Politique de confidentialité du module Todis Age Verification pour PrestaShop
Version du 3 novembre 2026
1. Qui traite les données
Le module « Todis Age Verification » pour PrestaShop (le « module ») et le service en ligne auquel il se relie (le « service ») sont édités par KOHEX, qui édite aussi Todis (todis.eu), le service qui vérifie l'âge. Todis est un service de KOHEX, pas une société distincte.
KOHEX, société à responsabilité limitée (SARL) au capital de 1 000 €, immatriculée au RCS de Besançon sous le numéro 918 862 830, dont le siège social est situé 20 allée des Sorentines, 25870 Châtillon-le-Duc. Numéro de TVA intracommunautaire : FR16918862830. Représentée par Raphaël Citeau, en qualité de gérant.
Contact, y compris pour toute question de confidentialité : contact@todis.eu. KOHEX n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour son activité.
Rôles :
- pour les données des acheteurs de la boutique, le marchand est responsable du traitement ; KOHEX est sous-traitant et traite ces données pour le compte du marchand, selon l'accord de traitement des données ;
- pour les données du marchand lui-même (article 3 bis), KOHEX est responsable du traitement.
Le module s'exécute dans la boutique du marchand, chez l'hébergeur du marchand. Ce qu'il garde dans la base de la boutique (article 3) reste sous la maîtrise du marchand : KOHEX n'y a pas accès.
2. Ce que le module et le service ne font pas
- Aucune donnée d'identité de l'acheteur. Le module ne lit dans la boutique ni le nom, ni l'e-mail, ni le téléphone, ni l'adresse, ni l'identifiant client, ni la date de naissance, ni l'adresse IP de l'acheteur. De la vérification, le service ne reçoit que la réponse sur l'âge : 18 ans ou plus, ou non, qu'elle vienne du portefeuille ou de la pièce d'identité.
- Aucun marketing ni suivi : ni publicité, ni profilage, ni mesure d'audience. Le module et le service ne posent aucun cookie ni stockage local ; seule la page de vérification de Todis pose un cookie technique de 15 minutes (article 5).
- Aucun message à l'acheteur : ni le module, ni le service, ni Todis n'écrivent à l'acheteur.
- Aucune vente ni partage de données.
- Aucun entraînement d'intelligence artificielle sur les données.
3. Données lues et écrites dans la boutique
Ce que le module lit dans la boutique :
| Source | Ce que le module lit | Pourquoi |
|---|---|---|
| Panier | identifiant du panier, produits et quantités, catégories des produits | savoir si le panier contient un produit d'une catégorie réservée |
| Commande, à sa création et à l'ouverture de sa fiche | identifiant de la commande et de son panier, produits et quantités, état courant | contrôler la vérification, mettre la commande en attente ou lever l'attente |
| États de commande de la boutique | indications « payée », « validée », « expédiée », « livrée », états d'annulation, de remboursement et d'erreur | appliquer la règle de l'attente |
| Note privée de la commande | texte existant | y ajouter une ligne sans effacer celle du marchand |
| Boutique | adresse, langue par défaut, version de PrestaShop | relier la boutique au service ; afficher les textes dans la bonne langue |
| Employé connecté | identifiant, pour sécuriser les formulaires des réglages | jamais envoyé hors de la boutique |
Ce que le module écrit dans la boutique : la clé de la boutique et son identifiant auprès du service, l'état de la liaison, une copie des catégories réservées ; une ligne par commande contrôlée (commande, panier, statut, état à rendre, méthode de vérification, dates) ; les réglages de la vérification par pièce d'identité (activation, date et version des conditions acceptées) ; les états d'attente et l'historique des états de la commande ; une ligne dans la note privée de la commande à chaque événement ; en cas d'erreur, une ligne dans le journal de PrestaShop, avec le seul nom de l'erreur. Le jeton de licence n'est jamais gardé dans la boutique.
