Accord de traitement des données

Le présent accord de traitement des données (l’« Accord ») complète les conditions générales d’utilisation (les « CGU ») de VerifNer SA, siège social SONUCI, Niamey, Niger (« VerifNer »). Il fixe les conditions dans lesquelles VerifNer traite, pour le compte du Client, les données à caractère personnel des Utilisateurs finaux lors des Vérifications en production.

Il est accepté au nom du Client par un propriétaire ou un administrateur de son organisation, dans la console, en activant le mode live. VerifNer conserve la date, la version acceptée et la personne qui l’a acceptée. Les termes définis dans les CGU ont le même sens ici.

Responsable de traitement :

le Client, qui décide de vérifier l’identité de ses Utilisateurs finaux, pour quelles finalités et sur quelle base légale.

Sous-traitant :

VerifNer, qui réalise les Vérifications pour le compte du Client et sur ses instructions.

L’amélioration du Service décrite à l’article 9 des CGU est un traitement distinct, dont VerifNer est responsable ; il n’est pas régi par le présent Accord. Les données des utilisateurs de la console (nom, e-mail, téléphone des membres du Client) sont traitées par VerifNer pour gérer le compte, selon les CGU.

Nature et finalité :

lecture du document d’identité, contrôles de cohérence et d’authenticité (zone MRZ, dates, altérations), comparaison du visage de l’Utilisateur final avec la photo du document, puis verdict motivé transmis au Client.

Personnes concernées :

les Utilisateurs finaux dont le Client demande la Vérification.

Données :

images du document (recto, verso) et selfie ; champs lus sur le document (nom, prénoms, date et lieu de naissance, sexe, nationalité, numéro, dates de délivrance et d’expiration, autorité, lignes MRZ) ; empreintes des images, scores, verdict et éventuelle décision de revue ; référence fournie par le Client ; horodatages.

Données biométriques :

le selfie, et les caractéristiques du visage calculées à partir de celui-ci et de la photo du document pour les comparer. Ces caractéristiques ne sont pas conservées après la comparaison.

Durée :

celle du compte du Client, puis l’article 11.

Les Vérifications faites avec une clé de test ne conservent aucune image et ne relèvent pas de la production.

VerifNer traite les données uniquement sur instruction documentée du Client. Constituent ces instructions : les CGU, le présent Accord, chaque requête envoyée à l’API ou depuis la console, et les réglages de l’organisation (durée de conservation des images, désactivation de l’amélioration du Service, exclusions demandées par les Utilisateurs finaux).

VerifNer n’utilise pas ces données pour son propre compte, ne les vend pas et ne les communique à aucun tiers, sauf aux sous-traitants ultérieurs de l’article 7 ou sur obligation légale ; dans ce dernier cas, elle en informe le Client au préalable, sauf interdiction légale. VerifNer informe le Client si une instruction lui paraît contraire à la réglementation.

Le Client s’engage à :

• disposer d’une base légale pour chaque Vérification et, lorsque la loi l’exige, recueillir le consentement de l’Utilisateur final ;
• informer l’Utilisateur final du traitement, de VerifNer comme sous-traitant et de ses droits ; la page de capture et le SDK web de VerifNer affichent cette information, mais une intégration directe de l’API la laisse au Client ;
• accomplir les formalités qui lui incombent auprès de l’autorité de protection des données compétente ;
• ne soumettre que des documents et des images obtenus licitement, pour des finalités de vérification d’identité.

VerifNer met en œuvre et maintient des mesures techniques et organisationnelles adaptées au risque, notamment :

• chiffrement des communications (TLS) et des images stockées (AES-256-GCM, une clé dérivée distincte pour les copies d’amélioration) ;
• accès aux images uniquement par des liens signés valables cinq minutes, chaque lien émis et consulté étant inscrit au journal d’audit du Client ;
• clés d’API conservées sous forme d’empreinte, double authentification et clés d’accès pour la console, journal d’audit des actions ;
• suppression automatique des images au terme de la durée de conservation choisie par le Client ;
• accès des personnels de VerifNer limité à ceux qui en ont besoin, tenus à la confidentialité.

Le détail de ce qui est conservé et combien de temps figure dans la documentation.

Le Client autorise VerifNer à recourir aux sous-traitants ultérieurs suivants :

• Cloudflare, Inc. : lecture du document par un modèle de vision (Workers AI), stockage chiffré des images (R2), acheminement réseau et protection du Service.
• Hetzner Online GmbH (Francfort, Allemagne) : hébergement du serveur applicatif, de la base de données et du service de comparaison faciale.

VerifNer leur impose des obligations de protection des données équivalentes à celles du présent Accord et reste responsable envers le Client de leur respect. Certains d’entre eux traitent des données hors du Niger ; VerifNer encadre ces transferts conformément à la réglementation applicable.

VerifNer informe le Client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut fermer son compte sans frais avant le changement.

VerifNer aide le Client à répondre aux demandes d’accès, de rectification, d’opposition et d’effacement des Utilisateurs finaux : la console et l’API donnent accès aux Vérifications et à leurs images pendant leur conservation, et permettent d’exclure une Vérification de l’amélioration du Service. Toute demande reçue directement par VerifNer est transmise au Client sans délai, sauf si elle ne concerne que l’amélioration du Service, que VerifNer traite elle-même.

VerifNer notifie au Client toute violation de données à caractère personnel le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées. Elle complète ces informations dès qu’elle en dispose et aide le Client à notifier l’autorité compétente et, le cas échéant, les personnes concernées.

VerifNer fournit au Client, sur demande à contact@verifner.com, les informations nécessaires pour démontrer le respect du présent Accord et l’aide raisonnable nécessaire à ses analyses d’impact et à ses échanges avec l’autorité compétente. Le Client peut faire réaliser un audit une fois par an, à ses frais, par un auditeur tenu à la confidentialité, après un préavis de 30 jours et sans perturber le Service.

Pendant la durée du compte, les images sont supprimées au terme de la durée de conservation choisie par le Client. À la fermeture du compte, VerifNer restitue au Client, sur demande, les résultats de ses Vérifications, puis supprime les données traitées pour son compte sous 30 jours, sauf obligation légale de conservation.

L’Accord s’applique tant que VerifNer traite des données pour le compte du Client. En cas de contradiction avec les CGU sur la protection des données, l’Accord prévaut. VerifNer peut le modifier selon les mêmes modalités que les CGU ; une nouvelle version est présentée dans la console et le Client l’accepte pour continuer à activer le mode live. Il est régi par le droit nigérien, comme les CGU.