# Overview
Integrate VOVE ID identity, business, and compliance products.
Build identity verification, business verification, and watchlist-screening workflows with VOVE ID.
## Choose your path
| I want to… | Start here |
| --------------------------------------- | -------------------------------------------------------------- |
| Complete a first test verification | [KYC quick start](/docs/quick-start) |
| Check supported identity documents | [Supported identity documents](/docs/supported-documents) |
| Understand environments and credentials | [Environments and credentials](/docs/setup-your-credentials) |
| Create sessions and retrieve results | [KYC API](/docs/kyc-api/verification-session) |
| Integrate a client SDK | [SDK compatibility](/docs/sdks/compatibility) |
| Receive status updates | [Webhooks](/docs/kyc-api/webhooks) |
| Verify a business | [KYB integration](/docs/business-verification/kyb-integration) |
| Screen a person or business | [AML operations](/docs/watchlist-screening/aml-operations) |
| Prepare a production launch | [Production checklist](/docs/production-readiness) |
## How the documentation is organized
* **Guides** walk through complete outcomes, from setup to a working result.
* **API reference** documents requests, fields, response objects, errors, and examples.
* **SDK reference** documents installation, configuration types, result types, and platform behavior.
* **Reference** defines shared statuses, errors, authentication, and environment rules.
## Environments
| Environment | API | Hosted verification | Dashboard |
| ----------- | ------------------------ | ------------------------ | ------------------------------ |
| Sandbox | `https://api.voveid.net` | `https://web.voveid.net` | `https://dashboard.voveid.net` |
| Production | `https://api.voveid.com` | `https://web.voveid.com` | `https://dashboard.voveid.com` |
KYC endpoints use `/v2`. KYB and AML endpoints are currently unversioned. Never mix credentials, tokens, flow IDs, webhooks, or resources between environments.
> Keep `x-api-key` and webhook signing secrets on your backend. Client applications receive only a public SDK key and a short-lived session token.
New integrations should begin in Sandbox and move to Production only after completing the [production checklist](/docs/production-readiness).
# Start here
Choose the shortest integration path for your role and product.
Choose the outcome you need first. You can return to the reference pages when you need exact fields, values, or error behavior.
## Developers
1. Start with [environments and credentials](/docs/setup-your-credentials).
2. Complete the [KYC quick start](/docs/quick-start), or choose [KYB](/docs/business-verification/kyb-integration) or [AML](/docs/watchlist-screening/aml-operations).
3. Implement [signed webhooks](/docs/kyc-api/webhooks).
4. Reconcile browser or SDK outcomes with the relevant server-side API.
5. Complete the [production checklist](/docs/production-readiness).
## Implementation owners
Use the product guide to define the customer journey, required data, failure paths, review ownership, and Sandbox-to-Production rollout. Confirm which products, countries, document types, flows, and SDK platforms are enabled for your organization.
## Reviewers and operators
Use the [dashboard guide](/docs/dashboard/modules) to locate the correct queue. Read the product guide and [status reference](/docs/api-fundamentals/statuses) before making a decision. Preserve the evidence, reason, and accountable actor for every manual outcome.
## Product routes
| Product | First developer task | First operator task |
| ------- | --------------------------------------- | ---------------------- |
| KYC | Create a session and launch an SDK | Review a verification |
| KYB | Select a flow and create a case | Review a business case |
| AML | Run a search or create a screening case | Review match evidence |
# KYC quick start
Complete a Sandbox KYC integration from session creation to server-side result retrieval.
This guide creates a KYC session on your backend, launches the hosted Sandbox journey, verifies the webhook, and retrieves the authoritative result.
## Before you begin
You need:
* Sandbox dashboard access.
* A Sandbox private API key and public SDK key.
* A webhook signing secret.
* An approved web domain.
* Node.js 18 or newer.
* A KYC flow ID, unless your organization has a default flow.
Keep the private API key and webhook secret on your server.
## 1. Configure Sandbox credentials
```bash
export VOVE_API_KEY='vove_sandbox_replace_me'
export VOVE_PUBLIC_KEY='public_sandbox_replace_me'
export VOVE_WEBHOOK_SECRET='webhook_secret_replace_me'
```
These values are placeholders. Never paste real credentials into source code or documentation.
## 2. Create a session on your backend
Generate and persist a stable `refId` before calling VOVE ID.
```javascript
import crypto from 'node:crypto';
const refId = `sandbox-${crypto.randomUUID()}`;
const response = await fetch('https://api.voveid.net/v2/sessions', {
method: 'POST',
headers: {
'content-type': 'application/json',
'x-api-key': process.env.VOVE_API_KEY,
},
body: JSON.stringify({
refId,
flowId: '66f000000000000000000001',
}),
});
const body = await response.json();
if (!response.ok) {
throw new Error(`VOVE session creation failed (${response.status})`);
}
const { token } = body;
// Persist refId. Return token only to the intended client.
```
Request:
```http
POST https://api.voveid.net/v2/sessions
x-api-key: vove_sandbox_replace_me
content-type: application/json
{
"refId": "customer-7f3d",
"flowId": "66f000000000000000000001"
}
```
Successful response:
```json
{
"success": true,
"token": "eyJ...redacted"
}
```
The default token lifetime is 30 minutes. See [Create a verification session](/docs/kyc-api/verification-session) for every supported request field.
## 3. Launch the hosted journey
Construct the URL with `URL` and `URLSearchParams` so every value is encoded:
```javascript
const verificationUrl = new URL('/', 'https://web.voveid.net');
verificationUrl.searchParams.set('authToken', token);
verificationUrl.searchParams.set('publicKey', process.env.VOVE_PUBLIC_KEY);
verificationUrl.searchParams.set('environment', 'Sandbox');
window.location.assign(verificationUrl);
```
Only send the session token to the authenticated user for whom it was created. For an embedded experience, choose a client from the [SDK compatibility matrix](/docs/sdks/compatibility).
## 4. Receive and verify the webhook
Configure an HTTPS endpoint in the Sandbox dashboard. Verify the `svix-id`, `svix-timestamp`, and `svix-signature` headers against the unmodified request bytes.
```javascript
import express from 'express';
import { Webhook } from 'svix';
const app = express();
app.post('/webhooks/vove', express.raw({ type: 'application/json' }), async (req, res) => {
let event;
try {
event = new Webhook(process.env.VOVE_WEBHOOK_SECRET).verify(req.body, {
'svix-id': req.header('svix-id'),
'svix-timestamp': req.header('svix-timestamp'),
'svix-signature': req.header('svix-signature'),
});
} catch {
return res.sendStatus(400);
}
await persistAndEnqueueOnce(req.header('svix-id'), event);
return res.sendStatus(204);
});
```
Register this route before global JSON parsing middleware. The complete [webhook guide](/docs/kyc-api/webhooks) explains idempotency, retries, payloads, and testing.
## 5. Retrieve the result
Treat the webhook as a notification. Retrieve the current server-side result using the same `refId`:
```javascript
const result = await fetch(
`https://api.voveid.net/v2/users/${encodeURIComponent(refId)}`,
{ headers: { 'x-api-key': process.env.VOVE_API_KEY } },
);
if (!result.ok) {
throw new Error(`VOVE result retrieval failed (${result.status})`);
}
const verification = await result.json();
console.log(verification.status);
```
Handle every documented [KYC status](/docs/api-fundamentals/statuses). Unknown values must remain pending until reviewed.
## Scaling and customization
The same SDK journey can support more complex verification flows as your requirements evolve. Configure the required checks in the dashboard, test the complete journey in Sandbox, and confirm the server-side result before applying a final decision.
KYC journey and possible verification outcomes.
## Overview of steps
The application requests a session token from its backend, starts the VOVE ID SDK with that token, and validates the resulting verification through its backend integration.
## Troubleshooting
| Symptom | Check |
| ----------------------------------------- | --------------------------------------------------------------------------------- |
| `401` or `403` | API key, environment, product access, and server-only use |
| Hosted page does not start | Token age, public key, environment, and domain allowlist |
| No webhook arrives | Endpoint URL, event subscription, signing secret, delivery log, and response time |
| Duplicate processing | Add a unique constraint on `svix-id` |
| Client says complete but backend does not | Retrieve `GET /v2/users/{refId}` and keep the decision pending |
## Next steps
* Read the complete [session API reference](/docs/kyc-api/verification-session).
* Choose and configure a [client SDK](/docs/sdks/compatibility).
* Implement production-grade [webhook handling](/docs/kyc-api/webhooks).
* Complete the [production checklist](/docs/production-readiness).
# Supported identity documents
Check supported identity document types by issuing country or territory.
Use this table to check which identity document types VOVE ID supports by issuing country or territory.
**✓ Supported** · **— Not listed as supported**
| Issuing country or territory | ID card | Passport | Residence permit | Driver’s license |
| -------------------------------- | :-----: | :------: | :--------------: | :--------------: |
| Afghanistan | ✓ | ✓ | — | — |
| Albania | ✓ | ✓ | — | ✓ |
| Algeria | ✓ | ✓ | — | ✓ |
| Andorra | — | ✓ | — | ✓ |
| Angola | ✓ | ✓ | — | ✓ |
| Antigua and Barbuda | ✓ | ✓ | — | ✓ |
| Argentina | ✓ | ✓ | — | ✓ |
| Armenia | ✓ | ✓ | — | ✓ |
| Aruba | — | — | — | ✓ |
| Australia | ✓ | ✓ | — | ✓ |
| Austria | ✓ | ✓ | — | ✓ |
| Azerbaijan | ✓ | ✓ | — | ✓ |
| Bahamas | ✓ | ✓ | — | ✓ |
| Bahrain | ✓ | ✓ | — | ✓ |
| Bangladesh | ✓ | ✓ | — | ✓ |
| Barbados | ✓ | ✓ | — | ✓ |
| Belarus | ✓ | ✓ | ✓ | ✓ |
| Belgium | ✓ | ✓ | ✓ | ✓ |
| Belize | — | ✓ | — | ✓ |
| Benin | ✓ | ✓ | — | ✓ |
| Bermuda | — | ✓ | — | — |
| Bhutan | ✓ | ✓ | — | ✓ |
| Bolivia | ✓ | ✓ | ✓ | ✓ |
| Bosnia and Herzegovina | ✓ | ✓ | — | ✓ |
| Botswana | ✓ | ✓ | — | ✓ |
| Brazil | ✓ | ✓ | ✓ | ✓ |
| Brunei | ✓ | — | — | — |
| Bulgaria | ✓ | ✓ | ✓ | ✓ |
| Burkina Faso | ✓ | ✓ | — | ✓ |
| Burundi | ✓ | ✓ | — | — |
| Cabo Verde | ✓ | ✓ | — | ✓ |
| Cambodia | ✓ | ✓ | — | ✓ |
| Cameroon | ✓ | ✓ | — | ✓ |
| Canada | ✓ | ✓ | ✓ | ✓ |
| Cayman Islands | — | ✓ | — | ✓ |
| Central African Republic | ✓ | ✓ | — | — |
| Chad | ✓ | ✓ | — | — |
| Chile | ✓ | ✓ | — | ✓ |
| China | ✓ | ✓ | — | ✓ |
| Colombia | ✓ | ✓ | ✓ | ✓ |
| Comoros | ✓ | ✓ | — | — |
| Congo | ✓ | ✓ | — | ✓ |
| Cook Islands | — | — | — | ✓ |
| Costa Rica | ✓ | ✓ | ✓ | ✓ |
| Cote D'ivoire | ✓ | ✓ | — | ✓ |
| Croatia | ✓ | ✓ | ✓ | ✓ |
| Cuba | ✓ | ✓ | — | ✓ |
| Curacao | ✓ | — | — | ✓ |
| Cyprus | ✓ | ✓ | ✓ | ✓ |
| Czechia | ✓ | ✓ | ✓ | ✓ |
| Democratic Republic of the Congo | — | ✓ | — | ✓ |
| Denmark | — | ✓ | ✓ | ✓ |
| Djibouti | ✓ | ✓ | — | — |
| Dominica | ✓ | ✓ | — | ✓ |
| Dominican Republic | ✓ | ✓ | ✓ | ✓ |
| Ecuador | ✓ | ✓ | — | ✓ |
| Egypt | ✓ | ✓ | ✓ | ✓ |
| El Salvador | ✓ | ✓ | ✓ | ✓ |
| Equatorial Guinea | ✓ | — | — | — |
| Eritrea | ✓ | ✓ | — | — |
| Estonia | ✓ | ✓ | ✓ | ✓ |
| Eswatini | ✓ | ✓ | — | ✓ |
| Ethiopia | ✓ | ✓ | — | ✓ |
| Fiji | ✓ | ✓ | — | ✓ |
| Finland | ✓ | ✓ | ✓ | ✓ |
| France | ✓ | ✓ | ✓ | ✓ |
| French Polynesia | — | — | — | ✓ |
| Gabon | — | ✓ | — | — |
| Gambia | ✓ | ✓ | ✓ | — |
| Georgia | ✓ | ✓ | — | ✓ |
| Germany | ✓ | ✓ | ✓ | ✓ |
| Ghana | ✓ | ✓ | — | ✓ |
| Gibraltar | — | ✓ | — | — |
| Greece | ✓ | ✓ | ✓ | ✓ |
| Greenland | — | — | — | ✓ |
| Grenada | ✓ | ✓ | — | ✓ |
| Guam | ✓ | — | — | ✓ |
| Guatemala | ✓ | ✓ | — | ✓ |
| Guernsey | — | — | — | ✓ |
| Guinea | ✓ | ✓ | — | ✓ |
| Guinea-Bissau | ✓ | ✓ | — | — |
| Guyana | ✓ | ✓ | — | ✓ |
| Haiti | ✓ | ✓ | — | ✓ |
| Honduras | ✓ | ✓ | ✓ | ✓ |
| Hong Kong | ✓ | ✓ | — | — |
| Hungary | ✓ | ✓ | ✓ | ✓ |
| Iceland | — | ✓ | — | ✓ |
| India | ✓ | ✓ | — | ✓ |
| Indonesia | ✓ | ✓ | — | ✓ |
| Iran | ✓ | ✓ | — | — |
| Iraq | ✓ | ✓ | ✓ | ✓ |
| Ireland | ✓ | ✓ | ✓ | ✓ |
| Isle of Man | — | — | — | ✓ |
| Israel | ✓ | ✓ | — | ✓ |
| Italy | ✓ | ✓ | ✓ | ✓ |
| Jamaica | ✓ | ✓ | — | ✓ |
| Japan | ✓ | ✓ | ✓ | ✓ |
| Jordan | ✓ | ✓ | ✓ | ✓ |
| Kazakhstan | ✓ | ✓ | — | ✓ |
| Kenya | ✓ | ✓ | — | ✓ |
| Kosovo | ✓ | ✓ | ✓ | ✓ |
| Kuwait | ✓ | ✓ | — | ✓ |
| Kyrgyzstan | ✓ | ✓ | — | ✓ |
| Laos | — | ✓ | — | — |
| Latvia | ✓ | ✓ | ✓ | ✓ |
| Lebanon | ✓ | ✓ | ✓ | ✓ |
| Lesotho | ✓ | ✓ | — | ✓ |
| Liberia | ✓ | ✓ | — | ✓ |
| Libya | — | ✓ | — | — |
| Liechtenstein | — | — | ✓ | — |
| Lithuania | ✓ | ✓ | ✓ | ✓ |
| Luxembourg | ✓ | ✓ | ✓ | — |
| Macao | — | ✓ | — | ✓ |
| Madagascar | ✓ | ✓ | — | ✓ |
| Malawi | ✓ | ✓ | — | ✓ |
| Malaysia | ✓ | ✓ | — | ✓ |
| Maldives | ✓ | — | — | ✓ |
| Mali | ✓ | — | — | — |
| Malta | ✓ | — | ✓ | ✓ |
| Mauritania | ✓ | ✓ | — | — |
| Mauritius | ✓ | ✓ | — | — |
| Mexico | ✓ | ✓ | ✓ | ✓ |
| Micronesia | — | ✓ | — | — |
| Moldova | ✓ | ✓ | ✓ | ✓ |
| Monaco | — | — | ✓ | — |
| Mongolia | ✓ | ✓ | — | ✓ |
| Montenegro | ✓ | ✓ | — | ✓ |
| Morocco | ✓ | ✓ | ✓ | ✓ |
| Mozambique | ✓ | ✓ | — | ✓ |
| Myanmar | — | ✓ | — | ✓ |
| Namibia | ✓ | ✓ | — | ✓ |
| Nepal | ✓ | ✓ | — | ✓ |
| Netherlands | ✓ | ✓ | ✓ | ✓ |
| New Zealand | — | ✓ | — | ✓ |
| Nicaragua | ✓ | ✓ | — | ✓ |
| Niger | — | ✓ | — | ✓ |
| Nigeria | ✓ | ✓ | — | ✓ |
| North Macedonia | ✓ | ✓ | — | ✓ |
| Norway | ✓ | ✓ | ✓ | ✓ |
| Oman | — | ✓ | ✓ | ✓ |
| Pakistan | ✓ | ✓ | — | ✓ |
| Palestine | ✓ | ✓ | — | ✓ |
| Panama | ✓ | ✓ | ✓ | ✓ |
| Papua New Guinea | ✓ | ✓ | — | ✓ |
| Paraguay | ✓ | ✓ | — | ✓ |
| Peru | ✓ | ✓ | ✓ | ✓ |
| Philippines | ✓ | ✓ | — | ✓ |
| Poland | ✓ | ✓ | ✓ | ✓ |
| Portugal | ✓ | ✓ | ✓ | ✓ |
| Puerto Rico | — | — | — | ✓ |
| Qatar | ✓ | ✓ | ✓ | ✓ |
| Romania | ✓ | ✓ | ✓ | ✓ |
| Russia | — | ✓ | — | ✓ |
| Rwanda | ✓ | ✓ | — | — |
| Saint Barthelemy | — | — | — | ✓ |
| Saint Kitts and Nevis | — | ✓ | — | — |
| Saint Lucia | ✓ | ✓ | — | ✓ |
| Saint Vincent and the Grenadines | ✓ | ✓ | — | ✓ |
| Sao Tome and Principe | ✓ | — | — | ✓ |
| Saudi Arabia | ✓ | ✓ | ✓ | ✓ |
| Senegal | ✓ | ✓ | — | ✓ |
| Serbia | ✓ | ✓ | — | ✓ |
| Seychelles | ✓ | — | — | — |
| Sierra Leone | ✓ | ✓ | — | ✓ |
| Singapore | ✓ | ✓ | ✓ | ✓ |
| Slovakia | ✓ | ✓ | ✓ | ✓ |
| Slovenia | ✓ | ✓ | ✓ | ✓ |
| Solomon Islands | — | ✓ | — | ✓ |
| Somalia | ✓ | ✓ | — | ✓ |
| Somaliland | ✓ | — | — | — |
| South Africa | ✓ | ✓ | — | ✓ |
| South Korea | ✓ | ✓ | ✓ | ✓ |
| South Sudan | ✓ | ✓ | — | — |
| Spain | ✓ | ✓ | ✓ | ✓ |
| Sri Lanka | ✓ | ✓ | — | ✓ |
| Sudan | ✓ | ✓ | — | — |
| Suriname | ✓ | — | — | — |
| Sweden | ✓ | ✓ | ✓ | ✓ |
| Switzerland | ✓ | ✓ | ✓ | ✓ |
| Syria | ✓ | ✓ | — | — |
| Taiwan | ✓ | ✓ | — | — |
| Tajikistan | ✓ | ✓ | — | — |
| Tanzania | ✓ | ✓ | — | ✓ |
| Thailand | ✓ | ✓ | — | ✓ |
| Togo | ✓ | ✓ | — | — |
| Trinidad and Tobago | ✓ | ✓ | — | ✓ |
| Tunisia | ✓ | ✓ | — | ✓ |
| Turkey | ✓ | ✓ | ✓ | ✓ |
| Turkmenistan | — | ✓ | — | — |
| Uganda | ✓ | ✓ | — | ✓ |
| Ukraine | ✓ | ✓ | ✓ | ✓ |
| United Arab Emirates | ✓ | ✓ | ✓ | ✓ |
| United Kingdom | ✓ | ✓ | ✓ | ✓ |
| United States | ✓ | ✓ | ✓ | ✓ |
| Uruguay | ✓ | ✓ | — | ✓ |
| Uzbekistan | ✓ | ✓ | — | ✓ |
| Venezuela | ✓ | ✓ | — | ✓ |
| Vietnam | ✓ | ✓ | — | ✓ |
| Yemen | ✓ | ✓ | — | — |
| Zambia | ✓ | ✓ | — | ✓ |
| Zimbabwe | ✓ | ✓ | — | ✓ |
Support can vary by document version and your organization's configuration. Contact your Customer Success Manager or if you need confirmation for a specific document.
Last updated: 13.09.2026.
# Environments and credentials
Understand VOVE ID environments, API keys, public keys, session tokens, and webhook secrets.
VOVE ID has two environments: Sandbox and Production. Credentials and resources belong to one environment and cannot be mixed.
## Environment URLs
| Service | Sandbox | Production |
| ------------------- | ------------------------------ | ------------------------------ |
| Dashboard | `https://dashboard.voveid.net` | `https://dashboard.voveid.com` |
| API | `https://api.voveid.net` | `https://api.voveid.com` |
| Hosted verification | `https://web.voveid.net` | `https://web.voveid.com` |
The hosted-flow `environment` query parameter is case-sensitive: use `Sandbox` with `.net` and `Production` with `.com`.
Use fictional identities, businesses, and documents in Sandbox.
## Credential types
| Credential | Where it belongs | Purpose | Typical lifetime |
| ---------------------- | -------------------------------------- | ------------------------------------------------------ | ------------------------ |
| Private API key | Backend only | Creates sessions/cases and retrieves protected results | Until rotated or revoked |
| Public SDK key | Approved browser or mobile application | Initializes a VOVE ID SDK | Until rotated or revoked |
| Session token | Intended client for one journey | Starts a KYC verification | 30 minutes by default |
| KYB case token | Intended business applicant | Opens one hosted KYB case | 24 hours |
| Webhook signing secret | Webhook server only | Verifies that a webhook came from VOVE ID | Until endpoint rotation |
## Obtain Sandbox credentials
1. Sign in to the Sandbox dashboard.
2. Open **General** under settings.
3. Copy the Sandbox API key into your server-side secret manager.
4. Copy the Sandbox public key into the approved client configuration.
5. Configure the relevant web domain, iOS bundle ID, or Android package ID.
6. Create a webhook endpoint and store its signing secret on the webhook server.
The private API key may appear visually masked. Treat it as a secret whether or not the dashboard is currently displaying it.
## Configure your server
Use environment variables or your deployment platform's secret manager:
```bash
VOVE_API_BASE_URL=https://api.voveid.net
VOVE_API_KEY=vove_sandbox_replace_me
VOVE_PUBLIC_KEY=public_sandbox_replace_me
VOVE_WEBHOOK_SECRET=webhook_secret_replace_me
```
Do not commit a real `.env` file. Do not expose `VOVE_API_KEY` or `VOVE_WEBHOOK_SECRET` through browser bundles, mobile resources, logs, analytics, screenshots, support tickets, or source maps.
## Use the correct credential
### Backend API request
```javascript
const response = await fetch('https://api.voveid.net/v2/sessions', {
method: 'POST',
headers: {
'content-type': 'application/json',
'x-api-key': process.env.VOVE_API_KEY,
},
body: JSON.stringify({ refId: 'customer-7f3d' }),
});
```
### Client SDK initialization
The client receives only the public key and a short-lived session token:
```javascript
const publicConfiguration = {
publicKey: 'public_sandbox_replace_me',
sessionToken: tokenReturnedByYourBackend,
};
```
## Rotation and revocation
Contact your VOVE ID Customer Success Manager or the support team to rotate or revoke an API key, public key, or webhook signing secret. If a credential may have been exposed, stop using it, remove it from logs or client code, and contact the team immediately.
After receiving a replacement, update your secret manager, deploy the consuming service, confirm the new credential works, and verify with VOVE ID that the old credential has been revoked.
## Production access
Contact your VOVE ID Customer Success Manager or email to request Production access. After access is provisioned, complete the [production checklist](/docs/production-readiness), verify allowlists, and repeat the complete session, SDK, webhook, and result-retrieval flow with Production credentials.
# Production checklist
Checklist for promoting a tested VOVE ID integration to Production.
Sandbox success does not automatically enable Production. Complete this checklist with the people responsible for the integration, security, privacy, compliance, and operations.
## Configuration
* [ ] Production API, hosted, and dashboard origins are explicit.
* [ ] Sandbox keys, tokens, flow IDs, and webhook secrets have been removed.
* [ ] The Production API key and webhook secret are stored in a secret manager.
* [ ] Public SDK keys are used only in approved clients.
* [ ] Web domains, iOS bundle IDs, and Android package IDs are approved.
* [ ] Production flow IDs and versions are recorded.
* [ ] The webhook endpoint verifies raw bytes and signatures, deduplicates delivery IDs, and returns a fast `2xx`.
## Test matrix
* [ ] Success, pending, review, and rejection paths.
* [ ] Cancellation, expiry, invalid input, denied permission, and unsupported documents.
* [ ] Maximum-attempt and support recovery.
* [ ] Duplicate, delayed, out-of-order, replayed, and invalid-signature webhooks.
* [ ] `400`, `401`, `404`, `429`, timeout, and `5xx` handling.
* [ ] Every supported browser, device, OS, SDK version, and locale.
* [ ] Unknown statuses enter a safe review state.
## Operations
* [ ] Correlation IDs, resource IDs, event IDs, versions, latency, and outcomes are monitored without logging secrets or sensitive payloads.
* [ ] Alert thresholds and escalation contacts are documented.
* [ ] Data retention, deletion, and reviewer-access policies are configured.
* [ ] Rate expectations and retry bounds are agreed.
## Rollout and rollback
* [ ] Begin with an approved cohort and measurable guardrails.
* [ ] Keep the previous application or flow version available during rollout.
* [ ] Stop new journey starts on contract, security, privacy, or webhook-delivery failures.
* [ ] Preserve in-progress session and case evidence during rollback.
* [ ] Reconcile affected records before restarting the rollout.
# API conventions
Shared VOVE ID API behavior for environments, authentication, identifiers, responses, and retries.
## Base URLs
| Environment | Base URL | Purpose |
| ----------- | ------------------------ | ----------------------------------- |
| Sandbox | `https://api.voveid.net` | Build and test with fictional data |
| Production | `https://api.voveid.com` | Process approved production traffic |
KYC routes begin with `/v2`. KYB and AML routes are unversioned. Use the path shown on each endpoint page.
## Authentication
Server-to-server requests use the `x-api-key` header:
```http
x-api-key: vove_sandbox_replace_me
accept: application/json
```
API keys are private credentials. Store them in a server-side secret manager, never in browser code, mobile applications, URLs, analytics, screenshots, or logs.
Client SDKs use a public SDK key plus a short-lived session token created by your backend. Public keys are not substitutes for API keys.
## Stable identifiers
Create and persist a stable `refId` before starting a KYC session, KYB case, or AML case. Use it to correlate your record with webhooks and result retrieval. Do not silently generate a different `refId` after a timeout; reconcile the original request first.
## Request and response format
Unless an endpoint says otherwise:
* Send JSON with `content-type: application/json`.
* Treat documented enum values as case-sensitive.
* Tolerate additive response fields.
* Do not depend on undocumented fields.
* URL-encode all path and query values.
## Errors and retries
Branch first on HTTP status, then on a documented machine-readable error code when present. Retry only when the operation is safe to repeat, using bounded exponential backoff with jitter.
For a timeout on a create operation, assume the result is unknown. Query by the stable identifier before attempting another create.
See [Errors](/docs/api-fundamentals/errors) for recovery guidance.
# Authorization
Authenticate VOVE ID API requests with a private API key.
VOVE ID server APIs use a private API key in the `x-api-key` request header.
## Authentication header
```http
GET https://api.voveid.net/v2/users/customer-7f3d
x-api-key: vove_sandbox_replace_me
accept: application/json
```
| Header | Required | Description |
| -------------- | --------------- | -------------------------------------------- |
| `x-api-key` | Yes | Private API key for the selected environment |
| `content-type` | For JSON bodies | Use `application/json` |
| `accept` | Recommended | Use `application/json` |
The key determines the organization and environment available to the request. A Sandbox key cannot access Production resources.
## Server-side example
```javascript
const response = await fetch('https://api.voveid.net/v2/users/customer-7f3d', {
headers: {
accept: 'application/json',
'x-api-key': process.env.VOVE_API_KEY,
},
});
if (!response.ok) {
throw new Error(`VOVE request failed (${response.status})`);
}
```
## Key handling
* Store API keys in a secret manager or protected server environment variable.
* Never put a private API key in browser JavaScript, a mobile application, a public repository, a URL, or a screenshot.
* Never log the key or include it in analytics, crash reports, or support attachments.
* Use separate credentials for Sandbox and Production.
* Rotate the key immediately when exposure is suspected.
Client SDKs do not use this private key. They use a [public SDK key and session token](/docs/setup-your-credentials).
## Authentication errors
| Status | Meaning | Action |
| ------ | --------------------------------- | ------------------------------------------------------------ |
| `401` | The API key is missing or invalid | Check secret injection and environment; do not retry blindly |
# Statuses
Exact VOVE ID API, webhook, and SDK status values.
Status values are case-sensitive and differ between APIs, webhook event names, and SDKs. Map each surface explicitly into your own internal status model.
## KYC API statuses
Returned by `GET /v2/users/{refId}`.
| Value | Terminal | Recommended handling |
| ------------- | -------- | ------------------------------------------------------------------- |
| `open` | No | Keep access pending |
| `in-progress` | No | Wait for another event or retrieve again later |
| `successful` | Yes | Apply your approved success policy after server-side reconciliation |
A common path is `open` → `in-progress` → a terminal status, but not every flow follows one linear sequence.
## KYC webhook payload statuses
KYC webhook payload statuses are `in_progress`, `pending`, `successful`, and `suspected`. Select and inspect the available webhook event types in the VOVE ID dashboard.
## SDK results
SDK results describe the client journey. Retrieve the API result before making an irreversible server-side decision.
| SDK | Result values |
| ------------ | ------------------------------------------------------------------------------ |
| Web | `success`, `failed`, `pending`, `canceled` |
| iOS | `.success`, `.failure`, `.pending`, `.canceled`, `.maxAttempts`, `.inProgress` |
| Android | `SUCCESS`, `IN_PROGRESS`, `PENDING`, `CANCELLED`, `MAX_ATTEMPTS_REACHED` |
| React Native | `success`, `failure`, `pending`, `cancelled`, `max-attempts` |
| Flutter | `success`, `pending`, `canceled`, `maxAttempts` |
## KYB statuses
KYB case statuses are `NOT_STARTED`, `IN_PROGRESS`, `IN_REVIEW`, `COMPLETED`, and `REJECTED`.
Related events include `kyb.case.in_progress`, `kyb.case.in_review`, `kyb.case.completed`, and `kyb.case.rejected`.
## AML statuses
AML case statuses are `NO_MATCH`, `IN_REVIEW`, `CLEARED`, and `REJECTED`.
`NO_MATCH` only means that the configured sources returned no match for that search configuration. It is not proof that every possible source was searched.
## Unknown values
Persist the original value, keep the subject in a safe pending or review state, alert the integration owner, and retrieve the current server-side resource. Never coerce an unknown value to success.
# Errors
HTTP, SDK, and webhook errors with safe recovery guidance.
Error bodies can gain fields over time. Branch on the HTTP status and a documented machine-readable `code` when present.
## HTTP errors
| Status | Typical cause | Retry? | Recommended action |
| ------ | ----------------------------------------------------------------- | ------------------- | ------------------------------------------------------ |
| `400` | Invalid JSON, field, enum, date, identifier, or webhook signature | After correction | Validate the request against the endpoint reference |
| `401` | Missing or invalid API key or session token | No blind retry | Check credential injection, token age, and environment |
| `404` | Unknown `refId`, flow, case, or resource | Usually no | Confirm the environment and identifier |
| `429` | Rate limit exceeded | Yes | Use bounded backoff |
| `5xx` | VOVE ID or upstream service failure | For idempotent work | Retry with bounds and stable identifiers |
## Client integration failures
| Symptom | Check | Recovery |
| ------------------------- | ---------------------------------------------------------------- | ----------------------------------------------------- |
| SDK initialization fails | Environment, public key, and approved client configuration | Correct configuration and initialize again |
| Session token is rejected | Environment, token age, accidental modification | Request a new token from your backend |
| Camera is unavailable | Permission, browser/device support, another app using the camera | Explain how to grant access or switch device |
| Capture fails repeatedly | Glare, blur, framing, unsupported document, wrong flow step | Provide capture guidance without exposing fraud rules |
| Maximum attempts reached | Attempt policy | Stop retry loops and offer the approved support path |
## Safe diagnostics
Log the environment, endpoint name, HTTP status, request/correlation ID, `refId` or case ID when permitted, SDK name/version, and timestamps.
Never log API keys, session tokens, webhook secrets or signatures, document images, biometric media, raw webhook payloads, or unredacted personal data.
# Create a verification session
Create a short-lived KYC session token from a trusted backend.
Creates or resumes a KYC verification session for a stable customer reference.
```http
POST https://api.voveid.net/v2/sessions
x-api-key: vove_sandbox_replace_me
content-type: application/json
```
Call this endpoint only from your backend. Return the session token to the intended client; never expose the private API key.
## Request
```json
{
"refId": "customer-7f3d",
"flowId": "66f000000000000000000001",
"forceCreation": false,
"user": {
"firstName": "Amina",
"lastName": "Example",
"idNumber": "X00000000",
"gender": "female",
"dateOfBirth": "01.02.1990"
}
}
```
### Body parameters
| Field | Type | Required | Default | Description |
| -------------------------- | ---------------- | -------------- | -------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `refId` | string | Yes | — | Stable identifier from your system. Persist it for webhook correlation and result retrieval. |
| `flowId` | string | No | Organization default | Custom KYC flow identifier. |
| `forceCreation` | boolean | No | `false` | When `true`, starts a new verification instead of resuming an existing `open` or `in-progress` session for the same `refId`. Use it only when the user must start over. |
| `user` | object | Flow-dependent | — | Required when information matching is enabled in the selected flow; otherwise optional prefill data. |
| `governmentRegistryChecks` | array of objects | Flow-dependent | — | Identifiers for matching flow checks that allow API collection. Each entry contains `country`, `registry` and a string `identifier`. See the [Ghana guide](/docs/kyc-api/government-registry-check-ghana) for supported Ghana pairs and examples. |
### User object
The following user fields can be provided. When information matching is enabled in the selected flow, provide every field that the flow is configured to compare.
| Field | Type | Required | Description |
| ------------- | ------ | -------- | ---------------------------------------------------------------- |
| `firstName` | string | No | Given name |
| `lastName` | string | No | Family name |
| `idNumber` | string | No | Identity-document number used to prefill the configured KYC flow |
| `gender` | string | No | Value accepted by the configured flow |
| `dateOfBirth` | string | No | Date of birth in `DD.MM.YYYY` format |
### TypeScript shape
```typescript
type CreateVerificationSessionRequest = {
refId: string;
flowId?: string;
forceCreation?: boolean;
governmentRegistryChecks?: Array<
| { country: 'GH'; registry: 'CARD' | 'VOTER_ID' | 'PASSPORT'; identifier: string }
| { country: 'NG'; registry: 'NIN' | 'BVN'; identifier: string }
>;
user?: {
firstName?: string;
lastName?: string;
idNumber?: string;
gender?: string;
dateOfBirth?: string;
[field: string]: unknown;
};
};
```
## Response
```json
{
"success": true,
"token": "eyJ...redacted"
}
```
| Field | Type | Description |
| --------- | ------- | ----------------------------------------------- |
| `success` | boolean | Indicates that a session token was returned |
| `token` | string | Short-lived token passed to the intended client |
```typescript
type CreateVerificationSessionResponse = {
success: true;
token: string;
};
```
By default, an existing `open` or `in-progress` session for the same `refId` can be returned or extended. Set `forceCreation` to `true` only when the user must abandon that active attempt and start the verification again from the beginning.
The default token lifetime is 30 minutes. If it expires, request a new token from your backend.
## cURL example
```bash
curl --request POST 'https://api.voveid.net/v2/sessions' \
--header 'content-type: application/json' \
--header 'x-api-key: vove_sandbox_replace_me' \
--data '{
"refId": "customer-7f3d",
"flowId": "66f000000000000000000001",
"forceCreation": false
}'
```
## Next steps
Start a [client SDK](/docs/sdks/compatibility), receive a [signed webhook](/docs/kyc-api/webhooks), and retrieve the result with [`GET /v2/users/{refId}`](/docs/kyc-api/get-user-verification).
# Get verification results
Retrieve a KYC result, government registry checks, and document records by refId.
Returns the current KYC resource associated with your stable `refId`.
```http
GET https://api.voveid.net/v2/users/customer-7f3d
x-api-key: vove_sandbox_replace_me
accept: application/json
```
### Path parameters
| Parameter | Type | Required | Description |
| --------- | ------ | -------- | ------------------------------------------------------------ |
| `refId` | string | Yes | The value supplied when the verification session was created |
URL-encode `refId` when constructing the request.
## Example request
```bash
curl 'https://api.voveid.net/v2/users/customer-7f3d' \
--header 'accept: application/json' \
--header 'x-api-key: vove_sandbox_replace_me'
```
## Example response
The fields returned depend on the selected flow and completed checks. This example shows a representative document-verification result without configured government registry checks. Document calendar dates use `DD.MM.YYYY`; timestamps such as `createdAt` and `updatedAt` remain ISO 8601. Registry dates follow the [government registry data rules](#registry-returned-data).
```json
{
"_id": "66f000000000000000000020",
"refId": "customer-7f3d",
"status": "successful",
"createdAt": "2026-09-07T10:20:30.000Z",
"updatedAt": "2026-09-07T10:24:12.000Z",
"flowId": "66f000000000000000000001",
"sessionId": "66f000000000000000000002",
"sessions": [
"66f000000000000000000002"
],
"documents": [
{
"stepId": "ID_DOCUMENT",
"type": "Passport",
"firstName": "AMINA",
"lastName": "EXAMPLE",
"dateOfBirth": "01.02.1990",
"dateOfExpiration": "15.07.2030",
"issuingAuthority": "EXAMPLE AUTHORITY",
"idNumber": "X00000000",
"matchLevel": 7,
"digitalIDSpoof": "LIKELY_PHYSICAL_ID",
"faceOnDocumentSpoof": "LIKELY_ORIGINAL_FACE",
"textOnDocumentSpoof": "LIKELY_ORIGINAL_TEXT",
"mrzStatus": "SUCCESS"
}
],
"metadata": {},
"governmentRegistryChecks": []
}
```
### Response fields
| Field | Type | Description |
| -------------------------- | --------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `_id` | string | VOVE ID user resource identifier |
| `refId` | string | Your stable customer identifier |
| `status` | string | Current KYC status; see [Statuses](/docs/api-fundamentals/statuses) |
| `createdAt` | string | ISO 8601 creation time |
| `updatedAt` | string | ISO 8601 last-update time |
| `flowId` | string | KYC flow used for the verification |
| `sessionId` | string | Most recent session identifier |
| `sessions` | string\[] | Session identifiers associated with this resource |
| `documents` | object\[] | Extracted document records returned by completed document steps |
| `metadata` | object | Integration metadata when present |
| `governmentRegistryChecks` | object\[] | Configured government registry checks from the latest non-deleted session; `[]` when none exist. See [Government registry checks](#government-registry-checks) |
### TypeScript types
```typescript
type VerificationStep =
| 'ID_DOCUMENT'
| 'DRIVING_LICENSE'
| 'CAR_REGISTRATION_DOCUMENT'
| 'ADDRESS_PROOF';
type DigitalIdSpoofStatus =
| 'LIKELY_PHYSICAL_ID'
| 'COULD_NOT_CONFIDENTLY_DETERMINE_PHYSICAL_ID_USER_NEEDS_TO_RETRY';
type FaceOnDocumentStatus =
| 'NOT_AVAILABLE'
| 'LIKELY_ORIGINAL_FACE'
| 'CANNOT_CONFIRM_ID_IS_AUTHENTIC'
| 'OCR_TEMPLATE_DOES_NOT_SUPPORT_DETECTION';
type TextOnDocumentStatus =
| 'NOT_AVAILABLE'
| 'LIKELY_ORIGINAL_TEXT'
| 'CANNOT_CONFIRM_ID_IS_AUTHENTIC';
type MrzStatus =
| 'NO_MRZ_SPECIFIED_BY_TEMPLATE'
| 'MRZ_READ_BUT_CHECKSUM_FAILED'
| 'SUCCESS';
type VerificationDocument = {
stepId: VerificationStep;
type?: string;
firstName?: string;
lastName?: string;
fullName?: string;
dateOfBirth?: string;
dateOfIssue?: string;
dateOfExpiration?: string;
issuingAuthority?: string;
issuingCountry?: string;
placeOfBirth?: string;
sex?: string;
address?: string;
address1?: string;
idNumber?: string;
mrzLine1?: string;
mrzLine2?: string;
matchLevel?: number;
digitalIDSpoof?: DigitalIdSpoofStatus;
faceOnDocumentSpoof?: FaceOnDocumentStatus;
textOnDocumentSpoof?: TextOnDocumentStatus;
mrzStatus?: MrzStatus;
[field: string]: unknown;
};
type GovernmentRegistryAddress = {
line1?: string;
line2?: string;
city?: string;
state?: string;
postalCode?: string;
country?: string;
[field: string]: unknown;
};
type GovernmentRegistryData = {
firstName?: string;
middleName?: string;
lastName?: string;
dateOfBirth?: string;
gender?: string;
phone?: string;
email?: string;
address?: string | GovernmentRegistryAddress;
image?: string;
[field: string]: unknown;
};
type GovernmentRegistryCheck = {
country: string;
registry?: string;
status: 'pending' | 'in_progress' | 'completed' | 'failed' | 'skipped';
completedAt?: string;
data: GovernmentRegistryData | null;
result?: {
source?: 'api' | 'sdk' | 'document';
outcome?: 'verified' | 'not_verified' | 'provider_error';
verificationStatus?: 'verified' | 'not_verified';
verificationReason?: string;
confidence?: number;
};
};
type VerificationResult = {
_id: string;
refId: string;
status: string;
createdAt: string;
updatedAt: string;
flowId?: string;
sessionId?: string;
sessions?: string[];
documents?: VerificationDocument[];
metadata?: Record;
governmentRegistryChecks?: GovernmentRegistryCheck[];
};
```
Treat unknown status values as pending review rather than assuming success.
## Government registry checks
`GET /v2/users/{refId}` returns `governmentRegistryChecks` alongside the existing user and document fields. `GET /v2/users?page=1` includes the same field on each user in its `data` array. Use your server-side API key; results are scoped to its organization. An unknown `refId` or one belonging to another organization returns HTTP 404.
Configure a Government Registry Check in your KYC flow to receive entries. See the [NIN and BVN guide](/docs/kyc-api/government-registry-check) or [Ghana guide](/docs/kyc-api/government-registry-check-ghana) for setup.
Only checks from the latest non-deleted session are returned, in stored step order. Session selection uses creation time, with the session identifier breaking ties. Each configured step produces one entry. For a step allowing multiple registries, `registry` is the resolved selection and is omitted until a selection exists. A newer session without checks returns `[]`, even if an older session has results. Internal experimental and manual checks are excluded.
### Example registry result
This synthetic response fragment shows a completed lookup without face matching:
```json
{
"refId": "customer-7f3d",
"governmentRegistryChecks": [
{
"country": "NG",
"registry": "NIN",
"status": "completed",
"completedAt": "2026-10-19T12:00:00.000Z",
"data": {
"firstName": "AMINA",
"lastName": "EXAMPLE",
"dateOfBirth": "1990-02-01",
"gender": "female",
"address": {
"line1": "1 Example Street",
"city": "Lagos",
"country": "NG"
}
},
"result": {
"source": "api",
"outcome": "verified",
"verificationStatus": "verified",
"verificationReason": "registry_lookup_verified"
}
}
]
}
```
### Check fields and verdicts
| Field | Type | Description |
| --------------------------- | ---------------- | ----------------------------------------------------------------------------- |
| `country` | string | Country code, such as `NG` or `GH` |
| `registry` | string, optional | Resolved registry code, such as `NIN`, `BVN`, or `CARD` |
| `status` | string | Step lifecycle: `pending`, `in_progress`, `completed`, `failed`, or `skipped` |
| `completedAt` | string, optional | ISO 8601 completion timestamp, when persisted |
| `data` | object or null | Available normalized data from this check's stored registry response |
| `result` | object, optional | Last persisted attempt; absent when no supported result fields exist |
| `result.source` | string, optional | Identifier source: `api`, `sdk`, or `document` |
| `result.outcome` | string, optional | `verified`, `not_verified`, or `provider_error` |
| `result.verificationStatus` | string, optional | `verified` or `not_verified` |
| `result.verificationReason` | string, optional | Reason code described below |
| `result.confidence` | number, optional | Face-match confidence from 0 to 1; normally absent for lookup-only checks |
`status` describes the step lifecycle; `result` describes its last persisted attempt. A `completed` step or populated `data` does not by itself mean verification passed. Use `result.outcome` and `result.verificationStatus` for the check verdict, and the user's top-level `status` for the overall KYC result. A successful lookup without face matching does not prove identity ownership.
