# DPA, residencia de datos y subencargados

Source: https://help.didit.me/es/data-privacy/dpa-and-data-residency
Updated: 2026-10-30

Didit procesa en la UE por defecto, con procesamiento en el país en contratos enterprise. Consigue el DPA y las TOM que pedirá tu revisión de compras.

**Procesamiento en la UE por defecto**, en AWS en Irlanda. El procesamiento en el país está
disponible en contratos enterprise, sujeto a disponibilidad. El **DPA y el SLA están
publicados y ya forman parte de los términos que aceptaste**; un DPA, SLA o MSA
contrafirmado en tu propio papel viene con un acuerdo de crédito prepagado. El documento de
TOMs está disponible bajo petición.

## Dónde se procesan los datos

Por defecto, los datos de verificación se procesan y almacenan en la **UE**, en infraestructura de AWS en **Irlanda** (`eu-west-1`). Las operaciones biométricas se ejecutan en la misma región.

El **procesamiento en el propio país** (residencia local de datos para una jurisdicción concreta) está disponible para cuentas empresariales, sujeto a disponibilidad y contrato. Si tu requisito es una región concreta, pregunta directamente qué regiones están disponibles hoy y consigue la respuesta por escrito. La disponibilidad regional cambia, y es exactamente el tipo de compromiso que una revisión de compras querrá ver evidenciado en vez de descrito.

Una región que conviene decir sin rodeos porque se pregunta a menudo: **no hay región de procesamiento en Rusia**, en ningún plan, así que un requisito de mantener los datos dentro de la Federación Rusa no puede cumplirse.

Si tu obligación es el almacenamiento local y no el procesamiento local, el patrón que usan la mayoría de clientes es **procesar y purgar**: ejecuta la verificación en Didit, recibe el resultado por webhook, guarda lo que necesites en tu propia infraestructura en tu país y elimina la sesión de Didit justo después. Consulta [eliminar sesiones y datos personales](https://help.didit.me/es/data-privacy/delete-verification-data).

> **Note:** "¿Dónde se procesan los datos?" y "¿dónde se procesan las llamadas biométricas?"
> pueden tener respuestas distintas que merece la pena confirmar por separado. Si
> tu obligación cubre la región de procesamiento específicamente para las
> operaciones biométricas, pregunta por eso en concreto en lugar de aceptar una
> respuesta general sobre almacenamiento.

## Conseguir un DPA

Ya tienes uno. El **Anexo de tratamiento de datos (DPA) es el Anexo 2 de los Términos y condiciones para empresas** que tu organización aceptó al registrarse, y el **Acuerdo de nivel de servicio (SLA) es el Anexo 1**. Ambos están publicados también por separado ([Términos para empresas](https://didit.me/terms/business), [Anexo de tratamiento de datos](https://didit.me/terms/data-processing-addendum), [Acuerdo de nivel de servicio](https://didit.me/terms/service-level-agreement)) y son el acuerdo del artículo 28 entre tu empresa y Didit en los planes gratuito y de pago por uso. El documento de medidas técnicas y organizativas (TOMs) que espera el artículo 32 del RGPD está disponible bajo petición a tu contacto en Didit, sin NDA.

Lo que **no** existe en pago por uso es una copia contrafirmada: el contrato son los términos publicados tal como se aceptaron, y soporte puede confirmar la fecha de aceptación de tu organización si un auditor lo pide. Si tu expediente de cumplimiento necesita un **MSA firmado, un DPA en tu propio papel o un SLA negociado**, eso viene con un acuerdo de crédito prepagado, que empieza en **2.000 USD** y se convierte en créditos que nunca caducan. Pídelo a tu contacto en Didit y ten a mano tu razón social, el correo del firmante y tu país de constitución.

![La barra lateral de configuración de la organización con Documentos legales debajo de Integraciones](https://help.didit.me/screenshots/usage-light.webp)

*Abre Documentos legales en la configuración de la organización para encontrar tus acuerdos.*

Si tu organización se apoya en los términos aceptados y no en una copia firmada, pide a soporte que confirme exactamente qué versión aceptaste y cuándo. Es una pregunta factual con una respuesta factual, y es la respuesta que un auditor te pedirá.

