> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Segurança e conformidade: SOC 2, ISO 27001, RGPD > Segurança e conformidade da Didit: SOC 2 Tipo 2, ISO 27001, RGPD, iBeta Nível 1, FSM, EU AI Act e validação pelo Tesouro espanhol e SEPBLAC. A Didit foi concebida desde o início com a segurança como princípio fundamental. Cada camada da plataforma — desde a infraestrutura até aos modelos de IA — foi desenhada para cumprir os mais elevados padrões internacionais de segurança da informação, privacidade de dados e precisão biométrica. SOC 2 Certificado Type 2 ISO Certificado 27001 GDPR Em conformidade iBeta Certificado Level 1 FSM Proteção de Jovens AI Act Preparado *** Validado pelo governo ## Mais seguro do que a verificação presencial Validado pelo Tesouro de Espanha, SEPBLAC e CNMV — o primeiro e único fornecedor a receber esta validação. > [!NOTE] > > **"A verificação por NFC + prova de vida ativa da Didit oferece uma segurança equivalente ou superior à verificação presencial."** > — Relatório oficial, Tesouro de Espanha ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)) Após um ano de testes realizados por reguladores financeiros espanhóis — o Tesouro de Espanha (Tesoro Público), o SEPBLAC (a unidade de informação financeira), o Banco de España e a CNMV (a comissão do mercado de valores mobiliários) —, a Didit foi reconhecida como o único fornecedor cujo fluxo de NFC + prova de vida ativa atinge ou supera o nível de segurança da verificação de identidade presencial. ### Único fornecedor com esta validação Primeiro e único fornecedor a passar o teste de um ano realizado pelos reguladores financeiros em Espanha. Independente, adversarial e reprodutível. ### 200+ sinais por verificação Sinais biométricos, de documentos, comportamentais e de bases de dados cruzados em tempo real em cada sessão. ### Ligado a fontes de dados governamentais Integrado individualmente com bases de dados governamentais oficiais em todo o mundo para confirmar a identidade através de registos oficiais de referência. ### Licenças globais e conformidade Certificação SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018, RGPD, iBeta Level 1 (ISO 30107-3) e certificação de proteção de jovens FSM. Licenciada e em conformidade em todos os países onde operamos. *** Certificações ## Certificada para a confiança empresarial A nossa plataforma cumpre os mais elevados padrões internacionais de segurança da informação, privacidade de dados e precisão biométrica. > [card] SOC 2 Type 2 > > **Service Organization Controls — Type 2.** Uma auditoria independente de acordo com os critérios Trust Services Criteria da AICPA confirmou que os controlos de segurança, disponibilidade e confidencialidade da Didit **operaram de forma eficaz durante o período de observação de 9 de março a 1 de julho de 2026**. Emitido em julho de 2026 (o Type 1 foi emitido em abril de 2026). Relatório disponível para clientes empresariais sob NDA. > [card] FSM Jugendschutz geprüft > > **Certificação alemã de proteção de jovens.** O organismo de autorregulação da proteção de jovens da Alemanha (FSM) certificou que o Sistema de Verificação de Idade da Didit estabelece de forma fiável um grupo fechado de utilizadores nos termos da **Secção 4(2) da JMStV**, garantindo que apenas adultos verificados acedem a conteúdos com restrição de idade. > [card] ISO/IEC 27001 > > **Gestão da segurança da informação.** A Didit mantém um Sistema de Gestão da Segurança da Informação (ISMS) certificado que abrange o desenho, desenvolvimento e operação da plataforma de verificação de identidade. Extratos do certificado disponíveis mediante pedido. > [card] ISO/IEC 27017 > > **Controlos de segurança na nuvem.** Controlos de segurança adicionais específicos da nuvem que complementam a nossa certificação ISO 27001, garantindo uma proteção robusta para serviços de verificação baseados na nuvem. > [card] ISO/IEC 27018 > > **Proteção da privacidade na nuvem.** Controlos dedicados à proteção de informações de identificação pessoal (PII) em ambientes de nuvem, indo além dos requisitos gerais de proteção de dados. > [card] Em conformidade com o RGPD > > **Conformidade total com a proteção de dados da UE.** A Didit está em total conformidade com o Regulamento Geral sobre a Proteção de Dados. Atuamos como subcontratante - continua a ser o responsável pelo tratamento de dados. Para solicitar o DPA e as TOMs, envie um e-mail para [privacy@didit.me](mailto:privacy@didit.me). > [card] iBeta Level 1 — ISO 30107-3 > > **Deteção de ataques de apresentação biométrica.