An unstarted check is `pending` with `data: null` and normally no `result`. A running lookup is `in_progress`. A failed attempt can leave a check `pending` for a retry while retaining its previous `result`. Treat missing or unknown verdicts as unresolved.
For example, a temporary provider error may return this fragment while a retry is pending:
```json
{
"governmentRegistryChecks": [
{
"country": "NG",
"registry": "BVN",
"status": "pending",
"data": null,
"result": {
"source": "api",
"outcome": "provider_error",
"verificationStatus": "not_verified",
"verificationReason": "provider_unavailable"
}
}
]
}
```
Reason codes include `registry_lookup_verified`, `face_match_verified`, `face_match_failed`, `registry_cross_check_mismatch`, `face_confidence_below_threshold`, `face_confidence_missing`, `provider_verification_failed`, `provider_rate_limited`, `provider_rejected_request`, `registry_record_not_found`, `provider_authentication_failed`, `provider_unavailable`, and `government_registry_check_failed`. Unrecognized stored reason text is returned as `government_registry_check_failed`. Tolerate future codes without treating them as success.
### Registry-returned data
`data` comes from the check's stored registry response, independently of the user-submitted profile. It includes available retained fields, including provider-specific properties, portraits, card details, nationality, occupations, contacts, addresses, and stored face metadata. It is `null` when no supported stored data is available, including unstarted checks and older checks without retained data. Fields discarded before storage cannot be recovered by reading this endpoint.
| Fields | Normalization |
| --------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `firstName`, `middleName`, `lastName` | Common name aliases become trimmed strings |
| `dateOfBirth` | Recognized dates become `YYYY-MM-DD`; unrecognized supplied values are preserved |
| `gender` | Recognized male/female values become `male` or `female`; other supplied values are preserved |
| `phone`, `email` | Primary contact values; no phone country code is inferred. A top-level value takes precedence over a contact-list phone or nested `contact.email` |
| `address`, `addresses` | String or structured addresses; common keys are `line1`, `line2`, `city`, `state`, `postalCode`, and `country`. Additional properties and full lists are retained |
| `image` | Stored registry portrait, normalized from portrait/photo aliases when available |
| `placeOfBirth`, `maritalStatus`, `enrollmentBank`, `enrollmentBranch`, `cardId`, `cardValidFrom`, `cardValidTo` | Common names for equivalent registry fields |
| Other fields | Available provider-specific properties and structures, including `contact`, `faceData`, and `verification`, are retained |
Canonical field names take precedence over aliases. When no primary phone or address exists, the first usable contact phone or populated structured address is also exposed as `phone` or `address`; the full lists remain available. Null values, blank strings, and empty containers are omitted recursively; `false` and `0` are retained. Consume fields defensively because availability varies by registry and stored record.
Registry data can accompany a negative face-match verdict. Its presence does not override `result`. Keep returned identity data and portraits out of logs and analytics, restrict access, and apply your retention policy.
Reading results does not execute or retry a check or trigger a billable registry lookup. The document-media endpoint below is unchanged.
## Retrieve document media
```http
GET https://api.voveid.net/v2/users/customer-7f3d/documents
x-api-key: vove_sandbox_replace_me
accept: application/json
```
Representative response:
```json
{
"selfie": "base64_redacted",
"documents": [
{
"stepId": "ID_DOCUMENT",
"front": "base64_redacted",
"back": "base64_redacted",
"photo": "base64_redacted",
"frontCropped": "base64_redacted",
"backCropped": "base64_redacted",
"type": "Passport"
}
]
}
```
Document and biometric media is sensitive. Retrieve it only when required, restrict access, avoid logging response bodies, and apply your retention and deletion policy.
## Server example
```javascript
const response = await fetch(
`https://api.voveid.net/v2/users/${encodeURIComponent(refId)}`,
{ headers: { 'x-api-key': process.env.VOVE_API_KEY } },
);
if (response.status === 404) {
return { status: 'not_found' };
}
if (!response.ok) {
throw new Error(`VOVE result retrieval failed (${response.status})`);
}
const verification = await response.json();
```
Use this endpoint as the server-side authority after a webhook. Browser redirects and SDK callbacks are immediate journey outcomes, not sufficient by themselves for an irreversible decision.
# Webhooks
Receive and process VOVE ID webhooks with Svix signature verification.
VOVE ID sends HTTPS webhook requests when verification, KYB, or AML resources change. Verify every request before parsing or processing it.
## Configure an endpoint
1. Open **Webhooks** in the matching Sandbox or Production dashboard.
2. Add a publicly reachable HTTPS endpoint.
3. Select the event types required by your integration.
4. Store the generated signing secret in your server secret manager.
5. Send or replay a fictional Sandbox event.
Sandbox and Production endpoints use separate signing secrets.
## Request headers
| Header | Type | Description |
| ---------------- | ------ | -------------------------------------------------- |
| `svix-id` | string | Unique delivery identifier; use it for idempotency |
| `svix-timestamp` | string | Signed delivery timestamp |
| `svix-signature` | string | One or more versioned signatures |
| `content-type` | string | `application/json` |
Header names are case-insensitive. Frameworks commonly expose them in lowercase.
## Representative KYC event
```http
POST /webhooks/vove HTTP/1.1
Host: example.test
Content-Type: application/json
Svix-Id: msg_example_01
Svix-Timestamp: 1788775200
Svix-Signature: v1,example_signature
{
"status": "successful",
"refId": "customer-7f3d",
"userId": "customer-7f3d"
}
```
> **Deprecated:** `userId` is retained only for backward compatibility and will be removed in a future version. Use `refId` to identify and correlate users.
## Verify the raw request body
Install the official Svix package:
```bash
npm install svix
```
### Node.js and Express
```javascript
import express from 'express';
import { Webhook } from 'svix';
const app = express();
// Register this route before app.use(express.json()).
app.post('/webhooks/vove', express.raw({ type: 'application/json' }), async (req, res) => {
const headers = {
'svix-id': req.header('svix-id'),
'svix-timestamp': req.header('svix-timestamp'),
'svix-signature': req.header('svix-signature'),
};
let event;
try {
event = new Webhook(process.env.VOVE_WEBHOOK_SECRET).verify(req.body, headers);
} catch {
return res.sendStatus(400);
}
const deliveryId = headers['svix-id'];
await persistAndEnqueueOnce(deliveryId, event);
return res.sendStatus(204);
});
```
The verifier must receive the original bytes. `express.json()` changes the body representation, which makes signature verification fail.
### Python and Flask
```python
import os
from flask import Flask, request
from svix.webhooks import Webhook, WebhookVerificationError
app = Flask(__name__)
@app.post("/webhooks/vove")
def receive_vove_webhook():
payload = request.get_data()
headers = {
"svix-id": request.headers.get("svix-id"),
"svix-timestamp": request.headers.get("svix-timestamp"),
"svix-signature": request.headers.get("svix-signature"),
}
try:
event = Webhook(os.environ["VOVE_WEBHOOK_SECRET"]).verify(
payload,
headers,
)
except WebhookVerificationError:
return "", 400
persist_and_enqueue_once(headers["svix-id"], event)
return "", 204
```
## Processing contract
1. Read the unmodified request bytes.
2. Verify the timestamp and signature with the official library.
3. Deduplicate on `svix-id` using durable storage and a unique constraint.
4. Store the verified event and enqueue work in one transaction where possible.
5. Return `200` or `204` quickly.
6. Process asynchronously.
7. Tolerate duplicates and out-of-order delivery.
8. Retrieve the current API resource before applying a consequential decision.
Do not deduplicate on `refId` because one subject can produce multiple legitimate events.
## Event payload types
```typescript
type KycWebhookPayload = {
refId: string;
status:
| 'in_progress'
| 'pending'
| 'successful'
| 'suspected'
| string;
userId?: string;
[field: string]: unknown;
};
type KybWebhookPayload = {
refId: string;
status:
| 'IN_PROGRESS'
| 'IN_REVIEW'
| 'COMPLETED'
| 'REJECTED'
| string;
previousStatus?: string;
reason?: string;
[field: string]: unknown;
};
```
See [Statuses](/docs/api-fundamentals/statuses) and [KYB webhooks](/docs/business-verification/kyb-webhooks) for exact event mappings.
## Retries and ordering
Webhook delivery can be retried and replayed. Your handler must be safe when:
* The same delivery arrives more than once.
* A newer resource state arrives before an older event.
* Your worker fails after the endpoint has acknowledged the request.
* The endpoint times out after persisting the event.
Do not depend on a fixed retry schedule. Use the delivery log for diagnosis and retrieve the current API resource during reconciliation.
## Test the endpoint
Test all of these cases in Sandbox:
| Test | Expected result |
| ---------------------------- | ------------------------------------ |
| Valid event | `200` or `204` and one queued action |
| Altered body | `400` |
| Missing or invalid signature | `400` |
| Same `svix-id` twice | One business action |
| Worker failure | Event remains available for retry |
| Out-of-order status | Current API resource wins |
For local testing, expose the server through an HTTPS tunnel, register the temporary URL in Sandbox, and use the dashboard's send or replay function. Never use a Production signing secret in local tooling.
## Safe logging
Log event type, `svix-id`, `refId`, processing result, latency, and your correlation ID. Do not log the signing secret, signature, session token, raw payload, documents, biometrics, or unredacted personal or match data.
## Troubleshooting
| Problem | Likely cause | Resolution |
| ------------------------------ | ---------------------------------------------- | ---------------------------------------------------------- |
| Every signature fails | Body parsed before verification | Configure a raw-body route before JSON middleware |
| Some signatures fail | Wrong environment secret or altered proxy body | Check endpoint configuration and proxy behavior |
| Repeated deliveries | Non-`2xx` response or timeout | Acknowledge after durable enqueueing |
| Duplicate business action | No durable `svix-id` uniqueness | Add a unique constraint and transactional enqueue |
| Status appears to go backwards | Out-of-order delivery | Retrieve the current resource and compare timestamps/state |
# Custom KYC flows
### Introduction
Welcome to the Vove ID Custom Flows documentation. Our new **Custom Flows** feature empowers you to design personalized identity verification processes tailored to your specific needs. With this feature, you can set specific conditions, choose supported documents, and create a seamless verification journey for your users.
### Key Benefits
* **Flexibility**: Design verification processes that align with your business requirements.
* **Customization**: Set specific conditions and select required documents, and verify each user differently
* **Efficiency**: Streamline the user verification experience.
* **Scalability**: Easily update flows as your needs evolve.
***
### Getting Started with Custom Flows
For Ghana registry checks, see [Government Registry Check: Ghana](/docs/kyc-api/government-registry-check-ghana) for organization prerequisites, supported identifiers and collection settings.
To begin creating your custom flows:
1. **Log In to Your Dashboard**
* Access your Vove ID client dashboard with your credentials.
2. **Navigate to the Flows Section**
* From the main menu, select **"Flows"**.
3. **Create a New Flow**
* Click on the **"Create New Flow"** button.
Open Flows to create or manage a KYC flow.
***
### Creating a Custom Flow
**Step 1: Define Flow Details**
* **Flow Name**
* Enter a unique name for your flow (e.g., *"Premium User Verification"*).
**Step 2: Set Steps**
* **Liveness**
* You can turn it ON to verify users liveness and make sure there is a real person trying to get verified
* **Steps**
* Select as many steps needed to verify user, for each step you can select the supported documents
**Face Match Levels**
Vove ID allows you to configure the **Face Match Level** used when comparing the user's live face with the photo on their identity document.
The match level ranges from **1 to 7**. Higher levels require a stronger facial similarity and provide a lower **False Acceptance Rate (FAR)**.
| Match Level | False Acceptance Rate (FAR) | Meaning |
| ----------- | --------------------------: | ----------------------------------------------------------------------------------------------------------- |
| **Level 7** | 1 in 500,000 | Highest match confidence. Recommended for high-security or high-risk use cases. |
| **Level 6** | 1 in 100,000 | Very high match confidence. Suitable for regulated and higher-risk onboarding. |
| **Level 5** | 1 in 10,000 | High match confidence. Provides a strong balance between security and user acceptance. |
| **Level 4** | 1 in 1,000 | Moderate match confidence. Suitable for lower-risk verification scenarios. |
| **Level 3** | 1 in 500 | More permissive matching with a higher probability of false acceptance. |
| **Level 2** | 1 in 250 | Permissive matching. Recommended only when a higher acceptance rate is preferred over strict face matching. |
| **Level 1** | 1 in 100 | Most permissive matching level. |
| **Level 0** | — | The faces are considered a **non-match**. |
**Understanding FAR**
**False Acceptance Rate (FAR)** represents the probability that two different people could incorrectly be considered a match.
For example:
* **Level 7 — 1/500,000 FAR** means approximately 1 false acceptance could occur for every 500,000 impostor comparison attempts.
* **Level 5 — 1/10,000 FAR** means approximately 1 false acceptance could occur for every 10,000 impostor comparison attempts.
* **Level 1 — 1/100 FAR** means approximately 1 false acceptance could occur for every 100 impostor comparison attempts.
As the Match Level increases, the matching threshold becomes stricter.
> **Note:** False Reject Rates (FRR) may vary depending on factors such as anti-tampering characteristics of the identity document, document/image quality, and the age of the photograph displayed on the identity document.
**Step 3: Select Supported Documents**
* **Document Types**
* Choose the types of documents users must provide (e.g., passport, national ID, utility bill).
* **Verification Requirements**
* Specify any additional verification steps or document requirements.
**Step 4: Configure Flow Steps**
* **Step Order**
* Arrange the steps in the order you want users to complete them.
* **Instructions**
* Add custom instructions or messages for users at each step.
**Step 5: Review and Activate**
* **Preview Flow**
* Review all settings to ensure accuracy.
* **Activate Flow**
* Save and activate the flow for it to become live.
* you can use as many flows you want by using their specific ID, and the default flow will be used as default when you don't specify the ID.
* Update Flow
* you can't update a flow, because the flow can be already assigned to some verifications, but when you update a flow a new version will be created with a different ID and you can either make it default or use the ID for new verifications.
***
#### Managing Your Flows
* **Edit Existing Flows**
* Make changes to your flows by selecting the flow and clicking **"Edit"**. You can't update a flow, because the flow can be already assigned to some verifications, but when you update a flow a new version will be created with a different ID and you can either make it default or use the ID for new verifications.
* **Deactivate Flows**
* Temporarily disable a flow without deleting it.
* **Delete Flows**
* We don't allow deleting flows for the same reason of editing flows, but you can deactive it by disabling it.
* **Duplicate Flows**
* Create a copy of an existing flow by modifying an existing flow, without altering the original.
***
#### Support and Feedback
If you have questions or need assistance:
* **Contact Support or your account manager**
* Email us at .
* **Provide Feedback**
* Your feedback helps us improve. Let us know your thoughts and suggestions.
***
Thank you for choosing Vove ID for your digital identity solutions. We are excited to see how you leverage Custom Flows to enhance your user verification process.
# Government Registry Check: NIN and BVN
Use Government Registry Check to verify a customer's Nigerian identity against a registry record within a Vove ID verification flow. You can optionally compare the customer's selfie with the registry photo.
For Ghana Card, Voter ID and Passport checks, use the separate [Ghana Government Registry Check guide](/docs/kyc-api/government-registry-check-ghana).
## Supported checks
| Registry | Identifier | Supported collection sources |
| ------------------------------------ | ----------------- | ---------------------------- |
| NIN — National Identification Number | Exactly 11 digits | API, document extraction |
| BVN — Bank Verification Number | Exactly 11 digits | API |
Document extraction is available only for NIN and requires an earlier `ID_DOCUMENT` or `DRIVING_LICENSE` flow step that supplies a usable NIN. BVN document extraction is not supported.
A registry lookup verifies information against the registry. A lookup without face matching does not establish that the person presenting the number is the record holder. Use the check alongside the other verification steps and review the whole-session decision.
## Before you start
* Configure a matching Government Registry Check step in the customer dashboard.
* If face matching is required, collect an eligible selfie through the session enrollment flow before the registry lookup.
* Handle NIN, BVN, selfie, and returned identity information as sensitive data. Keep identifiers out of application logs and analytics.
## 1. Configure the flow in the customer dashboard
Configure Government Registry Check in your Vove ID customer dashboard:
1. Open the verification flow you want to configure.
2. Add a Government Registry Check step and choose NIN or BVN.
3. Choose the identifier source: API for a number supplied by your backend, or document extraction for NIN from an earlier supported document step.
4. Choose whether to require face matching.
5. Save the flow configuration before using it to create sessions.
Add separate steps if you want to check both NIN and BVN. Select only sources supported by the registry.
## 2. Supply the identifier
For API collection, add `governmentRegistryChecks` to your existing [`POST /v2/sessions`](/docs/kyc-api/verification-session) request alongside its other required session fields. This example shows only the additional fields:
```json
{
"governmentRegistryChecks": [
{
"country": "NG",
"registry": "NIN",
"identifier": "12345678901"
}
]
}
```
The number is illustrative, not a test credential or a guaranteed valid record. Send identifiers as strings to preserve leading zeroes.
The flow must contain the matching check and allow `api` collection. Supply an identifier for every API-only check when creating a new session. A compatible active session can reuse an identifier already stored on its step.
For NIN document collection, the earlier document step supplies the identifier.
## 3. Complete the check
Checks using only API or document sources execute automatically when they become current. Required face matching still needs an eligible selfie.
## 4. Review the result
Retrieve `governmentRegistryChecks` through `GET /v2/users/{refId}` for the check lifecycle, last persisted verdict, and available normalized registry data. See the [response examples, fields, and data rules](/docs/kyc-api/get-user-verification#government-registry-checks).
Review the registry-check outcome and verification reason in the session details. When face matching is enabled, confidence is normalized to 0–1. A successful face match requires confidence at or above the configured threshold. Completing a lookup does not necessarily mean that the customer passed verification.
Read the whole-session verdict before making an onboarding decision. A completed lookup that does not pass the required face match contributes a caution outcome and can still be billable. Government Registry Check usage is billed separately; confirm your organization's applicable rate with Vove ID.
## Troubleshooting
| Condition or reason | What to do |
| ----------------------------- | --------------------------------------------------------------------------------------------- |
| Invalid or missing identifier | Supply an 11-digit string for the matching country/registry and configured source. |
| Missing selfie | Complete the session enrollment capture before a face-required check. |
| Registry record not found | Verify the supplied identifier with the customer; a missing record is not a successful check. |
| Check temporarily unavailable | Check the session result and contact Vove ID support if the issue persists. |
Retry only when the returned failure permits it and the flow has attempts remaining. If the outcome is unclear, contact Vove ID support before retrying. Do not create repeated sessions to work around it.
Share session references and error codes with support. Do not paste a customer's NIN, BVN, selfie, session token, or identity payload into tickets.
# Government Registry Check: Ghana
Configure a Ghana registry check, supply an identifier, and interpret the result in a KYC flow.
Use Government Registry Check within a Vove ID KYC flow to look up a Ghana identity record. A registry lookup alone does not prove that the person presenting an identifier owns that identity. Review the whole verification result alongside the other checks in your flow.
For Nigerian checks, use the separate [NIN and BVN guide](/docs/kyc-api/government-registry-check).
## Before you start
* Confirm that Government Registry Check and your chosen Ghana check are enabled for your organization in your integration environment. Access is off by default. Availability depends on organization enablement and compatible API, dashboard and Web verification versions; this guide does not announce a Production or mobile release.
* Decide whether your backend supplies the identifier or the applicant enters it in Web verification. SDK collection needs separate organization enablement.
* Create sessions from your backend. Keep your private API key there; the client receives only the credentials needed to start its verification session.
* Obtain appropriate consent and apply your approved retention and access controls to identifiers, identity information and any biometric material.
Start with [environments and credentials](/docs/setup-your-credentials) and [session creation](/docs/kyc-api/verification-session).
## Choose the check
Confirm that the selected check is available for your organization before use.
All three checks use country `GH`:
* **Ghana Card** — registry `CARD`.
* Lookup format: 6–20 ASCII letters, numbers or dashes.
* Illustrative value: `GHA-100000001-1`.
* **Voter ID** — registry `VOTER_ID`.
* Lookup format: 6–12 digits.
* Illustrative value: `1100000001`.
* **Passport** — registry `PASSPORT`.
* Lookup format: 6–12 ASCII letters or numbers.
* Illustrative value: `G1000001`.
These are format-only synthetic values, not live identities, provider test credentials or guaranteed successful lookups. Keep identifiers as strings to preserve leading zeroes. Ghana validation trims outer whitespace; it does not remove interior letters or dashes. Do not apply Nigeria's 11-digit NIN rule.
## 2. Configure the flow
1. Open your KYC flow and add **Government Registry Check**.
2. Under **Registry configuration**, set **Country** to **Ghana** and select **Ghana Card**, **Voter ID** or **Passport** under **Registry**.
3. Under **Identifier collection**, select **API** for a number supplied during session creation, or **SDK** for applicant entry when authorized. **Document** extraction is unavailable for Ghana checks.
4. For lookup-only checks, leave **Face matching** off. Voter ID and Passport are lookup-only. See [Ghana Card facial matching](#ghana-card-facial-matching) for the separately enabled facial option.
5. Save the flow and use its matching flow ID when creating a session.
### Ghana Card facial matching
Ghana Card facial matching is a separate, explicit configuration that requires a compatible release, an earlier **Liveness** step and an eligible session selfie. Confirm availability before enabling **Face matching**. It is not an automatic part of a successful lookup.
Facial matching requires the tighter card format `AAA-123456789-X`: three uppercase letters, nine digits, and a final uppercase letter or digit, separated by dashes. The illustrative `GHA-100000001-1` matches that format. A value accepted for a lookup may not be accepted for facial matching.
The facial decision is match or mismatch, not a numeric confidence score. Do not apply Nigeria's confidence threshold or the document Face Match Level to this decision. Do not silently replace a facial-required check with a lookup-only check when its requirements cannot be met. Voter ID and Passport do not support facial matching.
## 3. Supply an identifier from your backend
For a flow that allows API collection, add `governmentRegistryChecks` to your existing `POST /v2/sessions` request along with its other required fields. The request uses your organization's private `x-api-key` on your backend. This example shows only the additional fields:
```json
{
"governmentRegistryChecks": [
{
"country": "GH",
"registry": "CARD",
"identifier": "GHA-100000001-1"
}
]
}
```
Use the country/registry pair configured in the flow. Supply an identifier for each required API-only check. For a Voter ID or Passport flow, replace this entry's registry and identifier with the matching values in [Choose the check](#choose-the-check). Do not submit extra entries for checks absent from the flow.
Supply registry identifiers through `governmentRegistryChecks`, not through the `user` prefill object. The country/registry pair must match the configured flow check. Start the session through your existing [Web SDK integration](/docs/sdks/web-sdk).
## 4. Interpret the result
Review the check in the authorized dashboard session details and then review the whole-session verdict. A completed request or HTTP success response is not automatically a passed verification.
This is an illustrative nested `result` fragment from check execution, not a complete session response or a recorded live lookup:
```json
{
"country": "GH",
"registry": "CARD",
"source": "api",
"outcome": "verified",
"verificationStatus": "verified",
"verificationReason": "registry_lookup_verified"
}
```
The surrounding response also carries flow/session state. Check-level `verified` and `not_verified` are different from whole-session verdicts such as `successful` and `caution`.
* **Lookup succeeded:** `verified` / `registry_lookup_verified`. Registry lookup succeeded; lookup alone does not prove ownership.
* **Record not found:** `not_verified` / `registry_record_not_found`. No matching record was returned. Check the supplied identifier; do not treat this as verified.
* **Cross-check mismatch:** `not_verified` / `registry_cross_check_mismatch`. Inconclusive cross-check. Review the result rather than treating it as a match.
* **Facial decision:** `face_match_verified` / `face_match_failed`. Applies only to an explicitly enabled Ghana Card facial check. Keep facial decisions separate from lookup-only success.
* **Technical failure:** `provider_error`. Technical failure, not an identity mismatch. Safe reasons can include `provider_unavailable`, `provider_rate_limited`, `provider_rejected_request` or `provider_authentication_failed`.
Only authorized reviewers may see retained identity data. Fields and the government portrait depend on the returned record, retained data and compatible dashboard/API versions. Missing values remain missing; do not infer a date of birth or substitute the submitted selfie for a government portrait.
Retrieve check results through `GET /v2/users/{refId}`. Its `governmentRegistryChecks` array includes each configured check's lifecycle, last persisted verdict, and available normalized registry data. See the [response examples, fields, and data rules](/docs/kyc-api/get-user-verification#government-registry-checks).
## Troubleshooting and retries
### Feature disabled (403)
Code: `GOV_REGISTRY_CHECK_FEATURE_DISABLED`.
Confirm organization enablement with Vove ID. Repeated submission cannot enable access.
### SDK collection disabled (403)
Code: `GOV_REGISTRY_CHECK_USER_INPUT_DISABLED`.
SDK collection is not enabled. Use an approved API-source flow; do not bypass the restriction.
### Invalid format or unsupported pair
Check the country/registry pair and its format. Preserve letters, dashes and leading zeroes.
### Identifier required
Code: `GOV_REGISTRY_CHECK_IDENTIFIER_REQUIRED`.
Supply the identifier through the source allowed by the current flow.
### Web asks again after API prefill
Confirm the pair, source and Web version. Mixed API/SDK collection can still prompt; use an agreed API-only configuration when entry is not intended.
### Selfie required
Code: `GOV_REGISTRY_CHECK_SELFIE_REQUIRED`.
Complete the supported enrollment/Liveness path for an explicitly facial-required Ghana Card check. Do not downgrade required matching or start capture for a lookup-only check.
### Check is not current (409)
Code: `GOV_REGISTRY_CHECK_NOT_CURRENT`.
Resume the correct current step. Do not replay a different pair.
### Session inactive (409)
Code: `GOV_REGISTRY_CHECK_SESSION_INACTIVE`.
Stop retrying the inactive session and follow your documented recovery process.
### Network interruption, rate limit or temporary service failure
Use the retry action only when allowed by the current session and remaining attempts. Contact support if the problem persists.
Transient failures have bounded server retries; definitive results are not automatically retried. Do not expect automatic switching to another provider. Provider failures can consume step attempts and may end the session with a caution verdict when attempts are exhausted. Avoid concurrent retries or repeated new sessions to work around an unclear result.
See [errors](/docs/api-fundamentals/errors) and [API conventions](/docs/api-fundamentals/api-conventions).
## Protect customer information
Keep raw identifiers, returned records, portraits, selfies, private keys and session tokens out of logs, analytics and support tickets. Share only an appropriate session reference and safe error code through your approved support channel. Restrict stored results to authorized staff and apply your retention policy. Never copy raw provider responses into customer integrations.
# KYB overview
### Introduction to Know Your Business (KYB)
VOVE ID's KYB (Know Your Business) solution enables you to verify the identity and legitimacy of business entities as part of your compliance and onboarding process. The KYB integration allows you to collect and verify business information, documents, and Ultimate Beneficial Owners (UBOs) through a seamless workflow.
### What is KYB?
KYB is the business equivalent of KYC (Know Your Customer). It's a compliance process that verifies the identity of a business entity, its ownership structure, and the individuals who ultimately own or control the business (UBOs). This is essential for:
* Anti-Money Laundering (AML) compliance
* Risk assessment and due diligence
* Regulatory compliance (varies by jurisdiction)
* Fraud prevention
* Building trust with legitimate businesses
### Key Features
#### Business Verification
* Automated business search and verification using external data providers
* Support for multiple countries and jurisdictions
* Business registry data validation
* Document collection and verification
#### Document Management
* Upload and store business documents (registration certificates, licenses, etc.)
* AI-powered document analysis and data extraction
* Support for various document types
#### UBO Management
* Invite and verify Ultimate Beneficial Owners
* Individual KYC verification for each UBO
* Track UBO verification status
* Support for multiple UBOs per business
#### Website Analysis (Optional)
* Automated website verification and analysis
* Domain ownership verification
* Business activity validation
* Risk assessment based on online presence
### KYB Flow Architecture
The KYB verification process follows a structured 6-step workflow:
#### Step 1: Create KYB Case
> **Your Backend**
Call the KYB API to create a new verification case:
```http
POST /kyb/case
```
**Returns:**
* Verification token (valid 24 hours)
* Case ID and details
#### Step 2: Share Verification Link
> **Your Application**
Construct and send the verification link to your business customer:
```
https://web.voveid.net/kyb?authToken={token}&publicKey={publicKey}&environment=Sandbox
```
Send via email, SMS, or display directly in your application.
#### Step 3: Business Customer Completes Verification
> **Business Portal (Customer-Facing)**
The business customer accesses the portal and completes:
| Step | Description |
| --------------------- | ---------------------------------------------------------- |
| 📄 Upload Documents | Business registration certificates, licenses, etc. |
| 📝 Fill Business Form | Registration number, address, industry, etc. |
| 🔍 Business Search | Verify business in official registries |
| 👥 Invite UBOs | Add Ultimate Beneficial Owners for individual verification |
| ✅ Submit Case | Submit completed case for VOVE ID review |
Status progresses: `NOT_STARTED` → `IN_PROGRESS`
#### Step 4: Review the Case in the Dashboard
> **VOVE ID Dashboard**
Once the applicant submits the case, an authorized reviewer must open **KYB Cases** in the dashboard and review:
* Submitted business information and registry evidence
* Uploaded documents
* UBO verification results
* AML screening summaries
* Flags, website analysis, and case history when present
The reviewer records the appropriate approval, rejection, or reopen action in the dashboard.
Submission changes the status from `IN_PROGRESS` to `IN_REVIEW`. The case remains in review until the dashboard review is completed.
#### Step 5: Receive Webhook Notifications
> **Your Backend**
Real-time webhook events keep you informed:
```json
{
"kyb.case.in_progress": "Business started the hosted KYB flow",
"kyb.case.in_review": "Case submitted and awaiting review",
"kyb.case.completed": "Verification approved",
"kyb.case.rejected": "Verification rejected"
}
```
#### Step 6: Retrieve Case Details
> **Your Backend**
Retrieve the public case details contract for the completed or in-progress case:
```http
GET /kyb/case/{refId}/details
```
Use the case details response to inspect the submitted business information, documents, UBOs, AML screening summaries, and any available website analysis.
**Final statuses to watch for:**
* `COMPLETED` - Business verified and approved
* `REJECTED` - Verification failed (see rejection reasons)
### Case Status Lifecycle
A KYB case progresses through the following statuses:
* **NOT\_STARTED**: Case created, business has not yet accessed the verification portal
* **IN\_PROGRESS**: Business is actively completing the verification steps
* **IN\_REVIEW**: Business has submitted the case for review by VOVE ID
* **COMPLETED**: Verification approved, business is verified
* **REJECTED**: Verification rejected due to compliance or data issues
### KYB Flows
KYB flows are country-specific configurations that define:
* Required verification steps for businesses in that jurisdiction
* Required documents to collect
* KYC flow to use for UBO verification
* Optional steps like additional document upload
Each organization can create custom KYB flows tailored to their compliance requirements and the jurisdictions they operate in.
To discover the flow IDs available to your organization, use:
* `GET /kyb/flows` to list all available KYB flows
The list contains country-specific flows. There is no default KYB flow. Pass a flow when the case must use a specific country configuration, or omit it to let the applicant choose the business country in the hosted journey.
See [KYB Flows](/docs/business-verification/kyb-flows) for request and response examples.
### API Environments
**Sandbox**: `https://api.voveid.net`
**Production**: `https://api.voveid.com`
### Authentication
All KYB API requests require authentication using your API key in the request header:
```http
x-api-key: YOUR_API_KEY
```
**Security Note**: Never expose your API key in client-side code. All KYB case creation and management operations should be performed on your backend server.
### Getting Started
To integrate KYB into your application:
1. **Choose the country experience**: Select a country-specific flow when required, or let the applicant choose the business country
2. **Create KYB Case**: When a business needs verification, create a case via your backend
3. **Share Verification Link**: Provide the verification link to the business customer
4. **Set Up Webhooks**: Configure webhook endpoints to receive real-time status updates
5. **Retrieve Case Details**: Access the public case details contract and make business decisions
### Next Steps
* [KYB Flows](/docs/business-verification/kyb-flows) - Discover available KYB flow IDs for your organization
* [Create a KYB Case](/docs/business-verification/kyb-create-case) - Learn how to create cases and generate verification links
* [KYB Case Details](/docs/business-verification/kyb-case-management) - Retrieve the public KYB case details contract
* [KYB Webhooks](/docs/business-verification/kyb-webhooks) - Set up webhooks to receive verification updates
# KYB integration guide
Integrate KYB from flow selection through applicant submission and review.
This guide connects the KYB API, hosted applicant journey, webhooks, dashboard review, and final case retrieval.
## 1. Select a flow
Use `GET /kyb/flows` to list available country flows. There is no default KYB flow. Pass `flow` when you want to start with a specific country configuration. Omit `flow` to let the applicant choose the business country in the hosted journey.
Review its business-information fields, ownership and control questions, required documents, UBO KYC flow, registry search, and optional website analysis.
## 2. Create the case
Call [`POST /kyb/case`](/docs/business-verification/kyb-create-case) from your backend with a stable `refId`:
```json
{
"refId": "business-7f3d",
"flow": "66f000000000000000000010"
}
```
Persist the `refId` and returned case ID. Do not log the case token.
## 3. Deliver the hosted journey
Build the Sandbox URL:
```javascript
const url = new URL('/kyb', 'https://web.voveid.net');
url.searchParams.set('authToken', token);
url.searchParams.set('publicKey', 'public_sandbox_replace_me');
url.searchParams.set('environment', 'Sandbox');
```
Deliver it only to the intended applicant. The token expires after 24 hours. If it expires, create a new case or regenerate the token through your approved integration process.
## 4. Applicant completion
The applicant completes the steps configured by the selected flow. These can include:
* Business and registration information.
* Addresses and operating jurisdictions.
* Ownership, control, and related businesses.
* Supporting documents.
* Registry selection.
* UBO invitations and individual KYC.
* Website analysis.
The applicant reviews the entered information and submits the case for review.
## 5. Synchronize status
Verify and deduplicate [KYB webhooks](/docs/business-verification/kyb-webhooks). Store every transition, but retrieve the current case before applying a final decision.
| Status | Meaning | Recommended action |
| ------------- | -------------------------------- | ------------------------------------------------------------ |
| `NOT_STARTED` | Link issued; journey not started | Wait or reissue after token expiry |
| `IN_PROGRESS` | Applicant is completing steps | Keep onboarding pending |
| `IN_REVIEW` | Applicant submitted the case | Review it in **KYB Cases** in the dashboard |
| `COMPLETED` | Review completed | Retrieve details and apply the approved policy |
| `REJECTED` | Case rejected | Retrieve reason/details and apply the approved recovery path |
## 6. Review the case
Review every submitted case from **KYB Cases** in the VOVE ID dashboard. Compare submitted values with registry/provider evidence and documents. Review UBO results, AML summaries, website analysis, flags, notes, and history. Record the evidence and reason for every request, approval, rejection, or reopen action.
Automated extraction, scores, and external-data matches are supporting evidence, not independent approval authority.
## 7. Retrieve the final resource
```http
GET https://api.voveid.net/kyb/case/business-7f3d/details
x-api-key: vove_sandbox_replace_me
accept: application/json
```
See [Get KYB case details](/docs/business-verification/kyb-case-management) for the full response model.
## Recovery
| Problem | Action |
| --------------------------- | ----------------------------------------------------------------------------------- |
| Token expired | Create a new case or regenerate the token through your approved integration process |
| Wrong flow selected | Stop applicant work and confirm the replacement path before recreating |
| UBO cannot complete KYC | Preserve references and use the approved support or manual path |
| Registry match is ambiguous | Request evidence or escalate; do not select on name alone |
| Webhook is delayed | Retrieve case details and keep onboarding pending |
| Evidence conflicts | Escalate under your review policy and record the reason |
# Archive a KYB flow
Last updated: 2026-10-05
Archive a KYB flow when you no longer want to use it for new verifications. Existing verifications can continue, and historical cases keep their flow references and configuration.
## Before you begin
* Sign in to the dashboard with permission to update KYB flows.
* Check that you are working in the intended organization and environment.
* If your integration uses this flow for new verifications, switch it to an available, non-archived flow before archiving. Requests that supply an archived flow ID directly are also rejected.
## Archive the flow
1. Open the KYB flows page in the dashboard and find the flow you want to retire. Use **All flows** if it is not in your default list.
2. On the flow card, select the **Archive flow** action.
3. In the **Archive this flow?** confirmation dialog, check the flow name and review the effect on new verifications.
4. Select **Archive flow** to confirm, or **Cancel** to leave the flow unchanged.
5. Wait for the **Flow archived** confirmation. The flow leaves the default list and selectors used to start new verifications.
To find the flow later, select the **Archived** tab (the archived filter) on the KYB flows page.
## What happens to verifications?
| Verification | Effect of archiving |
| --------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- |
| New verification | Cannot start with the archived flow, whether selected in the dashboard or supplied directly through the API. Use an available, non-archived flow. |
| Existing verification | Can continue and finish after its flow is archived. |
| Historical case | Keeps its flow reference and configuration. Archiving does not delete the case or its verification records. |
Archiving does not change your data retention policy. Restoration and permanent deletion are not part of flow archiving.
## Troubleshooting
* **Archive action missing:** check your permission to update KYB flows and whether the flow is already under **Archived**.
* **Could not archive flow:** the dashboard has not confirmed a successful archive. Refresh the list to check its current state, then retry if needed.
* **New API verification rejected:** check whether the supplied flow ID is archived and update your integration to use an available, non-archived flow. Retrying the same archived flow ID will not make it available again.
# Discover KYB flows
List the country-specific KYB flows available to your organization.
`GET /kyb/flows` returns the country-specific KYB flows available to the authenticated organization.
Use this endpoint when you want to select a specific country flow for `POST /kyb/case`. There is no default KYB flow. Pass `flow` for a specific country configuration, or omit it to let the applicant choose the business country in the hosted journey.
## Request
```http
GET https://api.voveid.net/kyb/flows
x-api-key: vove_sandbox_replace_me
accept: application/json
```
This operation has no request body or query parameters.
## Response
A successful request returns a JSON array. An organization with no country-specific flows receives an empty array.
```json
[
{
"id": "680dbf0d3f6c8d7f0a123456",
"country": "US"
},
{
"id": "680dbf0d3f6c8d7f0a654321",
"country": "GB"
}
]
```
| Field | Type | Description |
| --------- | ------ | --------------------------------------------------------- |
| `id` | string | Flow identifier passed as `flow` when creating a KYB case |
| `country` | string | Country associated with the flow |
```typescript
type KybFlow = {
id: string;
country: string;
};
```
## cURL example
```bash
curl 'https://api.voveid.net/kyb/flows' \
--header 'accept: application/json' \
--header 'x-api-key: vove_sandbox_replace_me'
```
Do not hard-code a flow ID across Sandbox and Production. Store it with its environment and country, and list flows again when your configuration changes.
Continue with [Create a KYB case](/docs/business-verification/kyb-create-case).
# Create a KYB case
Create a KYB case and issue a short-lived hosted verification link.
Creates or resumes a business-verification case for a stable `refId`.
```http
POST https://api.voveid.net/kyb/case
x-api-key: vove_sandbox_replace_me
content-type: application/json
```
Call this endpoint from your backend. The response contains a case token that you deliver only to the intended business applicant.
## Request
```json
{
"refId": "business-7f3d",
"flow": "66f000000000000000000010"
}
```
### Body parameters
| Field | Type | Required | Default | Description |
| ------- | ------ | -------- | ------- | ------------------------------------------------------------------------------------------------------------------------ |
| `refId` | string | Yes | — | Stable business identifier from your system |
| `flow` | string | No | — | KYB flow identifier. Supply it to use a specific country flow; omit it to let the applicant choose the business country. |
There is no default KYB flow. When `flow` is omitted, the hosted journey lets the applicant choose the business country. Supply `flow` only when you want to start with a specific country flow. The create request accepts only `refId` and optional `flow`; the applicant supplies business data inside the hosted case flow.
### TypeScript shape
```typescript
type CreateKybCaseRequest = {
refId: string;
flow?: string;
};
```
## Response
```json
{
"kybCase": {
"_id": "66f000000000000000000011",
"refId": "business-7f3d",
"status": "NOT_STARTED",
"flow": "66f000000000000000000010"
},
"token": "eyJ...redacted"
}
```
### Response fields
| Field | Type | Description |
| ---------------- | ---------------- | ---------------------------------------------------------- |
| `kybCase._id` | string | VOVE ID case identifier |
| `kybCase.refId` | string | Your stable business identifier |
| `kybCase.status` | string | Initial status, normally `NOT_STARTED` |
| `kybCase.flow` | string, optional | Country-specific KYB flow identifier when one was selected |
| `token` | string | Short-lived token for the hosted business journey |
```typescript
type KybCaseStatus =
| 'NOT_STARTED'
| 'IN_PROGRESS'
| 'IN_REVIEW'
| 'COMPLETED'
| 'REJECTED';
type CreateKybCaseResponse = {
kybCase: {
_id: string;
refId: string;
status: KybCaseStatus | string;
flow?: string;
[field: string]: unknown;
};
token: string;
};
```
The token is valid for 24 hours. If it expires, create a new case or regenerate the token through your approved integration process.
## cURL example
```bash
curl --request POST 'https://api.voveid.net/kyb/case' \
--header 'content-type: application/json' \
--header 'x-api-key: vove_sandbox_replace_me' \
--data '{
"refId": "business-7f3d",
"flow": "66f000000000000000000010"
}'
```
## Generate the hosted link
Use the `/kyb` path for the matching environment:
```javascript
const verificationUrl = new URL('/kyb', 'https://web.voveid.net');
verificationUrl.searchParams.set('authToken', response.token);
verificationUrl.searchParams.set('publicKey', 'public_sandbox_replace_me');
verificationUrl.searchParams.set('environment', 'Sandbox');
```
Deliver this link over TLS or another authenticated channel bound to the intended applicant. Do not log the token, put it in analytics, or reuse it for another business.
## Errors
| Status | Typical cause | Action |
| ------ | ---------------------------------------------------- | ---------------------------------- |
| `400` | Invalid `refId`, flow, or request field | Correct the request |
| `401` | Missing or invalid private API key | Check backend secret configuration |
| `404` | The selected flow does not exist in this environment | Discover the available flows again |
## Next steps
1. Persist the case ID and `refId`.
2. Deliver the hosted link.
3. Receive [KYB webhooks](/docs/business-verification/kyb-webhooks).
4. Review the submitted case in **KYB Cases** in the VOVE ID dashboard.
5. Retrieve [case details](/docs/business-verification/kyb-case-management) before applying your final decision.
# Get KYB case details
### Retrieve the Public KYB Case Details Contract
This endpoint returns the customer-facing KYB case details payload for a single case. It is the public contract for retrieving structured KYB case details.
## Endpoint
* **Method**: `GET`
* **URL**: `/kyb/case/{refId}/details`
* **Authentication**: Required (`x-api-key` header)
## When to Use This Endpoint
Use this endpoint to retrieve structured KYB case details for a business using its `refId`.