## Subencargados

La lista completa y actualizada de subencargados de Didit es pública en [didit.me/terms/sub-processors](https://didit.me/terms/sub-processors), con lo que hace cada uno, los datos personales que trata y dónde. Es la lista que referencia el DPA. Algunos subencargados trabajan para todos los clientes, como la infraestructura en la nube de Irlanda (eu-west-1) donde se tratan y almacenan los datos de verificación; otros solo reciben datos cuando tus flujos usan la función que respaldan.

La página de verificación alojada ejecuta dos herramientas de monitorización, una para la monitorización de errores y otra para la analítica de producto, ambas en esa lista. Reciben los pasos y los errores de una sesión y grabaciones enmascaradas de su diseño, toques y desplazamientos, vinculados a su ID de sesión, y nunca imágenes de la cámara, imágenes de documentos, selfies ni datos leídos de documentos; no se guarda ninguna dirección IP. Los detalles están en [qué datos personales recoge una verificación](https://help.didit.me/es/data-privacy/personal-data-in-a-verification).

Didit avisa con al menos 30 días de antelación antes de añadir o sustituir un subencargado, y puedes oponerte por motivos de protección de datos; el DPA explica cómo.

## Responder a un cuestionario de seguridad

La mayor parte de lo que pide una revisión de seguridad existe como documento. En el orden aproximado en que lo piden los cuestionarios:

| Piden | Qué existe |
|---|---|
| Auditoría independiente de controles | Informe SOC 2 Type 2, disponible bajo acuerdo de confidencialidad |
| Certificación de seguridad de la información | ISO/IEC 27001, más 27017 y 27018 para cloud |
| Cifrado en tránsito y en reposo | TLS 1.3 y AES-256 |
| Pruebas de antisuplantación biométrica | iBeta Level 1 PAD según ISO/IEC 30107-3 |
| Pruebas de penetración | Pruebas periódicas de terceros con remediación monitorizada |
| Condiciones de tratamiento de datos | DPA y TOM |
| Retención y eliminación | Retención configurable de 1 mes a 10 años; eliminación mediante API |
| Registro de auditoría | Registro de auditoría de 365 días de toda la actividad de la API |

Consulta [certificaciones y cumplimiento](https://help.didit.me/es/data-privacy/certifications-and-compliance) para la lista completa de credenciales con fechas.

## Compromisos que esta página no puede asumir por ti

Algunas preguntas que surgen en compras son contractuales, no técnicas, y la respuesta honesta es que pertenecen a un acuerdo negociado:

- **Garantías contractuales** sobre eliminación, respaldadas por un registro de auditoría inspeccionable o una certificación periódica.
- **Plazos de notificación de brechas** distintos del plazo del GDPR, por ejemplo la ventana de evaluación de las Notifiable Data Breaches de Australia.
- **Hojas de ruta de alojamiento regional** y las fechas asociadas.
- **Obligaciones de retención** que creas que te aplican.

Lleva cada una de estas cuestiones a tu contacto en Didit y consigue la respuesta en el contrato. Una página de ayuda que describe un compromiso no es un compromiso, y tratar una cosa como la otra es un riesgo para ti, no para nosotros.

## Solicitudes de eliminación de tus usuarios

Tus usuarios son tus interesados, y una solicitud de eliminación te llega a ti como responsable del tratamiento. Tienes las herramientas para actuar directamente: elimina la sesión desde la consola o la API, de forma inmediata e irreversible. Consulta [eliminar sesiones y datos personales](https://help.didit.me/es/data-privacy/delete-verification-data).

Si tu proceso necesita estar automatizado de principio a fin (una solicitud en tu producto que dispare la eliminación aquí), eso es el endpoint de eliminación más tu propio flujo de trabajo, y es un patrón bien conocido.