Cumplimiento del RGPD

Última actualización: 20 de octubre de 2026

Esta página presenta la manera en que VerifAge cumple el Reglamento (UE) 2016/679, de 27 de abril de 2016 («RGPD»), y la Ley francesa n.º 78-17, de 6 de enero de 1978, modificada (Ley francesa de Protección de Datos, «loi Informatique et Libertés»). Complementa la Política de privacidad.

1. Nuestro enfoque: protección desde el diseño

VerifAge se basa en un principio sencillo: acreditar que una persona es mayor de edad sin revelar quién es.

• Minimización: solo se solicitan la dirección de correo electrónico, el número de teléfono y la fecha de nacimiento. Ni nombre, ni apellidos.
• Doble anonimato: los asociados no conocen la identidad del Usuario, y VerifAge no sabe ante qué asociados el Usuario acredita su mayoría de edad.
• Supresión rápida de los datos sensibles: el vídeo y el documento de identidad se borran desde el momento de la decisión del operador y, a más tardar, en un plazo de 15 días.
• Elección del método: el Usuario siempre puede validar su edad sin tratamiento biométrico (métodos 2, 3 y 4).

2. Responsable del tratamiento y DPO

Responsable del tratamiento:

• SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy
• RCS Nancy 918 907 809 – SIRET 918 907 809 00027 – contact@verifage.com

Delegado de protección de datos:

• D. Kamaloddin SHAYKHIAN – dpo@verifage.com

3. Papel de VerifAge respecto de los asociados

INOVA DIGI-TECH actúa en calidad de responsable del tratamiento para la gestión de las cuentas de Usuarios y la validación de su edad.

Los sitios web, las máquinas expendedoras y los puntos de venta asociados siguen siendo responsables de los tratamientos que realizan para su propia actividad. VerifAge les transmite únicamente un resultado binario (mayor de edad / no verificado), sin ningún dato de identidad, y no recibe de ellos ninguna información sobre las compras de los Usuarios.

El número de verificaciones se contabiliza por sitio o máquina expendedora, únicamente con fines de facturación, sin asociarse a la identidad ni a la cuenta del Usuario.

4. Tratamientos realizados

4.1 Gestión de las cuentas de Usuarios

• Datos: correo electrónico, teléfono, fecha de nacimiento, fecha de inscripción, método de validación, estado.
• Base legal: ejecución del contrato (artículo 6.1.b del RGPD).
• Duración: mientras la cuenta esté activa; después, supresión tras 3 años de inactividad.

4.2 Verificación de la edad por vídeo (método 1)

• Datos: vídeo del rostro, fotografía del documento de identidad, resultado del análisis.
• Base legal: consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD).
• Duración: supresión desde el momento de la decisión del operador y, a más tardar, 15 días después del envío.

4.3 Verificación ante un Operador autorizado (método 2)

• Datos: estado de validación e identificador del Operador que ha validado. Ninguna copia del documento de identidad.
• Base legal: ejecución del contrato.
• Duración: la de la cuenta.

4.4 Verificación mediante France Identité (método 3)

• Datos: únicamente la certificación «mayor de 18 años».
• Base legal: ejecución del contrato.
• Duración: la de la cuenta.

4.5 Validación por correo electrónico o teléfono registrado previamente (método 4)

• Datos: correo electrónico o número de teléfono introducido por el Operador, código de confirmación.
• Base legal: ejecución del contrato; el propio Usuario confirma la validación mediante un código.
• Duración: código válido durante 15 minutos; correo electrónico o teléfono conservado durante la vigencia de la cuenta.

4.6 Acreditación de la mayoría de edad ante los asociados

• Datos: tokens, códigos y códigos QR temporales (código QR renovado cada 30 segundos). No se conserva ningún historial.
• Base legal: ejecución del contrato.

4.7 Gestión de los Clientes profesionales y facturación

• Datos: sociedad, persona de contacto, mandato SEPA, facturas, número de verificaciones por sitio o máquina expendedora.
• Base legal: ejecución del contrato y obligación legal (artículo 6.1.c).
• Duración: duración de la relación y, después, 5 años; documentos contables 10 años.

4.8 Seguridad y prevención del fraude

• Datos: registros técnicos, dirección IP, denuncias.
• Base legal: interés legítimo (artículo 6.1.f).
• Duración: 12 meses como máximo.

4.9 Notificaciones y estabilidad de la aplicación

• Datos: identificador de notificación del dispositivo, informes de fallos.
• Base legal: ejecución del contrato e interés legítimo.
• Duración: la de la cuenta; informes de fallos 90 días como máximo.

4.10 Gestión de las solicitudes y del ejercicio de los derechos

• Datos: contenido de las comunicaciones, justificantes.
• Base legal: obligación legal e interés legítimo.
• Duración: 3 años a contar desde el cierre de la solicitud.

