> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Segurança e conformidade: SOC 2, ISO 27001, LGPD e GDPR > Segurança e conformidade da Didit: SOC 2 Tipo 2, ISO 27001, GDPR, iBeta Nível 1, FSM e pronta para o EU AI Act, validada pelo Tesouro da Espanha e pelo SEPBLAC. A Didit é construída desde a base com a segurança como princípio de primeira classe. Cada camada da plataforma, da infraestrutura aos modelos de IA, é projetada para atender aos mais altos padrões internacionais de segurança da informação, privacidade de dados e precisão biométrica. SOC 2 Certificada Tipo 2 ISO Certificada 27001 GDPR Em conformidade iBeta Certificada Nível 1 FSM Proteção de menores AI Act Preparada *** Validada por órgãos governamentais Validada pelo Tesouro da Espanha, pelo SEPBLAC e pela CNMV, o primeiro e único provedor a receber essa validação. > [!NOTE] > > **"A verificação por NFC + prova de vida ativa da Didit oferece segurança equivalente ou superior à verificação presencial."** > — Relatório oficial, Tesouro da Espanha ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)) Após um teste de um ano conduzido pelos reguladores financeiros espanhóis - o Tesouro da Espanha (Tesoro Público), o SEPBLAC (a unidade de inteligência financeira), o Banco da Espanha e a CNMV (a comissão de valores mobiliários e mercados) - a Didit foi reconhecida como o único provedor cujo fluxo de NFC + prova de vida ativa atinge ou supera o nível de segurança da verificação de identidade presencial. *** Certificações Nossa plataforma atende aos mais altos padrões internacionais de segurança da informação, privacidade de dados e precisão biométrica. > **SOC 2 Tipo 2** > > **Service Organization Controls - Tipo 2.** Uma auditoria independente com base nos Trust Services Criteria da AICPA confirmou que os controles de segurança, disponibilidade e confidencialidade da Didit **operaram de forma eficaz durante o período de observação de 9 de março a 1 de julho de 2026**. Emitido em julho de 2026 (Tipo 1 emitido em abril de 2026). Relatório disponível para clientes corporativos sob NDA. > **FSM Jugendschutz geprüft** > > **Certificação alemã de proteção de menores.** O órgão de autorregulação alemão de proteção de menores (FSM) certificou que o Sistema de Verificação de Idade da Didit estabelece de forma confiável um grupo fechado de usuários nos termos da **Seção 4(2) do JMStV**, de modo que apenas adultos verificados acessem conteúdo com restrição de idade. > **ISO/IEC 27001** > > **Gestão da segurança da informação.** A Didit mantém um Sistema de Gestão de Segurança da Informação (ISMS) certificado, que abrange o projeto, o desenvolvimento e a operação da plataforma de verificação de identidade. Trechos do certificado disponíveis mediante solicitação. > **ISO/IEC 27017** > > **Controles de segurança em nuvem.** Controles de segurança específicos para nuvem que complementam nossa certificação ISO 27001, garantindo proteção robusta para os serviços de verificação baseados em nuvem. > **ISO/IEC 27018** > > **Proteção de privacidade em nuvem.** Controles dedicados à proteção de informações de identificação pessoal (PII) em ambientes de nuvem, indo além dos requisitos gerais de proteção de dados. > **Em conformidade com o GDPR** > > **Conformidade total com a proteção de dados da UE.** A Didit está em total conformidade com o Regulamento Geral sobre a Proteção de Dados. Atuamos como operadora de dados (data processor) - você continua sendo o controlador de dados (data controller). Para solicitar o DPA e os TOMs, escreva para [privacy@didit.me](mailto:privacy@didit.me). > **iBeta Nível 1 - ISO 30107-3** > > **Detecção de ataques de apresentação biométrica.** Nossa tecnologia de prova de vida é certificada iBeta Nível 1 conforme a norma ISO 30107-3, garantindo a detecção confiável de tentativas de falsificação, incluindo fotos impressas, reproduções em tela e máscaras 3D. > **Preparada para o EU AI Act** > > **Conformidade com IA responsável.** Os sistemas de verificação com IA da Didit são projetados em alinhamento com os requisitos do EU AI Act para sistemas de IA de alto risco, incluindo transparência, mecanismos de supervisão humana, governança de dados e monitoramento de vieses. > **Compatibilidade com EBA / MiCA** > > **Onboarding remoto com padrão de regulador.