Confidentialité produit

1. Responsable

SOLCIA SAS — 9 impasse des Merisiers, 60700 Bazicourt, France · SIREN 107 445 165

Point de contact relatif à la protection des données : Thomas Blanc — vie-privee@solcia.fr

Mentions. Sur le service Client (intégration Age Shield chez le Client) : le Client est en principe responsable de traitement ; Solcia est souvent sous-traitant (API / parcours) au sens du RGPD art. 28 (DPA). Sur solcia-ageshield.fr (compte organisation, facturation, clés) : Solcia est responsable.

2. Données traitées (selon offre / contrat)

Age Shield® ne collecte et ne stocke pas l’état civil (nom, prénom, date de naissance complète, numéro de pièce d’identité) en vue de le transmettre ou de le conserver pour le Client. Le Client reçoit, selon le pack et l’intégration, un résultat / attribut d’âge ou un jeton technique — conformément aux CGV (obligations Client, clé S2S). Les catégories suivantes, techniques ou organisationnelles, peuvent néanmoins constituer des données personnelles :

• API / technique : clé serveur, horodatage, verdict, quotas, métadonnées de sécurité, identifiants techniques de requête
• Sessions / jetons : ageToken, variables techniques en mémoire RAM / parcours, références de session (durée limitée — voir § 5)
• Modération : contenu le temps du traitement (Shield IA)
• Âge : palier interne ; parcours France Identité / eIDAS selon pack et disponibilité — ces parcours ne sont pas équivalents. Objectif de minimisation : transmission au Client du résultat / attribut nécessaire lorsque possible ; pas de scan CNI / OCR dans le modèle produit. Les données d’identité éventuellement traitées côté parcours partenaire relèvent des politiques de ces partenaires et ne sont pas revendues ni croisées à des fins publicitaires par Solcia.
• Responsable légal (RL) : données du parcours d’autorisation parentale / RL si activé au contrat
• Organisation : SIRET, contacts, contrats, facturation
• Site public (landing) : formulaires contact / devis (identité et coordonnées professionnelles, message, données de proposition) ; adresse IP et horodatage liés à l’envoi ou au rate-limit ; challenge PoW (identifiant technique, salt, nonce) — pas d’empreinte navigateur (fingerprinting)
• Logs sécurité / anti-fraude / quotas : limités et proportionnés

3. Finalités & bases légales

Une finalité = une base. Le détail peut varier selon l’offre / le contrat.

3.1 Amélioration moteur (learn.signals)

Age Shield peut, uniquement si le contrat / la clé l’active (learn.signals / meta d’offre), collecter des signaux techniques pseudonymisés issus des appels API (ex. mode, verdict, scores, horodatage, métadonnées de risque — pas le texte intégral ni l’état civil) afin d’améliorer la détection et la stabilité du moteur.

L’opt-in contractuel du Client B2B ne suffit pas à lui seul comme base juridique pour traiter les données des utilisateurs finaux. Le contrat / CGV et l’Annexe de traitement des données (DPA) précisent le rôle de Solcia (responsable, sous-traitant ou autre, traitement par traitement), la base juridique retenue pour ce traitement, les finalités, les catégories de données, les durées, l’information des personnes concernées et, lorsque l’intérêt légitime est invoqué, les modalités du droit d’opposition.

Des signaux pseudonymisés peuvent encore constituer des données personnelles. Sans activation contractuelle et sans cadre DPA / information adaptés, aucun signal « learn » n’est pris en compte pour cette finalité.

• Activation : option contractuelle / clé, sous réserve du cadre juridique ci-dessus.
• Désactivation : opt-out via le contrat / portail / support Solcia (bascule learn.signals = false). L’opposition s’exerce aussi auprès de vie-privee@solcia.fr lorsque la base est l’intérêt légitime, sans préjudice des droits exercés auprès du responsable de traitement concerné.
• Pas d’entraînement publicitaire ni de revente. Il ne s’agit pas d’un cookie marketing.

