> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # セキュリティとコンプライアンス: SOC 2・ISO 27001・GDPR > Didit のセキュリティとコンプライアンス体制。SOC 2 Type 2、ISO 27001、GDPR、iBeta Level 1、FSM に対応し、スペイン財務省と SEPBLAC が検証、EU AI 法にも対応。 Didit は、セキュリティを最優先の原則として、ゼロから構築されています。インフラから AI モデルまで、プラットフォームのすべての層が、情報セキュリティ、データプライバシー、生体認証の精度に関する最高水準の国際基準を満たすように設計されています。 SOC 2 Type 2 認証取得 ISO 27001 認証取得 GDPR 準拠 iBeta Level 1 認証取得 FSM 青少年保護 AI Act 対応済み *** 政府による検証 スペイン財務省、SEPBLAC、CNMV によって検証されました。この検証を受けた最初の、そして唯一のプロバイダーです。 > [!NOTE] > > **「Didit の NFC + アクティブライブネスによる確認は、対面での確認と同等かそれ以上のセキュリティを提供します。」** > > * スペイン財務省の公式報告書 ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)) スペインの金融規制当局である、スペイン財務省 (Tesoro Público)、SEPBLAC (金融情報機関)、スペイン銀行、CNMV (証券市場委員会) による1年間の試験を経て、Didit は、NFC + アクティブライブネスのフローが対面での本人確認のセキュリティレベルと同等かそれ以上であると認められた唯一のプロバイダーとなりました。 *** 認証 Didit のプラットフォームは、情報セキュリティ、データプライバシー、生体認証の精度に関する最高水準の国際基準を満たしています。 > **SOC 2 Type 2** > > **Service Organization Controls - Type 2。** AICPA のトラストサービス基準に基づく独立した監査により、Didit のセキュリティ、可用性、機密保持の統制が、**2026年3月9日から7月1日までの観察期間にわたって有効に運用されていた** ことが確認されました。2026年7月に発行されました (Type 1 は2026年4月に発行)。レポートは、NDA を締結したエンタープライズのお客様に提供しています。 > **FSM Jugendschutz geprüft** > > **ドイツの青少年保護認証。** ドイツの青少年保護の自主規制機関 (FSM) が、Didit の年齢確認システムが **JMStV 第4条第2項** に基づくクローズドユーザーグループを確実に確立し、確認済みの成人だけが年齢制限のあるコンテンツにアクセスできることを認証しました。 > **ISO/IEC 27001** > > **情報セキュリティマネジメント。** Didit は、本人確認プラットフォームの設計、開発、運用を対象とする、認証済みの情報セキュリティマネジメントシステム (ISMS) を維持しています。証明書の抜粋はご要望に応じて提供します。 > **ISO/IEC 27017** > > **クラウドセキュリティの統制。** ISO 27001 の認証を補完する、クラウド固有のセキュリティ統制の拡張であり、クラウドベースの確認サービスを堅牢に保護します。 > **ISO/IEC 27018** > > **クラウドのプライバシー保護。** クラウド環境における個人を特定できる情報 (PII) を保護するための専用の統制であり、一般的なデータ保護の要件を超えています。 > **GDPR 準拠** > > **EU のデータ保護に完全準拠。** Didit は一般データ保護規則に完全に準拠しています。Didit はデータ処理者として動作し、お客様はデータ管理者のままです。DPA と TOMs をご希望の場合は、[privacy@didit.me](mailto:privacy@didit.me) までメールをお送りください。 > **iBeta Level 1 - ISO 30107-3** > > **生体のプレゼンテーション攻撃検知。** Didit のライブネス検知技術は、ISO 30107-3 規格に基づく iBeta Level 1 の認証を取得しており、印刷された写真、画面のリプレイ、3D マスクなどのなりすましの試みを確実に検知します。 > **EU AI 法に対応** > > **責任ある AI のコンプライアンス。** Didit の AI 搭載の確認システムは、透明性、人による監督の仕組み、データガバナンス、バイアスのモニタリングなど、高リスク AI システムに対する EU AI 法の要件に沿って設計されています。 > **EBA / MiCA との互換性** > > **規制当局レベルのリモートオンボーディング。** 独立した法的見解により、Didit のリモートオンボーディングが EBA のリモート顧客オンボーディングに関するガイドライン (EBA/GL/2022/15) を満たし、EU の AML 単一ルールブックおよび MiCA と互換性があることが確認されています。 > **[すべての認証を見る](https://docs.didit.me/ja/getting-started/certifications.md)** > > 常に最新の完全な一覧です。SOC 2 Type 2 と Type 1、ISO 27001/27017/27018、iBeta Level 1、FSM、スペイン規制当局による認証、EBA/MiCA、GDPR について、日付と各レポートの入手方法を掲載しています。認証は随時追加しています。