Didit: Conformidade SOC 2 Tipo 1 – Abrangência e Significado (PT-BR)

Quando uma empresa dos EUA envia um questionário de segurança para um fornecedor, uma linha decide quanto tempo a análise levará: você tem um relatório SOC 2? A Didit tem. A Didit possui uma certificação SOC 2 Tipo 1, emitida pela ATOM como auditora de serviço independente sob a estrutura SOC para Organizações de Serviço do AICPA, cobrindo os critérios de confiança de Segurança, Disponibilidade e Confidencialidade a partir de 09/04/2026.

Este guia explica o que o SOC 2 Tipo 1 atesta, exatamente o que está no escopo para a Didit, a diferença entre Tipo 1 e Tipo 2, e como usar o relatório em sua própria due diligence.

Principais pontos

• A Didit possui uma certificação SOC 2 Tipo 1 da ATOM, uma auditora de serviço independente sob a estrutura AICPA SOC para Organizações de Serviço.
• Três critérios de serviço de confiança estão no escopo: Segurança, Disponibilidade e Confidencialidade.
• O Tipo 1 atesta o projeto dos controles em um determinado momento — aqui, a partir de 09/04/2026. Um exame Tipo 2, que testa a eficácia operacional durante um período, está planejado.
• A entidade auditada é a Didit Identity, Inc., e o sistema no escopo é o Aplicativo de Software Didit.
• O relatório completo é de uso restrito sob as regras do AICPA — a Didit o compartilha com prospects e clientes que têm uma necessidade legítima e um NDA em vigor. Ele é referenciado aqui, não publicado.

O que é SOC 2

SOC 2 (System and Organization Controls 2) é uma estrutura de certificação desenvolvida pelo American Institute of Certified Public Accountants (AICPA) para organizações de serviço que lidam com dados de clientes. Um auditor independente examina os controles de um provedor em relação a um ou mais Critérios de Serviço de Confiança e emite um relatório descrevendo o que foi examinado e o que o auditor concluiu.

Existem cinco critérios de serviço de confiança, e um provedor escolhe quais se aplicam ao seu serviço:

• Segurança — proteção de sistemas contra acesso não autorizado (o único critério que todo relatório SOC 2 inclui).
• Disponibilidade — o sistema está disponível para operação e uso conforme prometido.
• Confidencialidade — informações designadas como confidenciais são protegidas.
• Integridade do Processamento — o processamento é completo, válido, preciso e oportuno.
• Privacidade — as informações pessoais são tratadas de acordo com o aviso de privacidade do provedor.

O relatório da Didit cobre Segurança, Disponibilidade e Confidencialidade — os três mais relevantes para um provedor de identidade no caminho crítico do onboarding de clientes.

Tipo 1 vs Tipo 2 — a distinção que importa

A coisa mais importante a ser lida corretamente em qualquer relatório SOC 2 é se ele é Tipo 1 ou Tipo 2, porque eles atestam coisas diferentes:

	Tipo 1	Tipo 2
O que atesta	O projeto dos controles	A eficácia operacional dos controles
Período de tempo	Um ponto no tempo ("a partir de" uma data)	Um período (geralmente 3–12 meses)
Pergunta respondida	Os controles corretos estão em vigor e adequadamente projetados?	Esses controles realmente operaram eficazmente ao longo do tempo?

A certificação atual da Didit é Tipo 1, a partir de 09/04/2026 — ela confirma que os controles de Segurança, Disponibilidade e Confidencialidade estão em vigor e adequadamente projetados. Um exame Tipo 2, que testaria se esses controles operaram eficazmente durante um período, é o próximo exame no roteiro, planejado antes que a janela de uso do logotipo de 12 meses do relatório Tipo 1 se encerre. A Didit não reivindica o Tipo 2 hoje.

Por que isso importa

Para um comprador, um relatório SOC 2 é um atalho para "um auditor independente examinou os controles deste provedor para que você não precise fazer isso do zero". Ele comprime o que seria uma auditoria de segurança personalizada em um artefato padrão que sua equipe já sabe como ler. Para uma empresa dos EUA, fintech ou qualquer organização com um processo maduro de risco de fornecedores, a presença de um relatório SOC 2 geralmente determina se um provedor passa pela aquisição.

O Tipo 1 especificamente informa ao comprador que o ambiente de controle é projetado corretamente em um determinado momento — uma forte posição inicial, e o precursor natural da garantia de eficácia operacional que o Tipo 2 adicionará.

