# Cómo protege Didit los datos de tus usuarios

Source: https://help.didit.me/es/data-privacy/how-didit-protects-data
Updated: 2026-10-12

TLS 1.3 en tránsito, AES-256 en reposo, procesamiento en la UE por defecto, controles auditados, retención configurable y tu papel como responsable.

TLS 1.3 en tránsito, AES-256 en reposo, **procesamiento en la UE por defecto**,
acceso basado en roles y controles auditados de forma independiente bajo SOC 2
Type 2 e ISO/IEC 27001. Didit es tu **encargado del tratamiento**; tú sigues
siendo el responsable del tratamiento, y tú configuras la retención.

[Video: Retención de datos: elige cuándo se eliminan los datos de verificación - Didit Academy](https://www.youtube.com/watch?v=Jj9mGbmA-xQ)

Didit cifra los datos de verificación en cada etapa y está certificado de forma independiente frente a los principales estándares de seguridad y privacidad, así que puedes señalar evidencia concreta en lugar de fiarte de nuestra palabra.

## Cifrado e infraestructura

Todos los datos se cifran en tránsito mediante **TLS 1.3** y en reposo mediante **AES-256**. Por defecto, los datos se procesan y almacenan en la **UE**. Las cuentas empresariales pueden solicitar procesamiento en el propio país con residencia local de datos, sujeto a disponibilidad y contrato; consulta [DPA, residencia de datos y subencargados](https://help.didit.me/es/data-privacy/dpa-and-data-residency).

## Encargado y responsable del tratamiento

Didit actúa como tu **encargado del tratamiento**. Tú sigues siendo el **responsable del tratamiento**, lo que significa que:

- Tú decides qué se recopila, configurando el flujo de trabajo.
- Tú decides cuánto tiempo se conserva, configurando la retención.
- Tú eres responsable de la base legal y del aviso dado a tus usuarios.

Esa división importa en la práctica, no solo legalmente: es por lo que Didit no puede explicar, cambiar ni revocar una decisión de verificación de uno de tus clientes, y por lo que una persona que pregunta por su propio resultado tiene que remitirse a ti.

## Certificaciones independientes

La postura de seguridad y cumplimiento de Didit está verificada por auditores externos y reguladores, no autodeclarada:

- **SOC 2 Type 2**: una auditoría independiente que confirma que los controles funcionaron de forma efectiva durante un periodo de observación, no solo que existen sobre el papel.
- **ISO/IEC 27001**: gestión de seguridad de la información certificada que cubre la plataforma de principio a fin.
- **ISO/IEC 27017 y 27018**: extensiones de seguridad cloud y privacidad cloud.
- **GDPR**: rol de encargado del tratamiento, con las medidas técnicas y organizativas del artículo 32.
- **iBeta Level 1 (ISO/IEC 30107-3)**: antisuplantación biométrica probada en laboratorio de forma independiente.

Lista completa con fechas y cómo solicitar cada informe: [certificaciones y cumplimiento](https://help.didit.me/es/data-privacy/certifications-and-compliance).

## Controles de acceso y monitorización

La generación y exportación de informes se registra en el **Registro de auditoría**, junto con su autor. Consulta los [registros de auditoría](https://help.didit.me/es/account-organization/audit-logs).

Por tu parte, el control de acceso es tu configuración: consulta [invitar a miembros del equipo y definir roles](https://help.didit.me/es/account-organization/team-members-and-roles), y rota las claves de API cuando alguien se vaya.

## Tú controlas el almacenamiento y la eliminación

Puedes eliminar datos manualmente o elegir una conservación de un mes a diez años, o ilimitada. Se configura por aplicación en **Desarrolladores → Claves API → General**.

Aparte de la retención, puedes impedir que Didit use los datos de verificación de tu organización para mejorar sus modelos: consulta [excluirse del entrenamiento de modelos](https://help.didit.me/es/data-privacy/opt-out-of-model-training). Ese interruptor se aplica a toda la organización y está en **Configuración → General**, en **Privacidad y uso de datos**, no dentro de una aplicación.

Consulta [eliminar sesiones y datos personales](https://help.didit.me/es/data-privacy/delete-verification-data) para ver exactamente qué cubre la eliminación, incluido el patrón de procesar y purgar si prefieres que los datos no se queden aquí en absoluto.

## Lo que sigue siendo tu responsabilidad

Usar Didit no transfiere tus obligaciones a tus usuarios. Se sigue esperando que tú:

- **Informes a las personas de lo que está pasando**: que tu empresa está solicitando la verificación, y que un proveedor la realiza.
- **Proporciones tu propio aviso de privacidad** junto al de Didit.
- **Recojas el consentimiento que exija tu equipo legal** antes de la captura de documento, selfie o datos biométricos. Los datos biométricos reciben un tratamiento más estricto que los datos personales ordinarios en la mayoría de los regímenes.
- **Gestiones las solicitudes de tus usuarios sobre sus datos.** Una persona que te pide que elimines sus datos se lo pide a su responsable del tratamiento (tú), y tú tienes las herramientas de eliminación para actuar en consecuencia.

Aplicar marca blanca al flujo cambia dónde viven esos avisos, no si los necesitas. Consulta [personalizar la marca](https://help.didit.me/es/workflows/customize-branding-and-experience).

## Escribir sobre Didit en tu propia política de privacidad

Describir a un encargado del tratamiento en tu propia política es una decisión de redacción que debe tomar tu equipo legal, pero dos datos que querrán son: Didit actúa como encargado del tratamiento siguiendo tus instrucciones, y los datos se procesan en la UE por defecto con retención configurable y eliminación mediante API.

Si necesitas un texto concreto, pide el DPA y el documento de medidas técnicas y organizativas y deja que tu asesoría legal redacte a partir de ellos en lugar de a partir de una página de ayuda.