אזור לקוחות

עמידה בתקנות GDPR

עודכן ב-23 באוקטובר 2026

עדכון אחרון: 20 באוקטובר 2026

עמוד זה מציג את האופן שבו VerifAge עומד בתקנה (EU) 2016/679 מיום 27 באפריל 2016 ("GDPR") ובחוק מס׳ 78-17 מיום 6 בינואר 1978 כפי שתוקן, הוא חוק הגנת המידע הצרפתי ("loi Informatique et Libertés"). הוא משלים את מדיניות הפרטיות.

1. הגישה שלנו: הגנה כבר בשלב התכנון

VerifAge מבוסס על עיקרון פשוט: להוכיח שאדם הוא בגיר, מבלי לחשוף מיהו.

  • מזעור: מתבקשים אך ורק כתובת הדוא״ל, מספר הטלפון ותאריך הלידה. לא שם משפחה ולא שם פרטי.
  • אנונימיות כפולה: השותפים אינם יודעים את זהות המשתמש, ו-VerifAge אינו יודע בפני אילו שותפים המשתמש מוכיח את בגירותו.
  • מחיקה מהירה של נתונים רגישים: הסרטון ומסמך הזיהוי נמחקים מיד עם החלטת המפעיל, לכל המאוחר בתוך 15 ימים.
  • בחירת השיטה: המשתמש יכול תמיד לאמת את גילו ללא עיבוד ביומטרי (שיטות 2, 3 ו-4).

2. בעל השליטה במידע והממונה על הגנת המידע

בעל השליטה במידע:

  • SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy
  • RCS Nancy 918 907 809 – SIRET 918 907 809 00027 – contact@verifage.com

הממונה על הגנת המידע:

3. תפקידו של VerifAge ביחס לשותפים

INOVA DIGI-TECH פועלת כבעלת השליטה במידע לצורך ניהול חשבונות המשתמשים ואימות גילם.

אתרי האינטרנט, מכונות הממכר האוטומטיות ונקודות המכירה השותפים נותרים אחראים לעיבודים שהם מבצעים לצורך פעילותם שלהם. VerifAge מעביר להם אך ורק תוצאה בינארית (בגיר / לא מאומת), ללא כל נתון זיהוי, ואינו מקבל מהם כל מידע על רכישות המשתמשים.

מספר האימותים נספר לכל אתר או מכונה, לצורכי חיוב בלבד, מבלי שיקושר לזהות המשתמש או לחשבונו.

4. עיבודים המבוצעים

4.1 ניהול חשבונות משתמשים

  • נתונים: דוא״ל, טלפון, תאריך לידה, תאריך הרשמה, שיטת אימות, סטטוס.
  • בסיס משפטי: ביצוע החוזה (סעיף 6.1.b ל-GDPR).
  • משך: כל עוד החשבון פעיל, ולאחר מכן מחיקה לאחר 3 שנים של חוסר פעילות.

4.2 אימות גיל באמצעות וידאו (שיטה 1)

  • נתונים: סרטון הפנים, תצלום מסמך הזיהוי, תוצאת הניתוח.
  • בסיס משפטי: הסכמה מפורשת (סעיפים 6.1.a ו-9.2.a ל-GDPR).
  • משך: מחיקה מיד עם החלטת המפעיל, לכל המאוחר 15 ימים לאחר השליחה.

4.3 אימות אצל מפעיל מורשה (שיטה 2)

  • נתונים: סטטוס האימות ומזהה המפעיל שאישר. ללא העתק של מסמך הזיהוי.
  • בסיס משפטי: ביצוע החוזה.
  • משך: משך קיום החשבון.

4.4 אימות באמצעות France Identité (שיטה 3)

  • נתונים: אישור "מעל גיל 18" בלבד.
  • בסיס משפטי: ביצוע החוזה.
  • משך: משך קיום החשבון.

