Politique de confidentialité

1. Responsable du traitement

La présente Politique de confidentialité décrit la manière dont Lalalu Marketing SL, Travessera de Gràcia 73, 4-2, 08006 Barcelona, Espagne (« AgeRail », « nous ») traite les données à caractère personnel dans le cadre du service hébergé de vérification de l’âge AgeRail (le « Service »).

Contact pour les questions relatives à la protection des données et aux droits des personnes concernées : privacy@agerail.com.

2. Personnes concernées par cette politique

Nous traitons des données à caractère personnel concernant trois groupes de personnes, décrits séparément ci-dessous.

• Utilisateurs des organisations clientes : les personnes qui créent ou administrent le compte d’une organisation cliente (par exemple, connexion au portail, facturation et configuration de l’API).
• Utilisateurs finaux : les personnes qui effectuent une session de vérification après avoir été redirigées par une organisation cliente vers le parcours hébergé AgeRail.
• Contacts professionnels : les personnes qu’un membre de notre équipe connaît dans un cadre professionnel et contacte au sujet de nos services.

3. Utilisateurs des organisations clientes

3.1 Données que nous traitons

Pour les utilisateurs des organisations clientes, nous traitons des données de compte et d’administration du service, notamment :

• Adresse électronique et rôle au sein de l’organisation cliente
• Nom et configuration de l’organisation (URL de redirection, URL de webhook, âge cible par défaut)
• Données de facturation et de crédit prépayé (solde, écritures comptables, références client et de paiement Stripe, TVA et pays de facturation lorsqu’ils sont fournis)
• Métadonnées des courriels transactionnels du service acheminés par nos prestataires de messagerie
• Preuves d’acceptation des Conditions lors de l’inscription en libre-service, le cas échéant
• Informations sur la manière dont vous êtes arrivé sur notre site de présentation, notamment la source, le support et le nom de la campagne, l’identifiant du clic publicitaire et le site web qui vous y a dirigé, conservées avec votre compte, que vous ayez accepté ou non le bandeau de cookies.

3.2 Finalités et bases juridiques

Nous traitons les données des utilisateurs des organisations clientes pour :

• Fournir, sécuriser et administrer le Service dans le cadre du contrat conclu avec l’organisation cliente (RGPD Art. 6(1)(b))
• Facturer le crédit prépayé et tenir les documents comptables (Art. 6(1)(b) et, lorsque les obligations fiscales et comptables l’exigent, Art. 6(1)(c))
• Communiquer au sujet du compte et du Service (Art. 6(1)(b) ; communications opérationnelles au titre de l’Art. 6(1)(f) lorsque la protection du Service le nécessite)
• Mesurer quelles visites du site de présentation aboutissent à des organisations clientes payantes, comment les comptes des organisations clientes sont configurés et utilisés, et combien de visites de vérification le Service reçoit par pays, en envoyant à Google Analytics des événements d’inscription, de paiement, d’activité du compte et de visite de vérification anonyme (Art. 6(1)(f) ; vous pouvez vous y opposer, voir section 7)

3.3 Conservation

Les données du compte de l’organisation cliente sont conservées pendant toute la relation client. Lorsque le compte prend fin : (a) le traitement cesse et le compte est désactivé ; (b) les enregistrements de calibration conservés pendant 30 jours dont AgeRail est responsable du traitement continuent d’expirer selon leur propre calendrier, les enregistrements des conditions de capture sont supprimés avec leurs sessions de vérification, et l’archive ponctuelle et délimitée décrite dans cette politique est conservée sans échéance, comme indiqué à la section 4.4 ; (c) les enregistrements des sessions et des transactions ne contiennent que des métadonnées pseudonymes de parcours et des métadonnées commerciales, et sont conservés dans la mesure nécessaire aux obligations comptables et légales ; (d) sur demande adressée à privacy@agerail.com, nous fournissons un export des enregistrements de session et de facturation du Client, et supprimons ou anonymisons dans les systèmes actifs les coordonnées du compte de l’organisation cliente dont la conservation n’est pas légalement obligatoire. Après cette suppression, des copies résiduelles peuvent subsister dans les sauvegardes de base de données gérées par le prestataire et, en production, dans les journaux de récupération conservés jusqu’à 7 jours, pendant une période supplémentaire limitée avant leur expiration. Pendant cette période, elles sont indisponibles pour les traitements courants et ne sont utilisées à aucune autre fin. Ces opérations sont effectuées sur demande et ne constituent pas une anonymisation générale automatique. Les documents de facturation et fiscaux sont conservés aussi longtemps que le droit espagnol ou de l’Union européenne l’exige. Pour exercer vos droits, contactez-nous par le moyen indiqué ci-dessous.

4. Utilisateurs finaux

4.1 Traitement aux fins de vérification

AgeRail utilise un selfie pour estimer si vous atteignez l’âge requis par le service demandeur et pour vérifier la présence d’une personne vivante. Le résultat est produit automatiquement par un logiciel. Nous ne vous identifions pas : nous n’effectuons aucune recherche dans une base de données de visages et ne conservons rien provenant de votre visage qui permettrait de vous reconnaître lors d’un contrôle ultérieur. Si vous choisissez l’étape documentaire décrite ci-dessous, une comparaison est effectuée entre votre selfie et le portrait figurant sur le document que vous présentez lors du même contrôle. Cette comparaison mesure les deux visages sur nos propres systèmes et ne conserve aucune des deux mesures : elles n’existent que pour cette comparaison, ne sont jamais stockées ni envoyées où que ce soit, et ne sont rattachées à aucune session ni à aucune personne. Aucune autre de nos opérations ne produit une telle mesure.

