Безопасность и комплаенс: SOC 2, ISO 27001, GDPR

Didit изначально создавалась с акцентом на безопасность как основополагающий принцип. Каждый уровень платформы — от инфраструктуры до моделей искусственного интеллекта — спроектирован в соответствии с высочайшими международными стандартами информационной безопасности, защиты данных и биометрической точности.

SOC 2Сертификация Type 2

ISOСертификация 27001

GDPRСоответствие

iBetaСертификация Level 1

FSMЗащита несовершеннолетних

AI ActГотовность

«Верификация Didit на основе NFC и активной проверки живости обеспечивает уровень безопасности, эквивалентный очной проверке или превосходящий её». — Официальный отчёт Казначейства Испании (tesoro.es)

После годичного тестирования финансовыми регуляторами Испании — Казначейством Испании (Tesoro Público), подразделением финансовой разведки (SEPBLAC), Банком Испании (Banco de España) и Национальной комиссией по рынку ценных бумаг (CNMV) — Didit была признана единственным поставщиком, чей сценарий с NFC и активной проверкой живости соответствует уровню безопасности очной верификации личности или превосходит его.

SOC 2 Type 2

Service Organization Controls — Type 2. Независимый аудит по критериям AICPA Trust Services подтвердил, что механизмы контроля безопасности, доступности и конфиденциальности Didit эффективно функционировали на протяжении периода наблюдения с 9 марта по 1 июля 2026 года. Выдан в июле 2026 года (Type 1 выдан в апреле 2026 года). Отчёт доступен корпоративным клиентам под NDA.

FSM Jugendschutz geprüft

Немецкая сертификация защиты несовершеннолетних. Немецкая организация саморегулирования в сфере защиты молодежи (FSM) подтвердила, что система верификации возраста Didit надежно формирует закрытую группу пользователей в соответствии с Section 4(2) JMStV, гарантируя доступ к контенту с возрастными ограничениями только совершеннолетним пользователям, прошедшим верификацию.

ISO/IEC 27001

Управление информационной безопасностью. Didit поддерживает сертифицированную систему менеджмента информационной безопасности (ISMS), охватывающую проектирование, разработку и эксплуатацию платформы верификации личности. Выписки из сертификата предоставляются по запросу.

ISO/IEC 27017

Контроль безопасности в облаке. Расширенные облачные механизмы безопасности, дополняющие нашу сертификацию ISO 27001 и гарантирующие надежную защиту облачных сервисов верификации.

ISO/IEC 27018

Защита персональных данных в облаке. Специализированные средства защиты персональных данных (PII) в облачных средах, выходящие за рамки общих требований к защите данных.

Соответствие GDPR

Полное соответствие законодательству ЕС о защите данных. Didit полностью соответствует Общему регламенту по защите данных (GDPR). Мы выступаем в роли обработчика данных - вы остаетесь контролёром данных. Чтобы запросить соглашение об обработке данных (DPA) и технические и организационные меры (TOMs), напишите на privacy@didit.me.

iBeta Level 1 — ISO 30107-3

Обнаружение биометрических атак предъявления. Наша технология проверки живости сертифицирована iBeta на уровне 1 в соответствии со стандартом ISO 30107-3, что гарантирует надежное выявление попыток спуфинга, включая распечатанные фотографии, воспроизведение видео с экрана и 3D-маски.

Готовность к EU AI Act

Соответствие требованиям ответственного использования ИИ. Системы верификации Didit на базе искусственного интеллекта разработаны в строгом соответствии с требованиями Закона ЕС об искусственном интеллекте (EU AI Act) для систем ИИ высокого риска, включая прозрачность, механизмы контроля со стороны человека, управление данными и мониторинг предвзятости.

Совместимость с EBA / MiCA

Удаленный онбординг регуляторного уровня. Независимое юридическое заключение подтверждает, что удаленный онбординг Didit соответствует Руководству EBA по удаленному онбордингу клиентов (EBA/GL/2022/15) и совместим с Единым сводом правил ЕС по борьбе с отмыванием денег (AML Single Rulebook) и регламентом MiCA.

