GoCertify

Le formulaire de vérification collecte prénom, nom, date de naissance (utilisée pour contrôler les âges des programmes étudiants), adresse email, nom de l'établissement ou de l'unité, et pays. Si la vérification automatique échoue, la personne est invitée à téléverser une pièce justificative : carte étudiante, carte militaire, badge hospitalier ou NHS, certificat d'enseignement, carte de premier intervenant. GoCertify dépose aussi des cookies sur sheerid.com et gocertify.com pour suivre la conversion, prévenir les soumissions multiples et mémoriser le statut, et journalise IP et agent utilisateur pour détecter la fraude.

Oui, à deux niveaux. Les cookies et scripts chargés par GoCertify ne sont pas strictement nécessaires au site marchand : l'article 5(3) ePrivacy, les lignes directrices CNIL et le TDDDG allemand exigent un consentement préalable. Quand le parcours demande un upload de document, l'article 9 du RGPD impose un consentement explicite pour le traitement de données pouvant révéler des catégories particulières. Bloquez l'iframe par défaut, n'affichez le formulaire que lorsque la personne réclame activement la remise et conditionnez le widget d'upload à une case de consentement explicite distincte.

Les cookies relèvent de l'article 6(1)(a) (consentement) et de l'article 5(3) ePrivacy. La vérification elle même peut s'appuyer sur l'article 6(1)(b) du RGPD comme mesure précontractuelle pour le contrat remisé. Lorsque qu'un document est téléversé, l'article 9 entre en jeu : dans la plupart des cas, seul l'article 9(2)(a) consentement explicite est mobilisable, car le contexte professionnel 9(2)(b) et l'intérêt public important 9(2)(g) ne s'appliquent pas à une promotion privée. Si le document révèle un mineur de moins de 16 ans, l'article 8 du RGPD ajoute le consentement parental.

Oui. SheerID Inc., qui exploite GoCertify, est basé à Portland (Oregon) et héberge la plateforme sur des régions AWS aux États Unis. Les identifiants et les documents téléversés sont stockés aux États Unis et peuvent être examinés par des agents humains américains. Le transfert repose sur le EU US Data Privacy Framework lorsque SheerID y est certifié, sinon sur les Clauses Contractuelles Types 2021. Une analyse de transfert est obligatoire car le jeu de données comprend des pièces d'identité et potentiellement des catégories particulières.

Oui, une AIPD est fortement recommandée et généralement obligatoire. Le traitement cumule plusieurs critères AIPD du CEPD et des listes à risque élevé CNIL et AEPD : pièces d'identité, catégories particulières potentielles, traitement éventuel de mineurs, prise de décision automatisée (score d'éligibilité) et transfert vers un pays tiers à régime de surveillance. L'AIPD doit décrire le flux vers SheerID, les catégories de documents, le rôle des contrôles automatisés, la revue humaine, la durée de conservation, les mesures supplémentaires Schrems II et les droits offerts.

Bloquez l'iframe GoCertify derrière une catégorie Fonctionnel ou Vérification dans votre CMP. N'affichez le formulaire que lorsque la personne demande explicitement la remise. Présentez une information dédiée nommant SheerID, le transfert vers les États Unis, les catégories de données, la durée et les droits. Conditionnez l'affichage du widget d'upload à une case de consentement explicite distincte. Configurez GoCertify pour supprimer le document dès la décision logguée et ne conserver que le résultat et l'horodatage.

Parmi les options de vérification basées en UE figurent ID Now (Allemagne, hébergement UE), l'instance UE d'Onfido (Irlande), Veriff (Estonie avec résidence UE), Yoti (UK avec option de résidence UE) et ID Wall (Espagne). Pour des cas plus légers, vous pouvez émettre un lot de codes étudiants ou militaires via une association partenaire dans l'EEE, ou contrôler le domaine email contre une liste d'institutions reconnues. Le gain de conformité dépend de la résidence des données, de la liste de sous traitants et de la capacité du fournisseur à traiter une pièce d'identité sur une exemption documentée de l'article 9 ou uniquement sur consentement explicite.

Ajoutez une section qui nomme SheerID Inc. et le produit GoCertify, liste les cookies déposés sur sheerid.com et gocertify.com avec leur finalité et leur durée, et précise que l'embed reste bloqué tant que le consentement n'est pas donné. La politique doit aussi décrire le flux de vérification, les catégories de données et de documents, le mécanisme de transfert (DPF ou CCT et mesures supplémentaires), la durée de conservation des uploads (idéalement le temps strict de loguer la décision), la base légale (art. 6(1)(b) et art. 9(2)(a)) et les droits d'accès, rectification, effacement et retrait.