特定の認証が必要な場合は、[デモを予約](https://didit.me/get-a-demo/) してお知らせください。 *** セキュリティインフラ *** 不正シグナル 検知、分析、修正をリアルタイムで行う、完全に統合された不正対策ループです。すべての確認は、生体、書類、行動、データベースの各ソースにわたる200+のシグナルに照らしてスコアリングされます。 | シグナルの種類 | 機能 | | - | - | | **ディープフェイク** | 生成 AI の時代に向けて自社で開発した、+20の独自 AI モデル。[ライブネス検知 →](https://docs.didit.me/ja/core-technology/liveness/overview.md) | | **インジェクション攻撃** | カメラストリームの改ざんを防止し、リプレイや動画のインジェクションを検知します。[ライブネス検知 →](https://docs.didit.me/ja/core-technology/liveness/overview.md) | | **書類の偽造** | ホログラム、再印刷、スクリーンショット、デジタルでの改ざんを検知します。[本人確認 →](https://docs.didit.me/ja/core-technology/id-verification/overview.md) | | **合成 ID** | 世界各国の信頼できる政府のデータベースと照合します。[データベース検証 →](https://docs.didit.me/ja/core-technology/database-validation/overview.md) | | **行動シグナル** | デバイス・IP分析、デバイスフィンガープリント、リプレイ検知。[デバイス・IP分析 →](https://docs.didit.me/ja/core-technology/ip-analysis/overview.md) | | **顔検索 1:N** | 確認済みのすべてのユーザーにわたる、重複アカウントと複数アカウントの検知。[顔検索 →](https://docs.didit.me/ja/core-technology/face-search/overview.md) | > [!TIP] > > 専門の不正対策チームが、新たな攻撃手法に数四半期ではなく数時間で対応します。脅威の状況の変化に合わせて、モデルとルールは継続的に更新されます。 *** AI 法への対応 AI ネイティブの本人確認プラットフォームとして、Didit は EU AI 法を真剣に受け止めています。当社のシステムは、高リスクの AI アプリケーションに対する要件を満たすように構築されています。 生体情報を用いた本人確認は、EU AI 法の下で **高リスク** に分類されます。Didit はこれらの要件に先回りして対応しています。 | 要件 | Didit の対応方法 | | - | - | | **リスク管理** | すべての AI モデルにわたる継続的なリスク評価と、文書化された緩和策。 | | **データガバナンス** | 学習データは、品質、関連性、代表性を考慮して選定されています。属性横断のバイアステストを実施しています。 | | **透明性** | AI の能力と限界を明確に文書化しています。AI がデータを処理する場合は、ユーザーに通知されます。 | | **人による監督** | 手動レビューのワークフローにより、人間のオペレーターがいつでも AI の判断を覆せます。 | | **精度と堅牢性** | iBeta 認証済みのライブネス検知。敵対的な攻撃 (ディープフェイク、インジェクション、リプレイ) に対するモデルの定期的な評価。 | | **記録の保持** | 規制当局によるレビューのために、包括的な監査ログとセッションの記録を維持しています。 | | **非差別** | 年齢、性別、民族、書類の種類にわたるバイアスのモニタリングとテストにより、公平な扱いを確保しています。 | > [!NOTE] > > Didit は、EU AI 法の施行措置が確定するのに合わせて、コンプライアンス体制を継続的に更新しています。AI 法への対応に関する最新のドキュメントは、Didit の担当者にお問い合わせください。 *** データ保護 Didit は **データ処理者** として動作し、お客様は **データ管理者** のままです。このプラットフォームは、GDPR と各国のデータ保護制度に、追加の設定なしで対応できるように設計されています。 | 項目 | 詳細 | | - | - | | **処理者としての役割** | Didit は、お客様に代わって、お客様の指示に厳密に従って個人データを処理します。 | | **処理リージョン** | デフォルトは EU (AWS)。エンタープライズのお客様は、国内での処理を有効にできます。 | | **データの最小化** | 処理して即時削除するパターンにより、事業に必要な項目だけを保持できます。 | | **データポータビリティ** | コンソールまたは API で、いつでもセッションのデータをエクスポートできます。 | | **消去の権利** | コンソールまたは [セッションの削除](https://docs.didit.me/sessions-api/delete-session.md) API で、個々のセッションをオンデマンドで削除できます。`deletion_instruction: "privacy_erasure"` を送信すると、その人物について保持されている生体テンプレートも削除されます。 | | **生体テンプレート** | 顔の埋め込みは、デフォルトでセッションとともに削除されます。アプリケーションは、重複検知のために、画像を含まない生体テンプレートの保持を選択できます。これは引き続き生体データであり、有限の有効期限があり、ユーザーの削除、プライバシー消去、有効期限の到来、または明示的な削除によって削除されます。