La société SASURF (ci-après « SASURF ») exploite un service en ligne d’authentification et de vérification d’identité à destination de partenaires professionnels (ci-après les « Partenaires »). Ce service permet aux Partenaires de vérifier l’identité ou l’âge de leurs utilisateurs finaux (ci-après les « Utilisateurs finaux ») de manière sécurisée et respectueuse de la vie privée, notamment afin de contrôler l’accès à des contenus ou services réglementés (par exemple la vérification de la majorité de l’Utilisateur final pour l’accès à des contenus réservés aux adultes).
Les présentes Conditions Générales d’Utilisation (CGU) ont pour objet de définir les modalités et conditions selon lesquelles SASURF fournit ce service aux Partenaires, ainsi que les droits et obligations respectifs de SASURF et du Partenaire dans ce cadre. Toute utilisation du service SASURF par un Partenaire implique l’acceptation sans réserve des présentes CGU.
Description du service SASURF
SASURF fournit au Partenaire une interface technique (telle qu’une API ou une plateforme en ligne) permettant la vérification à distance de l’identité d’un Utilisateur final. Le processus de vérification comprend généralement les étapes suivantes, réalisées de manière entièrement automatisée :
L’Utilisateur final transmet, via l’interface fournie par SASURF intégrée sur le site ou l’application du Partenaire, une pièce d’identité officielle en cours de validité (par ex. carte d’identité ou passeport) et, le cas échéant, réalise une capture d’image (selfie) pour permettre une reconnaissance faciale.
Le service SASURF procède automatiquement à l’authentification du document d’identité (vérification de son authenticité) et à la comparaison biométrique entre la photo du document et le selfie de l’Utilisateur final, afin de confirmer que l’Utilisateur final est bien le titulaire du document.
SASURF n’extrait et ne conserve du document que les informations strictement nécessaires à la finalité convenue (par exemple la date de naissance pour vérifier la majorité). Les données d’identité complètes de l’Utilisateur final ne sont ni transmises au Partenaire ni conservées par SASURF au-delà du processus de vérification, sauf sous forme anonymisée ou chiffrée comme décrit ci-après.
Une fois la vérification terminée, SASURF transmet au Partenaire uniquement le résultat de la vérification, à savoir une confirmation binaire (par exemple validation que l’Utilisateur est majeur ou échec de la vérification). Aucune copie du document d’identité ni donnée personnelle identifiable de l’Utilisateur final n’est communiquée, à l’exception éventuelle d’un identifiant technique non significatif permettant de faire le lien avec la demande de vérification.
Le service est fourni en tant que sous-traitant du Partenaire au sens de la réglementation sur les données personnelles, le Partenaire restant le responsable du traitement vis-à-vis de l’Utilisateur final pour l’opération de vérification d’identité. SASURF agit uniquement sur instruction du Partenaire pour exécuter la vérification demandée, dans le respect des présentes conditions et de la législation applicable.
Accès et utilisation du service par le Partenaire
Le Partenaire doit disposer d’un compte professionnel auprès de SASURF ou avoir conclu un contrat d’abonnement au service SASURF pour pouvoir initier des vérifications d’identité de ses Utilisateurs finaux. L’accès à l’interface SASURF est sécurisé par des mesures d’authentification appropriées (identifiants API, certificats, etc.). Le Partenaire s’engage à préserver la confidentialité de ses moyens d’accès au service et à notifier sans délai SASURF en cas de compromission ou d’utilisation non autorisée de ses accès.
Le Partenaire est seul responsable de l’intégration technique du service SASURF sur son site ou application, conformément aux guides et instructions fournies par SASURF. Il appartient notamment au Partenaire d’informer ses Utilisateurs finaux de la redirection ou de l’utilisation du service SASURF pour la vérification d’identité, et de recueillir les consentements nécessaires le cas échéant, dans le respect des lois applicables (y compris le RGPD et, en France, la Loi « Informatique et Libertés » modifiée).