Посмотреть все сертификации

Полный и актуальный список — SOC 2 Type 2 и Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, аттестация испанского регулятора, EBA/MiCA и GDPR — с указанием дат и способов получения каждого отчёта. Мы регулярно расширяем этот список; если вам требуется определённая сертификация, закажите демо и сообщите нам.

Тип сигнала	Возможности
Дипфейки	+20 собственных моделей ИИ, разработанных специально для эпохи генеративного ИИ. Проверка живости →
Инъекционные атаки	Предотвращение вмешательства в видеопоток камеры: обнаружение повторного воспроизведения и инъекций видео. Проверка живости →
Подделка документов	Обнаружение голограмм, перепечаток, скриншотов и цифровых изменений. Верификация личности →
Синтетические идентификаторы	Сверка с официальными государственными базами данных по всему миру. Проверка по базам данных →
Поведенческие сигналы	Анализ устройства и IP, цифровые отпечатки устройств и обнаружение повторного воспроизведения. Анализ устройства и IP →
Поиск по лицу 1:N	Обнаружение дубликатов и мультиаккаунтов среди всех верифицированных пользователей. Поиск по лицу →

Наша команда экспертов по борьбе с мошенничеством реагирует на новые векторы атак за считаные часы, а не кварталы. Модели и правила обновляются непрерывно по мере изменения ландшафта угроз.

Верификация личности с использованием биометрии классифицируется как система высокого риска в рамках EU AI Act. Didit заблаговременно выполняет эти требования:

Требование	Как Didit обеспечивает соответствие
Управление рисками	Непрерывная оценка рисков для всех моделей ИИ с документированными стратегиями их снижения.
Управление данными	Обучающие данные отбираются по критериям качества, релевантности и репрезентативности. Тестирование на предвзятость по демографическим группам.
Прозрачность	Чёткая документация возможностей и ограничений ИИ. Пользователи информируются, когда ИИ обрабатывает их данные.
Контроль со стороны человека	Сценарии ручной проверки позволяют операторам изменять или отменять решения ИИ на любом этапе.
Точность и надежность	Проверка живости, сертифицированная iBeta. Регулярная оценка моделей на устойчивость к состязательным атакам (дипфейки, инъекции, повторы).
Ведение записей	Ведение подробных журналов аудита и записей сессий для регуляторных проверок.
Недискриминация	Мониторинг и тестирование на предвзятость по возрасту, полу, этнической принадлежности и типам документов для обеспечения равного отношения.

Didit постоянно обновляет меры соответствия по мере финализации положений о реализации EU AI Act. Обратитесь к представителю Didit за актуальной документацией о готовности к AI Act.

Didit выступает в качестве обработчика данных — вы остаетесь контролером данных. Платформа изначально спроектирована так, чтобы обеспечивать соответствие GDPR и местным режимам защиты данных «из коробки».

Аспект	Детали
Роль обработчика	Didit обрабатывает персональные данные строго от вашего имени и по вашим указаниям.
Регион обработки	По умолчанию ЕС (AWS). Клиенты тарифа Enterprise могут включить обработку внутри страны.
Минимизация данных	Практики обработки с последующим удалением позволяют хранить только те поля, которые требуются вашей компании.
Переносимость данных	Экспорт данных сессий через Console или API в любое время.
Право на удаление	Удаление отдельных сессий по запросу через Console или с помощью API Delete Session. Передайте `deletion_instruction: "privacy_erasure"`, чтобы также удалить любой сохранённый биометрический шаблон этого человека.
Биометрические шаблоны	Эмбеддинги лица по умолчанию удаляются вместе с сессией. Приложение может настроить сохранение биометрического шаблона без изображений для обнаружения дубликатов; он по-прежнему относится к биометрическим данным, имеет ограниченный срок действия и удаляется при удалении пользователя, удалении в рамках запроса на удаление персональных данных, истечении срока действия или явной очистке. См. Биометрические шаблоны.
Управление хранением данных	Настройте хранение данных от 1 месяца до 10 лет в Console → App Settings → Data retention.