## Request
### Headers
```http
x-api-key: YOUR_API_KEY
```
### Path Parameters
| Parameter | Type | Required | Description |
| --------- | ------ | -------- | ---------------------------------- |
| `refId` | string | Yes | Your reference ID for the KYB case |
### Example Request
```bash
curl -X GET https://api.voveid.net/kyb/case/business-7f3d/details \
-H "x-api-key: YOUR_API_KEY"
```
## Response
### Success Response
```json
{
"id": "664b1f...",
"refId": "CUST-REF-1",
"status": "IN_REVIEW",
"flagType": "NONE",
"businessName": "Acme Inc",
"flow": {
"id": "flow-1",
"title": "US KYB",
"country": "US"
},
"steps": [
{
"id": "form-business_information",
"type": "form",
"title": "Business information",
"fields": [
{
"key": "business_name",
"title": "Business name",
"value": "Acme Inc",
"type": "string",
"required": true
},
{
"key": "registration_number",
"title": "Registration number",
"value": "RC-99",
"type": "string",
"required": false
}
],
"enrichment": {
"names": {
"legalName": "ACME INCORPORATED"
},
"company": {
"legalForm": "LLC",
"yearStarted": 2010
}
}
},
{
"id": "form-business_address",
"type": "address",
"title": "Business address",
"fields": [
{
"key": "street",
"title": "Street",
"value": "Main St",
"type": "string",
"required": false,
"groupKey": "primary_address",
"groupTitle": "Primary"
},
{
"key": "city",
"title": "City",
"value": "NYC",
"type": "string",
"required": false,
"groupKey": "primary_address",
"groupTitle": "Primary"
}
]
},
{
"id": "documents-business_documents",
"type": "document",
"title": "Business documents",
"documents": [
{
"key": "certificate",
"title": "Certificate",
"required": false,
"file": {
"id": "uuid-cert",
"originalName": "certificate.pdf",
"mimeType": "application/pdf",
"size": 2048,
"createdAt": "2026-01-02T00:00:00.000Z",
"analysis": {
"matches": false
},
"url": "/kyb/case/CUST-REF-1/details/documents/uuid-cert"
}
}
],
"additionalFiles": [
{
"title": "Proof",
"file": {
"id": "uuid-extra",
"originalName": "extra.png",
"mimeType": "image/png",
"size": 512,
"createdAt": "2026-01-03T00:00:00.000Z",
"url": "/kyb/case/CUST-REF-1/details/documents/uuid-extra"
}
}
]
},
{
"id": "ubos-ubos_information",
"type": "ubo",
"title": "Beneficial owners",
"ubos": [
{
"refId": "ubo-1",
"status": "completed",
"fields": [
{
"key": "full_name",
"title": "Full name",
"value": "Jane Doe",
"type": "string",
"required": false
},
{
"key": "email",
"title": "Email",
"value": "jane@acme.test",
"type": "string",
"required": false,
"format": "email"
}
]
}
]
},
{
"id": "form-related_businesses",
"type": "relatedBusinesses",
"title": "Related businesses",
"relatedBusinesses": [
{
"refId": "rb-1",
"fields": [
{
"key": "business_name",
"title": "Business name",
"value": "Acme Sub LLC",
"type": "string",
"required": false
}
],
"enrichment": {
"names": {
"legalName": "ACME SUB LLC"
}
}
}
]
}
],
"amlScreening": {
"primary": [
{
"refId": "CUST-REF-1",
"name": "Acme Inc",
"status": "NO_MATCH",
"businessRole": "primary",
"businessName": "Acme Inc",
"caseType": "Entity",
"sourceType": "KYB",
"totalHits": 0,
"createdAt": "2026-01-02T00:00:00.000Z"
}
],
"related": [
{
"refId": "rb-1",
"name": "Acme Sub LLC",
"status": "IN_REVIEW",
"businessRole": "related",
"businessName": "Acme Sub LLC",
"caseType": "Entity",
"sourceType": "KYB",
"totalHits": 3
}
]
},
"websiteAnalysis": {
"domain": "acme.test",
"status": "SUCCESS",
"initiatedAt": "2026-01-04T00:00:00.000Z",
"completedAt": "2026-01-04T01:00:00.000Z",
"data": {
"score": 88
}
},
"reopenHistory": [
{
"stepIds": [
"form-business_information"
],
"reason": "Need clearer docs",
"reopenedAt": "2026-01-05T00:00:00.000Z"
}
],
"createdAt": "2026-01-01T00:00:00.000Z",
"updatedAt": "2026-01-06T00:00:00.000Z"
}
```
## Response Fields
### Top-Level Fields
| Field | Type | Description |
| ----------------- | ------------------------ | ---------------------------------------------------------------------------------- |
| `id` | string | KYB case ID |
| `refId` | string | Your reference ID for the case |
| `status` | string | Case status: `NOT_STARTED`, `IN_PROGRESS`, `IN_REVIEW`, `COMPLETED`, or `REJECTED` |
| `flagType` | string, optional | Risk flag level such as `NONE`, `LOW`, `MEDIUM`, or `HIGH` |
| `businessName` | string or null, optional | Primary business name |
| `flow` | object | Flow context for the case |
| `steps` | array | Ordered case steps and collected data |
| `amlScreening` | object | AML screening summaries for the primary and related businesses |
| `websiteAnalysis` | object, optional | Website analysis summary if available |
| `reopenHistory` | array | Reopen events for the case |
| `createdAt` | string, optional | Case creation timestamp in ISO 8601 format |
| `updatedAt` | string, optional | Last update timestamp in ISO 8601 format |
### `flow`
| Field | Type | Description |
| -------------- | ---------------- | ------------------------------------- |
| `flow.id` | string | Flow ID |
| `flow.title` | string, optional | Flow title |
| `flow.country` | string, optional | Country code associated with the flow |
### `steps`
Each entry in `steps` has:
| Field | Type | Description |
| ------- | ------ | ----------------------------------------------------------------------- |
| `id` | string | Step ID |
| `type` | string | Step type: `form`, `address`, `document`, `ubo`, or `relatedBusinesses` |
| `title` | string | Human-readable step title |
Depending on `type`, additional keys are populated:
| Step Type | Additional Fields |
| ------------------- | ------------------------------------ |
| `form` | `fields`, and sometimes `enrichment` |
| `address` | `fields` |
| `document` | `documents`, `additionalFiles` |
| `ubo` | `ubos` |
| `relatedBusinesses` | `relatedBusinesses` |
### `fields`
A field object has:
| Field | Type | Description |
| ------------ | ------------------------------------ | --------------------------------------------- |
| `key` | string | Schema key for the field |
| `title` | string | Display label |
| `value` | any | Submitted value |
| `type` | string or array of strings, optional | Field type metadata |
| `required` | boolean | Whether the field is required in the flow |
| `format` | string, optional | Additional format information such as `email` |
| `groupKey` | string, optional | Group identifier for nested field groups |
| `groupTitle` | string, optional | Group title for nested field groups |
### `enrichment`
Normalized business enrichment data may include:
| Field | Type | Description |
| ------------ | ---------------- | --------------------------------------------------- |
| `names` | object, optional | Normalized business names |
| `address` | object, optional | Normalized business address |
| `geo` | object, optional | Geographic coordinates and precision |
| `industry` | array, optional | Industry classifications |
| `company` | object, optional | Company metadata such as legal form or year started |
| `workforce` | object, optional | Employee counts and confidence |
| `financials` | object, optional | Revenue and financial summary data |
### Documents
`documents` contains expected document slots for a step. `additionalFiles` contains extra supporting uploads.
Each resolved `file` can include:
| Field | Type | Description |
| ------------------ | ----------------- | --------------------------------------------------------- |
| `id` | string | Public document ID |
| `originalName` | string | Original uploaded filename |
| `mimeType` | string | File MIME type |
| `size` | number | File size in bytes |
| `createdAt` | string, optional | Upload timestamp in ISO 8601 format |
| `analysis.matches` | boolean, optional | Whether the uploaded file matched the expected document |
| `url` | string | API path for retrieving a short-lived signed download URL |
## Document Access
Files do not contain direct storage URLs. Instead, use the `file.url` value, which points to:
```http
GET /kyb/case/{refId}/details/documents/{documentId}
```
This endpoint returns:
```json
{
"url": "https://storage.googleapis.com/...signed...",
"expiresIn": 900
}
```
| Field | Type | Description |
| ----------- | ------ | ------------------------------- |
| `url` | string | Short-lived signed download URL |
| `expiresIn` | number | URL lifetime in seconds |
Fetch a fresh URL when the previous signed URL expires.
## AML Screening
The `amlScreening` object contains:
| Field | Type | Description |
| --------- | ----- | -------------------------------------- |
| `primary` | array | AML summaries for the primary business |
| `related` | array | AML summaries for related businesses |
Each AML summary can include:
| Field | Type | Description |
| -------------- | ---------------- | ------------------------------------------ |
| `refId` | string, optional | Reference ID for the screened entity |
| `name` | string, optional | Display name used for screening |
| `status` | string | Screening status |
| `businessRole` | string | `primary` or `related` |
| `businessName` | string, optional | Business name associated with the AML case |
| `caseType` | string, optional | AML case type |
| `sourceType` | string, optional | Source type for the AML case |
| `totalHits` | number, optional | Total number of AML hits |
| `createdAt` | string, optional | AML case creation timestamp |
| `reviewedAt` | string, optional | AML review timestamp |
## Website Analysis
If website analysis is available, the response may include:
| Field | Type | Description |
| ------------- | ---------------- | ------------------------------------------------------------ |
| `domain` | string | Analyzed domain |
| `status` | string, optional | Analysis status |
| `initiatedAt` | string, optional | Analysis start timestamp |
| `completedAt` | string, optional | Analysis completion timestamp |
| `data` | object, optional | Provider-defined analysis data that is safe for customer use |
## Reopen History
Each reopen entry contains:
| Field | Type | Description |
| ------------ | ---------------- | ---------------------------- |
| `stepIds` | array of strings | IDs of the reopened steps |
| `reason` | string, optional | Reason the case was reopened |
| `reopenedAt` | string, optional | Reopen timestamp |
## Intentionally Excluded Fields
The public contract intentionally excludes internal-only and provider-sensitive data, including:
* Organization ownership data and MongoDB internals such as `__v`
* Dashboard-only URLs
* Raw provider enrichment payloads
* Raw AML hit records, reviewer notes, and reviewer IDs
* Provider correlation IDs inside website analysis payloads
* Internal UBO user IDs
* Internal step-state details
* Session expiry data
* Detailed document analysis internals such as confidence, reasoning, and markdown
* Reopen actor IDs
## Notes
* This endpoint is organization-scoped through the API key used on the request.
* The response is additive to the existing raw case endpoints and is intended for stable customer integrations.
* The full audit timeline is not included in this response.
## Error Responses
### 401 Unauthorized
```json
{
"statusCode": 401,
"message": "Invalid API key"
}
```
### 404 Not Found
```json
{
"statusCode": 404,
"message": "KYB case not found"
}
```
## Related Documentation
* [KYB Overview](/docs/business-verification/kyb-overview) - Understand the KYB verification flow
* [Create KYB Case](/docs/business-verification/kyb-create-case) - Create a case and generate the business verification link
* [KYB Webhooks](/docs/business-verification/kyb-webhooks) - Receive real-time KYB status updates
# KYB webhooks
Receive KYB status updates and reconcile the current case.
KYB events use the same Svix headers, raw-body verification, delivery ID, and retry behavior described in [Webhooks](/docs/kyc-api/webhooks).
## Events
| Event | Payload status | Meaning |
| ---------------------- | -------------- | --------------------------------------------- |
| `kyb.case.in_progress` | `IN_PROGRESS` | The applicant started the case |
| `kyb.case.in_review` | `IN_REVIEW` | The applicant submitted the case for review |
| `kyb.case.completed` | `COMPLETED` | Review completed under the configured process |
| `kyb.case.rejected` | `REJECTED` | Review rejected the case |
There is no public `kyb.case.created` event. Persist the `POST /kyb/case` response as the creation record. `NOT_STARTED` does not emit a status event.
## Representative payloads
### In review
```json
{
"refId": "business-7f3d",
"status": "IN_REVIEW",
"previousStatus": "IN_PROGRESS"
}
```
### Completed
```json
{
"refId": "business-7f3d",
"status": "COMPLETED",
"previousStatus": "IN_REVIEW"
}
```
### Rejected
```json
{
"refId": "business-7f3d",
"status": "REJECTED",
"previousStatus": "IN_REVIEW",
"reason": "DOCUMENT_MISMATCH"
}
```
Fields other than `refId` and `status` depend on the transition. Tolerate additive fields.
## Payload type
```typescript
type KybWebhookStatus =
| 'IN_PROGRESS'
| 'IN_REVIEW'
| 'COMPLETED'
| 'REJECTED';
type KybWebhookPayload = {
refId: string;
status: KybWebhookStatus | string;
previousStatus?: string;
reason?: string;
[field: string]: unknown;
};
```
## Node.js handler
```javascript
import express from 'express';
import { Webhook } from 'svix';
const app = express();
app.post('/webhooks/vove/kyb', express.raw({ type: 'application/json' }), async (req, res) => {
let event;
try {
event = new Webhook(process.env.VOVE_WEBHOOK_SECRET).verify(req.body, {
'svix-id': req.header('svix-id'),
'svix-timestamp': req.header('svix-timestamp'),
'svix-signature': req.header('svix-signature'),
});
} catch {
return res.sendStatus(400);
}
await storeOnceAndEnqueue(req.header('svix-id'), event);
return res.sendStatus(204);
});
```
Register the route before global JSON middleware. Deduplicate on `svix-id`, not `refId`.
## Processing example
```javascript
async function processKybEvent(event) {
const { refId, status } = event;
switch (status) {
case 'IN_PROGRESS':
case 'IN_REVIEW':
await updateLocalCase(refId, { status });
return;
case 'COMPLETED':
case 'REJECTED': {
const currentCase = await retrieveKybCase(refId);
await applyReviewedBusinessDecision(currentCase);
return;
}
default:
await flagUnknownKybStatus(refId, status);
}
}
```
For `COMPLETED` and `REJECTED`, retrieve `GET /kyb/case/{refId}/details` before applying your business decision.
## Idempotency and ordering
* Store every `svix-id` with a unique constraint.
* Expect duplicate and out-of-order deliveries.
* Do not overwrite a newer local state with an older event.
* Use the current case resource as the final authority.
* Return `2xx` after durable storage and before slow business processing.
## Testing
Use a fictional Sandbox case to verify:
1. A valid event returns `204`.
2. A changed body or invalid signature returns `400`.
3. Replaying the same delivery does not repeat a business action.
4. An out-of-order event does not move the case backwards.
5. A terminal event triggers case-detail retrieval.
## Troubleshooting
| Problem | Check |
| --------------------------------- | ----------------------------------------------------------------- |
| Signature verification fails | Raw body, matching environment secret, and all three Svix headers |
| Event is delivered repeatedly | Endpoint response status and processing time |
| Case cannot be correlated | The original `refId` persisted from case creation |
| Payload lacks optional fields | Branch only on documented required fields and retrieve the case |
| Local and webhook statuses differ | Retrieve current case details and prefer the latest server state |
# AML operations guide
Configure AML screening and review matches without turning a search result into an unsupported conclusion.
VOVE ID provides configured watchlist-search evidence. Your organization owns source selection, matching thresholds, review policy, legal basis, retention, and final decisions.
## Create a screening case
1. Select an approved active flow in the VOVE ID dashboard.
2. Send the subject's name and any permitted date-of-birth or gender data to `POST /aml/case`.
3. Include a stable `refId` so you can reconcile the case with your own records.
4. Review possible matches in the dashboard and record the evidence required by your policy.
## Configure a reusable flow
1. Give the flow a name that describes its purpose and population.
2. Choose `INDIVIDUAL` or `ENTITY`, at least one current source, and a fuzzy-search mode.
3. Test fictional or otherwise authorized positive, negative, transliteration, and boundary fixtures.
4. Activate the flow only after the responsible compliance owner approves the configuration.
Create and update AML flows in the VOVE ID dashboard. Changing a source or matching sensitivity changes the meaning of later results, so test the flow again after material changes.
## Interpret an initial result
| Status | Operational meaning |
| ----------- | ------------------------------------------------------------------------------------------------------------------- |
| `NO_MATCH` | No record matched the sources and settings used. This is not proof that the subject is absent from every watchlist. |
| `IN_REVIEW` | At least one possible match needs an authorized human review. |
| `CLEARED` | An authorized reviewer cleared the case with supporting evidence. |
| `REJECTED` | An authorized reviewer confirmed a match or rejected the case under policy. |
Do not map `NO_MATCH` to “clean,” “valid,” or a universal approval. Source availability, data quality, and search configuration all limit what it means.
## Review a possible match
1. Confirm the subject, flow, source set, query date, and correlation identifiers.
2. Compare names and aliases, date of birth or incorporation, citizenship or jurisdiction, source records, positions, and other permitted contextual evidence.
3. Do not decide from the match score alone.
4. If evidence is insufficient, keep the case `IN_REVIEW` and escalate.
5. Record the selected match, reason, a specific note, the authenticated reviewer, and the evidence used.
## Integrate the review lifecycle
Create cases with a stable `refId` to receive status webhooks. In the receiver:
1. verify the Svix signature over the raw request body;
2. deduplicate on `svix-id`;
3. acknowledge quickly;
4. retrieve `GET /aml/case/{refId}` in an asynchronous worker;
5. apply your business policy to the current resource.
If a source is unavailable, a flow is inactive, evidence conflicts, or a status is unknown, keep the subject pending and escalate. Never substitute a no-result outcome.
See the [AML API](/docs/watchlist-screening/aml-screening), [webhook guide](/docs/kyc-api/webhooks), and [production checklist](/docs/production-readiness).
# AML API reference
Create and review AML screening cases with an existing flow.
The AML API creates persistent screening cases with a status and audit trail.
AML routes use the unversioned API origin. Sandbox requests start with `https://api.voveid.net/aml`; Production requests start with `https://api.voveid.com/aml`. Send your private API key in the `x-api-key` header from your backend.
> A screening result is evidence, not a final compliance decision. Review possible matches according to your organization's policy.
## Configure AML flows
AML flows define which watchlists to search, whether the subject is an individual or entity, and the matching sensitivity. Create and manage flows in the VOVE ID dashboard under **AML Screening → Screening Flows**.
Use clear names such as “Standard individual screening” or “High-risk entity screening.” Before using a flow in Production, test it with approved sample data and confirm that its sources and matching settings meet your compliance requirements.
## Create an AML case
`POST /aml/case`
Creates a persistent AML case and runs the screening with an existing active flow. Use this workflow when you need to review matches, track the case status, or receive status webhooks.
### Request body
| Field | Type | Required | Description |
| ---------------------- | ------ | -------- | -------------------------------------------------- |
| `flowId` | string | Yes | ID of the active AML flow used for screening. |
| `screeningData` | object | Yes | Person or entity data to screen. |
| `screeningData.name` | string | Yes | Full name of the person or entity. |
| `screeningData.dob` | string | No | Date of birth in `DD.MM.YYYY` format. |
| `screeningData.gender` | enum | No | `male` or `female`. |
| `refId` | string | Yes | Your internal reference ID for tracking this case. |
```typescript
type AmlGender = 'male' | 'female';
type AmlCaseStatus = 'NO_MATCH' | 'IN_REVIEW' | 'CLEARED' | 'REJECTED';
interface CreateAmlCaseRequest {
flowId: string;
screeningData: {
name: string;
dob?: string;
gender?: AmlGender;
};
refId: string;
}
interface AmlCase {
id: string;
flowId: string;
screeningData: CreateAmlCaseRequest['screeningData'];
status: AmlCaseStatus;
refId: string;
createdAt: string;
updatedAt: string;
}
```
### Example request
```bash
curl https://api.voveid.net/aml/case \
--request POST \
--header "Content-Type: application/json" \
--header "x-api-key: $VOVE_API_KEY" \
--data '{
"flowId": "507f1f77bcf86cd799439011",
"screeningData": {
"name": "John Doe",
"dob": "15.03.1985",
"gender": "male"
},
"refId": "customer-12345"
}'
```
### Example response
```json
{
"id": "507f1f77bcf86cd799439014",
"flowId": "507f1f77bcf86cd799439011",
"screeningData": {
"name": "John Doe",
"dob": "15.03.1985",
"gender": "male"
},
"status": "IN_REVIEW",
"refId": "customer-12345",
"createdAt": "2024-01-15T10:30:00.000Z",
"updatedAt": "2024-01-15T10:30:00.000Z"
}
```
The initial status is:
* `NO_MATCH` when the configured screening returns no matches.
* `IN_REVIEW` when a possible match requires manual review.
The response does not include sensitive hit details. Review possible matches in the dashboard.
## List AML cases
`GET /aml/case`
Returns a paginated list of your organization's AML cases. Filter by status or creation date to support review queues and reconciliation jobs.
### Query parameters
| Parameter | Type | Required | Default | Description |
| ----------- | --------------- | -------- | ------- | -------------------------------------------------- |
| `page` | number | No | `1` | One-indexed page number. |
| `limit` | number | No | `10` | Number of cases per page. |
| `status` | enum | No | — | `NO_MATCH`, `IN_REVIEW`, `CLEARED`, or `REJECTED`. |
| `startDate` | ISO 8601 string | No | — | Include cases created at or after this time. |
| `endDate` | ISO 8601 string | No | — | Include cases created at or before this time. |
### Example request
```bash
curl "https://api.voveid.net/aml/case?page=1&limit=20&status=IN_REVIEW" \
--header "x-api-key: $VOVE_API_KEY"
```
### Example response
```json
{
"data": [
{
"id": "507f1f77bcf86cd799439014",
"flowId": "507f1f77bcf86cd799439011",
"screeningData": {
"name": "John Doe",
"dob": "15.03.1985",
"gender": "male"
},
"status": "IN_REVIEW",
"refId": "customer-12345",
"createdAt": "2024-01-15T10:30:00.000Z",
"updatedAt": "2024-01-15T10:30:00.000Z"
}
],
"total": 42,
"page": 1,
"limit": 20
}
```
```typescript
interface AmlCaseListResponse {
data: AmlCase[];
total: number;
page: number;
limit: number;
}
```
To filter by date range:
```bash
curl "https://api.voveid.net/aml/case?startDate=2024-01-01T00:00:00.000Z&endDate=2024-01-31T23:59:59.999Z" \
--header "x-api-key: $VOVE_API_KEY"
```
## Get an AML case by reference ID
`GET /aml/case/{refId}`
Retrieves one case using the `refId` you supplied when creating it.
| Path parameter | Type | Required | Description |
| -------------- | ------ | -------- | ----------------------------- |
| `refId` | string | Yes | Your internal case reference. |
```bash
curl https://api.voveid.net/aml/case/customer-12345 \
--header "x-api-key: $VOVE_API_KEY"
```
The response uses the `AmlCase` shape shown above. A `404 Not Found` response means the reference does not exist or does not belong to your organization.
## Webhook events
VOVE ID sends AML webhooks when a case is created or its status changes. Webhooks are sent only when the case has a `refId`.
| Event | Status |
| -------------------- | ----------- |
| `user.aml.no_match` | `NO_MATCH` |
| `user.aml.in_review` | `IN_REVIEW` |
| `user.aml.cleared` | `CLEARED` |
| `user.aml.rejected` | `REJECTED` |
```json
{
"refId": "customer-12345",
"status": "IN_REVIEW"
}
```
Case creation with `POST /aml/case` can trigger a webhook when the case has a `refId`.
Verify the Svix signature, deduplicate events using `svix-id`, and retrieve the current case before applying a consequential decision. See [Webhooks](/docs/kyc-api/webhooks).
## Errors
| HTTP status | Meaning | Recommended action |
| ----------- | ----------------------------------------- | ----------------------------------------------------------------- |
| `400` | Invalid request data or an inactive flow. | Correct the request before trying again. |
| `401` | Missing or invalid API key. | Check the environment and private key. |
| `404` | Flow or case not found. | Check the identifier and environment. |
| `429` | Rate limit exceeded. | Retry with bounded backoff. |
| `500` | Unexpected server error. | Retry safely with backoff and reconcile before repeating a write. |
```json
{
"statusCode": 400,
"message": "Date of birth must be in DD.MM.YYYY format",
"error": "Bad Request"
}
```
## Integration guidance
* Keep the private API key on your backend.
* Use a stable, non-sensitive `refId` for each subject.
* Use AML cases when you need review history or webhooks.
* Review names, aliases, dates, citizenship, positions, and source details. Do not decide from a score alone.
* Treat unknown statuses as pending review.
* Do not log full screening payloads or watchlist records.
Continue with the [AML operations guide](/docs/watchlist-screening/aml-operations) for the analyst and reviewer workflow.
# Compatibility matrix
Choose the VOVE ID SDK for your client platform.
Use the SDK guide for your client platform and install the package version your team has tested and approved. Check that version's release notes for version-specific changes.
| Platform | Installation | Guide |
| ------------ | ------------------------------------ | ------------------------------------------- |
| Web | npm or Yarn | [Web SDK](/docs/sdks/web-sdk) |
| iOS | CocoaPods or Swift Package Manager | [iOS SDK](/docs/sdks/ios-sdk) |
| Android | Gradle with JitPack | [Android SDK](/docs/sdks/android-sdk) |
| React Native | npm or Yarn with native installation | [React Native SDK](/docs/sdks/react-native) |
| Flutter | pub with native platform setup | [Flutter SDK](/docs/sdks/flutter) |
## Shared lifecycle
1. Your backend creates a session with `POST /v2/sessions`.
2. The intended client receives the short-lived token and matching public key.
3. The client initializes its SDK and starts the journey.
4. Your backend receives and verifies the webhook.
5. Your backend retrieves `GET /v2/users/{refId}` before applying the final decision.
Each SDK uses its own enum names and casing. Follow the platform guide and the declarations shipped with the installed package.
## Upgrades
Before upgrading, review the SDK release notes, pin the chosen version, compile a minimal integration, test permissions on physical devices, exercise every documented result branch, and repeat the webhook and result-retrieval flow.
# Web SDK
Start the VOVE ID verification journey from a web application.
For Ghana identifier collection and API-only checks, see [Government Registry Check: Ghana](/docs/kyc-api/government-registry-check-ghana). Organization enablement and a compatible Web verification release are required; mixed API/SDK collection does not guarantee that identifier entry is skipped.
The Web SDK opens the VOVE ID verification journey and returns the client-side outcome through a callback.
## Install
```bash
npm install @vove-id/web-sdk
```
Or:
```bash
yarn add @vove-id/web-sdk
```
Create the session token on your backend. Never put the private `x-api-key` in browser code.
## Start a verification
```typescript
import { Vove, VoveEnvironment } from '@vove-id/web-sdk';
const vove = new Vove();
vove.start({
sessionToken: tokenFromYourBackend,
publicKey: 'public_sandbox_replace_me',
environment: VoveEnvironment.Sandbox,
showUI: true,
onVerificationComplete(status) {
handleVerificationStatus(status);
},
});
```
Use `VoveEnvironment.Sandbox` with Sandbox credentials and `VoveEnvironment.Production` with Production credentials.
The callback drives the browser experience. Confirm the current server-side result after a verified webhook before making a final decision.
## Configuration
```typescript
type VoveStatus = 'success' | 'pending' | 'canceled' | 'failed';
interface VoveConfig {
sessionToken: string;
publicKey: string;
environment: VoveEnvironment;
onVerificationComplete?: (status: VoveStatus) => void;
showUI?: boolean;
}
```
| Field | Required | Description |
| ------------------------ | -------- | ---------------------------------------------------------------------------- |
| `sessionToken` | Yes | Short-lived token created by your backend. |
| `publicKey` | Yes | Public SDK key from the same environment as the token. |
| `environment` | Yes | `VoveEnvironment.Sandbox` or `VoveEnvironment.Production`. |
| `onVerificationComplete` | No | Receives the verification outcome. |
| `showUI` | No | Shows or hides the built-in welcome and summary screens. Defaults to `true`. |
The type sketch documents the fields used by `start`; use the declarations shipped with your installed package as the compile-time authority.
## Handle every callback status
```typescript
function handleVerificationStatus(status: VoveStatus) {
switch (status) {
case 'success':
showAwaitingServerConfirmation();
break;
case 'pending':
showPendingReview();
break;
case 'canceled':
showVerificationCanceled();
break;
case 'failed':
showVerificationFailed();
break;
}
}
```
## Hosted-link alternative
You can also open the hosted verification journey directly. Build the URL with `URLSearchParams` so values such as the redirect URL are encoded correctly.
```typescript
const params = new URLSearchParams({
authToken: tokenFromYourBackend,
publicKey: 'public_sandbox_replace_me',
environment: 'Sandbox',
lg: 'en',
enableVocalGuidance: 'false',
showUI: 'true',
redirectURL: 'https://app.example.com/verification-callback',
});
window.location.assign('https://web.voveid.net/?' + params.toString());
```
The redirect can contain a `status` query parameter. Treat it as client input and confirm the result on your backend.
## Troubleshooting
| Symptom | Check |
| ------------------------------------- | ----------------------------------------------------------------------- |
| The journey does not start | Confirm the public key, session token, and environment match. |
| The token is rejected | Request a fresh token from your backend; do not reuse an expired token. |
| The callback does not run | Check browser errors and confirm the journey reached an outcome. |
| The hosted redirect is malformed | Construct the URL with `URLSearchParams`. |
| Sandbox works but Production does not | Confirm Production access and the approved domain configuration. |
See [session creation](/docs/kyc-api/verification-session), [webhooks](/docs/kyc-api/webhooks), and [production readiness](/docs/production-readiness).
# iOS SDK
Integrate VOVE ID verification in a native iOS application.
Use the SDK version your team has tested and approved. Swift Package Manager requires Swift 5.3 or later. Run verification tests on a physical device because camera and document features are hardware-dependent.
## Install
### CocoaPods
```ruby
pod 'VoveSDK'
```
Then run:
```bash
pod install
```
Open the generated `.xcworkspace`.
### Swift Package Manager
In Xcode, choose **File → Add Package Dependencies** and add:
```
https://github.com/vove-id/vove-id-ios
```
Select the `VoveSDK` product and a dependency rule compatible with your release policy.
## Camera permission
Add a clear, user-facing reason to `Info.plist`:
```xml
NSCameraUsageDescriptionWe use the camera to verify your identity.
```
Request permission before launching the journey and provide a recovery path when the user denies it.
## Initialize
Initialize once with the client-safe public key:
```swift
import VoveSDK
Vove.initialize(
publicKey: "PUBLIC_KEY",
environment: "ENVIRONMENT"
) { result in
switch result {
case .success:
print("VOVE ID initialized")
case .failure:
showInitializationError()
}
}
```
Keep the public key, session token, and environment aligned. VOVE ID environments are Sandbox and Production.
## Start a verification
Retrieve the session token from your backend immediately before starting:
```swift
let configuration = VoveStartConfiguration(
showUI: true,
maxAttemptsActionCallback: {
showSupportOptions()
},
exitAfterEachStep: false
)
Vove.start(
sessionToken: sessionTokenFromBackend,
configuration: configuration
) { payload in
guard let payload else {
showJourneyError()
return
}
switch payload.result {
case .success:
showAwaitingServerConfirmation()
case .pending:
showPendingReview()
case .failure:
showVerificationFailed()
case .canceled:
showVerificationCanceled()
case .maxAttempts:
showSupportOptions()
case .inProgress:
if let nextStep = payload.nextStep {
storeNextStep(nextStep)
}
}
}
```
The completion payload drives app UI only. Your backend should verify the webhook and retrieve the current KYC resource before making a final decision.
## Documented values
The verification result values are `.success`, `.failure`, `.pending`, `.canceled`, `.maxAttempts`, and `.inProgress`.
`VoveStartConfiguration` accepts `showUI`, `maxAttemptsActionCallback`, and `exitAfterEachStep`. Supported locale values are `.en`, `.fr`, `.de`, `.ar`, and `.arMA`. Use the declarations shipped with your installed SDK as the compile-time authority.
## Step-by-step journeys
Set `exitAfterEachStep` to `true` when your app needs to regain control between configured verification steps:
```swift
let configuration = VoveStartConfiguration(
showUI: false,
maxAttemptsActionCallback: nil,
exitAfterEachStep: true
)
Vove.start(sessionToken: token, configuration: configuration) { payload in
guard let payload else { return }
if payload.result == .inProgress {
routeToInterstepScreen(nextStep: payload.nextStep)
}
}
```
Persist the server-side `refId`, not only the client-side next step. A new app launch should retrieve current state rather than assuming the previous callback was delivered.
## Locale and vocal guidance
```swift
Vove.setLocal(local: .fr)
Vove.setVocalGuidanceEnabled(true)
```
Supported locales are:
| Value | Language |
| ------- | --------------- |
| `.en` | English |
| `.fr` | French |
| `.de` | German |
| `.ar` | Arabic |
| `.arMA` | Moroccan Arabic |
Test right-to-left layouts when using `.ar` or `.arMA`, and make sure spoken guidance does not conflict with your accessibility experience.
## NFC-enabled flows
If your approved flow includes NFC document reading, add only the capabilities, entitlements, and ISO 7816 identifiers supplied for that flow. Broad or speculative entitlement declarations can delay App Store review.
## Troubleshooting
| Symptom | Check |
| ------------------------- | ----------------------------------------------------------------------------------------------------- |
| Module cannot be imported | Confirm the package product is linked to the app target and clean Xcode's package cache if necessary. |
| Camera is unavailable | Test on a physical device, confirm `NSCameraUsageDescription`, and inspect authorization state. |
| Initialization fails | Confirm the public key, session token, and environment match. |
| Session immediately exits | Confirm token freshness and that it was created for the same environment. |
| No `nextStep` is returned | It is expected only for a step-by-step journey when another step remains. |
See [SDK compatibility](/docs/sdks/compatibility), [session creation](/docs/kyc-api/verification-session), and [production readiness](/docs/production-readiness).
# Android SDK
Integrate VOVE ID verification in a native Android application.
Use the SDK version your team has tested and approved.
## Install
Add JitPack to dependency resolution:
```kotlin
dependencyResolutionManagement {
repositoriesMode.set(RepositoriesMode.FAIL_ON_PROJECT_REPOS)
repositories {
google()
mavenCentral()
maven(url = "https://jitpack.io")
}
}
```
Add the SDK:
```kotlin
dependencies {
implementation("com.github.VOVE-ID:vove-id-android:1.5.0")
}
```
## Camera permission
Add the manifest permission:
```xml
```
Request it at runtime before starting and show a settings/recovery path if the user denies it permanently.
## Initialize and start
Initialize once, then start using a fresh token from your backend:
```kotlin
Vove.initialize(applicationContext, "ENVIRONMENT", "PUBLIC_KEY") { initialized ->
if (!initialized) showInitializationError()
}
val options = Vove.StartOptions(
showUI = true,
maxAttemptsCallback = object : MaxAttemptsCallback {
override fun onMaxAttemptsActionClicked() {
showSupportOptions()
}
},
exitAfterEachStep = false
)
Vove.start(this, sessionTokenFromBackend, { payload: VerificationPayload ->
when (payload.result) {
VerificationResult.SUCCESS -> showAwaitingServerConfirmation()
VerificationResult.PENDING -> showPendingReview()
VerificationResult.CANCELLED -> showVerificationCanceled()
VerificationResult.MAX_ATTEMPTS_REACHED -> showSupportOptions()
VerificationResult.IN_PROGRESS -> storeNextStep(payload.nextStep)
}
}, options)
```
The SDK payload is a client journey signal. Reconcile it on your backend using a verified webhook and `GET /v2/users/{refId}`.
## Configuration
| Option | Type | Default | Description |
| --------------------- | -------- | ------- | -------------------------------------------------- |
| `showUI` | Boolean | `true` | Show the built-in welcome and summary screens. |
| `maxAttemptsCallback` | callback | `null` | Present support or another approved recovery path. |
| `exitAfterEachStep` | Boolean | `false` | Return control between verification steps. |
Use the environment value supported by your installed SDK and keep the public key, session token, and environment aligned. VOVE ID environments are Sandbox and Production.
## Status values
Handle all values explicitly:
* `SUCCESS`
* `IN_PROGRESS`
* `PENDING`
* `CANCELLED`
* `MAX_ATTEMPTS_REACHED`
Unknown values should fail safely into pending review or an integration error. Do not convert them to success.
## Step-by-step journeys
```kotlin
val options = Vove.StartOptions(
showUI = false,
maxAttemptsCallback = null,
exitAfterEachStep = true
)
Vove.start(this, sessionToken, { payload ->
if (payload.result == VerificationResult.IN_PROGRESS) {
routeToInterstepScreen(payload.nextStep)
}
}, options)
```
The exact next step is flow-dependent. Resume with current server state and a valid token; do not assume a locally cached sequence is authoritative.
## Locale and vocal guidance
Use the SDK helpers rather than unchecked strings:
```kotlin
Vove.setLocale(this, VoveLocale.FR)
Vove.setEnableVocalGuidance(true)
```
Supported locales are:
| Value | Language |
| ------------------ | --------------- |
| `VoveLocale.EN` | English |
| `VoveLocale.FR` | French |
| `VoveLocale.DE` | German |
| `VoveLocale.AR` | Arabic |
| `VoveLocale.AR_MA` | Moroccan Arabic |
Test locale changes, right-to-left layouts, TalkBack, rotation, process recreation, and returning from background.
## Troubleshooting
| Symptom | Check |
| ---------------------------------- | ----------------------------------------------------------------------------------------- |
| Gradle cannot resolve the artifact | Confirm JitPack is in dependency resolution and the coordinate uses `com.github.VOVE-ID`. |
| Camera is unavailable | Confirm manifest and runtime permission and test on a real device. |
| Initialization fails | Confirm public key and environment match. |
| Session token is rejected | Fetch a fresh backend token and confirm it belongs to the same environment. |
| Result disappears after rotation | Store only UI state locally; reconcile authoritative state from the backend. |
See [SDK compatibility](/docs/sdks/compatibility), [session creation](/docs/kyc-api/verification-session), and [production readiness](/docs/production-readiness).
# React Native SDK
Integrate VOVE ID in a React Native application and handle typed journey results.
The SDK supports React Native applications on iOS and Android. Use the package version your team has tested and approved.
## Install
```bash
npm install @vove-id/react-native-sdk
cd ios && pod install
```
For iOS, add `NSCameraUsageDescription`. For Android, add `android.permission.CAMERA`. Request permission at runtime on both platforms before starting.
## Initialize
```typescript
import {
initialize,
VoveEnvironment,
} from '@vove-id/react-native-sdk';
await initialize({
environment: VoveEnvironment.Sandbox,
publicKey: 'public_sandbox_replace_me',
});
```
Initialize before `start()`. The public key may ship in the app; the private `x-api-key` must stay on your backend.
## Start
```typescript
import {
start,
VoveEnvironment,
VoveLocale,
VoveStatus,
} from '@vove-id/react-native-sdk';
const result = await start({
environment: VoveEnvironment.Sandbox,
sessionToken: tokenFromYourBackend,
showUI: true,
exitAfterEachStep: false,
enableVocalGuidance: false,
locale: VoveLocale.EN,
});
switch (result.status) {
case VoveStatus.Success:
showAwaitingServerConfirmation();
break;
case VoveStatus.Pending:
showPendingReview();
break;
case VoveStatus.Failure:
showVerificationFailed();
break;
case VoveStatus.Canceled:
showVerificationCanceled();
break;
case VoveStatus.MaxAttempts:
showSupportOptions();
break;
}
```
Do not authorize the user directly from `Success`. Confirm the current resource on your backend after a verified webhook.
## Types and values
```typescript
interface VoveVerificationResult {
status: VoveStatus;
nextStep?: VoveVerificationStep;
}
interface VoveStartConfig {
environment: VoveEnvironment;
sessionToken: string;
enableVocalGuidance?: boolean;
locale?: VoveLocale;
showUI?: boolean;
exitAfterEachStep?: boolean;
}
```
Documented result values are `success`, `pending`, `cancelled`, `failure`, and `max-attempts`. Documented next steps are `LIVENESS`, `ID_DOCUMENT`, `DRIVING_LICENSE`, `ADDRESS_PROOF`, `CAR_REGISTRATION_CARD`, and `DONE`. Compare against the enums shipped by the package rather than duplicating runtime strings.
### Supported locales
| Value | Language |
| ------------------ | --------------- |
| `VoveLocale.EN` | English |
| `VoveLocale.FR` | French |
| `VoveLocale.DE` | German |
| `VoveLocale.AR` | Arabic |
| `VoveLocale.AR_MA` | Moroccan Arabic |
## Configuration
| Field | Required | Default | Description |
| --------------------- | -------- | ------- | ------------------------------------------------------------------------------- |
| `environment` | Yes | — | `Sandbox` with Sandbox credentials or `Production` with Production credentials. |
| `sessionToken` | Yes | — | Fresh token created by your backend. |
| `showUI` | No | `true` | Show built-in welcome and summary screens. |
| `exitAfterEachStep` | No | `false` | Return after each configured step. |
| `enableVocalGuidance` | No | `false` | Enable supported spoken guidance. |
| `locale` | No | `EN` | SDK UI locale. |
## Step-by-step journey
```typescript
import {
start,
VoveEnvironment,
} from '@vove-id/react-native-sdk';
const result = await start({
environment: VoveEnvironment.Sandbox,
sessionToken: tokenFromYourBackend,
exitAfterEachStep: true,
showUI: false,
});
if (result.nextStep) {
navigation.navigate('VerificationInterstep', { nextStep: result.nextStep });
}
```
Possible next steps are `LIVENESS`, `ID_DOCUMENT`, `DRIVING_LICENSE`, `ADDRESS_PROOF`, `CAR_REGISTRATION_CARD`, and `DONE`.
## Max-attempts listener
```typescript
import {
addMaxAttemptsListener,
removeMaxAttemptsListener,
} from '@vove-id/react-native-sdk';
useEffect(() => {
addMaxAttemptsListener(showSupportOptions);
return () => {
removeMaxAttemptsListener();
};
}, []);
```
Register once and clean up the listener when the owning component unmounts.
## Migration from 1.5.x
Since the 1.6.x line, `start()` returns `{ status, nextStep? }` instead of a status string.
```typescript
// Before
const status = await start(config);
if (status === 'success') {
// ...
}
// Current
const result = await start(config);
if (result.status === VoveStatus.Success) {
// ...
}
```
## Troubleshooting
| Symptom | Check |
| ------------------------------- | -------------------------------------------------------------------------------------------- |
| iOS native module is missing | Run `pod install`, rebuild the native app, and do not rely on hot reload after installation. |
| Expo Go cannot load the SDK | Use a development build with the native module and test the exact Expo version. |
| Camera does not open | Confirm platform declarations and runtime authorization. |
| Status comparison never matches | Use `VoveStatus`; cancellation is `cancelled` at runtime. |
| `nextStep` is undefined | It is optional and normally appears only when exiting between steps. |
See [SDK compatibility](/docs/sdks/compatibility), [session creation](/docs/kyc-api/verification-session), and [production readiness](/docs/production-readiness).
# Flutter SDK
Integrate VOVE ID in Flutter with typed statuses, locales, and step-by-step control.
Use the plugin version your team has tested and approved.
## Install
```yaml
dependencies:
vove_id_flutter: ^1.6.0
```
Run:
```bash
flutter pub get
cd ios && pod install
```
Add a camera usage description on iOS and camera permission on Android, then request authorization at runtime.
## Initialize
```dart
import 'package:flutter/widgets.dart';
import 'package:vove_id_flutter/vove_id_flutter.dart';
Future main() async {
WidgetsFlutterBinding.ensureInitialized();
await Vove.initialize(
environment: VoveEnvironment.sandbox,
publicKey: 'public_sandbox_replace_me',
);
runApp(const MyApp());
}
```
The public key may ship in the application. Create the session token on your backend; never embed the private API key in the app.
## Start
```dart
final result = await Vove.start(
sessionToken: tokenFromYourBackend,
configuration: VoveStartConfiguration(
showUI: true,
exitAfterEachStep: false,
onMaxAttemptsReached: showSupportOptions,
),
locale: VoveLocale.en,
enableVocalGuidance: false,
);
switch (result.status) {
case VoveVerificationStatus.success:
showAwaitingServerConfirmation();
break;
case VoveVerificationStatus.pending:
showPendingReview();
break;
case VoveVerificationStatus.canceled:
showVerificationCanceled();
break;
case VoveVerificationStatus.maxAttempts:
showSupportOptions();
break;
default:
reportIntegrationError();
break;
}
```
Treat the result as a journey signal. Your backend should verify the webhook and retrieve the current KYC resource before making a final decision.
## Configuration
| Field | Type | Default | Description |
| ---------------------- | --------------- | ------- | ---------------------------------------------- |
| `showUI` | `bool` | `true` | Show the built-in welcome and summary screens. |
| `exitAfterEachStep` | `bool` | `false` | Return control after each configured step. |
| `onMaxAttemptsReached` | `VoidCallback?` | `null` | Present an approved recovery or support path. |
| `locale` | `VoveLocale?` | `en` | `en`, `fr`, `ar`, `de`, or `arMA`. |
| `enableVocalGuidance` | `bool?` | `false` | Enable supported spoken guidance. |
Documented status values are `success`, `pending`, `canceled`, and `maxAttempts`. Treat any other value as a safe pending/error state—never as success.
## Step-by-step journey
```dart
final result = await Vove.start(
sessionToken: tokenFromYourBackend,
configuration: VoveStartConfiguration(
showUI: false,
exitAfterEachStep: true,
),
);
handleNextStep(result.nextStep);
```
Next-step values map to liveness, ID document, driving license, address proof, car registration document, done, or unknown. They depend on the configured flow.
## Production checklist
* Pin and regression-test the package version.
* Confirm iOS and Android permission denial/recovery paths.
* Test physical devices across supported OS versions.
* Match `sandbox`/`production` to the public key and session token.
* Test backgrounding, process recreation, network loss, and max attempts.
* Reconcile final state on the backend.
## Troubleshooting
| Symptom | Check |
| ---------------------------------------- | ---------------------------------------------------------------------------------- |
| iOS cannot find `VoveStartConfiguration` | Update CocoaPods metadata, run `pod install`, and rebuild. |
| Native plugin is missing | Stop the app and perform a full native rebuild; hot reload cannot install plugins. |
| Session token is rejected | Fetch a fresh token from the matching environment. |
| Camera is blank or denied | Check platform declarations, runtime authorization, and physical-device behavior. |
| Unrecognized result or next step | Keep the user pending, capture non-sensitive diagnostics, and escalate. |
See [SDK compatibility](/docs/sdks/compatibility), [session creation](/docs/kyc-api/verification-session), and [production readiness](/docs/production-readiness).
# Customization
Apply your brand to the VOVE ID welcome and summary experience.
Customization lets you align the hosted SDK experience with your product while keeping verification instructions clear and accessible.
## Configure a theme
1. Sign in to the correct VOVE ID dashboard environment.
2. Open **Settings → General → Customization**.
3. Upload the light-mode logo used on the welcome and summary screens.
4. If your application supports dark mode, upload a dark-mode logo as well.
5. Select accessible primary colors for light and dark mode.
6. Preview the experience in Sandbox.
7. Save the theme and reopen the SDK to load it.
If no custom logo is configured, the default VOVE ID logo is used.
Open Settings, General, then Customization.
## Test before Production
Theme changes can affect all new SDK journeys in that environment. Validate in Sandbox before applying the same settings to Production.
