メインコンテンツへスキップ
DELETE

​
KYCとKYBのサポート

本人確認（KYC）と法人確認 (KYB)の両方のセッションで使用できます。session_idは両方のセッションタイプを対象に照合され、どちらにも同じ削除時の動作となります。生体認証テンプレートの保持はKYCセッションにのみ適用されます。顔エンベディングを持つのはKYCセッションだけであるためです。

​
動作

  • セッションは、保持しているすべての認証試行とともに削除されます。再提出によって置き換えられた結果も含まれます。対象は、判定、抽出されたデータ、関連する機能レコード（本人確認、登記チェック、書類、AML、IP分析など）、レビューとアクティビティログ、保存されているすべてのファイルです。
  • 法人確認 (KYB)セッションを削除すると、そのセッションが主要人物向けに作成した認証（KYC）と法人所有者向けに作成した認証（KYB）も再帰的に削除されます。削除された件数はレスポンスのdeleted_child_verificationsで返されます。再利用した既存の承認済みKYCなど、リンクしているだけの認証は削除されません。
  • 電子署名のデータも削除されます。署名対象の書類とその元のWordファイル、署名済みPDF、証拠PDF、署名画像、すべてのフィールド値が対象です。これらのダウンロードパスは404を返します。
  • セッションは一覧と判定のレスポンスから直ちに消え、呼び出し前に発行されたメディアURLは解決されなくなります。
  • そのセッションについてキューに残っているWebhook配信とその再試行は破棄されます。
  • 削除された認証によって開始された継続的なAMLモニタリングとKYB登記モニタリングは停止します。
  • 削除は永久的で、元に戻すことはできません。復元用のエンドポイントはないため、判定PDFなど必要なものは呼び出す前にエクスポートしてください。
  • レスポンスは200 OKで、削除の完了後に送信されます。JSONボディには、セッションの顔の生体データがどのように処理されたかが記載されます。クライアントがまだ204を想定している場合は、移行を参照してください。

​
確定済みの規制当局向けレポートに含まれるデータ

セッションが、確定済みの規制当局向けレポートを持つケースに含まれている場合、リクエストは409を返し、何も削除されません。レスポンスはcode: in_filed_reportを使用し、該当する各レポートを示します。
レポートの削除で各レポートを削除してから、削除を再度実行してください。レポートを削除してもセッションは削除されません。このエンドポイントを再度呼び出すまで、セッションは残ります。

​
顔の生体認証データ: 削除または保持

ライブネスセルフィーを含むすべてのKYCセッションには、顔検索1:Nと重複検出に使われる顔エンベディングが含まれます。デフォルトでは、このエンベディングはセッションとともに削除されます（face_retention_policy: delete_with_session）。そのため、セッションを削除した人物が再度認証しても、重複として検知されることはありません。 セッション削除後も重複検出を維持する必要があるアプリケーションは、生体認証テンプレートの保持を有効にできます。この場合、Diditは通常どおりセッションとそのすべてのデータを削除し、セッションのユーザーに紐づく、画像を含まない顔の生体認証テンプレートを1件だけ、別途管理して保持します。
保持された生体認証テンプレートは生体認証データです。匿名データではなく、一時的なデータでもなく、セッションとともに削除されることもありません。予定された有効期限、それより早い適用法上の期限、ユーザーの削除、プライバシー消去リクエスト、明示的なパージのいずれかに至るまで保持されます。保持は、データ管理者の指示とプライバシー通知がこれを対象としている場合にのみ有効にしてください。
保持されるテンプレートに含まれるものと含まれないもの: 保持は、適用範囲の広いものから順に次の3か所で設定します。
  1. アプリケーションのポリシー: Business Console → App Settings → Data retention、またはPATCH /v3/webhook/（face_retention_policy、face_retention_days）で設定します。データ保持を参照してください。
  2. 呼び出しごとのオーバーライド: このエンドポイントとセッションの一括削除でretain_face_embeddingsを指定します。
  3. 指示クラス: deletion_instructionで指定します。privacy_erasureの指示は常に最優先されます。そのユーザーについて保持されているすべてのテンプレートをパージし、新たなテンプレートを保持することはありません。

​
リクエストボディ

すべてのフィールドは任意です。アプリケーションのポリシーに従う場合は、ボディを省略してください。

​
レスポンス

このレスポンスは、Diditが削除指示を受け付けて適用したことを示すものです。消去証明書ではありません。後で監査証跡と照合できるよう、instruction_idをお客様自身の消去ログに記録してください。