5. Datos biométricos

El vídeo del rostro utilizado en el método 1 pertenece a las categorías especiales de datos en el sentido del artículo 9 del RGPD. Este tratamiento se regula del siguiente modo:

• solo se lleva a cabo con el consentimiento explícito del Usuario, recabado antes de cualquier grabación;
• es facultativo: siempre se ofrecen otros métodos de validación, sin tratamiento biométrico;
• sirve únicamente para verificar la correspondencia entre el rostro y el documento de identidad, así como la edad, para una validación única;
• no se conserva ningún patrón biométrico después de la decisión;
• el análisis se realiza exclusivamente dentro de la Unión Europea;
• el vídeo y el documento de identidad se eliminan desde el momento de la decisión del operador y, a más tardar, 15 días después de su envío.

Este tratamiento es objeto de una evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD), que se mantiene actualizada.

6. Intervención humana

Ninguna decisión de denegación se basa exclusivamente en un tratamiento automatizado. El resultado del análisis mediante inteligencia artificial es examinado sistemáticamente por un Operador humano, que adopta la decisión final. De conformidad con el artículo 22 del RGPD, el Usuario puede expresar su punto de vista e impugnar cualquier decisión escribiendo a contact@verifage.com; su solicitud es objeto de un nuevo examen por parte de un Operador.

7. Encargados del tratamiento

INOVA DIGI-TECH recurre únicamente a encargados del tratamiento que ofrecen garantías suficientes, vinculados por un contrato conforme al artículo 28 del RGPD:

• Scaleway SAS (Francia) – alojamiento de los datos – datos alojados en Francia.
• Amazon Web Services, Amazon Bedrock (perfil de inferencia Europa) – análisis automatizado del vídeo y del documento de identidad – tratamiento en la Unión Europea.
• Brevo (Francia) – envío de los correos electrónicos transaccionales – Unión Europea.
• Twilio – envío de los SMS de confirmación – Estados Unidos.
• Viva – cobro de los adeudos domiciliados SEPA de los Clientes profesionales – Unión Europea.
• Google (Firebase) – notificaciones e informes de fallos de la aplicación Android e iOS.
• Apple – notificaciones de la aplicación iOS.

La lista actualizada de los encargados del tratamiento puede obtenerse previa solicitud al DPO.

8. Transferencias fuera de la Unión Europea

Los datos están alojados en Francia y los datos biométricos nunca salen de la Unión Europea.

Solo tratamientos limitados pueden implicar una transferencia a Estados Unidos: el envío de los SMS (Twilio: número de teléfono y código), así como las notificaciones y los informes de fallos (Google, Apple). Estas transferencias se basan en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework) y, en su defecto, en las cláusulas contractuales tipo o en normas corporativas vinculantes aprobadas.

9. Seguridad

De conformidad con el artículo 32 del RGPD, INOVA DIGI-TECH aplica medidas técnicas y organizativas adecuadas, en particular:

• cifrado de los datos en tránsito (TLS) y de los datos sensibles en reposo;
• compartimentación y restricción de los accesos según el principio del mínimo privilegio;
• autenticación reforzada de los Operadores y de los administradores;
• registro y trazabilidad de los accesos;
• supresión automática de los vídeos y de los documentos de identidad;
• copias de seguridad cifradas y procedimientos de continuidad;
• compromisos de confidencialidad de las personas habilitadas.

10. Violación de datos

En caso de violación de datos personales, INOVA DIGI-TECH la documenta, la notifica a la CNIL (Commission nationale de l’informatique et des libertés) en un plazo de 72 horas cuando pueda entrañar un riesgo para las personas, e informa a las personas afectadas a la mayor brevedad cuando dicho riesgo sea elevado.

11. Menores de edad

VerifAge está reservado a las personas mayores de edad. Cuando una verificación revela que una persona es menor de edad, su inscripción es denegada y sus datos son suprimidos.

12. Ejercicio de los derechos

Toda persona interesada dispone de los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, del derecho a retirar su consentimiento en todo momento, del derecho a no ser objeto de una decisión basada exclusivamente en un tratamiento automatizado y del derecho a establecer directrices relativas al destino de sus datos tras su fallecimiento.

Las solicitudes deberán dirigirse:

• por correo electrónico: dpo@verifage.com;
• por correo postal: DPO – SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy.

Se dará respuesta en el plazo de un mes, prorrogable dos meses en caso de solicitud compleja. Podrá solicitarse un justificante en caso de duda razonable sobre la identidad del solicitante. La copia de los datos se transmite mediante un enlace seguro válido durante 24 horas.

13. Reclamación ante la CNIL

Toda persona puede presentar una reclamación ante la Commission nationale de l’informatique et des libertés:

• CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 – www.cnil.fr

14. Actualización

Esta página se actualiza con cada evolución significativa de los tratamientos. La fecha de la última actualización figura al principio de la página.