> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# Безопасность и комплаенс: SOC 2, ISO 27001, GDPR

> Безопасность и комплаенс Didit: SOC 2 Type 2, ISO 27001, GDPR, iBeta Level 1, соответствие EU AI Act, проверка Минфином Испании и SEPBLAC.

Didit изначально создавалась с акцентом на безопасность как основополагающий принцип. Каждый уровень платформы — от инфраструктуры до моделей искусственного интеллекта — спроектирован в соответствии с высочайшими международными стандартами информационной безопасности, защиты данных и биометрической точности.

SOC 2
Сертификация Type 2

ISO
Сертификация 27001

GDPR
Соответствие

iBeta
Сертификация Level 1

FSM
Защита несовершеннолетних

AI Act
Готовность

***

Подтверждено государственными органами

## Безопаснее, чем очная проверка

Подтверждено Казначейством Испании, SEPBLAC и CNMV — первый и единственный провайдер, получивший такое признание.

> [!NOTE]
>
> **«Верификация Didit на основе NFC и активной проверки живости обеспечивает уровень безопасности, эквивалентный очной проверке или превосходящий её».**
> — Официальный отчёт Казначейства Испании ([tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf))

После годичного тестирования финансовыми регуляторами Испании — Казначейством Испании (Tesoro Público), подразделением финансовой разведки (SEPBLAC), Банком Испании (Banco de España) и Национальной комиссией по рынку ценных бумаг (CNMV) — Didit была признана единственным поставщиком, чей сценарий с NFC и активной проверкой живости соответствует уровню безопасности очной верификации личности или превосходит его.

### Единственный провайдер с таким подтверждением

Первый и единственный вендор, успешно прошедший годичное тестирование финансовыми регуляторами Испании. Независимое, состязательное тестирование с воспроизводимыми результатами.

### 200+ сигналов за верификацию

Биометрические данные, параметры документов, поведенческие сигналы и проверки по базам данных сопоставляются в реальном времени в каждой сессии.

### Подключение к государственным источникам данных

Интегрированы по отдельности с авторитетными государственными базами данных по всему миру для подтверждения личности по эталонным записям из первоисточников.

### Глобальные лицензии и соответствие стандартам

Сертификаты SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018, соответствие GDPR, iBeta Level 1 (ISO 30107-3) и сертификация защиты молодежи FSM. Наличие лицензий и соблюдение требований во всех странах присутствия.

***

Сертификации

## Сертифицировано для доверия корпоративного уровня

Наша платформа отвечает строжайшим международным стандартам информационной безопасности, защиты данных и биометрической точности.

> [card] SOC 2 Type 2
>
> **Service Organization Controls — Type 2.** Независимый аудит по критериям AICPA Trust Services подтвердил, что механизмы контроля безопасности, доступности и конфиденциальности Didit **эффективно функционировали на протяжении периода наблюдения с 9 марта по 1 июля 2026 года**. Выдан в июле 2026 года (Type 1 выдан в апреле 2026 года). Отчёт доступен корпоративным клиентам под NDA.

> [card] FSM Jugendschutz geprüft
>
> **Немецкая сертификация защиты несовершеннолетних.** Немецкая организация саморегулирования в сфере защиты молодежи (FSM) подтвердила, что система верификации возраста Didit надежно формирует закрытую группу пользователей в соответствии с **Section 4(2) JMStV**, гарантируя доступ к контенту с возрастными ограничениями только совершеннолетним пользователям, прошедшим верификацию.

> [card] ISO/IEC 27001
>
> **Управление информационной безопасностью.** Didit поддерживает сертифицированную систему менеджмента информационной безопасности (ISMS), охватывающую проектирование, разработку и эксплуатацию платформы верификации личности. Выписки из сертификата предоставляются по запросу.

> [card] ISO/IEC 27017
>
> **Контроль безопасности в облаке.** Расширенные облачные механизмы безопасности, дополняющие нашу сертификацию ISO 27001 и гарантирующие надежную защиту облачных сервисов верификации.

