Verificación de identidad con Didit
Ruta de acceso: Menú lateral → Configuración → Verificación de identidad
Para responder una solicitud de acceso, rectificación, supresión, oposición o portabilidad, la organización tiene que saber que quien la pide es el titular (Art. 11 letra a de la Ley 21.719). El código por correo acredita que la persona controla un correo, no quién es.
Con Didit, la persona muestra su cédula de identidad y se toma una selfie: Didit comprueba que la cédula es auténtica, que la selfie corresponde a una persona real presente y que es la misma de la foto del documento. DPOLab compara además el RUN de la cédula con el RUT declarado en la solicitud.
Disponible en los planes Business y Enterprise. La configuran el Propietario y los Administradores de la organización; un asiento de consultor no puede cargar ni cambiar las credenciales.
Cómo funciona la cuenta
Cada organización usa su propia cuenta Didit. DPOLab no tiene una cuenta central ni ve las imágenes: la cédula y la selfie van directo de la persona a Didit. Eso tiene tres consecuencias:
- Didit es encargado de tu organización, no de DPOLab (Art. 15 bis). El contrato de encargo (DPA) lo firmas con Didit.
- Didit cobra a tu organización por cada verificación, según su lista de precios. Didit ofrece un cupo mensual gratuito por cuenta.
- Las imágenes quedan en los servidores de Didit, en la Unión Europea. Es una transferencia internacional de tu organización hacia su encargado (Arts. 27 y 28).
DPOLab guarda solo el resultado: si se aprobó o no, si el RUN coincide, el tipo de documento, el identificador de la sesión y un resumen verificable de la decisión. Nunca guarda la selfie, la foto de la cédula ni datos biométricos. A los 30 días de la decisión, DPOLab borra la sesión en Didit.
Cómo conectarla
Crea la aplicación en Didit
En la Business Console de Didit, crea una cuenta a nombre de tu organización y una aplicación. Usa el ambiente de pruebas (sandbox) hasta terminar de configurar.
Configura el workflow de verificación
En Didit, crea o elige un workflow de verificación de documento (KYC): cédula de identidad, prueba de vida y comparación facial. Un workflow solo de autenticación biométrica no sirve, porque no lee la cédula ni trae el RUN.
Aprovecha de configurar en Didit una retención corta (recomendado: 1 mes) y de desactivar la retención de plantillas biométricas.
Carga la API key y prueba la conexión
En Didit: Business Console → API & Webhooks, copia la API key. En DPOLab, pégala en Credenciales, elige el ambiente y pulsa Probar conexión.
La API key se guarda cifrada y no se vuelve a mostrar.
Elige el workflow
Al probar la conexión, DPOLab lista los workflows de tu aplicación. Elige el de verificación de documento.
Conecta el webhook
DPOLab te muestra una URL de webhook propia de tu organización. En Didit, ve a API & Webhooks → Add destination, pega la URL y selecciona el evento status.updated.
Didit muestra la clave del destino una sola vez: cópiala y pégala en DPOLab. Después pulsa Try Webhook en Didit. Cuando llega un webhook con firma válida, el paso queda en verde.
Si perdiste la clave del destino, borra el destino en Didit y crea otro. Si regeneras la URL en DPOLab, la anterior deja de funcionar de inmediato: pega la nueva en Didit y vuelve a probar.
Activa
Si falta algo, la pantalla lo lista junto al botón Activar. Si cambiaste la API key (por ejemplo, al pasar del sandbox a producción), crea el destino del webhook en la aplicación nueva y pega su clave: la del sandbox no sirve.
En producción, al pulsar Activar DPOLab te pide confirmar en un solo paso que:
- firmaste el DPA con Didit;
- configuraste en Didit una retención corta;
- desactivaste la retención de plantillas biométricas;
- revisaste el aviso biométrico y ofreces una vía de verificación sin biometría.
Cada declaración queda registrada con tu nombre y la fecha.
Cómo se usa
El DPO la pide en una solicitud
En el detalle de cualquier solicitud ARCOP, sin importar el canal por el que llegó, el DPO pulsa Solicitar verificación. La persona recibe un enlace por correo, válido por 7 días y para esa sola solicitud. Si actúa un representante, el DPO elige a quién verificar.
