# DPAs, residência de dados e subcontratantes

Source: https://help.didit.me/pt-PT/data-privacy/dpa-and-data-residency
Updated: 2026-10-30

A Didit processa dados na UE por predefinição, com processamento no próprio país em contratos empresariais. Vê como obter o DPA e responder às compras.

**Processamento na UE por defeito**, na AWS na Irlanda. O processamento no país está disponível
em contratos enterprise, sujeito a disponibilidade. O **DPA e o SLA estão publicados e já fazem
parte dos termos que aceitou**; um DPA, SLA ou MSA contra-assinado no seu próprio papel vem com
um acordo de crédito pré-pago. O documento de TOMs está disponível a pedido.

## Onde os dados são processados

Por defeito, os dados de verificação são processados e armazenados na **UE**, em infraestrutura AWS na **Irlanda** (`eu-west-1`). As operações biométricas correm na mesma região.

O **processamento no próprio país** - residência local de dados para uma jurisdição específica - está disponível para contas empresariais, sujeito a disponibilidade e contrato. Se a tua exigência for uma região específica, pergunta diretamente que regiões estão disponíveis hoje e obtém a resposta por escrito. A disponibilidade regional muda, e é exatamente o tipo de compromisso que uma revisão de compras vai querer ver evidenciado em vez de descrito.

Uma região que vale a pena afirmar sem rodeios porque é perguntada muitas vezes: **não há região de processamento na Rússia**, em nenhum plano, pelo que um requisito de manter os dados dentro da Federação Russa não pode ser cumprido.

Se a sua obrigação é armazenamento local e não processamento local, o padrão que a maioria dos clientes usa é **processar e expurgar**: corra a verificação pela Didit, receba o resultado por webhook, guarde o que precisar na sua própria infraestrutura no seu país e elimine a sessão da Didit logo a seguir. Veja [eliminar sessões e dados pessoais](https://help.didit.me/pt-PT/data-privacy/delete-verification-data).

> **Note:** "Onde são processados os dados?" e "onde são processadas as chamadas
> biométricas?" podem ter respostas diferentes, que vale a pena confirmar
> separadamente. Se a tua obrigação cobrir especificamente a região de
> processamento das operações biométricas, pergunta especificamente sobre
> isso em vez de aceitares uma resposta geral sobre armazenamento.

## Obter um DPA

Já tem um. A **Adenda de tratamento de dados (DPA) é o Anexo 2 dos Termos e condições empresariais** que a sua organização aceitou no registo, e o **Acordo de nível de serviço (SLA) é o Anexo 1**. Ambos estão publicados também em separado ([Termos empresariais](https://didit.me/terms/business), [Data Processing Addendum](https://didit.me/terms/data-processing-addendum), [Service Level Agreement](https://didit.me/terms/service-level-agreement)) e são o acordo do artigo 28.º entre si e a Didit nos planos gratuito e de pagamento por utilização. O documento de medidas técnicas e organizativas (TOMs) que o artigo 32.º do RGPD espera está disponível a pedido ao seu contacto na Didit, sem NDA.

O que **não** existe no pagamento por utilização é uma cópia contra-assinada: o contrato são os termos publicados tal como aceites, e o suporte pode confirmar a data de aceitação da sua organização se um auditor o pedir. Se o seu dossiê de conformidade precisa de um **MSA assinado, um DPA no seu próprio papel ou um SLA negociado**, isso vem com um acordo de crédito pré-pago, que começa em **2.000 USD** e se converte em créditos que nunca expiram. Peça ao seu contacto na Didit, tendo à mão a sua denominação social, o e-mail do signatário e o país de constituição.

![A barra lateral das definições da organização com Documentos legais abaixo de Integrações](https://help.didit.me/screenshots/usage-light.webp)

*Abre Documentos legais nas definições da organização para encontrares os teus acordos.*

Se a sua organização se apoia nos termos aceites e não numa cópia assinada, peça ao suporte que confirme exatamente que versão aceitou e quando. É uma pergunta factual com resposta factual, e é a que um auditor lhe pedirá.

