Segurança e conformidade: SOC 2, ISO 27001, LGPD e GDPR

A Didit é construída desde a base com a segurança como princípio de primeira classe. Cada camada da plataforma, da infraestrutura aos modelos de IA, é projetada para atender aos mais altos padrões internacionais de segurança da informação, privacidade de dados e precisão biométrica.

SOC 2Certificada Tipo 2

ISOCertificada 27001

GDPREm conformidade

iBetaCertificada Nível 1

FSMProteção de menores

AI ActPreparada

“A verificação por NFC + prova de vida ativa da Didit oferece segurança equivalente ou superior à verificação presencial.” — Relatório oficial, Tesouro da Espanha (tesoro.es)

Após um teste de um ano conduzido pelos reguladores financeiros espanhóis - o Tesouro da Espanha (Tesoro Público), o SEPBLAC (a unidade de inteligência financeira), o Banco da Espanha e a CNMV (a comissão de valores mobiliários e mercados) - a Didit foi reconhecida como o único provedor cujo fluxo de NFC + prova de vida ativa atinge ou supera o nível de segurança da verificação de identidade presencial.

SOC 2 Tipo 2

Service Organization Controls - Tipo 2. Uma auditoria independente com base nos Trust Services Criteria da AICPA confirmou que os controles de segurança, disponibilidade e confidencialidade da Didit operaram de forma eficaz durante o período de observação de 9 de março a 1 de julho de 2026. Emitido em julho de 2026 (Tipo 1 emitido em abril de 2026). Relatório disponível para clientes corporativos sob NDA.

FSM Jugendschutz geprüft

Certificação alemã de proteção de menores. O órgão de autorregulação alemão de proteção de menores (FSM) certificou que o Sistema de Verificação de Idade da Didit estabelece de forma confiável um grupo fechado de usuários nos termos da Seção 4(2) do JMStV, de modo que apenas adultos verificados acessem conteúdo com restrição de idade.

ISO/IEC 27001

Gestão da segurança da informação. A Didit mantém um Sistema de Gestão de Segurança da Informação (ISMS) certificado, que abrange o projeto, o desenvolvimento e a operação da plataforma de verificação de identidade. Trechos do certificado disponíveis mediante solicitação.

ISO/IEC 27017

Controles de segurança em nuvem. Controles de segurança específicos para nuvem que complementam nossa certificação ISO 27001, garantindo proteção robusta para os serviços de verificação baseados em nuvem.

ISO/IEC 27018

Proteção de privacidade em nuvem. Controles dedicados à proteção de informações de identificação pessoal (PII) em ambientes de nuvem, indo além dos requisitos gerais de proteção de dados.

Em conformidade com o GDPR

Conformidade total com a proteção de dados da UE. A Didit está em total conformidade com o Regulamento Geral sobre a Proteção de Dados. Atuamos como operadora de dados (data processor) - você continua sendo o controlador de dados (data controller). Para solicitar o DPA e os TOMs, escreva para privacy@didit.me.

iBeta Nível 1 - ISO 30107-3

Detecção de ataques de apresentação biométrica. Nossa tecnologia de prova de vida é certificada iBeta Nível 1 conforme a norma ISO 30107-3, garantindo a detecção confiável de tentativas de falsificação, incluindo fotos impressas, reproduções em tela e máscaras 3D.

Preparada para o EU AI Act

Conformidade com IA responsável. Os sistemas de verificação com IA da Didit são projetados em alinhamento com os requisitos do EU AI Act para sistemas de IA de alto risco, incluindo transparência, mecanismos de supervisão humana, governança de dados e monitoramento de vieses.

Compatibilidade com EBA / MiCA

Onboarding remoto com padrão de regulador. Um parecer jurídico independente confirma que o onboarding remoto da Didit atende às Diretrizes da EBA sobre Onboarding Remoto de Clientes (EBA/GL/2022/15) e é compatível com o Single Rulebook de AML da UE e com o MiCA.

Veja todas as certificações

A lista completa e sempre atualizada - SOC 2 Tipo 2 e Tipo 1, ISO 27001/27017/27018, iBeta Nível 1, FSM, a atestação do regulador espanhol, EBA/MiCA e GDPR - com datas e como obter cada relatório. Estamos sempre adicionando novas; se você precisa de uma certificação específica, agende uma demonstração e conte para nós.

Tipo de sinal	Capacidade
Deepfakes	+20 modelos de IA proprietários, desenvolvidos internamente para a era da IA generativa. Prova de vida →
Ataques de injeção	Prevenção de adulteração do fluxo da câmera - detecta reprodução e injeção de vídeo. Prova de vida →
Falsificação de documentos	Detecção de holograma, reimpressão, captura de tela e alteração digital. Verificação de identidade →
Identidades sintéticas	Cruzamento com bases de dados governamentais autorizadas em todo o mundo. Validação de banco de dados →
Sinais comportamentais	Análise de dispositivo e IP, impressão digital do dispositivo e detecção de reprodução. Análise de dispositivo e IP →
Busca facial 1:N	Detecção de duplicidade e de várias contas entre todos os usuários verificados. Busca facial →

Nossa equipe especialista em fraude responde a novos vetores de ataque em horas, não em trimestres. Modelos e regras são atualizados continuamente conforme o cenário de ameaças muda.

