使用 Didit API 遵守 GDPR 第 28 条：数据处理者的关键指南 (ZH)

理解第 28 条GDPR 第 28 条对数据处理者规定了严格的条件，要求他们仅根据控制者的书面指示行事，并实施充分的安全措施以保护个人数据。

控制者-处理者关系一份清晰、具有法律约束力的合同（数据处理协议）至关重要，它明确了数据控制者和处理者之间的角色、责任和数据保护条款。

技术和组织措施处理者必须采用最先进的安全技术，包括加密、假名化、定期测试和强大的访问控制，以确保数据完整性和保密性。

Didit 的合规优势Didit 的 AI 原生、模块化身份平台提供内置安全性、审计跟踪和可配置工作流程，使企业能够高效且有效地满足第 28 条要求。

在当今数据驱动的世界中，遵守《通用数据保护条例》（GDPR）等法规不仅是一项法律义务，更是任何处理个人数据的企业建立信任的基石。对于作为数据处理者，特别是在身份验证领域的公司而言，理解和实施 GDPR 第 28 条至关重要。本文深入探讨了第 28 条的复杂性，并展示了 Didit 先进的 API 驱动身份平台如何成为您实现和维护合规性最有效的工具。

什么是 GDPR 第 28 条，它为何重要？

GDPR 第 28 条规定了数据处理者角色的条件。它明确指出，数据控制者（决定数据处理的“原因”和“方式”的实体）只能聘用那些提供足够保证来实施适当的技术和组织措施，以满足 GDPR 要求并保护数据主体权利的处理者。实质上，它确保当一家公司（控制者）将数据处理外包时，该外包实体（处理者）必须遵守相同的高标准数据保护要求。

对于身份处理者而言，这意味着要确保验证过程的每一步——从通过身份验证（OCR、MRZ、条形码）收集数据，到生物识别检查，如被动和主动活体检测以及 1:1 人脸匹配——都以最谨慎、安全和透明的方式处理。不合规可能导致严厉的处罚、声誉损害以及客户信任的严重丧失。

第 28 条下数据处理者的关键要求

第 28 条为数据处理者概述了几项关键任务：

1. 书面指示：处理者必须仅根据控制者的书面指示处理个人数据。这意味着不能独立做出处理决定。
2. 保密性：处理者必须确保被授权处理个人数据的人员已承诺保密，或受适当的法定保密义务约束。
3. 处理安全：处理者必须实施适当的技术和组织措施，以确保与风险相称的安全水平。这通常包括个人数据的假名化和加密，确保处理系统和服务的持续保密性、完整性、可用性和弹性，以及在发生物理或技术事件时及时恢复个人数据的可用性和访问能力。
4. 子处理者：未经控制者事先特定或一般书面授权，处理者不得聘用其他处理者（子处理者）。获得授权后，处理者必须对子处理者施加与控制者和处理者之间合同中相同的个人数据保护义务。
5. 协助控制者：处理者必须协助控制者确保其义务的履行，尤其是在数据主体权利请求、数据保护影响评估和安全漏洞通知方面。
6. 数据删除或返回：服务完成后，处理者必须根据控制者的选择，删除或将所有个人数据返回给控制者，并删除现有副本，除非法律要求存储个人数据。
7. 审计权：处理者必须向控制者提供所有必要信息，以证明其遵守第 28 条，并允许并协助控制者或由控制者授权的其他审计师进行的审计，包括检查。

Didit 平台的设计考虑了这些原则，提供直接支持符合这些要求的特性。例如，我们强大的审计跟踪功能以及为任何验证会话生成符合合规性要求的 PDF 报告（通过 Generate PDF API）的能力，直接解决了透明度和可审计性的需求。

技术和组织措施 (TOMs) 的重要性

“适当的技术和组织措施”条款是数据处理者面临实际挑战的地方。这不仅仅是制定隐私政策；它涉及将数据保护嵌入到系统架构中。对于身份验证，这包括：

• 数据最小化：仅收集验证目的绝对必要的数据。
• 加密：保护传输中和静态的数据。
• 访问控制：限制谁可以访问敏感身份数据。
• 定期安全审计：主动识别和缓解漏洞。Didit 已通过 ISO 27001 认证、GDPR 合规，并通过 iBeta Level 1 认证，证明了我们对企业级安全的承诺。
• 事件响应：制定明确的数据泄露处理程序。
• 数据保留政策：遵守与控制者指示相符的数据存储期限。

Didit 的 AI 原生架构确保这些 TOMs 从一开始就内置在其中。我们平台的模块化设计允许控制者精确配置工作流程，确保仅处理必要的数据。例如，年龄估计可用于限制年龄的服务，而无需收集完整的身份详细信息，从而遵循数据最小化原则。

Didit 如何帮助实现 GDPR 第 28 条合规性

Didit 旨在成为寻求符合 GDPR 第 28 条身份验证的数据控制者的理想合作伙伴。我们的平台提供必要的工具和保证：

• 可配置工作流程：Didit 的编排工作流程可通过我们的业务控制台访问，允许控制者设计多步骤身份验证旅程，包括 KYC、年龄检查和 AML 筛选与监控。这确保了处理过程与书面指示和特定合规需求精确对齐。
• 强大的安全和认证：Didit 采用企业级安全构建，已通过 ISO 27001、ISO 27017 和 ISO 27018 认证，并通过 iBeta Level 1 活体检测认证。我们还为欧盟 AI 法案做好了准备，提供了信任和合规的基础。
• 全面的审计跟踪：每次验证会话都会生成详细记录，我们的 Generate PDF API 允许创建符合合规性要求的报告，这对于证明问责制和协助控制者审计至关重要。
• 设计时的数据最小化：像保护隐私的年龄估计等功能使企业能够在不过度收集个人数据的情况下满足合规要求。
• 全球覆盖：Didit 的身份验证支持来自 220 多个国家/地区的文件，确保无论地理位置如何，都能进行一致且合规的处理。
• 开发者优先方法：清晰的 API 和即时沙盒使控制者能够完全控制和透明地集成和管理其身份流程，满足书面指示要求。

Didit 对安全性、模块化和 AI 原生设计的承诺意味着，作为数据处理者，我们为保护个人数据提供了最高保证，使我们的客户能够简化和可靠地遵守第 28 条。我们的免费核心 KYC 产品允许企业无需前期投资即可开始构建这些合规工作流程，突显了我们对可访问、安全身份解决方案的承诺。

准备好开始了吗？

准备好亲身体验 Didit 了吗？立即获取免费演示。

使用 Didit 的免费套餐免费开始验证身份。