[生体テンプレート](https://docs.didit.me/management-api/biometric-templates/overview.md) をご覧ください。 | | **保持の設定** | **Console → App Settings → データ保持** で、1か月から10年までの保持期間を設定できます。 | ## 確認フローにおけるお客様の責任 独自のオンボーディング、認証、確認の体験で Didit を使用する場合、そのフローにおける **管理者側の開示と法的根拠** は、引き続きお客様の責任となります。 | 要件 | 対応していただくこと | | - | - | | **関与する当事者をユーザーに伝える** | 確認を依頼しているのはお客様の会社であり、Didit がフローを支える確認プロバイダー/処理者であることを明確にしてください。 | | **プライバシーに関する通知を表示する** | ユーザーが確認を開始する前に、お客様自身のプライバシー通知または同等の開示へのリンクを掲載してください。 | | **Didit の法的文書へのリンクを掲載する** | Didit の [確認に関するプライバシー通知](https://didit.me/terms/verification-privacy-notice)、[本人確認のエンドユーザー規約](https://didit.me/terms/identity-verification)、その他に法務チームが必要とする Didit のポリシーへのリンクを掲載してください。 | | **必要な場合は明示的な同意を取得する** | フローで書類、セルフィー、ライブネスの動画、生体情報を取得する場合は、適用される法律が明示的な同意を求めるところでは、チェックの入っていないチェックボックスなどの肯定的な操作を用意してください。イリノイ州、テキサス州、コロラド州の法律の対象となる人については、ホスト型フローとネイティブ SDK 4.10.0 以降で、セルフィーの前に Didit の [生体情報の同意ステップ](https://docs.didit.me/ja/getting-started/biometric-consent.md) を表示できます。4.10.0 未満のネイティブ SDK では表示できません。 | | **ホワイトラベルとカスタム UI を正しく扱う** | カスタムドメイン、ホワイトラベルのフロー、API 駆動の UI を使用する場合は、ブランディングだけでは Didit の役割が開示されないため、これらの開示事項をお客様自身のプロダクト内で表示する必要があります。 | | **独自の記録を保管する** | 通知や同意の証明が法務チームに必要な場合は、テキスト版、タイムスタンプ、関連するメタデータを、お客様自身のシステムに保存してください。 | > [!WARNING] > > Didit は確認インフラを提供しますが、お客様固有のユーザージャーニーが、お客様の事業に適用される同意、開示、生体情報に関する法律の要件を満たしているかどうかは判断しません。本番稼働の前に、実装内容を法律の専門家とともにレビューしてください。 > [!NOTE] > > Didit の再委託先は、[再委託先のページ](https://didit.me/legal/sub-processors) に掲載されています。DPA や TOMs をご希望の場合は、[privacy@didit.me](mailto:privacy@didit.me) までメールをお送りください。その他のコンプライアンスに関する証明書については、Didit の担当者にお問い合わせいただくか、[hello@didit.me](mailto:hello@didit.me) までメールをお送りください。 *** 運用セキュリティ *** ## セキュリティに関するよくある質問 > **Didit はどのような認証を取得していますか?** > > Didit は、**SOC 2 Type 2 の認証** (2026年7月、2026年3月9日から7月1日までの観察期間が対象。Type 1 は2026年4月に発行)、情報セキュリティマネジメントについての ISO 27001 認証、クラウドセキュリティとプライバシーについての ISO 27017 と ISO 27018 の認証を取得しており、GDPR に完全に準拠し、生体のプレゼンテーション攻撃検知について iBeta Level 1 (ISO 30107-3) の認証を取得し、ドイツでは JMStV 第4条第2項に基づく年齢確認について **FSM Jugendschutz geprüft** を取得しています。また、スペインの金融規制当局 (Tesoro、スペイン銀行、SEPBLAC、CNMV) から、対面での確認と少なくとも同等に安全であると認められた唯一のプロバイダーであり、EBA/MiCA との互換性を確認する独立した法的見解も取得しています。完全な一覧は [認証のページ](https://docs.didit.me/ja/getting-started/certifications.md) をご覧ください。認証は随時追加しています。特定の認証が必要な場合は、[デモを予約](https://didit.me/get-a-demo/) してお知らせください。 > **データは暗号化されますか?** > > はい。すべてのデータは、転送中は TLS 1.3 で、保存時は AES-256 暗号化で暗号化されます。インフラ全体で、業界標準の暗号プロトコルを使用しています。 > **データはどこに保存され、処理されますか?** > > デフォルトでは、すべてのデータは EU 内の AWS インフラで処理・保存されます。エンタープライズのお客様は、提供状況に応じて、現地のデータレジデンシーのオプションによる国内での処理をリクエストできます。 > **データ保持はどのように設定しますか?** > > **Business Console → App Settings → データ保持** に移動して、保持期間 (1か月から10年) を設定します。