> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Sicurezza e compliance: SOC 2, ISO 27001, GDPR > Sicurezza e compliance di Didit: SOC 2 Type 2, ISO 27001, GDPR, iBeta Level 1, FSM, pronto per EU AI Act e validato da Tesoro spagnolo e SEPBLAC. Didit è sviluppata fin dalle fondamenta con la sicurezza come principio prioritario. Ogni livello della piattaforma — dall'infrastruttura ai modelli di intelligenza artificiale — è progettato per soddisfare i più elevati standard internazionali in materia di sicurezza delle informazioni, privacy dei dati e accuratezza biometrica. SOC 2 Certificato Type 2 ISO Certificato 27001 GDPR Conforme iBeta Certificato Level 1 FSM Protezione dei minori AI Act Pronto *** Validato dal governo ## Più sicuro della verifica di persona Validato dal Tesoro spagnolo, dal SEPBLAC e dalla CNMV — il primo e unico fornitore a ricevere questa validazione. > [!NOTE] > > **"La verifica di Didit con NFC + rilevamento della vitalità attiva offre una sicurezza equivalente o superiore alla verifica di persona."** > — Report ufficiale, Tesoro spagnolo ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)) Dopo un test durato un anno condotto dalle autorità di regolamentazione finanziaria spagnole — il Tesoro spagnolo (Tesoro Público), il SEPBLAC (l'unità di informazione finanziaria), il Banco de España e la CNMV (la commissione per i titoli e i mercati finanziari) — Didit è stata riconosciuta come l'unico fornitore il cui flusso con NFC + rilevamento della vitalità attiva raggiunge o supera il livello di sicurezza della verifica dell'identità di persona. ### L'unico fornitore con questa validazione Il primo e unico fornitore ad aver superato il test durato un anno delle autorità di regolamentazione finanziaria in Spagna. Indipendente, avversariale e ripetibile. ### 200+ segnali per ogni verifica Segnali biometrici, documentali, comportamentali e da database verificati e incrociati in tempo reale per ogni sessione. ### Connesso a fonti di dati governative Integrato singolarmente con database governativi autorevoli in tutto il mondo per confermare l'identità rispetto ai registri ufficiali di riferimento. ### Licenze globali e compliance Certificato SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018, GDPR, iBeta Level 1 (ISO 30107-3) e certificazione FSM per la protezione dei minori. Dotato di licenza e conforme in ogni paese in cui operiamo. *** Certificazioni ## Certificato per garantire la fiducia delle aziende La nostra piattaforma soddisfa i più elevati standard internazionali per la sicurezza delle informazioni, la privacy dei dati e l'accuratezza biometrica. > [card] SOC 2 Type 2 > > **Service Organization Controls — Type 2.** Un audit indipendente condotto secondo i Trust Services Criteria dell'AICPA ha confermato che i controlli di sicurezza, disponibilità e riservatezza di Didit **hanno operato in modo efficace durante il periodo di osservazione dal 9 marzo al 1° luglio 2026**. Rilasciato a luglio 2026 (Type 1 rilasciato ad aprile 2026). Report disponibile per i clienti Enterprise previa sottoscrizione di un NDA. > [card] FSM Jugendschutz geprüft > > **Certificazione tedesca per la protezione dei minori.** L'organismo di autoregolamentazione per la protezione dei minori in Germania (FSM) ha certificato che il sistema di verifica dell'età di Didit definisce in modo affidabile un gruppo chiuso di utenti ai sensi dell'**Articolo 4(2) JMStV**, garantendo che solo gli adulti verificati accedano a contenuti soggetti a limiti di età. > [card] ISO/IEC 27001 > > **Gestione della sicurezza delle informazioni.** Didit mantiene un sistema di gestione della sicurezza delle informazioni (ISMS) certificato che copre la progettazione, lo sviluppo e l'operatività della piattaforma di verifica dell'identità. Estratti del certificato disponibili su richiesta. > [card] ISO/IEC 27017 > > **Controlli di sicurezza cloud.