Panel klienta

Zgodność z RODO

Zaktualizowano 23 października 2026

Ostatnia aktualizacja: 20 października 2026 r.

Niniejsza strona przedstawia sposób, w jaki VerifAge zapewnia zgodność z Rozporządzeniem (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”) oraz z francuską ustawą nr 78-17 z dnia 6 stycznia 1978 r. o informatyce i wolnościach, ze zmianami (loi Informatique et Libertés). Stanowi ona uzupełnienie Polityki prywatności.

1. Nasze podejście: ochrona danych w fazie projektowania

VerifAge opiera się na prostej zasadzie: wykazać, że dana osoba jest pełnoletnia, bez ujawniania, kim jest.

  • Minimalizacja: wymagane są wyłącznie adres e-mail, numer telefonu i data urodzenia. Ani nazwisko, ani imię.
  • Podwójna anonimowość: partnerzy nie znają tożsamości Użytkownika, a VerifAge nie wie, wobec których partnerów Użytkownik wykazuje swoją pełnoletność.
  • Szybkie usuwanie danych wrażliwych: wideo i dokument tożsamości są usuwane niezwłocznie po podjęciu decyzji przez operatora, najpóźniej w ciągu 15 dni.
  • Wybór metody: Użytkownik może zawsze zwalidować swój wiek bez przetwarzania danych biometrycznych (metody 2, 3 i 4).

2. Administrator danych i DPO

Administrator danych:

  • SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy
  • RCS Nancy 918 907 809 – SIRET 918 907 809 00027 – contact@verifage.com

Inspektor ochrony danych:

3. Rola VerifAge wobec partnerów

INOVA DIGI-TECH działa jako administrator danych w zakresie obsługi kont Użytkowników i walidacji ich wieku.

Partnerskie strony internetowe, automaty sprzedażowe i punkty sprzedaży pozostają administratorami w zakresie przetwarzania, które prowadzą na potrzeby własnej działalności. VerifAge przekazuje im wyłącznie wynik binarny (pełnoletni / niezweryfikowany), bez żadnych danych dotyczących tożsamości, i nie otrzymuje od nich żadnych informacji o zakupach Użytkowników.

Liczba weryfikacji jest zliczana dla każdej strony lub automatu wyłącznie do celów rozliczeniowych, bez powiązania z tożsamością lub kontem Użytkownika.

4. Prowadzone procesy przetwarzania

4.1 Obsługa kont Użytkowników

  • Dane: e-mail, telefon, data urodzenia, data rejestracji, metoda walidacji, status.
  • Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
  • Okres: przez okres aktywności konta, a następnie usunięcie po 3 latach braku aktywności.

4.2 Weryfikacja wieku za pomocą wideo (metoda 1)

  • Dane: wideo twarzy, zdjęcie dokumentu tożsamości, wynik analizy.
  • Podstawa prawna: wyraźna zgoda (art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO).
  • Okres: usunięcie niezwłocznie po podjęciu decyzji przez operatora, najpóźniej 15 dni po przesłaniu.

4.3 Weryfikacja u autoryzowanego Operatora (metoda 2)

  • Dane: status walidacji i identyfikator Operatora, który dokonał walidacji. Brak kopii dokumentu tożsamości.
  • Podstawa prawna: wykonanie umowy.
  • Okres: okres istnienia konta.

4.4 Weryfikacja za pośrednictwem France Identité (metoda 3)

  • Dane: wyłącznie potwierdzenie „powyżej 18 lat”.
  • Podstawa prawna: wykonanie umowy.
  • Okres: okres istnienia konta.

4.5 Walidacja za pomocą wcześniej zarejestrowanego adresu e-mail lub numeru telefonu (metoda 4)

  • Dane: adres e-mail lub numer telefonu wprowadzony przez Operatora, kod potwierdzający.
  • Podstawa prawna: wykonanie umowy; Użytkownik samodzielnie potwierdza walidację kodem.
  • Okres: kod ważny 15 minut; adres e-mail lub numer telefonu przechowywany przez okres istnienia konta.

4.6 Wykazywanie pełnoletności wobec partnerów

  • Dane: tymczasowe tokeny, kody i kody QR (kod QR odnawiany co 30 sekund). Nie jest przechowywana żadna historia.
  • Podstawa prawna: wykonanie umowy.

4.7 Obsługa Klientów biznesowych i fakturowanie

  • Dane: spółka, osoba kontaktowa, upoważnienie SEPA, faktury, liczba weryfikacji dla każdej strony lub automatu.
  • Podstawa prawna: wykonanie umowy i obowiązek prawny (art. 6 ust. 1 lit. c).
  • Okres: okres trwania relacji, a następnie 5 lat; dokumenty księgowe 10 lat.

4.8 Bezpieczeństwo i zapobieganie oszustwom

  • Dane: dzienniki techniczne, adres IP, zgłoszenia.
  • Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f).
  • Okres: maksymalnie 12 miesięcy.

4.9 Powiadomienia i stabilność aplikacji

  • Dane: identyfikator powiadomień urządzenia, raporty o awariach.
  • Podstawa prawna: wykonanie umowy i prawnie uzasadniony interes.
  • Okres: okres istnienia konta; raporty o awariach maksymalnie 90 dni.

4.10 Obsługa zapytań i wykonywania praw

  • Dane: treść korespondencji, dokumenty potwierdzające.
  • Podstawa prawna: obowiązek prawny i prawnie uzasadniony interes.
  • Okres: 3 lata od zamknięcia sprawy.

