Area clienti

Conformità al GDPR

Aggiornato il 23 ottobre 2026

Ultimo aggiornamento: 20 ottobre 2026

Questa pagina illustra il modo in cui VerifAge si conforma al Regolamento (UE) 2016/679 del 27 aprile 2016 (“GDPR”) e alla legge francese n. 78-17 del 6 gennaio 1978 e successive modifiche (“loi Informatique et Libertés”). Essa integra l’Informativa sulla privacy.

1. Il nostro approccio: protezione fin dalla progettazione

VerifAge si fonda su un principio semplice: provare che una persona è maggiorenne, senza rivelare chi essa sia.

  • Minimizzazione: sono richiesti unicamente l’indirizzo e-mail, il numero di telefono e la data di nascita. Né cognome, né nome.
  • Doppio anonimato: i partner non conoscono l’identità dell’Utente e VerifAge non sa presso quali partner l’Utente prova la propria maggiore età.
  • Cancellazione rapida dei dati sensibili: video e documento d’identità cancellati non appena l’operatore ha preso la sua decisione, al più tardi entro 15 giorni.
  • Scelta del metodo: l’Utente può sempre convalidare la propria età senza trattamento biometrico (metodi 2, 3 e 4).

2. Titolare del trattamento e DPO

Titolare del trattamento:

  • SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy
  • RCS Nancy 918 907 809 – SIRET 918 907 809 00027 – contact@verifage.com

Responsabile della protezione dei dati:

3. Ruolo di VerifAge nei confronti dei partner

INOVA DIGI-TECH agisce in qualità di titolare del trattamento per la gestione degli account Utente e la convalida della loro età.

I siti internet, i distributori automatici e i punti vendita partner restano titolari dei trattamenti che effettuano per la propria attività. VerifAge trasmette loro unicamente un risultato binario (maggiorenne / non verificato), senza alcun dato identificativo, e non riceve da essi alcuna informazione sugli acquisti degli Utenti.

Il numero di verifiche è conteggiato per sito o distributore, ai soli fini di fatturazione, senza essere associato all’identità o all’account dell’Utente.

4. Trattamenti effettuati

4.1 Gestione degli account Utente

  • Dati: e-mail, telefono, data di nascita, data di iscrizione, metodo di convalida, stato.
  • Base giuridica: esecuzione del contratto (articolo 6.1.b del GDPR).
  • Durata: finché l’account è attivo, poi cancellazione dopo 3 anni di inattività.

4.2 Verifica dell’età tramite video (metodo 1)

  • Dati: video del volto, fotografia del documento d’identità, risultato dell’analisi.
  • Base giuridica: consenso esplicito (articoli 6.1.a e 9.2.a del GDPR).
  • Durata: cancellazione non appena l’operatore ha preso la sua decisione, al più tardi 15 giorni dopo l’invio.

4.3 Verifica presso un Operatore autorizzato (metodo 2)

  • Dati: stato di convalida e identificativo dell’Operatore che ha effettuato la convalida. Nessuna copia del documento d’identità.
  • Base giuridica: esecuzione del contratto.
  • Durata: quella dell’account.

4.4 Verifica tramite France Identité (metodo 3)

  • Dati: unicamente l’attestazione “più di 18 anni”.
  • Base giuridica: esecuzione del contratto.
  • Durata: quella dell’account.

4.5 Convalida tramite e-mail o telefono pre-registrato (metodo 4)

  • Dati: e-mail o numero di telefono inserito dall’Operatore, codice di conferma.
  • Base giuridica: esecuzione del contratto; l’Utente conferma personalmente la convalida mediante un codice.
  • Durata: codice valido 15 minuti; e-mail o telefono conservati per la durata dell’account.

4.6 Prova della maggiore età presso i partner

  • Dati: token, codici e QR code temporanei (QR code rinnovato ogni 30 secondi). Non viene conservata alcuna cronologia.
  • Base giuridica: esecuzione del contratto.

4.7 Gestione dei Clienti professionali e fatturazione

  • Dati: società, contatto, mandato SEPA, fatture, numero di verifiche per sito o distributore.
  • Base giuridica: esecuzione del contratto e obbligo di legge (articolo 6.1.c).
  • Durata: durata del rapporto poi 5 anni; documenti contabili 10 anni.

4.8 Sicurezza e prevenzione delle frodi

  • Dati: log tecnici, indirizzo IP, segnalazioni.
  • Base giuridica: legittimo interesse (articolo 6.1.f).
  • Durata: 12 mesi al massimo.

4.9 Notifiche e stabilità dell’applicazione

  • Dati: identificativo di notifica del dispositivo, rapporti di arresto anomalo.
  • Base giuridica: esecuzione del contratto e legittimo interesse.
  • Durata: quella dell’account; rapporti di arresto anomalo 90 giorni al massimo.

4.10 Gestione delle richieste e dell’esercizio dei diritti

  • Dati: contenuto degli scambi, documenti giustificativi.
  • Base giuridica: obbligo di legge e legittimo interesse.
  • Durata: 3 anni a decorrere dalla chiusura della richiesta.