## Subcontratantes

A lista completa e atual de subcontratantes da Didit é pública em [didit.me/terms/sub-processors](https://didit.me/terms/sub-processors), com o que cada um faz, os dados pessoais que trata e onde. É a lista referida no DPA. Alguns subcontratantes trabalham para todos os clientes, como a infraestrutura cloud na Irlanda (eu-west-1) onde os dados de verificação são tratados e guardados; outros só recebem dados quando os teus fluxos usam a funcionalidade que suportam.

A página de verificação alojada executa duas ferramentas de monitorização, uma para a monitorização de erros e outra para a análise de produto, ambas nessa lista. Recebem os passos e os erros de uma sessão e gravações mascaradas do esquema, dos toques e das deslocações, associados ao respetivo ID da sessão, e nunca imagens da câmara, imagens de documentos, selfies nem dados lidos de documentos; nenhum endereço IP é guardado. Os detalhes estão em [que dados pessoais uma verificação recolhe](https://help.didit.me/pt-PT/data-privacy/personal-data-in-a-verification).

A Didit avisa com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante, e podes opor-te por motivos de proteção de dados; o DPA explica como.

## Responder a um questionário de segurança

A maior parte do que uma revisão de segurança pede existe como documento. Pela ordem aproximada em que os questionários costumam pedir:

| Vão pedir | O que existe |
|---|---|
| Auditoria independente de controlos | Relatório SOC 2 Type 2, disponível sob acordo de confidencialidade |
| Certificação de segurança da informação | ISO/IEC 27001, mais 27017 e 27018 para cloud |
| Cifragem em trânsito e em repouso | TLS 1.3 e AES-256 |
| Testes de antisuplantação biométrica | iBeta Level 1 PAD ao abrigo da ISO/IEC 30107-3 |
| Testes de penetração | Testes periódicos por terceiros, com remediação acompanhada |
| Condições de tratamento de dados | DPA e TOM |
| Retenção e eliminação | Retenção configurável de 1 mês a 10 anos; eliminação através da API |
| Registo de auditoria | Registo de auditoria de 365 dias de toda a atividade da API |

Consulta [certificações e conformidade](https://help.didit.me/pt-PT/data-privacy/certifications-and-compliance) para a lista completa de credenciais com datas.

## Compromissos que esta página não pode assumir por ti

Algumas perguntas que surgem em processos de compras são contratuais, não técnicas, e a resposta honesta é que pertencem a um acordo negociado:

- **Garantias contratuais** sobre eliminação, sustentadas por um registo de auditoria inspecionável ou uma certificação periódica.
- **Prazos de notificação de violação** diferentes do prazo do GDPR - por exemplo a janela de avaliação das Notifiable Data Breaches da Austrália.
- **Roteiros de alojamento regional** e as datas associadas a eles.
- **Obrigações de retenção** que acredites que se aplicam a ti.

Traz cada uma dessas questões ao teu contacto na Didit e obtém a resposta no contrato. Uma página de ajuda que descreve um compromisso não é um compromisso, e tratar uma coisa como a outra é um risco para ti, não para nós.

## Pedidos de eliminação dos teus utilizadores

Os teus utilizadores são os teus titulares de dados, e um pedido de eliminação chega-te a ti como responsável pelo tratamento. Tens as ferramentas para atuar sobre ele diretamente: elimina a sessão a partir da consola ou da API, de forma imediata e irreversível. Consulta [eliminar sessões e dados pessoais](https://help.didit.me/pt-PT/data-privacy/delete-verification-data).

Se o teu processo precisar de estar automatizado de ponta a ponta - um pedido no teu produto a desencadear a eliminação aqui - isso é o endpoint de eliminação mais o teu próprio fluxo de trabalho, e é um padrão bem testado.