> [card] ISO/IEC 27018
>
> **Защита персональных данных в облаке.** Специализированные средства защиты персональных данных (PII) в облачных средах, выходящие за рамки общих требований к защите данных.

> [card] Соответствие GDPR
>
> **Полное соответствие законодательству ЕС о защите данных.** Didit полностью соответствует Общему регламенту по защите данных (GDPR). Мы выступаем в роли обработчика данных - вы остаетесь контролёром данных. Чтобы запросить соглашение об обработке данных (DPA) и технические и организационные меры (TOMs), напишите на [privacy@didit.me](mailto:privacy@didit.me).

> [card] iBeta Level 1 — ISO 30107-3
>
> **Обнаружение биометрических атак предъявления.** Наша технология проверки живости сертифицирована iBeta на уровне 1 в соответствии со стандартом ISO 30107-3, что гарантирует надежное выявление попыток спуфинга, включая распечатанные фотографии, воспроизведение видео с экрана и 3D-маски.

> [card] Готовность к EU AI Act
>
> **Соответствие требованиям ответственного использования ИИ.** Системы верификации Didit на базе искусственного интеллекта разработаны в строгом соответствии с требованиями Закона ЕС об искусственном интеллекте (EU AI Act) для систем ИИ высокого риска, включая прозрачность, механизмы контроля со стороны человека, управление данными и мониторинг предвзятости.

> [card] Совместимость с EBA / MiCA
>
> **Удаленный онбординг регуляторного уровня.** Независимое юридическое заключение подтверждает, что удаленный онбординг Didit соответствует Руководству EBA по удаленному онбордингу клиентов (EBA/GL/2022/15) и совместим с Единым сводом правил ЕС по борьбе с отмыванием денег (AML Single Rulebook) и регламентом MiCA.

> [card] [Посмотреть все сертификации](https://docs.didit.me/ru/getting-started/certifications.md)
>
> Полный и актуальный список — SOC 2 Type 2 и Type 1, ISO 27001/27017/27018, iBeta Level 1, FSM, аттестация испанского регулятора, EBA/MiCA и GDPR — с указанием дат и способов получения каждого отчёта. Мы регулярно расширяем этот список; если вам требуется определённая сертификация, [закажите демо](https://didit.me/get-a-demo/) и сообщите нам.

***

Инфраструктура безопасности

## Как мы защищаем ваши данные

### Сквозное шифрование

Все данные шифруются при передаче (TLS 1.3) и в состоянии покоя (AES-256). Стандартные криптографические протоколы защищают конфиденциальную информацию на каждом этапе.

### Ролевое управление доступом

Детализированные разрешения и ролевой доступ гарантируют, что доступ к данным верификации и системным настройкам получает только авторизованный персонал.

### Полные журналы аудита

Каждое действие фиксируется с отметкой времени, идентификатором пользователя и адресом. Ваш тариф определяет, насколько далеко назад вы можете просматривать журналы аудита: 30 дней на тарифе Free, 1 год на Growth, 3 года на Scale и согласно условиям контракта на Enterprise, с возможностью экспорта на Scale и Enterprise.

### Круглосуточный мониторинг безопасности

Непрерывный мониторинг и автоматическое обнаружение угроз во всей нашей инфраструктуре с мгновенными оповещениями о подозрительной активности.

### Инфраструктура в ЕС

Данные по умолчанию обрабатываются и хранятся на серверах AWS в пределах Европейского союза. Корпоративным клиентам доступна обработка внутри конкретной страны с локализацией данных.

### Настраиваемое хранение данных

Задавайте политики хранения от 1 месяца до 10 лет или удаляйте сессии по запросу через API. Поддерживаются сценарии обработки с последующей очисткой данных для минимизации объёма хранимых данных. Любой биометрический шаблон, который вы решите сохранить после удаления сессии, имеет собственный ограниченный срок действия.