** A nossa tecnologia de prova de vida é certificada pelo iBeta como de nível 1 ao abrigo da norma ISO 30107-3, garantindo uma deteção fiável de tentativas de spoofing, incluindo fotos impressas, reproduções em ecrã e máscaras 3D. > [card] Preparado para o Regulamento da IA da UE > > **Conformidade para uma IA responsável.** Os sistemas de verificação alimentados por IA da Didit foram desenhados em alinhamento com os requisitos do Regulamento da IA da UE para sistemas de IA de elevado risco, incluindo transparência, mecanismos de supervisão humana, governação de dados e monitorização de enviesamento. > [card] Compatibilidade com EBA/MiCA > > **Onboarding remoto com padrões regulamentares.** Um parecer jurídico independente confirma que o onboarding remoto da Didit cumpre as Orientações sobre o Onboarding Remoto de Clientes da EBA (EBA/GL/2022/15) e é compatível com o Single Rulebook de AML da UE e com o MiCA. > [card] [Consulte todas as certificações](https://docs.didit.me/pt/getting-started/certifications.md) > > A lista completa e sempre atualizada — SOC 2 Type 2 e Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, a atestação do regulador espanhol, EBA/MiCA e RGPD — com datas e instruções sobre como obter cada relatório. Estamos sempre a adicionar mais; se necessitar de uma certificação específica, [agende uma demonstração](https://didit.me/get-a-demo/) e fale connosco. *** Infraestrutura de segurança ## Como protegemos os seus dados ### Encriptação ponto a ponto Todos os dados são encriptados em trânsito (TLS 1.3) e em repouso (AES-256). Protocolos criptográficos padrão do setor protegem as informações confidenciais em todas as etapas. ### Controlo de acessos baseado em funções Permissões granulares e controlo de acessos baseado em funções garantem que apenas pessoal autorizado possa aceder aos dados de verificação e às configurações do sistema. ### Registos de auditoria completos Cada ação é registada com carimbos de data/hora, IDs de utilizador e endereços IP. O seu plano define o período de histórico dos registos de auditoria que pode consultar: 30 dias no Free, 1 ano no Growth, 3 anos no Scale e o que o seu contrato definir no Enterprise, com exportação no Scale e Enterprise. ### Monitorização de segurança 24/7 Monitorização contínua e deteção automatizada de ameaças em toda a nossa infraestrutura, com alertas em tempo real para atividades suspeitas. ### Infraestrutura sediada na UE Os dados são processados e armazenados na UE em servidores AWS, por predefinição. Os clientes Enterprise podem ativar o processamento no próprio país com opções locais de residência de dados. ### Conservação de dados configurável Defina políticas de conservação de 1 mês a 10 anos, ou elimine sessões a pedido através da API. Padrões de processamento e eliminação suportados para uma pegada mínima de dados. Qualquer template biométrico que opte por conservar após a eliminação de uma sessão terá o seu próprio prazo de validade finito. *** Sinais de fraude ## 200+ sinais, ciclo de fraude em tempo real Ciclo de fraude totalmente integrado — detete, analise e resolva em tempo real. Cada verificação é avaliada em relação a 200+ sinais em fontes biométricas, documentais, comportamentais e de bases de dados. | Tipo de sinal | Capacidade | | - | - | | **Deepfakes** | +20 modelos de IA proprietários, desenvolvidos internamente para a era da IA generativa. [Prova de vida →](https://docs.didit.me/pt/core-technology/liveness/overview.md) | | **Ataques de injeção** | Prevenção de adulteração do fluxo da câmara — deteta reprodução e injeção de vídeo. [Prova de vida →](https://docs.didit.me/pt/core-technology/liveness/overview.md) | | **Falsificação de documentos** | Deteção de hologramas, reimpressões, capturas de ecrã e alterações digitais. [Verificação de identidade →](https://docs.didit.me/pt/core-technology/id-verification/overview.md) | | **Identidades sintéticas** | Cruzamento com bases de dados governamentais oficiais em todo o mundo. [Validação de base de dados →](https://docs.didit.me/pt/core-technology/database-validation/overview.md) | | **Sinais comportamentais** | Análise de dispositivo e IP, identificação do dispositivo e deteção de reprodução. [Análise de dispositivo e IP →](https://docs.didit.me/pt/core-technology/ip-analysis/overview.md) | | **Pesquisa facial 1:N** | Deteção de duplicados e de múltiplas contas entre todos os utilizadores verificados. [Pesquisa facial →](https://docs.didit.me/pt/core-technology/face-search/overview.md) | > [!TIP] > > A nossa equipa especializada de combate à fraude responde a novos vetores de ataque em poucas horas, e não em trimestres. Os modelos e as regras são atualizados continuamente