Cette Politique de Confidentialité décrit comment la société SASURF, en sa qualité de prestataire de service d’authentification et de vérification d’identité, traite les données à caractère personnel des utilisateurs finaux (ci-après « vous » ou « l’Utilisateur ») pour le compte de ses partenaires professionnels lors de l’utilisation du service SASURF. SASURF agit comme sous-traitant des Partenaires qui sollicitent la vérification de votre identité ou de votre âge, et s’engage à protéger votre vie privée et vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD) et aux lois nationales applicables.
1. Responsable de traitement et Sous-traitant Dans le cadre du service SASURF, le responsable du traitement de vos données personnelles est le partenaire (site web ou application) qui requiert la vérification de votre identité/âge. Ce Partenaire a confié à SASURF la mission de réaliser techniquement cette vérification en son nom. SASURF agit donc en tant que sous-traitant, uniquement sur instruction du Partenaire et pour les seules finalités décrites ci-après. Néanmoins, SASURF prend très au sérieux la confidentialité et la sécurité de vos données, et souhaite vous informer en toute transparence sur les traitements effectués. Pour toute question relative à vos données personnelles dans ce contexte, vous pouvez contacter soit le Partenaire responsable (dont les coordonnées figurent généralement dans sa propre politique de confidentialité), soit SASURF aux coordonnées indiquées en fin de document.
2. Données collectées Dans le cadre du processus de vérification d’identité, SASURF est susceptible de collecter et de traiter les données personnelles suivantes vous concernant, sur sollicitation de votre part ou de celle du Partenaire :
Données d’identification sur le document officiel : informations figurant sur votre pièce d’identité fournie (par exemple vos prénom, nom, date de naissance, photographie, et selon le document, éventuellement l’adresse ou d’autres identifiants). SASURF n’utilise cependant que certaines de ces données, strictement nécessaires à la vérification requise. Par exemple, pour une vérification de majorité d’âge, SASURF peut extraire uniquement votre date de naissance afin de calculer votre âge, sans retenir d’autres informations comme votre nom ou votre adresse.
Données biométriques (photographie) : une capture de votre visage (selfie vidéo ou photo) peut vous être demandée afin de la comparer à la photo présente sur votre document d’identité (détection de correspondance visage-photo et preuve de vie). Cette image n’est utilisée que pour cette comparaison automatisée et n’est pas conservée au-delà de la durée du traitement, comme expliqué ci-dessous.
Données techniques et de journal : informations techniques liées à l’opération, telles que des identifiants de transaction, l’adresse IP ou l’empreinte technique de votre appareil, la date et l’heure de la vérification, ainsi que les logs de résultat (succès/échec). Ces données sont conservées de manière pseudonymisée (sans lien direct à votre identité civile) et servent à tracer l’opération en cas de besoin (par exemple, en cas de contestation ou d’audit de sécurité).
SASURF ne collecte directement aucune donnée vous concernant en dehors de ce que vous fournissez volontairement via l’interface de vérification. Le service ne recoupe pas vos informations avec des bases externes et ne procède à aucun « profilage » au-delà de la simple vérification instantanée décrite.
3. Finalités du traitement Vos données sont traitées par SASURF pour la finalité exclusive de vérifier votre identité ou votre âge, afin de permettre votre authentification auprès du Partenaire qui en a fait la demande. Concrètement, ce traitement a pour objectifs :
De confirmer que le document d’identité fourni est authentique et valide.
De confirmer que vous êtes bien le titulaire légitime du document (grâce à la comparaison de votre image avec la photo du document).
Le cas échéant, de vérifier que vous remplissez une condition d’âge (ex : avoir 18 ans ou plus) sans avoir à divulguer votre âge exact ni d’autres informations non nécessaires.
De communiquer au Partenaire une attestation de vérification réussie, ou un résultat négatif si la vérification a échoué ou si vous ne remplissez pas les conditions (par exemple, si vous êtes mineur dans le cadre d’un contrôle d’âge).