Obligations du Partenaire
Dans le cadre de l’utilisation du service SASURF, le Partenaire s’engage à :
Licéité de la vérification : N’utiliser le service SASURF que pour des finalités légitimes et conformes à la loi, notamment la protection des mineurs ou la prévention de la fraude. Le Partenaire doit s’assurer qu’il a une base légale pour procéder à la vérification de l’identité de ses Utilisateurs finaux (par exemple le consentement de l’Utilisateur final ou une obligation légale de vérification de l’âge).
Information de l’Utilisateur final : Informer clairement l’Utilisateur final que son identité ou son âge va être vérifié via le service SASURF, qui agit en tant que sous-traitant, et lui communiquer ou mettre à disposition la Politique de Confidentialité de SASURF relative à ce traitement. Le Partenaire doit également informer l’Utilisateur final des conséquences d’une non-vérification (par exemple l’impossibilité d’accéder à certains contenus).
Consentement parental le cas échéant : Lorsque cela est requis par la loi (notamment pour les Utilisateurs mineurs de moins de 15 ans, âge du consentement numérique en France), obtenir le consentement du titulaire de l’autorité parentale avant de procéder à la collecte de documents d’identité du mineur pour vérification. En pratique, le service est destiné principalement à vérifier la majorité (18 ans et plus) des Utilisateurs ; les mineurs ne devraient pas être sollicités pour fournir des documents d’identité sans autorisation parentale.
Pertinence et minimisation des données : Ne transmettre à SASURF que les données strictement nécessaires à la vérification. Le Partenaire s’interdit de demander à l’Utilisateur final de fournir, via SASURF, des documents ou informations qui ne seraient pas pertinents pour l’objectif de la vérification d’âge/identité convenu. De même, le Partenaire s’engage à ne pas détourner la finalité du service SASURF pour collecter des informations supplémentaires sur l’Utilisateur final.
Sécurité des données reçues : Protéger les informations reçues de SASURF dans le cadre du résultat de la vérification. Bien que ces informations soient limitées (ex : simple indication de majorité ou non), le Partenaire mettra en place des mesures de sécurité appropriées pour éviter tout détournement ou usage non autorisé. Le Partenaire s’engage en particulier à ne pas chercher à identifier un Utilisateur final à partir de l’identifiant technique éventuellement fourni, ni à conserver des données personnelles liées à la vérification au-delà de ce qui est nécessaire.
Conformité RGPD : D’une manière générale, respecter l’ensemble des obligations qui lui incombent en tant que responsable de traitement selon le RGPD. Cela inclut la tenue d’un registre des activités de traitement si nécessaire, la gestion des droits des personnes (notamment le droit d’accès, de rectification ou d’effacement des données qui devra être exercé par l’intermédiaire du Partenaire puisque SASURF n’est que sous-traitant), et la notification des violations de données personnelles le cas échéant. Le Partenaire devra également conclure un accord de traitement des données (Data Processing Agreement) avec SASURF si ces CGU ne sont pas suffisantes pour couvrir les exigences de l’article 28 du RGPD.
Obligations spécifiques aux contenus sensibles : Si le service SASURF est utilisé dans le cadre du contrôle d’accès à des contenus sensibles (tels que des contenus pornographiques ou réservés aux adultes), le Partenaire s’engage à respecter la réglementation applicable (par exemple la loi visant à protéger les mineurs contre l’accès à de tels contenus). SASURF fournit un outil de vérification de l’âge, mais il demeure de la responsabilité du Partenaire d’empêcher effectivement l’accès aux contenus interdits aux mineurs en cas d’échec ou de refus de vérification de l’âge par un Utilisateur final.
Obligations de SASURF
SASURF s’engage à fournir le service d’authentification et de vérification d’identité conformément aux présentes CGU et avec la diligence appropriée. À ce titre, SASURF assure notamment :
Conformité légale et réglementaire : Le service est conforme aux exigences légales applicables en matière de vérification d’identité et de protection des données personnelles. SASURF applique les principes de protection de la vie privée dès la conception (« privacy by design ») et par défaut (« privacy by default ») dans le développement et l’exploitation du service.