à medida que o panorama de ameaças evolui. *** Conformidade com o AI Act ## IA responsável — concebida de raiz Enquanto plataforma de identidade nativa de IA, a Didit leva o AI Act da UE muito a sério. Os nossos sistemas são concebidos para cumprir os requisitos de aplicações de IA de alto risco. A verificação de identidade com recurso a biometria é classificada como de **alto risco** ao abrigo do AI Act da UE. A Didit aborda estes requisitos de forma proativa: | Requisito | Como a Didit cumpre | | - | - | | **Gestão de risco** | Avaliação contínua de riscos em todos os modelos de IA com estratégias documentadas de mitigação. | | **Governação de dados** | Os dados de treino são selecionados tendo em conta a qualidade, relevância e representatividade. Testes de enviesamento entre diferentes grupos demográficos. | | **Transparência** | Documentação clara das capacidades e limitações da IA. Os utilizadores são informados quando a IA processa os seus dados. | | **Supervisão humana** | Os fluxos de revisão manual permitem que operadores humanos substituam as decisões da IA em qualquer momento. | | **Precisão e robustez** | Prova de vida certificada pela iBeta. Avaliação regular dos modelos contra ataques adversariais (deepfakes, injeção, reprodução). | | **Manutenção de registos** | São mantidos registos de auditoria e registos de sessão abrangentes para revisão regulamentar. | | **Não discriminação** | Monitorização e testes de enviesamento por idade, género, etnia e tipos de documentos para garantir um tratamento equitativo. | > [!NOTE] > > A Didit atualiza continuamente o seu nível de conformidade à medida que as medidas de implementação do AI Act da UE são finalizadas. Contacte o seu representante da Didit para obter a documentação mais recente sobre a preparação para o AI Act. *** Proteção de dados ## O seu parceiro de proteção de dados A Didit atua como **subcontratante** — você permanece o **responsável pelo tratamento**. A plataforma foi concebida para suportar nativamente o RGPD e os regimes locais de proteção de dados. | Aspeto | Detalhe | | - | - | | **Papel de subcontratante** | A Didit processa dados pessoais estritamente em seu nome e de acordo com as suas instruções. | | **Região de processamento** | UE por predefinição (AWS). Os clientes empresariais podem ativar o processamento no próprio país. | | **Minimização de dados** | Os padrões de processamento e eliminação permitem-lhe conservar apenas os campos exigidos pela sua empresa. | | **Portabilidade de dados** | Exporte dados de sessões através da Consola ou da API em qualquer altura. | | **Direito ao apagamento** | Elimine sessões individuais a pedido através da Consola ou da API [Delete Session](https://docs.didit.me/pt/sessions-api/delete-session.md). Envie `deletion_instruction: "privacy_erasure"` para também eliminar qualquer template biométrico retido dessa pessoa. | | **Templates biométricos** | Os embeddings faciais são eliminados com a sessão por predefinição. Uma aplicação pode optar por reter um template biométrico sem imagem para deteção de duplicados; este permanece como dado biométrico, tem uma validade finita e é eliminado após a eliminação do utilizador, apagamento por privacidade, caducidade ou eliminação explícita. Consulte [Templates biométricos](https://docs.didit.me/pt/management-api/biometric-templates/overview.md). | | **Controlos de conservação** | Configure a conservação de 1 mês a 10 anos em **Console → App Settings → Data retention**. | ## Responsabilidades do cliente nos fluxos de verificação Quando utiliza a Didit na sua própria experiência de onboarding, autenticação ou verificação, continua a ser responsável pelas **informações a prestar, enquanto responsável pelo tratamento, e pela base legal** desse fluxo. | Requisito | O que precisa de fazer | | - | - | | **Informar o utilizador sobre quem está envolvido** | Deixe claro que a sua empresa está a solicitar a verificação e que a Didit é o fornecedor de verificação / subcontratante que suporta o fluxo. | | **Apresentar o seu aviso de privacidade** | Disponibilize uma ligação para o seu próprio aviso de privacidade ou informação equivalente antes de o utilizador iniciar a verificação. | | **Incluir ligações para os documentos legais da Didit** | Disponibilize ligações para o [Aviso de Privacidade de Verificação](https://didit.me/terms/verification-privacy-notice) da Didit, os [Termos do Utilizador Final para Verificação de Identidade](https://didit.me/terms/identity-verification) e qualquer outra política da Didit exigida pela sua equipa jurídica. | | **Recolher consentimento explícito quando