4.5 אימות באמצעות דוא״ל או טלפון שנרשמו מראש (שיטה 4)

  • נתונים: כתובת דוא״ל או מספר טלפון שהוזנו על ידי המפעיל, קוד אישור.
  • בסיס משפטי: ביצוע החוזה; המשתמש מאשר בעצמו את האימות באמצעות קוד.
  • משך: הקוד תקף למשך 15 דקות; הדוא״ל או הטלפון נשמרים למשך קיום החשבון.

4.6 הוכחת בגירות בפני השותפים

  • נתונים: Tokens, קודים ו-QR codes זמניים (ה-QR code מתחדש כל 30 שניות). לא נשמרת כל היסטוריה.
  • בסיס משפטי: ביצוע החוזה.

4.7 ניהול הלקוחות העסקיים וחיוב

  • נתונים: חברה, איש קשר, הרשאת SEPA, חשבוניות, מספר האימותים לכל אתר או מכונה.
  • בסיס משפטי: ביצוע החוזה וחובה חוקית (סעיף 6.1.c).
  • משך: משך ההתקשרות ולאחר מכן 5 שנים; מסמכים חשבונאיים 10 שנים.

4.8 אבטחה ומניעת הונאה

  • נתונים: יומנים טכניים, כתובת IP, דיווחים.
  • בסיס משפטי: אינטרס לגיטימי (סעיף 6.1.f).
  • משך: 12 חודשים לכל היותר.

4.9 התראות ויציבות האפליקציה

  • נתונים: מזהה ההתראות של המכשיר, דוחות קריסה.
  • בסיס משפטי: ביצוע החוזה ואינטרס לגיטימי.
  • משך: משך קיום החשבון; דוחות קריסה 90 ימים לכל היותר.

4.10 ניהול פניות ומימוש זכויות

  • נתונים: תוכן ההתכתבות, מסמכים תומכים.
  • בסיס משפטי: חובה חוקית ואינטרס לגיטימי.
  • משך: 3 שנים ממועד סגירת הפנייה.

5. נתונים ביומטריים

סרטון הפנים המשמש בשיטה 1 נמנה עם הקטגוריות המיוחדות של נתונים כמשמעותן בסעיף 9 ל-GDPR. עיבוד זה מוסדר כדלקמן:

  • הוא מבוצע רק בהסכמתו המפורשת של המשתמש, הנאספת לפני כל הקלטה;
  • הוא אופציונלי: שיטות אימות אחרות, ללא עיבוד ביומטרי, מוצעות תמיד;
  • הוא משמש אך ורק לבדיקת ההתאמה בין הפנים למסמך הזיהוי, וכן לבדיקת הגיל, לצורך אימות חד-פעמי;
  • לא נשמרת כל תבנית ביומטרית לאחר ההחלטה;
  • הניתוח מבוצע אך ורק בתוך האיחוד האירופי;
  • הסרטון ומסמך הזיהוי נמחקים מיד עם החלטת המפעיל, ולכל המאוחר 15 ימים לאחר שליחתם.

עיבוד זה הוא מושא להערכת השפעה על הגנת המידע (סעיף 35 ל-GDPR), המתעדכנת באופן שוטף.

6. התערבות אנושית

אף החלטת סירוב אינה מבוססת אך ורק על עיבוד אוטומטי. תוצאת הניתוח באמצעות בינה מלאכותית נבחנת באופן שיטתי על ידי מפעיל אנושי, המקבל את ההחלטה הסופית. בהתאם לסעיף 22 ל-GDPR, המשתמש רשאי להביע את עמדתו ולערער על כל החלטה בפנייה בכתב לכתובת contact@verifage.com; בקשתו תיבחן מחדש על ידי מפעיל.

