생체 정보 동의(BIPA, CUBI 및 콜로라도)

일리노이주(BIPA), 텍사스주(CUBI), 콜로라도주는 기업이 셀피나 신분증 사진에서 얼굴 형상을 수집하기 전에 고지 및 명시적 동의서를 요구합니다. Didit은 해당 법률이 적용되는 사람들에게 최초 얼굴 캡처 전에 동의 단계를 표시할 수 있으며, 그 답변을 세션에 증거로 보관합니다. 이 페이지에서는 이 단계가 언제 표시되는지, 어떤 앱에서 표시할 수 있는지, 답변이 결정 및 webhook에 어떻게 전달되는지 설명합니다.

Didit은 단계를 표시하고 답변을 기록합니다. 사용자 여정이 귀하의 비즈니스에 적용되는 생체 인식 관련 법률을 준수하는지 여부는 귀하가 직접 결정해야 합니다. 이 페이지는 법적 조언이 아니므로 구현 방식을 귀하의 법률 고문과 함께 검토하십시오.

단계가 표시되는 시점

세션은 다음 두 가지 조건이 모두 충족될 때 동의 단계를 표시합니다:

워크플로가 얼굴을 캡처하는 경우. 라이브니스, 얼굴 대조 또는 연령 추정 단계, 신분증 인증 단계에서 촬영하는 전면 카메라 셀피(비활성화하지 않은 경우) 또는 전체 세션 동영상 녹화.
애플리케이션의 동의 모드가 이를 요구하는 경우. 자동 모드에서는 아래의 트리거 중 하나가 적용됩니다. 항상 모드에서는 얼굴을 캡처하는 모든 세션에서 요청합니다.

이 단계는 최초 얼굴 캡처 전에 표시됩니다. 신분증 문서만 해당 법률 적용 주를 나타내는 경우, 신분증 캡처 직후 및 셀피 촬영 전에 표시되며, 사용자가 동의할 때까지 신분증 캡처 이미지에서 얼굴 형상을 계산하지 않습니다. Didit은 사용자가 플로우를 열 때 요구사항을 확인하고, 적용될 때까지 각 단계에서 다시 확인합니다. 세션에 동의가 필요해지면 계속해서 동의를 요구합니다.

동의 모드

콘솔의 애플리케이션 Settings > Data and privacy > Biometric consent에서 모드를 선택하십시오. 각 변경 사항은 감사 로그에 기록됩니다.

모드	동작 방식
자동 (기본값, 권장)	트리거가 적용되는 경우에만 단계를 표시합니다. 그 외의 모든 사람에게는 표준 한 줄 고지만 표시됩니다.
항상	얼굴이 캡처되는 모든 사용자에게 위치와 관계없이 단계를 표시합니다. 결정에는 `trigger: "forced"`가 기록됩니다.
없음	Didit은 단계를 전혀 표시하지 않습니다. 주 법률에 따라 동의가 필요한 경우, 셀피 촬영 전에 직접 동의를 수집하고 기록을 보관해야 합니다.

자동 모드에서 단계를 트리거하는 항목

Didit은 다음 규칙을 순서대로 확인하고 가장 먼저 적용되는 규칙을 biometric_consent.trigger에 기록합니다:

트리거	적용 시점
`declared_state`	세션 생성 시 적용 대상 주를 선언한 경우: `user_state` 또는 `expected_details`의 미국 주소.
`ip_state`	사용자의 IP가 일리노이주, 텍사스주 또는 콜로라도주에 위치한 경우.
`ip_unknown`	사용자가 미국에 있는 것으로 보이지만(미국 IP, 미국 문서 또는 귀하가 전송한 미국 세부 정보) 주를 알 수 없는 경우: IP가 주 정보 없이 미국에 있거나, 귀하의 세부 정보 또는 문서상 사용자가 미국에 위치하지만 IP 위치를 파악할 수 없는 경우.
`document_issuer`	신분증 캡처 시 인식된 신분증이 적용 대상 주에서 발급된 경우.

VPN, 프록시 및 호스팅 네트워크는 자체적으로 단계를 요청하지 않습니다. Didit은 사용자의 IP를 일반적인 방식과 동일하게 위치 파악합니다. 일리노이주, 텍사스주 또는 콜로라도주의 IP는 단계를 표시하고, 그 외 다른 지역의 IP는 표시하지 않습니다. 이 단계는 적용 대상 주에 대한 명확한 증거(IP, 신분증을 발급한 주, 또는 귀하가 선언한 주)가 있거나 사용자가 주 정보 없이 미국에 있는 것으로 파악되는 경우(ip_unknown)에만 요청됩니다. 다른 지역으로 나가는 VPN을 사용하는 적용 대상 주의 사용자가 적용 대상 주가 발급하지 않은 신분증을 제시하면 요청되지 않습니다. 이 경우를 처리해야 한다면 항상 모드를 사용하거나 user_state를 전송하십시오. 추가로 두 가지 값은 동의가 요청된 이유가 아니라 세션의 동의가 어떻게 해결되었는지를 설명합니다:

트리거	의미
`forced`	애플리케이션의 모드가 항상인 경우.
`customer_collected`	세션 생성 시 이미 수집한 동의를 전송한 경우(아래 참조).