***

Сигналы мошенничества

## 200+ сигналов, цикл борьбы с мошенничеством в реальном времени

Полностью интегрированный цикл борьбы с мошенничеством: обнаружение, анализ и устранение в реальном времени. Каждая верификация оценивается по 200+ сигналам из биометрических, документарных, поведенческих источников и баз данных.

| Тип сигнала | Возможности |
| - | - |
| **Дипфейки** | +20 собственных моделей ИИ, разработанных специально для эпохи генеративного ИИ. [Проверка живости →](https://docs.didit.me/ru/core-technology/liveness/overview.md) |
| **Инъекционные атаки** | Предотвращение вмешательства в видеопоток камеры: обнаружение повторного воспроизведения и инъекций видео. [Проверка живости →](https://docs.didit.me/ru/core-technology/liveness/overview.md) |
| **Подделка документов** | Обнаружение голограмм, перепечаток, скриншотов и цифровых изменений. [Верификация личности →](https://docs.didit.me/ru/core-technology/id-verification/overview.md) |
| **Синтетические идентификаторы** | Сверка с официальными государственными базами данных по всему миру. [Проверка по базам данных →](https://docs.didit.me/ru/core-technology/database-validation/overview.md) |
| **Поведенческие сигналы** | Анализ устройства и IP, цифровые отпечатки устройств и обнаружение повторного воспроизведения. [Анализ устройства и IP →](https://docs.didit.me/ru/core-technology/ip-analysis/overview.md) |
| **Поиск по лицу 1:N** | Обнаружение дубликатов и мультиаккаунтов среди всех верифицированных пользователей. [Поиск по лицу →](https://docs.didit.me/ru/core-technology/face-search/overview.md) |

> [!TIP]
>
> Наша команда экспертов по борьбе с мошенничеством реагирует на новые векторы атак за считаные часы, а не кварталы. Модели и правила обновляются непрерывно по мере изменения ландшафта угроз.

***

Соответствие AI Act

## Ответственный ИИ — по замыслу

Как платформа идентификации, изначально созданная на основе ИИ, Didit со всей серьезностью относится к EU AI Act. Наши системы созданы с учетом требований к ИИ-системам высокого риска.

Верификация личности с использованием биометрии классифицируется как система **высокого риска** в рамках EU AI Act. Didit заблаговременно выполняет эти требования:

| Требование | Как Didit обеспечивает соответствие |
| - | - |
| **Управление рисками** | Непрерывная оценка рисков для всех моделей ИИ с документированными стратегиями их снижения. |
| **Управление данными** | Обучающие данные отбираются по критериям качества, релевантности и репрезентативности. Тестирование на предвзятость по демографическим группам. |
| **Прозрачность** | Чёткая документация возможностей и ограничений ИИ. Пользователи информируются, когда ИИ обрабатывает их данные. |
| **Контроль со стороны человека** | Сценарии ручной проверки позволяют операторам изменять или отменять решения ИИ на любом этапе. |
| **Точность и надежность** | Проверка живости, сертифицированная iBeta. Регулярная оценка моделей на устойчивость к состязательным атакам (дипфейки, инъекции, повторы). |
| **Ведение записей** | Ведение подробных журналов аудита и записей сессий для регуляторных проверок. |
| **Недискриминация** | Мониторинг и тестирование на предвзятость по возрасту, полу, этнической принадлежности и типам документов для обеспечения равного отношения. |

> [!NOTE]
>
> Didit постоянно обновляет меры соответствия по мере финализации положений о реализации EU AI Act. Обратитесь к представителю Didit за актуальной документацией о готовности к AI Act.