Pour un contrôle où la visibilité de l’âge estimé est désactivée : le service demandeur reçoit un résultat signé présentant l’un des trois statuts suivants : le contrôle a réussi, vous avez été orienté vers la solution alternative du service, ou le contrôle de détection du vivant n’a pas réussi.

Pour un contrôle où la visibilité de l’âge estimé est activée : le service demandeur reçoit un résultat signé présentant l’un des trois statuts suivants : le contrôle a réussi, vous avez été orienté vers la solution alternative du service, ou le contrôle de détection du vivant n’a pas réussi. Ayant activé la visibilité de l’âge estimé, il peut également obtenir l’estimation au moyen d’outils de compte distincts nécessitant une authentification, uniquement pour cette session à laquelle vous avez consenti.

Les images de ce contrôle ne sont pas conservées dans un enregistrement persistant. Les données de vérification peuvent faire l’objet d’un examen qualité limité, avec un accès restreint et audité.

Le service demandeur est le responsable du traitement pour ce contrôle, et AgeRail l’effectue pour son compte. La présente Politique de confidentialité explique le traitement de calibration distinct effectué par AgeRail ainsi que vos droits en matière de protection des données.

Lorsqu’un utilisateur final effectue une vérification, AgeRail estime l’âge à partir d’un selfie et réalise un contrôle de détection du vivant. AgeRail n’écrit ni l’image du visage ni les caractéristiques qui en sont dérivées sur un disque, dans une base de données, un stockage d’objets ou une sauvegarde. Les images peuvent être conservées en mémoire jusqu’à 24 heures pour le contrôle qualité et peuvent en être retirées plus tôt lorsque la capacité est atteinte ou que le service redémarre. Elles peuvent faire l’objet d’un examen humain aux fins de contrôle qualité et de validation des résultats de vérification. AgeRail n’écrit pas non plus de gabarit biométrique réutilisable ou d’autre représentation dérivée de l’image, ni la distribution complète des estimations d’âge du modèle, sur un disque, dans une base de données, un stockage d’objets ou une sauvegarde. Les mesures numériques fixes décrites à la section 4.2 constituent la seule exception à cette affirmation concernant les conditions de capture. Le résultat est produit automatiquement par un logiciel : aucune personne chez AgeRail ne participe à sa production, et l’examen qualité décrit ci-dessus ne modifie jamais un résultat déjà émis. Si le contrôle ne permet pas d’obtenir un résultat concluant, l’utilisateur final est renvoyé vers l’organisation cliente, qui peut proposer un autre moyen de vérification.

Lorsque le service demandeur a activé l’étape documentaire, AgeRail propose lui-même l’une de ces solutions alternatives avant de vous renvoyer vers ce service : photographier un passeport d’un pays pris en charge ou un permis de conduire de Grande-Bretagne au format carte avec photo, définitif ou provisoire. Ce sont les deux documents actuellement acceptés à cette étape ; les cartes d’identité, les titres de séjour et les permis de conduire américains ou canadiens ne sont pas encore pris en charge, et si vous en choisissez un, nous vous l’indiquons avant toute prise de photo. Rien ne se passe tant que vous n’appuyez pas sur « Accepter et ouvrir l’appareil photo », sous une phrase qui sollicite votre consentement pour qu’AgeRail lise votre pièce d’identité et compare sa photo à votre selfie, et qui renvoie vers cette page ; si vous refusez, le résultat précédent reste inchangé et cela ne vous coûte rien. Nous ne lisons que cinq éléments du document : la date de naissance qui y figure, sa date d’expiration, le type de document, le pays de délivrance et le numéro du document. Ce dernier sert à vérifier que le recto et le verso d’un document à deux faces appartiennent à la même carte et, pour certains pays de délivrance, à interroger le registre officiel des documents invalides de ce pays, puis il est éliminé. Tous les autres champs imprimés ou encodés, y compris votre nom, sont écartés sans être lus, et aucun champ du document n’est écrit dans une base de données, un journal, un export, un webhook ou le résultat reçu par le service demandeur.

Certains pays et types de documents ne sont pas encore pris en charge. Si nous ne pouvons pas contrôler le document que vous avez choisi, l’écran vous en informe et maintient un lien vers la présente Politique de confidentialité. Vous pouvez sélectionner « Retour à la boutique » sans qu’un enregistrement de demande soit créé. AgeRail ne conserve un enregistrement que si vous sélectionnez le bouton distinct nous demandant d’ajouter cette prise en charge. Il contient le pays de délivrance, le type de document et le mois civil. Si le pays entier n’est pas pris en charge, aucun type de document n’est enregistré. L’enregistrement ne contient ni nom, ni photo, ni détails de session, ni service demandeur, ni adresse, ni informations sur l’appareil, ni indication temporelle plus précise que le mois. Il n’est jamais rattaché à votre session de vérification. Cet enregistrement ne contient rien qui vous identifie.

AgeRail est le responsable du traitement pour cet enregistrement. Nous l’utilisons pour décider quels pays et documents prendre en charge ensuite. Il s’agit de notre propre finalité, et non d’une instruction du service demandeur. Notre base juridique est notre intérêt légitime à planifier la prise en charge des documents (RGPD Art. 6(1)(f)). Nous utilisons ces enregistrements à des fins statistiques au titre du RGPD Art. 89(1). Le choix de faire cette demande est facultatif.

Nous conservons les enregistrements du mois en cours et des douze mois précédents, soit une durée de conservation d’environ treize mois. Ensuite, nous supprimons l’enregistrement et ne conservons que des totaux globaux par pays et type de document, sans indication de mois et sans date de fin. Les copies de sauvegarde sont conservées pendant une durée limitée, comme pour les autres enregistrements d’AgeRail.