Protection des données traitées : SASURF, en sa qualité de sous-traitant, traite les données personnelles pour le compte du Partenaire en assurant leur confidentialité et leur intégrité. Les documents d’identité et données transmises par l’Utilisateur final ne sont utilisés que pour la finalité de vérification demandée. SASURF n’en conserve aucune copie identifiable au-delà de la durée nécessaire. L’architecture technique du service prévoit un chiffrement fort de bout en bout : les données d’identité sont chiffrées dès leur collecte et restent chiffrées durant le traitement, avec un déchiffrement seulement en mémoire le temps de l’analyse automatisée. De plus, un système de double cryptage réparti entre l’Utilisateur final et SASURF peut être mis en œuvre : par exemple, certaines clés de déchiffrement sont stockées du côté de l’appareil de l’Utilisateur final ou lui sont communiquées, de sorte que les données ne peuvent être déchiffrées sur les serveurs de SASURF qu’avec la participation ou l’autorisation de l’Utilisateur. Ces mesures garantissent qu’aucune personne non autorisée (y compris au sein de SASURF) ne puisse accéder aux données personnelles brutes.
Absence d’intervention humaine : L’ensemble du processus de vérification d’identité est automatisé. Aucune intervention humaine n’est effectuée dans l’examen des documents ou des selfies fournis, assurant ainsi que personne chez SASURF ne prend connaissance des informations d’identité de l’Utilisateur final. Ceci contribue à la confidentialité du service et à l’absence de biais humain dans la décision. Le résultat de la vérification (succès/échec) est déterminé automatiquement par les algorithmes de SASURF sur la base de critères objectifs (validité du document, correspondance faciale, etc.).
Disponibilité et support : SASURF s’efforce d’assurer une disponibilité continue du service, sous réserve des maintenances programmées annoncées raisonnablement à l’avance ou des éventuelles interruptions imprévues (pannes, incidents de sécurité). En cas d’incident affectant le service, SASURF s’engage à informer le Partenaire dans les meilleurs délais et à mettre en œuvre les moyens nécessaires pour rétablir le service. SASURF peut fournir une assistance technique au Partenaire pour l’intégration ou l’utilisation du service, via un support client joignable aux coordonnées indiquées sur le site SASURF.
Preuve de vérification : À la suite d’une vérification réussie, SASURF peut délivrer un jeton électronique ou un certificat de vérification attestant du statut vérifié de l’Utilisateur final (par exemple, un jeton attestant que l’Utilisateur est majeur). Ce jeton, anonymisé, peut être utilisé par le Partenaire pour tracer l’autorisation d’accès sans stocker de données personnelles. En cas de contestation ou d’audit, SASURF conserve de manière sécurisée et chiffrée une preuve technique de la vérification pendant une durée limitée (par exemple un identifiant de transaction horodaté ou les empreintes cryptographiques du document vérifié) afin de démontrer la réalisation de la vérification en conformité avec la réglementation. Ces éléments de preuve ne contiennent pas de données directement identifiantes.
Protection des Données Personnelles et Confidentialité
Les Parties reconnaissent que dans le cadre du service, SASURF traite des données personnelles pour le compte du Partenaire, ce dernier agissant en qualité de responsable de traitement et SASURF en qualité de sous-traitant (conformément à l’article 28 du RGPD). SASURF s’engage à respecter ses obligations légales en tant que sous-traitant, et notamment :
Traiter les données personnelles de l’Utilisateur final uniquement sur instruction documentée du Partenaire et dans le strict cadre de la finalité de vérification d’identité (et à des fins compatibles telles que l’amélioration du service ou la conformité légale, sous réserve de n’utiliser que des données anonymisées ou agrégées pour ces finalités secondaires).