D’assurer une expérience utilisateur sécurisée et conforme à la réglementation en vigueur, notamment en matière de protection des mineurs en ligne et de lutte contre l’usurpation d’identité.
SASURF n’utilisera pas vos données pour d’autres finalités (marketing, prospection commerciale, profilage, etc.). Vos données ne font l’objet d’aucune décision automatisée autre que celle inhérente à la vérification elle-même (qui détermine votre accès ou non à un service tiers, conformément à la demande du Partenaire).
4. Base légale du traitement Étant donné que SASURF intervient en tant que sous-traitant, la base légale du traitement est déterminée par le Partenaire (responsable de traitement). Dans la plupart des cas, vos données sont traitées sur la base de votre consentement explicite (article 6(1)(a) du RGPD), que vous exprimez en initiant la procédure de vérification et en fournissant votre pièce d’identité aux fins de vérification. Dans d’autres cas, le traitement peut être nécessaire au respect d’une obligation légale à laquelle le Partenaire est soumis (article 6(1)(c) du RGPD) – par exemple, une obligation légale de vérification de l’âge pour l’accès à certains contenus en ligne interdits aux mineurs. Quoi qu’il en soit, SASURF ne traite vos données que sur instruction du Partenaire et dans le cadre légal qu’il a déterminé.
Si le traitement repose sur votre consentement, vous conservez la possibilité de le retirer à tout moment en interrompant la procédure de vérification avant son terme ou en contactant le Partenaire pour exprimer votre refus. Notez toutefois que le retrait de votre consentement n’affecte pas la légalité des traitements déjà effectués et peut entraîner l’impossibilité d’accéder au service du Partenaire qui requiert la vérification.
5. Durée de conservation des données SASURF applique le principe de minimisation de la conservation des données. En règle générale, aucune donnée personnelle identifiante n’est stockée par SASURF de manière permanente à l’issue du processus de vérification. Les documents d’identité que vous avez transmis (images du document, selfie) sont immédiatement supprimés dès que la vérification est finalisée, ou rendus anonymes de telle sorte qu’il est impossible de vous identifier par la suite.
Plus précisément :
Si la vérification est réussie (par exemple, votre majorité est confirmée), SASURF ne conserve pas vos documents d’identité. Seule une preuve du résultat est archivée de façon sécurisée, comme un jeton ou certificat de vérification ne contenant pas d’informations personnelles brutes, ou bien une empreinte cryptographique de votre document permettant de prouver qu’une vérification a eu lieu sans révéler aucune donnée sur vous. Ce jeton ou identifiant anonyme peut être stocké pendant la durée nécessaire au Partenaire pour attester de la vérification (par exemple, jusqu’à la fin de votre session ou pour une durée de quelques heures/jours afin d’éviter que vous ayez à revérifier votre identité à chaque action).
Si la vérification échoue ou ne peut aboutir (document non valide, visage non correspondant, ou si vous êtes mineur pour un service nécessitant d’être majeur), SASURF ne conserve pas davantage les détails de vos données. Seule une indication technique qu’une tentative a eu lieu peut être conservée temporairement à des fins de sécurité (par ex., pour prévenir des tentatives frauduleuses répétées). Ces logs techniques n’incluent pas de copie de votre document ni aucune donnée nominative.
Dans tous les cas, la durée maximale de conservation de toute trace pseudonymisée de la vérification n’excède pas ce qui est nécessaire pour la finalité de preuve ou d’audit. Au-delà, les traces sont supprimées ou définitivement anonymisées. Généralement, SASURF s’engage à ce qu’aucune donnée personnelle exploitable ne soit conservée au-delà de [durée à définir, par ex. 90 jours], sauf obligation légale contraire.