Après la désinstallation : les tables et les réglages du module sont effacés. La désinstallation prévient aussi le service, qui efface aussitôt les données de la boutique (article 8). Si le service est injoignable à ce moment, ces données sont effacées à la réinstallation du module, à la fin de la licence ou à la demande du marchand. Les états d'attente (marqués supprimés), l'historique des états, les notes privées et les lignes du journal de PrestaShop restent dans la boutique, comme les commandes elles-mêmes.
Ce que le module envoie au service : des identifiants techniques (panier, commande), les produits, leurs quantités et leurs catégories, la langue et les adresses de retour vers la boutique ; à la liaison, l'adresse de la boutique, sa clé publique, les versions de PrestaShop et du module, et le jeton de licence, une seule fois. Rien sur l'acheteur. Chaque échange entre le module et le service est signé.
3 bis. Données du marchand traitées par KOHEX comme responsable
Données :
- à la souscription, dans la page de paiement de Stripe : e-mail, adresse de facturation, nom du contact, nom de l'entreprise, numéro d'entreprise (SIRET en France, numéro d'immatriculation ailleurs), numéro de TVA s'il l'indique, moyen de paiement. Le nom et le numéro d'entreprise sont saisis sur la page d'achat de todis.eu, contrôlés, puis transmis à Stripe sans être gardés chez KOHEX ; ils figurent sur chaque facture. Si le marchand abandonne la souscription, la fiche créée chez Stripe avec ce nom et ce numéro est effacée. KOHEX ne copie chez elle que l'e-mail et l'identifiant client de Stripe ; le reste reste chez Stripe, et KOHEX ne reçoit jamais les données de carte ;
- la licence : identifiant de licence, offre, dates, état, date et version des conditions acceptées à la souscription ;
- à la liaison du module : adresse et nom d'hôte de la boutique, langue, versions de PrestaShop et du module, jeton de licence (gardé chiffré), catégories réservées, activation de la vérification par pièce d'identité (date et version des conditions acceptées), état de la licence ;
- les échanges avec le support.
Finalités : fournir le module, le service et leur support ; remettre le jeton de licence ; facturer et calculer la TVA ; gérer les impayés et la résiliation ; respecter les obligations légales de KOHEX.
Bases légales : l'exécution du contrat avec le marchand, et les obligations légales de KOHEX (notamment comptables et fiscales).
Destinataires :
- Stripe Payments Europe, Limited (Irlande), prestataire de paiement de KOHEX : paiement, abonnement, factures, TVA et relances. Stripe traite ces données selon sa propre politique de confidentialité ; il peut les transférer vers les États-Unis et d'autres pays, transferts encadrés par les clauses contractuelles types de la Commission européenne et par le cadre de protection des données UE-États-Unis.
- Scaleway, pour l'hébergement et l'envoi de l'e-mail de bienvenue (Paris).
- OVH, pour les copies de sauvegarde chiffrées (Gravelines, France).
- Slack, pour une notification interne à chaque vente et à chaque renouvellement : e-mail masqué, offre, identifiant client de Stripe.
Durées : celles du tableau de l'article 8 ; les échanges avec le support, 3 ans après le dernier échange ; les pièces comptables, la durée imposée par la loi.
4. Données reçues de l'acheteur
- L'identifiant du panier, ses produits, leurs quantités et leurs catégories, et une empreinte du panier qui permet de savoir s'il a changé.
- L'identifiant de la commande, au contrôle de la commande.
- La réponse sur l'âge, rendue par Todis (portefeuille) ou par le navigateur de l'acheteur (pièce d'identité, article 4 bis) : 18 ans ou plus, ou non, ou l'échec de la vérification (refus, abandon, erreur), avec la méthode utilisée.
- Comme tout serveur web, les serveurs du service et de Todis reçoivent l'adresse IP du navigateur de l'acheteur et ses informations techniques (navigateur, système) le temps de la connexion. Ni le service ni Todis ne les enregistrent.
Un mode de démonstration, qui simule la vérification sans rien demander à l'acheteur, n'existe que sur le service d'intégration de KOHEX, pour les essais ; il est refusé en production.