exigido** | Se o seu fluxo capturar documentos, selfies, vídeo de prova de vida ou biometria, utilize uma caixa de seleção desmarcada ou outro controlo afirmativo sempre que a legislação aplicável exigir consentimento explícito. Para pessoas abrangidas pela legislação do Illinois, Texas ou Colorado, o fluxo alojado e o SDK nativo 4.10.0 ou posterior podem apresentar o [passo de consentimento biométrico](https://docs.didit.me/pt/getting-started/biometric-consent.md) da Didit antes da selfie; os SDKs nativos anteriores a 4.10.0 não o conseguem fazer. | | **Gerir a marca branca e a interface personalizada corretamente** | Se utilizar um domínio personalizado, um fluxo de marca branca ou uma interface baseada em API, tem de apresentar estas informações no seu próprio produto, uma vez que a marca, por si só, não informa sobre o papel da Didit. | | **Manter os seus próprios registos** | Se a sua equipa jurídica exigir prova de que o aviso foi apresentado ou de consentimento, guarde a versão do texto, o carimbo de data/hora e os metadados associados nos seus próprios sistemas. | > [!WARNING] > > A Didit disponibiliza a infraestrutura de verificação, mas não determina se o percurso específico do seu utilizador cumpre os requisitos de consentimento, de informação ou previstos na legislação sobre biometria aplicáveis à sua empresa. Reveja a sua implementação com o seu departamento jurídico antes de avançar para produção. > [!NOTE] > > Os subcontratantes ulteriores da Didit estão listados na [página de Subcontratantes ulteriores](https://didit.me/legal/sub-processors). Para solicitar um DPA ou TOMs, envie um e-mail para [privacy@didit.me](mailto:privacy@didit.me). Para outras atestações de conformidade, contacte o seu representante da Didit ou envie um e-mail para [hello@didit.me](mailto:hello@didit.me). *** Segurança Operacional ## Proteção contínua ### Testes de intrusão Testes de intrusão periódicos realizados por terceiros com acompanhamento da remediação. Relatórios disponíveis para clientes empresariais mediante NDA. ### Sem violações conhecidas Nenhuma violação de segurança registada até à data. Procedimentos de resposta a incidentes testados e documentados. ### Equipa interna de segurança Equipa dedicada de cibersegurança com acesso baseado no princípio do menor privilégio e separação estrita de ambientes em todos os sistemas. ### Segurança das chaves de API Chaves de API separadas para a sandbox e o ambiente de produção. As chaves podem ser substituídas a qualquer momento através da Business Console. *** ## Perguntas frequentes sobre segurança > [accordion] Que certificações detém a Didit? > > A Didit possui **certificação SOC 2 Tipo 2** (julho de 2026, cobrindo o período de observação de 9 de março a 1 de julho de 2026; Tipo 1 emitido em abril de 2026), certificação ISO 27001 para gestão de segurança da informação, certificações ISO 27017 e ISO 27018 para segurança e privacidade na nuvem, está em total conformidade com o RGPD, possui certificação iBeta Nível 1 (ISO 30107-3) para deteção de ataques de apresentação biométrica e é **FSM Jugendschutz geprüft** na Alemanha para verificação de idade ao abrigo da Secção 4(2) da JMStV. A Didit é também o único fornecedor atestado pelos reguladores financeiros espanhóis (Tesoro, Banco de España, SEPBLAC, CNMV) como sendo pelo menos tão seguro quanto a verificação presencial, e dispõe de um parecer jurídico independente que confirma a compatibilidade com a EBA/MiCA. Consulte a lista completa na [página de Certificações](https://docs.didit.me/pt/getting-started/certifications.md). Adicionamos novas certificações continuamente — se necessitar de uma certificação específica, [agende uma demonstração](https://didit.me/get-a-demo/) e fale connosco. > [accordion] Os meus dados são encriptados? > > Sim. Todos os dados são encriptados em trânsito com recurso a TLS 1.3 e em repouso através de encriptação AES-256. Utilizamos protocolos criptográficos padrão da indústria em toda a nossa infraestrutura. > [accordion] Onde são armazenados e processados os dados? > > Por predefinição, todos os dados são processados e armazenados na UE em infraestrutura da AWS. Os clientes Enterprise podem solicitar o processamento no próprio país com opções de residência de dados locais, sujeitas à disponibilidade. > [accordion] Como configuro a conservação de dados? > > Navegue até **Business Console → App Settings → Data retention** para definir a sua janela de conservação (de 1 mês a 10 anos). Também pode eliminar sessões a pedido através da Console ou da [Delete Session API](https://docs.didit.me/pt/sessions-api/delete-session.md). Consulte