> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Didit 安全与合规：SOC 2、ISO 27001、GDPR > Didit 的安全与合规概况：SOC 2 Type 2、ISO 27001、GDPR、iBeta Level 1、FSM，已为欧盟AI法案做好准备，并经西班牙财政部与 SEPBLAC 验证。 Didit 从一开始就将安全作为首要原则。平台的每一层，从基础设施到 AI 模型，都旨在满足信息安全、数据隐私和生物识别准确性方面的最高国际标准。 SOC 2 Type 2 认证 ISO 27001 认证 GDPR 合规 iBeta Level 1 认证 FSM 青少年保护 AI Act 就绪 *** 经政府验证 ## 比线下验证更安全 经西班牙财政部、SEPBLAC 和 CNMV 验证，是首个也是唯一获得此项验证的服务商。 > [!NOTE] > > **“Didit 的 NFC + 主动活体检测验证所提供的安全性，等同于或优于线下验证。”** > 西班牙财政部官方报告（[tesoro.es](https://www.tesoro.es/documents/d/tesoro/informe-conclusiones-didit-pdf)） 经过西班牙金融监管机构历时一年的测试——测试机构包括西班牙财政部（Tesoro Público）、SEPBLAC（金融情报机构）、西班牙银行（Banco de España）以及 CNMV（证券与市场委员会）——Didit 被认定为唯一一家其 NFC + 主动活体检测流程达到或超过线下身份验证安全水平的服务商。 ### 唯一获得此项验证的服务商 Didit 是西班牙首个也是唯一通过为期一年金融监管测试的服务商。测试独立、具有对抗性且可重复进行。 ### 每次验证 200+ 项信号 每次会话中，生物识别、证件、行为和数据库信号都会实时交叉核验。 ### 对接政府数据源 与全球权威政府数据库逐一集成，根据权威源记录核对身份。 ### 全球许可与合规 已通过 SOC 2 Type 2 认证、ISO 27001、ISO 27017、ISO 27018、GDPR、iBeta Level 1（ISO 30107-3）以及 FSM 青少年保护认证。我们在所有运营国家均持有相应许可并符合当地合规要求。 *** 认证 ## 获得企业级信任认证 我们的平台满足信息安全、数据隐私和生物识别准确性方面的最高国际标准。 > [card] SOC 2 Type 2 > > **服务机构控制：Type 2。** 一项依据 AICPA 信任服务标准进行的独立审计确认，Didit 的安全性、可用性和保密性控制措施在 **2026年3月9日至7月1日的观察期内有效运行**。报告于 2026 年 7 月出具（Type 1 报告于 2026 年 4 月出具）。企业客户签署保密协议后可获取报告。 > [card] FSM Jugendschutz 审核通过 > > **德国青少年保护认证。** 德国青少年保护自律机构（FSM）认定，Didit 的年龄验证系统能够可靠地建立 JMStV 第 4(2) 条所规定的封闭用户群，因此只有经过验证的成年人才能访问限制级内容。 > [card] ISO/IEC 27001 > > **信息安全管理。** Didit 维持经认证的信息安全管理体系（ISMS），覆盖身份验证平台的设计、开发和运营。证书摘录可应要求提供。 > [card] ISO/IEC 27017 > > **云安全控制。** 这些扩展的云专用安全控制措施可作为 ISO 27001 认证的补充，为基于云的验证服务提供可靠保护。 > [card] ISO/IEC 27018 > > **云隐私保护。** 专门用于保护云环境中个人身份信息（PII）的控制措施，超出一般数据保护要求。 > [card] GDPR 合规 > > **完全符合欧盟数据保护规定。** Didit 完全符合《通用数据保护条例》。我们作为数据处理者，您仍是数据控制者。如需索取 DPA 和 TOMs，请发送邮件至 [privacy@didit.me](mailto:privacy@didit.me)。 > [card] iBeta Level 1 — ISO 30107-3 > > **生物识别呈现攻击检测。** 我们的活体检测技术已根据 ISO 30107-3 标准获得 iBeta Level 1 认证，可可靠检测欺骗尝试，包括打印照片、屏幕重放和 3D 面具。 > [card] 欧盟 AI 法案就绪 > > **负责任的 AI 合规。** Didit 的 AI 驱动验证系统在设计上符合欧盟 AI 法案对高风险 AI 系统的要求，包括透明度、人工监督机制、数据治理和偏见监测。 > [card] EBA / MiCA 兼容性 > > **远程入驻，达到监管级标准。** 一份独立法律意见书确认，Didit 的远程入驻符合 EBA 远程客户入驻指南（EBA/GL/2022/15），并与欧盟 AML 单一规则手册及 MiCA 兼容。 > [card] [查看全部认证](https://docs.didit.me/zh/getting-started/certifications.md) > > 完整且始终最新的列表，涵盖 SOC 2 Type 2 和 Type 1、ISO 27001/27017/27018、iBeta Level 1、FSM、西班牙监管机构证明、EBA/MiCA 以及 GDPR，并附有各项内容的日期及获取每份报告的方式。我们会不断新增认证。如果您需要某项特定认证，请[预约演示](https://didit.me/get-a-demo/)并告诉我们。 *** 安全基础设施 ## 我们如何保护您的数据 ### 端到端加密 所有数据在传输中采用 TLS 1.3 加密，静态存储时采用 AES-256 加密。行业标准加密协议在每个阶段保护敏感信息。 ### 基于角色的访问控制 精细的权限和基于角色的访问控制，确保只有获得授权的人员才能访问验证数据和系统配置。 ### 完整审计日志 每项操作都会记录时间戳、用户 ID 和地址。您的套餐决定可查询审计日志的时间范围：Free 为 30 天，Growth 为 1 年，Scale 为 3 年，Enterprise 以合同约定为准；Scale 和 Enterprise 支持导出。 ### 24/7 安全监控 持续监控整个基础设施并自动检测威胁，对可疑活动发出实时警报。 ### 位于欧盟的基础设施 数据默认在欧盟的 AWS 服务器上处理和存储。Enterprise 客户可启用境内处理，并使用本地数据驻留选项。 ### 可配置的数据保留 可设置从 1 个月到 10 年的保留策略，也可以通过 API 按需删除会话。支持“处理后即删除”模式，以尽量减少数据留存。您在会话删除后选择保留的任何生物特征模板，都有其自身的有限有效期。 *** 欺诈信号 ## 200+ 项信号，实时欺诈闭环 完全集成的欺诈闭环，实时检测、分析并处置。每次验证都会基于来自生物识别、证件、行为和数据库来源的 200+ 项信号进行评分。 | 信号类型 | 能力 | | - | - | | **深度伪造** | +20 个自主研发的 AI 模型，专为生成式 AI 时代打造。[活体检测 →](https://docs.didit.me/zh/core-technology/liveness/overview.md) | | **注入攻击** | 摄像头视频流篡改防护，可识别重放与视频注入。[活体检测 →](https://docs.didit.me/zh/core-technology/liveness/overview.md) | | **证件伪造** | 可检测全息图、翻拍、截图和数字篡改。[身份证件验证 →](https://docs.didit.me/zh/core-technology/id-verification/overview.md) | | **合成身份** | 与全球权威政府数据库交叉比对。[数据库核验 →](https://docs.didit.me/zh/core-technology/database-validation/overview.md) | | **行为信号** | 设备与 IP 分析、设备指纹识别和重放检测。[设备与 IP 分析 →](https://docs.didit.me/zh/core-technology/ip-analysis/overview.md) | | **人脸搜索 1:N** | 跨所有已验证用户检测重复及多账号情况。[人脸搜索 →](https://docs.didit.me/zh/core-technology/face-search/overview.md) | > [!TIP] > > 我们的欺诈专家团队会在数小时内响应新的攻击向量，而不是按季度响应。模型和规则会随着威胁格局的变化持续更新。 *** AI 法案合规 ## 负责任的 AI，从设计开始 作为原生 AI 身份认证平台，Didit 认真对待欧盟人工智能法案。