Compliment per Disseny: L'Stack Complet d'Atestacions de Didit (CA)

Qualsevol pot dir que la seva plataforma d'identitat és segura i compliant. Molts menys poden lliurar-te els informes independents que ho demostren. La postura de compliment de Didit és un actiu demostrable: cinc atestacions externes — que cobreixen la seguretat de la informació, la anti-suplantació biomètrica i l'adequació legal de l'onboarding remot — incloent l'única atestació governamental d'un estat membre de la UE que una eina de verificació d'identitat remota compleix i supera els estàndards d'identificació presencial.

Aquesta publicació és l'únic lloc per entendre la pila completa: què és cada atestació, qui la va emetre, què cobreix exactament i com la pots utilitzar en la diligència deguda, RFPs i adquisicions. Sense exageracions: els nivells i les dates s'indiquen amb precisió, perquè en el compliment, la precisió és el valor.

Punts clau

• SOC 2 Tipus 1 — atestació de control d'organització de serveis (Seguretat, Disponibilitat, Confidencialitat) per ATOM, a partir del 2026-04-09. Examen Tipus 2 planificat. Ús restringit (NDA).
• ISO/IEC 27001:2022 — sistema de gestió de seguretat de la informació, certificat per Bureau Veritas, cert núm. ES144068, vàlid fins al 2027-06-03. Distribuïble.
• iBeta Nivell 1 PAD — Detecció d'Atacs de Presentació biomètrica sota ISO/IEC 30107-3, 0% d'èxit d'atac / 0% IAPAR en 360 intents. Distribuïble.
• Tesoro / SEPBLAC / CNMV — Conclusió del sandbox financer espanyol que la verificació remota de Didit compleix i supera la identificació presencial. Publicada públicament, permanent. El diferenciador insígnia de la UE.
• finReg360 — memo EBA/GL/2022/15 — opinió legal independent (2026-04-28) que l'onboarding remot de Didit és adequat segons les directrius d'onboarding remot de l'EBA i el Reglament Únic AML de la UE. Distribuïble.
• Junts cobreixen les tres preguntes que tot comprador es fa: la vostra seguretat és sòlida, la vostra biometria és resistent a la suplantació i el vostre onboarding és legalment adequat?

Què requereix "compliant per disseny"

Un comprador que valora un proveïdor de verificació d'identitat en realitat està realitzant tres auditories alhora:

1. Seguretat de la informació — la plataforma és segura? Les dades del client estan protegides? Els controls estan dissenyats i gestionats segons un estàndard reconegut?
2. Integritat biomètrica — la vivacitat i la coincidència facial es poden enganyar amb fotos, reproduccions, màscares o deepfakes?
3. Adequació regulatòria — l'ús d'aquesta eina satisfà realment la llei a la qual està subjecte el comprador, especialment per a l'onboarding remot?

Un proveïdor que respon a les tres amb evidència independent de tercers — en lloc d'una autoavaluació — redueix un cicle de diligència deguda de diverses setmanes a una carpeta de documents. Això és el que significa "compliant per disseny" a la pràctica: la prova existeix abans que el comprador la demani.

Per què és important

L'evidència de compliment ja no és un "agradable de tenir" a la fase final del cicle de vendes, és una porta. Els equips d'adquisicions de bancs i EMIs, els MLROs de VASPs de cripto i els revisors de seguretat d'empreses no signaran sense ella. El qüestionari arriba aviat i l'acord s'atura fins que arriben els artefactes.

El proveïdor que pot produir immediatament un informe SOC 2, un certificat ISO 27001, un resultat iBeta, una conclusió de sandbox governamental i una opinió legal independent no només passa la porta, sinó que escurça el cicle i redueix el risc de la decisió per a l'equip de compliment del comprador. Cada atestació elimina una raó per dir que no.

Com ajuda Didit: les cinc atestacions

1. SOC 2 Tipus 1 (ATOM)

Una atestació de control d'organització de serveis contra els Criteris de Serveis de Confiança de l'AICPA per a la Seguretat, Disponibilitat i Confidencialitat, emesa per ATOM. Informa sobre el disseny dels controls de Didit a partir del 2026-04-09. Un examen Tipus 2 — efectivitat operativa durant un període — és el següent pas planificat. L'informe complet és d'ús restringit segons les normes de l'AICPA i es comparteix amb prospectes i clients que tenen una necessitat legítima i un NDA en vigor. Utilitzeu-lo per a qüestionaris de seguretat d'empreses dels EUA i adquisicions de fintech.

2. ISO/IEC 27001:2022 (Bureau Veritas, cert núm. ES144068)

Certificació del sistema de gestió de seguretat de la informació, ciberseguretat i privacitat de Didit, emesa per Bureau Veritas Certification (acreditat per ENAC). Número de certificat ES144068, certificat originalment el 2026-04-07, vàlid fins al 2027-06-03. Demostra un sistema de seguretat de la informació gestionat i auditat, el que s'espera de les adquisicions de la UE i dels clients financers regulats. Distribuïble a petició.