Le Partenaire, en tant que responsable de traitement, peut également conserver certains éléments relatifs à la vérification (notamment le fait que vous avez été vérifié et autorisé sur son service). Nous vous invitons à consulter sa politique de confidentialité pour connaître ses durées de conservation propres. SASURF ne sera en aucun cas responsable des données que le Partenaire choisirait de stocker de son côté sans notre intervention.
6. Destinataires des données Pendant la vérification, vos données personnelles (document d’identité, selfie) sont traitées exclusivement par SASURF. Aucun tiers n’y a accès en clair. Une fois la vérification effectuée, SASURF communique au Partenaire qui a initié la demande uniquement le résultat de cette vérification. Cela peut prendre la forme d’un indicateur binaire (succès/échec) ou d’un certificat numérique attestant d’un attribut (par ex., « personne majeure vérifiée ») sans divulguer d’autres données.
Le Partenaire est alors destinataire de cette information minimale et s’en sert pour déterminer votre accès à son service. SASURF ne communique aucune autre donnée personnelle vous concernant au Partenaire ou à quiconque. Par exemple, le Partenaire n’a pas accès à la copie de votre pièce d’identité ni à votre photo, seulement à l’information que la vérification a validé votre critère d’éligibilité (comme l’âge requis).
SASURF peut faire appel à des sous-traitants ultérieurs (prestataires techniques) pour l’hébergement du service ou pour certaines opérations de traitement (par exemple, un fournisseur de technologie de reconnaissance faciale ou de stockage de données). Ces prestataires, s’ils existent, sont liés par des contrats assurant un niveau de protection des données équivalent aux engagements de SASURF. Ils n’ont accès aux données que de manière chiffrée ou strictement nécessaire à leur tâche, et ne peuvent en aucun cas les utiliser pour leur propre compte. La liste de ces sous-traitants peut être obtenue sur demande en contactant SASURF.
En dehors du Partenaire requérant et des prestataires techniques de SASURF soumis à confidentialité, aucun autre destinataire n’est prévu, à l’exception des autorités légalement habilitées qui pourraient requérir l’accès à certaines informations dans le cadre d’une obligation légale, d’une procédure judiciaire ou d’une demande administrative valide. Dans un tel cas, SASURF s’efforcerait de ne fournir que les informations strictement nécessaires et dans le respect de la loi.
7. Sécurité des données SASURF met en œuvre des mesures de sécurité de haut niveau pour protéger vos données personnelles durant leur traitement :
Chiffrement : Toutes les données transmises à SASURF sont chiffrées dès la collecte. Les échanges entre votre appareil, les serveurs de SASURF et éventuellement les stockages intermédiaires sont protégés (HTTPS/TLS pour la transmission). En outre, les données d’identité (images, informations extraites) sont chiffrées au repos sur nos serveurs. SASURF utilise un mécanisme de double chiffrement réparti afin de renforcer la sécurité : une partie des clés de déchiffrement est sous le contrôle de l’Utilisateur (par exemple via un token temporaire côté navigateur ou application), tandis que l’autre partie est gérée par SASURF. Ainsi, ni SASURF ni l’Utilisateur ne peuvent seuls accéder aux données brutes sans la coopération de l’autre partie, empêchant tout accès non autorisé même en cas de compromission partielle.
Hébergement sécurisé en France : Vos données sont traitées et stockées (de façon temporaire) sur des serveurs situés en France, garantissant qu’elles restent sous juridiction de l’Union Européenne et évitant tout transfert non contrôlé vers des pays tiers. L’infrastructure est hébergée chez des fournisseurs respectant les normes de sécurité et de conformité (certifications ISO 27001 ou équivalent).
Stockage distribué chiffré (IPFS) : Pour garantir la disponibilité sans compromettre la confidentialité, SASURF peut utiliser un système de stockage distribué tel que IPFS pour dupliquer de manière chiffrée certaines informations techniques ou preuves de vérification. Grâce à ce mécanisme, les données sont segmentées, chiffrées, et réparties sur plusieurs nœuds, assurant une redondance en cas de panne d’un serveur. Aucune donnée personnelle identifiable n’est stockée en clair dans ce réseau et seules les personnes disposant des clés appropriées (SASURF et/ou l’Utilisateur, selon la conception) peuvent reconstituer l’information si nécessaire.