我们的系统按照高风险 AI 应用的要求构建。 根据欧盟人工智能法案，使用生物识别技术的身份验证被归类为**高风险**。Didit 主动落实这些要求： | 要求 | Didit 的合规方式 | | - | - | | **风险管理** | 对所有 AI 模型进行持续风险评估，并附有书面化的缓解策略。 | | **数据治理** | 训练数据经过质量、相关性和代表性筛选。按人口统计群体进行偏差测试。 | | **透明度** | 清晰记录 AI 的能力与局限。当 AI 处理用户数据时，将告知用户。 | | **人工监督** | 人工审核工作流允许人工操作员随时推翻 AI 决策。 | | **准确性与稳健性** | 经 iBeta 认证的活体检测。定期针对对抗性攻击（深度伪造、注入、重放）评估模型。 | | **记录保存** | 保存完整的审计日志和会话记录，以供监管审查。 | | **非歧视** | 对年龄、性别、种族和证件类型进行偏差监测与测试，确保公平对待。 | > [!NOTE] > > 随着欧盟人工智能法案实施细则的最终确定，Didit 将持续更新其合规状况。如需最新的 AI 法案就绪文档，请联系您的 Didit 代表。 *** 数据保护 ## 您的数据保护合作伙伴 Didit 作为**数据处理者**，您仍是**数据控制者**。该平台旨在开箱即用地支持 GDPR 及当地数据保护制度。 | 方面 | 详情 | | - | - | | **处理者角色** | Didit 严格按照您的委托并依据您的指示处理个人数据。 | | **处理地域** | 默认在欧盟（AWS）处理。企业客户可启用境内处理。 | | **数据最小化** | 处理后即清除的模式，让您只保留业务所需的字段。 | | **数据可携性** | 您可随时通过控制台或 API 导出会话数据。 | | **删除权** | 通过控制台或 [删除会话](https://docs.didit.me/zh/sessions-api/delete-session.md) API 按需删除单个会话。发送 `deletion_instruction: "privacy_erasure"` 还可清除该人员保留的任何生物特征模板。 | | **生物特征模板** | 会话删除时，人脸特征向量默认随之删除。应用可选择保留不含图像的生物特征模板用于重复检测；该模板仍属于生物特征数据，有效期有限，并会在用户删除、隐私擦除、到期或明确清除时被清除。参见 [生物特征模板](https://docs.didit.me/zh/management-api/biometric-templates/overview.md)。 | | **保留控制** | 在 **Console → App Settings → Data retention** 中将保留期限设置为 1 个月至 10 年。 | ## 验证流程中的客户责任 当您在自己的入驻、身份认证或验证体验中使用 Didit 时，您仍需对该流程的**控制方披露和法律依据**承担责任。 | 要求 | 您需要做什么 | | - | - | | **告知用户相关方** | 明确说明是您的公司发起验证请求，而 Didit 是为该流程提供支持的验证服务商/数据处理者。 | | **展示您的隐私声明** | 在用户开始验证之前，链接到您自己的隐私声明或同等披露文件。 | | **链接 Didit 的法律文件** | 链接到 Didit 的 [身份验证隐私声明](https://didit.me/terms/verification-privacy-notice)、[身份验证终端用户条款](https://didit.me/terms/identity-verification)，以及您的法务团队要求的其他任何 Didit 政策。 | | **在法律要求时收集明示同意** | 如果您的流程会采集证件、自拍照、活体视频或生物特征信息，请在适用法律要求明示同意的地方，使用未勾选的复选框或其他肯定性操作控件。对于受伊利诺伊州、德克萨斯州或科罗拉多州法律约束的人员，托管流程以及 4.10.0 或更高版本的原生 SDK 可以在自拍之前展示 Didit 的[生物识别同意步骤](https://docs.didit.me/zh/getting-started/biometric-consent.md)；4.10.0 以下版本的原生 SDK 无法展示。 | | **正确处理白标和自定义 UI** | 如果您使用自定义域名、白标流程或 API 驱动的 UI，您必须在自己的产品中展示这些披露信息，因为仅有品牌标识无法说明 Didit 的角色。 | | **保存您自己的记录** | 如果您的法务团队要求提供告知或同意的证明，请在您自己的系统中存储文本版本、时间戳及相关元数据。 | > [!WARNING] > > Didit 提供验证基础设施，但不负责判定您的具体用户流程是否满足适用于您业务的同意、披露或生物识别相关法律要求。上线前，请与法律顾问一同审查您的实施方案。 > [!NOTE] > > Didit 的子处理者列于[子处理者页面](https://didit.me/legal/sub-processors)。如需申请 DPA 或 TOMs，请发送邮件至 [privacy@didit.me](mailto:privacy@didit.me)。如需其他合规证明，请联系您的 Didit 客户代表，或发送邮件至 [hello@didit.me](mailto:hello@didit.me)。 *** 运营安全 ## 持续防护 ### 渗透测试 定期进行第三方渗透测试，并跟踪整改情况。企业客户可在签署保密协议后获取报告。 ### 无已知安全事件 截至目前，未报告任何安全事件。事件响应流程已经过测试并形成文档。 ### 内部安全团队 设有专职网络安全团队，所有系统均采用最小权限访问，并严格隔离各环境。 ### API 密钥安全 沙盒和生产环境的 API 密钥相互独立。密钥可随时通过 Business Console 轮换。 *** ## 安全常见问题 > [accordion] Didit 持有哪些认证？ > > Didit 已通过 **SOC 2 Type 2 认证**（2026 年 7 月，覆盖 2026 年 3 月 9 日至 7 月 1 日的观察期；Type 1 报告于 2026 年 4 月出具）。Didit 还获得 ISO 27001 信息安全管理体系认证、ISO 27017 和 ISO 27018 云安全与隐私认证，完全符合 GDPR 要求，并获得 iBeta Level 1 认证（ISO 30107-3），用于生物识别呈现攻击检测。在德国，Didit 通过了 **FSM Jugendschutz geprüft** 认可，可依据 JMStV 第 4 条第 2 款进行年龄验证。Didit 也是唯一一家获西班牙金融监管机构（Tesoro、Banco de España、SEPBLAC、CNMV）认定其安全性至少与现场验证相当的服务商，并持有独立法律意见书，确认其与 EBA/MiCA 兼容。完整列表请参阅[认证页面](https://docs.didit.me/zh/getting-started/certifications.md)。我们会持续增加认证。如果您需要某项特定认证，请[预约演示](https://didit.me/get-a-demo/)并告诉我们。 > [accordion] 我的数据是否加密？ > > 是的。所有数据在传输过程中使用 TLS 1.3 加密，在静态存储时使用 AES-256 加密。我们在整个基础设施中采用行业标准的加密协议。 > [accordion] 数据存储和处理在哪里进行？ > > 默认情况下，所有数据都在欧盟的 AWS 基础设施上处理和存储。企业客户可以申请在本国境内处理，并可选择本地数据驻留方案，具体以可用性为准。 > [accordion] 如何配置数据保留？ > > 前往 **Business Console → App Settings → Data retention**，设置您的保留期限（1 个月至 10 年）。您也可以通过控制台或 [Delete Session API](https://docs.didit.me/zh/sessions-api/delete-session.md) 按需删除会话。详情请参阅[数据保留](https://docs.didit.me/zh/console/data-retention.md)页面。 > [accordion] 我可以删除验证数据吗？ > > 可以。您可以通过控制台逐个删除会话，也可以通过 [Delete Session API](https://docs.didit.me/zh/sessions-api/delete-session.md) 以编程方式删除。为实现最大程度的数据最小化，请采用“处理后即清除”模式，在收到会话的 Webhook 结果后立即删除该会话。 > [accordion] 删除会话是否会删除生物识别数据？ > > 默认会。会话删除时，人脸图像、活体视频以及用于重复检测的人脸特征向量都会一并删除。如果您的应用已选择启用[生物特征模板保留](https://docs.didit.me/zh/console/data-retention.md#生物特征模板保留)，Didit 在执行会话的常规删除后，会保留一份与用户关联、不含图像的人脸生物特征模板。该模板仍属于生物识别数据，仅用于您租户范围内的重复检测，有明确的有效期，并会在用户删除、隐私擦除请求或过期时被清除，也可以通过 [Biometric Templates API](https://docs.didit.me/zh/management-api/biometric-templates/overview.md) 显式清除。您管理的人脸黑名单条目与此相互独立，在您将其移除之前会一直保留。 > [accordion] 我们如何处理安全事件？ > > 我们制定了有文档记录的事件响应计划，其中定义了严重级别、升级程序和沟通流程。如果个人数据泄露影响到您的数据，我们将在确认后 48 小时内通知您，以便您履行自身在 GDPR 及适用法规下的义务。 > [accordion] Didit 是否符合欧盟 AI 法案？ > > Didit 主动遵循欧盟 AI 法案对高风险 AI 系统的要求，包括风险管理、数据治理、透明度、人工监督、准确性测试和非歧视。随着实施措施最终确定，我们会持续更新合规状况。 > [accordion] 我可以获取安全文档吗？ > > 可以。完整的子处理者列表发布在[子处理者页面](https://didit.me/legal/sub-processors)。如需申请数据处理协议（DPA）或技术和组织措施（TOMs），请发送邮件至 [privacy@didit.me](mailto:privacy@didit.me)。如需渗透测试摘要（需签署保密协议）和 ISO 证书摘录，请联系您的 Didit 客户代表，或发送邮件至 [hello@didit.me](mailto:hello@didit.me)。 > [accordion] 审计日志如何处理？ > > 每一次 API 调用和控制台操作都会记录时间戳、用户 ID 和地址。您的套餐决定了可查阅的审计日志时间范围：免费版为 30 天，Growth 版为 1 年，Scale 版为 3 年，Enterprise 版则以合同约定为准。Scale 和 Enterprise 版支持导出。详情请参阅[审计日志](https://docs.didit.me/zh/console/audit-logs.md)页面。 *** ## 相关资源 > [card] [认证与证明](https://docs.didit.me/zh/getting-started/certifications.md) > > Didit 持有的全部资质证书，包括日期以及获取每份报告的方式。 > [card] [AMLR 合规指南](https://docs.didit.me/zh/getting-started/amlr-compliance.md) > > 将欧盟反洗钱法规（AMLR）映射到 Didit 工作流、API endpoint 和 Webhook。 > [card] [生物识别同意](https://docs.didit.me/zh/getting-started/biometric-consent.md) > > 伊利诺伊州、德克萨斯州和科罗拉多州所需的明确同意步骤，以及它在决策中的呈现方式。 > [card] [数据保留](https://docs.didit.me/zh/console/data-retention.md) > > 配置保留策略，并实施以隐私为先的模式。 > [card] [审计日志](https://docs.didit.me/zh/console/audit-logs.md) > > 通过完整的审计追踪记录每一项操作。 > [card] [Webhook](https://docs.didit.me/zh/integration/webhooks.md) > > 接收验证事件的实时通知。 > [card] [API 认证](https://docs.didit.me/zh/getting-started/api-authentication.md) > > 安全的 API 密钥管理与认证。 This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.