Seuls les opérateurs d’AgeRail voient ces informations, sous forme de décomptes. Ni vous ni le service demandeur ne pouvez les consulter. Elles ne sont pas exportées et ne modifient aucun résultat reçu par le service demandeur.

Vous avez le droit de vous opposer à tout moment à ce traitement en contactant privacy@agerail.com (RGPD Art. 21). Votre opposition peut préciser le pays, le type de document et le mois concernés par votre demande.

L’ordre des opérations est important et se déroule comme suit. Trois contrôles sont d’abord effectués sur les propres serveurs d’AgeRail, sans aucun envoi vers l’extérieur : vos photographies s’ouvrent, un visage est détecté sur le document et le type de document choisi fait partie de ceux que nous acceptons. La photo du visage est ensuite découpée du document et comparée au selfie déjà capturé, également sur nos propres serveurs, sans aucun envoi vers l’extérieur à cette fin. Si les visages ne correspondent pas ou si aucun visage n’est détecté sur le selfie, la tentative s’arrête là et nous ne lisons jamais le document. Nous ne le lisons qu’en cas de correspondance nette. La comparaison a donc aussi lieu pour un document que nous refusons ensuite : si votre document s’avère expiré, indique un âge inférieur au seuil ou est illisible, la photo qui y figure a déjà été comparée à votre selfie.

Avec votre consentement explicite, nous comparons le portrait figurant sur votre pièce d’identité à votre selfie afin de vérifier que le document vous appartient. Aucune donnée n’est envoyée à un tiers pour cette comparaison. Nous n’envoyons pas de données faciales à des tiers pour la comparaison et ne les utilisons pas pour établir un lien entre vos différents contrôles. Nous conservons l’image découpée du visage aux fins de contrôle qualité, comme décrit dans la présente politique. Des prestataires d’inférence d’IA dans l’UE reçoivent des données faciales et documentaires aux fins de vérification de l’âge, comme décrit à la section 5. Un opérateur d’AgeRail peut consulter l’image découpée et l’image masquée pendant une durée maximale de 24 heures, comme indiqué à la section 4.4. Nous créons une image masquée à partir de chaque photographie que vous soumettez, quelle que soit notre décision ultérieure, sans avoir besoin d’images de référence : l’image masquée vise à dissimuler le texte du document tout en laissant visibles son graphisme, son arrière-plan et son portrait. Cela ne garantit pas que tout le texte sera dissimulé. Tout texte restant sur le document peut être visible par nos opérateurs autorisés et par les prestataires d’inférence d’IA dans l’UE, même si la soumission est ensuite rejetée. Vous pouvez retirer ce consentement jusqu’à l’envoi des photos en choisissant « Non merci, retour à la boutique ». Le retrait ne porte pas atteinte à la licéité du traitement fondé sur le consentement effectué avant ce retrait.

Les prestataires d’inférence renvoient leurs réponses sans fournir de représentation réutilisable d’un visage. Ces réponses peuvent être utilisées pour déterminer un résultat. Si elles le sont, une réponse négative ou incertaine vous coûte une tentative ; vous pouvez réessayer dans la limite des tentatives autorisées à l’étape documentaire. Si elles ne le sont pas, elles ne modifient aucun résultat et ne vous coûtent aucune tentative. Ces réponses ne sont présentées ni à un service demandeur ni à vous. Le résultat reçu par le service demandeur a la même forme, que les réponses soient ou non utilisées pour le déterminer. Nous conservons des décomptes quotidiens des réponses dans les deux cas. AgeRail est le responsable du traitement de ces décomptes, au titre de son intérêt légitime à mesurer le fonctionnement d’un contrôle de son propre service (RGPD Art. 6(1)(f)) ; vos droits concernant les traitements fondés sur cette base sont décrits à la section 7. Nous ne conservons à cette fin qu’un décompte quotidien de chaque réponse : un jour, la réponse et un nombre, sans session, sans service demandeur, sans pays et sans aucun élément susceptible de vous identifier.

Voici ce que l’étape documentaire ne permet pas d’établir. Elle ne détermine pas si un document est authentique. Pour certains pays de délivrance, elle consulte le registre officiel des documents invalides du pays et refuse ceux qui y sont inscrits comme perdus, volés, annulés ou révoqués. L’absence d’inscription d’un document ne confirme ni sa validité ni son authenticité, et l’étape se poursuit si le registre est indisponible. Un faux bien réalisé comportant une date de naissance cohérente et le propre visage de la personne qui le présente peut néanmoins réussir tous les contrôles de ce parcours. Lorsque le modèle estime que le document correspond à l’un des spécimens officiels de son pays, cela indique que le document ressemble au graphisme officiel de ce pays, sans établir son authenticité ni sa délivrance à la personne qui le présente. Un document modifié ou fabriqué de toutes pièces portant le propre visage de la personne qui le présente, une image modifiée avant son envoi ou une photographie d’un écran peuvent néanmoins être acceptés : le modèle peut se tromper et, lorsque ses réponses ne servent pas à déterminer un résultat, elles n’entraînent aucun refus. Enfin, comme AgeRail ne compare jamais le document ou le visage d’un contrôle avec ceux d’un autre, un même document authentique peut être utilisé par plusieurs personnes différentes lors de contrôles distincts, sans que rien ici ne le détecte.