** Controlli di sicurezza estesi e specifici per il cloud che integrano la nostra certificazione ISO 27001, garantendo una protezione solida per i servizi di verifica basati su cloud. > [card] ISO/IEC 27018 > > **Protezione della privacy nel cloud.** Controlli dedicati alla protezione delle informazioni di identificazione personale (PII) negli ambienti cloud, andando oltre i requisiti generali di protezione dei dati. > [card] Conforme al GDPR > > **Piena conformità alla protezione dei dati nell'UE.** Didit è pienamente conforme al Regolamento generale sulla protezione dei dati. Operiamo in qualità di responsabile del trattamento: tu rimani il titolare del trattamento. Per richiedere il DPA e le TOMs, scrivi a [privacy@didit.me](mailto:privacy@didit.me). > [card] iBeta Level 1 — ISO 30107-3 > > **Rilevamento degli attacchi di presentazione biometrici.** La nostra tecnologia di rilevamento della vitalità è certificata iBeta Level 1 secondo lo standard ISO 30107-3, garantendo un rilevamento affidabile dei tentativi di spoofing, inclusi foto stampate, replay su schermo e maschere 3D. > [card] Pronta per l'EU AI Act > > **Conformità per un'IA responsabile.** I sistemi di verifica basati sull'AI di Didit sono progettati in linea con i requisiti dell'EU AI Act per i sistemi di intelligenza artificiale ad alto rischio, inclusi trasparenza, meccanismi di supervisione umana, governance dei dati e monitoraggio dei bias. > [card] Compatibilità con EBA / MiCA > > **Onboarding da remoto di livello regolamentare.** Un parere legale indipendente conferma che l'onboarding da remoto di Didit rispetta gli Orientamenti EBA sull'onboarding da remoto dei clienti (EBA/GL/2022/15) ed è compatibile con l'EU AML Single Rulebook e il MiCA. > [card] [Vedi tutte le certificazioni](https://docs.didit.me/it/getting-started/certifications.md) > > L'elenco completo e sempre aggiornato — SOC 2 Type 2 e Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, l'attestazione dell'autorità di regolamentazione spagnola, EBA/MiCA e GDPR — con date e indicazioni su come ottenere ciascun report. Ne aggiungiamo continuamente di nuove; se hai bisogno di una certificazione specifica, [prenota una demo](https://didit.me/get-a-demo/) e comunicacelo. *** Infrastruttura di sicurezza ## Come proteggiamo i tuoi dati ### Crittografia end-to-end Tutti i dati sono crittografati in transito (TLS 1.3) e a riposo (AES-256). Protocolli crittografici conformi agli standard di settore proteggono le informazioni sensibili in ogni fase. ### Controllo degli accessi basato sui ruoli Autorizzazioni granulari e controllo degli accessi basato sui ruoli garantiscono che solo il personale autorizzato possa accedere ai dati di verifica e alle configurazioni di sistema. ### Registri di audit completi Ogni azione viene registrata con timestamp, ID utente e indirizzi IP. Il tuo piano determina per quanto tempo puoi consultare i registri di audit: 30 giorni su Free, 1 anno su Growth, 3 anni su Scale e quanto stabilito dal tuo contratto su Enterprise, con possibilità di esportazione su Scale ed Enterprise. ### Monitoraggio della sicurezza 24/7 Monitoraggio continuo e rilevamento automatico delle minacce sull'intera nostra infrastruttura con alert in tempo reale per le attività sospette. ### Infrastruttura basata nell'UE I dati vengono elaborati e archiviati per impostazione predefinita nell'UE su server AWS. I clienti Enterprise possono attivare l'elaborazione locale nel proprio paese con opzioni di residenza dei dati. ### Conservazione dei dati configurabile Imposta criteri di conservazione da 1 mese a 10 anni, oppure elimina le sessioni su richiesta tramite API. Sono supportati modelli di elaborazione e cancellazione per ridurre al minimo l'impronta dei dati. Qualsiasi modello biometrico che scegli di conservare dopo l'eliminazione di una sessione ha una propria scadenza limitata. *** Segnali di frode ## 200+ segnali, loop antifrode in tempo reale Loop