Check:
* logo legibility on light and dark backgrounds;
* color contrast for text, controls, focus indicators, and disabled states;
* small phones, tablets, and desktop browser widths;
* right-to-left layouts for Arabic locales;
* welcome and summary screens when `showUI` is enabled;
* your own surrounding UI when `showUI` is disabled;
* screen readers, keyboard navigation, and device text scaling.
Branding must not obscure consent, camera guidance, error messages, or retry actions.
## Environment behavior
Sandbox and Production are separate configuration boundaries. A theme saved in Sandbox does not prove that Production is configured. Confirm the environment shown in the dashboard before changing assets or colors.
SDKs load the active theme when a journey opens. If a change does not appear, close the current journey, start a new Sandbox session, and rule out application or browser caching.
## Troubleshooting
| Symptom | Check |
| --------------------------------------- | -------------------------------------------------------------------------------- |
| Logo does not appear | Confirm it was saved in the same environment used by the public key and session. |
| Dark-mode logo is unreadable | Verify the correct dark asset and transparent padding. |
| Colors fail accessibility checks | Increase foreground/background contrast and retest every state. |
| Theme updates unexpectedly affect users | Make changes in Sandbox first and schedule Production changes like a release. |
For SDK-specific UI controls, see the [compatibility matrix](/docs/sdks/compatibility) and the guide for your platform.
# Dashboard modules
Find the VOVE ID dashboard area for a KYC, KYB, AML, or administration task.
Open Sandbox at `https://dashboard.voveid.net` and Production at `https://dashboard.voveid.com`. The navigation adapts to your enabled products and role, so a module can be absent without indicating an error.
| Navigation label | Use it to |
| --------------------- | ----------------------------------------------------------------------------------------- |
| **Dashboard** | Confirm the environment and review recent activity. |
| **Vove AI** | Ask about supported dashboard data, then verify important answers against source records. |
| **Analytics** | Review enabled product volumes and trends. |
| **Verifications** | Find a KYC subject and open the correct session. |
| **Flows** | Create or preview a KYC flow before using its ID. |
| **KYB Flows** | Configure a business-verification flow. |
| **KYB Cases** | Review a case, related parties, evidence, and decision history. |
| **Manual Search** | Search a fictional person or entity against selected sources. |
| **Screening Flows** | Configure sources, entity type, matching sensitivity, and activation. |
| **Screening Results** | Review match evidence and record a disposition. |
| **General** | Manage credentials, SDK allowlists, and customization. |
| **Members** | Invite members and assign least-privilege roles. |
| **Webhooks** | Configure an endpoint, copy its signing secret securely, and inspect deliveries. |
Some admins may also see billing and usage controls. Access depends on both product enablement and role permissions.
## Recommended starting points
* KYC: [quick start](/docs/quick-start) and [manual verification](/docs/dashboard/manual-verification)
* KYB: [KYB integration](/docs/business-verification/kyb-integration)
* AML: [AML operations](/docs/watchlist-screening/aml-operations)
* Credentials: [credentials and environments](/docs/setup-your-credentials)
* Webhooks: [secure receiver](/docs/kyc-api/webhooks)
# Team roles and permissions
Manage team access in the VOVE ID dashboard with built-in roles, custom roles, and granular permissions.
Use the **Members** area of the VOVE ID dashboard to control what each teammate can see and do.
## Who can manage access
Only users with the appropriate organization admin access can manage members, roles, and permissions.
From **Settings** > **Members**, authorized admins can:
* invite new team members
* assign one or more roles to a member
* create custom roles for specific teams or workflows
* edit the permissions granted to the **Member** role and any custom role
* disable or delete custom roles that are no longer needed
* review the member and role audit trail
## Roles
### Admin
The **Admin** role has full dashboard access, including member management, role management, and sensitive review actions.
### Member
The **Member** role is the default base role for regular users. Unlike **Admin**, its permissions can be customized per organization.
## Custom roles
Custom roles help you separate access by function, for example:
* KYC reviewers
* compliance operations
* AML analysts
* support teams that only need read access
Custom roles are managed from **Settings** > **Members** > **Permissions**.
When you create a custom role, you can turn individual permissions on or off for that role. You can also:
* rename the role later
* temporarily disable it without deleting it
* delete it when it is no longer needed
If a deleted role was a member's only role, that user falls back to **Member**.
## Manual verification permission
The permission used for manual KYC review is:
* **Identity Verification** > **Manual verification**
This permission allows an authorized reviewer to:
* open the manual verification workflow on a user's session
* upload supporting documents when needed
* review and edit extracted document data
* approve a session through the manual verification flow
* perform session status updates tied to manual review
If a user does not have this permission, they should not be able to use protected manual-review actions.
## Recommended setup
Most teams use a setup like this:
* use **Admin** for trusted dashboard operators
* create one or more custom reviewer roles for operational teams
* grant **Manual verification** only to users who should handle sensitive review actions
* review role assignments regularly
## Audit trail
The dashboard includes an audit trail for member and role changes. Use it to review:
* member role assignments
* role creation, rename, disable, and delete actions
* permission changes made to editable roles
For session-specific review actions, also check the audit history attached to the user's verification session.
# Manual verification
Review verification evidence manually in the VOVE ID dashboard, upload supporting documents, and approve a session when automated review is not enough.
Manual verification lets an authorized reviewer complete a KYC review from the dashboard when automated checks are not enough on their own.
## Before you start
Make sure all of the following are true:
* the manual verification capability is enabled for your organization
* your user has the **Identity Verification** > **Manual verification** permission through an admin-managed role, as described in [Team roles and permissions](/docs/dashboard/team-roles-and-permissions)
* the user already has a verification session in the dashboard
## Open the manual verification flow
1. In the dashboard, open **Users**.
2. Select the user you want to review.
3. If the user has more than one session, choose the correct session.
4. Click **Manual Verification**.
If you do not see the **Manual Verification** button, your account probably does not have the required permission.
## Review the existing evidence
Start by reviewing the information already attached to the session:
* captured document images
* selfie and session details
* extracted document fields
* audit and session history
If the user already submitted a document for a step, the dashboard highlights that so you can decide whether the original evidence is enough or whether you need to upload additional material.
## Upload documents when needed
The manual verification dialog follows the configured verification steps for the flow.
For document-based steps, you can upload supporting files directly in the dashboard. Depending on the step, the workflow may require:
* one document upload
* a front and back upload
After the required file set is uploaded, data extraction starts automatically.
## Review and edit extracted data
Once extraction finishes, the dashboard shows the extracted fields grouped by category, such as:
* personal information
* document details
* address details
If needed, you can edit the extracted values before completing the review.
This is useful when:
* OCR captured the correct field but needs formatting cleanup
* a value is readable in the document image but was extracted incorrectly
* you need the stored extracted data to match the evidence you reviewed
## Approve the session manually
When you are satisfied with the evidence, click **Verify**.
Approving through the manual verification flow:
* marks the session as successfully verified
* records that the session was approved manually
* stores who approved it and when
* keeps the uploaded review material and extracted data available in the session
After approval, the user details page shows that the session was verified manually.
## Audit and traceability
Manual verification is a sensitive action. After you approve a session, review teams can trace:
* the reviewer who approved the session
* the approval timestamp
* the supporting uploaded documents
* the extracted and edited data used during review
* the session audit history
## Operational tips
* Give manual verification access only to trusted reviewers.
* Reuse user-submitted evidence when it is sufficient, and upload extra material only when needed.
* Review extracted data before approval instead of assuming OCR is final.
* Use the correct session tab when a user has multiple verification attempts.
# Agent integration guide
A safe, deterministic contract for coding agents integrating VOVE ID.
Use this page with the canonical [`llms.txt`](https://docs.voveid.com/docs/llms.txt) and the human-readable endpoint guides.
## Non-negotiable boundaries
* Keep `x-api-key` and webhook signing secrets on a trusted server.
* Give clients only the matching public key and a short-lived, subject-scoped session token.
* Use Sandbox (`.net` API and hosted flow) until Production is approved.
* Generate a stable `refId` before session or case creation and reuse it for reconciliation.
* Verify Svix over raw request bytes, deduplicate using `svix-id`, return `2xx` quickly, and process asynchronously.
* Treat SDK and redirect results as journey signals. Retrieve the API resource before a final decision.
* Preserve unknown statuses and route them to safe review.
* Log identifiers and outcomes, never secrets, tokens, raw payloads, documents, biometrics, or unredacted personal data.
## Minimal KYC workflow
1. The backend persists a stable `refId`.
2. The backend calls `POST https://api.voveid.net/v2/sessions` with `x-api-key`.
3. The backend returns only the `token` and matching Sandbox public key to the intended client.
4. The client initializes its platform SDK with the sandbox environment and starts the journey.
5. The backend verifies and deduplicates the webhook.
6. An asynchronous worker retrieves `GET https://api.voveid.net/v2/users/{refId}`.
7. The application applies its policy to the current server-side status.
## Contract rules agents commonly miss
* KYC endpoints use `/v2`; KYB and AML endpoints do not.
* KYB case creation accepts only `refId` and optional `flow`. Pass `flow` for a specific country flow; omit it to let the applicant choose the business country.
* React Native cancellation is `cancelled` at runtime; use the exported enum.
* AML `NO_MATCH` describes the configured search, not universal clearance.
* A webhook event can be duplicated or arrive out of order.
* A `success` callback or redirect is not sufficient evidence for a final server-side decision.
## Idempotency and retries
Use `refId` as the business correlation key and `svix-id` as the webhook delivery key. If a create request times out, query or otherwise reconcile the stable reference before issuing another create.
Retry idempotent reads with bounded exponential backoff and jitter. Do not retry a validation failure unchanged.
## Code-generation checklist
Generated integrations should include:
* environment variables for API origin, private key, public key, and webhook secret;
* a backend-only session endpoint;
* an SDK or hosted-flow client;
* a raw-body webhook route;
* event deduplication before side effects;
* current-resource retrieval after the webhook;
* explicit handling of every documented status plus an unknown fallback;
* tests for expired tokens, invalid signatures, duplicate delivery, cancellation, pending review, and environment mismatch.
Generated examples must use fictional identifiers and placeholder credentials. They must not encode a customer-specific policy as a VOVE ID platform guarantee.
## Production boundary
An agent can prepare code and tests, but a human owner must approve credentials, allowed domains, flow configuration, compliance policy, webhook infrastructure, rollback behavior, and the Production release. Use the [production checklist](/docs/production-readiness).
# Privacy Policy
## VOVE ID Global Privacy Policy
Last Updated: March 26, 2025
Thank you for reading the VOVE ID Privacy Policy. This comprehensive policy explains how VOVE ID (“we”, “us”, “our”) collects, uses, and protects personal data across all our services and platforms. It covers the privacy practices for:
* End-Users – individuals undergoing identity verification via our SDK or API at the request of one of our business clients (our “Customers”).
* Website Visitors – individuals visiting our website or using our online resources (including cookie tracking and analytics).
* Business Clients – representatives and users of our business Customers who access the VOVE ID dashboard and services (B2B users).
We are committed to protecting your data in compliance with the EU General Data Protection Regulation (GDPR) and applicable global privacy laws. This policy is designed to be easy to navigate with clear sections for each user category, and written in accessible, professional English.
Controller vs. Processor – Understanding Our Role: In providing identity verification services to our Customers, VOVE ID acts as a data processor handling End-Users’ personal data on behalf of the Customer (who is the data controller deciding the purposes and means of processing). In other words, if you are verifying your identity through VOVE ID, the company that directed you to our service (our Customer) determines why your data is processed, and we process it according to their instructions. This also means the Customer must have a valid legal basis for asking us to verify your identity and must inform you how both they and VOVE ID handle your data. For other data interactions – such as when you visit our own website or when we manage a Customer account – VOVE ID is the data controller of that information.
Please Note: If you are an End-User undergoing verification, be sure to review the privacy notice of the company that requested the verification (our Customer) in addition to this policy.
That company’s privacy notice will explain their purposes and legal bases for verifying your identity and how to exercise your rights with them. This VOVE ID policy explains how we process your data as part of providing our services to them. Sections of this policy also include placeholders or notes that may be tailored for specific client integrations or requirements. We are happy to address any client-specific questions as needed.
Below you will find a table of contents for easy navigation:
* 1\. Key Definitions
* 2\. Personal Data We Collect
* 2.1 End-Users (Identity Verification Data)
* 2.2 Business Clients (B2B User Data)
* 2.3 Website Visitors (Online Data)
* 3\. Purposes and Legal Bases for Processing
* 3.1 For End-Users (Identity Verification)
* 3.2 For Business Clients (Service Delivery)
* 3.3 For Website Visitors (Site Functionality & Analytics)
* 4\. Data Sharing and Disclosure
* 5\. Data Storage and International Transfers
* 6\. Security Measures
* 6.1 Technical Safeguards
* 6.2 Organizational Measures
* 7\. Data Breach Response
* 8\. Data Retention
* 9\. Your Rights as a Data Subject
* 9.1 Exercising Your Rights
* 10\. Automated Decision-Making and Profiling
* 11\. Updates to this Privacy Policy
* 12\. Contact Us
### 1. Key Definitions
For clarity, here are some key terms used in this policy:
* Personal Data – any information relating to an identified or identifiable natural person (a “Data Subject”). This includes information like name, identification numbers, location data, online identifiers, and factors specific to physical, genetic, mental, economic, or social identity. In our context, even a photo or ID document you provide is personal data.\
* Processing – any operation performed on personal data, such as collection, use, storage, or deletion.\
* Data Subject – the individual whom the personal data is about (here, End-Users, website visitors, or client representatives – you).\
* Data Controller – the entity that determines the purposes and means of processing personal data. For identity verification services, our Customer (the business that requested your verification) is the controller of End-Users’ data. For data collected from our own website or in managing client relationships, VOVE ID is the controller.\
* Data Processor – the entity that processes personal data on behalf of a controller. VOVE ID acts as a processor when handling End-Users’ data for identity verification at our Customers’ direction.\
* Customer (Client) – a business or organization that uses VOVE ID services to verify the identities of End-Users. For example, a bank or fintech company that integrates our SDK to confirm their users’ identities.\
* End-User – an individual who is being verified through VOVE ID’s service at the request of a Customer. For example, if you are a customer of a bank that uses VOVE ID for KYC, you are the End-User in this context.\
* Website Visitor – anyone who visits our websites (e.g., voveid.com) or interacts with our online content.\
* B2B User – an individual acting on behalf of a business Customer, such as an employee or administrator who accesses the VOVE ID dashboard or API.\
* Services – VOVE ID’s identity verification solutions and related services (including our SDKs, APIs, dashboard, and website).\
* SDK – Software Development Kit; our SDK is integrated into our Customer’s mobile or web application to capture ID documents, selfies, etc., for verification.\
These definitions align with GDPR terminology (see GDPR Article 4 for formal definitions of personal data, controller, processor, etc.). Understanding these roles is important because our obligations to you can differ depending on whether we are acting as a controller or processor of your data.
### 2. Personal Data We Collect
We collect different types of personal data depending on how you interact with VOVE ID. This section describes the categories of data we handle for End-Users, Business Clients, and Website Visitors.
#### 2.1 End-Users (Identity Verification Data)
If you are an End-User undergoing identity verification through our SDK or platform, we may collect the following types of personal data about you:
* Identity Information: Details that help identify you, such as your full name, date of birth, place of birth, address, nationality, and other information you or our Customer provide in the verification flow. This often comes from the identity document you submit (e.g., the name and birthdate on your ID or passport).
* Document Details: Information extracted from your ID documents, including document type (passport, ID card, driver’s license, etc.), document number, expiration date, issuance country, and security features. We may collect images or scans of your ID document (front and back) as part of this process.
* Biometric Data (Photo/Video): Your photograph, selfie, or live video captured during the verification, and derived biometric identifiers. For example, we might capture a live selfie video to perform a 3D “liveness check” and face recognition against your ID photo. This can generate biometric data used to uniquely identify you (e.g. facial measurements or templates). Sensitive Data Notice: Biometric data for identification is considered a special category of personal data under GDPR.\
We only process this data to the extent necessary for fraud prevention and identity verification, and in compliance with applicable laws (for instance, obtaining your explicit consent for biometric processing if required by law).
* Contact Information (if provided): In some cases, we might collect contact details like your email address or phone number. This could happen if our Customer asks us to contact you with a verification link or code, or if such information is included on your ID document. We use this information solely for assisting with the verification process (e.g., sending a one-time passcode) unless otherwise specified.
* Technical and Device Data: Information about the device and network you use to perform the verification. This includes IP address (and approximate geolocation derived from it), device type (e.g., model, OS, browser), unique device identifiers, language settings, and telemetry data (such as sensor data from the camera during liveness checks). We collect this to ensure security (for example, detecting suspicious devices or multiple attempts) and to enhance the user experience (like optimizing video quality for your device).
* Verification Metadata: Data generated during the verification session, such as timestamps of when steps are completed, transaction or session IDs, logs of any errors, and the final verification result (e.g., “verified” or specific flags for issues like a document being expired or a face mismatch). We may also record the reason if a verification fails (e.g., “document photo not clear” or third-party watchlist check result).
* Fraud Prevention Data: Any additional information we derive to prevent fraud. For example, we might analyze patterns (like whether the same device or ID was used in prior fraud attempts) or use third-party checks (like verifying the authenticity of the ID document or checking your name against sanction lists or politically exposed persons (PEP) lists if our Customer requires AML screening). This can include risk scores or flags that help our Customer decide whether to approve or reject a transaction.
Note: The exact data collected about you as an End-User can vary depending on the integration and our Customer’s needs. We aim to collect only the data that is necessary for your verification. You will typically see on the verification interface what data is being requested (e.g., which type of ID, whether a selfie is needed, etc.). If new types of data need to be collected, we or our Customer will inform you at that time. If you have any questions about specific data being collected for your verification, please refer to the Customer who is verifying you or contact us using the information below.
#### 2.2 Business Clients (B2B User Data)
If you are a business client or an authorized user of our services (for example, you work for a company that has a VOVE ID account, and you log into our dashboard or use our API), we collect personal data to manage our relationship and enable your use of VOVE ID. This may include:
* Contact Details: Your name, work email address, phone number, job title/role, and the company you represent. We collect this when you or your employer signs up for VOVE ID services, when you correspond with us, or through a contract. We use this to identify you, communicate with you, and authenticate your access to the dashboard.
* Account Credentials: If you have a login to our dashboard or platform, we will process your username, password (stored in hashed form), and any account identifiers. For API usage, we issue API keys or tokens linked to your account. It is your responsibility to keep login credentials confidential; we will never ask for your password via email or phone.
* Account Usage Data: Information on how and when you use our B2B services. For example, we may log when you last logged in, actions taken in the dashboard (such as initiating a verification or viewing results), settings you configure, audit logs of data access, and usage statistics. This is to provide the service (and show you your activity), as well as for security (audit trails) and improving our platform.
* Business Information: Details about the organization you represent, which might include billing address, tax ID/VAT number, subscription plan, and transaction history. While this is often not personal data (if it’s about a company), some elements like a business contact person’s name or business email could be personal data. We process this to fulfill our contract and legal obligations (invoicing, accounting).
* Communications: Copies of communications with you or your colleagues. For instance, if you email our support or sales team, join a demo or call, or use a chat feature, we may keep records of that correspondence and any information you provide. This helps us follow up on your requests and train our team to better serve you.
* Preferences and Feedback: We may also store information you provide about your preferences (e.g., product settings, notification preferences) and any feedback or survey responses you give. This personal data is used to customize your experience and improve our services.
* Verification of Client Identity: In some cases, especially for compliance, we might need to verify the identities of our business clients or their representatives (for example, if required by anti-money laundering regulations when we onboard a fintech client). This could involve collecting a copy of an ID or proof of authority from you as a client representative. We will only ask for such information when legally required and will treat it with the same care as End-User verification data.
Note: Business client data is typically business-related (professional contact information), and we expect that it is provided by you in your capacity as a representative of a company. We do not require any sensitive personal data from our B2B users unrelated to the service. Please ensure that any personal data of others you provide to us (e.g., adding a team member to the account) is shared in compliance with privacy laws and with their consent if necessary.
#### 2.3 Website Visitors (Online Data)
When you visit our website, use our online services, or interact with us online (for example, reading our documentation or blogs, or contacting us through a web form), we collect some data about you and your device. This includes:
* Usage Data: Information on how you use our website – e.g., the pages or documentation you view, the links you click, the date and time of access, the duration of visits, and the referring page (the webpage that led you to ours). This helps us understand what content is useful to visitors and improve our site’s design and content.
* Device and Browser Information: Technical details such as your IP address (which can indicate your general location), browser type and version, device type (e.g. mobile or desktop, operating system), screen resolution, and language settings. We collect this through server logs and analytics tools to ensure the website displays correctly and to perform debugging and security monitoring.
* Cookies and Tracking Identifiers: We use cookies and similar technologies (like web beacons or local storage) to enhance your experience on our site. Cookies are small text files that our site saves on your browser. Some cookies are essential for site functionality (e.g., to remember your language preference or keep you logged in if the site has a login); others are for analytics or advertising. For example, we might use Google Analytics or a similar tool which sets cookies to collect aggregated usage statistics (like number of visitors, popular pages). We may also use cookies for marketing purposes, such as Google or LinkedIn pixels, to track conversions and retarget visitors with our ads (with your consent). Our Cookie Notice provides details on each cookie, its purpose, and how to manage your preferences.
* Form Inputs and Communications: If you fill out a form on our website (such as a “Contact Us”, signup or demo request form, or comment field), we will collect the information you provide. Typically this includes your name, email, phone, company, and the content of your message. We use this to respond to your inquiry or process your request (for example, creating a trial account or registering you for a newsletter). We may also keep a copy of our correspondence for record-keeping.
* Newsletter/Marketing Signup: If you subscribe to our newsletter or opt-in to marketing communications, we will collect your contact details (email, and possibly name) and your communication preferences. We will send you updates and information in line with what you signed up for, and you can opt out at any time.
* Social Media and Third-Party Links: If you arrive at our site via social media or interact with our social media widgets (like a “Share” or “Like” button), those platforms may collect certain information through their own cookies. We do not control those interactions – please refer to the privacy policies of the respective platforms. We may receive aggregate data from social platforms (for example, how many people clicked on our post). Similarly, if our site has third-party embedded content (like a video player or code sandbox), those third parties might collect usage data subject to their own policies.
Cookies & Consent: When you first visit our site, you will see a cookie banner or notice. Except for strictly necessary cookies, we will not set cookies (especially analytics or advertising cookies) unless you consent. You can manage your cookie preferences at any time via our cookie settings tool on the website. For more details, read our Cookie Notice (linked above), which is incorporated into this Privacy Policy. (If you are reading this policy on a client’s platform where our SDK is embedded, note that cookie usage may differ – the above mainly applies to the VOVE ID website itself.)
### 3. Purposes and Legal Bases for Processing
We only process personal data when we have a specific purpose and a lawful basis under GDPR for doing so. This section explains why we use personal data for each category of individuals, and the legal grounds that make the processing lawful. Given the global reach of our service, we primarily rely on GDPR bases, but we also adhere to other applicable laws in jurisdictions we operate (we can provide additional details for specific regions upon request).
#### 3.1 For End-Users (Identity Verification)
When processing End-Users’ data for identity verification services, VOVE ID is acting on behalf of our Customer (the data controller). The purposes and legal bases typically include:
* Identity Verification & Fraud Prevention: The core purpose is to verify your identity documents and biometrics to confirm you are who you claim to be, and to detect and prevent fraud. This involves checking the authenticity of IDs, comparing your live image to your ID photo, and running any required security checks (like AML watchlists if applicable). The lawful basis for this processing is usually legitimate interests – specifically, the legitimate interest of our Customer in preventing identity fraud and ensuring the person is correctly identified. Preventing fraud is recognized as a legitimate interest under GDPR. In many cases, there is also a legal obligation: for example, our Customer might be required by law to verify identities (know-your-customer regulations, age verification laws, etc.), which would provide a lawful basis (compliance with a legal obligation) for processing your data. Additionally, the verification may be necessary for the performance of a contract between you (the End-User) and our Customer – for instance, if you are registering for a service, you must verify your identity as a condition to complete the signup (making it necessary to fulfill the service you requested). We rely on our Customer to determine the appropriate lawful basis in their context, but we ensure our processing is in line with those purposes.
* Consent for Specific Uses: In certain jurisdictions or for certain types of data, our Customer might seek your consent before processing. For example, biometric data (like a facial scan) may require your explicit consent under GDPR Article 9, unless another exception applies. If you are asked to agree (e.g., by ticking a box or proceeding after seeing a notice) before we capture your selfie or ID, that consent will serve as an additional legal basis for us and our Customer to process that data. We will only use biometric data to the extent necessary for verification, and in compliance with any consent obtained. You have the right to withdraw consent at any time, but note that this might prevent completion of the verification or the related service.
* Service Delivery on behalf of Customer: We process and transfer the verification results back to the Customer to enable them to deliver their service to you (e.g., opening your account or approving your transaction). The lawful basis here can be framed as legitimate interests of both the Customer and you as the End-User – you have an interest in accessing the service securely, and the Customer has an interest in confirming your identity to provide that service safely. In cases where you directly interact with our verification service as part of signing up for the Customer’s service, it may also be considered as processing necessary for performance of a contract with you (the contract being your agreement to undergo KYC to use the Customer’s platform).
* Quality Improvement & Training (Limited, with Safeguards): We continually work to improve our identity verification technology (for example, refining our document recognition algorithms or reducing bias in face matching). To do this, we may use anonymized or aggregated data from past verifications. Wherever possible, we transform data so that it can no longer be linked to a specific individual (thus no longer personal data). If we ever need to use any identifiable data for internal development (we strive not to), we will ensure a lawful basis such as legitimate interests (our interest in improving our services) with robust safeguards, or we will seek additional consent. Important: Any such use for improvement is separate from the verification we perform for our Customer and is done under VOVE ID’s role as a controller. We do not use your data for general product development in a way that would impact your privacy without ensuring it’s either anonymized or done with high security and legal compliance. Our primary focus is to use real data only to the extent necessary and to rely on synthetic or anonymized data for training whenever feasible.
* Compliance and Legal Claims: We may process End-User data if necessary to comply with laws or respond to legal processes. For instance, under certain regulations we might need to retain verification logs for a certain period, or to provide information to law enforcement or regulators upon valid request (see Data Sharing below). The lawful basis could be compliance with a legal obligation. Similarly, if we need to process data to establish, exercise, or defend legal claims (for example, to demonstrate that a verification was performed correctly in case of a dispute), we would rely on legitimate interests (our interest in defending our business or our Customer’s interest in fraud prosecution).
Customization Note: The exact lawful basis can vary by Customer and jurisdiction. For example, a financial institution in the EU might cite GDPR Article 6(1)(c) (legal obligation) for KYC processing, whereas a sharing-economy platform might use Article 6(1)(f) (legitimate interests). In all cases, VOVE ID’s processing of End-User data is limited to the purposes of identity verification, fraud prevention, and compliance, as instructed by the Customer and allowed by law. We do not process End-User personal data for any new or incompatible purpose. If a Customer requests any processing outside the scope of our service, they are responsible for ensuring it’s lawful and properly communicated to you.
#### 3.2 For Business Clients (Service Delivery)
For our business clients and their users, VOVE ID acts as a data controller when processing your personal data in the context of providing identity verification services to your organization. Our purposes and lawful bases include:
* Providing the Service & Fulfilling Our Contract: We use client contact and account data to set up and administer your organization’s account, authenticate you, and provide our identity verification services to your company. This includes maintaining your dashboard, enabling you to run verifications, and providing support. The lawful basis is performance of a contract – when your company signed up, an agreement is in place, and we need to process your (the user’s) data to fulfill our obligations under that contract (e.g., to ensure only authorized users access the account, to deliver usage reports, etc.). If you personally didn’t sign the contract but are an authorized user, our lawful basis is our legitimate interest in providing the service to your employer and ensuring authorized access.\
* Communication and Support: We process your contact information to communicate with you about the service. This includes sending service-related announcements (e.g. updates about platform availability, security or privacy updates to this policy), responding to support requests, and notifying you of new features or improvements. The lawful basis here is legitimate interests – it’s in our interest (and usually yours) to keep you informed about the service you are using. For example, if we are performing maintenance, we have a legitimate interest in emailing users about downtime. When you reach out with a question, it’s our legitimate interest to use your info to respond. In some cases, communications may be necessary for contract performance (for instance, sending you an onboarding email to activate your account might be considered part of delivering the service). We ensure that any marketing-oriented communications are only sent in compliance with applicable laws (see the next point).\
* Marketing and Insights: If you are a business contact who has shown interest in VOVE ID (e.g., by signing up for a trial or downloading a whitepaper), we may send you relevant marketing communications such as product updates, newsletters, or event invites. We will do this either with your consent (for example, if you tick a box agreeing to updates) or under legitimate interests if you are an existing customer or have a context where such contact is expected (the GDPR and some laws allow B2B marketing to existing customers on the basis of legitimate interest, sometimes called a “soft opt-in,” as long as there’s an easy opt-out). In every case, you have the right to opt out of marketing emails by clicking “unsubscribe” in the message or contacting us. We do not spam and we do not share your contact info with third parties for their own marketing.\
* Billing and Administration: We process the necessary personal data for billing and account administration. For example, our finance system will contain the billing contact’s name and contact details, invoices issued, and payment status. The lawful bases are contracts (we have to bill as part of the service agreement) and legal obligations (we must keep certain records for tax and accounting). If we use a payment processor or handle credit card information, that information is processed securely and in compliance with payment card industry standards; we typically only keep payment details via accredited payment processors, not in our own systems.\
* Security and Abuse Prevention: To protect our services and your account, we monitor and log certain activities in the client dashboard and API. For example, we may log failed login attempts, usage patterns that indicate potential misuse, or accesses that trigger security rules. The lawful basis is legitimate interests – both ours and yours – in maintaining a secure service. This helps prevent unauthorized access to sensitive verification data and ensures we meet our contractual promise of secure processing. If we detect an issue (like a compromised account API key), we will use your contact data to alert you and help resolve it.\
* Service Improvement and Analytics: We might use business clients’ usage data (aggregated and anonymized where possible) to understand how our services are performing, which features are used most, and what could be improved. For example, we could analyze the average time to complete a verification or which features clients use often. The lawful basis is legitimate interests – running an efficient and user-friendly service. These analyses are about our product usage and generally do not focus on individuals, but to the extent any personal data is involved (like an admin’s clicks), we anonymize or aggregate it. If we want to use any identifiable feedback or case study involving a person, we would ask for consent.\
* Compliance and Legal Requirements: We may process client data to comply with laws (e.g., know-your-business requirements, export restrictions, etc.). If, for instance, you are in a regulated sector, we might be required to do due diligence. This could include using your data to confirm we can lawfully offer you our services (like checking against sanctioned persons lists if required by law for our contracts). The lawful basis would be legal obligation or our legitimate interest in complying with law and preventing misuse of our services.\
In summary, for B2B users we primarily use your data to run our business relationship with your company – providing the service, supporting you, improving the product, and meeting our legal duties. We do so in a way that respects your privacy and we do not use your information for unrelated purposes like unrelated third-party advertising.
#### 3.3 For Website Visitors (Site Functionality & Analytics)
For visitors to our website (who may not be directly using our identity verification service), we process personal data mainly to operate our website and learn how to improve it. The purposes and legal bases include:
* Operate and Secure the Website: When you load our website pages, our systems inevitably process your device and network data to deliver the content to you. This includes routing the content to your IP address and adapting the presentation to your device. The lawful basis for basic site operation is our legitimate interest in providing an informative and secure website (GDPR Recital 49 also recognizes ensuring network and information security as a legitimate interest). We also log events (like errors or unusual access patterns) to maintain security – again under legitimate interests (protecting our site and users from malicious activity). Without this processing, the website cannot function properly.\
* Analytics and Performance Tracking: We would like to understand how visitors engage with our site so we can improve layout, content, and performance. For this, we use analytics tools that collect Usage Data and set non-essential cookies. The lawful basis for analytics cookies is consent. When you first visit, we will only activate our analytics (e.g., Google Analytics) if you consent via the cookie banner. If you opt in, we process data like page views, clicks, and general geo-location to generate insights (e.g., which countries have the most visitors, which pages get the most attention). This helps us make decisions such as improving popular docs or optimizing load times. You can withdraw consent at any time by adjusting your cookie settings (this won’t affect the basic browsing of the site). We configure our analytics tools to respect privacy – for instance, we might mask part of your IP address and we don’t allow the analytics provider to use the data for their own purposes.\
* Personalizing Your Experience: We may use cookies to remember choices you make, such as your language preference or other settings, so that you have a consistent experience on return visits. The lawful basis for these preferences could be consent (if not strictly necessary) or legitimate interest if it’s strictly for enhancing user experience in a minimal way. For example, remembering a language preference could be seen as a legitimate interest because it’s expected and has minimal privacy impact. In any case, you have control via browser settings or our cookie banner to disable such cookies if you prefer.\
* Responding to Your Requests: If you submit a contact form, sign up for a newsletter, or ask for a demo, we will use the data you provide to fulfill that request. The lawful basis depends on context: it could be consent (if you clearly opted to provide your details), or it could be a pre-contractual step (if you’re inquiring about our services, we consider you a prospective customer and our follow-up as something you requested). In all cases, we will use your info only to respond appropriately – e.g., if you asked a question, to answer it; if you signed up for a newsletter, to send it. If you become a customer, your data will then be handled per the Business Clients section; if not, we may periodically reach out with your consent or legitimate interest as described in Marketing above, but you can opt out.\
* Advertising and Retargeting: We do not sell your data to advertisers. However, we may run our own online ads and use tools (like Google Ads or LinkedIn) to measure their effectiveness or to “retarget” visitors (show our ads to people who have visited our site). This may involve setting third-party cookies or pixels. The lawful basis for any such marketing cookies is consent. If you do not allow marketing cookies, you won’t receive retargeting from us. If you do consent, those third parties (like Google) may collect some of your Usage Data on our site to help us know, for example, whether someone who saw an ad ended up visiting our site, or to allow us to show an ad for our service to you on another website. We will provide details of any such cookies in our Cookie Notice and honor your choice.\
* Compliance and Protection: We might process website visitor data to comply with legal requirements or to protect our rights. For example, we may keep server logs (including IP addresses) for a certain period as a security measure and to investigate if our site is misused (like a hacking attempt or someone posting illegal content in a form). The lawful basis would be legitimate interests (maintaining security and legal compliance) or legal obligation if we are required to retain certain data. These logs are generally only accessed when necessary (e.g., debugging or security analysis) and are securely deleted after the retention period (see Data Retention below).\
In summary, for website visitors, most non-essential processing (like analytics/ads) only occurs if you consent. Essential processing for functioning and security is based on our legitimate interests in running a reliable, safe website that you expect to interact with when you navigate to it. We aim to be transparent and give you control over any data that isn’t strictly necessary for the basic use of our web resources.
### 4. Data Sharing and Disclosure
We treat your personal data with care and confidentiality. We do not sell personal data to third parties. However, in order to operate our services, we sometimes need to share data with certain trusted parties. Here we outline who those parties are, and under what circumstances data is shared:
* Our Customers (Business Clients): If you are an End-User being verified, we will share the results of your identity verification with the Customer that requested it. In fact, providing the verification result to them is the purpose of the service – for example, we may forward the verification report, your identity documents, and related data to the company that needs to vet your identity. That Customer will use the information according to their own privacy notice and applicable law. We only disclose your data to the specific Customer who authorized your verification; we do not broadcast it to anyone else. If multiple companies separately ask you to verify (e.g., you sign up at two different banks that both use VOVE ID), each company sees only their own requests’ data.\
* Service Providers (Sub-processors): We rely on reputable third-party service providers to help us deliver our services. These providers act as sub-processors, meaning they process personal data on our behalf (and under our instructions). Key sub-processors include:\
* * Cloud Hosting and Infrastructure: We use Google Cloud Platform (GCP) in the European Union to host and store the majority of personal data. Your verification data, our databases, and servers are in secure data centers in the EU. Google acts as our sub-processor to store and transmit data, but it cannot use your data for any other purpose. We have a GDPR-compliant Data Processing Addendum with Google which includes Standard Contractual Clauses for any necessary transfers (see International Transfers section).\
* Identity Verification Tools: In some cases, we may use third-party software or services integrated into our verification process. For example, we might use a document authenticity checking service, biometric algorithm vendor, or AML database provider. These providers would receive the necessary data (e.g., an ID image or a name to check against a sanction list) and return results to us. They are bound by contracts to only use the data for the intended verification task.\
* Communication Services: We use certain tools to communicate with End-Users and Clients. For instance, an email delivery service (to send codes or receipts), or SMS gateway (to send text verifications), or a customer support platform (to manage inquiries). These processors may handle personal data like your email, phone, or name in the context of those communications. They are obligated to keep it secure and confidential.\
* Analytics and Marketing Partners: For our website, we may use analytics providers (like Google Analytics) or advertising platforms (like Google Ads, LinkedIn) as described earlier. These act as processors or independent controllers in their domain. We ensure any data sharing is minimized (for example, we might share a hashed identifier or use built-in privacy settings). They cannot identify you personally from the data we share for analytics, and any broader use (like by Google for ad personalization) is subject to your consent and their privacy policy.\
* Other Vendors: We may engage other vendors for specific services like data backups, content delivery networks (CDNs), or security monitoring. Any such vendor with access to personal data is vetted for security and privacy and bound by a strict contract. We maintain an up-to-date list of significant sub-processors which we can provide to our Customers or Data Protection Authorities upon request.\
* We choose sub-processors carefully, ensuring they have strong data protection practices. All our sub-processors are bound by Data Processing Agreements that impose GDPR-level protections (including confidentiality, security measures, and third-party audits). Before onboarding new sub-processors, we assess their security controls. We remain responsible for any processing they do on our behalf.\
* Within Our Corporate Group: If VOVE ID is part of a group of affiliated companies (for example, if we have subsidiaries or branch offices in other countries), we may share data within that corporate family as needed to operate the service. For instance, if our R\&D team is in a different country, or if a subsidiary provides support services, they might access data. Any internal transfers will follow the same security standards and, if transferring outside of your region (e.g., EU), will be covered by intra-group agreements with Standard Contractual Clauses or equivalent safeguards. \[Note: As of this policy date, VOVE ID primarily operates remotely from \[Morocco and Estonia]; we will update this section if our corporate structure changes.]\
* Legal and Regulatory Disclosure: We may disclose personal data to third parties when required by law or necessary to protect rights. This includes:\
* * Law Enforcement and Government Authorities: If we receive a legally binding request (such as a court order or subpoena) for information, we will evaluate it carefully. If required, we will provide the minimum necessary data to comply with the request. For example, if a law enforcement investigation asks for certain verification records and the request is valid under law, we may have to furnish those records. Where permitted, we will inform affected data subjects or Customers of such requests.\
* Regulators and Data Protection Authorities: As an organization under GDPR, we cooperate with data protection regulators. If a Data Protection Authority (DPA) conducts an inquiry or if we’re required to demonstrate compliance, we might share relevant records (which could include personal data) with that authority.\
* Protecting Rights and Safety: We reserve the right to disclose data if necessary to protect the rights, property, or safety of VOVE ID, our Customers, End-Users, or the public. For example, disclosing information to prevent harm or report illegal activities (like a fraud scheme). This would be based on our legitimate interests in security and safety. Any such disclosure will be done in line with applicable laws.\
* Business Transfers: If VOVE ID is involved in a merger, acquisition, bankruptcy, or sale of all or a portion of our assets, personal data might be transferred to the successor or acquiring entity. We would ensure that any such entity is bound to respect this Privacy Policy (or you would be given notice and a chance to opt-out if laws provide for that). We would also require the receiving party to only use your data for the same purposes we collected it, unless you consent to new processing.\
We emphasize that any third party that receives personal data from us will have to agree to protect it in accordance with applicable data protection laws. We do not allow any third-party recipients to use personal data for their own marketing or purposes not described in this policy.
Furthermore, we never share End-User verification data with other clients or any unauthorized parties – each Customer only has access to their data. Internally, access to personal data is strictly limited: our staff access your data on a “need-to-know” basis and with least privilege, meaning only the personnel who require it for their job (for example, a support engineer troubleshooting view it. All employees and contractors are under confidentiality obligations.
### 5. Data Storage and International Transfers
We understand the importance of keeping personal data not only secure, but also in appropriate locations. Here we describe where we store data and how we handle international data transfers.
* Primary Storage in the EU: All personal data collected through VOVE ID’s services is, by default, stored on secure servers located in the European Union. We utilize Google Cloud Platform data centers in the EU (for example, in Belgium and/or the Netherlands) for our databases, file storage, and servers. By keeping data in the EU, we ensure that your information is protected under the stringent data protection laws of the European Economic Area (EEA). Google Cloud has robust security certifications and complies with the EUe of Conduct, and acts only on our instructions regarding your data. We do not store personal data in jurisdictions without adequate data protection unless necessary and with proper safeguards, as explained below.\
* Geographic Scope of Operations: VOVE ID’s main operations currently are based in Morocco and the EU. We may have personnel or partners outside the EU who assist with providing our services (for example, a support center or development team). However, even if our team is outside the EU, they will access data remotely on EU servers. We have strict controls and monitoring to ensure that all access is secure (e.g., via encrypted connections and VPN) and limited to authorized purposes.\
* Transfers Outside of the EU: Whenever we (or our sub-processors) transfer personal data from the EU to a country that is not deemed “adequate” by the European Commission (meaning the country’s privacy laws are not considered equivalent to EU standards), we rely on approved legal mechanisms to ensure your data remains protected. The primary mechanism we use is the European Commission’s Standard Contra (SCCs). These are contractual commitments between us (or our partners) and the data importer that require the same level of data protection as in the EU. For example:\
* * If our Customer is outside the EU and needs to receive End-User data (e.g., a bank in MENA or the US using our service), our contract with that Customer will include SCCs obligating them to protect the data.\
* If we use a sub-processor in the US or another country (for instance, an email service), we will have an SCC or an equivalent arrangement in place with them.\
Additionally, where appropriate, we implement additional safeguards on these transfers, such as encryption in transit and at rest, and policies to handle any government access requests for data (in line with the Schrems II ruling requirements).\
* Other Transfer Mechanisms: If SCCs are not applicable or sufficient in a scenario, we may rely on other GDPR-approved mechanisms: for instance, an adequacy decision (if the data is transferred to a country that the EU has deemed adequate, like Switzerland or likely the UK), or binding corporate rules (if we ever establish those for intra-group transfers), or your explicit consent in rare cases (with clear notice of risks). We will always choose the mechanism that best protects data and is feasible for the given transfer.\
* Data Localisation (if applicable): Some of our Customers or data subjects might be in countries with data localization laws (requiring data to stay within a country). If such laws apply, we will comply accordingly. For example, if a particular country in which we expand mandates that citizens’ data stays on servers in that country, we will set up the necessary infrastructure or partner with a local provider under equivalent protections. We will inform the affected users in our privacy communications if this becomes relevant.\
* Access from Other Regions: Even when data is stored in the EU, it might be accessed by you or by our Customer from wherever you/they are (since identity verification is online). For instance, if you are in MENA or Africa and verifying your identity, your data travels to our EU servers for processing, and the results are accessed by the company in your country. This is considered an international transfer from the EU perspective if the data goes to a non-EU company (the Customer). In such cases, as noted, we ensure our contracts with those Customers include EU model clauses and that they handle your data lawfully.\
* Retention of Data in Region of Origin: If required by our Customer or by law, we can ensure that a copy of the verification data is provided back to the Customer to store in their region. However, our own copy will reside in the EU (unless otherwise arranged contractually).\
In summary, our approach is to minimize cross-border transfers and, when they are necessary, to safeguard them thoroughly. We want you to know that wherever your data goes, it remains under the protection of strong privacy commitments. If you have questions about our international data handling or want to obtain a copy of the relevant transfer safeguards (like SCCs), please contact us (see Contact Us section). We may redact certain contractual provisions for confidentiality, but we can explain the protections in place.
### 6. Security Measures
VOVE ID takes data security extremely seriously. We employ a multi-layered security program to protect personal data from unauthorized access, alteration, disclosure, or destruction. Our security measures follow industry best practices and are continually updated to address evolving threats. In this section, we outline key technical and organizational measures we have implemented to safeguard your information.