이미 파악한 정보를 Didit에 전달하기

세션 생성은 이를 위해 두 가지 선택 필드를 지원합니다:

필드	기능
`user_state`	사용자가 거주하는 위치를 알고 있는 경우: ISO 3166-2 하위 행정구역 코드(`US-IL`, `ES-M`) 또는 미국 주 코드나 이름(`IL`, `Illinois`). 적용 대상 주이면 `trigger: "declared_state"`와 함께 단계를 표시합니다. 알 수 없는 값이면 `400`을 반환합니다.
`biometric_consent`	이미 수집한 동의: `{ "given_at": "<ISO 8601>", "text_version": "<your version id>" }`. 플로우는 다시 요청하지 않으며, 결정에는 `status: "given"`과 `trigger: "customer_collected"`가 기록됩니다. `given_at`은 미래 시간일 수 없습니다.

{
  "workflow_id": "YOUR_WORKFLOW_ID",
  "vendor_data": "user-42",
  "user_state": "US-IL",
  "biometric_consent": {
    "given_at": "2026-10-13T09:12:00Z",
    "text_version": "consent-v3"
  }
}

단계를 표시하는 앱

이 단계를 표시하려면 이를 지원하는 앱이 필요합니다. Didit은 앱이 보내는 모든 요청에서 이를 결정합니다.

사용자가 인증을 진행하는 위치	단계 표시 여부
호스팅 인증 플로우: 브라우저, Web SDK 또는 WebView	예
네이티브 SDK 4.10.0 이상(iOS, Android 및 네이티브 4.10.0 이상이 번들된 React Native 또는 Flutter 릴리스)	예
4.10.0 미만의 네이티브 SDK 또는 버전을 보고하지 않는 SDK	아니요

4.10.0 미만의 네이티브 SDK

4.10.0 이전에 릴리스된 네이티브 SDK는 동의 단계를 알지 못하므로, Didit은 해당 SDK에 이 단계를 요청하지 않습니다. 인증은 이전과 완전히 동일하게 실행됩니다. 셀피와 기타 얼굴 캡처가 수락되어 처리되며, 세션은 평소와 같이 결정에 도달합니다. Didit은 제공되지 않은 동의를 절대로 기록하지 않습니다. 세션에 동의가 필요했으나 이전 버전의 SDK가 얼굴을 캡처한 경우, 결정에는 다음이 표시됩니다.

"biometric_consent": {
  "required": true,
  "trigger": "ip_state",
  "status": "pending",
  "given_at": null,
  "reason": "BIOMETRIC_CONSENT_UNSUPPORTED_SDK"
}

네이티브 앱에서 일리노이주, 텍사스주 또는 콜로라도주에서 사람을 인증하는 경우 네이티브 SDK 4.10.0 이상으로 업그레이드하세요. 업그레이드하기 전까지 해당 세션은 명시적 동의 없이 완료되며, 셀피 촬영 전에 이를 수집하는 것은 귀하의 책임입니다.

사용자가 동일한 세션을 호스팅 플로우(다른 기기 또는 일부 라이브니스 유형을 위해 앱이 여는 WebView)에서 계속 진행하는 경우, 호스팅 플로우는 해당 단계를 표시하며 사용자가 응답할 때까지 얼굴을 캡처하지 않습니다. 거기서 제공된 동의는 이미 동의 없이 얼굴이 캡처되었기 때문에 reason: "BIOMETRIC_CONSENT_UNSUPPORTED_SDK"를 유지합니다.

사용자가 보게 되는 화면

이 단계에서는 수집되는 항목, 이유, 누가 이를 보유하는지 및 보존 기간을 사용자에게 알리고 생체 인식 데이터 정책으로 연결되는 링크를 제공합니다. 버튼은 하나만 있습니다. 동의하고 계속 버튼으로, 사용자가 동의 확인란을 선택할 때까지 비활성화 상태로 유지됩니다. Didit은 동의가 제공된 시점, 표시된 텍스트의 버전 및 해시, 언어, 워크플로 단계, 요청의 IP, 위치 및 사용자 에이전트를 증거로 보존합니다. 사용자가 동의하면 해당 응답은 최종 확정됩니다.

사용자가 동의하지 않는 경우

이 단계에는 거부 버튼이 없습니다. 동의를 원하지 않는 사용자는 플로우를 이탈합니다. 얼굴은 캡처되지 않으며, 사용자가 완료하지 않은 다른 모든 세션과 마찬가지로 세션은 Abandoned로 종료됩니다(인증 상태 참조). 사용자에게 다른 인증 방법을 제공하세요.