antifrode completamente integrato: rileva, analizza e risolvi in tempo reale. Ogni verifica viene valutata rispetto a 200+ segnali provenienti da fonti biometriche, documentali, comportamentali e di database. | Tipo di segnale | Funzionalità | | - | - | | **Deepfake** | Oltre 20 modelli proprietari di IA, sviluppati internamente per l'era dell'IA generativa. [Rilevamento della vitalità →](https://docs.didit.me/it/core-technology/liveness/overview.md) | | **Attacchi di iniezione** | Prevenzione delle manomissioni del flusso della fotocamera: rileva replay e iniezione video. [Rilevamento della vitalità →](https://docs.didit.me/it/core-technology/liveness/overview.md) | | **Falsificazione di documenti** | Rilevamento di ologrammi, ristampe, screenshot e alterazioni digitali. [Verifica dell'identità →](https://docs.didit.me/it/core-technology/id-verification/overview.md) | | **Identità sintetiche** | Controllo incrociato con database governativi ufficiali a livello mondiale. [Validazione su database →](https://docs.didit.me/it/core-technology/database-validation/overview.md) | | **Segnali comportamentali** | Analisi dispositivo e IP, fingerprinting del dispositivo e rilevamento del replay. [Analisi dispositivo e IP →](https://docs.didit.me/it/core-technology/ip-analysis/overview.md) | | **Ricerca facciale 1:N** | Rilevamento di duplicati e account multipli tra tutti gli utenti verificati. [Ricerca facciale →](https://docs.didit.me/it/core-technology/face-search/overview.md) | > [!TIP] > > Il nostro team di esperti antifrode risponde ai nuovi vettori di attacco nel giro di poche ore, non di trimestri. Modelli e regole vengono aggiornati continuamente con l'evolversi del panorama delle minacce. *** Conformità all'AI Act ## IA responsabile — fin dalla progettazione In quanto piattaforma di identità nativamente basata sull'IA, Didit prende molto sul serio l'AI Act dell'UE. I nostri sistemi sono progettati per soddisfare i requisiti per le applicazioni di IA ad alto rischio. La verifica dell'identità tramite dati biometrici è classificata come **ad alto rischio** ai sensi dell'AI Act dell'UE. Didit affronta in modo proattivo questi requisiti: | Requisito | Come Didit garantisce la conformità | | - | - | | **Gestione del rischio** | Valutazione continua del rischio su tutti i modelli di IA con strategie di mitigazione documentate. | | **Governance dei dati** | I dati di addestramento sono curati in termini di qualità, pertinenza e rappresentatività. Test sui bias attraverso i diversi gruppi demografici. | | **Trasparenza** | Documentazione chiara delle funzionalità e delle limitazioni dell'IA. Gli utenti vengono informati quando l'IA elabora i loro dati. | | **Supervisione umana** | I workflow di revisione manuale consentono agli operatori umani di sovrascrivere le decisioni dell'IA in qualsiasi momento. | | **Accuratezza e robustezza** | Rilevamento della vitalità certificato iBeta. Valutazione periodica dei modelli contro gli attacchi avversari (deepfake, iniezione, replay). | | **Conservazione dei registri** | Registri di audit completi e record delle sessioni conservati per la revisione normativa. | | **Non discriminazione** | Monitoraggio e test dei bias in base a età, genere, etnia e tipologie di documenti per garantire un trattamento equo. | > [!NOTE] > > Didit aggiorna costantemente il proprio assetto di conformità man mano che le misure attuative dell'AI Act dell'UE vengono finalizzate. Contatta il tuo referente Didit per la documentazione più recente sulla conformità all'AI Act. *** Protezione dei dati ## Il tuo partner per la protezione dei dati Didit agisce in qualità di **responsabile del trattamento** — tu rimani il **titolare del trattamento**. La piattaforma è progettata per supportare fin da subito il GDPR e le normative locali sulla protezione dei dati. | Aspetto | Dettaglio | | - | - | | **Ruolo di responsabile** | Didit tratta i dati personali