** Um parecer jurídico independente confirma que o onboarding remoto da Didit atende às Diretrizes da EBA sobre Onboarding Remoto de Clientes (EBA/GL/2022/15) e é compatível com o Single Rulebook de AML da UE e com o MiCA. > **[Veja todas as certificações](https://docs.didit.me/pt-br/getting-started/certifications.md)** > > A lista completa e sempre atualizada - SOC 2 Tipo 2 e Tipo 1, ISO 27001/27017/27018, iBeta Nível 1, FSM, a atestação do regulador espanhol, EBA/MiCA e GDPR - com datas e como obter cada relatório. Estamos sempre adicionando novas; se você precisa de uma certificação específica, [agende uma demonstração](https://didit.me/get-a-demo/) e conte para nós. *** Infraestrutura de segurança *** Sinais de fraude Ciclo de fraude totalmente integrado: detectar, analisar e corrigir em tempo real. Cada verificação é pontuada com base em 200+ sinais de origem biométrica, documental, comportamental e de bases de dados. | Tipo de sinal | Capacidade | | - | - | | **Deepfakes** | +20 modelos de IA proprietários, desenvolvidos internamente para a era da IA generativa. [Prova de vida →](https://docs.didit.me/pt-br/core-technology/liveness/overview.md) | | **Ataques de injeção** | Prevenção de adulteração do fluxo da câmera - detecta reprodução e injeção de vídeo. [Prova de vida →](https://docs.didit.me/pt-br/core-technology/liveness/overview.md) | | **Falsificação de documentos** | Detecção de holograma, reimpressão, captura de tela e alteração digital. [Verificação de identidade →](https://docs.didit.me/pt-br/core-technology/id-verification/overview.md) | | **Identidades sintéticas** | Cruzamento com bases de dados governamentais autorizadas em todo o mundo. [Validação de banco de dados →](https://docs.didit.me/pt-br/core-technology/database-validation/overview.md) | | **Sinais comportamentais** | Análise de dispositivo e IP, impressão digital do dispositivo e detecção de reprodução. [Análise de dispositivo e IP →](https://docs.didit.me/pt-br/core-technology/ip-analysis/overview.md) | | **Busca facial 1:N** | Detecção de duplicidade e de várias contas entre todos os usuários verificados. [Busca facial →](https://docs.didit.me/pt-br/core-technology/face-search/overview.md) | > [!TIP] > > Nossa equipe especialista em fraude responde a novos vetores de ataque em horas, não em trimestres. Modelos e regras são atualizados continuamente conforme o cenário de ameaças muda. *** Conformidade com o AI Act Como plataforma de identidade nativa em IA, a Didit leva o EU AI Act a sério. Nossos sistemas são construídos para atender aos requisitos de aplicações de IA de alto risco. A verificação de identidade com biometria é classificada como de **alto risco** pelo EU AI Act. A Didit trata esses requisitos de forma proativa: | Requisito | Como a Didit cumpre | | - | - | | **Gestão de riscos** | Avaliação contínua de riscos em todos os modelos de IA, com estratégias de mitigação documentadas. | | **Governança de dados** | Os dados de treinamento são selecionados quanto à qualidade, à relevância e à representatividade. Testes de viés entre grupos demográficos. | | **Transparência** | Documentação clara das capacidades e limitações da IA. Os usuários são informados quando a IA processa seus dados. | | **Supervisão humana** | Fluxos de revisão manual permitem que operadores humanos substituam as decisões da IA a qualquer momento. | | **Precisão e robustez** | Prova de vida certificada pela iBeta. Avaliação regular dos modelos contra ataques adversariais (deepfakes, injeção, reprodução). | | **Manutenção de registros** | Logs de auditoria e registros de sessão abrangentes mantidos para revisão regulatória. | | **Não discriminação** | Monitoramento e testes de viés por idade, gênero, etnia e tipo de documento para garantir tratamento equitativo. | > [!NOTE] > > A Didit atualiza continuamente sua postura de conformidade à medida que as medidas de implementação do EU AI Act são finalizadas. Fale com seu representante da Didit para obter a documentação mais recente de prontidão para o AI Act. *** Proteção de dados A Didit atua como **operadora de dados (data processor)** - você continua sendo o **controlador de dados (data controller)**. A plataforma é projetada para oferecer suporte ao GDPR e a regimes locais de proteção de dados de forma nativa. | Aspecto | Detalhe | | - | - | | **Papel de operadora** | A Didit trata dados pessoais estritamente em seu nome e sob suas instruções. | | **Região de processamento** | UE por padrão (AWS). Clientes corporativos podem ativar o processamento no próprio país. | | **Minimização de dados** | Padrões de processar e eliminar permitem manter apenas os campos de que seu negócio precisa. | | **Portabilidade de dados** | Exporte os dados de sessão pelo Console ou pela API a qualquer momento. | | **Direito ao apagamento** | Exclua sessões individuais sob demanda pelo Console ou pela API [Excluir sessão](https://docs.didit.me/sessions-api/delete-session.md). Envie `deletion_instruction: "privacy_erasure"` para também eliminar qualquer template biométrico mantido dessa pessoa. | | **Templates biométricos** | Os embeddings faciais são excluídos