4. Destinataires

Personnel habilité Solcia ; sous-traitants strictement nécessaires (hébergement — IONOS SE en Allemagne / UE, e-mail transactionnel, prestataires techniques du parcours identité si activés — ex. France Identité / eIDAS selon le parcours).

Pas de revente ni de profilage publicitaire à partir des preuves / paliers d’âge. Les transferts hors UE ne sont pas l’architecture cible du cœur Age Shield ; si un parcours partenaire l’implique, des garanties appropriées sont recherchées.

5. Durées de conservation

Conservation limitée à la nécessité du service et aux obligations légales (registre RGPD Age Shield).

• Jeton de preuve parentale : 5 minutes.
• Données brutes de preuve : 0 jour — non conservées.
• Jeton d’âge (age_token / attributs d’âge) : conservé uniquement pendant la session ou le cycle de certification. Il est supprimé automatiquement à l’expiration de ce cycle et n’est pas conservé de manière persistante.
• Purge RAM / clés de session : immédiate après le traitement.
• Traces anti-fraude : 30 jours maximum.
• Challenge anti-bot PoW (landing) : environ 90 secondes en mémoire, usage unique, puis purge.
• Rate-limit IP (formulaires landing) : compteur en mémoire sur une fenêtre d’environ 15 minutes, puis reset — pas de fichier durable « IP bloquées ».
• IP associée à un lead contact / devis envoyé : conservation avec le dossier commercial / preuve de la relation précontractuelle (proportionnée).
• Événements de vérification pseudonymisés : 12 mois maximum.
• Logs de connexion : 12 mois maximum.
• Logs d’audit Age Shield : 12 mois maximum.
• Données et pièces de facturation : conservées pendant 10 ans à compter de la clôture de l’exercice comptable, conformément aux obligations comptables applicables.

6. Droits des personnes

Accès, rectification, effacement, limitation, opposition, portabilité (selon cas) :

vie-privee@solcia.fr · Confidentialité du compte · CNIL

7. Cookies

Uniquement traceurs strictement nécessaires sur solcia-ageshield.fr.

La vidéo de présentation de la landing est un fichier MP4 servi depuis nos serveurs (lecteur HTML5). Elle ne dépose pas de cookies de lecteur tiers (pas d’iframe YouTube / Vimeo). Aucun consentement bandeau n’est requis pour cette seule diffusion.

Politique cookies →

8. Sécurité

Accès limités, chiffrement en transit, clés API isolées (S2S). En cas de violation de données personnelles, SOLCIA SAS informe le responsable de traitement concerné dans les meilleurs délais et coopère avec lui afin de permettre, le cas échéant, les notifications requises à la CNIL et aux personnes concernées.

8.1 Anti-bot du site public (CAPTCHA Solcia)

Sur solcia-ageshield.fr, la protection des formulaires (contact, devis) repose sur une solution interne : preuve de travail cryptographique (PoW) résolue dans le navigateur, champ honeypot, et limitation de débit par adresse IP. Aucun script CAPTCHA tiers (Google reCAPTCHA, Cloudflare Turnstile, etc.) n’est utilisé sur la landing. Solcia ne réalise pas de fingerprinting navigateur au titre de cet anti-bot.

Base : intérêt légitime (sécurité du site et lutte contre le spam / la fraude). Opposition / questions : vie-privee@solcia.fr.

8.2 Vidéo de présentation

La vidéo proposée sur la landing est une simple diffusion de contenu (présentation Age Shield®). Elle n’opère ni vidéosurveillance, ni reconnaissance d’image, ni vérification d’âge. Le traitement de vérification d’âge Age Shield® (API / parcours France Identité, eIDAS selon pack) est distinct et décrit ailleurs dans la présente notice et dans l’AIPD interne.

9. Primauté

En cas de conflit : contrat, devis ou bon de commande accepté → CGV B2B → Charte Age Shield® → présente notice → Politique cookies, sous réserve des règles impératives applicables.