#### 6.1 Technical Safeguards
* Data Encryption: All personal data is encrypted both in transit and at rest. This means that when your data is being transmitted between your device and our servers (or between our servers and sub-processors), we use strong encryption protocols (such as HTTPS/TLS) to prevent eavesdropping. Similarly, stored data (databases, backups, etc.) is encrypted using state-of-the-art encryption algorithms. Encryption ensures that even if data were to fall into the wrong hands, it would be unreadable.\
* Access Control and Authentication: Access to our systems and data repositories is strictly controlled via role-based access control (RBAC). Only authorized personnel with a need-to-know can access personal data, and their access is limited to the minimum tier role. We enforce strong authentication (including multi-factor authentication (MFA) for our employees and admins) to prevent logins. Administrative access to sensitive systems is logged and regularly reviewed.\
* Network Security: Our servers are protected by firewalls and network segmentation. We isolate environments so that, for example, public-facing systems are separated from internal databases. We employ intrusion detection and prevention systems (IDS/IPS) and continuous network monitoring. Regular security scans and penetration tests are conducted to find and patch vulnerabilities. We also utilize secure VPNs and encrypted channels for any remote administration.\
* Secure Software Development: Our engineering team follows secure coding practices and frameworks. We conduct code reviews and use automated scanning tools to detect security weaknesses in our software. Before new features or updates are deployed, they undergo testing (including security testing). We also run a bug bounty or responsible disclosure program encouraging security researchers to report issues to us.\
* Data Minimization and Pseudonymization: Whenever feasible, we reduce the amount of identifiable data in our systems. For example, for machine learning training we use anonymized data. Within operational systems, we may pseudonymize data (replace direct identifiers with codes) so that full identification is only possible with a separate lookup (which is tightly controlled). This way, even if an internal database is accessed, the data is not immediately identified without the key.\
* Monitoring and Logging: We have extensive logging of access and actions in our systems. Critical systems generate alerts for unusual activities (e.g., multiple failed login attempts, large data exports, etc.). We employ 24/7 infnitoring, so our security team is notified quickly of potential incidents or anomalies. Our logging also helps in forensic analysis if something does go wrong, so we can trace the issue.\
* Backups and Recovery: We perform regular backups of critical data to prevent loss. Backups are encrypted and stored securely (with the same data residency considerations – e.g., within the EU). We test our disaster recovery plans periodically to ensure that we can restore availability and access to data in a timely manner in case of a physical or technical incident. The default retention period for backups is l, 90 days) after which they are securely deleted, in line with our retention policy.\
#### 6.2 Organizational Measures
* Access Policies and Training: All VOVE ID employees and contractors undergo background checks as allowed by law and must sign confidentiality agreements. We provide regular training to all staff on privacy and data security practices, ensuring they understand their responsibilities to protect personal data and recognize social engineering or other risks. Our internal policies dictate how data is handled, reported, and disposed of. Only a small, vetted team has access to production personal data, and that too under strict circumstances.\
* Dedicated Security & Privacy Team: We have a dedicated team responsible for overseeing security and data protection compliance. This includes security engineers, compliance officers, and a Data Protection Officer (DPO) (if applicable by law or appointed by us voluntarily). This team conducts risk assessments and privacy impact\
processors. We also engage independent auditors or experts to assess our security controls regularly (including annual penetration testing and possibly SOC 2 or ISO 27001 audits as we grow).\
* Third-Party Risk Management: Before we onboard any sub-processor or vendor who might handle personal data, we perform a due diligence assessment of posture. We ensure there is a Data Processing Agreement in place. We require our sub-processors to have appropriate certifications or audits (like ISO 27001, SOC 2, or similar) or to otherwise demonstrate compliance with GDPR. We monitor their compliance and will terminate contracts if a vendor doesn’t meet our security requirements.\
* Least Privilege & Need-to-Know: As noted, internally we adhere to the principle of least privilege. Our support or verification agents can only see data relevant to the task (e.g., a support agent might see an End-User’s verification session details only when troubleshooting that session for the Customer, and even then, sensitive data like full ID images may be hidden or masked unless absolutely necessary). Access to production data is logged and requires managerial approval.\
* Physical Security: Although we rely heavily on cloud infrastructure, any office or data center environment we operate in is secured. Our offices have access controls (badges/biometrics) and visitor policies. For cloud data centers, we rely on provider physical security (which for Google Cloud includes 24/7 guard surveillance, biometric access, etc.). We do not store sensitive personal data on employee laptops or devices; everything is in secure cloud environments. Employee devices are encrypted and centrally managed to enforce security (with remote wipe, etc.).\
* Incident Response Plan: We have an incident response plan that outlines the steps for detecting, containing, investigating, and notifying appropriate parties of security incidents. Key staff are trained on emergency procedures. We simulate breach scenarios to ensure readiness. See the next section on Data Breach Response for details on how we handle any actual incidents.\
* Certifications and Compliance Programs: We continuously review our security controls against industry standards and emerging threats to keep our protections up to date.\
Our goal is to maintain a “state-of-the-art” security posture in line with GDPR’s requirement for appropriate technical and organizational measures (Article 32). Data security isn’t a one-time effort – we treat it as an ongoing priority that is embedded in all aspects of our operations. If you have specific questions about our security measures, we can provide further information (subject to not exposing sensitive info that could itself be misused).
### 7. Data Breach Response
Despite best efforts, no system is 100% secure. In the unlikely event of a personal data breach (a security incident leading to accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to personal data), VOVE ID has a clear plan to respond quickly and effectively in order to minimize any harm and comply with our legal obligations.
Identification and Containment: Our monitoring systems and staff are trained to detect potential security incidents. The moment we suspect a data breach, our incident response team swings into action. We gather details on what happened, what data is involved, and which individuals might be affected. We work to immediately contain the breach – for example, isolating impacted systems, revoking compromised credentials, or shutting down an attack in progress – to prevent further unauthorized access.
Assessment: We will assess the scope and severity of the breach. This means determining how much data and which individuals are impacted, the type of data (for instance, whether it included sensitive information like IDs or biometrics), and the potential consequences for users. We also determine whether the breach is likely to result in any risk to individuals’ rights and freedoms – GDPR makes a distinction between breaches that pose a risk and those that don’t, which influences notification requirements.
Internal Notification: Our internal escalation policy ensures that the right people are informed, including executive leadership, our Data Protection Officer (if one is appointed), and our security team. If the breach involves systems managed by a sub-processor, we also inform that sub-processor and coordinate response efforts.
Fixing the Issue: We will identify the root cause of the breach and take corrective actions to prevent a recurrence. This could involve patching software, changing configurations, enhancing monitoring, or even disciplining or re-training staff if human error was involved. We document everything we learn for accountability and improvement.
Notification to Affected Parties: We are committed to transparency about serious incidents. As a data processor for End-User data, we will notify the affected Customer (data controller) without undue delay after breach. This allows our Customer to then fulfill their obligation to notify regulators or individuals as required. We will provide them with all relevant information about the breach, including the nature of the incident, the data affected, likely consequences, and measures taken to mitigate it. We will assist our Customer in communicating with their end-users if needed.
If VOVE ID is the data controller of the data involved (e.g., a breach of website visitor or client account data), we have legal duties to notify:
* Supervisory Authority: If the breach is likely to result in a risk to individuals’ rights and freedoms (for example, risk of identity theft, fraud, reputational harm, or other significant effect), we will report the breach to the relevant Data Protection Authority without undue delay and, where feasible, within 72 hours more of it. Our report will include the nature of the breach, categories and approximate number of affected individuals and records, likely consequences, and measures taken or proposed to address it. If we can’t provide all details within 72 hours, we will provide initial info and supply more as soon as possible.\
* Affected Individuals: If the breach is likely to result in a high risk to your rights and freedoms, we will also inform you (the impacted individuals). High risk means you could potentially suffer significant harm – for example, if your identity information or password was leaked and could be misused. Our communication will be in clear language, describing what happened and any steps you should take to protect yourself (like changing passwords or being vigilant against scams), as well as providing our contact information for more information. We may not contact individuals directly if the data was End-User data under a Customer’s control – in that case, typically the Customer will handle individual notices, often with our help. If we have made the data unintelligible (e.g., strong encryption) or taken measures that neutralize the risk, or if individual notification would involve disproportionate effort (in which case we’d do a public announcement), GDPR may not require an individual. But our default approach is to err on the side of caution and transparency.\
Regulatory Compliance: We document all breaches and our responses, per GDPR’s accountability principle. If required, we will liaise with Data Protection Authorities to provide additional information. We view regulatory inquiries not as adversarial but as an opportunity to ensure we’ve properly addressed the issue. We will follow any guidance given by authorities regarding further actions.
Continuous Improvement: After resolving a breach, we conduct a post-mortem analysis to learn from it. We update our security measures and response plan based on any lessons learned. Our goal is to prevent future incidents and to strengthen our systems. Often, breaches (even minor ones) lead to implementing even tighter controls.
Rest assured, we treat any security incident with the utmost urgency and integrity. Protecting your data is our top priority, and in the rare event something goes wrong, we will do everything in our power to set it right and keep you informed every step of the way.
### 8. Data Retention
We only keep personal data for as long as it is necessary to fulfill the purposes outlined in this policy, or as required by law or our contractual obligations. Holding data for longer than needed can increase privacy risks, so we aim to minimize retention. Below we explain how long different types of data are retained and the criteria we use to determine retention periods.
* End-User Verification Data: By default, VOVE ID will retain the personal data collected during an identity verification for a limited period, after which it is deleted or irreversibly anonymized. Our standard retention policy for verification records is no longer than 3 years from the date of verification. In many cases, we retain detailed data (e.g., images, video, documents) for a shorter period (for example, \[90 days] in “active” storage accessible to our Customer) and then archive the data in a secure, access-restricted form for the remainder of the retention. Archived data is kept only for purposes of audits, compliance, or handling disputes and is not readily accessible for routine use. After the retention period expires, we securely delete the personal data, including backups.\
* * Client-Specific Retention: Some of our enterprise Customers may request a different retention period to meet their own regulatory requirements. For instance, a financial institution might need to keep KYC records for 5 years by law, or conversely a privacy-conscious service might ask us to delete data sooner (say, after 30 days). We offer flexibility to our Customers to configure retention within our platform or by requesting it. If the Customer sets a custom retention, that will override our default for that data (and you would typically be informed via the Customer’s privacy notice). In any case, we never retain End-User personal data indefinitely and we will follow the controller’s instructions in this regard.\
* Biometric Data: For biometric identifiers (like facial templates), we apply even stricter retention in line with legal guidance. For example, templates may be retained only for as long as needed to complete the verification and then deleted or stored separately with additional protection. As noted earlier, by default we do not keep biometric face data longer than 3 years, and often much shorter. Some laws (like Illinois’ BIPA in the U.S.) require deletion of biometrics once the purpose is fulfilled, or within 3 years. We design our retention to meet the most stringent applicable rule.\
* Anonymized Data: We may retain anonymized data (which is no longer personal data) derived from verifications for analytics or training purposes beyond the retention period, since it poses no privacy risk. For instance, statistical information like “pass rates” or non-identifiable features used to improve our algorithms can be kept to improve our service over time. This data will not identify you and is not subject to deletion upon request because it’s not tied to any individual.\
* Business Client Data: If you are a Customer or user of our B2B service, we retain your data for the duration of the business relationship and thereafter as needed. Specifically:\
* * Your account information and user profile are kept as long as your company remains a customer and your login is active. If you leave the company or your account is deactivated, we will remove or anonymize personal data associated with your user after a reasonable period, except to the extent it’s contained in business records we must retain.\
* Contract and transaction information (like the master agreement, billing records, support tickets) are retained for the term of the contract and typically at least 3 years after termination. This is to comply with legal record-keeping requirements (for example, accounting/tax laws might require 7 years retention of invoices) and to have necessary information in case of any post-contract obligations or disputes. We archive old client records securely and restrict access.\
* Communications with you (emails, chat logs) might be retained for a shorter period \[e.g., 2 years] unless they contain important business info we need to keep longer. We periodically clean out older communications that are no longer needed.\
* If you unsubscribe from marketing communications, we will keep your contact on a suppression list indefinitely to ensure we respect that unsubscribe request (this is a standard practice to avoid accidentally emailing those who opted out). The suppression list contains minimal info (usually just email and opt-out status).\
* Website Visitor Data:\
* * Web server logs (which may contain IP addresses and visit timestamps) are generally kept for a short period, typically several weeks to a few months (e.g., 1-3 months) unless they are needed longer for security analysis. We rotate and delete logs regularly. Logs required for legal or security investigations may be kept until those issues are resolved.\
* Analytics data is retained as per our configuration with our analytics provider. We currently set our Google Analytics data retention to 14 months by default (which is a common default), meaning data older than that is automatically deleted from Analytics reports. We don’t store raw analytics beyond the provider’s retention.\
* Cookies set on your browser have their own expiration durations. Some cookies (like session cookies) expire when you close your browser. Others (like preferences or analytics cookies) might persist for a few months or a year or two. Our Cookie Notice details the lifespan of each cookie. You can clear cookies from your browser at any time to delete those immediately.\
* Information you submit via forms (like contact requests) is stored in our systems (CRM or email) typically until it’s no longer needed. If you don’t become a customer or the conversation doesn’t continue, we might delete your inquiry after \[12-24 months]. If you do engage with us (say you become a customer), the data becomes part of client records and follows the client retention policy.\
* Recordings of any user sessions (if we ever use tools that record how users interact on our site, which we currently do not, or if we have webinar recordings that include attendees) are kept only as long as necessary for analysis or providing the service.\
* Legal Holds: Occasionally, we may need to suspend deletion of certain data if it is subject to a legal hold – for example, if a lawsuit, investigation, or audit requires us to preserve evidence. In such cases, we will retain the relevant data until the hold is lifted, and then proceed with deletion or anonymization.\
* Deletion Procedures: When data reaches the end of its retention period, we delete it securely. Physical deletion from databases and file systems is performed, and for backups, data is overwritten or purged once the backups expire. Where deletion is not immediately feasible (perhaps it’s in cold storage), we ensure it’s isolated and protected until deletion is possible. We also ensure that our sub-processors delete data from their systems once it’s no longer needed. If we have communicated deletion or account closure to you, we follow through with permanent deletion (except for the limited data we may need to retain as noted).\
To summarize, our retention approach is: keep data for only as long as necessary, and no longer. By default, we avoid indefinite retention. We balance retention needs with privacy, meaning we keep data long enough to serve legitimate purposes (like fraud prevention – sometimes historical data helps identify repeat fraudsters – or compliance record-keeping), but not so long that it becomes an unnecessary risk or burden.
If you have specific questions about how long your personal data is kept in a particular context, or if you believe we are still holding data that we shouldn’t, please contact us. In some cases, you may also exercise your right to erasure (right to be forgotten), which we address in the next section.
### 9. Your Rights as a Data Subject
As a user of our services or visitor to our site, you have certain rights regarding your personal data under GDPR and other data protection laws. We are committed to honoring your rights and providing you with control over your information. Below, we outline your key data subject rights and how you can exercise them. (If you are in a jurisdiction with additional rights, such as California or Brazil, those would generally be addressed separately; this section focuses on GDPR-defined rights which we extend broadly.)
* Right to Be Informed: You have the right to clear and transparent information about how we process your personal information, essentially, the purpose of this Privacy Policy. We aim to provide all details about our data practices. If anything is unclear, you can always ask us for more information.\
* Right of Access: You have the right to request confirmation of whether we are processing your personal data, and if so, to receive a copy of that data, along with supplementary information. This is commonly known as a “Data Subject Access Request” (DSAR). For example, you can ask us to provide the data we have about you in our systems. We will provide it free of charge, usually within one month. If you request additional copies, we may charge a reasonable fee based on administrative costs.\
* Right to Rectification: You have the right to have inaccurate personal data corrected and incomplete data correction. If you see that we hold incorrect information about you (e.g., a misspelled name or outdated contact info), please let us know so we can fix it. In many cases (like a client user profile), you can correct your data directly through account settings.\
* Right to Erasure (Right to be Forgotten): You have the right to request deletion of your personal data in certain circumstances. For instance, if the data is no longer necessary for the purposes it was collected, or if you withdraw consent and we have no other legal ground for processing, or if you object to processing and we have no overriding legitimate grounds, or if we unlawfully processed your data, you can ask us to erase it. We will honor valid erasure requests and delete your data, and also direct our processors to do so, except where we are required to keep the data (for example, due to legal obligations or defense of legal claims). We will inform you if that’s the case.\
* Right to Restrict Processing: You have the right to request that we limit the processing of your personal data in certain situations . This could apply if you contest the accuracy of the data (we’ll restrict processing while verifying accuracy), or if the processing is unlawful but you prefer restriction over deletion, or if we no longer need the data but you need it for a legal claim, or if you have objected to processing (pending verification of overriding grounds). When processing is restricted, we will store your data but not use it (except, for example, to establish or defend legal claims, or with your consent). We’ll let you know when a restriction is lifted.\
* Right to Data Portability: For data you provided to us, you have the right to receive it in a structured, commonly used, machine-readable format, and the right to have us transmit that data to another controller where technically. This right applies when the processing is based on your consent or on a contract with you, and is carried out by automated means. In practice, this might apply if, say, you provided data in a signup form and want to reuse it elsewhere. We will provide the data in a CSV or similar format that is easy to import, upon request. Note that this right is not an obligation to keep data longer for the sake of portability; it only covers what we have.\
* Right to Object: You have the right to object to processing of your personal data at any time, when such processing is based on our legitimate interests, or if we were performing a task in public interest/exercise of official authority (which we typically don’t). If you object, we must stop processing your data unless we demonstrate compelling legitimate grounds that override your interests, rights, and freedoms, or the processing is for the establishment, exercise, or defense of legal claims. You also have an absolute right to object to any direct marketing uses of your data. For example, if you receive marketing emails from us and don’t want them, you can object (unsubscribe) and we will stop. If you object to processing for fraud prevention (legitimate interest), we will consider your request and balance it against the necessity of the processing.\
* Right not to be subject to Automated Decision-Making: You have the right not to be subject to a decision based solely on automated processing, including profiling, if it produces legal effects or similarly significant effects on you\
(a) necessary for entering into or performing a contract, (b) authorized by law, or (c) based on your explicit consent. In simpler terms, if a computer says “no” (for example, denies a verification) with no human involvement, and that denial has a big impact on you, you can request human intervention or challenge the decision. We address our approach to automated decisions in the next section. In our processes, we include human review especially for borderline or failed cases to ensure fairness. As an End-User, you can also raise any concerns through our Customer or directly to us, and we will have a person examine the situation.\
* Right to Withdraw Consent: When we rely on your consent to process data (for example, your consent to use cookies or to process biometric data), you have the right to withdraw that consent at any time. Withdrawal of consent will not affect the lawfulness of processing already carried out, but it will stop the future processing of the data involved. For example, you can change your cookie settings to withdraw consent for analytics, or if you consented to a biometric verification and then change your mind before completion, you can notify us or the Customer to halt the process. Do note that if you withdraw consent needed for a service (like identity verification), it may impede the ability to complete that service.\
These rights are not absolute – there are exceptions and conditions under which they apply. For example, we might not erase data that we are required by law to keep, or we might refuse an access request that is manifestly unfounded or excessive (but we would provide a justification in such cases). However, we will always assess and respond to your requests in good faith and in accordance with applicable laws.
#### 9.1 Exercising Your Rights
How to Make a Request: To exercise any of your data subject rights, you can contact us using the information in the Contact Us section of this policy. The easiest method is usually to email us at \[subject:privacy] with your request. Please describe what right you want to exercise and any relevant details (for example, the context in which you interacted with us, so we can locate your data). You can also send requests via postal mail to our address or use any online portal we might provide for privacy requests.
Identity Verification: For security, we may need to verify your identity before acting on your request. This is to ensure lose or delete data at the request of someone impersonating you. We might ask you to provide information that matches our records, or if necessary, a copy of an ID (we’ll only use it to confirm identity, and then delete that copy). For End-Users, since we might only have your data via a Customer, we might refer you to the Customer to validate your identity and request (since they initially collected your info).
Acting on Behalf of Another: If you are an authorized agent making a request on someone else’s behalf, we will require proof of authorization (for example, a power of attorney or a written consent from the data subject).
Fees and Timing: In general, we do not charge a fee for fulfilling rights requests. If a request is unusually burdensome or repetitive, the law permits a reasonable fee or even refusal, but we will typically try to provide at least one copy of your data for free. We aim to respond to all valid requests within one month of receiptuest is complex or we have a high volume of requests, we may extend this by an additional two months, but if so, we will inform you within the first month and explain why. For example, an access request that involves pulling data from multiple systems might take longer; we’ll keep you updated.
Interaction with Our Customers (for End-Users): If you are an End-User whose data we process on behalf of a Customer, it is often most efficient to direct your request to that Customer first. As the data controller, they have the responsibility to address your rights. For instance, if you want a copy of your verification data, the company you verified with might provide that to you (often they have it in their dashboard). If you request deletion through the Customer, they will instruct us to delete records as needed. That said, you are not prohibited from contacting us directly – we will assist and coordinate with the Customer to the extent we are allowed. Under GDPR, as a processor we must assist the controller in meeting data subject requests. So if we use it and we know it relates to a Customer’s data, we might consult them (to verify, for example, that releasing the data to you is appropriate and doesn’t violate someone else’s privacy, etc.) and then proceed accordingly.
Objecting to or Limiting Processing: If you choose to object to processing or withdraw consent, we will explain the consequences (if any) to you. For example, if you object to processing necessary for our service to a Customer, we might have to inform the Customer that we can no longer process your upcoming verifications. If you withdraw consent for marketing emails, we will stop those right away (it may take a few days to propagate across systems, but usually it’s immediate via the unsubscribe link). If you want to restrict processing, we will mark your data as restricted and not use it (aside from storing it) until the matter is resolved.
Denial of Requests: In rare cases, we might not be able to fulfill a request. Examples include: we cannot delete data that is required by law (we would inform you of this and only retain what’s necessary); we cannot provide data that would infringe on another’s rights (if your data is mixed with others’ and revealing it would impact others’ privacy, we’ll work to isolate your data); or if you request excessive copies or make repetitive requests, we might refuse or charge a fee. If we refuse any part of a request, we will clearly explain why, and outline any further options (like complaining to a DPA, see below).
Complaints: We encourage you to contact us first to resolve any questions or issues about your personal data. However, if you believe we have not complied with your data protection rights, you also have the right to lodge a complaint with a Data Protection Supervisory Authority (such as the CNDP in Morocco, or the Data Protection Authority in your EU country, or the UK’s ICO if in Britain, etc.). You can do so in the EU Member State where you reside, where you work, or where you believe the infringement occurred. We will cooperate fully with any inquiries by a regulator and strive to resolve issues amicably.
In summary, your rights are vital to us. We have established procedures to ensure we can honor them. Please don’t hesitate to exercise these rights – they are designed to give you control and peace of mind regarding your personal data.
### 10. Automated Decision-Making and Profiling
VOVE ID’s services involve advanced technology, including artificial intelligence (AI) and machine learning, to perform identity verification efficiently and accurately. We want to be transparent about how automated processing works in our system, and the role of humans in the decision-making loop.
Automated Processes in Verification: When you undergo identity verification through VOVE ID, several steps are automated. For example, our system may automatically check if the ID document you submitted is authentic (e.g., by detecting security features or comparing it against templates), or automatically compare your selfie to the photo on your ID using facial recognition algorithms. We also might have automated fraud checks – for instance, flagging if the same ID has been used multiple times or if certain risk indicators are present (like the document is expired or the video is suspected to be spoofed). These automated processes help to streamline verification, often in real-time or within minutes.
Significance of Decisions: Typically, the outcome of an automated process is a recommendation or score rather than a final verdict. For instance, our system might produce a confidence score that your selfie matches your ID photo, or a result that the ID passed authenticity checks. These results are then used by our Customer (the company verifying you) to decide whether to approve your verification or not. In many cases, the decisions that affect you (e.g., can you open the account or not) are made by our Customer, potentially with input from our automated results.
Human Oversight: We incorporate human review and oversight in our identity verification workflow to avoid solely automated decisions that could significantly affect individuals. Many identity verification outcomes are reviewed by trained verification specialists, especially if the automated system is unsure or flags an issue. For example, if our algorithms can’t confidently verify your document or face, the case may be escalated to a human verifier who will manually inspect the images and make a determination. This hybrid approach combining automated and human oversight ensures higher accuracy and fairness. We solely on algorithms to accept or deny an identity – there is usually a human in the loop either at VOVE ID or at our Customer’s side reviewing the results, particularly for borderline cases.
No Legal or Similarly Significant Decisions by VOVE ID Alone: VOVE ID itself typically does not make any decisions with legal or similarly significant effect on you without human involvement. Our service provides identity verification results to our Customer. It is ultimately our Customer’s decision to, say, onboard you as a client or not, based on those results and their own assessment. That said, we acknowledge that a negative verification result can have a significant impact (e.g., you might not get to use a service if your identity can’t be verified). Therefore, we design our systems to minimize errors and allow recourse.
Your Rights regarding Automated Decisions: Under GDPR, you have the right not to be subject to a decision based solely on automated processing that significantly affects you, and request a human intervention, to express your point of view, and to contest the decision. If you ever feel that an automated decision through our system was incorrect or unfair, you can contact our Customer or us to request a manual review. For example, if your verification was denied and you believe it was a mistake (perhaps the photo quality was poor or the system made an error), you can ask for a re-verification or review. Our Customer may have their own process for handling such appeals, and we will assist them by providing any necessary information or performing a second look through a human verifier.
Profiling: Profiling in our context could mean analyzing aspects of you like behavior or characteristics to assess risk of fraud. We do generate risk profiles in a limited sense (e.g., device reputation, past verification outcomes). However, we do not profile you for marketing or make personal predictions outside of identity verification. Any profiling we do is solely aimed at verifying identity and detecting fraud, not to evaluate your personality, habits, or creditworthiness, for instance.
Model Training and Fairness: Our AI models (for face matching, etc.) are trained on diverse datasets with the aim of being fair and unbiased. We actively monitor for and mitigate biases (such as differences in accuracy across different demographic groups). We also regularly test the performance of our automated checks to ensure reliability. If any systematic issue is found, we update our models and, in the interim, rely more on human checks. We understand the sensitivity around automated biometric matching and strive to meet high accuracy standards to avoid false rejections or false acceptances.
Transparency: If a particular decision or outcome was significantly driven by automation, we or our Customer will, upon request, provide you with meaningful information about the logic involved. We might describe, for example, “Your document was flagged as potentially forged by our automated system due to a mismatch in data, which contributed to the decision to require further review.” We won’t reveal proprietary algorithms in detail, but we will explain the general factors.
In summary, while VOVE ID employs sophisticated automated systems to make identity verification fast and secure, we do not hand over your fate to a machine without recourse. We blend technology with human judgment to ensure decisions are accurate and justified. If you ever feel an automated part of our service has caused an incorrect outcome for you, let us or the business you were signing up with know – you have the right to have a real person look into it and to provide any additional information that might help correct the outcome.
### 11. Updates to this Privacy Policy
We may update or modify this Privacy Policy from time to time to reflect changes in our practices, technologies, legal requirements, or for other operational reasons. We want you to always be aware of how we handle your personal data, so we will notify you of significant changes and post the revised policy with an updated effective date.
Version and Date: At the top of this policy, you can find the “Last Updated” date. That date indicates when the current version took effect. Older versions of our Privacy Policy can be provided upon request for reference (or may be archived on our website).
Notification of Changes: If we make material changes to this policy – for example, if we start processing data for a new purpose, or if we change how long we keep data, or if we engage new categories of recipients – we will take appropriate measures to inform you. This might include:
* Posting a prominent notice on our website or dashboard (such as a banner or pop-up) informing of the update.\
* Sending an email notification to our Customers or to users (if we have your email on file) describing the changes.\
* In some cases, we might seek your consent to the new practices, if required by law. For example, if a new purpose would rely on consent or if we were to start processing sensitive data in a new way, we’d ensure you have a choice before that happens.\
Minor changes (like clarifications, grammatical fixes, or updates that do not significantly affect privacy) may be made without a specific notice, beyond just updating the policy on our site. However, we strive not to make any surprise changes.
Reviewing the Policy: We encourage you to review this Privacy Policy periodically to stay informed about our data practices. If you continue to use VOVE ID services or our website after a new version of the policy is in effect, it will be deemed acceptance of the updated terms (to the extent allowed by law). If you do not agree with any changes, you should discontinue use of our services, and you may exercise your rights (such as requesting deletion of your data).
For our Customers: if we update this policy, it does not reduce your rights under any existing contract with us; it’s mainly to ensure transparency. We synchronize our privacy commitments in this public notice with our contractual commitments in Data Processing Agreements.
Customization Note: If an individual Client using VOVE ID has their own privacy notice referencing ours, they should update their references when we change this policy. We can provide a summary of key changes to assist with any communications you might need to do on your side.
We will not retroactively apply any material changes to data we collected in the past without your consent or a lawful basis. Any changes will apply going forward from the effective date.
If you have any questions or concerns about changes to this Privacy Policy, please reach out to us using the contact details below.
### 12. Contact Us
We welcome any questions, concerns, or requests regarding this Privacy Policy or our data practices. Your privacy is important to us, and we are here to help.
* Email: You can reach our privacy team at . This is the quickest way to get a response on any privacy-related inquiry, including exercising your rights.
* Postal Mail: If you prefer, you may write to us at:\
VOVE ID Privacy Team 16192 Coastal Highway, Lewes, County of Sussex, State of Delaware, 19958, USA\
(Please include “Attn: Privacy” or “Attn: Data Protection Officer” on the envelope so it reaches the correct team.)
* Data Protection Officer (DPO): We have appointed a Data Protection Officer to oversee our GDPR compliance. You may contact our DPO at or via the postal address above (Attn: Data Protection Officer). The DPO is happy to address any issues regarding how we handle personal data.
We endeavor to respond to all legitimate inquiries as promptly as possible, typically within a few business days. If you are contacting us to exercise your rights, please see the section above on what information to include to help us process your request efficiently.
If you have a concern about privacy or data use that we have not addressed satisfactorily, you also have the right to contact your local data protection authority as mentioned. But we do hope to resolve any issues directly.
Thank you for trusting VOVE ID with your identity verification needs. We value that trust and are committed to safeguarding your personal information. This Privacy Policy is meant to provide transparency and assurance of that commitment. We are continuously improving our practices and policies, and your feedback is welcome.
# Politique de confidentialité
## Politique de confidentialité globale de VOVE ID
(Dernière mise à jour : 26 mars 2025)
Nous vous remercions d’avoir pris connaissance de la politique de confidentialité de VOVE ID. Cette politique complète explique comment VOVE ID (ci-après « nous ») collecte, utilise et protège les données personnelles à travers l’ensemble de nos services et plateformes. Elle couvre les pratiques de confidentialité concernant :
* Utilisateurs finaux – les personnes dont l’identité est vérifiée via notre SDK ou API à la demande de l’un de nos clients professionnels (nos « Clients »).
* Visiteurs du site web – les personnes visitant notre site internet ou utilisant nos ressources en ligne (y compris le suivi par cookies et les analyses).
* Clients professionnels – les représentants et utilisateurs de nos Clients professionnels qui accèdent au tableau de bord et aux services VOVE ID (utilisateurs B2B).
Nous nous engageons à protéger vos données conformément au Règlement général sur la protection des données (RGPD) de l’UE et aux lois mondiales applicables en matière de confidentialité. Cette politique est conçue pour être facile à parcourir, avec des sections claires pour chaque catégorie d’utilisateur, et est rédigée dans un langage professionnel et accessible.
Responsable du traitement vs. Sous-traitant – Comprendre notre rôle : Dans le cadre de la fourniture de services de vérification d’identité à nos Clients, VOVE ID agit en tant que sous-traitant en traitant les données personnelles des Utilisateurs finaux pour le compte du Client (qui est le responsable du traitement décidant des finalités et des moyens du traitement). En d’autres termes, si vous vérifiez votre identité via VOVE ID, l’entreprise qui vous a dirigé vers notre service (notre Client) détermine pourquoi vos données sont traitées, et nous les traitons conformément à ses instructions. Cela signifie également que le Client doit disposer d’une base légale valide pour nous demander de vérifier votre identité et doit vous informer de la manière dont lui et VOVE ID traitent vos données. Pour d’autres interactions – par exemple lorsque vous visitez notre propre site web ou lorsque nous gérons le compte d’un Client – VOVE ID est le responsable du traitement de ces informations.
Veuillez noter : Si vous êtes un Utilisateur final en cours de vérification, assurez-vous de consulter la notice de confidentialité de l’entreprise qui a demandé la vérification (notre Client) en plus de cette politique.
La notice de confidentialité de cette entreprise expliquera ses finalités et bases légales pour la vérification de votre identité et comment exercer vos droits auprès d’elle. La présente politique VOVE ID explique comment nous traitons vos données dans le cadre de la fourniture de nos services à cette entreprise. Certaines sections de cette politique comprennent également des espaces réservés ou des notes qui peuvent être adaptés pour des intégrations clients spécifiques ou pour satisfaire à certaines exigences. Nous serons ravis de répondre à toute question spécifique à un client si nécessaire.
### 1. Définitions clés
Par souci de clarté, voici quelques termes clés utilisés dans la présente politique :
* Données personnelles – toute information se rapportant à une personne physique identifiée ou identifiable (une « Personne concernée »). Cela inclut notamment des informations telles que le nom, les numéros d’identification, les données de localisation, les identifiants en ligne, ainsi que des facteurs spécifiques à son identité physique, génétique, mentale, économique ou sociale. Dans notre contexte, même une photo ou une pièce d’identité que vous fournissez constitue une donnée personnelle.\
* Traitement – toute opération effectuée sur des données personnelles, telle que la collecte, l’utilisation, le stockage ou la suppression.
* Personne concernée – l’individu auquel se rapportent les données personnelles (ici, les Utilisateurs finaux, les visiteurs du site web ou les représentants de clients – c’est-à-dire vous).
* Responsable du traitement – l’entité qui détermine les finalités et les moyens du traitement des données personnelles. Pour les services de vérification d’identité, notre Client (l’entreprise qui a demandé votre vérification) est le responsable du traitement des données des Utilisateurs finaux. Pour les données collectées sur notre propre site web ou dans le cadre de la gestion du compte d’un Client, VOVE ID est le responsable du traitement.
* Sous-traitant – l’entité qui traite des données personnelles pour le compte d’un responsable du traitement. VOVE ID agit en tant que sous-traitant lorsque VOVE ID traite les données des Utilisateurs finaux pour la vérification d’identité, et ce, sous la direction de nos Clients.
* Client (Entreprise cliente) – une entreprise ou organisation qui utilise les services de VOVE ID pour vérifier l’identité des Utilisateurs finaux. Par exemple, une banque ou une société fintech qui intègre notre SDK afin de confirmer l’identité de ses propres utilisateurs.
* Utilisateur final – une personne qui fait l’objet d’une vérification via le service de VOVE ID à la demande d’un Client. Par exemple, si vous êtes client d’une banque qui utilise VOVE ID dans le cadre de la procédure KYC, vous êtes l’Utilisateur final dans ce contexte.
* Visiteur du site web – toute personne qui visite nos sites web (par exemple, voveid.com) ou interagit avec notre contenu en ligne.
* Utilisateur B2B – une personne agissant pour le compte d’un Client professionnel, par exemple un employé ou un administrateur qui accède au tableau de bord ou à l’API VOVE ID.
* Services – les solutions de vérification d’identité de VOVE ID et les services associés.
### 2. Données personnelles que nous collectons
Nous collectons différents types de données personnelles selon la manière dont vous interagissez avec VOVE ID. Cette section décrit les catégories de données que nous traitons pour les Utilisateurs finaux, les Clients professionnels et les Visiteurs du site web.
#### 2.1 Utilisateurs finaux (Données de vérification d’identité)
Si vous êtes un Utilisateur final en cours de vérification d’identité via notre SDK ou plateforme, nous pouvons collecter les types de données personnelles suivants vous concernant :
* Informations d’identification : Détails qui aident à vous identifier, tels que vos nom complet, date de naissance, lieu de naissance, adresse, nationalité, et toute autre information que vous ou notre Client fournissez dans le processus de vérification. Cela provient souvent du document d’identité que vous soumettez (par ex., le nom et la date de naissance figurant sur votre carte d’identité ou passeport).
* Détails du document d’identité : Informations extraites de vos documents d’identité, y compris le type de document (passeport, carte d’identité, permis de conduire, etc.), le numéro du document, la date d’expiration, le pays de délivrance, et les éléments de sécurité. Nous pouvons collecter des images ou scans de votre document d’identité (recto et verso) dans le cadre de ce processus.
* Données biométriques (photo/vidéo) : Vos données biométriques, notamment votre photographie, selfie ou vidéo en direct capturée pendant la vérification, ainsi que les identifiants biométriques qui en sont dérivés. Par exemple, nous pouvons capturer une vidéo selfie en direct pour effectuer un contrôle de « vivacité » en 3D et une reconnaissance faciale par comparaison avec la photo de votre document d’identité. Cela peut générer des données biométriques utilisées pour vous identifier de manière unique (par ex., des mesures ou modèles faciaux). Avis concernant les données sensibles : Les données biométriques utilisées à des fins d’identification sont considérées comme une catégorie particulière de données personnelles au titre du RGPD. Nous ne traitons ces données que dans la mesure nécessaire à la prévention de la fraude et à la vérification d’identité, et en conformité avec les lois applicables (par exemple, en obtenant votre consentement explicite pour le traitement biométrique si la loi l’exige).
* Informations de contact (si fournies) : Dans certains cas, nous pouvons collecter des coordonnées telles que votre adresse e-mail ou numéro de téléphone. Cela peut se produire si notre Client nous demande de vous contacter avec un lien ou un code de vérification, ou si de telles informations figurent sur votre document d’identité. Nous utilisons ces informations uniquement pour faciliter le processus de vérification (par ex., en envoyant un code à usage unique), sauf indication contraire.
* Données techniques et de l’appareil : Informations sur l’appareil et le réseau que vous utilisez pour effectuer la vérification. Cela comprend l’adresse IP (et la géolocalisation approximative qui en est dérivée), le type d’appareil (par ex., modèle, système d’exploitation, navigateur), les identifiants uniques de l’appareil, les paramètres de langue, et les données de télémétrie (telles que les données des capteurs de la caméra pendant les contrôles de vivacité). Nous collectons ces données pour assurer la sécurité (par exemple, détecter des appareils suspects ou des tentatives multiples) et améliorer l’expérience utilisateur (par exemple, optimiser la qualité vidéo pour votre appareil).\
* Métadonnées de vérification : Données générées pendant la session de vérification, telles que les horodatages des différentes étapes, les identifiants de transaction ou de session, les journaux des éventuelles erreurs et le résultat final de la vérification (par ex., « vérifié » ou des indicateurs spécifiques pour des problèmes comme un document expiré ou une discordance faciale). Nous pouvons également enregistrer la raison en cas d’échec de la vérification (par ex., « photo du document peu lisible » ou résultat d’une vérification sur des listes de surveillance).\
* Données de prévention de la fraude : Toute information supplémentaire que nous déduisons pour prévenir la fraude. Par exemple, nous pouvons analyser certains schémas (comme vérifier si le même appareil ou document d’identité a été utilisé lors de tentatives de fraude antérieures) ou effectuer des vérifications via des tiers (comme vérifier l’authenticité du document d’identité ou comparer votre nom à des listes de sanctions ou de personnes politiquement exposées (PEP) si notre Client requiert un contrôle LCB-FT). Cela peut inclure des scores de risque ou des indicateurs aidant notre Client à décider d’approuver ou de rejeter une transaction.\
#### 2.2 Clients professionnels (Données des utilisateurs B2B)
Si vous êtes un client professionnel ou un utilisateur autorisé de nos services (par exemple, si vous travaillez pour une entreprise disposant d’un compte VOVE ID et que vous vous connectez à notre tableau de bord ou utilisez notre API), nous collectons des données personnelles afin de gérer notre relation et de vous permettre d’utiliser VOVE ID. Cela peut inclure :
* Coordonnées : Votre nom, adresse e-mail professionnelle, numéro de téléphone, fonction/poste, et la société que vous représentez. Nous collectons ces informations lorsque vous ou votre employeur vous inscrivez aux services VOVE ID, lorsque vous correspondez avec nous, ou par le biais d’un contrat. Nous utilisons ces données pour vous identifier, communiquer avec vous et authentifier votre accès au tableau de bord.\
* Identifiants de compte : Si vous disposez d’un identifiant pour notre tableau de bord ou plateforme, nous traiterons votre nom d’utilisateur, mot de passe (stocké sous forme hachée) et tout identifiant de compte. Pour l’utilisation de l’API, nous émettons des clés ou jetons API liés à votre compte. Il vous incombe de garder vos identifiants de connexion confidentiels ; nous ne vous demanderons jamais votre mot de passe par e-mail ou téléphone.\
* Données d’utilisation du compte : Informations sur la façon et le moment où vous utilisez nos services B2B. Par exemple, nous pouvons enregistrer la date et l’heure de votre dernière connexion, les actions effectuées dans le tableau de bord (telles que lancer une vérification ou consulter des résultats), les paramètres que vous configurez, les journaux d’audit d’accès aux données et les statistiques d’utilisation. Ces données nous servent à fournir le service (et à vous montrer votre activité), ainsi qu’à des fins de sécurité (traçabilité) et d’amélioration de notre plateforme.\
* Informations relatives à l’entreprise : Détails sur l’organisation que vous représentez, pouvant inclure l’adresse de facturation, l’identifiant fiscal/numéro de TVA, le plan d’abonnement et l’historique des transactions. Bien que ces éléments ne soient souvent pas des données personnelles (s’ils concernent une entreprise), certains éléments tels que le nom d’une personne de contact ou une adresse e-mail professionnelle peuvent constituer des données personnelles. Nous traitons ces informations pour exécuter notre contrat et remplir nos obligations légales (facturation, comptabilité).\
* Communications : Copies des communications avec vous ou vos collègues. Par exemple, si vous envoyez un e-mail à notre équipe support ou commerciale, participez à une démonstration ou un appel, ou utilisez une fonction de chat, nous pouvons conserver un enregistrement de ces communications et des informations que vous fournissez. Cela nous aide à donner suite à vos demandes et à former notre équipe afin de mieux vous servir.\
* Préférences et retours : Nous pouvons également conserver les informations que vous nous fournissez concernant vos préférences (par ex., paramètres du produit, préférences de notification) ainsi que tous commentaires ou réponses à des sondages que vous nous transmettez. Ces données personnelles sont utilisées pour personnaliser votre expérience et améliorer nos services.\
* Vérification de l’identité du client : Dans certains cas, notamment pour des raisons de conformité, nous pourrions avoir besoin de vérifier l’identité de nos clients professionnels ou de leurs représentants (par exemple, si requis par des réglementations anti-blanchiment lors de l’intégration d’un client fintech). Cela pourrait impliquer de collecter une copie d’une pièce d’identité ou un justificatif de votre autorité en tant que représentant du client. Nous ne demanderons de telles informations que lorsque la loi l’exige et les traiterons avec le même soin que les données de vérification des Utilisateurs finaux.\
Note : Les données des clients professionnels sont généralement liées à l’activité professionnelle (coordonnées professionnelles), et nous supposons qu’elles nous sont fournies par vous en votre qualité de représentant d’une entreprise. Nous n’avons pas besoin de données personnelles sensibles de la part de nos utilisateurs B2B sans lien avec le service. Veuillez vous assurer que toute donnée personnelle d’autrui que vous nous fournissez (par ex., l’ajout d’un membre d’équipe au compte) est partagée en conformité avec les lois sur la protection des données et avec son consentement si nécessaire.
#### 2.3 Visiteurs du site web (Données en ligne)
Lorsque vous visitez notre site web, utilisez nos services en ligne ou interagissez avec nous sur Internet (par exemple en lisant notre documentation ou nos blogs, ou en nous contactant via un formulaire en ligne), nous recueillons certaines données vous concernant, ainsi que sur votre appareil. Cela inclut :
* Données d’utilisation : Informations sur la manière dont vous utilisez notre site web – par ex., les pages ou documentations que vous consultez, les liens sur lesquels vous cliquez, la date et l’heure d’accès, la durée des visites, et la page de provenance (la page web qui vous a conduit à la nôtre). Cela nous aide à comprendre quel contenu est utile aux visiteurs et à améliorer la conception et le contenu de notre site.\
* Informations sur l’appareil et le navigateur : Détails techniques tels que votre adresse IP (qui peut indiquer votre localisation générale), le type et la version de votre navigateur, le type d’appareil (par ex., mobile ou ordinateur de bureau, système d’exploitation), la résolution d’écran et les paramètres de langue. Nous collectons cela via les journaux du serveur et des outils d’analyse pour garantir que le site web s’affiche correctement et pour effectuer des opérations de débogage et de surveillance de sécurité.\
* Cookies et identifiants de suivi : Nous utilisons des cookies et des technologies similaires (comme des balises web ou le stockage local) pour améliorer votre expérience sur notre site. Les cookies sont de petits fichiers texte que notre site enregistre sur votre navigateur. Certains cookies sont essentiels au fonctionnement du site (par ex., pour se souvenir de votre préférence linguistique ou vous maintenir connecté si le site comporte une connexion) ; d’autres servent à l’analyse ou à la publicité. Par exemple, nous pouvons utiliser Google Analytics ou un outil similaire qui place des cookies afin de collecter des statistiques d’utilisation agrégées (comme le nombre de visiteurs, les pages populaires). Nous pouvons également utiliser des cookies à des fins de marketing, tels que des pixels de Google ou LinkedIn, pour suivre les conversions et recibler les visiteurs avec nos publicités (avec votre consentement). Notre Notice relative aux cookies fournit des détails sur chaque cookie, son objectif, et comment gérer vos préférences.\
* Données des formulaires et communications : Si vous remplissez un formulaire sur notre site web (tel qu’un formulaire « Contactez-nous », d’inscription ou de demande de démo, ou un champ de commentaire), nous collecterons les informations que vous fournissez. Cela inclut généralement votre nom, e-mail, téléphone, entreprise, ainsi que le contenu de votre message. Nous utilisons ces informations pour répondre à votre demande ou traiter votre requête (par exemple, créer un compte d’essai ou vous inscrire à une newsletter). Nous pouvons également conserver une copie de nos échanges à des fins d’archivage.\
* Abonnement à la newsletter/marketing : Si vous vous abonnez à notre newsletter ou consentez à recevoir des communications marketing, nous collecterons vos coordonnées (e-mail, et éventuellement nom) ainsi que vos préférences de communication. Nous vous enverrons des mises à jour et informations correspondant à ce à quoi vous vous êtes inscrit, et vous pouvez vous désabonner à tout moment.\
* Réseaux sociaux et liens tiers : Si vous arrivez sur notre site via les réseaux sociaux ou si vous interagissez avec nos widgets de réseaux sociaux (comme un bouton « Partager » ou « J’aime »), ces plateformes peuvent collecter certaines informations via leurs propres cookies. Nous ne contrôlons pas ces interactions – veuillez vous référer aux politiques de confidentialité des plateformes concernées. Nous pouvons recevoir des données agrégées de la part de ces réseaux (par exemple, combien de personnes ont cliqué sur notre publication). De même, si notre site intègre du contenu tiers (comme un lecteur vidéo ou un bac à sable de code), ces tiers peuvent collecter des données d’utilisation conformément à leurs propres politiques.\
Cookies et consentement : Lors de votre première visite sur notre site, vous verrez une bannière ou notification relative aux cookies. À l’exception des cookies strictement nécessaires, nous n’installerons pas de cookies (notamment les cookies d’analyse ou de publicité) sans votre consentement. Vous pouvez gérer vos préférences en matière de cookies à tout moment via notre outil de paramétrage des cookies sur le site web. Pour plus de détails, consultez notre Notice relative aux cookies (liée ci-dessus), qui est intégrée à la présente politique de confidentialité. (Si vous lisez cette politique sur la plateforme d’un client où notre SDK est intégré, notez que l’utilisation des cookies peut différer – ce qui précède s’applique principalement au site web de VOVE ID lui-même.)