rigorosamente per tuo conto e secondo le tue istruzioni. | | **Regione di elaborazione** | UE per impostazione predefinita (AWS). I clienti Enterprise possono abilitare l'elaborazione all'interno del proprio paese. | | **Minimizzazione dei dati** | I modelli di elaborazione ed eliminazione ti consentono di conservare solo i campi necessari per la tua azienda. | | **Portabilità dei dati** | Esporta i dati della sessione tramite la Console o le API in qualsiasi momento. | | **Diritto alla cancellazione** | Elimina singole sessioni su richiesta tramite la Console o l'API [Delete Session](https://docs.didit.me/it/sessions-api/delete-session.md). Invia `deletion_instruction: "privacy_erasure"` per rimuovere anche qualsiasi modello biometrico conservato per tale persona. | | **Modelli biometrici** | Gli embedding facciali vengono eliminati con la sessione per impostazione predefinita. Un'applicazione può scegliere di conservare un modello biometrico privo di immagini per il rilevamento dei duplicati; rimane un dato biometrico, ha una scadenza definita e viene eliminato alla cancellazione dell'utente, in caso di cancellazione per la privacy, alla scadenza o in caso di eliminazione esplicita. Vedi [Modelli biometrici](https://docs.didit.me/it/management-api/biometric-templates/overview.md). | | **Controlli di conservazione** | Configura la conservazione da 1 mese a 10 anni in **Console → App Settings → Data retention**. | ## Responsabilità del cliente nei flussi di verifica Quando utilizzi Didit nella tua esperienza di onboarding, autenticazione o verifica, mantieni la responsabilità delle **informative e della base giuridica lato titolare del trattamento** per quel flusso. | Requisito | Cosa devi fare | | - | - | | **Informare l'utente sui soggetti coinvolti** | Chiarisci che la tua azienda richiede la verifica e che Didit è il fornitore / responsabile del trattamento che gestisce il flusso. | | **Mostrare la propria informativa sulla privacy** | Inserisci un link alla tua informativa sulla privacy o informativa equivalente prima che l'utente avvii la verifica. | | **Inserire i link ai documenti legali di Didit** | Inserisci i link all'[Informativa sulla privacy per la verifica](https://didit.me/terms/verification-privacy-notice), ai [Termini per l'utente finale per la verifica dell'identità](https://didit.me/terms/identity-verification) di Didit e a qualsiasi altra politica di Didit richiesta dal tuo team legale. | | **Raccogliere il consenso esplicito dove richiesto** | Se il tuo flusso acquisisce documenti, selfie, video di rilevamento della vitalità o dati biometrici, usa una casella di controllo deselezionata o un altro controllo affermativo ovunque la legge applicabile richieda il consenso esplicito. Per le persone coperte dalle leggi dell'Illinois, del Texas o del Colorado, il flusso ospitato e l'SDK nativo 4.10.0 o successivo possono mostrare il [passaggio di consenso biometrico](https://docs.didit.me/it/getting-started/biometric-consent.md) di Didit prima del selfie; le versioni dell'SDK nativo precedenti alla 4.10.0 non possono farlo. | | **Gestire correttamente il White label e la UI personalizzata** | Se utilizzi un dominio personalizzato, un flusso White label o una UI gestita tramite API, devi mostrare queste informative all'interno del tuo prodotto, poiché il solo branding non informa del ruolo di Didit. | | **Conservare i propri registri** | Se il tuo team legale richiede una prova dell'avvenuta informativa o del consenso, memorizza la versione del testo, data e ora e i relativi metadati nei tuoi sistemi. | > [!WARNING] > > Didit fornisce l'infrastruttura di verifica, ma non stabilisce se il tuo specifico percorso utente soddisfi i requisiti relativi al consenso, all'informativa o alle leggi sulla biometria applicabili alla tua azienda. Esamina la tua implementazione con un consulente legale prima di passare in produzione. > [!NOTE] > > I sub-responsabili