5. Dane biometryczne

Wideo twarzy wykorzystywane w metodzie 1 należy do szczególnych kategorii danych w rozumieniu art. 9 RODO. Przetwarzanie to jest uregulowane w następujący sposób:

  • jest prowadzone wyłącznie za wyraźną zgodą Użytkownika, uzyskaną przed jakimkolwiek nagraniem;
  • jest fakultatywne: zawsze oferowane są inne metody walidacji, bez przetwarzania danych biometrycznych;
  • służy wyłącznie sprawdzeniu zgodności twarzy z dokumentem tożsamości oraz wieku, na potrzeby jednorazowej walidacji;
  • po podjęciu decyzji nie jest przechowywany żaden wzorzec biometryczny;
  • analiza jest przeprowadzana wyłącznie na terenie Unii Europejskiej;
  • wideo i dokument tożsamości są usuwane niezwłocznie po podjęciu decyzji przez operatora, a najpóźniej 15 dni po ich przesłaniu.

Przetwarzanie to jest przedmiotem oceny skutków dla ochrony danych (art. 35 RODO), która jest na bieżąco aktualizowana.

6. Interwencja ludzka

Żadna decyzja odmowna nie opiera się wyłącznie na zautomatyzowanym przetwarzaniu. Wynik analizy przeprowadzonej przez sztuczną inteligencję jest każdorazowo weryfikowany przez Operatora będącego człowiekiem, który podejmuje ostateczną decyzję. Zgodnie z art. 22 RODO Użytkownik może wyrazić własne stanowisko i zakwestionować każdą decyzję, pisząc na adres contact@verifage.com; jego wniosek jest ponownie rozpatrywany przez Operatora.

7. Podmioty przetwarzające

INOVA DIGI-TECH korzysta wyłącznie z podmiotów przetwarzających zapewniających wystarczające gwarancje, związanych umową zgodną z art. 28 RODO:

  • Scaleway SAS (Francja) – hosting danych – dane przechowywane we Francji.
  • Amazon Web Services, Amazon Bedrock (profil wnioskowania Europa) – zautomatyzowana analiza wideo i dokumentu tożsamości – przetwarzanie na terenie Unii Europejskiej.
  • Brevo (Francja) – wysyłka transakcyjnych wiadomości e-mail – Unia Europejska.
  • Twilio – wysyłka wiadomości SMS z kodem potwierdzającym – Stany Zjednoczone.
  • Viva – realizacja poleceń zapłaty SEPA Klientów biznesowych – Unia Europejska.
  • Google (Firebase) – powiadomienia i raporty o awariach aplikacji na Android i iOS.
  • Apple – powiadomienia aplikacji na iOS.

Aktualną listę podmiotów przetwarzających można uzyskać na wniosek skierowany do DPO.

8. Transfery poza Unię Europejską

Dane są przechowywane we Francji, a dane biometryczne nigdy nie opuszczają Unii Europejskiej.

Jedynie ograniczone procesy przetwarzania mogą wiązać się z transferem do Stanów Zjednoczonych: wysyłka wiadomości SMS (Twilio: numer telefonu i kod) oraz powiadomienia i raporty o awariach (Google, Apple). Transfery te opierają się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w odniesieniu do Ram ochrony danych UE–USA (Data Privacy Framework), a w jej braku – na standardowych klauzulach umownych lub zatwierdzonych wiążących regułach korporacyjnych.

9. Bezpieczeństwo

Zgodnie z art. 32 RODO INOVA DIGI-TECH wdraża odpowiednie środki techniczne i organizacyjne, w szczególności:

  • szyfrowanie danych w trakcie przesyłania (TLS) oraz danych wrażliwych w spoczynku;
  • separację i ograniczenie dostępu zgodnie z zasadą najmniejszych uprawnień;
  • wzmocnione uwierzytelnianie Operatorów i administratorów;
  • rejestrowanie i identyfikowalność dostępów;
  • automatyczne usuwanie wideo i dokumentów tożsamości;
  • szyfrowane kopie zapasowe i procedury ciągłości działania;
  • zobowiązania do zachowania poufności przez osoby upoważnione.

10. Naruszenie ochrony danych

W przypadku naruszenia ochrony danych osobowych INOVA DIGI-TECH dokumentuje je, zgłasza do CNIL (Commission nationale de l’informatique et des libertés) w ciągu 72 godzin, jeżeli może ono powodować ryzyko dla osób, oraz informuje osoby, których dane dotyczą, bez zbędnej zwłoki, jeżeli ryzyko to jest wysokie.

11. Osoby niepełnoletnie

VerifAge jest przeznaczony wyłącznie dla osób pełnoletnich. Gdy weryfikacja wykaże, że dana osoba jest niepełnoletnia, jej rejestracja zostaje odrzucona, a jej dane usunięte.

12. Wykonywanie praw

Każdej osobie, której dane dotyczą, przysługują prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu i przenoszenia danych, prawo do wycofania zgody w każdej chwili, prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu oraz prawo do określenia wytycznych dotyczących losu swoich danych po śmierci.

Wnioski należy kierować:

  • pocztą elektroniczną: dpo@verifage.com;
  • listownie: DPO – SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy.

Odpowiedź jest udzielana w terminie jednego miesiąca, z możliwością przedłużenia o dwa miesiące w przypadku złożonego wniosku. W razie uzasadnionych wątpliwości co do tożsamości wnioskodawcy może zostać zażądany dokument potwierdzający. Kopia danych jest przekazywana za pomocą bezpiecznego linku ważnego 24 godziny.

13. Skarga do CNIL

Każda osoba może wnieść skargę do Commission nationale de l’informatique et des libertés:

  • CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 – www.cnil.fr

14. Aktualizacja

Niniejsza strona jest aktualizowana przy każdej istotnej zmianie procesów przetwarzania. Data ostatniej aktualizacji znajduje się na początku strony.