3. iBeta Nivell 1 PAD (ISO/IEC 30107-3)

Una avaluació independent de Detecció d'Atacs de Presentació biomètrica per iBeta Quality Assurance (un laboratori acreditat per NIST/NVLAP) segons ISO/IEC 30107-3, Nivell 1. La prova va realitzar 6 tipus d'atacs de presentació en subjectes inscrits durant 360 intents d'atac — i va registrar una taxa d'èxit d'atac del 0% / 0% IAPAR. Aquesta és l'evidència auditada darrere de les afirmacions anti-suplantació de Didit. Distribuïble a petició. (És Nivell 1, no Nivell 2 — indicat amb precisió.)

4. Conclusió del sandbox de Tesoro / SEPBLAC / CNMV

El diferenciador insígnia. Dins del sandbox financer espanyol, la CNMV espanyola — revisant en coordinació amb el SEPBLAC (la Unitat d'Intel·ligència Financera espanyola) — va concloure que la verificació d'identitat remota de Didit (lectura criptogràfica de xips NFC més biometria facial amb vivacitat activa) compleix i supera els estàndards d'identificació presencial. Les proves es van realitzar del 2024-11 al 2025-07, amb conclusions publicades el febrer de 2026 al lloc web del Tresor espanyol. Aquesta és l'única atestació governamental d'un estat membre de la UE d'aquest tipus, està publicada públicament i és permanent. Distribuïble.

5. finReg360 — memo d'adequació EBA/GL/2022/15

Una opinió legal independent de finReg360 (Madrid), datada el 2026-04-28, que conclou que l'eina d'onboarding de clients remota de Didit compleix les Directrius de l'EBA sobre l'onboarding de clients remots (EBA/GL/2022/15) i és compatible amb el Reglament Únic AML de la UE — i que el procés d'identificació per vídeo no requereix revisió manual humana quan els controls automàtics de Didit estan en funcionament. El document que un MLRO pot presentar a una junta o supervisor. Distribuïble a petició.

Anàlisi en profunditat: quina atestació respon a quina pregunta

Diferents compradors tenen diferents preocupacions. Així és com cal cercar el document adequat:

• "La vostra plataforma és segura / com protegiu les nostres dades?" → SOC 2 Tipus 1 (sota NDA) i ISO/IEC 27001:2022 (certificat ES144068).
• "Es pot suplantar la vostra vivacitat?" → iBeta Nivell 1 PAD: 0% d'èxit d'atac en 360 intents.
• "L'ús de la vostra solució satisfà realment les nostres obligacions d'onboarding remot?" → el memo finReg360 EBA/GL/2022/15, recolzat per la conclusió governamental de Tesoro/SEPBLAC/CNMV.
• "Per què hauríem de confiar en el remot en lloc del presencial?" → la conclusió de Tesoro/SEPBLAC/CNMV que Didit compleix i supera la identificació presencial.

Una nota sobre la compartició: ISO 27001, iBeta, l'informe de Tesoro/SEPBLAC/CNMV i el memo de finReg360 són distribuïbles a petició; l'informe SOC 2 és d'ús restringit i només es comparteix sota NDA. Les atestacions es referencien en materials; l'informe restringit en si no es publica.

Casos d'ús

• Adquisicions d'empreses i bancs que requereixen SOC 2 i ISO 27001 abans de signar.
• MLROs de VASPs de cripto que necessiten evidència d'adequació legal per a l'onboarding remot segons les normes de la UE.
• Equips de seguretat que avaluen la biometria anti-suplantació amb un resultat de laboratori independent.
• Vendes a la UE on la conclusió del sandbox governamental és el diferenciador decisiu respecte als competidors.

Preguntes freqüents

El SOC 2 de Didit és de Tipus 1 o Tipus 2?

És una atestació de Tipus 1, que informa sobre el disseny dels controls a partir del 2026-04-09. Està previst un examen de Tipus 2. L'informe és d'ús restringit i es comparteix sota NDA.

Quin nivell té el resultat iBeta PAD?

Nivell 1 segons ISO/IEC 30107-3, amb una taxa d'èxit d'atac del 0% / 0% IAPAR en 360 intents d'atac.

Què fa única la conclusió de Tesoro/SEPBLAC/CNMV?

És l'única atestació governamental d'un estat membre de la UE que una eina de verificació d'identitat remota compleix i supera la identificació presencial, i està publicada públicament i és permanent.

Quins documents puc rebre sense NDA?

ISO/IEC 27001:2022, la carta iBeta Nivell 1 PAD, la conclusió de Tesoro/SEPBLAC/CNMV i el memo de finReg360 són distribuïbles a petició. L'informe SOC 2 Tipus 1 requereix un NDA.

Didit és un prestador de serveis de confiança qualificat certificat per eIDAS?

No. Didit s'alinea i dóna suport als marcs rellevants de la UE, però no és un QTSP certificat; aquestes cinc atestacions són les que posseeix avui.

Preparat per començar?

Vegeu totes les atestacions de Didit al centre de confiança, exploreu el producte de verificació d'identitat i reviseu els preus transparents a la pàgina de preus. Quan estigueu a punt, comenceu de forma gratuïta — 500 verificacions KYC gratuïtes cada mes, amb un flux de verificació bàsic des de 0,33 $.