junto com a sessão por padrão. Uma aplicação pode optar por manter um template biométrico sem imagem para detecção de duplicidade; ele continua sendo dado biométrico, tem validade finita e é eliminado na exclusão do usuário, no apagamento por privacidade, no vencimento ou na eliminação explícita. Veja [Templates biométricos](https://docs.didit.me/management-api/biometric-templates/overview.md). | | **Controles de retenção** | Configure a retenção de 1 mês a 10 anos em **Console → Configurações do aplicativo → Retenção de dados**. | ## Responsabilidades do cliente nos fluxos de verificação Quando você usa a Didit no seu próprio fluxo de onboarding, autenticação ou verificação, você continua responsável pelas **informações e pela base legal do controlador** nesse fluxo. | Requisito | O que você precisa fazer | | - | - | | **Informar quem está envolvido** | Deixar claro que a sua empresa está solicitando a verificação e que a Didit é o provedor / operadora de verificação que sustenta o fluxo. | | **Exibir seu aviso de privacidade** | Incluir um link para o seu próprio aviso de privacidade ou divulgação equivalente antes de o usuário iniciar a verificação. | | **Linkar os documentos legais da Didit** | Incluir links para o [Aviso de Privacidade da Verificação](https://didit.me/terms/verification-privacy-notice), os [Termos do Usuário Final para Verificação de Identidade](https://didit.me/terms/identity-verification) e qualquer outra política da Didit exigida pelo seu jurídico. | | **Coletar consentimento explícito quando exigido** | Se o seu fluxo captura documentos, selfies, vídeo de prova de vida ou biometria, use uma caixa de seleção desmarcada ou outro controle afirmativo sempre que a lei aplicável exigir consentimento explícito. Para pessoas abrangidas pela legislação de Illinois, Texas ou Colorado, o fluxo hospedado e o SDK nativo 4.10.0 ou posterior podem exibir a [etapa de consentimento biométrico](https://docs.didit.me/pt-br/getting-started/biometric-consent.md) da Didit antes da selfie; os SDKs nativos anteriores à 4.10.0 não podem. | | **Tratar corretamente a marca própria e a interface personalizada** | Se você usa um domínio personalizado, um fluxo com marca própria ou uma interface orientada por API, é preciso exibir essas informações no seu próprio produto, porque a marca sozinha não revela o papel da Didit. | | **Manter seus próprios registros** | Se o seu jurídico exigir prova de aviso ou de consentimento, armazene a versão do texto, a data e hora e os metadados relacionados nos seus próprios sistemas. | > [!WARNING] > > A Didit fornece a infraestrutura de verificação, mas não decide se a jornada específica do seu usuário atende aos requisitos de consentimento, de divulgação ou de leis biométricas aplicáveis ao seu negócio. Revise sua implementação com assessoria jurídica antes de entrar em produção. > [!NOTE] > > Os suboperadores da Didit estão listados na [página de suboperadores](https://didit.me/legal/sub-processors). Para solicitar um DPA ou os TOMs, escreva para [privacy@didit.me](mailto:privacy@didit.me). Para outras atestações de conformidade, fale com seu representante da Didit ou escreva para [hello@didit.me](mailto:hello@didit.me). *** Segurança operacional *** ## Perguntas frequentes sobre segurança > **Quais certificações a Didit possui?** > > A Didit é **certificada SOC 2 Tipo 2** (julho de 2026, cobrindo o período de observação de 9 de março a 1 de julho de 2026; Tipo 1 emitido em abril de 2026), certificada ISO 27001 em gestão de segurança da informação, certificada ISO 27017 e ISO 27018 em segurança e privacidade em nuvem, totalmente em conformidade com o GDPR, certificada iBeta Nível 1 (ISO 30107-3) em detecção de ataques de apresentação biométrica e **FSM Jugendschutz geprüft** na Alemanha para verificação de idade nos termos da Seção 4(2) do JMStV. A Didit também é o único provedor atestado pelos reguladores financeiros espanhóis (Tesoro, Banco da Espanha, SEPBLAC, CNMV) como pelo menos tão seguro quanto a verificação presencial, e possui um parecer jurídico independente que confirma a compatibilidade com EBA/MiCA. Veja a lista completa na [página de Certificações](https://docs.didit.me/pt-br/getting-started/certifications.md). Estamos sempre adicionando novas - se você precisa de uma certificação específica, [agende uma demonstração](https://didit.me/get-a-demo/) e conte para nós. > **Meus dados são criptografados?** > > Sim. Todos os dados são criptografados em trânsito com TLS 1.3 e em repouso com criptografia AES-256. Usamos protocolos criptográficos padrão do setor em toda a nossa infraestrutura. > **Onde os dados são armazenados e processados?