***

Защита данных

## Ваш партнер по защите данных

Didit выступает в качестве **обработчика данных** — вы остаетесь **контролером данных**. Платформа изначально спроектирована так, чтобы обеспечивать соответствие GDPR и местным режимам защиты данных «из коробки».

| Аспект | Детали |
| - | - |
| **Роль обработчика** | Didit обрабатывает персональные данные строго от вашего имени и по вашим указаниям. |
| **Регион обработки** | По умолчанию ЕС (AWS). Клиенты тарифа Enterprise могут включить обработку внутри страны. |
| **Минимизация данных** | Практики обработки с последующим удалением позволяют хранить только те поля, которые требуются вашей компании. |
| **Переносимость данных** | Экспорт данных сессий через Console или API в любое время. |
| **Право на удаление** | Удаление отдельных сессий по запросу через Console или с помощью API [Delete Session](https://docs.didit.me/ru/sessions-api/delete-session.md). Передайте `deletion_instruction: "privacy_erasure"`, чтобы также удалить любой сохранённый биометрический шаблон этого человека. |
| **Биометрические шаблоны** | Эмбеддинги лица по умолчанию удаляются вместе с сессией. Приложение может настроить сохранение биометрического шаблона без изображений для обнаружения дубликатов; он по-прежнему относится к биометрическим данным, имеет ограниченный срок действия и удаляется при удалении пользователя, удалении в рамках запроса на удаление персональных данных, истечении срока действия или явной очистке. См. [Биометрические шаблоны](https://docs.didit.me/ru/management-api/biometric-templates/overview.md). |
| **Управление хранением данных** | Настройте хранение данных от 1 месяца до 10 лет в **Console → App Settings → Data retention**. |

## Обязанности клиента в сценариях верификации

Когда вы используете Didit в собственных процессах онбординга, аутентификации или верификации, вы остаётесь ответственными за **обязанности контролёра по предоставлению уведомлений и правовое основание** для этого сценария.

| Требование | Что необходимо сделать |
| - | - |
| **Сообщите пользователю, кто участвует в процессе** | Чётко укажите, что запрос на верификацию исходит от вашей компании, а Didit выступает в качестве поставщика услуг верификации / обработчика данных, обеспечивающего работу сценария. |
| **Отобразите ваше уведомление о конфиденциальности** | Разместите ссылку на собственное уведомление о конфиденциальности или аналогичный документ до того, как пользователь начнёт верификацию. |
| **Укажите ссылки на юридические документы Didit** | Разместите ссылки на [Уведомление о конфиденциальности при верификации](https://didit.me/terms/verification-privacy-notice) Didit, [Условия верификации личности для конечных пользователей](https://didit.me/terms/identity-verification) и любые другие политики Didit, требуемые вашими юристами. |
| **Получайте явное согласие там, где это требуется** | Если ваш сценарий собирает документы, селфи, видео проверки живости или биометрию, используйте неотмеченный чекбокс или другой явный элемент управления везде, где применимое законодательство требует явного согласия. Для пользователей, подпадающих под действие законов Иллинойса, Техаса или Колорадо, размещённый сценарий и нативный SDK 4.10.0 или новее могут отображать [шаг согласия на обработку биометрических данных](https://docs.didit.me/ru/getting-started/biometric-consent.md) Didit перед съёмкой селфи; нативные SDK ниже версии 4.10.0 не поддерживают эту возможность. |
| **Корректно настраивайте White label и собственный интерфейс** | Если вы используете собственный домен, сценарий White label или интерфейс на базе API, вы должны отображать эти уведомления в собственном продукте, поскольку один лишь брендинг не раскрывает роль Didit. |
| **Ведите собственный учёт** | Если вашей юридической службе требуется подтверждение уведомления или согласия, сохраняйте версию текста, отметку времени и связанные метаданные в собственных системах. |

> [!WARNING]
>
> Didit предоставляет инфраструктуру для верификации, но не определяет, соответствует ли ваш конкретный сценарий взаимодействия с пользователем требованиям законодательства о согласии, раскрытии информации или защите биометрических данных, применимым к вашему бизнесу. Перед запуском в продакшн проконсультируйтесь с юристом по поводу вашей реализации.

