# Diditによるユーザーデータの保護方法

Source: https://help.didit.me/ja/data-privacy/how-didit-protects-data
Updated: 2026-10-12

Diditは転送時にTLS 1.3、保管時にAES-256で暗号化し、デフォルトでEU内処理します。独立監査済みの管理策、保持期間、管理者の責任も説明します。

転送時はTLS 1.3、保管時はAES-256で暗号化し、**デフォルトでEU処理**、ロールベースのアクセス制御を行い、SOC 2 Type 2およびISO/IEC 27001のもとで独立監査された管理策を備えています。Diditは貴社の**データ処理者**であり、貴社が管理者であり続け、保持期間は貴社が設定します。

[Video: データ保持：認証データを削除するタイミングを選択 - Didit Academy](https://www.youtube.com/watch?v=Jj9mGbmA-xQ)

Diditはすべての段階で本人確認データを暗号化しており、主要なセキュリティ・プライバシー基準について独立して認証を取得しているため、私たちの言葉をそのまま信じるのではなく、具体的な証跡を示すことができます。

## 暗号化とインフラ

すべてのデータは、転送時は**TLS 1.3**、保管時は**AES-256**で暗号化されます。デフォルトでは、データは**EU**内で処理・保存されます。エンタープライズアカウントは、提供状況と契約に応じて、国内でのデータ保管を伴う国内処理をリクエストできます。詳細は[DPA、データの保管場所、再委託先](https://help.didit.me/ja/data-privacy/dpa-and-data-residency)をご覧ください。

## 処理者と管理者

Diditは貴社の**データ処理者**として機能します。貴社は**データ管理者**であり続けます。これは次のことを意味します。

- ワークフローの設定を通じて、何を収集するかを決めるのは貴社です。
- 保持期間の設定を通じて、どのくらいの期間保持するかを決めるのは貴社です。
- 適法性の根拠と、ユーザーへの通知に責任を負うのは貴社です。

この役割分担は法的な意味だけでなく実務上も重要です。だからこそDiditは貴社の顧客の本人確認結果を説明したり、変更したり、覆したりすることができず、自分の結果について問い合わせてきた本人は貴社に案内する必要があるのです。

## 独立した認証

Diditのセキュリティおよびコンプライアンス体制は、自己申告ではなく、外部の監査人や規制当局によって検証されています。

- **SOC 2 Type 2** - 管理策が紙の上だけでなく、観察期間にわたって有効に機能していたことを確認する独立監査です。
- **ISO/IEC 27001** - プラットフォーム全体をカバーする、認証された情報セキュリティマネジメントです。
- **ISO/IEC 27017・27018** - クラウド固有のセキュリティおよびクラウドプライバシーの拡張です。
- **GDPR** - 第32条の技術的・組織的措置を伴う処理者としての役割です。
- **iBeta Level 1（ISO/IEC 30107-3）** - 独立したラボでテストされた生体認証のなりすまし対策です。

日付と各レポートの依頼方法を含む全リストは、[認証とコンプライアンス](https://help.didit.me/ja/data-privacy/certifications-and-compliance)をご覧ください。

## アクセス制御と監視

レポートの生成と出力は、実行者とともに**監査ログ**に記録されます。[監査ログ](https://help.didit.me/ja/account-organization/audit-logs)をご覧ください。

貴社側では、アクセス制御は貴社の設定次第です。詳細は[チームメンバーの招待とロールの設定](https://help.didit.me/ja/account-organization/team-members-and-roles)をご覧いただき、メンバーが離脱した際にはAPIキーをローテーションしてください。

## 保存と削除は貴社が管理します

手動で削除するか、1か月から10年、または無期限の保存期間を選べます。アプリごとの**開発者 → APIキー → 一般**で設定します。

削除が具体的に何をカバーするかは、[セッションと個人データの削除](https://help.didit.me/ja/data-privacy/delete-verification-data)をご覧ください。ここにデータを一切置いておきたくない場合のprocess-and-purgeパターンについても記載しています。

## 貴社に残る責任

Diditを利用しても、貴社の義務がユーザーに移るわけではありません。引き続き次のことが求められます。

- **何が起きているかをユーザーに伝える** - 貴社が本人確認を要求していること、そしてプロバイダーがそれを実施していることです。
- **Diditの通知に加えて、自社のプライバシー通知を提供する**こと。
- **法務チームが求める同意を取得する**こと。書類、セルフィー、生体データの取得前が対象です。生体データは、ほとんどの法域で通常の個人データより厳格に扱われます。
- **ユーザーのデータ主体からの請求に対応する**こと。データの消去を求める本人は、その管理者である貴社に依頼しているのであり、削除するための手段は貴社が持っています。

フローをホワイトラベル化しても、これらの開示が置かれる場所が変わるだけで、必要であること自体は変わりません。詳細は[ブランディングのカスタマイズ](https://help.didit.me/ja/workflows/customize-branding-and-experience)をご覧ください。

## 自社のプライバシーポリシーにDiditについて記載する

自社のポリシーの中で処理者をどう説明するかは、法務チームが判断すべき文言の問題ですが、押さえておきたい2つの事実があります。Diditは貴社の指示に基づき処理者として行動すること、そしてデータはデフォルトでEU内で処理され、保持期間はAPIによる削除も含めて設定可能であることです。

具体的な文言が必要な場合は、DPAと技術的・組織的措置に関する文書を入手し、ヘルプページではなくそれらをもとに顧問弁護士に起草してもらってください。