コンソールまたは [セッション削除API](https://docs.didit.me/sessions-api/delete-session.md) で、セッションをオンデマンドで削除することもできます。詳細は [データ保持](https://docs.didit.me/ja/console/data-retention.md) のページをご覧ください。 > **確認データを削除できますか?** > > はい。コンソールから、またはプログラムで [セッション削除API](https://docs.didit.me/sessions-api/delete-session.md) を使って、個々のセッションを削除できます。データを最大限に最小化するには、処理して即時削除するパターンを使い、Webhook で結果を受け取ったらすぐに各セッションを削除してください。 > **セッションを削除すると、生体データも削除されますか?** > > デフォルトでは、はい。顔画像、ライブネスの動画、重複検知に使用される顔の埋め込みは、セッションとともに削除されます。アプリケーションが [生体テンプレートの保持](https://docs.didit.me/ja/console/data-retention.md#生体認証テンプレートの保持) を選択している場合、Didit は、運用上のセッション削除の後も、ユーザーに紐づく画像を含まない顔の生体テンプレートを1つ保持します。このテンプレートは引き続き生体データであり、お客様のテナント内での重複検知にのみ使用され、有限の有効期限があり、ユーザーの削除、プライバシー消去のリクエスト、有効期限の到来、または [生体テンプレートAPI](https://docs.didit.me/management-api/biometric-templates/overview.md) による明示的な削除で削除されます。お客様が管理する顔のブロックリストのエントリは別物であり、お客様が削除するまで残ります。 > **セキュリティインシデントにはどのように対応しますか?** > > 重大度の定義、エスカレーションの手順、連絡のプロトコルを含む、文書化されたインシデント対応計画を維持しています。個人データの侵害がお客様のデータに影響する場合は、侵害を確認してから48時間以内にお客様に通知し、お客様が GDPR や適用される規制に基づく義務を果たせるようにします。 > **Didit は EU AI 法に準拠していますか?** > > Didit は、リスク管理、データガバナンス、透明性、人による監督、精度テスト、非差別など、高リスク AI システムに対する EU AI 法の要件に先回りして対応しています。施行措置が確定するのに合わせて、コンプライアンス体制を継続的に更新しています。 > **セキュリティに関するドキュメントを入手できますか?** > > はい。再委託先の完全な一覧は、[再委託先のページ](https://didit.me/legal/sub-processors) で公開されています。DPA や TOMs をご希望の場合は、[privacy@didit.me](mailto:privacy@didit.me) までメールをお送りください。ペネトレーションテストの概要 (NDA の締結が必要) や ISO 証明書の抜粋については、Didit の担当者にお問い合わせいただくか、[hello@didit.me](mailto:hello@didit.me) までメールをお送りください。 > **監査ログはどのように扱われますか?** > > すべての API 呼び出しとコンソールの操作が、タイムスタンプ、ユーザー ID、IP アドレスとともに記録されます。監査ログは365日間保持され、いつでもエクスポートできます。詳細は [監査ログ](https://docs.didit.me/console/audit-logs.md) のページをご覧ください。 *** ## 関連リソース > **[認証と証明書](https://docs.didit.me/ja/getting-started/certifications.md)** > > Didit が取得しているすべての資格を、日付と各レポートの入手方法とともに掲載しています。 > **[AMLR コンプライアンスガイド](https://docs.didit.me/getting-started/amlr-compliance.md)** > > EU の AML 規則を、Didit のワークフロー、API エンドポイント、Webhook に対応づけます。 > **[生体情報の同意](https://docs.didit.me/ja/getting-started/biometric-consent.md)** > > イリノイ州、テキサス州、コロラド州向けの明示的な同意ステップと、判定への表示のされ方。 > **[データ保持](https://docs.didit.me/ja/console/data-retention.md)** > > 保持ポリシーを設定し、プライバシーを最優先にしたパターンを実装します。 > **[監査ログ](https://docs.didit.me/console/audit-logs.md)** > > 完全な監査証跡で、すべての操作を追跡できます。 > **[Webhook](https://docs.didit.me/integration/webhooks.md)** > > 確認イベントのリアルタイム通知を受け取れます。 > **[API認証](https://docs.didit.me/getting-started/api-authentication.md)** > > API キーの安全な管理と認証。 This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.