​
保持期間と有効期限

保持されるすべてのテンプレートには、有限のexpires_atが設定されます。Diditは次のうち最も早い日時を設定します。
  1. リクエストのface_retention_days。リクエストで省略された場合は、アプリケーションのface_retention_days
  2. アプリケーションの一般的なデータ保持期間（設定されている場合）
  3. リクエストのface_retention_deadline（指定されている場合）
有限の期間を指定せずにテンプレートを保持しようとするリクエストは400で拒否され、何も削除されません。保持されたテンプレートが、適用される顧客の指示、利用目的の終了、設定された有効期限、データ主体による消去指示、法定の生体認証データ保持期限のうち最も早いものを超えて存続することはありません。ユーザーに適用される法令を満たす期間を選択する責任はお客様にあります。適用されるルールで求められる場合は、必ずより短い期間を選択してください。

​
プライバシー消去

データ主体からのリクエストに対応する場合は、deletion_instruction: "privacy_erasure"を送信してください。Diditは、そのセッションのユーザーに紐付く保持中の生体認証テンプレートをすべて消去し、その後セッションとそのエンベディングを削除します。アプリケーションの保持ポリシーでプライバシー消去の指示を上書きすることはできず、retain_face_embeddings: trueは400で拒否されます。 ユーザーの一括削除でユーザーを削除した場合も、そのユーザーの保持中のテンプレートは消去されます。

​
影響を受けないもの

セッションを削除しても、以下は自動的にはクリーンアップされません。消去権に基づくリクエストに対応する場合は、これらを個別に処理してください。
  • セッションから作成されたブロックリストのエントリ(顔または書類)はそのまま残ります。ブロックリストから削除してください。顔のブロックリストエントリは、保持中のテンプレートとは独立した独自の生体情報エントリを保持します。
  • セッションに対してすでに発行された共有トークンは失効しませんが、インポートできるデータはもう残っていません。そのトークンを使ったインポートは、{"share_token": ["Original session does not exist."]}とともに400を返します。
  • セッションについてすでに配信されたWebhookは影響を受けません。キューに残っている配信とその再試行は破棄されます。削除そのものに対してWebhookは送信されません。
  • 認証によってすでに消費されたクレジットは払い戻されません。
  • 電子署名ステップによって署名者にすでにメール送信された署名済みコピーは署名者のメールボックスにあり、影響を受けません。
  • 親のUserまたはBusinessエンティティは削除されません。これらにはDelete UsersまたはDelete Businessesを使用してください。ユーザーのプロフィール画像が削除されたセッションに由来する場合、その画像は削除されます。
  • 保持中の生体認証テンプレート(オプトインした場合のみ)は、期限切れになるか消去するまで残ります。Biometric Templates APIを使用するか、ユーザーを削除するか、同じユーザーの別のセッションをdeletion_instruction: "privacy_erasure"で削除することで消去できます。

​
例

オプトインしていないアプリケーションでのレスポンス:

​
エラー

400の場合は何も削除されません。503の場合はセッションが残っているため、200が返るまで同じリクエストを繰り返してください。保存されたファイルの一部や顔エンベディングはすでに削除されている可能性があるため、503の後はそれらに依存しないでください。

​
権限

delete:sessions権限が必要です。同じ権限で、ユーザー認証 (KYC) と企業認証 (KYB) の両方のセッション、および保持設定の上書きを扱えます。

​
一括削除

KYCセッションの一括操作にはPOST /v3/sessions/delete/を使用します。同じ保持および指示のフィールドを受け付けます。条件に一致するセッションは最大20件まで1回のリクエストで削除され、セッションごとの結果が返されます。それを超える場合は削除ジョブとして実行されます。Batch Delete Sessionsを参照してください。

​
204レスポンスからの移行

このリリースまで、このエンドポイントは204 No Contentを返していました。現在は、すべての削除でface_retention_outcomeが報告されるよう、上記のJSON本文とともに200 OKを返します。204を前提としているクライアントを更新してください。 デフォルトの動作は変わりません。既存のアプリケーションはdelete_with_sessionのままで、移行によってお客様に代わって保持が有効になることはありません。ConsoleまたはPATCH /v3/webhook/で明示的に有効にしてください。

​
関連項目

承認

​
x-api-key
string
header
必須

お客様のアプリケーションのAPIキーです。Business ConsoleのDevelopers -> API keysで取得できます。プライマリキーはフルアクセス権を持ちます。名前付きキーにはスコープを設定できます。リソースごとのアクセス権（なし、読み取り、書き込み）、一部のワークフローまたは承認済みセッションへの限定、IPアドレスのリストへの限定、有効期限の設定です。401は、キーが誤っている、失効している、または期限切れであることを意味します。403は、キーが送信されていない、キーにこのリソースやアクションへのアクセス権がない、またはIPリスト外のアドレスからリクエストが送信されたことを意味します。セッションのルートでの404は、セッションがキーのワークフローまたはステータスの対象外であることを意味します。メディアへのアクセス権がないキーでは、画像、動画、PDFのURLがnullで返されます。セッションの書き込み権限がないキーでは、セッションのリンクとトークンがnullで返されます。詳細は次を参照してください: https://docs.didit.me/console/api-keys

