# DPA, размещение данных и субобработчики

Source: https://help.didit.me/ru/data-privacy/dpa-and-data-residency
Updated: 2026-10-30

По умолчанию данные обрабатываются в ЕС, на AWS в Ирландии; внутри страны - по корпоративным контрактам. DPA и SLA входят в ваши условия, TOM - по запросу.

**Обработка в ЕС по умолчанию**, на AWS в Ирландии. Обработка внутри страны доступна по
корпоративным контрактам при наличии возможности. **DPA и SLA опубликованы и уже входят в
условия, которые вы приняли**; встречно подписанные DPA, SLA или MSA на вашем бланке идут вместе
с соглашением о предоплаченном кредите. Документ TOMs доступен по запросу.

## Где обрабатываются данные

По умолчанию данные проверок обрабатываются и хранятся в **ЕС**, в инфраструктуре AWS в **Ирландии** (`eu-west-1`). Биометрические операции выполняются в том же регионе.

**Обработка внутри страны** - размещение данных в конкретной юрисдикции - доступна для корпоративных аккаунтов, при наличии возможности и по контракту. Если ваше требование касается конкретного региона, спросите напрямую, какие регионы доступны сегодня, и получите ответ в письменном виде. Доступность по регионам меняется, и это именно то обязательство, которое закупочная проверка захочет увидеть подтверждённым, а не просто описанным.

Один регион стоит назвать прямо, потому что о нём спрашивают часто: **региона обработки в России нет** ни на одном тарифе, поэтому требование хранить данные на территории Российской Федерации выполнить невозможно.

Если ваше обязательство - локальное хранение, а не локальная обработка, большинство клиентов используют схему **обработать и удалить**: выполнить проверку через Didit, получить результат по вебхуку, сохранить нужное в собственной инфраструктуре в своей стране и сразу удалить сессию из Didit. См. [удаление сессий и персональных данных](https://help.didit.me/ru/data-privacy/delete-verification-data).

> **Note:** Ответы на вопросы "где обрабатываются данные?" и "где обрабатываются биометрические запросы?"
> могут различаться, и это стоит уточнить отдельно. Если ваша обязанность касается именно региона
> обработки биометрических операций, спрашивайте именно об этом, а не довольствуйтесь общим
> ответом о хранении.

## Как получить DPA

Он у вас уже есть. **Дополнение об обработке данных (DPA) - это Приложение 2 к Условиям для бизнеса**, которые ваша организация приняла при регистрации, а **Соглашение об уровне обслуживания (SLA) - Приложение 1**. Оба опубликованы и отдельно ([Условия для бизнеса](https://didit.me/terms/business), [Data Processing Addendum](https://didit.me/terms/data-processing-addendum), [Service Level Agreement](https://didit.me/terms/service-level-agreement)) и являются соглашением по статье 28 между вами и Didit на бесплатном тарифе и тарифе с оплатой по факту. Документ о технических и организационных мерах (TOMs), которого ожидает статья 32 GDPR, доступен по запросу у вашего контакта в Didit, без NDA.

Чего **нет** при оплате по факту - так это встречно подписанной копии: договором являются опубликованные условия в принятой редакции, и поддержка может подтвердить дату принятия для вашей организации, если спросит аудитор. Если вашему досье комплаенса нужны **подписанный MSA, DPA на вашем бланке или согласованный SLA**, это идёт вместе с соглашением о предоплаченном кредите, которое начинается от **2 000 USD** и конвертируется в кредиты без срока действия. Запросите у вашего контакта в Didit, подготовив юридическое название компании, адрес почты подписанта и страну регистрации.

![Боковая панель настроек организации с пунктом Юридические документы под пунктом Интеграции](https://help.didit.me/screenshots/usage-light.webp)

*Чтобы найти соглашения, откройте Юридические документы в настройках организации.*

Если ваша организация опирается на принятые условия, а не на подписанную копию, попросите поддержку подтвердить, какую именно версию и когда вы приняли. Это фактический вопрос с фактическим ответом, и именно его потребует аудитор.