Anonymisation/Pseudonymisation : SASURF applique le principe d’anonymisation dès que possible. Après vérification, les données nominatives sont supprimées et seules subsistent des données pseudonymes (comme un identifiant chiffré) qui ne permettent pas de vous identifier directement. Même en cas d’intrusion, ces éléments ne pourraient être reliés à votre identité sans informations supplémentaires détenues séparément.
Tests et audits : Les algorithmes et systèmes de SASURF font l’objet de tests réguliers (y compris des tests de pénétration) pour vérifier leur robustesse. Des audits de conformité et de sécurité peuvent être menés périodiquement par des entités indépendantes afin de garantir que nos pratiques sont à jour des meilleures pratiques de l’industrie et des obligations réglementaires.
Absence d’accès humain : Par conception, aucune donnée personnelle sensible (votre document d’identité, votre photo) n’est consultée par le personnel humain de SASURF. Tout est automatisé, ce qui limite drastiquement le risque de fuite ou de mauvaise manipulation par erreur humaine. Seuls des techniciens autorisés peuvent intervenir sur l’infrastructure en cas de nécessité, et même dans ce cas ils n’accèdent qu’à des données chiffrées ou anonymisées.
En dépit de ces mesures, il est important de noter qu’aucune transmission ou stockage de données n’est sécurisé à 100%. SASURF s’engage à réagir promptement en cas de faille de sécurité et à en informer le Partenaire (et le cas échéant les utilisateurs concernés via le Partenaire) conformément aux exigences légales.
8. Vos droits En tant que personne concernée par un traitement de données personnelles, vous disposez de droits sur vos données, conformément aux articles 15 à 22 du RGPD. Ces droits comprennent notamment :
Droit d’accès : le droit de demander confirmation que des données vous concernant sont traitées et d’en obtenir la communication dans un format compréhensible.
Droit de rectification : le droit de faire corriger des données inexactes ou compléter des données incomplètes.
Droit à l’effacement : le droit de demander la suppression de vos données, dans les limites permises par la réglementation (ce droit peut être limité si le traitement est fondé sur une obligation légale par exemple).
Droit d’opposition : le droit de vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime du responsable de traitement. Dans le cas présent, la plupart des traitements sont basés sur votre consentement ou une obligation légale ; si vous ne souhaitez pas qu’ils aient lieu, vous pouvez choisir de ne pas utiliser le service de vérification.
Droit à la limitation : le droit de demander le gel temporaire d’un traitement en cas de contestation sur la légitimité des données ou du traitement.
Droit à la portabilité : lorsque applicable, le droit de recevoir vos données fournies dans un format structuré, ou de les faire transmettre à un autre responsable (ce droit est surtout pertinent pour des données que vous avez fournies activement ; ici cela s’appliquerait de manière limitée, l’objectif n’étant pas de transférer vos données d’identité ailleurs mais uniquement de vérifier un critère).
Droit de ne pas faire l’objet d’une décision automatisée : dans le cadre de SASURF, la décision de vous autoriser ou non l’accès à un service se base sur un traitement automatisé de vos données. Sachez que ce traitement automatisé est nécessaire pour la finalité (vérifier votre majorité par exemple). Si vous estimez que la décision prise est erronée (par ex. si vous êtes majeur mais que la vérification a échoué à tort), vous avez le droit de demander une révision, en contactant le Partenaire ou SASURF afin qu’un réexamen (humain) soit effectué ou que vous puissiez fournir une preuve alternative de votre âge. SASURF et le Partenaire feront en sorte de trouver une solution conforme à la loi pour répondre à votre demande, bien que par principe SASURF ne conserve pas vos données pour re-vérification manuelle.