> [!NOTE]
>
> Субобработчики Didit перечислены на [странице субобработчиков](https://didit.me/legal/sub-processors). Чтобы запросить DPA или TOMs, напишите на [privacy@didit.me](mailto:privacy@didit.me). Для получения других аттестаций соответствия обратитесь к вашему представителю Didit или напишите на [hello@didit.me](mailto:hello@didit.me).

***

Операционная безопасность

## Непрерывная защита

### Тестирование на проникновение

Периодическое тестирование на проникновение сторонними организациями с отслеживанием устранения выявленных проблем. Отчёты доступны корпоративным клиентам в рамках NDA.

### Отсутствие известных нарушений безопасности

На сегодняшний день о нарушениях безопасности не сообщалось. Процедуры реагирования на инциденты протестированы и задокументированы.

### Собственная команда безопасности

Выделенная команда кибербезопасности с доступом по принципу наименьших привилегий и строгим разделением сред во всех системах.

### Безопасность API-ключей

Раздельные API-ключи для песочницы (Sandbox) и продакшна (Live). Ключи можно сменить в любое время через Business Console.

***

## Часто задаваемые вопросы по безопасности

> [accordion] Какие сертификаты есть у Didit?
>
> Didit имеет **сертификат SOC 2 Type 2** (июль 2026 года, охватывающий период наблюдения с 9 марта по 1 июля 2026 года; Type 1 выдан в апреле 2026 года), сертификат ISO 27001 по управлению информационной безопасностью, сертификаты ISO 27017 и ISO 27018 по облачной безопасности и конфиденциальности, полностью соответствует GDPR, сертифицирован по стандарту iBeta Level 1 (ISO 30107-3) для обнаружения атак предъявления биометрии и имеет статус **FSM Jugendschutz geprüft** в Германии для проверки возраста в соответствии с разделом 4(2) JMStV. Didit также является единственным провайдером, признанным финансовыми регуляторами Испании (Tesoro, Banco de España, SEPBLAC, CNMV) как решение, по меньшей мере столь же безопасное, как и очная верификация, и имеет независимое юридическое заключение, подтверждающее совместимость с требованиями EBA/MiCA. Полный список доступен на [странице сертификатов](https://docs.didit.me/ru/getting-started/certifications.md). Мы регулярно расширяем этот список — если вам требуется определённый сертификат, [запишитесь на демо](https://didit.me/get-a-demo/) и сообщите нам.

> [accordion] Шифруются ли мои данные?
>
> Да. Все данные шифруются при передаче с помощью TLS 1.3 и при хранении с использованием шифрования AES-256. Мы применяем стандартные отраслевые криптографические протоколы на всех уровнях нашей инфраструктуры.

> [accordion] Где хранятся и обрабатываются данные?
>
> По умолчанию все данные обрабатываются и хранятся в ЕС на инфраструктуре AWS. Корпоративные клиенты могут запросить обработку внутри страны с опциями локализации данных при наличии технической возможности.

> [accordion] Как настроить срок хранения данных?
>
> Перейдите в **Business Console → App Settings → Data retention**, чтобы задать период хранения (от 1 месяца до 10 лет). Вы также можете удалять сессии по запросу через консоль или с помощью [Delete Session API](https://docs.didit.me/ru/sessions-api/delete-session.md). Подробности смотрите на странице [Хранение данных](https://docs.didit.me/ru/console/data-retention.md).

> [accordion] Могу ли я удалить данные верификации?
>
> Да. Вы можете удалять отдельные сессии через консоль или программно через [Delete Session API](https://docs.didit.me/ru/sessions-api/delete-session.md). Для максимальной минимизации данных используйте паттерн немедленной очистки («process-and-purge»), удаляя каждую сессию сразу после получения результатов через webhook.