## Субобработчики

Полный актуальный список субпроцессоров Didit общедоступен по адресу [didit.me/terms/sub-processors](https://didit.me/terms/sub-processors): в нём указано, что делает каждый из них, какие персональные данные он обрабатывает и где. Именно на этот список ссылается DPA. Одни субпроцессоры работают для всех клиентов, например облачная инфраструктура в Ирландии (eu-west-1), где обрабатываются и хранятся данные проверок; другие получают данные только тогда, когда ваши рабочие процессы используют функцию, которую они поддерживают.

Размещённая страница проверки использует два инструмента мониторинга: один для мониторинга ошибок и один для продуктовой аналитики, оба из этого списка. Они получают шаги и ошибки сессии и замаскированные записи макета страницы, нажатий и прокруток, привязанные к ID сессии, и никогда не получают изображения с камеры, изображения документов, селфи или данные, считанные с документов; IP-адрес не сохраняется. Подробности описаны в статье [какие персональные данные собирает проверка](https://help.didit.me/ru/data-privacy/personal-data-in-a-verification).

Didit уведомляет не менее чем за 30 дней до добавления или замены субпроцессора, и вы можете возразить по соображениям защиты данных; порядок описан в DPA.

## Ответы на вопросник по безопасности

Большая часть того, что запрашивает проверка безопасности, существует в виде документа. Примерно в том порядке, в котором это обычно спрашивают:

| Что запросят | Что существует |
|---|---|
| Независимый аудит контролей | Отчёт SOC 2 Type 2, доступен под NDA |
| Сертификация информационной безопасности | ISO/IEC 27001, плюс 27017 и 27018 для облака |
| Шифрование при передаче и хранении | TLS 1.3 и AES-256 |
| Тестирование защиты биометрии от подделки | iBeta Level 1 PAD по ISO/IEC 30107-3 |
| Тестирование на проникновение | Периодическое тестирование сторонними специалистами с отслеживанием устранения |
| Условия обработки данных | DPA и TOM |
| Хранение и удаление | Настраиваемое хранение от 1 месяца до 10 лет; удаление через API |
| Журнал аудита | 365-дневный журнал аудита всей активности API |

Полный список документов с датами см. в [сертификациях и соответствии требованиям](https://help.didit.me/ru/data-privacy/certifications-and-compliance).

## Обязательства, которые эта страница не может дать за вас

Некоторые вопросы, возникающие при закупках, относятся к контракту, а не к технологии, и честный ответ - что им место в согласованном соглашении:

- **Контрактные гарантии** в отношении удаления, подкреплённые проверяемым журналом аудита или периодической сертификацией.
- **Сроки уведомления об утечке**, отличные от срока по GDPR - например, окно оценки по австралийскому режиму Notifiable Data Breaches.
- **Дорожные карты регионального размещения данных** и связанные с ними даты.
- **Обязательства по хранению данных**, которые, по вашему мнению, к вам применяются.

Обсудите каждый из этих пунктов со своим контактным менеджером Didit и получите ответ в контракте. Описание обязательства на странице помощи не является обязательством, и относиться к нему так - риск для вас, а не для нас.

## Запросы на удаление от ваших пользователей

Ваши пользователи - это ваши субъекты данных, и запрос на удаление приходит к вам как к контролёру. У вас есть инструменты, чтобы отреагировать на него напрямую: удалите сессию из консоли или через API - немедленно и необратимо. См. [удаление сессий и персональных данных](https://help.didit.me/ru/data-privacy/delete-verification-data).

Если ваш процесс должен быть автоматизирован от начала до конца - запрос в вашем продукте, запускающий удаление здесь, - это эндпоинт удаления плюс ваш собственный воркфлоу, и это хорошо отработанный паттерн.