a página de [Conservação de dados](https://docs.didit.me/pt/console/data-retention.md) para mais detalhes. > [accordion] Posso eliminar dados de verificação? > > Sim. Elimine sessões individuais através da Console ou de forma programática através da [Delete Session API](https://docs.didit.me/pt/sessions-api/delete-session.md). Para maximizar a minimização de dados, utilize o padrão de processamento e purga para eliminar cada sessão assim que tiver recebido os resultados do respetivo webhook. > [accordion] Eliminar uma sessão elimina os dados biométricos? > > Por predefinição, sim: a imagem do rosto, o vídeo de prova de vida e o embedding facial utilizado para a deteção de duplicados são eliminados com a sessão. Se a sua aplicação tiver optado pela [conservação de templates biométricos](https://docs.didit.me/pt/console/data-retention.md#retenção-de-modelo-biométrico), a Didit mantém um template biométrico facial sem imagem associado ao Utilizador após a eliminação operacional da sessão. Esse template biométrico permanece como dado biométrico, é utilizado unicamente para a sua deteção de duplicados no âmbito do tenant, tem uma validade finita e é purgado aquando da eliminação do Utilizador, de um pedido de apagamento por privacidade, da expiração ou de uma purga explícita através da [Biometric Templates API](https://docs.didit.me/pt/management-api/biometric-templates/overview.md). As entradas na lista de bloqueio facial geridas por si são independentes e mantêm-se até que as remova. > [accordion] Como gerem incidentes de segurança? > > Mantemos um plano documentado de resposta a incidentes com níveis de gravidade definidos, procedimentos de escalamento e protocolos de comunicação. Se uma violação de dados pessoais afetar os seus dados, notificamo-lo no prazo de 48 horas após a confirmação da mesma, para que possa cumprir as suas próprias obrigações ao abrigo do RGPD e dos regulamentos aplicáveis. > [accordion] A Didit está em conformidade com o Regulamento da IA da UE? > > A Didit alinha-se proativamente com os requisitos do Regulamento da IA da UE para sistemas de IA de alto risco, incluindo gestão de riscos, governação de dados, transparência, supervisão humana, testes de precisão e não discriminação. Atualizamos continuamente a nossa postura de conformidade à medida que as medidas de implementação são finalizadas. > [accordion] Posso obter documentação de segurança? > > Sim. A lista completa de subcontratantes ulteriores está publicada na [página de Subcontratantes ulteriores](https://didit.me/legal/sub-processors). Para solicitar um DPA ou TOMs, envie um e-mail para [privacy@didit.me](mailto:privacy@didit.me). Para resumos de testes de intrusão (ao abrigo de NDA) e extratos de certificados ISO, contacte o seu representante da Didit ou envie um e-mail para [hello@didit.me](mailto:hello@didit.me). > [accordion] Como são tratados os registos de auditoria? > > Cada chamada de API e ação na Console é registada com carimbos de data/hora, IDs de utilizador e endereços IP. O seu plano define até quando pode consultar os registos de auditoria: 30 dias no Free, 1 ano no Growth, 3 anos no Scale e o definido no seu contrato no Enterprise, com exportação no Scale e Enterprise. Consulte a página de [Registos de auditoria](https://docs.didit.me/pt/console/audit-logs.md) para mais detalhes. *** ## Recursos relacionados > [card] [Certificações e atestações](https://docs.didit.me/pt/getting-started/certifications.md) > > Todas as credenciais detidas pela Didit, com datas e informações sobre como obter cada relatório. > [card] [Guia de conformidade com o AMLR](https://docs.didit.me/pt/getting-started/amlr-compliance.md) > > Mapeie o Regulamento AML da UE para fluxos, endpoints de API e webhooks da Didit. > [card] [Consentimento biométrico](https://docs.didit.me/pt/getting-started/biometric-consent.md) > > O passo de consentimento explícito para Illinois, Texas e Colorado, e como este surge nas decisões. > [card] [Conservação de dados](https://docs.didit.me/pt/console/data-retention.md) > > Configure políticas de conservação e implemente padrões orientados para a privacidade. > [card] [Registos de auditoria](https://docs.didit.me/pt/console/audit-logs.md) > > Monitorize cada ação com registos de auditoria completos. > [card] [Webhooks](https://docs.didit.me/pt/integration/webhooks.md) > > Receba notificações em tempo real para eventos de verificação. > [card] [Autenticação da API](https://docs.didit.me/pt/getting-started/api-authentication.md) > > Gestão segura de chaves de API e autenticação. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.