4 bis. Vérification par pièce d'identité dans le navigateur
Sauf si le marchand a désactivé cette option, l'acheteur sans portefeuille peut faire vérifier son âge par sa pièce d'identité et son visage. Cette vérification se déroule entièrement dans le navigateur de l'acheteur, sur son appareil : le programme, téléchargé depuis le serveur du service, utilise la caméra, avec l'autorisation que l'acheteur donne à son navigateur, pour demander un mouvement de tête et le contrôler, lire la pièce (passeport, carte d'identité ou titre de séjour à bande de lecture, de tout pays ; ancienne carte d'identité française ; permis de conduire au modèle européen) et en retenir la date de naissance, comparer le visage à la photo de la pièce et calculer si la personne a 18 ans ou plus.
Les images de la caméra, les données lues sur la pièce et les mesures du visage restent dans le navigateur de l'acheteur, en mémoire, le temps de la vérification ; elles ne sont ni envoyées au service, ni à Todis, ni à un tiers, ni conservées. La pièce n'est ni copiée ni enregistrée. Le service ne reçoit que la réponse sur l'âge, 18 ans ou plus, ou non, avec l'identifiant technique de la vérification. Il garde la vérification (identifiant, boutique, panier, adresses de retour chiffrées, statut) 15 minutes au plus, et l'efface dès le retour de l'acheteur à la boutique. Si l'acheteur a 18 ans ou plus, le panier est marqué vérifié, avec la méthode « pièce d'identité » (article 8).
Sur un ordinateur, la page propose de poursuivre sur le téléphone : elle affiche un code que l'acheteur scanne avec son téléphone, et la vérification se fait sur le téléphone.
Données biométriques. La comparaison du visage filmé avec la photo de la pièce est un traitement de données biométriques au sens de l'article 9 du RGPD. Il est effectué sur le seul appareil de l'acheteur, pour le compte de la boutique, responsable du traitement, et repose sur le consentement explicite que l'acheteur donne en choisissant cette méthode, après avoir lu l'information affichée sur la page, puis en autorisant la caméra. Ce consentement est libre : l'acheteur peut à tout moment préférer le portefeuille ou s'adresser à la boutique pour un examen humain (article 7). Ni KOHEX ni la boutique n'ont accès aux images ni aux mesures du visage.
Information sur la page. Avant d'ouvrir la caméra, la page indique à l'acheteur, dans sa langue : que la vérification se fait sur son appareil ; que ses images et sa pièce d'identité ne sont pas envoyées ; que seule la réponse « 18 ans ou plus, ou non » est transmise à la boutique ; et où lire la présente politique.
La page ne charge aucune ressource d'un tiers : ni réseau de diffusion, ni police, ni script extérieur.
5. Rôle de Todis
L'acheteur présente son portefeuille d'identité numérique sur la page de vérification servie par Todis. Todis vérifie la présentation et n'émet aucun justificatif. Le service ne voit pas la présentation : il ne reçoit de Todis que l'issue de la vérification, par un message signé qui porte la seule réponse sur l'âge, ou un code d'échec ; il ne peut rien lire d'autre de la vérification. Le service transmet à Todis une référence aléatoire, sans donnée de l'acheteur ni de la commande.
Sauf si le marchand a désactivé la vérification par pièce d'identité, la page de Todis propose aussi un lien vers celle-ci ; Todis ne participe pas à cette vérification et n'en reçoit rien.
Ce que Todis garde de la vérification : la session, la présentation, les attributs vérifiés et le résultat, en mémoire seulement, 15 minutes au plus, jamais sur disque. La page pose un cookie technique, qui relie le retour au navigateur qui a ouvert la page ; il expire au bout de 15 minutes et ne sert à rien d'autre. Le serveur web de Todis n'enregistre ni l'adresse IP ni les informations techniques du navigateur de l'acheteur (article 4).
