Segurança e conformidade: SOC 2, ISO 27001, RGPD

A Didit foi concebida desde o início com a segurança como princípio fundamental. Cada camada da plataforma — desde a infraestrutura até aos modelos de IA — foi desenhada para cumprir os mais elevados padrões internacionais de segurança da informação, privacidade de dados e precisão biométrica.

SOC 2Certificado Type 2

ISOCertificado 27001

GDPREm conformidade

iBetaCertificado Level 1

FSMProteção de Jovens

AI ActPreparado

“A verificação por NFC + prova de vida ativa da Didit oferece uma segurança equivalente ou superior à verificação presencial.” — Relatório oficial, Tesouro de Espanha (tesoro.es)

Após um ano de testes realizados por reguladores financeiros espanhóis — o Tesouro de Espanha (Tesoro Público), o SEPBLAC (a unidade de informação financeira), o Banco de España e a CNMV (a comissão do mercado de valores mobiliários) —, a Didit foi reconhecida como o único fornecedor cujo fluxo de NFC + prova de vida ativa atinge ou supera o nível de segurança da verificação de identidade presencial.

SOC 2 Type 2

Service Organization Controls — Type 2. Uma auditoria independente de acordo com os critérios Trust Services Criteria da AICPA confirmou que os controlos de segurança, disponibilidade e confidencialidade da Didit operaram de forma eficaz durante o período de observação de 9 de março a 1 de julho de 2026. Emitido em julho de 2026 (o Type 1 foi emitido em abril de 2026). Relatório disponível para clientes empresariais sob NDA.

FSM Jugendschutz geprüft

Certificação alemã de proteção de jovens. O organismo de autorregulação da proteção de jovens da Alemanha (FSM) certificou que o Sistema de Verificação de Idade da Didit estabelece de forma fiável um grupo fechado de utilizadores nos termos da Secção 4(2) da JMStV, garantindo que apenas adultos verificados acedem a conteúdos com restrição de idade.

ISO/IEC 27001

Gestão da segurança da informação. A Didit mantém um Sistema de Gestão da Segurança da Informação (ISMS) certificado que abrange o desenho, desenvolvimento e operação da plataforma de verificação de identidade. Extratos do certificado disponíveis mediante pedido.

ISO/IEC 27017

Controlos de segurança na nuvem. Controlos de segurança adicionais específicos da nuvem que complementam a nossa certificação ISO 27001, garantindo uma proteção robusta para serviços de verificação baseados na nuvem.

ISO/IEC 27018

Proteção da privacidade na nuvem. Controlos dedicados à proteção de informações de identificação pessoal (PII) em ambientes de nuvem, indo além dos requisitos gerais de proteção de dados.

Em conformidade com o RGPD

Conformidade total com a proteção de dados da UE. A Didit está em total conformidade com o Regulamento Geral sobre a Proteção de Dados. Atuamos como subcontratante - continua a ser o responsável pelo tratamento de dados. Para solicitar o DPA e as TOMs, envie um e-mail para privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Deteção de ataques de apresentação biométrica. A nossa tecnologia de prova de vida é certificada pelo iBeta como de nível 1 ao abrigo da norma ISO 30107-3, garantindo uma deteção fiável de tentativas de spoofing, incluindo fotos impressas, reproduções em ecrã e máscaras 3D.

Preparado para o Regulamento da IA da UE

Conformidade para uma IA responsável. Os sistemas de verificação alimentados por IA da Didit foram desenhados em alinhamento com os requisitos do Regulamento da IA da UE para sistemas de IA de elevado risco, incluindo transparência, mecanismos de supervisão humana, governação de dados e monitorização de enviesamento.

Compatibilidade com EBA/MiCA

Onboarding remoto com padrões regulamentares. Um parecer jurídico independente confirma que o onboarding remoto da Didit cumpre as Orientações sobre o Onboarding Remoto de Clientes da EBA (EBA/GL/2022/15) e é compatível com o Single Rulebook de AML da UE e com o MiCA.