### 3. Finalités et bases légales du traitement
Nous ne traitons des données personnelles que lorsque nous avons un objectif spécifique et un fondement légal au titre du RGPD pour le faire. Cette section explique pourquoi nous utilisons les données personnelles pour chaque catégorie d’individus, et les bases légales qui rendent le traitement licite. Étant donné la portée mondiale de notre service, nous nous appuyons principalement sur les bases du RGPD, tout en respectant les autres lois applicables dans les juridictions où nous opérons (nous pouvons fournir des détails supplémentaires pour certaines régions sur demande).
#### 3.1 Pour les Utilisateurs finaux (vérification d’identité)
* Vérification d’identité & prévention de la fraude : L’objectif principal est de vérifier vos documents d’identité et vos données biométriques pour confirmer que vous êtes bien qui vous prétendez être, et pour détecter et prévenir la fraude. Cela implique de vérifier l’authenticité des documents d’identité, de comparer votre image en direct à la photo sur votre document, et d’effectuer les contrôles de sécurité requis (comme les listes de surveillance anti-blanchiment, si applicable). La base légale de ce traitement est généralement l’intérêt légitime – plus précisément, l’intérêt légitime de notre Client à prévenir la fraude identitaire et à s’assurer que la personne est correctement identifiée. La prévention de la fraude est reconnue comme un intérêt légitime en vertu du RGPD. Dans de nombreux cas, il existe également une obligation légale : par exemple, notre Client peut être tenu par la loi de vérifier les identités (réglementations de connaissance du client (KYC), lois de vérification de l’âge, etc.), ce qui constituerait une base légale (le respect d’une obligation légale) pour traiter vos données. De plus, la vérification peut être nécessaire à l’exécution d’un contrat entre vous (l’Utilisateur final) et notre Client – par exemple, si vous vous inscrivez à un service, vous devez vérifier votre identité comme condition pour finaliser l’inscription (ce qui la rend nécessaire pour fournir le service que vous avez demandé). Nous comptons sur notre Client pour déterminer la base légale appropriée dans son contexte, mais nous veillons à ce que notre traitement soit conforme à ces objectifs.\
* Consentement pour des utilisations spécifiques : Dans certaines juridictions ou pour certains types de données, notre Client peut solliciter votre consentement avant le traitement. Par exemple, les données biométriques (comme un scan facial) peuvent exiger votre consentement explicite en vertu de l’article 9 du RGPD, à moins qu’une autre exception ne s’applique. Si l’on vous demande de consentir (par ex., en cochant une case ou en continuant après avoir vu un avis) avant que nous ne capturions votre selfie ou document d’identité, ce consentement servira de base légale supplémentaire pour nous et notre Client afin de traiter ces données. Nous n’utiliserons les données biométriques que dans la mesure nécessaire à la vérification, et en conformité avec tout consentement obtenu. Vous avez le droit de retirer votre consentement à tout moment, mais notez que cela pourrait empêcher l’achèvement de la vérification ou du service associé.\
* Prestation du service pour le compte du Client : Nous traitons et transférons les résultats de la vérification à notre Client pour lui permettre de fournir son service à vous (par ex., ouverture de votre compte ou approbation de votre transaction). La base légale ici peut être considérée comme l’intérêt légitime à la fois du Client et le vôtre en tant qu’Utilisateur final – vous avez un intérêt à accéder au service de manière sécurisée, et le Client a un intérêt à confirmer votre identité pour fournir ce service en toute sécurité. Dans les cas où vous interagissez directement avec notre service de vérification dans le cadre de votre inscription au service du Client, cela peut également être considéré comme un traitement nécessaire à l’exécution d’un contrat avec vous (ce contrat étant votre accord de subir la procédure KYC pour utiliser la plateforme du Client).\
* Amélioration de la qualité & formation (limité, avec garanties) : Nous travaillons continuellement à améliorer notre technologie de vérification d’identité (par exemple, en affinant nos algorithmes de reconnaissance de documents ou en réduisant les biais dans la correspondance faciale). Pour ce faire, nous pouvons utiliser des données anonymisées ou agrégées provenant de vérifications passées. Dans la mesure du possible, nous transformons les données afin qu’elles ne puissent plus être liées à une personne spécifique (n’étant ainsi plus des données personnelles). Si nous devons utiliser des données identifiables pour le développement interne (ce que nous nous efforçons d’éviter), nous veillerons à disposer d’une base légale telle que l’intérêt légitime (notre intérêt à améliorer nos services) accompagné de mesures de protection robustes, ou nous solliciterons un consentement supplémentaire. Important : Toute utilisation de ce type pour l’amélioration est distincte de la vérification que nous effectuons pour notre Client et est réalisée dans le cadre du rôle de VOVE ID en tant que responsable du traitement. Nous n’utilisons pas vos données pour le développement général du produit d’une manière qui affecterait votre vie privée sans garantir soit leur anonymisation, soit la mise en place de fortes mesures de sécurité et de conformité légale. Notre objectif principal est d’utiliser des données réelles uniquement dans la mesure nécessaire et de nous appuyer autant que possible sur des données synthétiques ou anonymisées pour l’entraînement de nos systèmes.\
* Conformité et actions en justice : Nous pouvons traiter les données des Utilisateurs finaux si nécessaire pour nous conformer aux lois ou répondre à des procédures légales. Par exemple, en vertu de certaines réglementations, nous pourrions avoir besoin de conserver les journaux de vérification pendant une certaine période, ou de fournir des informations aux forces de l’ordre ou aux régulateurs sur demande valable (voir la section 4. Partage des données ci-dessous). La base légale pourrait être le respect d’une obligation légale. De même, si nous devons traiter des données pour établir, exercer ou défendre des droits en justice (par exemple, pour démontrer qu’une vérification a été effectuée correctement en cas de litige), nous nous appuierons sur l’intérêt légitime (notre intérêt à défendre notre activité, ou l’intérêt de notre Client à poursuivre les fraudes).\
#### 3.2 Pour les Clients professionnels (prestation de service)
Pour nos clients professionnels et leurs utilisateurs, VOVE ID agit en tant que responsable du traitement lorsqu’elle traite vos données personnelles dans le cadre de la fourniture de services de vérification d’identité à votre organisation. Nos finalités et bases légales comprennent :
* Fourniture du service & exécution de notre contrat : Nous utilisons les données de contact et de compte des clients pour configurer et gérer le compte de votre organisation, vous authentifier et fournir nos services de vérification d’identité à votre entreprise. Cela inclut la maintenance de votre tableau de bord, vous permettre d’effectuer des vérifications et fournir du support. La base légale est l’exécution d’un contrat – lorsque votre entreprise s’est inscrite, un accord a été conclu, et nous devons traiter vos données (en tant qu’utilisateur) pour remplir nos obligations dans le cadre de ce contrat (par ex., garantir que seuls les utilisateurs autorisés accèdent au compte, fournir des rapports d’utilisation, etc.). Si vous n’avez pas personnellement signé le contrat mais êtes un utilisateur autorisé, notre base légale est notre intérêt légitime à fournir le service à votre employeur et à garantir un accès autorisé.\
* Communication et support : Nous traitons vos coordonnées pour communiquer avec vous au sujet du service. Cela inclut l’envoi d’annonces liées au service (par ex., des mises à jour sur la disponibilité de la plateforme, des mises à jour de sécurité ou de confidentialité de cette politique), la réponse aux demandes de support, et la notification de nouvelles fonctionnalités ou améliorations. La base légale ici est l’intérêt légitime – c’est notre intérêt (et généralement le vôtre) de vous tenir informé du service que vous utilisez. Par exemple, si nous effectuons une maintenance, nous avons un intérêt légitime à informer les utilisateurs par e-mail des temps d’arrêt. Lorsque vous nous contactez avec une question, il est de notre intérêt légitime d’utiliser vos informations pour y répondre. Dans certains cas, ces communications peuvent être nécessaires à l’exécution du contrat (par exemple, vous envoyer un e-mail de bienvenue pour activer votre compte peut être considéré comme faisant partie de la fourniture du service). Nous veillons à ce que toute communication à vocation marketing ne soit envoyée qu’en conformité avec les lois applicables (voir le point suivant).\
* Marketing et analyses : Si vous êtes un contact commercial ayant manifesté de l’intérêt pour VOVE ID (par ex., en vous inscrivant à un essai ou en téléchargeant un livre blanc), nous pouvons vous envoyer des communications marketing pertinentes telles que des mises à jour produit, des newsletters ou des invitations à des événements. Nous le ferons soit avec votre consentement (par exemple, si vous cochez une case acceptant de recevoir des actualités) soit sur la base de notre intérêt légitime si vous êtes un client existant ou dans un contexte où ce type de contact est attendu (le RGPD et certaines lois autorisent le marketing B2B envers les clients existants sur la base de l’intérêt légitime, parfois appelé « opt-in tacite », tant qu’une option de désabonnement facile est fournie). Dans tous les cas, vous avez le droit de vous désabonner des e-mails marketing à tout moment en cliquant sur « se désabonner » dans le message ou en nous contactant. Nous ne pratiquons pas l’envoi massif non sollicité et nous ne partageons pas vos coordonnées avec des tiers à leurs propres fins marketing.\
* Facturation et administration : Nous traitons les données personnelles nécessaires à la facturation et à l’administration du compte. Par exemple, notre système financier contiendra le nom et les coordonnées de la personne de contact pour la facturation, les factures émises et le statut des paiements. Les bases légales sont l’exécution de contrats (nous devons facturer dans le cadre du contrat de service) et les obligations légales (nous devons conserver certains enregistrements à des fins fiscales et comptables). Si nous utilisons un prestataire de paiement ou traitons des informations de carte de crédit, ces informations sont traitées de manière sécurisée et en conformité avec les normes de l’industrie des cartes de paiement ; en général, nous conservons ces détails de paiement via des processeurs de paiement accrédités, et non dans nos propres systèmes.\
* Sécurité et prévention des abus : Pour protéger nos services et votre compte, nous surveillons et enregistrons certaines activités dans le tableau de bord client et l’API. Par exemple, nous pouvons enregistrer les tentatives de connexion échouées, les schémas d’utilisation qui indiquent un usage abusif potentiel, ou les accès qui déclenchent des règles de sécurité. La base légale est l’intérêt légitime – le nôtre et le vôtre – à maintenir un service sécurisé. Cela aide à prévenir l’accès non autorisé aux données de vérification sensibles et garantit que nous tenons notre promesse contractuelle d’un traitement sécurisé. Si nous détectons un problème (comme la compromission d’une clé API de compte), nous utiliserons vos coordonnées pour vous alerter et vous aider à le résoudre.\
* Amélioration du service et analyses : Nous pourrions utiliser les données d’utilisation de nos clients professionnels (agrégées et anonymisées dans la mesure du possible) pour comprendre comment nos services fonctionnent, quelles fonctionnalités sont le plus utilisées, et ce qui pourrait être amélioré. Par exemple, nous pourrions analyser le temps moyen pour compléter une vérification ou quelles fonctionnalités sont fréquemment utilisées par les clients. La base légale est l’intérêt légitime – exploiter un service efficace et convivial. Ces analyses portent sur l’utilisation de notre produit et, en général, ne se concentrent pas sur des individus spécifiques, mais dans la mesure où des données personnelles sont impliquées (comme les clics d’un administrateur), nous les anonymisons ou les agrégeons. Si nous souhaitons utiliser tout retour identifiable ou un cas d’utilisation impliquant une personne, nous demanderons son consentement.\
* Conformité et exigences légales : Nous pouvons traiter des données de clients professionnels pour respecter la loi (par ex., exigences de connaissance de votre entreprise, restrictions à l’exportation, etc.). Si, par exemple, vous exercez dans un secteur réglementé, nous pourrions être tenus de faire preuve de diligence. Cela pourrait inclure l’utilisation de vos données pour confirmer que nous pouvons légalement vous offrir nos services (par exemple, vérifier par rapport à des listes de personnes sanctionnées si la loi l’exige pour nos contrats). La base légale serait le respect d’une obligation légale ou notre intérêt légitime à nous conformer à la loi et à prévenir tout usage abusif de nos services.\
En résumé, pour les utilisateurs B2B nous utilisons principalement vos données afin de gérer notre relation commerciale avec votre entreprise – fournir le service, vous assister, améliorer le produit, et remplir nos obligations légales. Nous le faisons d’une manière qui respecte votre vie privée et nous n’utilisons pas vos informations à des fins non liées, telles que la publicité pour des tiers sans rapport.
#### 3.3 Pour les Visiteurs du site web (fonctionnalité du site et analyses)
Pour les visiteurs de notre site web (qui peuvent ne pas utiliser directement notre service de vérification d’identité), nous traitons des données personnelles principalement pour faire fonctionner notre site web et apprendre comment l’améliorer. Les finalités et bases légales comprennent :
* Faire fonctionner et sécuriser le site web : Lorsque vous chargez les pages de notre site, nos systèmes traitent inévitablement les données de votre appareil et de votre réseau pour vous délivrer le contenu. Cela inclut l’acheminement du contenu jusqu’à votre adresse IP et l’adaptation de l’affichage à votre appareil. La base légale pour le fonctionnement basique du site est notre intérêt légitime à fournir un site web informatif et sécurisé (le considérant 49 du RGPD reconnaît également que la sécurité des réseaux et de l’information constitue un intérêt légitime). Nous enregistrons également certains événements (comme des erreurs ou des schémas d’accès inhabituels) afin de maintenir la sécurité – là encore sur la base de l’intérêt légitime (protéger notre site et nos utilisateurs de toute activité malveillante). Sans ce traitement, le site web ne peut pas fonctionner correctement.\
* Analyse et suivi des performances : Nous souhaitons comprendre comment les visiteurs interagissent avec notre site afin de pouvoir améliorer la mise en page, le contenu et les performances. Pour cela, nous utilisons des outils d’analyse qui collectent des données d’utilisation et installent des cookies non essentiels. La base légale pour les cookies d’analyse est le consentement. Lors de votre première visite, nous n’activerons nos outils d’analyse (par ex., Google Analytics) que si vous y consentez via la bannière de cookies. Si vous acceptez, nous traitons des données comme les pages vues, les clics et la localisation géographique générale pour générer des informations (par ex., de quels pays proviennent le plus de visiteurs, quelles pages sont les plus consultées). Cela nous aide à prendre des décisions, par exemple améliorer les documents populaires ou optimiser les temps de chargement. Vous pouvez retirer votre consentement à tout moment en ajustant vos paramètres de cookies (cela n’affectera pas la navigation de base sur le site). Nous configurons nos outils d’analyse de manière à respecter la vie privée – par exemple, nous pourrions masquer une partie de votre adresse IP et nous n’autorisons pas le fournisseur d’analyse à utiliser les données pour ses propres fins.\
* Personnalisation de votre expérience : Nous pouvons utiliser des cookies pour mémoriser les choix que vous faites, comme votre préférence de langue ou d’autres paramètres, afin que vous ayez une expérience cohérente lors de vos visites ultérieures. La base légale pour ces préférences peut être le consentement (si ce n’est pas strictement nécessaire) ou l’intérêt légitime si c’est uniquement pour améliorer l’expérience utilisateur de manière minime. Par exemple, mémoriser une préférence de langue peut être considéré comme relevant de l’intérêt légitime car c’est attendu par l’utilisateur et cela a un impact minime sur la vie privée. Quoi qu’il en soit, vous avez la maîtrise de ces éléments via les réglages de votre navigateur ou notre bannière de cookies pour désactiver de tels cookies si vous le souhaitez.\
* Répondre à vos demandes : Si vous soumettez un formulaire de contact, vous inscrivez à une newsletter, ou demandez une démonstration, nous utiliserons les données que vous fournissez pour satisfaire cette demande. La base légale dépend du contexte : il pourrait s’agir du consentement (si vous avez clairement choisi de fournir vos informations), ou d’une étape précontractuelle (si vous vous renseignez sur nos services, nous vous considérons comme un client potentiel et notre suivi est alors quelque chose que vous avez sollicité). Dans tous les cas, nous utiliserons vos informations uniquement pour répondre de manière appropriée – par exemple, si vous avez posé une question, pour y répondre ; si vous vous êtes inscrit à une newsletter, pour vous l’envoyer. Si vous devenez client, vos données seront alors traitées conformément à la section Clients professionnels ; sinon, nous pourrons occasionnellement vous recontacter avec votre consentement ou sur la base de l’intérêt légitime comme décrit dans la section Marketing ci-dessus.\
* Publicité et reciblage : Nous ne vendons pas vos données à des annonceurs. Cependant, il se peut que nous diffusions nos propres publicités en ligne et utilisions des outils (comme Google Ads ou LinkedIn) pour mesurer leur efficacité ou pour « recibler » les visiteurs (afficher nos publicités aux personnes ayant visité notre site). Cela peut impliquer l’installation de cookies ou pixels tiers. La base légale pour de tels cookies marketing est le consentement. Si vous n’autorisez pas les cookies marketing, vous ne recevrez pas de reciblage de notre part. Si vous y consentez, ces tiers (comme Google) peuvent collecter certaines de vos données d’utilisation sur notre site pour nous aider à savoir, par exemple, si quelqu’un qui a vu une publicité a fini par visiter notre site, ou pour nous permettre de vous afficher une publicité pour notre service sur un autre site. Nous fournirons les détails de ces cookies dans notre Notice relative aux cookies et respecterons votre choix.\
* Conformité et protection : Nous pourrions traiter les données des visiteurs du site pour satisfaire aux exigences légales ou pour protéger nos droits. Par exemple, nous pouvons conserver les journaux de serveur (y compris les adresses IP) pendant une certaine période à titre de mesure de sécurité et pour enquêter en cas de mauvaise utilisation de notre site (comme une tentative de piratage ou la soumission de contenu illégal via un formulaire). La base légale serait l’intérêt légitime (maintenir la sécurité et la conformité légale) ou l’obligation légale si nous devons conserver certaines données. Ces journaux ne sont généralement consultés qu’en cas de nécessité (p. ex., pour du débogage ou une analyse de sécurité) et sont supprimés en toute sécurité après la période de conservation (voir la section 8. Conservation des données ci-dessous).\
En résumé, pour les visiteurs du site web, la plupart des traitements non essentiels (comme l’analyse publicitaire) n’ont lieu que si vous y consentez. Les traitements essentiels au fonctionnement et à la sécurité sont fondés sur notre intérêt légitime à exploiter un site web fiable et sûr, tel que vous vous y attendez lorsque vous naviguez dessus. Nous visons à être transparents et à vous donner le contrôle sur toute donnée qui n’est pas strictement nécessaire à l’utilisation basique de nos ressources en ligne.
### 4. Partage et divulgation des données
Nous traitons vos données personnelles avec soin et confidentialité. Nous ne vendons pas de données personnelles à des tiers. Cependant, pour faire fonctionner nos services, nous devons parfois partager des données avec certains partenaires de confiance. Voici les parties avec qui ces données peuvent être partagées et dans quelles circonstances :
* Nos Clients (entreprises clientes) : Si vous êtes un Utilisateur final en cours de vérification, nous partagerons les résultats de votre vérification d’identité avec le Client qui en a fait la demande. En effet, fournir le résultat de vérification à ce Client est la finalité du service – par exemple, nous pouvons transmettre le rapport de vérification, vos documents d’identité et les données associées à l’entreprise qui doit vérifier votre identité. Ce Client utilisera ces informations conformément à sa propre notice de confidentialité et au droit applicable. Nous ne divulguons vos données qu’au Client spécifique qui a autorisé votre vérification ; nous ne les diffusons à personne d’autre. Si plusieurs entreprises vous demandent séparément de vous vérifier (par ex., vous vous inscrivez auprès de deux banques différentes qui utilisent toutes deux VOVE ID), chaque entreprise ne voit que les données de ses propres demandes.\
* Fournisseurs de services (sous-traitants) : Nous nous appuyons sur des prestataires tiers de confiance pour nous aider à fournir nos services. Ces prestataires agissent en tant que sous-traitants, c’est-à-dire qu’ils traitent des données personnelles pour notre compte (et selon nos instructions). Les principaux sous-traitants incluent :\
* * Hébergement cloud et infrastructure : Nous utilisons la plateforme Google Cloud (GCP) dans l’Union européenne pour héberger et stocker la majorité des données personnelles. Vos données de vérification, nos bases de données et serveurs sont situés dans des centres de données sécurisés dans l’UE. Google agit comme notre sous-traitant pour stocker et transmettre les données, mais ne peut pas utiliser vos données à d’autres fins. Nous avons conclu avec Google un avenant de traitement des données conforme au RGPD qui inclut des Clauses Contractuelles Types (CCT) pour tout transfert nécessaire (voir la section 5. Transferts internationaux).\
* Outils de vérification d’identité : Dans certains cas, nous pouvons utiliser des logiciels ou services tiers intégrés à notre processus de vérification. Par exemple, nous pourrions utiliser un service de vérification de l’authenticité des documents, un fournisseur d’algorithme biométrique ou une base de données LCB-FT. Ces prestataires reçoivent les données nécessaires (par ex., une image de pièce d’identité ou un nom à vérifier dans une liste de sanctions) et nous renvoient des résultats. Ils sont contractuellement tenus de n’utiliser les données que pour la tâche de vérification prévue.\
* Services de communication : Nous utilisons certains outils pour communiquer avec les Utilisateurs finaux et les Clients. Par exemple, un service d’envoi d’e-mails (pour envoyer des codes ou des reçus), une passerelle SMS (pour envoyer des codes par texto), ou une plateforme de support client (pour gérer les demandes). Ces sous-traitants peuvent traiter des données personnelles comme votre e-mail, téléphone ou nom dans le cadre de ces communications. Ils sont tenus de les garder sécurisées et confidentielles.\
* Partenaires d’analyse et marketing : Pour notre site web, nous pouvons utiliser des fournisseurs d’analyses (comme Google Analytics) ou des plateformes publicitaires (comme Google Ads, LinkedIn) comme décrit précédemment. Ceux-ci agissent en tant que sous-traitants ou responsables de traitement indépendants dans leur domaine. Nous veillons à minimiser tout partage de données (par exemple, nous pourrions partager un identifiant haché ou utiliser les paramètres de confidentialité intégrés). Ils ne peuvent pas vous identifier personnellement à partir des données que nous partageons à des fins d’analyse, et toute utilisation plus large (par exemple par Google pour la personnalisation des annonces) est soumise à votre consentement et à leur politique de confidentialité.\
* Autres fournisseurs : Nous pouvons faire appel à d’autres prestataires pour des services spécifiques tels que des sauvegardes de données, des réseaux de diffusion de contenu (CDN) ou la surveillance de la sécurité. Tout fournisseur de ce type ayant accès à des données personnelles est évalué en termes de sécurité et de confidentialité, et contractuellement tenu de respecter des normes strictes de protection des données.\
* Transferts d’entreprise : Si VOVE ID est impliqué dans une fusion, une acquisition, une faillite ou la vente de tout ou partie de nos actifs, les données personnelles pourraient être transférées à l’entité successeur ou acquéreuse. Nous veillerions à ce que toute telle entité soit tenue de respecter la présente Politique de confidentialité (ou vous en seriez informé et auriez la possibilité de vous y opposer si la loi le prévoit). Nous exigerions également que la partie réceptrice n’utilise vos données que pour les mêmes finalités pour lesquelles nous les avons collectées, sauf si vous consentez à de nouveaux traitements.\
Nous insistons sur le fait que tout tiers qui reçoit des données personnelles de notre part devra accepter de les protéger conformément aux lois applicables en matière de protection des données. Nous n’autorisons aucun destinataire tiers à utiliser les données personnelles pour son propre marketing ou à des fins non décrites dans cette politique.
En outre, nous ne partageons jamais les données de vérification des Utilisateurs finaux avec d’autres clients ou des parties non autorisées – chaque Client n’a accès qu’à ses propres données. En interne, l’accès aux données personnelles est strictement limité : notre personnel accède à vos données sur la base du « besoin d’en connaître » et avec le principe du moindre privilège, ce qui signifie que seuls les membres du personnel qui en ont besoin pour leur travail (par exemple, un ingénieur support en train de résoudre un problème) peuvent les consulter. Tous les employés et contractuels sont soumis à des obligations de confidentialité.
### 5. Stockage des données et transferts internationaux
Nous comprenons l’importance de conserver les données personnelles non seulement en sécurité, mais aussi dans des lieux appropriés. Nous décrivons ici où nous stockons les données et comment nous gérons les transferts internationaux de données.
* Stockage principal dans l’UE : Par défaut, toutes les données personnelles collectées via les services de VOVE ID sont stockées sur des serveurs sécurisés situés dans l’Union européenne. Nous utilisons les centres de données de la plateforme Google Cloud dans l’UE (par exemple, en Belgique et/ou aux Pays-Bas) pour nos bases de données, le stockage de fichiers et nos serveurs. En conservant les données dans l’UE, nous veillons à ce que vos informations soient protégées par les lois strictes de l’Espace économique européen (EEE) en matière de protection des données. Google Cloud dispose de certifications de sécurité robustes et se conforme au Code de conduite de l’UE, et n’agit que selon nos instructions en ce qui concerne vos données. Nous ne stockons pas de données personnelles dans des juridictions dépourvues d’une protection adéquate des données, sauf si nécessaire et avec des garanties appropriées, comme expliqué ci-dessous.\
* Portée géographique des opérations : Les principales opérations de VOVE ID sont actuellement basées au Maroc et dans l’UE. Il se peut que nous ayons du personnel ou des partenaires en dehors de l’UE qui nous aident à fournir nos services (par exemple, un centre de support ou une équipe de développement). Cependant, même si notre équipe est en dehors de l’UE, elle accédera aux données à distance sur des serveurs dans l’UE. Nous avons mis en place des contrôles et une surveillance stricts pour garantir que tout accès est sécurisé (p. ex., via des connexions chiffrées et VPN) et limité à des fins autorisées.\
* Transferts en dehors de l’UE : Chaque fois que nous (ou nos sous-traitants) transférons des données personnelles depuis l’UE vers un pays que l’Union européenne ne considère pas comme disposant d’un niveau de protection « adéquat » (c’est-à-dire dont les lois de protection des données ne sont pas considérées équivalentes à celles de l’UE), nous nous appuyons sur des mécanismes juridiques approuvés pour assurer la protection de vos données. Le mécanisme principal que nous utilisons est celui des Clauses Contractuelles Types de la Commission européenne (CCT). Ce sont des engagements contractuels entre nous (ou nos partenaires) et l’importateur de données qui exigent le même niveau de protection des données qu’au sein de l’UE. Par exemple :\
* * Si notre Client est en dehors de l’UE et doit recevoir des données d’Utilisateurs finaux (par ex., une banque en région MENA ou aux États-Unis utilisant notre service), notre contrat avec ce Client inclura des CCT l’obligeant à protéger les données.\
* Si nous utilisons un sous-traitant aux États-Unis ou dans un autre pays (par exemple, un service d’e-mail), nous mettrons en place des CCT ou un dispositif équivalent avec lui. De plus, le cas échéant, nous mettons en œuvre des garanties supplémentaires pour ces transferts, telles que le chiffrement en transit et au repos, ainsi que des politiques pour traiter toute demande d’accès gouvernemental aux données (conformément aux exigences découlant de l’arrêt « Schrems II »).\
* Autres mécanismes de transfert : Si les CCT ne sont pas applicables ou suffisantes dans un scénario, nous pouvons nous appuyer sur d’autres mécanismes approuvés par le RGPD : par exemple, une décision d’adéquation (si les données sont transférées vers un pays que l’UE considère comme adéquat, tel que la Suisse ou le Royaume-Uni), ou des règles d’entreprise contraignantes (si nous en établissons à l’avenir pour les transferts intra-groupe), ou votre consentement explicite dans de rares cas (avec un avis clair des risques). Nous choisirons toujours le mécanisme qui protège le mieux les données et qui est réalisable pour la situation donnée.\
### 6. Mesures de sécurité
Nous prenons la sécurité des données très au sérieux et appliquons des mesures de protection techniques et organisationnelles rigoureuses pour protéger vos données personnelles. Voici un aperçu de nos principales mesures de sécurité :
#### 6.1 Mesures techniques
* Chiffrement des données : Toutes les données personnelles sont chiffrées à la fois lors de leur transmission et lorsqu’elles sont stockées. Cela signifie que lorsque vos données sont transmises entre votre appareil et nos serveurs (ou entre nos serveurs et nos sous-traitants), nous utilisons des protocoles de chiffrement robustes (tels que HTTPS/TLS) pour empêcher toute écoute illicite. De même, les données stockées (bases de données, sauvegardes, etc.) sont chiffrées à l’aide d’algorithmes de chiffrement de pointe. Le chiffrement garantit que même si des données devaient tomber entre de mauvaises mains, elles seraient inexploitables.\
* Contrôle d’accès et authentification : L’accès à nos systèmes et dépôts de données est strictement contrôlé via un contrôle d’accès basé sur les rôles (RBAC). Seul le personnel autorisé ayant besoin des données peut accéder aux données personnelles, et leur accès est limité au niveau minimal requis par leur rôle. Nous appliquons une authentification renforcée (y compris une authentification multi-facteur (MFA) pour nos employés et administrateurs) pour prévenir les connexions non autorisées. L’accès administrateur aux systèmes sensibles est journalisé et régulièrement examiné.\
* Sécurité réseau : Nos serveurs sont protégés par des pare-feux et une segmentation du réseau. Nous isolons nos environnements de sorte que, par exemple, les systèmes accessibles au public soient séparés des bases de données internes. Nous utilisons des systèmes de détection et de prévention d’intrusion (IDS/IPS) ainsi qu’une surveillance continue du réseau. Des analyses de sécurité régulières et des tests d’intrusion sont effectués pour trouver et corriger d’éventuelles vulnérabilités. Nous utilisons également des VPN sécurisés et des canaux chiffrés pour toute administration à distance.\
* Développement logiciel sécurisé : Notre équipe technique suit des pratiques et cadres de codage sécurisés. Nous réalisons des revues de code et utilisons des outils d’analyse automatisés pour détecter les faiblesses de sécurité dans nos logiciels. Avant le déploiement de nouvelles fonctionnalités ou mises à jour, elles sont testées (y compris des tests de sécurité). Nous gérons également un programme de bug bounty ou de divulgation responsable encourageant les chercheurs en sécurité à nous signaler tout problème.\
* Minimisation et pseudonymisation des données : Lorsque c’est faisable, nous réduisons la quantité de données identifiables dans nos systèmes. Par exemple, pour l’entraînement de nos modèles d’apprentissage automatique, nous utilisons des données anonymisées. Dans nos systèmes opérationnels, il nous arrive de pseudonymiser les données (remplacer les identifiants directs par des codes) de sorte que l’identification complète n’est possible qu’avec une table de correspondance séparée (étroitement contrôlée). Ainsi, même si une base de données interne est consultée illicitement, les données ne sont pas immédiatement identifiables sans la clé de correspondance.\
* Surveillance et journalisation : Nous avons une journalisation extensive des accès et actions au sein de nos systèmes. Les systèmes critiques génèrent des alertes en cas d’activités inhabituelles (par ex., tentatives de connexion multiples échouées, exportations massives de données, etc.). Nous employons une surveillance 24h/24 et 7j/7, de sorte que notre équipe de sécurité soit rapidement alertée d’incidents ou d’anomalies potentiels. Nos journaux nous aident également lors d’analyses forensiques si un problème survient, afin de retracer l’événement.\
* Sauvegardes et reprise d’activité : Nous effectuons des sauvegardes régulières des données critiques pour prévenir toute perte. Les sauvegardes sont chiffrées et stockées de manière sécurisée (en respectant les mêmes considérations de localisation des données – par ex., au sein de l’UE). Nous testons périodiquement nos plans de reprise après sinistre pour nous assurer que nous pouvons rétablir la disponibilité et l’accès aux données en temps utile en cas d’incident physique ou technique. La durée de conservation par défaut des sauvegardes est limitée, puis elles sont supprimées de manière sécurisée.\
#### 6.2 Mesures organisationnelles
* Politiques d’accès et formation : Tous les employés et contractuels de VOVE ID font l’objet de vérifications d’antécédents dans la mesure permise par la loi et doivent signer des accords de confidentialité. Nous offrons une formation régulière à tout le personnel sur les pratiques de confidentialité et de sécurité des données, afin de nous assurer qu’il comprend ses responsabilités pour protéger les données personnelles et reconnaître les risques (comme l’ingénierie sociale). Nos politiques internes dictent comment les données sont manipulées, signalées et éliminées. Seule une petite équipe, soigneusement sélectionnée, a accès aux données personnelles en production, et uniquement dans des circonstances strictement encadrées.\
* Équipe dédiée à la sécurité et à la confidentialité : Nous disposons d’une équipe dédiée responsable de la sécurité et de la conformité en matière de protection des données. Cela inclut des ingénieurs sécurité, des responsables conformité, et un Délégué à la Protection des Données (DPD) (si requis par la loi ou désigné volontairement par nous). Cette équipe réalise des analyses de risque et des études d’impact sur la vie privée. Nous faisons également appel à des auditeurs ou experts indépendants pour évaluer régulièrement nos contrôles de sécurité (y compris des tests d’intrusion annuels et possiblement des audits SOC 2 ou ISO 27001 à mesure que nous évoluons).\
* Gestion des risques tiers : Avant de faire appel à un sous-traitant ou fournisseur susceptible de traiter des données personnelles, nous effectuons une évaluation préalable de sa posture de sécurité. Nous nous assurons qu’un accord de traitement des données est en place. Nous exigeons de nos sous-traitants qu’ils disposent de certifications ou audits appropriés (comme ISO 27001, SOC 2, ou similaires) ou qu’ils démontrent leur conformité au RGPD. Nous surveillons leur conformité et mettrons fin aux contrats si un fournisseur ne respecte pas nos exigences de sécurité.\
* Moindre privilège & besoin d’en connaître : Comme mentionné, en interne nous adhérons au principe du moindre privilège. Nos agents support ou de vérification ne peuvent voir que les données pertinentes à leur tâche (par ex., un agent support peut voir les détails de session de vérification d’un Utilisateur final uniquement lorsqu’il dépanne cette session pour le Client, et même dans ce cas, les données sensibles comme les images complètes d’ID peuvent être masquées sauf si absolument nécessaire). L’accès aux données de production est consigné et nécessite une approbation managériale.\
* Sécurité physique : Bien que nous nous appuyions largement sur l’infrastructure cloud, tout environnement de bureau ou de centre de données que nous utilisons est sécurisé. Nos bureaux disposent de contrôles d’accès (badges/biométrie) et de politiques pour les visiteurs. Pour les centres de données cloud, nous nous reposons sur la sécurité physique du fournisseur (qui, pour Google Cloud, inclut une surveillance 24/7 par des gardes, un accès biométrique, etc.). Nous ne stockons pas de données personnelles sensibles sur les ordinateurs portables ou appareils des employés ; tout est dans des environnements cloud sécurisés. Les appareils des employés sont chiffrés et gérés de manière centralisée pour appliquer la sécurité (avec possibilité d’effacement à distance, etc.).\
* Plan d’intervention en cas d’incident : Nous disposons d’un plan d’intervention qui décrit les étapes de détection, de confinement, d’enquête et de notification des parties appropriées en cas d’incident de sécurité. Les membres clés du personnel sont formés aux procédures d’urgence. Nous simulons des scénarios de violation pour assurer notre préparation. Voir la section suivante sur la Réponse aux violations de données pour les détails sur notre gestion d’incidents réels.\
* Certifications et programmes de conformité : Nous examinons continuellement nos contrôles de sécurité par rapport aux normes de l’industrie et aux menaces émergentes afin de maintenir nos protections à jour.\
Notre objectif est de maintenir un niveau de sécurité « à l’état de l’art » conforme aux meilleures pratiques, et d’assurer en permanence la confidentialité, l’intégrité et la disponibilité des données que vous nous confiez.
### 7. Réponse en cas de violation de données
Malgré tous nos efforts, aucun système n’est sécurisé à 100 %. Dans l’éventualité improbable d’une violation de données personnelles (un incident de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles), VOVE ID dispose d’un plan clair pour réagir rapidement et efficacement afin de minimiser tout préjudice et de respecter nos obligations légales.
Identification et confinement : Nos systèmes de surveillance et notre personnel sont formés pour détecter d’éventuels incidents de sécurité. Dès que nous suspectons une violation de données, notre équipe d’intervention en cas d’incident entre en action. Nous recueillons des détails sur ce qui s’est passé, quelles données sont impliquées et quelles personnes pourraient être affectées. Nous nous efforçons de contenir immédiatement la violation – par exemple, isoler les systèmes impactés, révoquer des identifiants compromis ou stopper une attaque en cours – afin de prévenir tout accès non autorisé supplémentaire.
Évaluation : Nous évaluons l’étendue et la gravité de la violation. Cela signifie déterminer la quantité de données et quelles personnes sont impactées, le type de données (par exemple, si des informations sensibles comme des documents d’identité ou des données biométriques sont concernées), et les conséquences potentielles pour les utilisateurs. Nous déterminons également si la violation est susceptible d’entraîner un risque pour les droits et libertés des personnes – le RGPD établit une distinction entre les violations présentant un risque et celles qui n’en présentent pas, ce qui influence les obligations de notification.
Notification interne : Notre politique d’escalade interne garantit que les bonnes personnes sont informées, notamment la direction, notre Délégué à la Protection des Données (si un est nommé), et notre équipe de sécurité. Si la violation implique des systèmes gérés par un sous-traitant, nous informons également ce sous-traitant et coordonnons les efforts de réponse.
Résolution du problème : Nous identifierons la cause première de la violation et prendrons des mesures correctives pour éviter qu’elle ne se reproduise. Cela peut impliquer de corriger un logiciel (application d’un correctif), de modifier des configurations, de renforcer la surveillance, ou même de sanctionner ou re-former du personnel si une erreur humaine est en cause. Nous documentons tout ce que nous apprenons pour assurer la responsabilité et l’amélioration continue.
Notification des parties concernées : Nous nous engageons à être transparents en cas d’incidents graves. En tant que sous-traitant pour les données des Utilisateurs finaux, nous notifierons sans délai indu le Client concerné (responsable du traitement) après une violation. Cela permet à notre Client de remplir son obligation de notifier les autorités ou les personnes concernées comme requis. Nous lui fournirons toutes les informations pertinentes sur la violation, y compris la nature de l’incident, les données affectées, les conséquences probables, et les mesures prises pour y remédier. Nous aiderons notre Client à communiquer avec ses utilisateurs finaux si nécessaire.
Si VOVE ID est le responsable du traitement des données impliquées (par ex., une violation de données de visiteurs du site ou de comptes clients), nous avons des obligations légales de notification :
* Autorité de contrôle : Si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes (par exemple, risque de vol d’identité, fraude, atteinte à la réputation ou autre effet significatif), nous signalerons la violation à l’Autorité de Protection des Données compétente sans retard injustifié et, si possible, dans les 72 heures suivant sa découverte. Notre rapport comprendra la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements affectés, les conséquences probables, et les mesures prises ou proposées pour y remédier. Si nous ne pouvons pas fournir toutes les informations dans les 72 heures, nous fournirons initialement les informations disponibles puis les compléterons dès que possible.\
* Personnes affectées : Si la violation est susceptible d’entraîner un risque élevé pour vos droits et libertés, nous vous en informerons également (les personnes concernées). Un risque élevé signifie que vous pourriez potentiellement subir un préjudice important – par exemple, si vos informations d’identité ou votre mot de passe ont été divulgués et pourraient être utilisés à mauvais escient. Notre communication sera rédigée en termes clairs, décrivant ce qui s’est passé et les mesures que vous devriez prendre pour vous protéger (par ex., changer vos mots de passe ou être vigilant face aux tentatives d’escroquerie), tout en fournissant nos coordonnées pour plus d’informations. Il se peut que nous ne contactions pas directement les individus si les données concernées étaient des données d’Utilisateurs finaux sous le contrôle d’un Client – dans ce cas, généralement le Client se chargera d’avertir les individus, souvent avec notre aide. Si nous avons rendu les données inintelligibles (par ex., par un fort chiffrement) ou pris des mesures neutralisant le risque, ou si la notification individuelle exigerait des efforts disproportionnés (auquel cas nous publierions une annonce publique), le RGPD peut ne pas exiger de notification individuelle. Mais par défaut, nous privilégions la prudence et la transparence.\
Conformité réglementaire : Nous documentons toutes les violations et nos réponses, conformément au principe de responsabilité du RGPD. Si nécessaire, nous coopérerons avec les autorités de protection des données pour fournir des informations supplémentaires. Nous ne considérons pas les enquêtes des autorités comme un affrontement, mais comme une occasion de nous assurer que nous avons correctement résolu le problème. Nous suivrons toute directive donnée par les autorités quant aux actions complémentaires.
Amélioration continue : Après avoir résolu une violation, nous menons une analyse a posteriori pour en tirer des enseignements. Nous mettons à jour nos mesures de sécurité et notre plan de réponse en fonction des leçons apprises. Notre objectif est de prévenir de futurs incidents et de renforcer nos systèmes. Souvent, même les violations mineures nous conduisent à mettre en place des contrôles encore plus stricts.
Soyez assuré que nous traitons tout incident de sécurité avec la plus grande urgence et intégrité. Protéger vos données est notre priorité absolue, et dans le cas rare où quelque chose tournerait mal, nous ferons tout notre possible pour rectifier la situation et vous tenir informé à chaque étape.
### 8. Conservation des données
Nous ne conservons les données personnelles que pendant la durée nécessaire pour atteindre les finalités décrites dans cette politique, ou tel que requis par la loi ou nos obligations contractuelles. Conserver les données plus longtemps que nécessaire peut accroître les risques pour la vie privée, nous nous efforçons donc de minimiser la durée de conservation. Ci-dessous, nous expliquons combien de temps différents types de données sont conservés et les critères que nous utilisons pour déterminer ces durées.