Ce que Todis garde pour la boutique : la licence (article 3 bis), et un compteur de requêtes par licence dans la supervision, 90 jours.
6. Usages
- Vérifier l'âge avant le paiement d'un panier qui contient un produit d'une catégorie réservée, par le portefeuille ou, sauf si le marchand l'a désactivée, par la pièce d'identité.
- Contrôler, à la création de la commande, la vérification de son panier ; mettre la commande en attente si ce contrôle échoue, et lever l'attente quand une vérification réussie arrive.
- Lever le blocage du paiement, ou l'attente d'une commande, pour un acheteur que le marchand accepte après examen.
- Facturer le marchand, sans aucune donnée de l'acheteur.
- Surveiller le bon fonctionnement du service, sans donnée de l'acheteur.
7. Décisions automatisées et recours
Le module prend deux décisions automatisées sur la réponse de la vérification, traitées comme ayant des effets significatifs pour l'acheteur :
- le blocage du paiement d'un panier qui contient un produit d'une catégorie réservée, sans vérification valide : aucun moyen de paiement n'est proposé ;
- la mise en attente d'une commande créée sans vérification valide.
Le module n'annule jamais une commande. L'acheteur a deux recours, indépendants l'un de l'autre :
- se revérifier : pour un paiement bloqué, recommencer la vérification depuis l'étape « Vérification de l'âge », ou choisir la vérification par pièce d'identité, sauf si le marchand l'a désactivée ;
- demander un examen humain au marchand, en contactant la boutique par ses moyens de contact habituels ; le marchand décide. S'il accepte un paiement bloqué, il envoie à l'acheteur un lien d'autorisation à usage unique, valable 24 heures ; s'il accepte une commande en attente, il lève l'attente depuis la commande ; la commande porte alors la mention « âge accepté par le marchand ». Le service ne garde de cet examen que la date du lien, son usage et l'identifiant du panier, sans donnée de l'acheteur. C'est la seule voie d'un acheteur sans portefeuille compatible quand le marchand a désactivé la vérification par pièce d'identité, et celle d'un acheteur que la vérification a refusé à tort.
Les messages de l'étape de vérification et de la mise en attente citent ces deux recours.
Todis ne porte aucun jugement sur la personne : il rend la réponse sur l'âge, et un échec porte un code technique.
8. Durées de conservation
| Donnée | Durée |
|---|---|
| Vérification par portefeuille, dans le service (référence aléatoire, boutique, panier, empreinte, session de Todis, statut) | 2 jours au plus |
| Présentation, attributs vérifiés et résultat, chez Todis | en mémoire, 15 minutes au plus |
| Vérification par pièce d'identité (identifiant, boutique, panier, adresses de retour chiffrées, statut) | 15 minutes au plus, effacée au retour vers la boutique |
| Panier vérifié (boutique, panier, empreinte, méthode) | valable 1 heure, effacé 1 jour après |
| Contrôle d'une commande (boutique, commande, panier, empreinte, produit réservé ou non, vérifiée ou non) | 90 jours |
| Liens d'autorisation du marchand (dates de création, d'expiration et d'usage, identifiant du panier) | 30 jours au plus |
| Jeton de licence à afficher après le paiement | en mémoire, 10 minutes au plus, effacé à la première lecture |
| Données de la boutique dans le service (adresse, jeton de licence chiffré, réglages, versions, état de la licence, activation de la vérification par pièce d'identité) | tant que l'abonnement court, puis 30 jours après la fin de la licence ; effacées aussitôt si le module est désinstallé (article 3) |
| Licence chez Todis, hors e-mail (identifiant de licence, identifiant client de Stripe, dates, état) | le temps nécessaire pour refuser un jeton révoqué, sans l'e-mail |
| E-mail du marchand chez Todis | 90 jours après la fin de la licence |
| Compteur de requêtes par licence (supervision) | 90 jours |
| Journaux du service et du système, sans donnée de l'acheteur | 30 jours au plus |
| Échanges avec le support | 3 ans après le dernier échange |
| Copies de sauvegarde du service | 30 jours au plus, en fonctionnement normal |
| Copies de sauvegarde de la base des licences de Todis (licence et e-mail du marchand, sans donnée de l'acheteur) | 90 jours sur le serveur de KOHEX ; 15 mois au plus chez OVH |
Sauvegardes. Ce qu'un effacement retire d'une base reste dans les copies prises avant lui, puis les quitte à leur expiration, selon la durée des copies de cette base (tableau ci-dessus). Les copies ne sont jamais restaurées pour lire une donnée effacée.