Como a Didit ajuda

Uma certificação reconhecida, pronta para seu questionário. O relatório SOC 2 Tipo 1 da Didit — entidade auditada Didit Identity, Inc., sistema no escopo o Aplicativo de Software Didit, auditor ATOM (Segurança da Informação e Privacidade) — responde diretamente à linha SOC 2 em um questionário de segurança dos EUA. Como Segurança, Disponibilidade e Confidencialidade estão todas no escopo, ele cobre os critérios que a maioria dos revisores se preocupa para uma dependência de onboarding.

Escopo honesto, sem exageros. A certificação da Didit é Tipo 1. Dizemos Tipo 1. O exame Tipo 2 está planejado e datado em nosso calendário de renovação (deve ser emitido antes de 09/04/2027, o encerramento da janela de uso do logotipo). Um comprador nunca precisa descobrir uma lacuna entre o que foi alegado e o que o relatório diz.

Compartilhado da maneira correta. O relatório SOC 2 Tipo 1 completo é de uso restrito sob as regras do AICPA. A Didit o compartilha com prospects e clientes que têm uma necessidade legítima e um NDA em vigor — o tratamento padrão e esperado para um relatório SOC 2. O hub de segurança e conformidade é o ponto de partida para solicitá-lo.

Parte de um conjunto, não autônomo. O SOC 2 Tipo 1 se junta à certificação ISO/IEC 27001:2022 da Didit (cert nº ES144068, válida até 03/06/2027), anti-spoofing biométrico iBeta Nível 1 PAD (0% de sucesso de ataque em 360 tentativas) e a conclusão do sandbox do governo espanhol de que a verificação remota da Didit excede os padrões presenciais. Juntos, eles fornecem a uma equipe de due diligence múltiplas e independentes linhas de garantia.

Análise aprofundada: como ler o relatório SOC 2 da Didit na due diligence

Quando sua equipe revisar o relatório sob NDA, estes são os elementos a serem confirmados:

• Tipo de relatório — Tipo 1 (projeto de controles). Observe o Tipo 2 planejado.
• Data de referência — 09/04/2026.
• Critérios de Serviço de Confiança — Segurança, Disponibilidade, Confidencialidade.
• Entidade auditada — Didit Identity, Inc.
• Sistema no escopo — o Aplicativo de Software Didit.
• Auditor — ATOM, uma auditora de serviço independente sob a estrutura AICPA SOC para Organizações de Serviço.

Combine o relatório SOC 2 com o certificado ISO 27001 distribuível para uma imagem completa de segurança da informação: o ISO 27001 comprova um sistema de gerenciamento certificado, o SOC 2 comprova controles examinados independentemente em relação aos critérios de confiança.

Casos de uso

• Aquisição de empresas dos EUA onde um relatório SOC 2 é um requisito obrigatório para a revisão de fornecedores.
• Compradores de fintech e pagamentos avaliando a segurança e disponibilidade de uma dependência de onboarding.
• Equipes de segurança e GRC mapeando os controles de um provedor para sua própria estrutura.
• Oficiais de conformidade montando um arquivo de fornecedor que precisa de garantia independente e reconhecida.

Perguntas frequentes

A Didit é SOC 2 Tipo 1 ou Tipo 2?

Tipo 1. O relatório atesta o projeto dos controles a partir de 09/04/2026, em Segurança, Disponibilidade e Confidencialidade. Um exame Tipo 2, que testa a eficácia operacional durante um período, está planejado.

Quais critérios de serviço de confiança o relatório abrange?

Segurança, Disponibilidade e Confidencialidade — os três mais relevantes para um provedor de identidade no caminho do onboarding.

Quem auditou a Didit?

ATOM, uma auditora de serviço independente sob a estrutura AICPA SOC para Organizações de Serviço.

Posso obter uma cópia do relatório?

O relatório SOC 2 Tipo 1 completo é de uso restrito sob as regras do AICPA. A Didit o compartilha com prospects e clientes que têm uma necessidade legítima e um NDA em vigor. Comece no hub de segurança e conformidade para solicitá-lo.

Quando o relatório SOC 2 Tipo 2 estará disponível?

Um exame Tipo 2 está planejado para ser emitido antes que a janela de uso do logotipo de 12 meses do relatório Tipo 1 se encerre (até 09/04/2027).

Pronto para começar?

Veja todo o conjunto de certificações da Didit no hub de segurança e conformidade, explore o serviço de verificação que o relatório abrange na página do produto de Verificação de Identidade, e revise os preços transparentes por verificação na página de preços. Quando estiver pronto, comece gratuitamente — 500 verificações KYC gratuitas todos os meses, em uma plataforma com certificação SOC 2 Tipo 1.