La comparaison des visages à cette étape relève des catégories particulières de données au titre du RGPD Art. 9, et AgeRail s’appuie pour ce traitement sur votre propre consentement explicite, donné par l’appui décrit ci-dessus. Une personne n’ayant pas atteint l’âge du consentement numérique dans son pays ne peut pas donner valablement ce consentement. Lorsque le droit national applicable au service demandeur lui impose de vérifier l’âge, cette loi constitue la base parallèle (RGPD Art. 6(1)(c) avec Art. 9(2)(g)), et l’Accord de traitement des données demande au service de la préciser. Lorsqu’aucune loi de ce type n’est précisée, nous exposons la situation sans prétendre qu’elle est résolue : le traitement repose sur la nécessité de la décision dont vous faites déjà l’objet, à savoir celle qui protège les personnes n’ayant pas atteint le seuil d’âge.

Fournir un selfie n’est pas une obligation légale que vous avez envers AgeRail ; c’est la méthode choisie par le service demandeur pour son contrôle de l’âge, et ce service peut lui-même être légalement tenu de vérifier votre âge. Si vous n’en fournissez pas, le contrôle ne peut pas être effectué, et le service demandeur décide de la suite, notamment s’il vous propose un autre moyen de vérification.

L’organisation cliente reçoit un résultat signé présentant l’un des trois statuts suivants : le contrôle a réussi, vous avez été orienté vers la solution alternative du service, ou le contrôle de détection du vivant n’a pas réussi. Le Service ne renvoie à l’organisation cliente ni âge estimé ni score de détection du vivant dans la réponse de vérification.

À titre facultatif, une organisation cliente qui active la visibilité de l’âge estimé dans le tableau de bord peut obtenir une estimation de l’âge au moyen de l’opération distincte nécessitant une authentification, des pages Sessions et de l’export, uniquement pour les sessions dont les acheteurs ont accepté cette communication sur l’écran de consentement hébergé. L’estimation n’est stockée que pour ces sessions ayant fait l’objet d’un consentement et est supprimée lorsque l’enregistrement de la session est supprimé ; les enregistrements de session n’ont actuellement pas de délai fixe de suppression automatique, et leur conservation et leur suppression sont régies par l’accord de traitement des données. Le Service n’ajoute ni l’estimation ni un score de détection du vivant à la réponse de vérification, au webhook, à la redirection ou à la réponse d’état de session. Les enregistrements de calibration restent réservés aux opérateurs.

Les enregistrements persistants qui subsistent après une vérification comprennent la configuration du service, l’état de la vérification, les horodatages, les enregistrements de sécurité et les informations commerciales ou de facturation nécessaires à la fourniture du Service. Ils peuvent également inclure une estimation de l’âge rattachée à la session dans une table d’affichage destinée au commerçant, uniquement lorsque la visibilité de l’âge estimé est activée et que l’acheteur a accepté cette communication. Cette estimation alimente uniquement les interfaces du commerçant et est supprimée lorsque l’enregistrement de sa session est supprimé ; les enregistrements de session n’ont actuellement pas de délai fixe de suppression automatique, et leur conservation et leur suppression sont régies par l’accord de traitement des données. Elle est distincte des enregistrements pseudonymes de calibration décrits ci-dessous, que les organisations clientes ne peuvent pas consulter. Ces enregistrements ne contiennent ni images de visages ni gabarits biométriques réutilisables, et leur structure ne prévoit aucun emplacement pour les stocker.

4.2 Valeurs scalaires de calibration réservées aux opérateurs (exception)

Exception limitée et réservée aux opérateurs : lorsque le suivi de calibration est activé, AgeRail peut conserver des résultats pseudonymes par vérification pour suivre la précision du modèle. Ces résultats comprennent des valeurs relatives à l’estimation de l’âge, à la détection du vivant, au niveau de confiance dans la décision et au seuil d’âge configuré ; la double lecture du modèle de vision décrite à la section 5, à savoir son estimation de l’âge, son évaluation de la présence d’une personne vivante, son niveau de confiance, l’absence éventuelle de lecture et sa raison, et la durée de l’appel ; le modèle ayant déterminé l’âge et celui ayant statué sur la détection du vivant ; ainsi que la version de la politique de décision en vigueur. Ils sont conservés pendant 30 jours dans un stockage réservé aux opérateurs au sein de l’Union européenne.

Un second enregistrement, plus restreint et réservé aux opérateurs, peut contenir un ensemble fixe de mesures pseudonymes des conditions de capture, à savoir le cadrage du visage, l’éclairage et la netteté de la capture, ainsi que le type d’appareil utilisé, accompagnées d’une mesure de confiance du modèle. Ces mesures ne sont enregistrées que lorsqu’un réglage opérateur, désactivé par défaut, est activé, dans un stockage réservé aux opérateurs au sein de l’Union européenne. L’enregistrement est supprimé lorsque l’enregistrement de sa session de vérification est supprimé ; les enregistrements de session n’ont actuellement pas de délai fixe de suppression automatique. Il ne contient ni image, ni gabarit biométrique ou représentation dérivée, ni identifiant autre que celui de la session de vérification à laquelle il appartient. Aucune organisation cliente ni aucun acheteur ne peut le consulter.

Une archive ponctuelle et délimitée peut copier un sous-ensemble défini des enregistrements de calibration conservés pendant 30 jours, à savoir ceux qui concernent une réclamation en cours d’examen et ceux d’une période de bon fonctionnement conservés à titre de comparaison, dans un stockage sans échéance réservé aux opérateurs au sein de l’Union européenne. Ses dates exactes et le nombre d’enregistrements sont consignés lors de la prise de l’instantané. Aucune autre donnée de calibration n’est autorisée dans cette archive.

Les enregistrements de calibration ne portent qu’une référence de session pseudonyme, que les organisations clientes ne peuvent pas rattacher à une vérification. L’accès est limité au personnel opérateur autorisé. Les organisations clientes ne peuvent pas consulter le stockage de calibration.