del trattamento di Didit sono elencati nella [pagina dei sub-responsabili del trattamento](https://didit.me/legal/sub-processors). Per richiedere un DPA o le misure tecniche e organizzative (TOM), invia un'email a [privacy@didit.me](mailto:privacy@didit.me). Per altre attestazioni di conformità, contatta il tuo referente Didit o scrivi a [hello@didit.me](mailto:hello@didit.me). *** Sicurezza operativa ## Protezione continua ### Penetration test Penetration test periodici condotti da terze parti con risoluzione tracciata delle vulnerabilità. I report sono disponibili per i clienti enterprise sotto NDA. ### Nessuna violazione nota Nessuna violazione della sicurezza segnalata fino ad oggi. Procedure di risposta agli incidenti testate e documentate. ### Team di sicurezza interno Team dedicato alla sicurezza informatica con accesso basato sul privilegio minimo e rigorosa separazione degli ambienti su tutti i sistemi. ### Sicurezza delle chiavi API Chiavi API separate per Sandbox e Produzione. Le chiavi possono essere ruotate in qualsiasi momento tramite la Business Console. *** ## FAQ sulla sicurezza > [accordion] Quali certificazioni possiede Didit? > > Didit è **certificata SOC 2 Type 2** (luglio 2026, a copertura del periodo di osservazione dal 9 marzo al 1° luglio 2026; Type 1 rilasciata ad aprile 2026), certificata ISO 27001 per la gestione della sicurezza delle informazioni, certificata ISO 27017 e ISO 27018 per la sicurezza cloud e la privacy, pienamente conforme al GDPR, certificata iBeta Level 1 (ISO 30107-3) per il rilevamento degli attacchi di presentazione biometrici, e **FSM Jugendschutz geprüft** in Germania per la verifica dell'età ai sensi della Sezione 4(2) JMStV. Didit è inoltre l'unico fornitore attestato dalle autorità di regolamentazione finanziaria spagnole (Tesoro, Banco de España, SEPBLAC, CNMV) come sicuro almeno quanto la verifica di persona, e dispone di un parere legale indipendente che conferma la compatibilità con EBA/MiCA. Consulta l'elenco completo nella [pagina delle certificazioni](https://docs.didit.me/it/getting-started/certifications.md). Ne aggiungiamo continuamente di nuove: se hai bisogno di una certificazione specifica, [prenota una demo](https://didit.me/get-a-demo/) e spiegaci le tue esigenze. > [accordion] I miei dati sono crittografati? > > Sì. Tutti i dati sono crittografati in transito tramite TLS 1.3 e a riposo tramite crittografia AES-256. Utilizziamo protocolli crittografici standard del settore nell'intera nostra infrastruttura. > [accordion] Dove vengono archiviati ed elaborati i dati? > > Per impostazione predefinita, tutti i dati vengono elaborati e archiviati nell'UE su infrastruttura AWS. I clienti Enterprise possono richiedere l'elaborazione locale nel proprio paese con opzioni di residenza dei dati dedicate, in base alla disponibilità. > [accordion] Come configuro la conservazione dei dati? > > Vai su **Business Console → App Settings → Data retention** per impostare la tua finestra di conservazione (da 1 mese a 10 anni). Puoi anche eliminare le sessioni su richiesta tramite la Console o l'[API Delete Session](https://docs.didit.me/it/sessions-api/delete-session.md). Consulta la pagina sulla [conservazione dei dati](https://docs.didit.me/it/console/data-retention.md) per i dettagli. > [accordion] Posso eliminare i dati di verifica? > > Sì. Elimina singole sessioni tramite la Console o a livello di codice tramite l'[API Delete Session](https://docs.didit.me/it/sessions-api/delete-session.md). Per ridurre al minimo i dati, utilizza il pattern di elaborazione e cancellazione per eliminare ciascuna sessione non appena hai ricevuto i risultati del webhook. > [accordion] L'eliminazione di una sessione elimina anche i dati biometrici? > > Per impostazione predefinita, sì: l'immagine del volto, il video di rilevamento della vitalità e l'embedding facciale utilizzato per il rilevamento dei duplicati vengono