Assurer la confidentialité des données traitées : SASURF veille à ce que les personnes autorisées à traiter les données (par exemple, le personnel en charge de la maintenance technique des serveurs) soient soumises à une obligation légale ou contractuelle de confidentialité. Cependant, compte tenu de l’automatisation complète, aucune personne ne devrait avoir accès au contenu des données d’identité elles-mêmes, seulement aux données techniques nécessaires.
Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées pour protéger les données contre la destruction, la perte, l’altération ou la divulgation non autorisée. Ces mesures incluent le chiffrement évoqué ci-dessus, un hébergement des données sur des centres serveurs sécurisés situés en France, la pseudonymisation ou l’anonymisation des données dès que possible, ainsi qu’une redondance des données sous forme chiffrée via le réseau IPFS (InterPlanetary File System) ou une technologie équivalente de stockage distribué, afin de prévenir toute perte de données tout en garantissant qu’aucune donnée non chiffrée n’est lisible sur un stockage externe.
Ne pas sous-traiter à son tour les opérations de traitement à un tiers sans l’autorisation préalable écrite du Partenaire. Le cas échéant, SASURF s’assurera que tout sous-traitant ultérieur (par exemple un prestataire d’hébergement ou de reconnaissance faciale) offre les mêmes garanties de protection des données et s’engage contractuellement à respecter les obligations du RGPD.
Aider le Partenaire à satisfaire à ses propres obligations en matière de protection des données, dans la mesure du possible. Par exemple, SASURF coopérera pour toute demande de l’Utilisateur final visant à exercer ses droits (accès, rectification, effacement, opposition, portabilité, limitation) concernant les données vérifiées, bien que l’Utilisateur final doive en principe s’adresser au Partenaire en tant que responsable de traitement. Étant donné que SASURF ne conserve pas de données identifiantes, la plupart de ces droits pourront être satisfaits par la simple confirmation de l’absence de données stockées ou la suppression immédiate de celles encore temporairement en cours de traitement.
Avertir le Partenaire en cas de violation de données personnelles (incident de sécurité ayant entraîné, par exemple, l’accès non autorisé à des données d’Utilisateurs finaux) et ce dans les plus brefs délais après en avoir pris connaissance, afin que le Partenaire puisse si nécessaire notifier cette violation à l’autorité de protection des données compétente et aux personnes concernées, comme l’exige l’article 33 du RGPD.
Le Partenaire, de son côté, s’engage à respecter la confidentialité de toute information non publique relative au service SASURF, notamment les documents techniques fournis, les secrets de fabrication, ou toute information sensible concernant la sécurité du système. Il s’engage également à ne pas porter atteinte aux droits de SASURF ou aux droits des Utilisateurs finaux sur leurs données.
Propriété intellectuelle
SASURF conserve l’entière propriété intellectuelle du service, de la plateforme technique, des logiciels, logos, marques, documentations et de l’ensemble des éléments mis à disposition du Partenaire. Les présentes CGU n’opèrent qu’une licence d’utilisation non exclusive, strictement limitée à l’accès et à l’utilisation du service SASURF conformément aux conditions établies. Le Partenaire s’engage à ne pas reproduire, adapter, modifier, décompiler ou tenter d’extraire le code source des composants logiciels fournis par SASURF, ni à faire un usage du nom ou du logo SASURF contraire aux instructions de la société ou portant atteinte à ses droits.
Le Partenaire autorise SASURF à mentionner le nom et le logo du Partenaire dans ses références commerciales et documents marketing, sauf demande contraire notifiée par écrit, afin d’indiquer que le Partenaire utilise le service SASURF.
Responsabilité
Chaque Partie assume la responsabilité qui lui incombe en vertu de la loi et des présentes CGU.
