Відповідність GDPR

Оновлено 23 жовтня 2026

Останнє оновлення: 20 жовтня 2026 р.

Ця сторінка описує, як VerifAge дотримується Регламенту (ЄС) 2016/679 від 27 квітня 2016 року («GDPR») та Закону Франції № 78-17 від 6 січня 1978 року зі змінами («loi Informatique et Libertés», Закон про захист даних). Вона доповнює Політику конфіденційності.

1. Наш підхід: захист даних за задумом

VerifAge ґрунтується на простому принципі: довести, що особа повнолітня, не розкриваючи, хто вона.

Мінімізація: запитуються лише адреса електронної пошти, номер телефону та дата народження. Ні прізвище, ні ім’я.
Подвійна анонімність: партнери не знають особу Користувача, а VerifAge не знає, перед якими партнерами Користувач підтверджує своє повноліття.
Швидке видалення чутливих даних: відео та документ, що посвідчує особу, стираються одразу після рішення оператора, не пізніше ніж через 15 днів.
Вибір методу: Користувач завжди може підтвердити свій вік без біометричної обробки (методи 2, 3 та 4).

2. Контролер даних та DPO

Контролер даних:

SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy
RCS Nancy 918 907 809 – SIRET 918 907 809 00027 – contact@verifage.com

Уповноважений із захисту даних:

Пан Kamaloddin SHAYKHIAN – dpo@verifage.com

3. Роль VerifAge щодо партнерів

INOVA DIGI-TECH діє як контролер даних щодо ведення облікових записів Користувачів та валідації їхнього віку.

Сайти, торговельні автомати та точки продажу партнерів залишаються відповідальними за обробку, яку вони здійснюють для власної діяльності. VerifAge передає їм лише бінарний результат (повнолітній / не верифіковано), без жодних даних про особу, і не отримує від них жодної інформації про покупки Користувачів.

Кількість верифікацій обліковується за кожним сайтом або торговельним автоматом виключно для цілей виставлення рахунків, без зв’язку з особою або обліковим записом Користувача.

4. Здійснювана обробка

4.1 Ведення облікових записів Користувачів

Дані: електронна пошта, телефон, дата народження, дата реєстрації, метод валідації, статус.
Правова підстава: виконання договору (стаття 6.1.b GDPR).
Тривалість: поки обліковий запис активний, потім видалення після 3 років неактивності.

4.2 Верифікація віку за відео (метод 1)

Дані: відео обличчя, фотографія документа, що посвідчує особу, результат аналізу.
Правова підстава: явна згода (статті 6.1.a та 9.2.a GDPR).
Тривалість: видалення одразу після рішення оператора, не пізніше ніж через 15 днів після надсилання.

4.3 Верифікація в уповноваженого Оператора (метод 2)

Дані: статус валідації та ідентифікатор Оператора, який здійснив валідацію. Жодної копії документа, що посвідчує особу.
Правова підстава: виконання договору.
Тривалість: строк існування облікового запису.

4.4 Верифікація через France Identité (метод 3)

Дані: лише підтвердження «більше 18 років».
Правова підстава: виконання договору.
Тривалість: строк існування облікового запису.

4.5 Валідація за попередньо зареєстрованою електронною поштою або телефоном (метод 4)

Дані: електронна пошта або номер телефону, введені Оператором, код підтвердження.
Правова підстава: виконання договору; Користувач сам підтверджує валідацію кодом.
Тривалість: код дійсний 15 хвилин; електронна пошта або телефон зберігаються протягом строку існування облікового запису.

4.6 Підтвердження повноліття перед партнерами

Дані: тимчасові токени, коди та QR-коди (QR-код оновлюється кожні 30 секунд). Жодна історія не зберігається.
Правова підстава: виконання договору.

4.7 Ведення Професійних клієнтів та виставлення рахунків

Дані: компанія, контактна особа, мандат SEPA, рахунки-фактури, кількість верифікацій на кожному сайті або торговельному автоматі.
Правова підстава: виконання договору та юридичний обов’язок (стаття 6.1.c).
Тривалість: протягом відносин, потім 5 років; бухгалтерські документи — 10 років.

4.8 Безпека та запобігання шахрайству

Дані: технічні журнали, IP-адреса, повідомлення про порушення.
Правова підстава: законний інтерес (стаття 6.1.f).
Тривалість: не більше 12 місяців.

4.9 Сповіщення та стабільність застосунку

Дані: ідентифікатор сповіщень пристрою, звіти про збої.
Правова підстава: виконання договору та законний інтерес.
Тривалість: строк існування облікового запису; звіти про збої — не більше 90 днів.

4.10 Обробка запитів та реалізація прав

Дані: зміст листування, підтвердні документи.
Правова підстава: юридичний обов’язок та законний інтерес.
Тривалість: 3 роки з моменту закриття запиту.