Обязанности клиента в сценариях верификации

Когда вы используете Didit в собственных процессах онбординга, аутентификации или верификации, вы остаётесь ответственными за обязанности контролёра по предоставлению уведомлений и правовое основание для этого сценария.

Требование	Что необходимо сделать
Сообщите пользователю, кто участвует в процессе	Чётко укажите, что запрос на верификацию исходит от вашей компании, а Didit выступает в качестве поставщика услуг верификации / обработчика данных, обеспечивающего работу сценария.
Отобразите ваше уведомление о конфиденциальности	Разместите ссылку на собственное уведомление о конфиденциальности или аналогичный документ до того, как пользователь начнёт верификацию.
Укажите ссылки на юридические документы Didit	Разместите ссылки на Уведомление о конфиденциальности при верификации Didit, Условия верификации личности для конечных пользователей и любые другие политики Didit, требуемые вашими юристами.
Получайте явное согласие там, где это требуется	Если ваш сценарий собирает документы, селфи, видео проверки живости или биометрию, используйте неотмеченный чекбокс или другой явный элемент управления везде, где применимое законодательство требует явного согласия. Для пользователей, подпадающих под действие законов Иллинойса, Техаса или Колорадо, размещённый сценарий и нативный SDK 4.10.0 или новее могут отображать шаг согласия на обработку биометрических данных Didit перед съёмкой селфи; нативные SDK ниже версии 4.10.0 не поддерживают эту возможность.
Корректно настраивайте White label и собственный интерфейс	Если вы используете собственный домен, сценарий White label или интерфейс на базе API, вы должны отображать эти уведомления в собственном продукте, поскольку один лишь брендинг не раскрывает роль Didit.
Ведите собственный учёт	Если вашей юридической службе требуется подтверждение уведомления или согласия, сохраняйте версию текста, отметку времени и связанные метаданные в собственных системах.

Didit предоставляет инфраструктуру для верификации, но не определяет, соответствует ли ваш конкретный сценарий взаимодействия с пользователем требованиям законодательства о согласии, раскрытии информации или защите биометрических данных, применимым к вашему бизнесу. Перед запуском в продакшн проконсультируйтесь с юристом по поводу вашей реализации.

Субобработчики Didit перечислены на странице субобработчиков. Чтобы запросить DPA или TOMs, напишите на privacy@didit.me. Для получения других аттестаций соответствия обратитесь к вашему представителю Didit или напишите на hello@didit.me.

Часто задаваемые вопросы по безопасности

Какие сертификаты есть у Didit?

Didit имеет сертификат SOC 2 Type 2 (июль 2026 года, охватывающий период наблюдения с 9 марта по 1 июля 2026 года; Type 1 выдан в апреле 2026 года), сертификат ISO 27001 по управлению информационной безопасностью, сертификаты ISO 27017 и ISO 27018 по облачной безопасности и конфиденциальности, полностью соответствует GDPR, сертифицирован по стандарту iBeta Level 1 (ISO 30107-3) для обнаружения атак предъявления биометрии и имеет статус FSM Jugendschutz geprüft в Германии для проверки возраста в соответствии с разделом 4(2) JMStV. Didit также является единственным провайдером, признанным финансовыми регуляторами Испании (Tesoro, Banco de España, SEPBLAC, CNMV) как решение, по меньшей мере столь же безопасное, как и очная верификация, и имеет независимое юридическое заключение, подтверждающее совместимость с требованиями EBA/MiCA. Полный список доступен на странице сертификатов. Мы регулярно расширяем этот список — если вам требуется определённый сертификат, запишитесь на демо и сообщите нам.

Шифруются ли мои данные?

Да. Все данные шифруются при передаче с помощью TLS 1.3 и при хранении с использованием шифрования AES-256. Мы применяем стандартные отраслевые криптографические протоколы на всех уровнях нашей инфраструктуры.

Где хранятся и обрабатываются данные?