Responsabilité de SASURF : SASURF est responsable de la bonne exécution technique du service conformément aux engagements pris. SASURF ne saurait toutefois être tenue responsable des conséquences d’une utilisation non conforme du service par le Partenaire ou l’Utilisateur final, ni des dommages résultant de données ou documents erronés ou frauduleux fournis par l’Utilisateur final. En particulier, si un Utilisateur final parvient à tromper le système (par ex. en usurpant l’identité d’un tiers ou en contournant les contrôles automatisés), SASURF ne garantit pas l’infaillibilité du service et ne pourra être tenue pour responsable des accès indus qui en résulteraient. Néanmoins, SASURF met en œuvre les meilleures techniques disponibles pour minimiser ce risque.
Responsabilité du Partenaire : Le Partenaire est responsable de tout préjudice causé par sa violation des présentes CGU ou de la réglementation, notamment en cas d’utilisation détournée du service ou de défaut d’information de l’Utilisateur final. Le Partenaire garantit SASURF contre toute réclamation de tiers (y compris d’Utilisateurs finaux) relative à un manquement du Partenaire à ses obligations (par exemple, une réclamation pour traitement illicite des données si le Partenaire n’a pas obtenu un consentement requis).
Limitation de responsabilité : En tout état de cause, dans la mesure permise par la loi, la responsabilité globale de SASURF envers le Partenaire, pour tout dommage direct prouvé résultant de l’exécution du présent contrat, est limitée au montant total des redevances payées par le Partenaire à SASURF au cours des douze (12) derniers mois. SASURF ne saurait en aucun cas être tenue à indemnisation des dommages indirects, immatériels ou imprévisibles tels que le manque à gagner, la perte de clientèle ou la perte de données (sauf si la perte de données résulte d’un manquement de SASURF à ses obligations de sécurité).
Force majeure : Aucune des Parties ne pourra être tenue responsable d’un manquement résultant d’un cas de force majeure tel que défini par la loi et la jurisprudence françaises. Dans un tel cas, l’exécution des obligations affectées est suspendue pendant la durée de la force majeure.
Durée, suspension et résiliation
Les présentes CGU entrent en vigueur à compter de l’inscription du Partenaire au service SASURF ou de la signature d’un contrat faisant référence à ces CGU, et demeurent applicables tant que le Partenaire utilise le service.
Chacune des Parties peut résilier de plein droit le présent contrat en cas de manquement grave de l’autre partie à ses obligations, non réparé dans un délai raisonnable (par exemple 30 jours) après notification écrite. En cas de résiliation, le Partenaire cessera immédiatement d’utiliser le service et SASURF désactivera ses accès. Toutes les données éventuellement encore stockées dans le cadre du service seront supprimées ou restituées au Partenaire, au choix de ce dernier, sauf obligation légale de conservation pour SASURF.
SASURF se réserve également le droit de suspendre temporairement le service, en tout ou partie, en cas de non-respect par le Partenaire de ses obligations (par exemple en cas de défaut de paiement des redevances, s’il y en a, ou en cas d’utilisation du service en violation des lois). SASURF informera le Partenaire de toute suspension et des moyens de remédier au manquement pour rétablir le service.
Droit applicable et juridiction compétente
Les présentes CGU sont régies par le droit français. Elles sont rédigées en français, cette version faisant foi en cas de traduction. Tout litige relatif à l’interprétation ou l’exécution des présentes qui ne pourrait être résolu à l’amiable sera de la compétence exclusive des tribunaux matériellement compétents du ressort du siège social de SASURF, sauf disposition légale impérative contraire.
Dispositions diverses
Si l’une des clauses des présentes CGU était déclarée nulle ou inapplicable, elle serait réputée non écrite sans affecter la validité des autres stipulations. Le fait pour l’une des Parties de ne pas exiger l’application d’une clause quelconque des CGU ou d’en tolérer l’inexécution, de façon temporaire ou permanente, ne pourra être considéré comme une renonciation à ses droits. SASURF se réserve la possibilité de modifier ou mettre à jour les présentes CGU. Toute modification substantielle fera l’objet d’une information préalable du Partenaire par tout moyen utile (par exemple via le site web ou par e-mail). L’utilisation continue du service après entrée en vigueur des modifications vaut acceptation de celles-ci.