5. Dati biometrici

Il video del volto utilizzato nel metodo 1 rientra nelle categorie particolari di dati ai sensi dell’articolo 9 del GDPR. Tale trattamento è disciplinato come segue:

  • è attuato unicamente con il consenso esplicito dell’Utente, raccolto prima di qualsiasi registrazione;
  • è facoltativo: altri metodi di convalida, senza trattamento biometrico, sono sempre proposti;
  • serve unicamente a verificare la corrispondenza tra il volto e il documento d’identità, nonché l’età, per una convalida unica;
  • nessun modello biometrico è conservato dopo la decisione;
  • l’analisi è effettuata esclusivamente all’interno dell’Unione europea;
  • il video e il documento d’identità sono cancellati non appena l’operatore ha preso la sua decisione e, al più tardi, 15 giorni dopo il loro invio.

Tale trattamento è oggetto di una valutazione d’impatto sulla protezione dei dati (articolo 35 del GDPR), tenuta aggiornata.

6. Intervento umano

Nessuna decisione di rifiuto è fondata esclusivamente su un trattamento automatizzato. Il risultato dell’analisi mediante intelligenza artificiale è sistematicamente esaminato da un Operatore umano, che prende la decisione finale. Conformemente all’articolo 22 del GDPR, l’Utente può esprimere la propria opinione e contestare qualsiasi decisione scrivendo a contact@verifage.com; la sua richiesta è oggetto di un nuovo esame da parte di un Operatore.

7. Responsabili del trattamento

INOVA DIGI-TECH ricorre unicamente a responsabili del trattamento che presentano garanzie sufficienti, vincolati da un contratto conforme all’articolo 28 del GDPR:

  • Scaleway SAS (Francia) – hosting dei dati – dati ospitati in Francia.
  • Amazon Web Services, Amazon Bedrock (profilo di inferenza Europa) – analisi automatizzata del video e del documento d’identità – trattamento nell’Unione europea.
  • Brevo (Francia) – invio delle e-mail transazionali – Unione europea.
  • Twilio – invio degli SMS di conferma – Stati Uniti.
  • Viva – incasso degli addebiti diretti SEPA dei Clienti professionali – Unione europea.
  • Google (Firebase) – notifiche e rapporti di arresto anomalo dell’applicazione Android e iOS.
  • Apple – notifiche dell’applicazione iOS.

L’elenco aggiornato dei responsabili del trattamento può essere ottenuto su richiesta presso il DPO.

8. Trasferimenti al di fuori dell’Unione europea

I dati sono ospitati in Francia e i dati biometrici non lasciano mai l’Unione europea.

Solo trattamenti limitati possono comportare un trasferimento verso gli Stati Uniti: l’invio degli SMS (Twilio: numero di telefono e codice), nonché le notifiche e i rapporti di arresto anomalo (Google, Apple). Tali trasferimenti si fondano sulla decisione di adeguatezza della Commissione europea relativa al Data Privacy Framework UE–Stati Uniti e, in mancanza, sulle clausole contrattuali tipo o su norme vincolanti d’impresa approvate.

9. Sicurezza

Conformemente all’articolo 32 del GDPR, INOVA DIGI-TECH attua misure tecniche e organizzative adeguate, in particolare:

  • cifratura dei dati in transito (TLS) e dei dati sensibili a riposo;
  • segregazione e limitazione degli accessi secondo il principio del privilegio minimo;
  • autenticazione rafforzata degli Operatori e degli amministratori;
  • registrazione e tracciabilità degli accessi;
  • cancellazione automatica dei video e dei documenti d’identità;
  • backup cifrati e procedure di continuità;
  • impegni di riservatezza delle persone autorizzate.

10. Violazione dei dati

In caso di violazione dei dati personali, INOVA DIGI-TECH la documenta, la notifica alla CNIL (Commission nationale de l’informatique et des libertés) entro 72 ore qualora sia suscettibile di presentare un rischio per le persone, e informa gli interessati nel più breve tempo possibile qualora tale rischio sia elevato.

11. Minori

VerifAge è riservato alle persone maggiorenni. Quando una verifica rivela che una persona è minorenne, la sua iscrizione è rifiutata e i suoi dati sono cancellati.

12. Esercizio dei diritti

Ogni interessato dispone dei diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, del diritto di revocare il proprio consenso in qualsiasi momento, del diritto di non essere sottoposto a una decisione esclusivamente automatizzata e del diritto di definire direttive relative alla sorte dei propri dati dopo il decesso.

Le richieste vanno indirizzate:

  • per e-mail: dpo@verifage.com;
  • per posta: DPO – SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy.

Una risposta è fornita entro un mese, prorogabile di due mesi in caso di richiesta complessa. Un documento giustificativo può essere richiesto in caso di ragionevole dubbio sull’identità del richiedente. La copia dei dati è trasmessa mediante un link sicuro valido 24 ore.

13. Reclamo alla CNIL

Chiunque può presentare un reclamo alla Commission nationale de l’informatique et des libertés:

  • CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 – www.cnil.fr

14. Aggiornamento

Questa pagina è aggiornata a ogni evoluzione significativa dei trattamenti. La data dell’ultimo aggiornamento figura in testa alla pagina.