Consulte todas as certificações

A lista completa e sempre atualizada — SOC 2 Type 2 e Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, a atestação do regulador espanhol, EBA/MiCA e RGPD — com datas e instruções sobre como obter cada relatório. Estamos sempre a adicionar mais; se necessitar de uma certificação específica, agende uma demonstração e fale connosco.

Tipo de sinal	Capacidade
Deepfakes	+20 modelos de IA proprietários, desenvolvidos internamente para a era da IA generativa. Prova de vida →
Ataques de injeção	Prevenção de adulteração do fluxo da câmara — deteta reprodução e injeção de vídeo. Prova de vida →
Falsificação de documentos	Deteção de hologramas, reimpressões, capturas de ecrã e alterações digitais. Verificação de identidade →
Identidades sintéticas	Cruzamento com bases de dados governamentais oficiais em todo o mundo. Validação de base de dados →
Sinais comportamentais	Análise de dispositivo e IP, identificação do dispositivo e deteção de reprodução. Análise de dispositivo e IP →
Pesquisa facial 1:N	Deteção de duplicados e de múltiplas contas entre todos os utilizadores verificados. Pesquisa facial →

A nossa equipa especializada de combate à fraude responde a novos vetores de ataque em poucas horas, e não em trimestres. Os modelos e as regras são atualizados continuamente à medida que o panorama de ameaças evolui.

A verificação de identidade com recurso a biometria é classificada como de alto risco ao abrigo do AI Act da UE. A Didit aborda estes requisitos de forma proativa:

Requisito	Como a Didit cumpre
Gestão de risco	Avaliação contínua de riscos em todos os modelos de IA com estratégias documentadas de mitigação.
Governação de dados	Os dados de treino são selecionados tendo em conta a qualidade, relevância e representatividade. Testes de enviesamento entre diferentes grupos demográficos.
Transparência	Documentação clara das capacidades e limitações da IA. Os utilizadores são informados quando a IA processa os seus dados.
Supervisão humana	Os fluxos de revisão manual permitem que operadores humanos substituam as decisões da IA em qualquer momento.
Precisão e robustez	Prova de vida certificada pela iBeta. Avaliação regular dos modelos contra ataques adversariais (deepfakes, injeção, reprodução).
Manutenção de registos	São mantidos registos de auditoria e registos de sessão abrangentes para revisão regulamentar.
Não discriminação	Monitorização e testes de enviesamento por idade, género, etnia e tipos de documentos para garantir um tratamento equitativo.

A Didit atualiza continuamente o seu nível de conformidade à medida que as medidas de implementação do AI Act da UE são finalizadas. Contacte o seu representante da Didit para obter a documentação mais recente sobre a preparação para o AI Act.

A Didit atua como subcontratante — você permanece o responsável pelo tratamento. A plataforma foi concebida para suportar nativamente o RGPD e os regimes locais de proteção de dados.

Aspeto	Detalhe
Papel de subcontratante	A Didit processa dados pessoais estritamente em seu nome e de acordo com as suas instruções.
Região de processamento	UE por predefinição (AWS). Os clientes empresariais podem ativar o processamento no próprio país.
Minimização de dados	Os padrões de processamento e eliminação permitem-lhe conservar apenas os campos exigidos pela sua empresa.
Portabilidade de dados	Exporte dados de sessões através da Consola ou da API em qualquer altura.
Direito ao apagamento	Elimine sessões individuais a pedido através da Consola ou da API Delete Session. Envie `deletion_instruction: "privacy_erasure"` para também eliminar qualquer template biométrico retido dessa pessoa.
Templates biométricos	Os embeddings faciais são eliminados com a sessão por predefinição. Uma aplicação pode optar por reter um template biométrico sem imagem para deteção de duplicados; este permanece como dado biométrico, tem uma validade finita e é eliminado após a eliminação do utilizador, apagamento por privacidade, caducidade ou eliminação explícita. Consulte Templates biométricos.
Controlos de conservação	Configure a conservação de 1 mês a 10 anos em Console → App Settings → Data retention.