La base juridique de ce traitement de calibration est le RGPD Art. 6(1)(f) : l’intérêt légitime à exploiter un service précis de vérification de l’âge, à détecter la dérive du modèle et à maintenir la fiabilité de la décision de blocage des personnes n’ayant pas atteint l’âge requis. Une analyse de mise en balance des intérêts est tenue en interne à cette fin.

4.3 Rôles concernant les données de vérification des utilisateurs finaux

Pour les données de vérification des utilisateurs finaux traitées sur les instructions d’une organisation cliente, celle-ci est le responsable du traitement et AgeRail est le sous-traitant. Cette relation est régie par l’Accord de traitement des données disponible à l’adresse /dpa, incorporé aux Conditions de service. Pour les valeurs scalaires de calibration réservées aux opérateurs décrites ci-dessus, AgeRail détermine les moyens et les finalités et agit en qualité de responsable du traitement.

4.4 Conservation des enregistrements relatifs aux utilisateurs finaux

AgeRail n’écrit ni l’image du visage ni les caractéristiques qui en sont dérivées sur un disque, dans une base de données, un stockage d’objets ou une sauvegarde. Les images peuvent être conservées en mémoire jusqu’à 24 heures pour le contrôle qualité et peuvent en être retirées plus tôt lorsque la capacité est atteinte ou que le service redémarre. Elles peuvent faire l’objet d’un examen humain aux fins de contrôle qualité et de validation des résultats de vérification. AgeRail n’écrit pas non plus de gabarit biométrique réutilisable ou d’autre représentation dérivée de l’image, ni la distribution complète des estimations d’âge du modèle, sur un disque, dans une base de données, un stockage d’objets ou une sauvegarde. Les mesures numériques fixes décrites à la section 4.2 constituent la seule exception à cette affirmation concernant les conditions de capture.

À l’étape documentaire décrite à la section 4.1, les photographies du document sont libérées dès que la soumission qui les a utilisées prend fin, et aucun point d’accès ne permet ensuite d’en obtenir une. Deux types d’images sont conservés, et aucun autre : l’image découpée du visage qui a été comparé et l’image masquée de chaque photographie, pour chaque soumission, y compris celles que nous avons refusées. Chacune peut être conservée en mémoire pendant au plus 24 heures à compter de son enregistrement, aux fins de contrôle qualité, et peut en être retirée plus tôt lorsque la capacité est atteinte ou que le service redémarre. Elles peuvent faire l’objet d’un examen humain aux fins de contrôle qualité. L’image masquée vise à dissimuler le texte du document tout en laissant visibles son graphisme, son arrière-plan et son portrait, mais certains textes peuvent rester lisibles, comme décrit à la section 4.1. Aucune des deux images n’est jamais écrite sur un disque, dans une base de données, un stockage d’objets ou une sauvegarde. Après la suppression des images, les enregistrements de vérification, les décomptes quotidiens agrégés, les enregistrements des demandes de prise en charge de pays ou de types de documents et les totaux globaux issus de ces demandes restent conservés, sous réserve des dispositions de cette page relatives à la conservation et à la suppression.

Les enregistrements pseudonymes de calibration par vérification sont conservés pendant 30 jours, puis supprimés. Après leur suppression, des copies résiduelles peuvent subsister dans les systèmes de récupération gérés par le prestataire pendant une période supplémentaire pouvant aller jusqu’à environ 14 jours avant leur suppression définitive. Pendant cette période, elles sont indisponibles pour les traitements courants. Cette période résiduelle propre à la plateforme est une caractéristique du service de stockage sous-jacent ; nous la signalons ici sans prétendre effectuer une purge définitive immédiate.

Les mesures fixes des conditions de capture réservées aux opérateurs décrites à la section 4.2 sont supprimées lorsque l’enregistrement de leur session de vérification est supprimé. Les enregistrements de session n’ont actuellement pas de délai fixe de suppression automatique. Une archive ponctuelle et délimitée copie un sous-ensemble défini d’enregistrements relatifs aux réclamations et aux comparaisons dans un stockage sans échéance réservé aux opérateurs ; ses dates exactes et le nombre d’enregistrements sont consignés lors de la prise de l’instantané.

Les métadonnées des sessions de vérification et des transactions utilisées pour le Service et la facturation sont conservées dans la mesure nécessaire à la gestion du compte, à la résolution des litiges et au respect des obligations légales, et ne sont pas utilisées pour reconstituer des données biométriques.

4.5 Enregistrements opérationnels d’un contrôle

Deux enregistrements opérationnels décrivent un contrôle plutôt qu’une requête adressée à nos systèmes. Lorsqu’un contrôle est évalué, notre propre service écrit une ligne de journal qui indique le nombre d’images soumises et le nombre de celles utilisées pour l’estimation, avec la référence de session de ce contrôle. Cette ligne ne contient ni image, ni âge estimé, ni valeur biométrique. Nous la conservons pour comprendre comment un résultat a été obtenu et suivre la précision du Service dans le temps. Elle est conservée pendant 90 jours dans un stockage de journaux exploité par notre prestataire cloud au sein de l’Union européenne, puis supprimée. Seul le personnel opérateur d’AgeRail peut la consulter.

Lorsque le modèle de vision décrit à la section 5 est interrogé sur une capture, nous écrivons un enregistrement de cet appel : les questions posées au modèle, les paramètres utilisés, la durée de l’appel et, uniquement pour les questions relatives à l’âge et à la détection du vivant, la réponse du modèle, y compris son estimation de l’âge apparent et son évaluation de la présence d’une personne vivante, avec la référence de session. Pour les questions relatives au document, aucune réponse n’est écrite. Cet enregistrement ne contient aucune image, quelle qu’elle soit. Nous le conservons pour qu’un opérateur puisse distinguer une lecture erronée, un refus et une panne. Il est conservé pendant au plus 30 jours dans ce même stockage de journaux exploité par le prestataire au sein de l’Union européenne, puis supprimé. Seul le personnel opérateur d’AgeRail peut le consulter.