5. Біометричні дані

Відео обличчя, що використовується в методі 1, належить до особливих категорій даних у розумінні статті 9 GDPR. Ця обробка регулюється таким чином:

вона здійснюється лише за явною згодою Користувача, отриманою перед будь-яким записом;
вона є необов’язковою: завжди пропонуються інші методи валідації без біометричної обробки;
вона служить лише для перевірки відповідності між обличчям і документом, що посвідчує особу, а також віку, для одноразової валідації;
жоден біометричний шаблон не зберігається після рішення;
аналіз здійснюється виключно в межах Європейського Союзу;
відео та документ, що посвідчує особу, видаляються одразу після рішення оператора та не пізніше ніж через 15 днів після їх надсилання.

Ця обробка є предметом оцінки впливу на захист даних (стаття 35 GDPR), яка підтримується в актуальному стані.

6. Втручання людини

Жодне рішення про відмову не ґрунтується виключно на автоматизованій обробці. Результат аналізу штучним інтелектом систематично перевіряється Оператором-людиною, який приймає остаточне рішення. Відповідно до статті 22 GDPR Користувач може висловити свою позицію та оскаржити будь-яке рішення, написавши на адресу contact@verifage.com; його запит стає предметом повторного розгляду Оператором.

7. Обробники

INOVA DIGI-TECH залучає лише обробників, які надають достатні гарантії та пов’язані договором відповідно до статті 28 GDPR:

Scaleway SAS (Франція) – хостинг даних – дані розміщуються у Франції.
Amazon Web Services, Amazon Bedrock (профіль інференсу Європа) – автоматизований аналіз відео та документа, що посвідчує особу – обробка в Європейському Союзі.
Brevo (Франція) – надсилання транзакційних електронних листів – Європейський Союз.
Twilio – надсилання SMS із підтвердженням – Сполучені Штати.
Viva – стягнення платежів прямим дебетом SEPA з Професійних клієнтів – Європейський Союз.
Google (Firebase) – сповіщення та звіти про збої застосунку для Android та iOS.
Apple – сповіщення застосунку для iOS.

Актуальний перелік обробників можна отримати за запитом у DPO.

8. Передача даних за межі Європейського Союзу

Дані розміщуються у Франції, а біометричні дані ніколи не залишають межі Європейського Союзу.

Лише обмежена обробка може передбачати передачу до Сполучених Штатів: надсилання SMS (Twilio: номер телефону та код), а також сповіщення та звіти про збої (Google, Apple). Ці передачі ґрунтуються на рішенні Європейської комісії про адекватність щодо Рамкової угоди про захист даних між ЄС і США (Data Privacy Framework) та, за його відсутності, на стандартних договірних положеннях або затверджених обов’язкових корпоративних правилах.

9. Безпека

Відповідно до статті 32 GDPR INOVA DIGI-TECH впроваджує належні технічні та організаційні заходи, зокрема:

шифрування даних під час передачі (TLS) та чутливих даних у стані спокою;
сегментацію та обмеження доступу за принципом найменших привілеїв;
посилену автентифікацію Операторів та адміністраторів;
журналювання та відстежуваність доступу;
автоматичне видалення відео та документів, що посвідчують особу;
зашифровані резервні копії та процедури забезпечення безперервності;
зобов’язання щодо конфіденційності уповноважених осіб.

10. Порушення захисту даних

У разі порушення захисту персональних даних INOVA DIGI-TECH документує його, повідомляє CNIL (Commission nationale de l’informatique et des libertés) протягом 72 годин, якщо воно може створити ризик для осіб, та інформує суб’єктів даних у найкоротший строк, якщо цей ризик є високим.

11. Неповнолітні

VerifAge призначений лише для повнолітніх осіб. Якщо верифікація виявляє, що особа є неповнолітньою, її реєстрація відхиляється, а її дані видаляються.

12. Реалізація прав

Кожен суб’єкт даних має право на доступ, виправлення, видалення, обмеження обробки, заперечення та перенесення даних, право відкликати свою згоду в будь-який момент, право не бути об’єктом рішення, заснованого виключно на автоматизованій обробці, та право визначати вказівки щодо долі своїх даних після смерті.

Запити надсилаються:

електронною поштою: dpo@verifage.com;
поштою: DPO – SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy.

Відповідь надається протягом одного місяця, із можливістю продовження на два місяці у разі складного запиту. У разі обґрунтованого сумніву щодо особи заявника може бути запитано підтвердний документ. Копія даних передається за допомогою захищеного посилання, дійсного 24 години.

13. Скарга до CNIL

Кожна особа може подати скаргу до Національної комісії з питань інформатики та свобод (Commission nationale de l’informatique et des libertés):

CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 – www.cnil.fr

14. Оновлення

Ця сторінка оновлюється при кожній істотній зміні обробки. Дата останнього оновлення зазначена у верхній частині сторінки.