Responsabilidades do cliente nos fluxos de verificação

Quando utiliza a Didit na sua própria experiência de onboarding, autenticação ou verificação, continua a ser responsável pelas informações a prestar, enquanto responsável pelo tratamento, e pela base legal desse fluxo.

Requisito	O que precisa de fazer
Informar o utilizador sobre quem está envolvido	Deixe claro que a sua empresa está a solicitar a verificação e que a Didit é o fornecedor de verificação / subcontratante que suporta o fluxo.
Apresentar o seu aviso de privacidade	Disponibilize uma ligação para o seu próprio aviso de privacidade ou informação equivalente antes de o utilizador iniciar a verificação.
Incluir ligações para os documentos legais da Didit	Disponibilize ligações para o Aviso de Privacidade de Verificação da Didit, os Termos do Utilizador Final para Verificação de Identidade e qualquer outra política da Didit exigida pela sua equipa jurídica.
Recolher consentimento explícito quando exigido	Se o seu fluxo capturar documentos, selfies, vídeo de prova de vida ou biometria, utilize uma caixa de seleção desmarcada ou outro controlo afirmativo sempre que a legislação aplicável exigir consentimento explícito. Para pessoas abrangidas pela legislação do Illinois, Texas ou Colorado, o fluxo alojado e o SDK nativo 4.10.0 ou posterior podem apresentar o passo de consentimento biométrico da Didit antes da selfie; os SDKs nativos anteriores a 4.10.0 não o conseguem fazer.
Gerir a marca branca e a interface personalizada corretamente	Se utilizar um domínio personalizado, um fluxo de marca branca ou uma interface baseada em API, tem de apresentar estas informações no seu próprio produto, uma vez que a marca, por si só, não informa sobre o papel da Didit.
Manter os seus próprios registos	Se a sua equipa jurídica exigir prova de que o aviso foi apresentado ou de consentimento, guarde a versão do texto, o carimbo de data/hora e os metadados associados nos seus próprios sistemas.

A Didit disponibiliza a infraestrutura de verificação, mas não determina se o percurso específico do seu utilizador cumpre os requisitos de consentimento, de informação ou previstos na legislação sobre biometria aplicáveis à sua empresa. Reveja a sua implementação com o seu departamento jurídico antes de avançar para produção.

Os subcontratantes ulteriores da Didit estão listados na página de Subcontratantes ulteriores. Para solicitar um DPA ou TOMs, envie um e-mail para privacy@didit.me. Para outras atestações de conformidade, contacte o seu representante da Didit ou envie um e-mail para hello@didit.me.

Perguntas frequentes sobre segurança

Que certificações detém a Didit?

A Didit possui certificação SOC 2 Tipo 2 (julho de 2026, cobrindo o período de observação de 9 de março a 1 de julho de 2026; Tipo 1 emitido em abril de 2026), certificação ISO 27001 para gestão de segurança da informação, certificações ISO 27017 e ISO 27018 para segurança e privacidade na nuvem, está em total conformidade com o RGPD, possui certificação iBeta Nível 1 (ISO 30107-3) para deteção de ataques de apresentação biométrica e é FSM Jugendschutz geprüft na Alemanha para verificação de idade ao abrigo da Secção 4(2) da JMStV. A Didit é também o único fornecedor atestado pelos reguladores financeiros espanhóis (Tesoro, Banco de España, SEPBLAC, CNMV) como sendo pelo menos tão seguro quanto a verificação presencial, e dispõe de um parecer jurídico independente que confirma a compatibilidade com a EBA/MiCA. Consulte a lista completa na página de Certificações. Adicionamos novas certificações continuamente — se necessitar de uma certificação específica, agende uma demonstração e fale connosco.

Os meus dados são encriptados?

Sim. Todos os dados são encriptados em trânsito com recurso a TLS 1.3 e em repouso através de encriptação AES-256. Utilizamos protocolos criptográficos padrão da indústria em toda a nossa infraestrutura.

Onde são armazenados e processados os dados?