* Données de vérification des Utilisateurs finaux : Par défaut, VOVE ID conservera les données personnelles collectées lors d’une vérification d’identité pendant une durée limitée, après laquelle elles sont supprimées ou rendues irréversiblement anonymes. Notre politique standard de conservation des enregistrements de vérification est de ne pas dépasser 3 ans à partir de la date de vérification. Dans de nombreux cas, nous conservons les données détaillées (par ex., images, vidéos, documents) pendant une période plus courte (par exemple, \[90 jours] en stockage « actif » accessible à notre Client), puis nous archivons les données de manière sécurisée et à accès restreint pour le reste de la période de conservation. Les données archivées sont conservées uniquement à des fins d’audit, de conformité ou de gestion des litiges, et ne sont pas facilement accessibles pour un usage courant. Après expiration de la période de conservation, nous supprimons de manière sécurisée les données personnelles, y compris les sauvegardes.\
* * Conservation spécifique aux clients : Certains de nos clients professionnels peuvent demander une durée de conservation différente pour satisfaire leurs propres exigences réglementaires. Par exemple, une institution financière peut avoir besoin de conserver les enregistrements KYC pendant 5 ans selon la loi, ou à l’inverse, un service soucieux de la vie privée peut nous demander de supprimer les données plus tôt (disons, après 30 jours). Nous offrons à nos Clients la flexibilité de configurer la durée de conservation via notre plateforme ou sur demande. Si le Client définit une conservation personnalisée, celle-ci remplace notre durée par défaut pour ces données (et vous en seriez généralement informé via la notice de confidentialité du Client). En tout état de cause, nous ne conservons jamais indéfiniment les données personnelles des Utilisateurs finaux et nous suivrons les instructions du responsable du traitement à cet égard.\
* Données biométriques : Pour les identifiants biométriques (comme les gabarits faciaux), nous appliquons une conservation encore plus stricte conformément aux directives légales. Par exemple, ces modèles peuvent être conservés uniquement le temps nécessaire pour mener à bien la vérification puis supprimés ou stockés séparément avec des protections supplémentaires. Comme noté précédemment, par défaut nous ne conservons pas les données faciales biométriques plus de 3 ans, et souvent bien moins. Certaines lois (comme le BIPA dans l’État de l’Illinois, aux États-Unis) exigent la suppression des données biométriques une fois la finalité atteinte, ou dans un délai de 3 ans. Nous concevons notre politique de conservation pour respecter la règle applicable la plus stricte.\
* Données anonymisées : Nous pouvons conserver des données anonymisées (qui ne sont plus des données personnelles) dérivées des vérifications à des fins d’analyse ou d’entraînement au-delà de la période de conservation, puisqu’elles ne posent aucun risque pour la vie privée. Par exemple, des informations statistiques comme les « taux de réussite » ou des caractéristiques non identifiantes utilisées pour améliorer nos algorithmes peuvent être conservées afin d’améliorer nos services sur le long terme. Ces données ne permettent pas de vous identifier et ne sont pas soumises à suppression sur demande car elles ne sont liées à aucun individu.\
* Données des clients professionnels : Si vous êtes un Client ou un utilisateur de notre service B2B, nous conservons vos données pendant la durée de la relation commerciale et au-delà si nécessaire. Plus précisément :\
* * Vos informations de compte et profil utilisateur sont conservés tant que votre entreprise reste cliente et que votre identifiant est actif. Si vous quittez l’entreprise ou que votre compte est désactivé, nous supprimerons ou anonymiserons les données personnelles associées à votre utilisateur après un délai raisonnable, sauf dans la mesure où elles figurent dans des enregistrements d’entreprise que nous devons conserver.\
* Informations contractuelles et de transaction (telles que le contrat principal, les relevés de facturation, les tickets de support) sont conservées pendant la durée du contrat et en général au moins 3 ans après sa fin. Cela permet de respecter les exigences légales de conservation (par exemple, les lois comptables/fiscales peuvent exiger de conserver les factures pendant 7 ans) et de disposer des informations nécessaires en cas d’obligations post-contractuelles ou de litiges. Nous archivons en toute sécurité les anciens dossiers clients en en limitant l’accès.\
* Communications avec vous (emails, historiques de chat) peuvent être conservées pour une période plus courte (par ex., 2 ans), sauf si elles contiennent des informations commerciales importantes que nous devons garder plus longtemps. Nous nettoyons périodiquement les anciennes communications qui ne sont plus nécessaires.\
* Désabonnement marketing : Si vous vous désabonnez des communications marketing, nous conserverons vos coordonnées dans une liste de suppression indéfiniment afin de nous assurer que nous respectons cette demande de désabonnement (c’est une pratique standard pour éviter d’envoyer accidentellement des e-mails à ceux qui se sont désabonnés). La liste de suppression contient un minimum d’informations (généralement seulement l’e-mail et le statut de désabonnement).\
* Données des visiteurs du site web :\
* * Journaux de serveur web (qui peuvent contenir des adresses IP et des horodatages de visites) sont généralement conservés pour une courte durée, généralement de quelques semaines à quelques mois (par ex., 1 à 3 mois) sauf s’ils sont nécessaires plus longtemps pour des analyses de sécurité. Nous faisons une rotation et supprimons régulièrement les journaux. Les journaux requis pour des enquêtes légales ou de sécurité peuvent être conservés jusqu’à la résolution de ces problèmes.\
* Données analytiques sont conservées selon notre configuration auprès de notre fournisseur d’analyse. Actuellement, nous avons fixé la conservation des données Google Analytics à 14 mois par défaut (ce qui est une valeur courante), ce qui signifie que les données plus anciennes sont automatiquement supprimées des rapports Analytics. Nous ne stockons pas de données brutes d’analyse au-delà de la durée de conservation définie chez le fournisseur.\
* Cookies placés sur votre navigateur ont chacun leur propre durée de vie. Certains cookies (comme les cookies de session) expirent lorsque vous fermez votre navigateur. D’autres (comme les cookies de préférences ou d’analyse) peuvent persister quelques mois ou un an ou deux. Notre Notice relative aux cookies détaille la durée de vie de chaque cookie. Vous pouvez effacer les cookies de votre navigateur à tout moment pour les supprimer immédiatement.\
* Informations soumises via des formulaires (comme des demandes de contact) sont stockées dans nos systèmes (CRM ou e-mail) généralement jusqu’à ce qu’elles ne soient plus nécessaires. Si vous ne devenez pas client ou si la conversation ne se poursuit pas, nous pourrions supprimer votre demande après \[12 à 24 mois]. Si vous entamez une relation avec nous (par exemple, en devenant client), les données deviennent partie des enregistrements client et suivent la politique de conservation pour les clients.\
* Enregistrements de sessions utilisateur : Actuellement, nous n’utilisons pas d’outils enregistrant la manière dont les utilisateurs interagissent sur notre site (et si nous devions le faire, ou si nous avions des enregistrements de webinaires incluant des participants, ces enregistrements ne seraient conservés que le temps nécessaire à leur analyse ou diffusion puis supprimés).\
### 9. Vos droits en tant que personne concernée
En tant qu’utilisateur de nos services ou visiteur de notre site, vous disposez de certains droits concernant vos données personnelles en vertu du RGPD et d’autres lois sur la protection des données. Nous nous engageons à respecter vos droits et à vous offrir un contrôle sur vos informations. Ci-dessous, nous présentons vos principaux droits en tant que personne concernée et comment vous pouvez les exercer. (Si vous vous trouvez dans une juridiction prévoyant des droits supplémentaires, tels que la Californie ou le Brésil, ceux-ci seraient généralement traités séparément ; cette section se concentre sur les droits définis par le RGPD, que nous étendons de manière générale.)
* Droit d’être informé : Vous avez le droit de recevoir des informations claires et transparentes sur la façon dont nous traitons vos informations personnelles, ce qui est précisément l’objet de cette Politique de confidentialité. Nous nous efforçons de vous fournir tous les détails sur nos pratiques de données. Si quelque chose n’est pas clair, vous pouvez toujours nous demander plus d’informations.\
* Droit d’accès : Vous avez le droit de demander la confirmation que nous traitons ou non vos données personnelles et, si oui, d’obtenir une copie de ces données, accompagnée d’informations complémentaires. C’est ce qu’on appelle communément une « demande d’accès de la personne concernée ». Par exemple, vous pouvez nous demander de vous fournir les données que nous détenons à votre sujet dans nos systèmes. Nous vous les fournirons gratuitement, généralement dans un délai d’un mois. Si vous demandez des copies supplémentaires, nous pourrions facturer des frais raisonnables basés sur les coûts administratifs.\
* Droit de rectification : Vous avez le droit de faire corriger les données personnelles inexactes et de faire compléter des données incomplètes. Si vous constatez que nous détenons des informations incorrectes vous concernant (par exemple, une faute d’orthographe sur votre nom ou des coordonnées obsolètes), veuillez nous en informer afin que nous puissions les rectifier. Dans de nombreux cas (comme le profil utilisateur d’un client), vous pouvez corriger vos données directement via les paramètres de votre compte.\
* Droit à l’effacement (Droit à l’oubli) : Vous avez le droit de demander la suppression de vos données personnelles dans certaines circonstances. Par exemple, si les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées, ou si vous retirez votre consentement et que nous n’avons pas d’autre base légale pour le traitement, ou si vous vous opposez au traitement et que nous n’avons pas de motifs légitimes impérieux, ou si nous avons traité vos données de manière illicite, vous pouvez nous demander de les effacer. Nous honorerons les demandes d’effacement valides et supprimerons vos données, et demanderons également à nos sous-traitants de faire de même, sauf si nous sommes tenus de conserver les données (par exemple, en raison d’obligations légales ou pour la défense de droits juridiques). Le cas échéant, nous vous informerons de ces exceptions.\
* Droit à la limitation du traitement : Vous avez le droit de nous demander de limiter le traitement de vos données personnelles dans certaines situations. Cela peut s’appliquer si vous contestez l’exactitude des données (nous limiterons le traitement pendant la vérification), ou si le traitement est illégal mais que vous préférez une limitation à un effacement, ou si nous n’avons plus besoin des données mais que vous en avez besoin pour la constatation, l’exercice ou la défense de droits en justice, ou si vous vous êtes opposé au traitement (en attendant la vérification de l’existence de motifs légitimes impérieux de notre part). Lorsque le traitement est limité, nous continuerons de stocker vos données mais ne les utiliserons pas (sauf, par exemple, pour établir ou défendre des droits en justice, ou avec votre consentement). Nous vous informerons quand la limitation sera levée.\
* Droit à la portabilité des données : Pour les données que vous nous avez fournies, vous avez le droit de les recevoir dans un format structuré, couramment utilisé et lisible par machine, et le droit de nous demander de transmettre ces données à un autre responsable du traitement lorsque c’est techniquement possible. Ce droit s’applique lorsque le traitement est fondé sur votre consentement ou sur un contrat avec vous, et qu’il est effectué à l’aide de procédés automatisés. En pratique, cela peut s’appliquer si, par exemple, vous avez fourni des données dans un formulaire d’inscription et souhaitez les réutiliser ailleurs. Nous vous fournirons les données au format CSV ou similaire facile à importer, sur demande. Notez que ce droit n’oblige pas à conserver les données plus longtemps qu’autrement ; il couvre simplement les données que nous avons encore.\
* Droit d’opposition : Vous avez le droit de vous opposer à tout moment au traitement de vos données personnelles lorsque ce traitement est fondé sur nos intérêts légitimes, ou sur l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique (ce que nous ne faisons typiquement pas). Si vous vous y opposez, nous devons cesser de traiter vos données, à moins que nous démontrions qu’il existe des motifs légitimes impérieux pour le traitement qui prévalent sur vos intérêts, droits et libertés, ou que le traitement soit nécessaire pour la constatation, l’exercice ou la défense de droits en justice. Vous disposez également d’un droit absolu de vous opposer à tout moment à l’utilisation de vos données à des fins de prospection commerciale directe. Par exemple, si vous recevez des e-mails marketing de notre part et que vous ne souhaitez plus en recevoir, vous pouvez vous y opposer (vous désabonner) et nous arrêterons. Si vous vous opposez à un traitement pour la prévention de la fraude (fondé sur l’intérêt légitime), nous examinerons votre demande et la comparerons à la nécessité de ce traitement.\
* Droit de ne pas faire l’objet d’une décision automatisée : Vous avez le droit de ne pas faire l’objet d’une décision basée exclusivement sur un traitement automatisé, y compris le profilage, qui produirait un effet juridique ou autre effet significatif similaire vous concernant, à moins que cette décision (a) soit nécessaire à la conclusion ou à l’exécution d’un contrat, (b) soit autorisée par la loi, ou (c) soit fondée sur votre consentement explicite. En termes plus simples, si un ordinateur dit “non” (par exemple, refuse une vérification) sans aucune intervention humaine, et que ce refus a un impact important sur vous, vous pouvez demander qu’une personne intervienne ou contester la décision. Nous abordons notre approche des décisions automatisées dans la section suivante. Dans nos processus, nous incluons un examen humain, en particulier pour les cas limites ou échoués, afin de garantir l’équité. En tant qu’Utilisateur final, vous pouvez également exprimer toute préoccupation via notre Client ou directement auprès de nous, et nous ferons examiner la situation par une personne.\
* Droit de retirer votre consentement : Lorsque nous nous appuyons sur votre consentement pour traiter des données (par exemple, votre consentement pour utiliser des cookies ou pour traiter des données biométriques), vous avez le droit de retirer ce consentement à tout moment. Le retrait du consentement n’affectera pas la légalité du traitement qui a eu lieu avant ce retrait, mais il mettra fin au traitement futur des données concernées. Par exemple, vous pouvez modifier vos paramètres de cookies pour retirer votre consentement aux cookies d’analyse, ou si vous aviez consenti à une vérification biométrique et que vous changez d’avis avant la fin, vous pouvez nous en informer ou informer le Client pour interrompre le processus. Sachez que si vous retirez un consentement nécessaire à un service (comme la vérification d’identité), cela peut empêcher de mener à bien ce service.\
Ces droits ne sont pas absolus – il existe des exceptions et conditions à leur application. Par exemple, nous pourrions ne pas effacer des données que la loi nous oblige à conserver, ou nous pourrions refuser une demande d’accès qui serait manifestement infondée ou excessive (mais nous vous fournirions alors une justification). Toutefois, nous nous engageons à évaluer et à répondre à vos demandes de bonne foi et conformément aux lois applicables.
#### 9.1 Exercice de vos droits
Comment soumettre une demande : Pour exercer l’un de vos droits en tant que personne concernée, vous pouvez nous contacter en utilisant les coordonnées de la section 12. Nous contacter de cette politique. Le moyen le plus simple est généralement de nous envoyer un e-mail à l’adresse (objet : confidentialité) en détaillant votre demande. Merci de préciser le droit que vous souhaitez exercer et tout détail pertinent (par exemple, le contexte dans lequel vous avez interagi avec nous, afin que nous puissions retrouver vos données). Vous pouvez également envoyer vos demandes par courrier postal à notre adresse ou utiliser un éventuel portail en ligne que nous pourrions mettre à disposition pour les demandes de confidentialité.
Vérification d’identité : Pour des raisons de sécurité, nous pourrions avoir besoin de vérifier votre identité avant de donner suite à votre demande. Il s’agit de nous assurer que nous ne divulguons pas ou ne supprimons pas des données à la demande de quelqu’un qui se ferait passer pour vous. Nous pourrions vous demander de fournir des informations correspondant à nos enregistrements ou, si nécessaire, une copie d’une pièce d’identité (que nous n’utiliserons que pour confirmer votre identité, avant de supprimer cette copie). Pour les Utilisateurs finaux, comme nous détenons vos données via un Client, il est possible que nous vous orientions vers le Client pour valider votre identité et votre demande (puisqu’il a initialement collecté vos informations).
Représentation autorisée : Si vous êtes un mandataire autorisé effectuant une demande au nom de quelqu’un d’autre, nous exigerons une preuve d’autorisation (par exemple, une procuration ou un consentement écrit de la personne concernée).
Frais et délais : En général, nous ne facturons pas de frais pour donner suite aux demandes d’exercice de droits. Si une demande est particulièrement lourde ou répétitive, la loi nous permet de facturer des frais raisonnables ou même de refuser, mais nous nous efforcerons en général de fournir au moins une copie de vos données gratuitement. Nous visons à répondre à toutes les demandes valides dans un délai d’un mois après réception. Si la demande est complexe ou si nous recevons un volume élevé de demandes, nous pourrons prolonger ce délai de deux mois supplémentaires, mais dans ce cas, nous vous en informerons dans le premier mois en expliquant pourquoi. Par exemple, une demande d’accès qui implique de recueillir des données de multiples systèmes pourrait prendre plus de temps ; nous vous tiendrons informé.
Interaction avec nos Clients (pour les Utilisateurs finaux) : Si vous êtes un Utilisateur final dont les données sont traitées par nos soins pour le compte d’un Client, il est souvent plus efficace d’adresser votre demande d’abord à ce Client. En tant que responsable du traitement des données, c’est à lui qu’incombe la responsabilité de répondre à vos droits. Par exemple, si vous souhaitez une copie de vos données de vérification, l’entreprise pour laquelle vous avez effectué la vérification pourrait vous les fournir (souvent, elle les a dans son tableau de bord). Si vous demandez une suppression via le Client, celui-ci nous donnera instruction de supprimer les enregistrements comme nécessaire. Cela dit, vous n’êtes pas empêché de nous contacter directement – nous vous aiderons et coordonnerons avec le Client dans la mesure de ce qui nous est permis. En vertu du RGPD, en tant que sous-traitant nous devons aider le responsable du traitement à satisfaire les demandes des personnes concernées. Ainsi, si nous recevons une demande qui relève des données d’un Client, il est possible que nous consultions ce dernier (pour vérifier, par exemple, que vous communiquer les données est approprié et ne viole pas la vie privée d’autrui, etc.) puis que nous agissions en conséquence.
Opposition ou limitation du traitement : Si vous choisissez de vous opposer à un traitement ou de retirer votre consentement, nous vous expliquerons les conséquences éventuelles. Par exemple, si vous vous opposez à un traitement nécessaire à notre service pour un Client, nous devrons peut-être informer le Client que nous ne pouvons plus traiter vos prochaines vérifications. Si vous retirez votre consentement pour les e-mails marketing, nous arrêterons immédiatement ces envois (il peut s’écouler quelques jours pour que cela soit répercuté dans tous nos systèmes, mais généralement l’effet est immédiat via le lien de désabonnement). Si vous souhaitez restreindre un traitement, nous marquerons vos données comme restreintes et ne les utiliserons plus (à part les stocker) jusqu’à résolution de la situation.
Rejet de demandes : Dans de rares cas, il se peut que nous ne puissions pas donner suite à une demande. Par exemple, nous ne pouvons pas supprimer des données que la loi nous oblige à conserver (nous vous l’indiquerions et ne conserverions que ce qui est nécessaire) ; nous ne pouvons pas fournir des données si cela porterait atteinte aux droits d’un tiers (si vos données sont mêlées à celles d’autres personnes et que les révéler porterait atteinte à la vie privée d’autrui, nous nous efforcerons d’isoler vos données) ; ou si vous demandez des copies excessives ou faites des demandes répétitives, nous pourrions refuser ou facturer un frais. Si nous refusons une demande, même partiellement, nous vous expliquerons clairement pourquoi et nous vous indiquerons les options possibles (par ex., porter plainte auprès d’une autorité de contrôle, voir ci-dessous).
Réclamations : Nous vous encourageons à nous contacter en premier lieu pour résoudre toute question ou tout problème concernant vos données personnelles. Cependant, si vous estimez que nous n’avons pas respecté vos droits de protection des données, vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle compétente (par exemple la CNDP au Maroc, ou l’autorité de protection des données de votre pays de l’UE, ou l’ICO au Royaume-Uni, etc.). Vous pouvez le faire dans l’État membre de l’UE où vous résidez, où vous travaillez, ou là où la violation aurait eu lieu. Nous coopérerons pleinement avec toute enquête d’un régulateur et nous nous efforcerons de résoudre les problèmes à l’amiable.
En résumé, vos droits sont essentiels pour nous. Nous avons mis en place des procédures pour nous assurer de pouvoir les honorer. N’hésitez pas à exercer ces droits – ils sont conçus pour vous donner le contrôle et la tranquillité d’esprit quant à vos données personnelles.
### 10. Prise de décision automatisée et profilage
Les services de VOVE ID impliquent des technologies avancées, notamment l’intelligence artificielle (IA) et l’apprentissage automatique, pour effectuer la vérification d’identité de manière efficace et précise. Nous souhaitons être transparents sur le fonctionnement du traitement automatisé dans notre système, et le rôle des humains dans le processus décisionnel.
Processus automatisés lors de la vérification : Lorsque vous effectuez une vérification d’identité via VOVE ID, plusieurs étapes sont automatisées. Par exemple, notre système peut vérifier automatiquement si le document d’identité que vous avez soumis est authentique (par ex., en détectant les éléments de sécurité ou en le comparant à des modèles), ou comparer automatiquement votre selfie à la photo sur votre document d’identité à l’aide d’algorithmes de reconnaissance faciale. Nous pouvons également avoir des contrôles antifraude automatisés – par exemple, signaler si la même pièce d’identité a été utilisée plusieurs fois ou si certains indicateurs de risque sont présents (comme un document expiré ou une vidéo suspectée d’être falsifiée). Ces processus automatisés aident à accélérer la vérification, souvent en temps réel ou en quelques minutes.
Portée des décisions : En général, le résultat d’un processus automatisé est une recommandation ou un score plutôt qu’un verdict final. Par exemple, notre système peut générer un score de confiance indiquant que votre selfie correspond à la photo de votre pièce d’identité, ou un résultat indiquant que le document a passé les contrôles d’authenticité. Ces résultats sont ensuite utilisés par notre Client (l’entreprise qui vérifie votre identité) pour décider d’approuver ou non votre vérification. Dans de nombreux cas, les décisions qui vous affectent (par ex., si vous pouvez ouvrir un compte ou non) sont prises par notre Client, éventuellement en s’appuyant sur nos résultats automatisés.
Supervision humaine : Nous intégrons un examen et une supervision humaines dans notre processus de vérification d’identité afin d’éviter des décisions entièrement automatisées qui pourraient affecter significativement des personnes. De nombreuses vérifications d’identité sont revues par des spécialistes formés, en particulier si le système automatisé n’est pas sûr ou signale un problème. Par exemple, si nos algorithmes ne parviennent pas à vérifier votre document ou votre visage avec suffisamment de confiance, le cas peut être transmis à un vérificateur humain qui examinera manuellement les images et prendra une décision. Cette approche hybride combinant automatisation et intervention humaine assure une plus grande précision et équité. Nous ne nous reposons pas uniquement sur des algorithmes pour accepter ou refuser une identité – il y a généralement un humain dans le circuit, soit chez VOVE ID, soit chez notre Client, qui examine les résultats, notamment pour les cas limites.
Aucune décision légale ou significative prise par VOVE ID seule : VOVE ID en tant que telle ne prend généralement pas de décision ayant un effet juridique ou un effet significatif similaire sur vous sans intervention humaine. Notre service fournit des résultats de vérification d’identité à notre Client. C’est en définitive la décision de notre Client de, par exemple, vous inscrire comme client ou non, en se basant sur ces résultats et sa propre évaluation. Ceci étant dit, nous reconnaissons qu’un résultat de vérification négatif peut avoir un impact important (par ex., vous pourriez ne pas pouvoir utiliser un service si votre identité ne peut être vérifiée). C’est pourquoi nous concevons nos systèmes pour minimiser les erreurs et permettre des recours.
Vos droits relatifs aux décisions automatisées : En vertu du RGPD, vous avez le droit de ne pas faire l’objet d’une décision fondée uniquement sur un traitement automatisé qui vous affecte de manière significative, et de demander une intervention humaine, d’exprimer votre point de vue et de contester la décision. Si jamais vous estimez qu’une décision automatisée prise par notre système était incorrecte ou injuste, vous pouvez contacter notre Client ou nous contacter pour demander un examen manuel. Par exemple, si votre vérification a été refusée et que vous pensez qu’il s’agit d’une erreur (peut-être la qualité de la photo était insuffisante ou le système a commis une erreur), vous pouvez demander une nouvelle vérification ou un examen. Notre Client peut avoir son propre processus pour traiter de tels recours, et nous l’assisteront en fournissant toute information nécessaire ou en effectuant un second examen via un vérificateur humain.
Profilage : Le profilage dans notre contexte pourrait signifier analyser certains aspects vous concernant, comme votre comportement ou vos caractéristiques, afin d’évaluer le risque de fraude. Nous générons effectivement des profils de risque dans une portée limitée (par ex., la réputation de votre appareil, les résultats de vérifications précédentes). Cependant, nous ne vous profilons pas à des fins de marketing ni ne faisons de prédictions personnelles en dehors de la vérification d’identité. Tout profilage que nous effectuons vise uniquement à vérifier l’identité et à détecter la fraude, et non à évaluer votre personnalité, vos habitudes ou votre solvabilité, par exemple.
Entraînement des modèles et équité : Nos modèles d’IA (pour la comparaison faciale, etc.) sont entraînés sur des ensembles de données diversifiés dans le but d’être équitables et sans biais. Nous surveillons activement et atténuons tout biais (tel que des différences de précision entre différents groupes démographiques). Nous testons également régulièrement la performance de nos contrôles automatisés pour garantir leur fiabilité. Si un problème systématique est découvert, nous mettons à jour nos modèles et, dans l’intervalle, nous nous reposons davantage sur des contrôles humains. Nous comprenons la sensibilité liée à la correspondance biométrique automatisée et nous nous efforçons d’atteindre des normes de haute précision afin d’éviter les faux rejets ou les fausses acceptations.
Transparence : Si une décision ou un résultat particulier a été significativement influencé par l’automatisation, nous ou notre Client fournirons, sur demande, des informations utiles sur la logique en jeu. Nous pourrions par exemple expliquer : « Votre document a été signalé comme potentiellement falsifié par notre système automatisé en raison d’une incohérence dans les données, ce qui a contribué à la décision de nécessiter un examen supplémentaire. » Nous ne révélerons pas en détail nos algorithmes propriétaires, mais nous expliquerons les facteurs généraux.
En résumé, bien que VOVE ID utilise des systèmes automatisés sophistiqués pour rendre la vérification d’identité rapide et sécurisée, nous ne laissons pas une machine décider de votre sort sans possibilité de recours. Nous combinons la technologie et le jugement humain pour nous assurer que les décisions sont exactes et justifiées. Si jamais vous estimez qu’une composante automatisée de notre service a conduit à un résultat incorrect vous concernant, faites-le savoir à notre Client ou à nous – vous avez le droit qu’une personne réelle examine la situation.
### 11. Mises à jour de la présente politique de confidentialité
Il se peut que nous mettions à jour ou modifiions cette Politique de confidentialité de temps à autre afin de refléter des changements dans nos pratiques, nos technologies, les exigences légales, ou pour d’autres raisons opérationnelles. Nous souhaitons que vous soyez toujours informé de la manière dont nous traitons vos données personnelles, c’est pourquoi nous vous notifierons des changements significatifs et publierons la version révisée de la politique avec une nouvelle date d’effet.
Version et date : En haut de cette politique figure la date de « Dernière mise à jour ». Cette date indique la date d’entrée en vigueur de la version actuelle. Les anciennes versions de notre Politique de confidentialité peuvent être fournies sur demande (ou être archivées sur notre site web).
Notification des modifications : Si nous apportons des changements importants à cette politique – par exemple, si nous commençons à traiter des données pour une nouvelle finalité, ou si nous modifions la durée de conservation des données, ou si nous engageons de nouvelles catégories de destinataires – nous prendrons les mesures appropriées pour vous en informer. Cela pourra inclure :
* Publier un avis bien visible sur notre site web ou notre tableau de bord (par exemple, une bannière ou une fenêtre pop-up) vous informant de la mise à jour.\
* Envoyer une notification par e-mail à nos Clients ou aux utilisateurs (si nous disposons de votre e-mail) décrivant les changements.\
* Dans certains cas, solliciter votre consentement pour les nouvelles pratiques, si requis par la loi. Par exemple, si une nouvelle finalité devait reposer sur le consentement ou si nous commencions à traiter des données sensibles d’une manière inédite, nous nous assurerions que vous puissiez y consentir avant que cela n’advienne.\
Les modifications mineures (comme des clarifications, des corrections grammaticales ou des mises à jour qui n’affectent pas significativement la vie privée) peuvent être effectuées sans avis particulier, mis à part la mise à jour de la politique sur notre site. Toutefois, nous nous efforçons de ne pas effectuer de changements surprises.
Examen de la politique : Nous vous encourageons à consulter périodiquement cette Politique de confidentialité pour rester informé de nos pratiques en matière de données. Si vous continuez à utiliser les services de VOVE ID ou notre site web après l’entrée en vigueur d’une nouvelle version de la politique, cela sera considéré (dans la mesure permise par la loi) comme une acceptation des conditions mises à jour. Si vous n’êtes pas d’accord avec l’un des changements, vous devrez cesser d’utiliser nos services, et vous pouvez exercer vos droits (par exemple, demander la suppression de vos données).
À l’attention de nos Clients : Si nous mettons à jour cette politique, cela ne réduit pas vos droits en vertu de tout contrat en vigueur avec nous ; l’objectif est principalement d’assurer la transparence. Nous synchronisons nos engagements de confidentialité dans cet avis public avec nos engagements contractuels dans les Accords de traitement des données.
Remarque de personnalisation : Si un Client de VOVE ID a sa propre notice de confidentialité qui fait référence à la nôtre, il devrait mettre à jour ces références lorsque nous modifions cette politique. Nous pouvons fournir un résumé des principaux changements pour l’aider dans les communications qu’il pourrait avoir à faire de son côté.
Nous n’appliquerons pas de modifications importantes de manière rétroactive aux données que nous avons collectées par le passé sans votre consentement ou une base légale. Tout changement s’appliquera à compter de la date d’effet indiquée.
Si vous avez des questions ou des préoccupations concernant les modifications de cette Politique de confidentialité, veuillez nous contacter en utilisant les coordonnées ci-dessous.
### 12. Nous contacter
Nous accueillons toutes questions, préoccupations ou demandes concernant cette Politique de confidentialité ou nos pratiques en matière de données. Votre vie privée est importante pour nous, et nous sommes là pour vous aider.
* E-mail : Vous pouvez joindre notre équipe de protection de la vie privée à l’adresse . C’est le moyen le plus rapide d’obtenir une réponse à toute demande liée à la confidentialité, y compris pour exercer vos droits.\
* Courrier postal : Si vous préférez, vous pouvez nous écrire à l’adresse suivante :\
\
VOVE ID Privacy Team,\
\
16192 Coastal Highway,\
\
Lewes, County of Sussex,\
\
State of Delaware, 19958, USA.\
\
(Veuillez indiquer « À l’attention de : Privacy » ou « À l’attention de : Data Protection Officer » sur l’enveloppe afin qu’elle parvienne à l’équipe appropriée.)\
* Délégué à la protection des données (DPD) : Nous avons nommé un Délégué à la Protection des Données pour superviser notre conformité RGPD. Vous pouvez contacter notre DPD à ou via l’adresse postale ci-dessus (À l’attention du Délégué à la Protection des Données). Notre DPD est disponible pour traiter toute question relative à la manière dont nous gérons les données personnelles.\
Nous nous efforçons de répondre à toute demande légitime le plus rapidement possible, généralement en quelques jours ouvrables. Si vous nous contactez pour exercer vos droits, veuillez consulter la section ci-dessus sur les informations à inclure afin de nous aider à traiter votre demande efficacement.
Si vous avez une préoccupation au sujet de la confidentialité ou de l’utilisation de vos données que nous n’avons pas traitée de manière satisfaisante, vous avez également le droit de contacter votre autorité locale de protection des données, comme mentionné. Cependant, nous espérons pouvoir résoudre tout problème directement avec vous.
Merci de faire confiance à VOVE ID pour vos besoins de vérification d’identité. Nous apprécions cette confiance et nous nous engageons à protéger vos informations personnelles. Cette Politique de confidentialité est destinée à vous fournir transparence et assurance quant à cet engagement. Nous améliorons continuellement nos pratiques et nos politiques, et vos commentaires sont les bienvenus.
# سياسة الخصوصية
## سياسة الخصوصية العالمية لـ VOVE ID
(آخر تحديث: 26 مارس 2025)
نشكر لكم اطلاعكم على سياسة الخصوصية الخاصة بـ VOVE ID. توضح هذه السياسة الشاملة كيفية قيام VOVE ID (“نحن”) بجمع البيانات الشخصية واستخدامها وحمايتها عبر جميع خدماتنا ومنصاتنا. وهي تغطي ممارسات الخصوصية المتعلقة بـ:
* المستخدمين النهائيين – الأفراد الذين يخضعون للتحقق من الهوية عبر حزمة تطوير البرمجيات (SDK) أو واجهة برمجة التطبيقات (API) الخاصة بنا بناءً على طلب أحد عملائنا التجاريين (يُشار إليهم بـ “عملائنا”).\
* زوار الموقع الإلكتروني – الأفراد الذين يزورون موقعنا الإلكتروني أو يستخدمون مواردنا عبر الإنترنت (بما في ذلك ملفات تعريف الارتباط لأغراض التتبع والتحليلات).\
* العملاء التجاريون – ممثلو عملائنا التجاريين ومستخدمو خدماتهم ممن يصلون إلى لوحة معلومات VOVE ID والخدمات ذات الصلة (مستخدمو الأعمال بين الشركات أو B2B).\
نحن ملتزمون بحماية بياناتكم بما يتوافق مع اللائحة العامة لحماية البيانات للاتحاد الأوروبي (GDPR) والقوانين العالمية المعمول بها في مجال الخصوصية. وقد تم تصميم هذه السياسة لتكون سهلة التصفح، مع أقسام واضحة لكل فئة من المستخدمين، ومكتوبة بلغة عربية رسمية وواضحة.
المتحكم في البيانات مقابل معالج البيانات – فهم دورنا: عند تقديم خدمات التحقق من الهوية لعملائنا، تعمل VOVE ID كمعالج بيانات يقوم بمعالجة البيانات الشخصية للمستخدمين النهائيين نيابةً عن العميل (الذي يُعد المتحكم في البيانات، ويتخذ قرارات بشأن أغراض المعالجة ووسائلها). وبمعنى آخر، إذا كنت تقوم بالتحقق من هويتك عبر VOVE ID، فإن الشركة التي وجهتك إلى خدمتنا (عميلنا) هي التي تقرر لماذا يتم معالجة بياناتك، ونحن نقوم بمعالجتها وفق تعليماتهم. وهذا يعني أيضًا أن على العميل أن يمتلك أساسًا قانونيًا صالحًا لطلبنا التحقق من هويتك، وعليه إبلاغك بكيفية تعامله وتعامل VOVE ID مع بياناتك. أما بالنسبة لتفاعلات البيانات الأخرى – مثل زيارتك لموقعنا الإلكتروني أو إدارتنا لحساب أحد العملاء – فإن VOVE ID تكون هي المتحكم في تلك البيانات.
يرجى الملاحظة: إذا كنت مستخدمًا نهائيًا يخضع للتحقق، تأكد من الاطلاع على إشعار الخصوصية الخاص بالشركة التي طلبت إجراء التحقق (عميلنا) بالإضافة إلى هذه السياسة.
سيشرح إشعار الخصوصية الخاص بتلك الشركة أغراضهم والأسس القانونية لديهم للتحقق من هويتك وكيفية ممارسة حقوقك لديهم. أما سياسة VOVE ID هذه فتوضح كيفية معالجتنا لبياناتك كجزء من تقديم خدماتنا لهم. تتضمن أقسام من هذه السياسة أيضًا حواشي أو ملاحظات يمكن تخصيصها لتكاملات عملاء محددة أو متطلبات معينة. ويسعدنا معالجة أي أسئلة محددة لدى العملاء عند الحاجة.
فيما يلي جدول المحتويات لتسهيل التصفح:
12. التعريفات الرئيسية\
13. البيانات الشخصية التي نجمعها\
14. 2.1 المستخدمون النهائيون (بيانات التحقق من الهوية)\
15. 2.2 العملاء التجاريون (بيانات مستخدمي نظام B2B)\
16. 2.3 زوار الموقع الإلكتروني (البيانات عبر الإنترنت)\
17. الأغراض والأسس القانونية للمعالجة\
18. 3.1 بالنسبة للمستخدمين النهائيين (التحقق من الهوية)\
19. 3.2 بالنسبة للعملاء التجاريين (تقديم الخدمة)\
20. 3.3 بالنسبة لزوار الموقع الإلكتروني (وظائف الموقع والتحليلات)\
21. مشاركة البيانات والإفصاح عنها\
22. تخزين البيانات ونقلها دوليًا\
23. تدابير الأمان\
24. 6.1 الضمانات التقنية\
25. 6.2 التدابير التنظيمية\
26. الاستجابة لحوادث خرق البيانات\
27. الاحتفاظ بالبيانات\
28. حقوقك بصفتك موضوع البيانات\
29. 9.1 ممارسة حقوقك\
30. اتخاذ القرارات الآلية والتنميط\
31. تحديثات سياسة الخصوصية هذه\
32. الاتصال بنا\
### 1. التعريفات الرئيسية
للتوضيح، فيما يلي بعض المصطلحات الرئيسية المستخدمة في هذه السياسة:
* البيانات الشخصية – أي معلومات تتعلق بشخص طبيعي محدد الهوية أو يمكن تحديده (المشار إليه بـ “موضوع البيانات”). يشمل ذلك، على سبيل المثال، الاسم، وأرقام الهوية، وبيانات الموقع، والمعرفات الإلكترونية، والعوامل الخاصة بالهوية البدنية أو الجينية أو العقلية أو الاقتصادية أو الاجتماعية. في سياقنا، حتى الصورة الفوتوغرافية أو وثيقة الهوية التي تقدمها تعد بيانات شخصية.\
* المعالجة – أي عملية تُجرى على البيانات الشخصية، مثل الجمع أو الاستخدام أو التخزين أو الحذف.\
* موضوع البيانات – الفرد الذي تتعلق به البيانات الشخصية (هنا: المستخدمون النهائيون أو زوار الموقع أو ممثلو العملاء – أي أنت).\
* متحكم البيانات – الكيان الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها. فيما يتعلق بخدمات التحقق من الهوية، فإن عميلنا (الشركة التي طلبت التحقق الخاص بك) هو متحكم البيانات لبي…معالجة بيانات المستخدمين النهائيين. أما بالنسبة للبيانات التي نجمعها من موقعنا الإلكتروني أو عند إدارتنا لحساب أحد العملاء، فإن VOVE ID تكون المتحكم في تلك المعلومات.\
* معالج البيانات – الكيان الذي يعالج البيانات الشخصية نيابةً عن المتحكم في البيانات. تقوم VOVE ID بدور معالج البيانات عند معالجتها بيانات المستخدمين النهائيين لغرض التحقق من الهوية بناءً على تعليمات عملائنا.\
* العميل (الشركة العميلة) – شركة أو مؤسسة تستخدم خدمات VOVE ID للتحقق من هوية المستخدمين النهائيين. على سبيل المثال، بنك أو شركة تقنية مالية تقوم بدمج حزمة SDK الخاصة بنا للتحقق من هوية مستخدميها.\
* المستخدم النهائي – الفرد الذي يتم التحقق من هويته عبر خدمة VOVE ID بناءً على طلب أحد العملاء. فعلى سبيل المثال، إذا كنت عميلًا لبنك يستخدم VOVE ID لإجراءات “اعرف عميلك” (KYC)، فأنت “المستخدم النهائي” في هذا السياق.\
* زائر الموقع الإلكتروني – أي شخص يقوم بزيارة مواقعنا الإلكترونية (مثل voveid.com) أو يتفاعل مع محتوانا عبر الإنترنت.\
* مستخدم B2B – شخص يعمل نيابةً عن عميل تجاري، مثل موظف أو مسؤول يصل إلى لوحة تحكم VOVE ID أو واجهة API الخاصة بنا.\
* الخدمات – خدمات وحلول VOVE ID للتحقق من الهوية والخدمات ذات الصلة.\
### 2. البيانات الشخصية التي نجمعها
نقوم بجمع أنواع مختلفة من البيانات الشخصية بناءً على كيفية تفاعلك مع VOVE ID. يوضح هذا القسم فئات البيانات التي نتعامل معها للمستخدمين النهائيين والعملاء التجاريين وزوار الموقع الإلكتروني.
#### 2.1 المستخدمون النهائيون (بيانات التحقق من الهوية)
إذا كنت مستخدمًا نهائيًا يخضع للتحقق من الهوية عبر حزمة SDK أو منصة VOVE ID، فقد نجمع عنك البيانات الشخصية التالية:
* معلومات الهوية: معلومات تساعد في التعرف عليك، مثل اسمك الكامل، تاريخ الميلاد، مكان الميلاد، العنوان، الجنسية، وأية معلومات أخرى تقدمها أنت أو عميلنا خلال عملية التحقق. غالبًا ما تأتي هذه المعلومات من وثيقة الهوية التي تقدمها (مثل الاسم وتاريخ الميلاد الموجودين على بطاقتك أو جواز سفرك).\
* تفاصيل الوثيقة: المعلومات المستخرجة من وثائق هويتك، بما في ذلك نوع الوثيقة (جواز سفر، بطاقة هوية، رخصة قيادة، إلخ)، رقم الوثيقة، تاريخ انتهاء الصلاحية، بلد الإصدار، والعلامات الأمنية. قد نجمع صورًا أو نسخًا ممسوحة ضوئيًا من وثيقة هويتك (الوجه الأمامي والخلفي) كجزء من هذه العملية.\
* البيانات البيومترية (الصورة/الفيديو): تشمل صورتك الفوتوغرافية أو صورة “السيلفي” أو مقطع الفيديو الحي الذي يتم التقاطه أثناء عملية التحقق، إضافةً إلى المعرفات البيومترية المشتقة منها. على سبيل المثال، قد نسجل مقطع فيديو حي لك للتحقق من حيويتك (“liveness”) ثلاثي الأبعاد ولإجراء مطابقة للوجه مع صورة هويتك. يمكن أن ينتج عن ذلك بيانات بيومترية تُستخدم للتعرف عليك بشكل فريد (مثل قياسات الوجه أو القوالب البيومترية). تنويه حول البيانات الحساسة: تُعتبر البيانات البيومترية لأغراض التعرف من فئة خاصة من البيانات الشخصية بموجب GDPR. نحن لا نعالج هذه البيانات إلا في حدود الضرورة لمنع الاحتيال والتحقق من الهوية، وبما يتوافق مع القوانين المعمول بها (على سبيل المثال، الحصول على موافقتك الصريحة على المعالجة البيومترية إذا كان القانون يتطلب ذلك).\
* معلومات الاتصال (إن وُجدت): في بعض الحالات، قد نجمع تفاصيل الاتصال مثل بريدك الإلكتروني أو رقم هاتفك. يمكن أن يحدث ذلك إذا طلب منا العميل الاتصال بك برابط أو رمز تحقق، أو إذا كانت هذه المعلومات مدرجة في وثيقة هويتك. نستخدم هذه المعلومات فقط للمساعدة في عملية التحقق (مثل إرسال رمز لمرة واحدة)، ما لم يتم تحديد خلاف ذلك.\
* البيانات التقنية وبيانات الجهاز: معلومات حول الجهاز والشبكة التي تستخدمها لإجراء التحقق. يشمل ذلك عنوان IP الخاص بك (والموقع الجغرافي التقريبي المستنتج منه)، نوع الجهاز (مثل الطراز، نظام التشغيل، المتصفح)، معرفات الجهاز الفريدة، إعدادات اللغة، وبيانات القياس عن بعد (مثل بيانات المستشعر من الكاميرا أثناء اختبارات الكشف عن الحيوية). نجمع هذه البيانات لضمان الأمان (على سبيل المثال، اكتشاف الأجهزة المشبوهة أو المحاولات المتعددة) وتحسين تجربة المستخدم (مثل تحسين جودة الفيديو لجهازك).\
* بيانات تعريف جلسة التحقق: البيانات التي يتم إنشاؤها أثناء جلسة التحقق، مثل الطوابع الزمنية عند إتمام الخطوات، ومعرفات المعاملة أو الجلسة، وسجلات أي أخطاء، والنتيجة النهائية للتحقق (مثل “تم التحقق” أو علامات لمشكلات محددة ككون الوثيقة منتهية الصلاحية أو عدم تطابق الوجه). قد نسجل أيضًا السبب إذا فشل التحقق (مثل “صورة الوثيقة غير واضحة” أو نتيجة فحص قوائم المراقبة الخارجية).\
* بيانات منع الاحتيال: أي معلومات إضافية نستخلصها لمنع الاحتيال. على سبيل المثال، قد نقوم بتحليل أنماط معينة (مثل ما إذا تم استخدام نفس الجهاز أو الهوية في محاولات احتيال سابقة) أو استخدام تدقيقات من جهات خارجية (مثل التحقق من صحة وثيقة الهوية أو مقارنة اسمك بقوائم العقوبات أو قوائم الأشخاص المعرضين سياسيًا (PEP) إذا طلب عميلنا إجراء فحص مكافحة غسل الأموال). يمكن أن تشمل هذه البيانات درجات مخاطر أو إشارات تساعد عميلنا في اتخاذ قرار بالموافقة على معاملة ما أو رفضها.\
#### 2.2 العملاء التجاريون (بيانات مستخدمي B2B)
إذا كنت عميلاً تجاريًا أو مستخدمًا مخولاً لخدماتنا (على سبيل المثال، تعمل لدى شركة لديها حساب VOVE ID وتقوم بتسجيل الدخول إلى لوحة التحكم الخاصة بنا أو استخدام واجهة API)، فإننا نجمع بيانات شخصية لإدارة علاقتنا وتمكينك من استخدام VOVE ID. وقد يشمل ذلك:
* بيانات الاتصال: اسمك، بريدك الإلكتروني المهني، رقم هاتفك، مسمّاك الوظيفي/دورك، والشركة التي تمثلها. نجمع هذه المعلومات عندما تقوم أنت أو صاحب العمل بالتسجيل للحصول على خدمات VOVE ID، أو عند التواصل معنا، أو من خلال العقد المبرم معنا. نستخدم هذه البيانات للتعرف عليك والتواصل معك والمصادقة على وصولك إلى لوحة التحكم.\
* بيانات اعتماد الحساب: إذا كان لديك حساب لتسجيل الدخول إلى لوحة التحكم أو المنصة الخاصة بنا، فسنعالج اسم المستخدم وكلمة المرور الخاصة بك (مخزّنة بشكل مشفر) وأي معرفات خاصة بالحساب. أما لاستخدام واجهة API، فنصدر مفاتيح أو رموز API مرتبطة بحسابك. تقع على عاتقك مسؤولية الحفاظ على سرية بيانات تسجيل الدخول الخاصة بك؛ ولن نطلب منك أبدًا كلمة مرورك عبر البريد الإلكتروني أو الهاتف.\
* بيانات استخدام الحساب: معلومات حول كيفية ومتى تستخدم خدماتنا الموجهة للأعمال (B2B). على سبيل المثال، قد نسجل آخر وقت قمت بتسجيل الدخول فيه، والإجراءات التي اتخذتها في لوحة التحكم (مثل بدء عملية تحقق أو عرض النتائج)، والإعدادات التي قمت بتكوينها، وسجلات تدقيق الوصول إلى البيانات، وإحصاءات الاستخدام. يُستخدم ذلك لتقديم الخدمة (وعرض نشاطك لك)، وكذلك لأغراض الأمان (مسارات التدقيق) وتحسين منصتنا.\
* معلومات خاصة بالشركة: تفاصيل حول المؤسسة التي تمثلها، وقد تشمل عنوان الفواتير، رقم التعريف الضريبي/رقم ضريبة القيمة المضافة، خطة الاشتراك، وسجل المعاملات. ومع أن هذه العناصر غالبًا لا تعد بيانات شخصية (إذا كانت تتعلق بشركة)، إلا أن بعض العناصر مثل اسم شخص اتصال تجاري أو بريد إلكتروني مهني يمكن أن تكون بيانات شخصية. نحن نعالج هذه المعلومات للوفاء بعقدنا والتزاماتنا القانونية (الفوترة، المحاسبة).\
* الاتصالات: نسخ من الاتصالات معك أو مع زملائك. على سبيل المثال، إذا أرسلت رسالة بريد إلكتروني إلى فريق الدعم أو المبيعات لدينا، أو شاركت في عرض توضيحي أو مكالمة، أو استخدمت ميزة الدردشة، فقد نحتفظ بسجل لتلك المراسلات وأي معلومات تقدمها. يساعدنا ذلك على متابعة طلباتك وتدريب فريقنا لتحسين خدمتنا لك.\
* التفضيلات والتغذية الراجعة: قد نقوم أيضًا بالاحتفاظ بالمعلومات التي تقدمها حول تفضيلاتك (مثل إعدادات المنتج، تفضيلات الإشعارات) وأي ملاحظات أو ردود على الاستطلاعات تقدمها لنا. تُستخدم هذه البيانات الشخصية لتخصيص تجربتك وتحسين خدماتنا.\
* التحقق من هوية العميل: في بعض الحالات، وخاصةً لأغراض الامتثال التنظيمي، قد نحتاج إلى التحقق من هويات عملائنا التجاريين أو ممثليهم (على سبيل المثال، إذا كان القانون يلزمنا بالتحقق عند إبرام شراكة مع شركة تقنية مالية). قد يتضمن ذلك جمع نسخة من وثيقة هويتك أو إثبات صلاحياتك بصفتك ممثلاً للعميل. لن نطلب مثل هذه المعلومات إلا عندما يقتضي القانون ذلك، وسنتعامل معها بنفس مستوى العناية المطبق على بيانات تحقق المستخدمين النهائيين.\
ملاحظة: عادةً ما تكون بيانات العملاء التجاريين متعلقة بأنشطة العمل (معلومات اتصال مهنية)، ونفترض أنها مقدمة لنا بصفتك ممثلاً لشركتك. نحن لا نحتاج إلى بيانات شخصية حساسة من مستخدمينا التجاريين خارج نطاق ما يتطلبه الخدمة. يُرجى التأكد من أن أي بيانات شخصية تخص آخرين تزودنا بها (مثال: إضافة أحد أفراد الفريق إلى الحساب) يتم مشاركتها وفق القوانين المعمول بها وبموافقتهم إذا لزم الأمر.