パスパラメータ

​
sessionId
string<uuid>
必須

削除するユーザー認証 (KYC) または法人確認 (KYB) セッションのUUID (session_id) です。セッション作成時に返された値を指定します。ハイフン区切りの正規形式のUUIDである必要があります。UUID以外の値はルートに一致せず、404が返されます。

例:

"11111111-2222-3333-4444-555555555555"

ボディ

application/json

任意。ボディを完全に省略すると、アプリケーションのデータ保持ポリシーに従って運用上の削除が行われます。

​
retain_face_embeddings
boolean | null

この削除について、アプリケーションのface_retention_policyを上書きします。trueの場合、セッションの削除後も、画像を含まない顔の生体認証テンプレートを1つ、セッションのユーザーに紐付けて保持します。falseの場合、顔エンベディングはセッションとともに削除されます。省略するかnullにすると、アプリケーションのポリシーに従います。KYBセッション、および顔エンベディングのないセッションでは無視されます。

例:

true

​
face_retention_days
integer

保持されるテンプレートの有限の保持期間（日数）です。テンプレートを保持する場合は必須です。ただし、アプリケーションですでにface_retention_daysが設定されている場合を除きます。テンプレートのexpires_atは、この期間、アプリケーションの一般的なデータ保持期間、face_retention_deadlineのうち最も早いものになります。

必須範囲: 1 <= x <= 3650
例:

365

​
face_retention_deadline
string<date-time>

保持されるテンプレートの任意の強制有効期限です。未来の日時である必要があります。

例:

"2027-08-28T00:00:00Z"

​
deletion_instruction
enum<string>
デフォルト:operational_session_delete

指示の種類。operational_session_deleteはセッションを削除し、ポリシーまたはretain_face_embeddingsで指定されている場合にのみテンプレートを保持します。privacy_erasureは、セッションのユーザーに紐づく保持済みの生体認証テンプレートをすべて完全に削除してからセッションを削除します。アプリケーションのポリシーで上書きすることはできず、retain_face_embeddings: trueと組み合わせることもできません（400）。

利用可能なオプション:
operational_session_delete,
privacy_erasure
例:

"operational_session_delete"

​
instruction_id
string

この削除指示に対するお客様の永続的な参照ID（例: 消去チケットのID）です。監査証跡と、保持されるテンプレートに記録されます。省略した場合はDiditが生成します。

Maximum string length: 255
例:

"dsar-2026-0142"

レスポンス

セッションが削除されました。ボディには、セッションの顔の生体データがどうなったか、およびKYBセッションの場合はそのセッションが作成した認証のうち何件が併せて削除されたかが示されます。

​
session_id
string<uuid>

削除されたセッションです。

​
session_number
integer | null

削除されたセッションの番号です。

​
face_retention_outcome
enum<string>

セッションの顔生体データがどう処理されたか。deleted: 顔エンベディングはセッションとともに削除されました（デフォルト）。retained_with_user: セッションは削除され、画像を含まない生体認証テンプレートが1件Userに紐付いて残ります。biometric_template_uuidを参照してください。none: セッションに顔エンベディングがありませんでした（例: KYBセッション、またはライブネスのセルフィーがないKYCセッション）。ineligible_no_vendor_user: 保持がリクエストされましたが、セッションに紐付くUserがないため、エンベディングはセッションとともに削除されました。このエンドポイントでは、生体データストアの障害がこのフィールドで報告されることはありません。その場合は503を返し、セッションは削除されません。

利用可能なオプション:
retained_with_user,
deleted,
none,
ineligible_no_vendor_user
​
biometric_template_uuid
string<uuid> | null

face_retention_outcomeがretained_with_userの場合に保持された生体認証テンプレートのID。それ以外の場合はnullです。/v3/biometric-templates/{template_uuid}/で管理します。

​
biometric_template_expires_at
string<date-time> | null

face_retention_outcomeがretained_with_userの場合に、保持された生体認証テンプレートが削除される日時。テンプレートが保持されていない場合はnullです。

​
deleted_child_verifications
integer

法人確認 (KYB)セッションの場合：そのセッションが作成した認証（主要人物のKYCセッションと法人所有者のKYBセッションを再帰的に含む）のうち、セッションとともに削除された件数。KYCセッションでは常に0です。

最終更新日 2026年11月1日