Por predefinição, todos os dados são processados e armazenados na UE em infraestrutura da AWS. Os clientes Enterprise podem solicitar o processamento no próprio país com opções de residência de dados locais, sujeitas à disponibilidade.

Como configuro a conservação de dados?

Navegue até Business Console → App Settings → Data retention para definir a sua janela de conservação (de 1 mês a 10 anos). Também pode eliminar sessões a pedido através da Console ou da Delete Session API. Consulte a página de Conservação de dados para mais detalhes.

Posso eliminar dados de verificação?

Sim. Elimine sessões individuais através da Console ou de forma programática através da Delete Session API. Para maximizar a minimização de dados, utilize o padrão de processamento e purga para eliminar cada sessão assim que tiver recebido os resultados do respetivo webhook.

Eliminar uma sessão elimina os dados biométricos?

Por predefinição, sim: a imagem do rosto, o vídeo de prova de vida e o embedding facial utilizado para a deteção de duplicados são eliminados com a sessão. Se a sua aplicação tiver optado pela conservação de templates biométricos, a Didit mantém um template biométrico facial sem imagem associado ao Utilizador após a eliminação operacional da sessão. Esse template biométrico permanece como dado biométrico, é utilizado unicamente para a sua deteção de duplicados no âmbito do tenant, tem uma validade finita e é purgado aquando da eliminação do Utilizador, de um pedido de apagamento por privacidade, da expiração ou de uma purga explícita através da Biometric Templates API. As entradas na lista de bloqueio facial geridas por si são independentes e mantêm-se até que as remova.

Como gerem incidentes de segurança?

Mantemos um plano documentado de resposta a incidentes com níveis de gravidade definidos, procedimentos de escalamento e protocolos de comunicação. Se uma violação de dados pessoais afetar os seus dados, notificamo-lo no prazo de 48 horas após a confirmação da mesma, para que possa cumprir as suas próprias obrigações ao abrigo do RGPD e dos regulamentos aplicáveis.

A Didit está em conformidade com o Regulamento da IA da UE?

A Didit alinha-se proativamente com os requisitos do Regulamento da IA da UE para sistemas de IA de alto risco, incluindo gestão de riscos, governação de dados, transparência, supervisão humana, testes de precisão e não discriminação. Atualizamos continuamente a nossa postura de conformidade à medida que as medidas de implementação são finalizadas.

Posso obter documentação de segurança?

Sim. A lista completa de subcontratantes ulteriores está publicada na página de Subcontratantes ulteriores. Para solicitar um DPA ou TOMs, envie um e-mail para privacy@didit.me. Para resumos de testes de intrusão (ao abrigo de NDA) e extratos de certificados ISO, contacte o seu representante da Didit ou envie um e-mail para hello@didit.me.

Como são tratados os registos de auditoria?

Cada chamada de API e ação na Console é registada com carimbos de data/hora, IDs de utilizador e endereços IP. O seu plano define até quando pode consultar os registos de auditoria: 30 dias no Free, 1 ano no Growth, 3 anos no Scale e o definido no seu contrato no Enterprise, com exportação no Scale e Enterprise. Consulte a página de Registos de auditoria para mais detalhes.

Recursos relacionados

Certificações e atestações

Todas as credenciais detidas pela Didit, com datas e informações sobre como obter cada relatório.

Guia de conformidade com o AMLR

Mapeie o Regulamento AML da UE para fluxos, endpoints de API e webhooks da Didit.

Consentimento biométrico

O passo de consentimento explícito para Illinois, Texas e Colorado, e como este surge nas decisões.

Conservação de dados

Configure políticas de conservação e implemente padrões orientados para a privacidade.

Registos de auditoria

Monitorize cada ação com registos de auditoria completos.

Webhooks

Receba notificações em tempo real para eventos de verificação.

Autenticação da API

Gestão segura de chaves de API e autenticação.

Visão geral

Preços

Fluxos e verificação

Revisão e operações

Entidades (utilizadores e empresas)

Definições e personalização