Étant donné le rôle de sous-traitant de SASURF, la voie normale pour exercer vos droits consiste à contacter directement le Partenaire (responsable de traitement) dont vous utilisez le service. Celui-ci collaborera avec SASURF pour vous répondre. Vous pouvez toutefois également nous contacter directement aux coordonnées ci-dessous : nous transmettrons sans délai votre demande au Partenaire concerné et l’assisterons pour y donner suite. Dans la mesure de nos moyens (par exemple, si nous sommes capables de retrouver et supprimer un log technique à votre demande), nous vous assisterons directement.
En cas de doute raisonnable sur votre identité lors d’une demande de droit, nous pourrons demander des informations supplémentaires (par exemple un justificatif d’identité) afin de nous assurer que la demande provient bien de vous. Ce justificatif sera traité uniquement pour vérifier votre identité dans le cadre de la demande et ne sera pas conservé par la suite.
Enfin, vous disposez du droit d’introduire une réclamation auprès de l’autorité de contrôle compétente en matière de protection des données. En France, il s’agit de la Commission Nationale de l’Informatique et des Libertés (CNIL).
9. Engagements des partenaires vis-à-vis de vos données SASURF exige de tous les Partenaires utilisant son service qu’ils respectent des engagements stricts de protection des données, afin de garantir votre vie privée tout au long du processus. Ces engagements comprennent notamment :
Ne solliciter via SASURF que les informations strictement nécessaires. Par exemple, un Partenaire qui souhaite vérifier votre majorité s’engage à ne pas demander ni recevoir d’informations comme votre identité complète ou votre adresse – uniquement la confirmation de votre statut de majeur.
Fournir aux Utilisateurs finaux les informations requises par la réglementation (notamment les présentes informations ou leur propre politique de confidentialité décrivant le recours à SASURF) et recueillir les consentements nécessaires avant de déclencher la vérification.
Ne pas conserver ou exploiter les données issues de la vérification en dehors de ce qui est nécessaire. Le Partenaire peut conserver la preuve qu’une vérification a été effectuée et son résultat, mais il ne doit pas stocker les copies de vos documents d’identité ni aucune donnée personnelle détaillée obtenue par ce biais.
Garantir que les résultats de la vérification (ex : un jeton prouvant la majorité) sont traités comme des informations confidentielles et sécurisées, au même titre que toute autre donnée personnelle, et ne pas les partager avec des tiers non autorisés.
S’assurer que les mineurs ou leurs responsables légaux sont traités conformément à la loi (consentement parental requis le cas échéant, ou blocage de l’accès en cas de non vérification de majorité, sans chercher à outrepasser la protection).
Conclure avec SASURF un contrat de sous-traitance conforme à l’article 28 du RGPD, incluant l’ensemble de ces obligations et des garanties appropriées, et superviser les opérations de SASURF (par exemple, en ayant la possibilité de réaliser des audits ou inspections nécessaires, directement ou via un mandataire, comme le prévoit le RGPD).
Grâce à ces mesures, votre vie privée est protégée non seulement par SASURF, mais également par nos Partenaires eux-mêmes, de bout en bout du service.
10. Contact Pour toute question relative à cette Politique de Confidentialité ou à vos données personnelles traitées via SASURF, vous pouvez contacter notre délégué à la protection des données (DPO) ou notre support à l’adresse suivante : [coordonnées du DPO/support de SASURF]. Nous vous invitons par ailleurs à consulter la politique de confidentialité du site Partenaire où vous utilisez le service, pour des informations complémentaires sur le traitement global réalisé par ce Partenaire.
Cette Politique de Confidentialité peut être amenée à évoluer, notamment en cas de modifications du service ou de la réglementation. Vous serez informé de toute mise à jour significative par le biais du Partenaire ou lors de votre prochaine utilisation du service SASURF. Nous vous remercions de votre confiance et restons à votre disposition pour toute clarification relative à la protection de votre vie privée.