** > > Por padrão, todos os dados são processados e armazenados na UE, na infraestrutura da AWS. Clientes corporativos podem solicitar o processamento no próprio país, com opções de residência local de dados, sujeito à disponibilidade. > **Como configuro a retenção de dados?** > > Acesse **Business Console → Configurações do aplicativo → Retenção de dados** para definir sua janela de retenção (de 1 mês a 10 anos). Você também pode excluir sessões sob demanda pelo Console ou pela [API Excluir sessão](https://docs.didit.me/sessions-api/delete-session.md). Veja a página [Retenção de dados](https://docs.didit.me/pt-br/console/data-retention.md) para mais detalhes. > **Posso excluir os dados de verificação?** > > Sim. Exclua sessões individuais pelo Console ou por programação, usando a [API Excluir sessão](https://docs.didit.me/sessions-api/delete-session.md). Para a máxima minimização de dados, use o padrão de processar e eliminar para excluir cada sessão assim que receber os resultados pelo webhook. > **Excluir uma sessão exclui os dados biométricos?** > > Por padrão, sim: a imagem do rosto, o vídeo de prova de vida e o embedding facial usado na detecção de duplicidade são excluídos junto com a sessão. Se a sua aplicação optou pela [retenção de templates biométricos](https://docs.didit.me/pt-br/console/data-retention.md#retenção-de-template-biométrico), a Didit mantém um template biométrico facial sem imagem, vinculado ao usuário, após uma exclusão operacional de sessão. Esse template continua sendo dado biométrico, é usado apenas para a detecção de duplicidade no escopo do seu tenant, tem validade finita e é eliminado na exclusão do usuário, em uma solicitação de apagamento por privacidade, no vencimento ou em uma eliminação explícita pela [API de Templates Biométricos](https://docs.didit.me/management-api/biometric-templates/overview.md). As entradas da blocklist facial que você gerencia são separadas e permanecem até que você as remova. > **Como vocês lidam com incidentes de segurança?** > > Mantemos um plano documentado de resposta a incidentes, com níveis de severidade definidos, procedimentos de escalonamento e protocolos de comunicação. Se uma violação de dados pessoais afetar os seus dados, avisamos você em até 48 horas após a confirmação, para que possa cumprir suas próprias obrigações previstas no GDPR e nas regulamentações aplicáveis. > **A Didit está em conformidade com o EU AI Act?** > > A Didit se alinha de forma proativa aos requisitos do EU AI Act para sistemas de IA de alto risco, incluindo gestão de riscos, governança de dados, transparência, supervisão humana, testes de precisão e não discriminação. Atualizamos continuamente nossa postura de conformidade à medida que as medidas de implementação são finalizadas. > **Posso obter documentação de segurança?** > > Sim. A lista completa de suboperadores está publicada na [página de suboperadores](https://didit.me/legal/sub-processors). Para solicitar um DPA ou os TOMs, escreva para [privacy@didit.me](mailto:privacy@didit.me). Para resumos de testes de penetração (sob NDA) e trechos de certificados ISO, fale com seu representante da Didit ou escreva para [hello@didit.me](mailto:hello@didit.me). > **Como os logs de auditoria são tratados?** > > Cada chamada de API e cada ação no Console é registrada com data e hora, ID do usuário e endereço IP. Os logs de auditoria são mantidos por 365 dias e podem ser exportados a qualquer momento. Veja a página [Logs de auditoria](https://docs.didit.me/console/audit-logs.md) para mais detalhes. *** ## Recursos relacionados > **[Certificações e atestações](https://docs.didit.me/pt-br/getting-started/certifications.md)** > > Todas as credenciais que a Didit possui, com datas e como obter cada relatório. > **[Guia de conformidade com o AMLR](https://docs.didit.me/getting-started/amlr-compliance.md)** > > Relacione o Regulamento de AML da UE aos fluxos, endpoints de API e webhooks da Didit. > **[Consentimento biométrico](https://docs.didit.me/pt-br/getting-started/biometric-consent.md)** > > A etapa de consentimento explícito para Illinois, Texas e Colorado e como ela aparece nas decisões. > **[Retenção de dados](https://docs.didit.me/pt-br/console/data-retention.md)** > > Configure políticas de retenção e implemente padrões que priorizam a privacidade. > **[Logs de auditoria](https://docs.didit.me/console/audit-logs.md)** > > Acompanhe cada ação com trilhas de auditoria completas. > **[Webhooks](https://docs.didit.me/integration/webhooks.md)** > > Receba notificações em tempo real sobre eventos de verificação. > **[Autenticação da API](https://docs.didit.me/getting-started/api-authentication.md)** > > Gerenciamento seguro de chaves de API e autenticação. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.