# Didit 如何保护你的用户数据

Source: https://help.didit.me/zh/data-privacy/how-didit-protects-data
Updated: 2026-10-12

传输中 TLS 1.3、静态数据 AES-256、默认欧盟境内处理、独立审计的控制措施，以及你可自行配置的保留期 - 加上作为控制者仍需由你承担的责任。

传输中 TLS 1.3、静态数据 AES-256、**默认欧盟境内处理**、基于角色的访问控制，以及经 SOC 2 Type 2
和 ISO/IEC 27001 独立审计的各项控制措施。
Didit 是你的**数据处理者**；你仍然是控制者，并由你来配置数据保留期。

[Video: 数据保留：选择验证数据的删除时间 - Didit Academy](https://www.youtube.com/watch?v=Jj9mGbmA-xQ)

Didit 在每一个环节都对核验数据进行加密，并针对主要的安全与隐私标准接受独立认证，
因此你可以指向具体的证据，而不必只凭我们的一面之词。

## 加密与基础设施

所有数据在传输中使用 **TLS 1.3** 加密，静态存储时使用 **AES-256** 加密。
默认情况下，数据在**欧盟**境内处理和存储。
企业账户可以申请境内本地处理和本地数据驻留，具体取决于可用性和合同约定 -
参见[DPA、数据驻留与分包处理者](https://help.didit.me/zh/data-privacy/dpa-and-data-residency)。

## 处理者与控制者

Didit 扮演你的**数据处理者**角色。你仍然是**数据控制者**，这意味着：

- 你通过配置工作流，决定收集哪些数据。
- 你通过配置保留期，决定数据保存多久。
- 你负责合法处理依据，以及向你的用户提供的告知内容。

这种角色划分不仅在法律上重要，在实践中也同样重要：这正是为什么 Didit 无法替你的某位客户解释、
更改或推翻一项核验判定，也是为什么一个咨询自己核验结果的人，必须被引导去联系你，而不是 Didit。

## 独立认证

Didit 的安全与合规状况由外部审计师和监管机构验证，而不是自我声明的：

- **SOC 2 Type 2** - 一项独立审计，确认相关控制措施在一段观察期内持续有效运行，而不仅仅是纸面上存在。
- **ISO/IEC 27001** - 认证覆盖平台端到端的信息安全管理体系。
- **ISO/IEC 27017 与 27018** - 云安全专项与云隐私专项扩展条款。
- **GDPR** - 处理者角色，并落实第 32 条要求的技术和组织措施。
- **iBeta Level 1（ISO/IEC 30107-3）** - 经独立实验室测试的生物识别反欺骗能力。

完整清单（含日期与报告获取方式）：[认证与合规](https://help.didit.me/zh/data-privacy/certifications-and-compliance)。

## 访问控制与监控

报告生成和导出会连同操作者记录在**审计日志**中。请参阅[审计日志](https://help.didit.me/zh/account-organization/audit-logs)。

在你这一侧，访问控制是你自己的配置项：参见[邀请团队成员并设置角色](https://help.didit.me/zh/account-organization/team-members-and-roles)，
并在有人离职时及时轮换 API 密钥。

## 存储与删除由你掌控

数据保存多久由你决定。
在 **App Settings → Data retention** 中，按应用设置保留窗口，范围从**一个月到十年**，也可以设为不限。
你也可以随时从控制台或 API 删除单个会话，删除是立即生效且不可逆的。

删除具体覆盖哪些内容，参见[删除会话与个人数据](https://help.didit.me/zh/data-privacy/delete-verification-data)，
其中也包含"处理后即删除"模式，供你选择完全不在这里保留数据。

## 仍然由你承担的责任

使用 Didit 并不会把你对用户的义务转移出去。你仍然需要：

- **告知用户正在发生什么** - 是你的公司发起了这次核验请求，并由服务商执行核验。
- **提供你自己的隐私声明**，与 Didit 的声明并列展示。
- **收集你的法务团队要求的同意**，然后再进行证件、自拍或生物识别信息的采集。
  在大多数法律体系下，生物识别数据受到的保护比普通个人数据更严格。
- **处理你的用户提出的数据主体请求。** 有人要求你删除他们的数据，请求对象是他们的控制者 - 也就是你 -
  而你拥有可以直接处理这类请求的删除工具。

对流程进行白标改造，改变的是这些告知信息展示的位置，而不是你是否仍然需要提供它们。
参见[定制品牌形象](https://help.didit.me/zh/workflows/customize-branding-and-experience)。

## 在你自己的隐私政策中描述 Didit

如何在自己的政策中描述一个处理者，是你的法务团队应该做出的措辞决策，但他们大概率需要的两个事实是：
Didit 是按你的指示行事的处理者；数据默认在欧盟境内处理，保留期可配置，删除可通过 API 完成。

如果你需要具体措辞，请索取 DPA 和技术组织措施文件，让你的法律顾问据此起草，而不是照抄一篇帮助文章。