API에서의 동의 거부

결정에는 API 값으로 declined 상태와 BIOMETRIC_CONSENT_DECLINED 사유가 유지됩니다. 현재 Didit 화면에서는 거부 옵션을 제공하지 않으므로 호스팅 플로우와 네이티브 SDK는 이를 기록하지 않습니다. 거부를 기록하는 세션은 다음과 같습니다.

Declined로 종료되며, 다른 모든 거부와 마찬가지로 status.updated webhook이 트리거됩니다.
biometric_consent.status는 declined로, reason 및 decline_reason은 BIOMETRIC_CONSENT_DECLINED로, declined_at은 해당 시간과 함께 표시됩니다.
거부 이후에는 얼굴을 캡처하지 않습니다. 세션이 이미 보유하고 있는 모든 얼굴 이미지와 얼굴 템플릿(셀피, 신분증 캡처의 전면 카메라 셀피, 문서 인물 사진의 얼굴 크롭, 라이브니스 및 전체 세션 동영상)은 삭제됩니다. face_data_deleted_at에 삭제된 시간이 기록됩니다. 결정에서는 더 이상 이를 반환하지 않으며, 삭제는 되돌릴 수 없습니다.
문서 이미지와 해당 이미지에서 읽은 데이터는 유지됩니다. 거부는 이에 영향을 미치지 않습니다.

결정 및 webhook에서

모든 사용자 인증 결정에는 세션 조회 및 세션 webhook의 decision에 biometric_consent 객체가 포함됩니다. 얼굴 캡처가 없는 워크플로처럼 세션이 평가되지 않은 경우에는 null입니다.

`status`	의미
`not_required`	세션에 동의가 필요하지 않았습니다.
`pending`	동의가 필요하지만 제공되지 않았습니다. 이전 SDK인지 아직 응답하지 않은 사용자인지 구분하려면 `reason`을 확인하세요.
`given`	사용자가 플로우에서 동의했거나, 세션 생성 시 `biometric_consent`를 전달했습니다.
`declined`	거부가 기록되었으며 세션이 `Declined`로 종료되었습니다. 현재 Didit 화면에서는 거부 옵션을 제공하지 않습니다(위 내용 참조).

`reason`	의미
`BIOMETRIC_CONSENT_UNSUPPORTED_SDK`	4.10.0 미만의 네이티브 SDK 또는 버전을 보고하지 않은 SDK가 해당 단계 없이 얼굴을 캡처했습니다.
`BIOMETRIC_CONSENT_DECLINED`	거부가 기록되었습니다. 현재 Didit 화면에서는 거부 옵션을 제공하지 않습니다.
`null`	설명할 내용이 없습니다. 세션에 동의가 필요하지 않은 경우 항상 `null`입니다.

사용자가 호스팅 플로우에서 동의한 세션:

"biometric_consent": {
  "required": true,
  "trigger": "declared_state",
  "status": "given",
  "given_at": "2026-10-13T18:31:07.412000Z",
  "declined_at": null,
  "text_version": "bio-consent-2026-10-12",
  "locale": "en",
  "policy_url": "https://didit.me/legal/biometric-data-policy",
  "step": "LIVENESS",
  "ip_address": "198.51.100.23",
  "ip_country_code": "ES",
  "detected_ip_address": "198.51.100.23",
  "detected_country_code": "ES",
  "jurisdictions": ["IL"],
  "retention_months": 36,
  "reason": null,
  "decline_reason": null,
  "face_data_deleted_at": null
}

이 예시는 축약되었습니다. 모든 필드와 해당 유형은 데이터 모델에서 확인할 수 있습니다.

개요

요금

워크플로 및 인증

검토 및 운영

엔터티(사용자 및 기업)

설정 및 사용자 지정

보안 및 컴플라이언스

Didit Academy

리소스

생체 정보 동의(BIPA, CUBI 및 콜로라도)

단계가 표시되는 시점

동의 모드

자동 모드에서 단계를 트리거하는 항목

이미 파악한 정보를 Didit에 전달하기

단계를 표시하는 앱

4.10.0 미만의 네이티브 SDK

사용자가 보게 되는 화면

사용자가 동의하지 않는 경우

API에서의 동의 거부

결정 및 webhook에서

관련 항목

​단계가 표시되는 시점

​동의 모드

​자동 모드에서 단계를 트리거하는 항목

​이미 파악한 정보를 Didit에 전달하기

​단계를 표시하는 앱

​4.10.0 미만의 네이티브 SDK

​사용자가 보게 되는 화면

​사용자가 동의하지 않는 경우

​API에서의 동의 거부

​결정 및 webhook에서

​관련 항목

단계가 표시되는 시점

동의 모드

자동 모드에서 단계를 트리거하는 항목

이미 파악한 정보를 Didit에 전달하기

단계를 표시하는 앱

4.10.0 미만의 네이티브 SDK

사용자가 보게 되는 화면

사용자가 동의하지 않는 경우

API에서의 동의 거부

결정 및 webhook에서

관련 항목