AgeRail est le responsable du traitement pour ces deux enregistrements, au titre de son intérêt légitime à assurer le bon fonctionnement du Service et à suivre sa précision (RGPD Art. 6(1)(f)). Aucun de ces deux enregistrements ne relève du traitement effectué par AgeRail sur les instructions du service demandeur. Vous pouvez vous opposer à ce traitement au titre du RGPD Art. 21, voir section 7.

5. Destinataires et prestataires

Nous faisons appel aux prestataires de services et aux catégories de sous-traitants ultérieurs décrits à l’adresse /subprocessors pour l’hébergement de l’infrastructure, l’inférence d’IA, les paiements et les courriels transactionnels. Cette liste comprend Google Cloud, des prestataires d’inférence d’IA hébergés dans l’UE, Stripe, Postmark et Resend.

Google Analytics est un destinataire de ces flux du côté du responsable du traitement, et non un sous-traitant ultérieur des Données à caractère personnel du Responsable du traitement au sens de l’article 28. Le flux du site de présentation est un identifiant visiteur écrit après votre acceptation du bandeau. Le flux serveur transmet des événements de conversion, tels qu’une inscription terminée, une recharge commencée ou un paiement confirmé, sous un identifiant dérivé de l’organisation cliente, ou sous cet identifiant visiteur si vous avez accepté le bandeau de cookies sur le site de présentation avant de vous inscrire. Si vous avez accepté le bandeau, Google Ads peut également comptabiliser lesquelles de nos publicités ont abouti à votre inscription ou à un paiement, et rien n’est utilisé pour personnaliser les publicités. Les événements d’activité du compte, tels que la création d’une clé API, la configuration d’un webhook ou la consultation d’un tableau de bord, sont transmis uniquement sous l’identifiant dérivé de l’organisation cliente, jamais sous un identifiant visiteur, et sont envoyés vers une propriété analytique distincte utilisée pour l’exploitation du Service. Le formulaire d’inscription ne comporte pas de seconde case relative à la mesure d’audience. Cette propriété opérationnelle reçoit également un événement anonyme de visite de vérification par visite, envoyé depuis nos serveurs, jamais depuis la page de vérification elle-même : il contient un nom d’événement, un identifiant généré aléatoirement pour ce seul événement et un pays déduit du fuseau horaire du navigateur, sans identifiant de session de vérification, résultat, indication temporelle, ville ou adresse IP. L’identifiant n’étant jamais réutilisé, aucun de ces événements ne peut être relié à un autre, ni à une personne, une session ou un compte. Aucun flux ne contient de données biométriques, d’identifiant de session de vérification ou d’adresse électronique et, au-delà de ce décompte anonyme, aucune information sur une vérification individuelle n’est envoyée à Google Analytics sous quelque forme que ce soit. Cette affirmation concerne les flux analytiques décrits ici. Elle ne concerne pas les journaux de requêtes de la plateforme visés à la section 8, que le prestataire d’infrastructure cloud écrit pour chaque requête et qui peuvent contenir un identifiant de session de vérification.

Les données scalaires de calibration, y compris les mesures des conditions de capture réservées aux opérateurs et l’archive délimitée, sont réservées au personnel opérateur et ne sont ni mises à la disposition des organisations clientes ni utilisées comme jeu de données marketing.

Les prestataires d’inférence d’IA dans l’UE reçoivent des données faciales et documentaires pour permettre la vérification de l’âge. Ils renvoient leurs résultats sans fournir de représentation réutilisable d’un visage. Les prestataires d’inférence traitent les données uniquement pour répondre à une requête et n’en conservent aucune au-delà de celle-ci, sauf pendant une durée limitée lorsque la sécurité l’exige. Lorsque notre politique de décision le prévoit, cette lecture détermine l’issue de la vérification ; dans tous les cas, vous recevez un résultat de même forme et la lecture n’est transmise à aucun commerçant. Nos traitements de calibration et de contrôle qualité sont décrits à la section 4.

Aucune réponse du prestataire n’est communiquée à un commerçant ou à vous. Nous n’envoyons pas de données faciales à des tiers pour la comparaison et ne les utilisons pas pour établir un lien entre vos différents contrôles. Nous conservons l’image découpée du visage aux fins de contrôle qualité, comme décrit dans la présente politique.

Lorsque l’étape documentaire est effectuée, pour certains pays de délivrance, le registre officiel des documents invalides du pays reçoit le numéro et le type du document afin d’indiquer si celui-ci y figure. Il ne reçoit ni image, ni nom, ni date de naissance, ni information sur le service demandeur ou le résultat de la vérification.

Les cookies que ce site peut écrire, leur finalité, leur durée de vie et leur destinataire, ainsi que la commande permettant de modifier une réponse enregistrée, figurent sur la page Politique relative aux cookies.

6. Transferts internationaux

AgeRail configure les traitements biométriques et de vérification qu’il contrôle, ainsi que le stockage des données qu’ils produisent, pour qu’ils soient exécutés au sein de l’Union européenne. Les activités d’assistance, de sécurité et de télémétrie des prestataires accessoires à ces services sont régies par les conditions applicables de ces prestataires, résumées à l’adresse /subprocessors. La transmission des résultats de vérification aux points d’accès de redirection ou de webhook configurés par le Responsable du traitement s’effectue selon ses instructions ; la localisation de ces points d’accès relève de son choix et de sa responsabilité. Les détails actuels concernant la localisation de l’hébergement sont accessibles aux clients sur demande, sous couvert de confidentialité.