A verificação de identidade com biometria é classificada como de alto risco pelo EU AI Act. A Didit trata esses requisitos de forma proativa:

Requisito	Como a Didit cumpre
Gestão de riscos	Avaliação contínua de riscos em todos os modelos de IA, com estratégias de mitigação documentadas.
Governança de dados	Os dados de treinamento são selecionados quanto à qualidade, à relevância e à representatividade. Testes de viés entre grupos demográficos.
Transparência	Documentação clara das capacidades e limitações da IA. Os usuários são informados quando a IA processa seus dados.
Supervisão humana	Fluxos de revisão manual permitem que operadores humanos substituam as decisões da IA a qualquer momento.
Precisão e robustez	Prova de vida certificada pela iBeta. Avaliação regular dos modelos contra ataques adversariais (deepfakes, injeção, reprodução).
Manutenção de registros	Logs de auditoria e registros de sessão abrangentes mantidos para revisão regulatória.
Não discriminação	Monitoramento e testes de viés por idade, gênero, etnia e tipo de documento para garantir tratamento equitativo.

A Didit atualiza continuamente sua postura de conformidade à medida que as medidas de implementação do EU AI Act são finalizadas. Fale com seu representante da Didit para obter a documentação mais recente de prontidão para o AI Act.

A Didit atua como operadora de dados (data processor) - você continua sendo o controlador de dados (data controller). A plataforma é projetada para oferecer suporte ao GDPR e a regimes locais de proteção de dados de forma nativa.

Aspecto	Detalhe
Papel de operadora	A Didit trata dados pessoais estritamente em seu nome e sob suas instruções.
Região de processamento	UE por padrão (AWS). Clientes corporativos podem ativar o processamento no próprio país.
Minimização de dados	Padrões de processar e eliminar permitem manter apenas os campos de que seu negócio precisa.
Portabilidade de dados	Exporte os dados de sessão pelo Console ou pela API a qualquer momento.
Direito ao apagamento	Exclua sessões individuais sob demanda pelo Console ou pela API Excluir sessão. Envie `deletion_instruction: "privacy_erasure"` para também eliminar qualquer template biométrico mantido dessa pessoa.
Templates biométricos	Os embeddings faciais são excluídos junto com a sessão por padrão. Uma aplicação pode optar por manter um template biométrico sem imagem para detecção de duplicidade; ele continua sendo dado biométrico, tem validade finita e é eliminado na exclusão do usuário, no apagamento por privacidade, no vencimento ou na eliminação explícita. Veja Templates biométricos.
Controles de retenção	Configure a retenção de 1 mês a 10 anos em Console → Configurações do aplicativo → Retenção de dados.

Responsabilidades do cliente nos fluxos de verificação

Quando você usa a Didit no seu próprio fluxo de onboarding, autenticação ou verificação, você continua responsável pelas informações e pela base legal do controlador nesse fluxo.

Requisito	O que você precisa fazer
Informar quem está envolvido	Deixar claro que a sua empresa está solicitando a verificação e que a Didit é o provedor / operadora de verificação que sustenta o fluxo.
Exibir seu aviso de privacidade	Incluir um link para o seu próprio aviso de privacidade ou divulgação equivalente antes de o usuário iniciar a verificação.
Linkar os documentos legais da Didit	Incluir links para o Aviso de Privacidade da Verificação, os Termos do Usuário Final para Verificação de Identidade e qualquer outra política da Didit exigida pelo seu jurídico.
Coletar consentimento explícito quando exigido	Se o seu fluxo captura documentos, selfies, vídeo de prova de vida ou biometria, use uma caixa de seleção desmarcada ou outro controle afirmativo sempre que a lei aplicável exigir consentimento explícito. Para pessoas abrangidas pela legislação de Illinois, Texas ou Colorado, o fluxo hospedado e o SDK nativo 4.10.0 ou posterior podem exibir a etapa de consentimento biométrico da Didit antes da selfie; os SDKs nativos anteriores à 4.10.0 não podem.
Tratar corretamente a marca própria e a interface personalizada	Se você usa um domínio personalizado, um fluxo com marca própria ou uma interface orientada por API, é preciso exibir essas informações no seu próprio produto, porque a marca sozinha não revela o papel da Didit.
Manter seus próprios registros	Se o seu jurídico exigir prova de aviso ou de consentimento, armazene a versão do texto, a data e hora e os metadados relacionados nos seus próprios sistemas.

A Didit fornece a infraestrutura de verificação, mas não decide se a jornada específica do seu usuário atende aos requisitos de consentimento, de divulgação ou de leis biométricas aplicáveis ao seu negócio. Revise sua implementação com assessoria jurídica antes de entrar em produção.

Os suboperadores da Didit estão listados na página de suboperadores. Para solicitar um DPA ou os TOMs, escreva para privacy@didit.me. Para outras atestações de conformidade, fale com seu representante da Didit ou escreva para hello@didit.me.