> [accordion] Удаляются ли биометрические данные при удалении сессии?
>
> По умолчанию да: фотография лица, видео проверки живости и эмбеддинг лица, используемый для обнаружения дубликатов, удаляются вместе с сессией. Если в вашем приложении включено [сохранение биометрических шаблонов](https://docs.didit.me/ru/console/data-retention.md#хранение-биометрических-шаблонов), Didit после обычного удаления сессии сохраняет один биометрический шаблон лица без изображения, привязанный к пользователю. Этот шаблон остаётся биометрическими данными, используется исключительно для обнаружения дубликатов в рамках вашей организации, имеет ограниченный срок действия и удаляется при удалении пользователя, запросе на удаление данных в целях защиты конфиденциальности, по истечении срока действия или при явном удалении через [Biometric Templates API](https://docs.didit.me/ru/management-api/biometric-templates/overview.md). Записи списка блокировки лиц, которыми вы управляете, хранятся отдельно и остаются до тех пор, пока вы их не удалите.

> [accordion] Как обрабатываются инциденты безопасности?
>
> У нас действует задокументированный план реагирования на инциденты с определёнными уровнями критичности, процедурами эскалации и протоколами связи. Если нарушение безопасности персональных данных затрагивает ваши данные, мы уведомим вас в течение 48 часов с момента его подтверждения, чтобы вы могли выполнить свои обязательства в соответствии с GDPR и применимым законодательством.

> [accordion] Соответствует ли Didit закону EU AI Act?
>
> Didit заблаговременно приводит свои процессы в соответствие с требованиями EU AI Act для высокорисковых систем ИИ, включая управление рисками, управление данными, прозрачность, контроль со стороны человека, тестирование точности и защиту от дискриминации. Мы постоянно обновляем статус соответствия по мере принятия окончательных мер по реализации.

> [accordion] Могу ли я получить документацию по безопасности?
>
> Да. Полный список субобработчиков опубликован на [странице субобработчиков](https://didit.me/legal/sub-processors). Чтобы запросить DPA или TOMs, напишите нам на [privacy@didit.me](mailto:privacy@didit.me). Для получения отчётов о тестах на проникновение (под NDA) и выписок из сертификатов ISO свяжитесь с вашим представителем Didit или отправьте письмо на [hello@didit.me](mailto:hello@didit.me).

> [accordion] Как устроена работа с журналами аудита?
>
> Каждый вызов API и действие в консоли регистрируются с указанием меток времени, идентификаторов пользователей и IP-адресов. Ваш тариф определяет, насколько давние журналы аудита вы можете просматривать: 30 дней на тарифе Free, 1 год на Growth, 3 года на Scale и согласно условиям контракта на Enterprise; экспорт доступен на тарифах Scale и Enterprise. Подробности смотрите на странице [Журналы аудита](https://docs.didit.me/ru/console/audit-logs.md).

***

## Связанные ресурсы

> [card] [Сертификаты и аттестации](https://docs.didit.me/ru/getting-started/certifications.md)
>
> Все документы и подтверждения Didit с датами и инструкцией по получению каждого отчёта.

> [card] [Руководство по соответствию AMLR](https://docs.didit.me/ru/getting-started/amlr-compliance.md)
>
> Сопоставление требований Регламента ЕС о противодействии отмыванию денег со сценариями, endpoint'ами и webhook'ами Didit.

> [card] [Согласие на обработку биометрии](https://docs.didit.me/ru/getting-started/biometric-consent.md)
>
> Шаг получения явного согласия для Иллинойса, Техаса и Колорадо, а также его отображение в решениях.

> [card] [Хранение данных](https://docs.didit.me/ru/console/data-retention.md)
>
> Настройка политик хранения данных и реализация подходов, ориентированных на конфиденциальность.

> [card] [Журналы аудита](https://docs.didit.me/ru/console/audit-logs.md)
>
> Отслеживание каждого действия с помощью полных журналов аудита.

> [card] [Webhook](https://docs.didit.me/ru/integration/webhooks.md)
>
> Получение уведомлений в реальном времени о событиях верификации.

> [card] [Аутентификация в API](https://docs.didit.me/ru/getting-started/api-authentication.md)
>
> Безопасное управление API-ключами и аутентификация.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.