DPA、数据驻留与分包处理者

Didit 默认在欧盟境内处理数据，企业合同可提供境内本地处理。以下是获取 DPA、TOM 文件，以及回答采购审查常见问题的方法。

#数据在哪里处理

默认情况下，验证数据在欧盟内、爱尔兰（eu-west-1）的AWS基础设施上处理和存储。生物特征运算在同一区域执行。

境内处理 - 即针对特定司法辖区的本地数据驻留 - 可用于企业账户，具体取决于可用性和合同约定。 如果你需要的是特定地区，请直接询问目前有哪些地区可用，并索取书面确认。 可用地区会随时间变化，而这正是采购审查希望看到实际证据、而不是口头描述的那类承诺。

有一个区域值得明确说明，因为经常被问到：任何方案都没有俄罗斯处理区域，因此把数据保留在俄罗斯联邦境内的要求无法满足。

如果您的义务是本地存储而非本地处理，大多数客户采用的模式是处理后清除：通过Didit运行验证，通过Webhook接收结果，把需要的内容存到本国的自有基础设施上，随后立即从Didit删除会话。参阅删除会话和个人数据。

#获取 DPA

您已经有了。数据处理附录（DPA）是您的组织在注册时接受的商业条款与条件的附件2，服务水平协议（SLA）是附件1。两者也都单独发布（商业条款、Data Processing Addendum、Service Level Agreement），在免费和按需付费方案下构成您与Didit之间的第28条协议。GDPR第32条要求的技术与组织措施（TOMs）文件可向您的Didit对接人索取，无需NDA。

按需付费方案没有的是会签副本：合同就是按接受时的版本发布的条款，如果审计人员询问，支持团队可以确认您组织的接受日期。如果您的合规档案需要已签署的MSA、以您的文件形式签署的DPA或经协商的SLA，这需要配合预付额度协议，起点为2,000美元，并转换为永不过期的额度。请向您的Didit对接人提出，并准备好公司法定名称、签署人邮箱和注册国家。

如果您的组织依赖的是接受的条款而非签署副本，请让支持团队确认您接受的具体版本和时间。这是一个有确切答案的事实问题，也是审计人员会向您索要的答案。

#分包处理者

Didit 子处理者的完整最新名单在 didit.me/terms/sub-processors 公开，列出了每个子处理者的作用、处理的个人数据及处理地点。DPA 所引用的正是这份名单。有些子处理者为所有客户服务，例如在爱尔兰（eu-west-1）处理和存储验证数据的云基础设施；其他子处理者只有在您的工作流使用其所支持的功能时才会收到数据。

托管的验证页面运行两个监控工具：一个用于错误监控，一个用于产品分析，二者都在该名单上。它们接收的是会话的步骤和错误，以及页面布局、点击和滚动的已屏蔽录制内容，并关联到该会话的会话ID，绝不接收摄像头图像、证件图片、自拍或从证件读取的数据；不存储IP地址。详情见验证会收集哪些个人数据。

Didit 在新增或更换子处理者前至少提前30天通知，您可以基于数据保护理由提出异议，具体方式见DPA。

#回答一份安全问卷

安全审查所要求的大多数内容，都以文档形式存在。按问卷通常提问的大致顺序：

完整凭证清单及具体日期，参见认证与合规。

#这个页面无法替你做出的承诺

采购流程中出现的一些问题属于合同事项，而不是技术事项，坦率地说，它们应该写在一份经过协商的协议里：

• 关于删除的合同保证条款，并配有可核查的审计留痕或定期认证作为支撑。
• GDPR 时钟以外的数据泄露通知时限 - 例如澳大利亚"应通知数据泄露方案"（Notifiable Data Breaches） 的评估窗口期。
• 区域托管路线图及其具体时间节点。
• 你认为适用于自己的保留义务。

请把上述每一项都带到你的 Didit 对接人那里，并写入合同。 帮助页面上描述的承诺不等于一项承诺，把两者混为一谈，风险由你承担，而不是我们。

#来自你的用户的删除请求

你的用户是你的数据主体，删除请求会作为控制者送达给你。 你拥有可以直接处理它的工具：从控制台或 API 删除该会话，立即生效且不可逆。 参见删除会话与个人数据。

如果你的流程需要端到端自动化 - 让你产品中的一次请求触发这里的删除操作 - 那就是删除接口加上你自己的工作流， 这是一种已经被广泛验证过的模式。