9. Lieu d'hébergement et transferts
- Serveur du service et Todis : des machines virtuelles chez Scaleway, à Paris.
- Copies de sauvegarde : chez OVH, région de Gravelines (France), chiffrées. Celles de la base des licences de Todis, qui ne porte aucune donnée de l'acheteur, vont aussi sur un serveur de KOHEX en France, chiffrées.
- Supervision : métriques et tableaux de bord sur le serveur de KOHEX en France, sans donnée de l'acheteur ; les boutiques n'y figurent que par leur identifiant et une empreinte de leur nom d'hôte.
- Alertes et notifications internes de vente : envoyées vers des canaux Slack de KOHEX ; elles ne portent aucune donnée de l'acheteur, et une notification de vente ne porte que l'e-mail masqué du marchand, l'offre et l'identifiant client de Stripe. Slack Technologies, LLC peut les traiter aux États-Unis ; ce transfert est encadré par le Data Privacy Framework UE-États-Unis, auquel Slack adhère, et à défaut par les clauses contractuelles types de la Commission européenne.
- E-mail de bienvenue au marchand : envoyé par Scaleway, à Paris.
- Paiement : Stripe, pour les seules données du marchand, avec les transferts décrits à l'article 3 bis.
Aucune donnée de l'acheteur ne quitte l'Union européenne.
10. Sécurité
- Échanges chiffrés entre la boutique, le service, Todis et le navigateur de l'acheteur ; échanges entre le module et le service signés ; messages de Todis au service signés.
- Base de données du service chiffrée au repos ; jeton de licence chiffré dans cette base.
- Copies de sauvegarde chiffrées.
- Secrets dans un coffre, jamais dans le code.
- Aucune donnée de l'acheteur dans les métriques ni dans les journaux du service et de Todis.
- La page de vérification par pièce d'identité n'appelle aucun service tiers et ne transmet aucune image.
11. Droits des personnes
Acheteurs. L'acheteur exerce ses droits auprès de la boutique, responsable du traitement. KOHEX ne détient sur un acheteur que des identifiants techniques de panier et de commande, et la réponse sur l'âge. À la demande du marchand, KOHEX lui indique ce qu'elle détient sur une commande ou un panier qu'il cite, et l'efface s'il le demande, sous 10 jours, pour que le marchand puisse répondre dans le mois prévu par le RGPD. Le marchand cite le numéro de la commande dans PrestaShop, ou l'identifiant du panier ; l'effacement d'une commande emporte les données de son panier. Un acheteur qui écrit directement à KOHEX est renvoyé vers la boutique.
Marchands. Le marchand exerce ses droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur ses propres données en écrivant à contact@todis.eu ; KOHEX répond sous un mois.
Réclamation. Toute personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).
12. Modifications et contact
Cette politique est publiée à l'adresse https://presta-verify.todis.eu/legal/fr/confidentialite.html. Les pages dans les autres langues (https://presta-verify.todis.eu/legal/en/confidentialite.html et les adresses es, de, it de même forme) reprennent ce texte en français tant qu'aucune traduction n'est publiée. Chaque version reste lisible à une adresse propre, qui porte sa date de version.
KOHEX annonce toute modification importante de cette politique par e-mail au marchand, avant son application.
Contact : contact@todis.eu
Langue : le texte français fait foi. Tant qu'aucune traduction n'est publiée, les pages dans les autres langues reprennent ce texte en français.