Les données de paiement sont traitées par Stripe conformément à ses propres conditions de traitement des données et mécanismes de transfert (notamment le cadre de protection des données UE-États-Unis et les clauses contractuelles types, le cas échéant). Les données des courriels transactionnels sont traitées par Postmark conformément à ses propres conditions de traitement des données et mécanismes de transfert (notamment le cadre de protection des données UE-États-Unis et les clauses contractuelles types, le cas échéant), ainsi que par Resend (Plus Five Five, Inc.), qui stocke le contenu des messages et les journaux d’acheminement aux États-Unis au titre de sa certification au cadre de protection des données UE-États-Unis et des clauses contractuelles types figurant dans son avenant relatif au traitement des données. Les données de mesure d’audience des visiteurs du site web et les événements d’inscription, de paiement, d’activité du compte et de visite de vérification anonyme envoyés côté serveur sont traités par Google conformément à ses propres conditions et mécanismes de transfert (notamment le cadre de protection des données UE-États-Unis et les clauses contractuelles types, le cas échéant). Consultez /subprocessors pour le résumé des transferts par prestataire. Pour obtenir une copie des garanties sur lesquelles s’appuie un prestataire, ou savoir où les consulter, écrivez à privacy@agerail.com.

7. Vos droits

Selon votre rôle et le droit applicable, vous pouvez disposer de droits d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition (notamment au titre du RGPD Art. 21 pour les traitements fondés sur des intérêts légitimes).

Pour exercer ces droits, contactez privacy@agerail.com. La présente politique décrit les données que nous traitons, les raisons de leur traitement, leur durée de conservation et les personnes qui y ont accès, plutôt que la conception de nos systèmes ; si vous avez besoin de précisions sur un traitement décrit ici, contactez-nous à la même adresse.

Les enregistrements de calibration sont pseudonymes et ne comportent ni nom, ni adresse électronique, ni autre identifiant direct. Nous traiterons toute demande d’opposition ou d’effacement les concernant à l’aide des informations raisonnablement disponibles pour identifier les vérifications concernées, conformément au RGPD Art. 11 et Art. 12, et supprimerons les enregistrements de calibration concernés conservés pendant 30 jours avant leur échéance lorsque cela est possible. Nous donnerons également suite à la demande pour un enregistrement associé des conditions de capture ou une archive délimitée lorsque la vérification concernée peut être identifiée. La période résiduelle de récupération gérée par le prestataire décrite à la section 4.4 reste applicable après la suppression d’un enregistrement de calibration.

Le résultat d’une vérification est produit automatiquement : aucune personne chez AgeRail ne participe à sa production, et l’examen qualité décrit à la section 4.1 ne modifie jamais un résultat déjà émis. Le service demandeur en est le responsable du traitement et c’est à lui qu’il incombe de vous offrir un moyen de le contester : si un contrôle aboutit à un refus et que vous estimez celui-ci erroné, demandez à ce service un examen humain du refus et un autre moyen de prouver votre âge. Au titre du RGPD Art. 22(3), il doit examiner cette demande et ne doit pas maintenir le refus sur le seul fondement du résultat automatisé. Refaire simplement le contrôle ne constitue pas cette voie de recours, et vous ne devriez pas avoir à vous en remettre à cette possibilité. Lorsqu’un refus a été décidé à l’étape documentaire décrite à la section 4.1, les seuls éléments que quiconque peut examiner ensuite sont les deux images qui y sont décrites, conservées pendant au plus 24 heures et pouvant être retirées plus tôt lorsque la capacité est atteinte ou que le service redémarre : une demande dont l’examen dépend de ce qu’elles montraient doit parvenir à privacy@agerail.com dans les 24 heures suivant le contrôle. Au-delà, AgeRail ne peut fournir que le résultat et les indications temporelles enregistrés pour la session. AgeRail n’écrit pas votre image sur un disque, dans une base de données, un stockage d’objets ou une sauvegarde. La copie en mémoire décrite à la section 4.1 est conservée pendant au plus 24 heures pour le contrôle qualité et peut être retirée plus tôt lorsque la capacité est atteinte ou que le service redémarre : une limite globale fixe de mémoire entraîne la libération de la capture la plus ancienne lorsque cette limite est atteinte. Une fois la capture libérée, AgeRail ne peut plus réexaminer l’original. Ce qu’AgeRail peut fournir au service demandeur, sur demande adressée à privacy@agerail.com, est le résultat et les indications temporelles enregistrés pour cette session ; les mesures de calibration décrites à la section 4.2 sont pseudonymes : elles ne comportent ni nom, ni image, ni compte, et AgeRail ne les utilise pas pour vous identifier. Lorsque le service demandeur nous fournit l’identifiant de session alors qu’un enregistrement existe, nous pouvons retrouver les mesures enregistrées pour cette session.

Les utilisateurs finaux ayant effectué une vérification par l’intermédiaire du produit d’une organisation cliente doivent également contacter celle-ci pour les demandes concernant ses propres traitements de leurs données en dehors d’AgeRail.

Vous pouvez introduire une réclamation auprès d’une autorité de contrôle. En Espagne, l’autorité chef de file est l’Agencia Española de Protección de Datos (AEPD).

Pour retirer une réponse enregistrée au bandeau de cookies, utilisez la commande figurant sur la page Politique relative aux cookies. Cela supprime les cookies et fait réapparaître le bandeau. Pour vous opposer à la mesure de l’activité des organisations clientes fondée sur l’intérêt légitime décrite à la section 3.2, contactez privacy@agerail.com.

8. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, notamment des contrôles d’accès fondés sur le principe du moindre privilège ; le chiffrement en transit ; des contrôles de localisation obligatoires empêchant les services de vérification de fonctionner hors de leur région approuvée ; des contrôles empêchant l’écriture sur un stockage persistant des images de visages, de tout gabarit biométrique réutilisable ou autre représentation qui en est dérivée, et de la distribution complète des estimations d’âge du modèle, nos enregistrements ne comportant aucun champ pour ces éléments ; ainsi qu’un accès restreint aux enregistrements de calibration, réservé aux opérateurs. Nous pouvons faire évoluer ces mesures dans le temps, à condition de ne pas réduire le niveau global de protection.

Assurer cette sécurité implique de conserver un enregistrement des requêtes reçues par nos propres systèmes. Le prestataire cloud qui héberge AgeRail écrit un enregistrement pour chaque requête adressée à un service AgeRail, contenant l’adresse IP d’origine, le navigateur ou l’application à l’origine de la requête, l’adresse demandée et d’autres données de télémétrie de sécurité et de prévention des abus. Cet enregistrement est créé pour chaque requête, qu’il soit consulté ou non, et ne fait pas partie des enregistrements de calibration décrits à la section 4.2. À partir de ces mêmes enregistrements, nous comptons également, de manière agrégée et sans conserver aucune adresse, combien de visiteurs chaque canal publicitaire ou site référent amène sur notre site de présentation.

Le personnel opérateur d’AgeRail peut consulter ces enregistrements dans une console qui lui est réservée pour diagnostiquer les défaillances, la latence et les abus visant le service. La base juridique est l’intérêt légitime d’AgeRail à assurer la sécurité de son propre réseau et de ses systèmes d’information (RGPD Art. 6(1)(f), considérant 49), et AgeRail agit ici en qualité de responsable du traitement, plutôt que de sous-traitant d’un commerçant. Les enregistrements sont conservés pendant trente jours selon les règles de conservation des journaux du prestataire, puis supprimés. Aucun élément consulté dans ces enregistrements n’est écrit dans une base de données applicative d’AgeRail, exporté ou proposé au téléchargement, et les valeurs contenant un mot de passe ou un jeton d’accès sont supprimées avant l’affichage d’un enregistrement. Seul le personnel opérateur y a accès ; aucun commerçant, utilisateur final ou autre prestataire ne les reçoit. Lorsqu’une requête contient un identifiant de session de vérification, l’enregistrement affiche cet identifiant à côté de l’adresse IP ; ces enregistrements de requêtes ne contiennent ni image, ni estimation de l’âge, ni valeur biométrique. Un enregistrement de requête et l’enregistrement d’appel au modèle de vision décrit à la section 4.5 peuvent contenir le même identifiant de session. Pour la même finalité de sécurité, AgeRail enregistre également les adresses IP utilisées lors de la vérification et des informations sur leur pays et leur réseau afin de détecter les usages automatisés ou frauduleux ainsi que l’utilisation de VPN ou de proxys ; ces informations ne sont accessibles qu’au personnel opérateur d’AgeRail, chaque adresse est supprimée trente jours après son enregistrement, et les informations de pays et de réseau restent associées à l’enregistrement de vérification aussi longtemps que celui-ci est conservé. Vous pouvez vous opposer à ce traitement au titre du RGPD Art. 21, voir section 7.

9. Contacts professionnels

Nous recevons des coordonnées professionnelles de membres de notre équipe qui connaissent ces personnes dans un cadre professionnel. Nous utilisons ces coordonnées pour leur présenter nos services de vérification de l’âge par courrier électronique.

Notre base juridique est notre intérêt légitime à développer des relations commerciales au titre de l’article 6(1)(f) du RGPD, mis en balance avec les droits et les intérêts de la personne. En Espagne, l’article 19 de la LOPDGDD prévoit une présomption d’intérêt légitime pour les coordonnées professionnelles lorsque ses conditions sont remplies, notamment la limitation des données à ce qui est nécessaire au contact professionnel et leur utilisation pour entretenir des relations commerciales.

Nous traitons le nom de la personne, son adresse électronique professionnelle, son entreprise, les notes ajoutées par notre équipe pour chaque contact, ainsi qu’un historique des courriels envoyés et des éventuelles demandes de cessation d’envoi. Notre équipe et les prestataires qui acheminent nos courriels reçoivent ces données. Ces prestataires peuvent les traiter hors de l’UE selon les garanties décrites à la section 6.

Nous conservons les coordonnées jusqu’à ce que la personne s’y oppose ou que nous supprimions le contact, et nous réexaminons régulièrement la liste. Si une personne nous demande de cesser les envois, nous ne conservons qu’un enregistrement minimal de son adresse électronique sous une forme qui ne permet pas de la relire, uniquement pour nous assurer de ne plus lui envoyer de courriels.

Vous pouvez vous opposer à tout moment en répondant à l’un de ces courriels ou en écrivant à privacy@agerail.com. Vous n’avez pas à motiver votre demande, et nous cesserons d’utiliser vos coordonnées pour envoyer ces courriels.

10. Modifications

Nous pouvons mettre à jour la présente Politique de confidentialité en publiant une nouvelle version sur cette page et en actualisant la mention de version. Les modifications importantes seront reflétées dans la version et la date d’entrée en vigueur affichées en haut de cette page.

11. Contact

Lalalu Marketing SL
Travessera de Gràcia 73, 4-2
08006 Barcelona, Espagne
privacy@agerail.com