati alla privacy.

Registri di audit

Traccia ogni azione con tracce di audit complete.

Webhook

Ricevi notifiche in tempo reale per gli eventi di verifica.

Autenticazione API

Gestione sicura delle chiavi API e dell’autenticazione.

Panoramica

Prezzi

Workflow e verifica

Revisione e operazioni

Entità (utenti e aziende)

Impostazioni e personalizzazione