Didit 如何保护你的用户数据

传输中 TLS 1.3、静态数据 AES-256、默认欧盟境内处理、独立审计的控制措施，以及你可自行配置的保留期 - 加上作为控制者仍需由你承担的责任。

Didit 支持团队撰写 · 更新于 2026年8月19日

Didit 在每一个环节都对核验数据进行加密，并针对主要的安全与隐私标准接受独立认证， 因此你可以指向具体的证据，而不必只凭我们的一面之词。

#加密与基础设施

所有数据在传输中使用 TLS 1.3 加密，静态存储时使用 AES-256 加密。 默认情况下，数据在欧盟境内处理和存储。 企业账户可以申请境内本地处理和本地数据驻留，具体取决于可用性和合同约定 - 参见DPA、数据驻留与分包处理者。

#处理者与控制者

Didit 扮演你的数据处理者角色。你仍然是数据控制者，这意味着：

• 你通过配置工作流，决定收集哪些数据。
• 你通过配置保留期，决定数据保存多久。
• 你负责合法处理依据，以及向你的用户提供的告知内容。

这种角色划分不仅在法律上重要，在实践中也同样重要：这正是为什么 Didit 无法替你的某位客户解释、 更改或推翻一项核验判定，也是为什么一个咨询自己核验结果的人，必须被引导去联系你，而不是 Didit。

#独立认证

Didit 的安全与合规状况由外部审计师和监管机构验证，而不是自我声明的：

• SOC 2 Type 2 - 一项独立审计，确认相关控制措施在一段观察期内持续有效运行，而不仅仅是纸面上存在。
• ISO/IEC 27001 - 认证覆盖平台端到端的信息安全管理体系。
• ISO/IEC 27017 与 27018 - 云安全专项与云隐私专项扩展条款。
• GDPR - 处理者角色，并落实第 32 条要求的技术和组织措施。
• iBeta Level 1（ISO/IEC 30107-3） - 经独立实验室测试的生物识别反欺骗能力。

完整清单（含日期与报告获取方式）：认证与合规。

#访问控制与监控

对核验数据的访问基于角色控制，因此只有你我双方团队中获得授权的人员才能访问。 每一次 API 操作都会记录时间戳、操作用户或应用，以及来源 IP，并保留 365 天。 基础设施受到持续监控，并定期接受第三方渗透测试，发现的问题会被跟踪整改。

在你这一侧，访问控制是你自己的配置项：参见邀请团队成员并设置角色， 并在有人离职时及时轮换 API 密钥。

#存储与删除由你掌控

数据保存多久由你决定。 在 App Settings → Data retention 中，按应用设置保留窗口，范围从一个月到十年，也可以设为不限。 你也可以随时从控制台或 API 删除单个会话，删除是立即生效且不可逆的。

删除具体覆盖哪些内容，参见删除会话与个人数据， 其中也包含"处理后即删除"模式，供你选择完全不在这里保留数据。

#仍然由你承担的责任

使用 Didit 并不会把你对用户的义务转移出去。你仍然需要：

• 告知用户正在发生什么 - 是你的公司发起了这次核验请求，并由服务商执行核验。
• 提供你自己的隐私声明，与 Didit 的声明并列展示。
• 收集你的法务团队要求的同意，然后再进行证件、自拍或生物识别信息的采集。 在大多数法律体系下，生物识别数据受到的保护比普通个人数据更严格。
• 处理你的用户提出的数据主体请求。 有人要求你删除他们的数据，请求对象是他们的控制者 - 也就是你 - 而你拥有可以直接处理这类请求的删除工具。

对流程进行白标改造，改变的是这些告知信息展示的位置，而不是你是否仍然需要提供它们。 参见定制品牌形象。

#在你自己的隐私政策中描述 Didit

如何在自己的政策中描述一个处理者，是你的法务团队应该做出的措辞决策，但他们大概率需要的两个事实是： Didit 是按你的指示行事的处理者；数据默认在欧盟境内处理，保留期可配置，删除可通过 API 完成。

如果你需要具体措辞，请索取 DPA 和技术组织措施文件，让你的法律顾问据此起草，而不是照抄一篇帮助文章。