# Как Didit защищает данные ваших пользователей

Source: https://help.didit.me/ru/data-privacy/how-didit-protects-data
Updated: 2026-10-12

TLS 1.3 при передаче, AES-256 при хранении, обработка в ЕС по умолчанию и контроли по SOC 2 Type 2 и ISO/IEC 27001. Didit - обработчик, вы контролёр.

TLS 1.3 при передаче, AES-256 при хранении, **обработка в ЕС по умолчанию**, доступ на основе
ролей и контроли, независимо проверенные по SOC 2 Type 2 и ISO/IEC 27001. Didit - ваш **обработчик
данных**; вы остаётесь контролёром и сами настраиваете срок хранения.

[Video: Хранение данных: выберите, когда удалять данные верификации - Didit Academy](https://www.youtube.com/watch?v=Jj9mGbmA-xQ)

Didit шифрует данные верификации на каждом этапе и независимо сертифицирован по основным стандартам безопасности и приватности, поэтому вы можете ссылаться на конкретные доказательства, а не просто верить нам на слово.

## Шифрование и инфраструктура

Все данные шифруются при передаче с помощью **TLS 1.3** и при хранении с помощью **AES-256**. По умолчанию данные обрабатываются и хранятся в **ЕС**. Корпоративные аккаунты могут запросить обработку внутри конкретной страны с локальным размещением данных, при наличии возможности и по контракту - см. [DPA, размещение данных и субобработчики](https://help.didit.me/ru/data-privacy/dpa-and-data-residency).

## Обработчик и контролёр

Didit выступает вашим **обработчиком данных**. Вы остаётесь **контролёром данных**, а это значит:

- Вы решаете, что собирается, настраивая воркфлоу.
- Вы решаете, как долго это хранится, настраивая срок хранения.
- Вы несёте ответственность за законное основание обработки и уведомление, предоставленное вашим пользователям.

Это разделение важно не только юридически, но и практически: именно поэтому Didit не может объяснить, изменить или отменить решение по верификации для одного из ваших клиентов, и именно поэтому человека, спрашивающего о собственном результате, нужно направлять к вам.

## Независимые сертификации

Уровень безопасности и соответствия требованиям Didit подтверждается внешними аудиторами и регуляторами, а не декларируется самостоятельно:

- **SOC 2 Type 2** - независимый аудит, подтверждающий, что контроли действовали эффективно на протяжении периода наблюдения, а не просто существовали на бумаге.
- **ISO/IEC 27001** - сертифицированный менеджмент информационной безопасности, охватывающий платформу целиком.
- **ISO/IEC 27017 и 27018** - расширения по безопасности и приватности специально для облака.
- **GDPR** - роль обработчика с техническими и организационными мерами по статье 32.
- **iBeta Level 1 (ISO/IEC 30107-3)** - независимо протестированная в лаборатории защита биометрии от подделки.

Полный список с датами и способом запроса каждого отчёта: [сертификации и соответствие требованиям](https://help.didit.me/ru/data-privacy/certifications-and-compliance).

## Контроль доступа и мониторинг

Создание и экспорт отчётов записываются в **Журнал аудита** с указанием исполнителя. См. [журналы аудита](https://help.didit.me/ru/account-organization/audit-logs).

С вашей стороны контроль доступа - это ваша настройка: см. [приглашение членов команды и настройка ролей](https://help.didit.me/ru/account-organization/team-members-and-roles), и не забывайте ротировать API-ключи, когда кто-то покидает команду.

## Вы контролируете хранение и удаление

Удаляйте данные вручную или выберите срок хранения от месяца до десяти лет либо без ограничений. Настройка для каждого приложения находится в **Разработчики → API-ключи → Общие**.

См. [удаление сессий и персональных данных](https://help.didit.me/ru/data-privacy/delete-verification-data) о том, что именно охватывает удаление, включая подход "обработка и немедленное удаление", если вы предпочитаете вообще не хранить данные здесь.

## Что остаётся вашей ответственностью

Использование Didit не переносит ваши обязательства на ваших пользователей. От вас по-прежнему ожидается:

- **Сообщить людям, что происходит** - что именно ваша компания запрашивает верификацию и что её выполняет провайдер.
- **Предоставить собственное уведомление о конфиденциальности** наряду с уведомлением Didit.
- **Собрать согласие, которого требует ваша юридическая служба**, перед захватом документа, селфи или биометрических данных. Биометрические данные в большинстве режимов регулируются строже, чем обычные персональные данные.
- **Обрабатывать запросы субъектов данных от ваших пользователей.** Человек, просящий вас удалить его данные, обращается к своему контролёру - то есть к вам, - и у вас есть инструменты удаления, чтобы на это отреагировать.

White label меняет то, где размещаются эти уведомления, но не то, нужны ли они вам. См. [настройка брендинга](https://help.didit.me/ru/workflows/customize-branding-and-experience).

## Как описать Didit в собственной политике конфиденциальности

Описание обработчика в вашей собственной политике - это решение о формулировках, которое должна принять ваша юридическая служба, но два факта, которые ей понадобятся: Didit выступает обработчиком по вашим инструкциям, а данные обрабатываются в ЕС по умолчанию с настраиваемым хранением и удалением через API.

Если вам нужна конкретная формулировка, запросите DPA и документ о технических и организационных мерах и позвольте своим юристам составить текст на их основе, а не на основе страницы помощи.