Perguntas frequentes sobre segurança

Quais certificações a Didit possui?

A Didit é certificada SOC 2 Tipo 2 (julho de 2026, cobrindo o período de observação de 9 de março a 1 de julho de 2026; Tipo 1 emitido em abril de 2026), certificada ISO 27001 em gestão de segurança da informação, certificada ISO 27017 e ISO 27018 em segurança e privacidade em nuvem, totalmente em conformidade com o GDPR, certificada iBeta Nível 1 (ISO 30107-3) em detecção de ataques de apresentação biométrica e FSM Jugendschutz geprüft na Alemanha para verificação de idade nos termos da Seção 4(2) do JMStV. A Didit também é o único provedor atestado pelos reguladores financeiros espanhóis (Tesoro, Banco da Espanha, SEPBLAC, CNMV) como pelo menos tão seguro quanto a verificação presencial, e possui um parecer jurídico independente que confirma a compatibilidade com EBA/MiCA. Veja a lista completa na página de Certificações. Estamos sempre adicionando novas - se você precisa de uma certificação específica, agende uma demonstração e conte para nós.

Meus dados são criptografados?

Sim. Todos os dados são criptografados em trânsito com TLS 1.3 e em repouso com criptografia AES-256. Usamos protocolos criptográficos padrão do setor em toda a nossa infraestrutura.

Onde os dados são armazenados e processados?

Por padrão, todos os dados são processados e armazenados na UE, na infraestrutura da AWS. Clientes corporativos podem solicitar o processamento no próprio país, com opções de residência local de dados, sujeito à disponibilidade.

Como configuro a retenção de dados?

Acesse Business Console → Configurações do aplicativo → Retenção de dados para definir sua janela de retenção (de 1 mês a 10 anos). Você também pode excluir sessões sob demanda pelo Console ou pela API Excluir sessão. Veja a página Retenção de dados para mais detalhes.

Posso excluir os dados de verificação?

Sim. Exclua sessões individuais pelo Console ou por programação, usando a API Excluir sessão. Para a máxima minimização de dados, use o padrão de processar e eliminar para excluir cada sessão assim que receber os resultados pelo webhook.

Excluir uma sessão exclui os dados biométricos?

Por padrão, sim: a imagem do rosto, o vídeo de prova de vida e o embedding facial usado na detecção de duplicidade são excluídos junto com a sessão. Se a sua aplicação optou pela retenção de templates biométricos, a Didit mantém um template biométrico facial sem imagem, vinculado ao usuário, após uma exclusão operacional de sessão. Esse template continua sendo dado biométrico, é usado apenas para a detecção de duplicidade no escopo do seu tenant, tem validade finita e é eliminado na exclusão do usuário, em uma solicitação de apagamento por privacidade, no vencimento ou em uma eliminação explícita pela API de Templates Biométricos. As entradas da blocklist facial que você gerencia são separadas e permanecem até que você as remova.

Como vocês lidam com incidentes de segurança?

Mantemos um plano documentado de resposta a incidentes, com níveis de severidade definidos, procedimentos de escalonamento e protocolos de comunicação. Se uma violação de dados pessoais afetar os seus dados, avisamos você em até 48 horas após a confirmação, para que possa cumprir suas próprias obrigações previstas no GDPR e nas regulamentações aplicáveis.

A Didit está em conformidade com o EU AI Act?

A Didit se alinha de forma proativa aos requisitos do EU AI Act para sistemas de IA de alto risco, incluindo gestão de riscos, governança de dados, transparência, supervisão humana, testes de precisão e não discriminação. Atualizamos continuamente nossa postura de conformidade à medida que as medidas de implementação são finalizadas.

Posso obter documentação de segurança?

Sim. A lista completa de suboperadores está publicada na página de suboperadores. Para solicitar um DPA ou os TOMs, escreva para privacy@didit.me. Para resumos de testes de penetração (sob NDA) e trechos de certificados ISO, fale com seu representante da Didit ou escreva para hello@didit.me.

Como os logs de auditoria são tratados?

Cada chamada de API e cada ação no Console é registrada com data e hora, ID do usuário e endereço IP. Os logs de auditoria são mantidos por 365 dias e podem ser exportados a qualquer momento. Veja a página Logs de auditoria para mais detalhes.

Recursos relacionados

Certificações e atestações

Todas as credenciais que a Didit possui, com datas e como obter cada relatório.

Guia de conformidade com o AMLR

Relacione o Regulamento de AML da UE aos fluxos, endpoints de API e webhooks da Didit.

Consentimento biométrico

A etapa de consentimento explícito para Illinois, Texas e Colorado e como ela aparece nas decisões.

Retenção de dados

Configure políticas de retenção e implemente padrões que priorizam a privacidade.

Logs de auditoria

Acompanhe cada ação com trilhas de auditoria completas.

Webhooks

Receba notificações em tempo real sobre eventos de verificação.

Autenticação da API

Gerenciamento seguro de chaves de API e autenticação.

Visão geral

Fluxos e verificação

Entidades (usuários e empresas)

Configurações e personalização