По умолчанию все данные обрабатываются и хранятся в ЕС на инфраструктуре AWS. Корпоративные клиенты могут запросить обработку внутри страны с опциями локализации данных при наличии технической возможности.

Как настроить срок хранения данных?

Перейдите в Business Console → App Settings → Data retention, чтобы задать период хранения (от 1 месяца до 10 лет). Вы также можете удалять сессии по запросу через консоль или с помощью Delete Session API. Подробности смотрите на странице Хранение данных.

Могу ли я удалить данные верификации?

Да. Вы можете удалять отдельные сессии через консоль или программно через Delete Session API. Для максимальной минимизации данных используйте паттерн немедленной очистки («process-and-purge»), удаляя каждую сессию сразу после получения результатов через webhook.

Удаляются ли биометрические данные при удалении сессии?

По умолчанию да: фотография лица, видео проверки живости и эмбеддинг лица, используемый для обнаружения дубликатов, удаляются вместе с сессией. Если в вашем приложении включено сохранение биометрических шаблонов, Didit после обычного удаления сессии сохраняет один биометрический шаблон лица без изображения, привязанный к пользователю. Этот шаблон остаётся биометрическими данными, используется исключительно для обнаружения дубликатов в рамках вашей организации, имеет ограниченный срок действия и удаляется при удалении пользователя, запросе на удаление данных в целях защиты конфиденциальности, по истечении срока действия или при явном удалении через Biometric Templates API. Записи списка блокировки лиц, которыми вы управляете, хранятся отдельно и остаются до тех пор, пока вы их не удалите.

Как обрабатываются инциденты безопасности?

У нас действует задокументированный план реагирования на инциденты с определёнными уровнями критичности, процедурами эскалации и протоколами связи. Если нарушение безопасности персональных данных затрагивает ваши данные, мы уведомим вас в течение 48 часов с момента его подтверждения, чтобы вы могли выполнить свои обязательства в соответствии с GDPR и применимым законодательством.

Соответствует ли Didit закону EU AI Act?

Didit заблаговременно приводит свои процессы в соответствие с требованиями EU AI Act для высокорисковых систем ИИ, включая управление рисками, управление данными, прозрачность, контроль со стороны человека, тестирование точности и защиту от дискриминации. Мы постоянно обновляем статус соответствия по мере принятия окончательных мер по реализации.

Могу ли я получить документацию по безопасности?

Да. Полный список субобработчиков опубликован на странице субобработчиков. Чтобы запросить DPA или TOMs, напишите нам на privacy@didit.me. Для получения отчётов о тестах на проникновение (под NDA) и выписок из сертификатов ISO свяжитесь с вашим представителем Didit или отправьте письмо на hello@didit.me.

Как устроена работа с журналами аудита?

Каждый вызов API и действие в консоли регистрируются с указанием меток времени, идентификаторов пользователей и IP-адресов. Ваш тариф определяет, насколько давние журналы аудита вы можете просматривать: 30 дней на тарифе Free, 1 год на Growth, 3 года на Scale и согласно условиям контракта на Enterprise; экспорт доступен на тарифах Scale и Enterprise. Подробности смотрите на странице Журналы аудита.

Связанные ресурсы

Сертификаты и аттестации

Все документы и подтверждения Didit с датами и инструкцией по получению каждого отчёта.

Руководство по соответствию AMLR

Сопоставление требований Регламента ЕС о противодействии отмыванию денег со сценариями, endpoint’ами и webhook’ами Didit.

Согласие на обработку биометрии

Шаг получения явного согласия для Иллинойса, Техаса и Колорадо, а также его отображение в решениях.

Хранение данных

Настройка политик хранения данных и реализация подходов, ориентированных на конфиденциальность.

Журналы аудита

Отслеживание каждого действия с помощью полных журналов аудита.

Webhook

Получение уведомлений в реальном времени о событиях верификации.

Аутентификация в API

Безопасное управление API-ключами и аутентификация.

Обзор

Цены

Сценарии и верификация

Проверка и операции

Сущности (пользователи и компании)

Настройки и кастомизация