7. מעבדי משנה

INOVA DIGI-TECH נעזרת אך ורק במעבדי משנה המציגים ערובות מספקות, המחויבים בחוזה התואם את סעיף 28 ל-GDPR:

  • Scaleway SAS (צרפת) – אחסון הנתונים – הנתונים מאוחסנים בצרפת.
  • Amazon Web Services, Amazon Bedrock (פרופיל הסקה אירופה) – ניתוח אוטומטי של הסרטון ושל מסמך הזיהוי – עיבוד בתוך האיחוד האירופי.
  • Brevo (צרפת) – שליחת הודעות דוא״ל תפעוליות – האיחוד האירופי.
  • Twilio – שליחת הודעות SMS לאישור – ארצות הברית.
  • Viva – גביית חיובי SEPA מהלקוחות העסקיים – האיחוד האירופי.
  • Google (Firebase) – התראות ודוחות קריסה של האפליקציה ל-Android ול-iOS.
  • Apple – התראות של האפליקציה ל-iOS.

ניתן לקבל את רשימת מעבדי המשנה המעודכנת על פי בקשה מהממונה על הגנת המידע.

8. העברות אל מחוץ לאיחוד האירופי

הנתונים מאוחסנים בצרפת, והנתונים הביומטריים לעולם אינם יוצאים מהאיחוד האירופי.

רק עיבודים מוגבלים עשויים לכלול העברה לארצות הברית: שליחת הודעות SMS (Twilio: מספר טלפון וקוד), וכן התראות ודוחות קריסה (Google, Apple). העברות אלה מבוססות על החלטת הנאותות של הנציבות האירופית בדבר מסגרת הגנת הפרטיות בין האיחוד האירופי לארצות הברית (EU–US Data Privacy Framework) ובהיעדרה, על הסעיפים החוזיים הסטנדרטיים או על כללי תאגיד מחייבים מאושרים.

9. אבטחה

בהתאם לסעיף 32 ל-GDPR, INOVA DIGI-TECH מיישמת אמצעים טכניים וארגוניים הולמים, ובפרט:

  • הצפנת נתונים במעבר (TLS) ושל נתונים רגישים במנוחה;
  • הפרדה והגבלה של הרשאות הגישה על פי עקרון ההרשאה המינימלית;
  • אימות זהות מוגבר למפעילים ולמנהלי המערכת;
  • רישום ומעקב אחר הגישות;
  • מחיקה אוטומטית של הסרטונים ושל מסמכי הזיהוי;
  • גיבויים מוצפנים ונוהלי המשכיות;
  • התחייבויות סודיות של האנשים המורשים.

10. פרצת נתונים

במקרה של פרצת נתונים אישיים, INOVA DIGI-TECH מתעדת אותה, מדווחת עליה ל-CNIL, הרשות הצרפתית להגנת המידע (Commission nationale de l’informatique et des libertés), בתוך 72 שעות כאשר היא עלולה ליצור סיכון לאנשים, ומיידעת את האנשים הנוגעים בדבר בהקדם האפשרי כאשר סיכון זה גבוה.

11. קטינים

VerifAge מיועד לבגירים בלבד. כאשר אימות מגלה כי אדם הוא קטין, הרשמתו נדחית והנתונים שלו נמחקים.

12. מימוש זכויות

לכל נושא מידע עומדות זכויות הגישה, התיקון, המחיקה, ההגבלה, ההתנגדות והניידות, הזכות לבטל את הסכמתו בכל עת, הזכות שלא להיות כפוף להחלטה המבוססת אך ורק על עיבוד אוטומטי, והזכות לקבוע הנחיות בדבר גורל הנתונים שלו לאחר מותו.

הפניות יופנו:

  • בדוא״ל: dpo@verifage.com;
  • בדואר: DPO – SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy.

מענה יינתן בתוך חודש, הניתן להארכה בחודשיים במקרה של בקשה מורכבת. ייתכן שיתבקש מסמך תומך במקרה של ספק סביר בדבר זהות המבקש. עותק הנתונים מועבר באמצעות קישור מאובטח התקף למשך 24 שעות.

13. תלונה ל-CNIL

כל אדם רשאי להגיש תלונה לרשות הצרפתית להגנת המידע (Commission nationale de l’informatique et des libertés):

  • CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 – www.cnil.fr

14. עדכון

עמוד זה מתעדכן בכל שינוי משמעותי בעיבודים. תאריך העדכון האחרון מופיע בראש העמוד.