COPID – Informativa Privacy (Pagina di Verifica)

1) Titolare del trattamento e contatti

Titolare del trattamento: BCMS Web Services (di seguito “COPID”)

Email: amministrazione@copidverify.com

2) Ruolo di COPID rispetto ai Merchant (B2B)

COPID fornisce un servizio B2B di verifica dell’età (“Servizio”) ai Merchant (operatori/siti/app che integrano COPID). In tale contesto, COPID opera tipicamente come Responsabile del trattamento per conto del Merchant, che agisce come Titolare del trattamento.

Nota importante: COPID non è in grado di identificarti. Le richieste relative ai tuoi diritti (es. accesso/cancellazione) potrebbero dover essere gestite anche tramite il Merchant.

3) Quali dati trattiamo

3.1 Dati trattati localmente nel browser (non inviati a COPID)

Per eseguire il Presence Check (challenge-response), la Pagina di Verifica utilizza la camera del dispositivo.

• Flusso video della camera: elaborato solo localmente nel browser.
• Landmark facciali / segnali di movimento: elaborati solo localmente per verificare la presenza.

Non inviamo a COPID il flusso video, i landmark o altri dati biometrici derivati.

3.2 Dati inviati a COPID per l’Age Check

Dopo il superamento del Presence Check, viene catturato un singolo fotogramma (frame) e inviato a COPID per la stima dell’età.

• Immagine (frame) del volto: inviata a COPID in transito per eseguire l’Age Check.

L’immagine viene convertita in memoria (buffer), inviata al motore di stima dell’età e scartata immediatamente dopo.

Non viene salvata su database, file system o storage.

3.3 Dati tecnici di sessione

Per gestire il flusso e rilasciare la prova di età, COPID tratta:

• session_id (identificatore tecnico casuale)
• stato della sessione (es. PENDING, PRESENCE_OK, AGE_OK, DENIED, ISSUED)
• timestamp tecnici (created_at, expires_at) e TTL
• tentativi Age Check (max 2)
• esito Age Check (bucket PASS/FAIL/BORDERLINE) e range stimato (es. low, high) per la sola durata della sessione
• client_id tecnico del Merchant (non è un dato dell’utente finale)

3.4 Dati non trattati

• Non creiamo account utente.
• Non trattiamo documenti di identità.
• Non usiamo cookie sulla Pagina di Verifica.
• Non utilizziamo strumenti di analytics o tracciamento.

4) Finalità e base giuridica

4.1 Finalità

Trattiamo i dati per:

1. Eseguire il Presence Check (localmente) e l’Age Check (server-side) per verificare la maggiore età.
2. Generare e validare un Age Proof Token monouso (prova anonima 18+).
3. Prevenire abusi e garantire la sicurezza del servizio (rate limit, controlli tecnici).

4.2 Base giuridica

Il trattamento è effettuato per consentire al Merchant di:

• rispettare obblighi normativi e/o adottare misure tecniche idonee a limitare l’accesso ai minori;
• applicare le proprie policy di accesso.

La base giuridica dipende dal ruolo del Merchant e dal contesto d’uso (es. obbligo legale del Merchant o legittimo interesse del Merchant/COPID a prevenire accessi non consentiti).

5) Come funziona la verifica (in sintesi)

1. Il browser chiede il permesso di usare la camera.
2. Presence Check: una breve verifica di presenza solo nel browser.
3. Se superato, viene catturato un frame e inviato per Age Check.
4. Se l’età stimata supera le soglie di sicurezza, COPID rilascia un token 18+ monouso.
5. Il Merchant verifica il token (server-to-server) e abilita l’accesso.

6) Conservazione (retention)

• Dati di sessione (avp_sessions): 10 minuti (TTL), poi eliminazione automatica.
• Nonce token monouso (avp_nonces): 15 minuti (TTL), poi eliminazione automatica.

Non conserviamo immagini o video.

Nota: la cancellazione TTL è gestita dal database e può richiedere un breve intervallo tecnico prima della completa rimozione.

7) Destinatari e fornitori (sub-processor)

Per erogare il Servizio, COPID si avvale di fornitori infrastrutturali cloud. COPID non vende né cede dati personali a terzi.

8) Trasferimenti extra-UE

COPID opera con infrastruttura in UE. Alcuni fornitori potrebbero, in determinate circostanze, accedere ai dati dall’esterno dello SEE. In tali casi, il trasferimento avviene nel rispetto delle garanzie previste dalla normativa applicabile (es. SCC e misure tecniche/organizzative adeguate).

9) Sicurezza

Applichiamo misure tecniche e organizzative adeguate, tra cui:

• comunicazioni cifrate (TLS)
• minimizzazione dei dati e assenza di storage di immagini
• segregazione dei segreti applicativi
• log tecnici sanitizzati (senza payload immagini)
• scadenze e token monouso

10) Diritti dell’interessato

In base al GDPR, hai diritto di chiedere accesso, rettifica, cancellazione, limitazione, opposizione e portabilità.

Limitazione importante: COPID non può identificarti (non crea account e non conserva identificativi personali). Per questo motivo:

• potremmo non essere in grado di soddisfare alcune richieste senza informazioni aggiuntive;
• in molti casi, la gestione dei diritti deve avvenire tramite il Merchant che ha integrato COPID (Titolare).

Puoi contattarci a: amministrazione@copidverify.com

11) Reclamo

Hai diritto di proporre reclamo all’Autorità di controllo competente (in Italia: Garante per la Protezione dei Dati Personali).

12) Modifiche a questa informativa

Potremmo aggiornare questa informativa. La versione aggiornata sarà pubblicata con data e versione.