# Didit 会向用户征求生物识别同意吗（BIPA、CUBI）？

Source: https://help.didit.me/zh/data-privacy/biometric-consent
Updated: 2026-11-12

针对伊利诺伊州、得克萨斯州和科罗拉多州，Didit 可在首次人脸采集前显示生物识别同意步骤。模式、API 字段、SDK 版本和你的责任。

会。
对于受伊利诺伊州（BIPA）、得克萨斯州（CUBI）和科罗拉多州生物识别法律约束的人，Didit 可以在首次人脸采集前显示一个同意步骤，并把答复记录在会话中。
你为每个应用选择模式：**自动**（默认）、**始终**或**从不**。
Didit 负责显示该步骤并记录答复，但你自己的流程是否符合适用于你的法律，仍由你负责判断。

## 同意步骤是什么

它是在自拍之前显示的一个界面。
它会告知用户采集什么（其面部几何特征）、为什么采集、由谁持有、保存多久，并链接到生物识别数据政策。
它只有一个按钮**我同意并继续**，用户勾选同意框后按钮才会生效。
只有在采集人脸的会话中才会出现该步骤，例如活体检测、人脸比对或年龄估计，或证件拍摄过程中的自拍。

## 选择模式

在控制台中打开你应用的**设置**，然后选择**数据与隐私**，再选择**生物识别同意**。
每次更改都会记录在审计日志中。

| 模式 | 会发生什么 |
| --- | --- |
| **自动**（默认，推荐） | 在伊利诺伊州、得克萨斯州或科罗拉多州的法律可能适用的情况下显示该步骤。其他所有人看到标准的一行提示。 |
| **始终** | 所有被采集人脸的人，无论身处何处，都会看到该步骤。 |
| **从不** | Didit 不显示任何同意步骤。你需要在自拍之前自行收集生物识别同意并保存记录。 |

在**自动**模式下，只要满足以下任一情形就会显示该步骤：

- 你在创建会话时声明了一个受覆盖的州，或在预期详情中发送了美国地址。
- 此人的 IP 地址位于伊利诺伊州、得克萨斯州或科罗拉多州。
- 此人似乎在美国，但无法判断所在的州。
- 其证件由受覆盖的州签发。

## 你可以通过 API 发送什么

创建会话时有两个可选字段，用来告诉流程你已经知道的信息：

| 字段 | 作用 |
| --- | --- |
| `user_state` | 此人的居住地，格式为 `US-IL` 或 `IL` 这样的代码。受覆盖的州会显示该步骤。 |
| `biometric_consent` | 你已经收集的同意：`given_at`（不能晚于当前时间的时间）和你的 `text_version`。流程不会再次询问，会话会将其记录为由你收集。 |

具体格式请参见[创建会话](https://docs.didit.me/sessions-api/create-session)。

## 哪些应用会显示

| 用户在哪里验证 | 是否显示该步骤 |
| --- | --- |
| 托管验证流程、Web SDK 或 WebView | 是 |
| 原生 SDK 4.10.0 或更高版本（iOS、Android，以及包含它的 React Native 或 Flutter 版本） | 是 |
| 低于 4.10.0 的原生 SDK | 否 |

低于 4.10.0 的原生 SDK 无法显示该步骤，因此这些核验会在没有该步骤的情况下运行，会话会记录为需要同意但未收集。
如果你在原生应用中验证伊利诺伊州、得克萨斯州或科罗拉多州的用户，请升级 SDK，或在自拍之前自行收集同意。

## Didit 记录什么

Didit 在会话中保存该答复：给出的时间、所显示文本的版本、语言、所在步骤，以及请求的 IP 地址、位置和用户代理。
判定结果和 Webhook 会带有一个包含其状态的 `biometric_consent` 对象，方便你向审计人员出示。

## 相关文章

- [核验中的个人数据](https://help.didit.me/zh/data-privacy/personal-data-in-a-verification)
- [Didit 如何保护数据](https://help.didit.me/zh/data-privacy/how-didit-protects-data)
- [Didit 文档中的生物识别同意](https://docs.didit.me/getting-started/biometric-consent)