eliminati insieme alla sessione. Se la tua applicazione ha abilitato la [conservazione dei modelli biometrici](https://docs.didit.me/it/console/data-retention.md#conservazione-del-modello-biometrico), Didit conserva un modello biometrico facciale privo di immagini ancorato all'Utente dopo l'eliminazione operativa della sessione. Tale modello rimane un dato biometrico, viene utilizzato esclusivamente per il rilevamento dei duplicati limitato al tuo tenant, ha una durata limitata e viene eliminato definitivamente quando l'Utente viene cancellato, in caso di richiesta di cancellazione per motivi di privacy, alla scadenza o mediante un'eliminazione esplicita tramite l'[API Biometric Templates](https://docs.didit.me/it/management-api/biometric-templates/overview.md). Le voci della blocklist facciale gestite da te sono separate e rimangono fino a quando non le rimuovi. > [accordion] Come gestite gli incidenti di sicurezza? > > Manteniamo un piano documentato di risposta agli incidenti con livelli di gravità definiti, procedure di escalation e protocolli di comunicazione. Se una violazione di dati personali interessa i tuoi dati, ti informiamo entro 48 ore dalla conferma, consentendoti di adempiere ai tuoi obblighi ai sensi del GDPR e delle normative applicabili. > [accordion] Didit è conforme all'EU AI Act? > > Didit si allinea proattivamente ai requisiti dell'EU AI Act per i sistemi di IA ad alto rischio, inclusi gestione del rischio, governance dei dati, trasparenza, supervisione umana, test di accuratezza e non discriminazione. Aggiorniamo costantemente il nostro stato di conformità man mano che le misure attuative vengono finalizzate. > [accordion] Posso ottenere la documentazione di sicurezza? > > Sì. L'elenco completo dei sub-responsabili del trattamento è pubblicato nella [pagina dei sub-responsabili del trattamento](https://didit.me/legal/sub-processors). Per richiedere un DPA o le TOMs, invia un'email a [privacy@didit.me](mailto:privacy@didit.me). Per i riepiloghi dei test di penetrazione (sotto NDA) ed estratti dei certificati ISO, contatta il tuo referente Didit o scrivi a [hello@didit.me](mailto:hello@didit.me). > [accordion] Come vengono gestiti i registri di audit? > > Ogni chiamata API e azione nella Console viene registrata con marcature temporali, ID utente e indirizzi IP. Il tuo piano stabilisce per quanto tempo puoi consultare i registri di audit: 30 giorni su Free, 1 anno su Growth, 3 anni su Scale e quanto previsto dal tuo contratto su Enterprise, con possibilità di esportazione su Scale ed Enterprise. Consulta la pagina [Registri di audit](https://docs.didit.me/it/console/audit-logs.md) per i dettagli. *** ## Risorse correlate > [card] [Certificazioni e attestazioni](https://docs.didit.me/it/getting-started/certifications.md) > > Ogni credenziale posseduta da Didit, con date e modalità per ottenere ciascun report. > [card] [Guida alla conformità AMLR](https://docs.didit.me/it/getting-started/amlr-compliance.md) > > Metti in relazione il Regolamento AML dell'UE con i workflow, gli endpoint API e i webhook di Didit. > [card] [Consenso biometrico](https://docs.didit.me/it/getting-started/biometric-consent.md) > > Il passaggio di consenso esplicito per Illinois, Texas e Colorado, e come appare nelle decisioni. > [card] [Conservazione dei dati](https://docs.didit.me/it/console/data-retention.md) > > Configura i criteri di conservazione e implementa pattern orientati alla privacy. > [card] [Registri di audit](https://docs.didit.me/it/console/audit-logs.md) > > Traccia ogni azione con tracce di audit complete. > [card] [Webhook](https://docs.didit.me/it/integration/webhooks.md) > > Ricevi notifiche in tempo reale per gli eventi di verifica. > [card] [Autenticazione API](https://docs.didit.me/it/getting-started/api-authentication.md) > > Gestione sicura delle chiavi API e dell'autenticazione. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.