Nivel 3: al recibir la solicitud
En los widgets ARCOP y en el Centro de Privacidad puedes exigir el nivel 3. Antes de enviar, la persona valida su correo con un código. Al enviar, la solicitud se registra igual y pasa directo a verificarse; también recibe el enlace por correo, por si prefiere hacerlo desde el celular.
La verificación nunca impide presentar la solicitud. Tratar la imagen de una persona es tratar un dato biométrico, un dato sensible (Art. 16 ter), y la ley exige medios sencillos para ejercer los derechos (Art. 10). Si la persona no quiere o no puede usar su imagen, la solicitud sigue viva y el DPO acuerda con ella otra forma de acreditar su identidad.
Sin Didit: registrar una verificación manual
Si la persona no quiere o no puede usar su imagen, o si tu plan no incluye Didit, el DPO verifica por otro medio y deja constancia en el detalle de la solicitud con Registrar verificación manual: elige cómo lo hizo (cédula revisada en persona, copia de la cédula, videollamada u otro medio) y describe qué revisó. La solicitud queda como identidad verificada, con el método, quién lo registró y cuándo. Está disponible en todos los planes.
Si ya hay una verificación vigente para esa persona (aprobada, en curso o registrada a mano), pedir otra con Didit pide confirmación: es otro correo y, casi siempre, otro cobro.
El resultado
Antes de empezar, la persona ve un aviso con qué sistema se usa, para qué, por cuánto tiempo y cómo ejercer sus derechos, y tiene que aceptarlo. Al terminar, Didit avisa a DPOLab y el resultado aparece en el detalle de la solicitud.
El consentimiento queda registrado en el CMP, en la plantilla «Verificación de identidad con datos biométricos (Didit)», que DPOLab crea y mantiene: guarda la fecha, la versión y el resumen verificable del aviso que la persona aceptó, y entra en la cadena de consentimientos. La persona puede retirarlo desde el Centro de Privacidad; si lo hace, las imágenes que aún estén en Didit se borran de inmediato.
La solicitud queda como identidad verificada solo si Didit aprueba y el RUN de la cédula coincide con el RUT declarado. En cualquier otro caso (RUN distinto, documento sin RUN legible, sin RUT declarado, Registro Civil que no confirma) el resultado queda para revisión del DPO, con el motivo.
Topes contra abuso
Cada verificación puede tener un costo para tu organización, y en el nivel 3 las inicia cualquiera que valide un correo. Para que nadie gaste tu saldo:
| Tope | Límite |
|---|---|
| Verificaciones automáticas por organización | 30 al día |
| Por titular | 2 al día por correo y 2 por RUT |
| Por dirección IP | 5 al día |
| Códigos por correo del widget | 3 cada 15 minutos por correo; 10 por hora por IP |
Pasado un tope, la solicitud se recibe igual y el detalle indica que no se pidió la verificación automática. El DPO puede pedirla a mano. Las que pide el DPO no tienen tope.
Registros de cumplimiento
Activar Didit agrega un encargado, un tratamiento y una transferencia internacional a los registros de tu organización. Mientras no estén registrados, la pantalla de Verificación de identidad te propone crearlos:
- Didit como encargado, en Terceros.
- La actividad "Verificación de identidad de titulares ARCOP" en el Registro de Actividades, en borrador, para que la revises y completes.
- El flujo internacional hacia Didit (Unión Europea) en el Mapa de Datos. El país del sistema de origen lo completas tú: DPOLab no lo asume.
Nada se crea sin que lo confirmes. Revisa cada registro antes de aprobarlo: DPOLab propone un punto de partida, pero la calificación jurídica (base de licitud, plazos, garantías de la transferencia) es de tu organización.
El tratamiento de datos biométricos es un indicio fuerte para una evaluación de impacto (Art. 15 ter). Revisa la sugerencia de EIPD de la actividad antes de aprobarla.
Desactivar o eliminar
- Desactivar deja de ofrecer verificaciones nuevas. Las que están en curso terminan, y DPOLab sigue borrando las sesiones en Didit a los 30 días.
- Eliminar la configuración borra las credenciales y desactiva el nivel 3. Si todavía hay sesiones sin borrar en Didit, DPOLab te avisa antes: al eliminar, esas sesiones las tendrás que borrar desde la consola de Didit.
Los widgets y el portal que exigían el nivel 3 siguen recibiendo solicitudes; el detalle de cada una indica que no se pudo pedir la verificación.