#### 2.3 زوار الموقع الإلكتروني (البيانات عبر الإنترنت)
عندما تزور موقعنا الإلكتروني، أو تستخدم خدماتنا عبر الإنترنت، أو تتفاعل معنا عبر الإنترنت (على سبيل المثال، قراءة وثائقنا أو مدوناتنا، أو الاتصال بنا عبر نموذج ويب)، فإننا نجمع بعض البيانات عنك وعن جهازك. يشمل ذلك:
* بيانات الاستخدام: معلومات حول كيفية استخدامك لموقعنا – مثل الصفحات أو الوثائق التي تطلع عليها، والروابط التي تنقر عليها، وتاريخ ووقت الوصول، ومدة الزيارة، والصفحة المُحيلَة (الصفحة التي قادتك إلى موقعنا). يساعدنا ذلك على فهم المحتوى الذي يفيد الزوار وتحسين تصميم موقعنا ومحتواه.\
* معلومات الجهاز والمتصفح: تفاصيل تقنية مثل عنوان IP الخاص بك (والذي يمكن أن يشير إلى موقعك العام)، ونوع المتصفح وإصداره، ونوع جهازك (مثل هاتف محمول أو حاسوب مكتبي، ونظام التشغيل)، ودقة الشاشة، وإعدادات اللغة. نجمع ذلك عبر سجلات الخادم وأدوات التحليل لضمان عرض الموقع بشكل صحيح ولأغراض التصحيح ومراقبة الأمان.\
* ملفات تعريف الارتباط ومعرفات التتبع: نستخدم ملفات تعريف الارتباط وتقنيات مشابهة (مثل إشارات الويب أو التخزين المحلي) لتحسين تجربتك على موقعنا. ملفات تعريف الارتباط هي ملفات نصية صغيرة يحفظها موقعنا في متصفحك. بعض هذه الملفات أساسية لعمل الموقع (مثلاً، لتذكر تفضيل لغتك أو إبقائك مسجلاً للدخول إذا كان الموقع يتطلب ذلك)؛ ويُستخدم البعض الآخر للتحليلات أو الإعلانات. على سبيل المثال، قد نستخدم Google Analytics أو أداة مشابهة تقوم بتعيين ملفات تعريف ارتباط لجمع إحصاءات استخدام مجمعة (مثل عدد الزوار، الصفحات الأكثر شعبية). وقد نستخدم أيضًا ملفات تعريف ارتباط لأغراض تسويقية، مثل وحدات بكسل Google أو LinkedIn، لتتبع التحويلات وإعادة استهداف الزوار بإعلاناتنا (بموافقتك). توفر إشعار ملفات تعريف الارتباط الخاص بنا تفاصيل عن كل ملف تعريف ارتباط وغرضه وكيفية إدارة تفضيلاتك.\
* مدخلات النماذج والاتصالات: إذا قمت بملء نموذج على موقعنا (مثل نموذج “اتصل بنا”، أو نموذج التسجيل أو طلب العرض التجريبي، أو حقل التعليقات)، فسنقوم بجمع المعلومات التي تقدمها. عادةً ما يتضمن ذلك اسمك، وبريدك الإلكتروني، ورقم هاتفك، وشركتك، ومحتوى رسالتك. نستخدم هذه المعلومات للرد على استفسارك أو معالجة طلبك (على سبيل المثال، إنشاء حساب تجريبي أو تسجيلك في النشرة الإخبارية). قد نحتفظ أيضًا بنسخة من مراسلاتنا لأغراض حفظ السجلات.\
* الاشتراك في النشرة الإخبارية/التسويق: إذا اشتركت في نشرتنا الإخبارية أو اخترت تلقي مراسلات تسويقية، فسنقوم بجمع تفاصيل الاتصال الخاصة بك (البريد الإلكتروني، وربما الاسم) بالإضافة إلى تفضيلات الاتصال الخاصة بك. سنرسل لك تحديثات ومعلومات تتماشى مع ما اشتركت فيه، ويمكنك إلغاء الاشتراك في أي وقت.\
* وسائل التواصل الاجتماعي والروابط الخارجية: إذا وصلت إلى موقعنا عبر وسائل التواصل الاجتماعي أو تفاعلت مع مكوناتنا الإضافية الاجتماعية (مثل زر “مشاركة” أو “أعجبني”)، فقد تقوم تلك المنصات بجمع بعض المعلومات من خلال ملفات تعريف الارتباط الخاصة بها. نحن لا نتحكم في تلك التفاعلات – يُرجى الرجوع إلى سياسات الخصوصية الخاصة بتلك المنصات. قد نتلقى بيانات مجمعة من المنصات الاجتماعية (مثال: عدد الأشخاص الذين نقروا على منشورنا). وبالمثل، إذا كان موقعنا يتضمن محتوى من جهات خارجية (مثل مشغل فيديو أو بيئة تجريب كود)، فقد تجمع تلك الجهات الخارجية بيانات الاستخدام وفقًا لسياساتها.\
ملفات تعريف الارتباط والموافقة: عند زيارتك الأولى لموقعنا، ستظهر لك لافتة أو إشعار بشأن ملفات تعريف الارتباط. باستثناء ملفات تعريف الارتباط الضرورية للغاية، لن نقوم بتعيين ملفات تعريف الارتباط (خاصة التحليلية أو الإعلانية) ما لم تمنح موافقتك. يمكنك إدارة تفضيلات ملفات تعريف الارتباط الخاصة بك في أي وقت من خلال أداة إعدادات ملفات تعريف الارتباط على موقعنا. لمزيد من التفاصيل، اقرأ إشعار ملفات تعريف الارتباط الخاص بنا (المشار إليه أعلاه)، والذي يعد جزءًا من سياسة الخصوصية هذه. (إذا كنت تقرأ هذه السياسة على منصة أحد العملاء حيث تم تضمين حزمة SDK الخاصة بنا، فلاحظ أن استخدام ملفات تعريف الارتباط قد يختلف – ما سبق ينطبق بشكل أساسي على موقع VOVE ID نفسه).
### 3. الأغراض والأسس القانونية للمعالجة
نقوم بمعالجة البيانات الشخصية فقط عندما يكون لدينا غرض محدد وأساس قانوني بموجب اللائحة العامة لحماية البيانات (GDPR) للقيام بذلك. يشرح هذا القسم سبب استخدامنا للبيانات الشخصية لكل فئة من الأفراد والأسس القانونية التي تجعل المعالجة مشروعة. نظرًا للوصول العالمي لخدماتنا، فإننا نعتمد بشكل أساسي على الأسس القانونية بموجب GDPR، كما نلتزم بالقوانين الأخرى المعمول بها في الدول التي نعمل فيها (ويمكننا تقديم تفاصيل إضافية لمناطق معينة عند الطلب).
#### 3.1 بالنسبة للمستخدمين النهائيين (التحقق من الهوية)
* التحقق من الهوية ومنع الاحتيال: الغرض الأساسي هو التحقق من وثائق هويتك وبياناتك البيومترية للتأكد من أنك أنت الشخص الذي تدعي أنك هو، ولمكافحة الاحتيال. يتضمن ذلك التحقق من صحة وثائق الهوية، ومقارنة صورتك الحية بصورتك على وثيقة الهوية، وإجراء أية فحوصات أمنية مطلوبة (مثل قوائم مكافحة غسل الأموال إذا كانت قابلة للتطبيق). الأساس القانوني لهذه المعالجة عادة هو المصالح المشروعة – وتحديدًا المصلحة المشروعة لعميلنا في منع الاحتيال الهويوي وضمان تحديد هوية الشخص بشكل صحيح. يُعترف بمنع الاحتيال كأحد المصالح المشروعة بموجب GDPR. وفي كثير من الحالات، هناك أيضًا التزام قانوني: على سبيل المثال، قد يكون عميلنا ملزَمًا قانونًا بالتحقق من الهوية (مثل لوائح “اعرف عميلك” KYC، قوانين التحقق من العمر، إلخ)، مما يوفر أساسًا قانونيًا (الامتثال لالتزام قانوني) لمعالجة بياناتك. بالإضافة إلى ذلك، قد يكون التحقق ضروريًا لتنفيذ عقد بينك (المستخدم النهائي) وبين عميلنا – فمثلاً، إذا كنت تسجل في خدمة ويتوجب عليك التحقق من هويتك لإكمال التسجيل، فإن ذلك يُعتبر ضروريًا لتقديم الخدمة المطلوبة. نحن نعتمد على عميلنا في تحديد الأساس القانوني المناسب وفق سياقه، لكننا نضمن أن معالجتنا تتم بما يتماشى مع تلك الأغراض.\
* الموافقة على استخدامات محددة: في بعض الولايات القضائية أو لبعض أنواع البيانات، قد يطلب عميلنا موافقتك قبل المعالجة. على سبيل المثال، قد تتطلب البيانات البيومترية (مثل مسح الوجه) موافقتك الصريحة بموجب المادة 9 من GDPR، ما لم ينطبق استثناء آخر. إذا طُلب منك الإقرار (مثلاً، بوضع علامة في مربع أو بالمتابعة بعد عرض إشعار) قبل أن نلتقط صورة السيلفي الخاصة بك أو وثيقتك، فستكون تلك الموافقة بمثابة أساس قانوني إضافي لنا ولعميلنا لمعالجة تلك البيانات. لن نستخدم البيانات البيومترية إلا في حدود ما هو ضروري لعملية التحقق وبما يتوافق مع أي موافقة تم الحصول عليها. لديك الحق في سحب موافقتك في أي وقت، ولكن يرجى ملاحظة أن ذلك قد يمنع استكمال عملية التحقق أو الخدمة المرتبطة.\
* تقديم الخدمة نيابةً عن العميل: نقوم بمعالجة نتائج التحقق ونقلها إلى عميلنا لتمكينه من تقديم خدماته لك (مثال: فتح حسابك أو الموافقة على معاملتك). يمكن اعتبار الأساس القانوني هنا المصالح المشروعة لكلٍ من العميل ولك بصفتك المستخدم النهائي – فلك مصلحة في الوصول الآمن إلى الخدمة، وللعميل مصلحة في التأكد من هويتك لتقديم الخدمة بأمان. وفي الحالات التي تتفاعل فيها مباشرة مع خدمة التحقق الخاصة بنا ضمن عملية التسجيل في خدمة العميل، يمكن أيضًا اعتبار ذلك ضروريًا لتنفيذ عقد مبرم معك (العقد هنا هو موافقتك على الخضوع لإجراءات KYC لاستخدام منصة العميل).\
* تحسين الجودة والتدريب (بشكل محدود ومع ضمانات): نحن نعمل باستمرار على تحسين تقنية التحقق من الهوية لدينا (على سبيل المثال، تحسين خوارزميات التعرف على الوثائق أو تقليل التحيز في مطابقة الوجوه). للقيام بذلك، قد نستخدم بيانات مجهولة أو مجمعة من عمليات تحقق سابقة. كلما أمكن، نقوم بتحويل البيانات بحيث لا يمكن ربطها بشخص محدد (وبالتالي لا تعود تعتبر بيانات شخصية). إذا احتجنا يومًا لاستخدام أي بيانات تعريفية لتطوير النظام داخليًا (ونحن نسعى لتجنب ذلك)، فسوف نتأكد من وجود أساس قانوني مثل المصلحة المشروعة (مصلحتنا في تحسين خدماتنا) مصحوبًا بضمانات قوية، أو سنسعى للحصول على موافقة إضافية. هام: أي استخدام من هذا القبيل لتحسين الخدمة منفصل عن عملية التحقق التي نقوم بها لعميلنا ويتم في إطار دور VOVE ID كمتحكم في البيانات. نحن لا نستخدم بياناتك لأغراض تطوير المنتج بشكل عام بطريقة تؤثر على خصوصيتك دون ضمان إما جعلها مجهولة المصدر أو إجرائها بمستويات عالية من الأمان والامتثال القانوني. هدفنا الأساسي هو استخدام البيانات الحقيقية فقط بالقدر الضروري والاعتماد قدر الإمكان على بيانات صناعية أو مجهولة لأغراض التدريب.\
* الامتثال والدعاوى القانونية: قد نعالج بيانات المستخدمين النهائيين إذا لزم الأمر للامتثال للقوانين أو للرد على الإجراءات القانونية. على سبيل المثال، بموجب بعض اللوائح قد نحتاج إلى الاحتفاظ بسجلات التحقق لفترة معينة، أو تقديم معلومات إلى جهات إنفاذ القانون أو الجهات التنظيمية عند الطلب القانوني (انظر قسم 4. مشاركة البيانات أدناه). يمكن أن يكون الأساس القانوني هنا هو الامتثال لالتزام قانوني. وبالمثل، إذا احتجنا إلى معالجة البيانات لإثبات أو ممارسة أو الدفاع عن مطالبات قانونية (مثال: لإثبات أنه تم إجراء تحقق بشكل صحيح في حالة نزاع)، فسنعتمد على المصلحة المشروعة (مصلحتنا في حماية أعمالنا، أو مصلحة عميلنا في مقاضاة حالات الاحتيال).\
#### 3.2 بالنسبة للعملاء التجاريين (تقديم الخدمة)
بالنسبة لعملائنا التجاريين ومستخدمي خدماتهم، تكون VOVE ID متحكم البيانات عند معالجة بياناتك الشخصية في سياق تقديم خدمات التحقق من الهوية لمؤسستك. تشمل أغراضنا والأسس القانونية ما يلي:
* تقديم الخدمة والوفاء بعقدنا: نستخدم بيانات اتصال العملاء وحساباتهم لإعداد حساب مؤسستك وإدارته، والتحقق من هويتك، وتقديم خدمات التحقق من الهوية لشركتك. يشمل ذلك صيانة لوحة التحكم الخاصة بك، وتمكينك من إجراء عمليات التحقق، وتوفير الدعم الفني. الأساس القانوني هو تنفيذ عقد – فعندما سجلت شركتك معنا، أصبح هناك اتفاق مبرم، ويجب علينا معالجة بياناتك (بصفتك المستخدم) للوفاء بالتزاماتنا بموجب ذلك العقد (مثال: ضمان أن المستخدمين المخوّلين فقط يمكنهم الوصول إلى الحساب، وتوفير تقارير الاستخدام، إلخ). إذا لم تكن أنت شخصيًا الموقع على العقد ولكنك مستخدم مخوّل، فإن الأساس القانوني لدينا هو مصلحتنا المشروعة في تقديم الخدمة لصاحب العمل الخاص بك وضمان الوصول المصرح به.\
* الاتصالات والدعم: نعالج معلومات الاتصال الخاصة بك للتواصل معك بشأن الخدمة. يشمل ذلك إرسال إعلانات متعلقة بالخدمة (مثل تحديثات حول توفر المنصة، أو تحديثات أمنية أو خصوصية على هذه السياسة)، والاستجابة لطلبات الدعم، وإشعارك بالميزات أو التحسينات الجديدة. الأساس القانوني هنا هو المصالح المشروعة – فمن مصلحتنا (وعادة مصلحتك أيضًا) إبقاؤك على اطلاع حول الخدمة التي تستخدمها. على سبيل المثال، إذا كنا نقوم بصيانة للنظام، فمن مصلحتنا المشروعة إبلاغ المستخدمين عبر البريد الإلكتروني عن فترات التوقف. وعندما تتواصل معنا بسؤال، فمن مصلحتنا المشروعة استخدام معلوماتك للرد عليك. في بعض الحالات، قد تكون هذه الاتصالات ضرورية لتنفيذ العقد (مثلاً، إرسال بريد إلكتروني ترحيبي لك لتفعيل حسابك قد يُعتبر جزءًا من تقديم الخدمة). نحن نضمن أن أي اتصالات ذات طابع تسويقي لا تُرسل إلا وفقًا للقوانين المعمول بها (راجع النقطة التالية).\
* التسويق والرؤى: إذا كنت جهة اتصال تجارية أبدت اهتمامًا بـ VOVE ID (مثال: من خلال التسجيل لتجربة خدمة أو تنزيل ورقة بيضاء)، فقد نرسل لك اتصالات تسويقية ذات صلة مثل تحديثات المنتج، النشرات الإخبارية أو دعوات للفعاليات. سنقوم بذلك إما بموافقتك (مثلاً، إذا اخترت عبر تحديد مربع أنك توافق على تلقي التحديثات) أو بموجب المصلحة المشروعة إذا كنت عميلًا قائمًا أو في سياق يتوقع فيه مثل هذا التواصل (تسمح GDPR وبعض القوانين بالتسويق بين الشركات B2B للعملاء القائمين على أساس المصلحة المشروعة، فيما يُسمى أحيانًا “الموافقة الضمنية”، طالما يوجد خيار سهل لإلغاء الاشتراك). في جميع الحالات، لديك الحق في رفض رسائل البريد الإلكتروني التسويقية في أي وقت بالنقر على “إلغاء الاشتراك” في الرسالة أو بالاتصال بنا. نحن لا نقوم بإرسال رسائل جماعية مزعجة، ولا نشارك معلومات الاتصال الخاصة بك مع جهات خارجية لأغراضهم التسويقية الخاصة.\
* الفوترة والإدارة: نعالج البيانات الشخصية اللازمة للفوترة وإدارة الحساب. على سبيل المثال، يحتوي نظامنا المالي على اسم جهة اتصال الفواتير ومعلومات الاتصال الخاصة بها، والفواتير الصادرة، وحالة الدفع. الأسس القانونية هي تنفيذ العقود (يتعين علينا إصدار فواتير كجزء من اتفاقية الخدمة) والالتزامات القانونية (علينا الاحتفاظ بسجلات معينة للأغراض الضريبية والمحاسبية). إذا استخدمنا معالج دفع أو تعاملنا مع معلومات بطاقة الائتمان، فإن تلك المعلومات تُعالج بشكل آمن ووفقًا لمعايير صناعة بطاقات الدفع؛ وعادةً ما نحتفظ بتفاصيل الدفع عبر معالجي دفع معتمدين وليس في أنظمتنا الخاصة.\
* الأمان ومنع إساءة الاستخدام: لحماية خدماتنا وحسابك، نقوم بمراقبة وتسجيل أنشطة معينة في لوحة التحكم الخاصة بالعملاء وواجهة API. على سبيل المثال، قد نسجّل محاولات تسجيل الدخول الفاشلة، وأنماط الاستخدام التي تشير إلى إساءة محتملة، أو حالات الوصول التي تؤدي إلى إطلاق قواعد أمنية. الأساس القانوني هو المصالح المشروعة – مصالحنا ومصالحك – في الحفاظ على خدمة آمنة. يساعد هذا في منع الوصول غير المصرح به إلى بيانات التحقق الحساسة ويضمن أننا نفي بوعدنا التعاقدي بمعالجة آمنة. إذا اكتشفنا مشكلة (مثل تعرض مفتاح API للحساب للاختراق)، فسنستخدم بيانات الاتصال الخاصة بك لتنبيهك ومساعدتك في حلها.\
* تحسين الخدمة والتحليلات: قد نستخدم بيانات الاستخدام الخاصة بعملائنا التجاريين (بشكل مجمع ومجهول قدر الإمكان) لفهم كيفية أداء خدماتنا، وأي الميزات هي الأكثر استخدامًا، وما الذي يمكن تحسينه. على سبيل المثال، قد نحلل متوسط الوقت المطلوب لإكمال عملية تحقق أو الميزات التي يستخدمها العملاء بكثرة. الأساس القانوني هو المصلحة المشروعة – إدارة خدمة فعالة وسهلة الاستخدام. تدور هذه التحليلات حول استخدام المنتج بشكل عام ولا تركز عادةً على الأفراد، ولكن إلى الحد الذي تتضمن فيه أية بيانات شخصية (مثل نقرات مسؤول ما)، فإننا نقوم بإخفاء هويتها أو تجميعها. إذا أردنا استخدام أي تعليقات أو دراسة حالة تتضمن شخصًا معرفًا، سنطلب موافقته.\
* الامتثال والمتطلبات القانونية: قد نعالج بيانات العملاء للامتثال للقوانين (مثال: متطلبات “اعرف عميلك التجاري” أو قيود التصدير، إلخ). إذا كنت مثلاً تعمل في قطاع منظم، فقد نكون مطالبين بإجراء قدر من العناية الواجبة. قد يشمل ذلك استخدام بياناتك للتأكد من أننا نستطيع قانونيًا تقديم خدماتنا لك (مثل التحقق من عدم وجود اسمك في قوائم العقوبات إذا تطلب القانون ذلك لعقودنا). الأساس القانوني سيكون الامتثال لالتزام قانوني أو مصلحتنا المشروعة في الامتثال للقانون ومنع إساءة استخدام خدماتنا.\
باختصار، بالنسبة لمستخدمي خدمة B2B، نستخدم بياناتك بشكل أساسي لإدارة علاقتنا التجارية مع شركتك – تقديم الخدمة، دعمك، تحسين المنتج، والوفاء بواجباتنا القانونية. نحن نقوم بذلك بطريقة تحترم خصوصيتك، ولا نستخدم معلوماتك لأغراض غير ذات صلة مثل الإعلانات لأطراف ثالثة غير مرتبطة.
#### 3.3 بالنسبة لزوار الموقع الإلكتروني (وظائف الموقع والتحليلات)
بالنسبة لزوار موقعنا الإلكتروني (ممن قد لا يستخدمون خدمة التحقق من الهوية الخاصة بنا مباشرة)، فإننا نعالج البيانات الشخصية بشكل أساسي لتشغيل موقعنا وتعلم كيفية تحسينه. تشمل الأغراض والأسس القانونية ما يلي:
* تشغيل الموقع وتأمينه: عندما تحمل صفحات موقعنا، فإن أنظمتنا تعالج حتمًا بيانات جهازك وشبكتك لتوصيل المحتوى إليك. يشمل ذلك تمرير المحتوى إلى عنوان IP الخاص بك وتهيئة العرض ليناسب جهازك. الأساس القانوني للتشغيل الأساسي للموقع هو مصلحتنا المشروعة في توفير موقع إلكتروني معلوماتي وآمن (كما يعترف البند التمهيدي 49 من GDPR بأن ضمان أمن الشبكات والمعلومات هو مصلحة مشروعة). كما نقوم بتسجيل الأحداث (مثل الأخطاء أو أنماط الوصول غير العادية) للحفاظ على الأمان – وهذا أيضًا بموجب المصالح المشروعة (حماية موقعنا ومستخدمينا من النشاط الخبيث). بدون هذه المعالجة، لا يمكن للموقع أن يعمل بشكل سليم.\
* التحليلات ومراقبة الأداء: نود فهم كيفية تفاعل الزوار مع موقعنا حتى نتمكن من تحسين التخطيط والمحتوى والأداء. لتحقيق ذلك، نستخدم أدوات تحليل تجمع بيانات الاستخدام وتعيّن ملفات تعريف ارتباط غير أساسية. الأساس القانوني لملفات تعريف الارتباط الخاصة بالتحليلات هو الموافقة. عند زيارتك الأولى، لن نقوم بتفعيل أدوات التحليلات الخاصة بنا (مثل Google Analytics) إلا إذا وافقت عليها عبر لافتة ملفات تعريف الارتباط. إذا اخترت “موافق”، فإننا نعالج بيانات مثل الصفحات التي تمت زيارتها، والنقرات، والموقع الجغرافي العام لتوليد رؤى (مثل البلدان الأكثر زيارةً، الصفحات الأكثر جذبًا للاهتمام). يساعدنا ذلك في اتخاذ قرارات مثل تحسين الوثائق الشائعة أو تحسين أوقات التحميل. يمكنك سحب موافقتك في أي وقت من خلال تعديل إعدادات ملفات تعريف الارتباط الخاصة بك (ولن يؤثر ذلك على التصفح الأساسي للموقع). نحن نضبط أدوات التحليل الخاصة بنا على نحو يحترم الخصوصية – على سبيل المثال، قد نخفي جزءًا من عنوان IP الخاص بك، ولا نسمح لمزود خدمة التحليلات باستخدام البيانات لأغراضهم الخاصة.\
* تخصيص تجربتك: قد نستخدم ملفات تعريف الارتباط لتذكر الخيارات التي تتخذها، مثل تفضيل اللغة أو الإعدادات الأخرى، بحيث تحصل على تجربة متسقة في الزيارات اللاحقة. قد يكون الأساس القانوني لهذه التفضيلات هو الموافقة (إذا لم تكن ضرورية بشكل صارم) أو المصلحة المشروعة إذا كان الهدف منها تحسين تجربة المستخدم بشكل طفيف فقط. على سبيل المثال، قد يُعتبر تذكر تفضيل اللغة من المصلحة المشروعة لأنه أمر متوقع وله تأثير خصوصية طفيف. في كل الأحوال، لديك القدرة عبر إعدادات المتصفح أو لافتة ملفات تعريف الارتباط الخاصة بنا على تعطيل مثل هذه الملفات إذا رغبت.\
* الاستجابة لطلباتك: إذا أرسلت نموذجًا للاتصال، أو اشتركت في نشرة إخبارية، أو طلبت عرضًا توضيحيًا، سنستخدم البيانات التي قدمتها لتلبية ذلك الطلب. يعتمد الأساس القانوني على السياق: يمكن أن يكون الموافقة (إذا قمت بوضوح بتقديم بياناتك طوعًا)، أو خطوة تمهيدية لعقد (إذا كنت تستفسر عن خدماتنا، فإننا نعتبرك عميلًا محتملاً وتعقبنا كشيء طلبته). في جميع الحالات، سنستخدم معلوماتك فقط للرد بشكل مناسب – على سبيل المثال، إذا طرحت سؤالًا، فسنجيب عليه؛ وإذا اشتركت في نشرة إخبارية، فسنرسلها إليك. إذا أصبحت عميلًا، فستتم معالجة بياناتك بعد ذلك وفقًا لقسم العملاء التجاريين؛ وإذا لم تصبح، فقد نتواصل معك من حين لآخر ولكن فقط بموافقتك أو على أساس المصلحة المشروعة كما تم وصفه أعلاه في قسم التسويق.\
* الإعلانات وإعادة الاستهداف: نحن لا نبيع بياناتك للمعلنين. ولكن، قد نقوم بتشغيل إعلاناتنا الخاصة عبر الإنترنت ونستخدم أدوات (مثل إعلانات Google أو LinkedIn) لقياس فعاليتها أو لـ”إعادة استهداف” الزوار (عرض إعلاناتنا للأشخاص الذين زاروا موقعنا). قد يتضمن ذلك تعيين ملفات تعريف ارتباط أو بكسلات لطرف ثالث. إن الأساس القانوني لمثل هذه ملفات تعريف الارتباط التسويقية هو الموافقة. إذا لم تسمح بملفات تعريف الارتباط التسويقية، فلن تتلقى إعادة استهداف من طرفنا. وإذا وافقت، فقد تجمع تلك الأطراف (مثل Google) بعض بيانات الاستخدام الخاصة بك على موقعنا لمساعدتنا في معرفة، مثلاً، ما إذا كان شخص ما رأى إعلانًا وانتهى به الأمر إلى زيارة موقعنا، أو للسماح لنا بعرض إعلان لخدمتنا لك على موقع آخر. سنقدم تفاصيل حول أي من هذه الملفات في إشعار ملفات تعريف الارتباط الخاص بنا وسنحترم اختيارك.\
* الامتثال والحماية: قد نعالج بيانات زوار الموقع للامتثال للمتطلبات القانونية أو لحماية حقوقنا. على سبيل المثال، قد نحتفظ بسجلات الخادم (بما في ذلك عناوين IP) لفترة معينة كإجراء أمني وللتحقيق في حال تم إساءة استخدام موقعنا (مثل محاولة اختراق أو نشر محتوى غير قانوني عبر نموذج). قد يكون الأساس القانوني هو المصلحة المشروعة (الحفاظ على الأمان والامتثال القانوني) أو الالتزام القانوني إذا كان يتعين علينا الاحتفاظ ببيانات معينة. يتم عادةً الوصول إلى هذه السجلات فقط عند الضرورة (مثل لأغراض التصحيح أو تحليل الأمان) ويتم حذفها بأمان بعد فترة الاحتفاظ (انظر قسم 8. الاحتفاظ بالبيانات أدناه).\
باختصار، بالنسبة لزوار الموقع، فإن معظم المعالجة غير الأساسية (مثل التحليلات/الإعلانات) تتم فقط إذا أبديت موافقتك. أما المعالجة الضرورية للتشغيل الأساسي وللأمان فتستند إلى مصلحتنا المشروعة في تشغيل موقع إلكتروني موثوق وآمن تتوقعه عند تصفحك له. إننا نهدف إلى الشفافية وإعطائك التحكم في أي بيانات غير ضرورية للاستخدام الأساسي لمواردنا عبر الإنترنت.
### 4. مشاركة البيانات والإفصاح عنها
نتعامل مع بياناتك الشخصية بعناية وسرية. نحن لا نبيع بياناتك الشخصية لأي أطراف ثالثة. ولكن، لكي تعمل خدماتنا، نحتاج أحيانًا إلى مشاركة البيانات مع جهات موثوقة معينة. فيما يلي توضيح للأطراف التي قد نتشارك معها البيانات، وتحت أي ظروف:
* عملاؤنا (الشركات التجارية): إذا كنت مستخدمًا نهائيًا يجري التحقق منه، سنشارك نتائج التحقق من هويتك مع العميل الذي طلب إجراء التحقق. في الواقع، تزويد العميل بنتيجة التحقق هو جوهر الخدمة – على سبيل المثال، قد نرسل تقرير التحقق ووثائق هويتك والبيانات ذات الصلة إلى الشركة التي تحتاج إلى التحقق من هويتك. سيستخدم ذلك العميل المعلومات وفقًا لإشعار الخصوصية الخاص به والقانون المعمول به. نحن لا نفصح عن بياناتك إلا إلى العميل المحدد الذي خول عملية التحقق الخاصة بك؛ ولا نبثها لأي جهة أخرى. إذا طلبت منك عدة شركات بشكل منفصل إجراء عمليات تحقق (مثال: تقوم بالتسجيل لدى مصرفين مختلفين وكلاهما يستخدم VOVE ID)، فإن كل شركة لن تطلع إلا على بيانات طلباتها الخاصة.\
* مزودو الخدمة (المعالِجون الثانويون): نعتمد على مزودي خدمة خارجيين موثوقين لمساعدتنا في تقديم خدماتنا. يعمل هؤلاء المزودون كمعالِجين ثانويين، مما يعني أنهم يعالجون البيانات الشخصية نيابةً عنا (وبناءً على تعليماتنا). تشمل المعالِجين الثانويين الرئيسيين ما يلي:\
* * استضافة السحابة والبنية التحتية: نستخدم منصة Google Cloud (GCP) في الاتحاد الأوروبي لاستضافة وتخزين غالبية البيانات الشخصية. تُحفظ بيانات التحقق الخاصة بك وقواعد بياناتنا وخوادمنا في مراكز بيانات آمنة داخل الاتحاد الأوروبي. تعمل Google كمعالِج ثانوي لنا لتخزين البيانات ونقلها، لكنها لا تستطيع استخدام بياناتك لأي غرض آخر. لدينا مع Google اتفاقية معالجة بيانات متوافقة مع GDPR تتضمن بنودًا تعاقدية قياسية (SCCs) لأي عمليات نقل ضرورية (انظر قسم 5. النقل الدولي).\
* أدوات التحقق من الهوية: في بعض الحالات، قد نستخدم برامج أو خدمات خارجية مدمجة في عملية التحقق خاصتنا. على سبيل المثال، قد نستخدم خدمة لفحص موثوقية الوثائق، أو مزود خوارزمية بيومترية، أو قاعدة بيانات مكافحة غسل الأموال (AML). تتلقى هذه الجهات ما يلزم من البيانات (مثل صورة الهوية أو الاسم للتحقق من عدم وروده في قائمة عقوبات) وتعيد لنا النتائج. وهي ملزمة بموجب عقود بألا تستخدم البيانات إلا لغرض التحقق المقصود.\
* خدمات الاتصالات: نستخدم بعض الأدوات للتواصل مع المستخدمين النهائيين والعملاء. على سبيل المثال، خدمة إرسال بريد إلكتروني (لإرسال رموز أو إيصالات)، أو بوابة رسائل SMS (لإرسال رموز تحقق نصية)، أو منصة دعم عملاء (لإدارة الاستفسارات). قد تتعامل هذه الجهات مع بيانات شخصية مثل بريدك الإلكتروني أو هاتفك أو اسمك في سياق تلك الاتصالات. وهي ملتزمة بالحفاظ عليها آمنة وسرية.\
* شركاء التحليلات والتسويق: بالنسبة لموقعنا، قد نستخدم مزودي خدمات تحليلية (مثل Google Analytics) أو منصات إعلانية (مثل إعلانات Google، LinkedIn) كما ورد سابقًا. يعمل هؤلاء كمُعالِجين أو متحكمين مستقلين في مجالهم. نحن نضمن تقليل مشاركة البيانات إلى الحد الأدنى (مثال: قد نشارك معرفًا مجزّأً، أو نستخدم الإعدادات المضمنة لتعزيز الخصوصية). ولا يمكنهم تحديد هويتك شخصيًا من البيانات التي نشاركها لأغراض التحليل، وأي استخدام أوسع للبيانات (مثلاً بواسطة Google لتخصيص الإعلانات) يخضع لموافقتك ولسياسة الخصوصية الخاصة بهم.\
* بائعون آخرون: قد نستعين ببائعين آخرين لخدمات محددة مثل النسخ الاحتياطي للبيانات، أو شبكات توصيل المحتوى (CDNs)، أو مراقبة الأمان. أي بائع من هذا القبيل لديه وصول إلى البيانات الشخصية يتم تقييمه من حيث الأمان والخصوصية، ويلتزم بموجب العقد بمعايير صارمة لحماية البيانات.\
* نقل الأعمال (عمليات الاندماج والاستحواذ): إذا كانت VOVE ID جزءًا من اندماج أو استحواذ أو إفلاس أو بيع كل أو بعض أصولنا، فقد يتم نقل البيانات الشخصية إلى الكيان الخلف أو المستحوذ. سنضمن أن أي كيان من هذا القبيل يكون ملتزمًا باحترام هذه السياسة (أو سيتم إخطارك وسيُمنح لك خيار الرفض إذا سمحت القوانين بذلك). سنلزم أيضًا الطرف المستلم بألا يستخدم بياناتك إلا لنفس الأغراض التي جمعناها لها، ما لم توافق على معالجة جديدة.\
نؤكد على أن أي طرف ثالث يتلقى بيانات شخصية منا سيلتزم بحمايتها وفقًا لقوانين حماية البيانات المعمول بها. نحن لا نسمح لأي مستلم من الأطراف الثالثة باستخدام البيانات الشخصية لأغراضه التسويقية الخاصة أو لأي أغراض غير تلك الموصوفة في هذه السياسة.
علاوة على ذلك، فنحن لا نشارك بيانات تحقق المستخدم النهائي مع عملاء آخرين أو أي أطراف غير مخول لها – إذ إن كل عميل يمكنه الوصول إلى بياناته فقط. داخليًا، فإن الوصول إلى البيانات الشخصية محدود للغاية: يصل موظفونا إلى بياناتك على أساس “الحاجة إلى المعرفة” ووفق مبدأ الحد الأدنى من الامتيازات، ما يعني أن الموظفين الذين يحتاجون تلك البيانات فقط لأداء عملهم (مثلاً، مهندس دعم فني يقوم باستكشاف مشكلة) يمكنهم رؤيتها. جميع الموظفين والمتعاقدين يخضعون لالتزامات الحفاظ على السرية.
### 5. تخزين البيانات ونقلها دوليًا
ندرك أهمية الاحتفاظ بالبيانات الشخصية ليس فقط بشكل آمن، ولكن أيضًا في مواقع ملائمة. نشرح هنا أين نخزن البيانات وكيف نتعامل مع عمليات نقل البيانات الدولية.
* التخزين الأساسي في الاتحاد الأوروبي: يتم افتراضيًا تخزين جميع البيانات الشخصية التي يتم جمعها عبر خدمات VOVE ID على خوادم آمنة موجودة داخل الاتحاد الأوروبي. نحن نستخدم مراكز بيانات منصة Google Cloud داخل الاتحاد الأوروبي (مثلاً، في بلجيكا و/أو هولندا) لقواعد بياناتنا وتخزين الملفات والخوادم. عبر إبقاء البيانات داخل الاتحاد الأوروبي، نضمن حماية معلوماتك بموجب قوانين صارمة لحماية البيانات في المنطقة الاقتصادية الأوروبية (EEA). تتمتع Google Cloud بشهادات أمن قوية وتمتثل لمدونة سلوك الاتحاد الأوروبي، ولا تتصرف إلا وفق تعليماتنا فيما يتعلق ببياناتك. نحن لا نخزن بيانات شخصية في ولايات قضائية لا تتمتع بحماية بيانات كافية إلا إذا كان ذلك ضروريًا ومع وجود ضمانات مناسبة، كما سيتم شرحه أدناه.\
* نطاق العمليات الجغرافي: حالياً، ترتكز عمليات VOVE ID الأساسية في المغرب والاتحاد الأوروبي. قد يكون لدينا موظفون أو شركاء خارج الاتحاد الأوروبي يساعدون في تقديم خدماتنا (مثال: مركز دعم عملاء أو فريق تطوير). ومع ذلك، حتى لو كان فريقنا خارج الاتحاد الأوروبي، فسيصلون إلى البيانات عن بُعد على خوادم داخل الاتحاد الأوروبي. لدينا ضوابط ومراقبة صارمة لضمان أن أي وصول يتم بشكل آمن (مثل عبر اتصالات مشفرة وشبكات VPN) ومحدود للأغراض المصرح بها فقط.\
* النقل خارج الاتحاد الأوروبي: كلما قمنا نحن (أو معالِجونا الثانويون) بنقل بيانات شخصية من الاتحاد الأوروبي إلى دولة لا تعتبر “ملائمة” من قبل المفوضية الأوروبية (أي أن قوانين حماية البيانات الخاصة بتلك الدولة لا تعتبر مكافئة لمعايير الاتحاد الأوروبي)، فإننا نعتمد على آليات قانونية معتمدة لضمان بقاء بياناتك محمية. الآلية الأساسية التي نستخدمها هي البنود التعاقدية القياسية للمفوضية الأوروبية (SCCs). وهذه التزامات تعاقدية بيننا (أو بين شركائنا) وبين المستلم للبيانات تلزم بتوفير نفس مستوى حماية البيانات كما هو الحال داخل الاتحاد الأوروبي. على سبيل المثال:\
* * إذا كان عميلنا خارج الاتحاد الأوروبي ويحتاج إلى استلام بيانات مستخدم نهائي (مثلاً، بنك في منطقة الشرق الأوسط وشمال أفريقيا أو في الولايات المتحدة يستخدم خدمتنا)، فسيشمل عقدنا مع ذلك العميل بنود CCT تلزمه بحماية البيانات.\
* إذا استخدمنا معالِجًا ثانويًا في الولايات المتحدة أو في دولة أخرى (مثلاً، خدمة بريد إلكتروني)، فسنبرم معه اتفاقية CCT أو ترتيبًا معادلاً. بالإضافة إلى ذلك، حيثما كان مناسبًا، نطبّق ضمانات إضافية على هذه التحويلات، مثل التشفير أثناء النقل وفي التخزين، وسياسات للتعامل مع أي طلبات حكومية للوصول إلى البيانات (تماشيًا مع متطلبات حكم “Schrems II”).\
* آليات نقل أخرى: إذا لم تكن اتفاقيات CCT قابلة للتطبيق أو كافية في سيناريو معين، فقد نعتمد على آليات أخرى معتمدة بموجب GDPR: على سبيل المثال، قرار ملاءمة (إذا تم نقل البيانات إلى دولة تعتبرها الاتحاد الأوروبي ملائمة، مثل سويسرا أو ربما المملكة المتحدة)، أو قواعد شركات ملزمة (إذا قمنا بتطبيقها مستقبلًا لعمليات النقل داخل المجموعة)، أو موافقتك الصريحة في حالات نادرة (مع تنويه واضح بالمخاطر). سنختار دائمًا الآلية التي توفر أفضل حماية للبيانات والتي يمكن تنفيذها عمليًا في الحالة المعنية.\
### 6. تدابير الأمان
نحن نتعامل مع أمن البيانات بجدية بالغة، ونعمل على تطبيق تدابير تقنية وتنظيمية صارمة لحماية بياناتك الشخصية. فيما يلي نظرة عامة على تدابير الأمان الرئيسية لدينا:
#### 6.1 الضمانات التقنية
* تشفير البيانات: يتم تشفير كافة البيانات الشخصية أثناء نقلها وعند تخزينها. وهذا يعني أنه عندما يتم إرسال بياناتك بين جهازك وخوادمنا (أو بين خوادمنا ومعالِجينا الثانويين)، فإننا نستخدم بروتوكولات تشفير قوية (مثل HTTPS/TLS) لمنع التنصت. وبالمثل، فإن البيانات المخزنة (قواعد البيانات، النسخ الاحتياطية، إلخ) يتم تشفيرها باستخدام خوارزميات تشفير حديثة. يضمن التشفير أنه حتى لو وقعت البيانات في الأيدي الخاطئة، فلن تكون قابلة للقراءة.\
* التحكم في الوصول والمصادقة: يتم التحكم بصرامة في الوصول إلى أنظمتنا ومستودعات البيانات عبر تحكم بالوصول قائم على الأدوار (RBAC). لا يمكن لأي شخص الوصول إلى البيانات الشخصية سوى الموظفين المخوّلين الذين لديهم حاجة فعلية لمعرفة تلك البيانات، ويقتصر وصولهم على الحد الأدنى اللازم وفقًا لدورهم. نفرض مصادقة قوية (بما في ذلك المصادقة متعددة العوامل (MFA) لموظفينا والمسؤولين) لمنع عمليات تسجيل الدخول غير المصرح بها. يتم تسجيل الوصول الإداري إلى الأنظمة الحساسة ومراجعته بانتظام.\
* أمان الشبكة: يتم حماية خوادمنا بجدران حماية وتقسيم للشبكة. نفصل بين البيئات بحيث تكون الأنظمة المواجهة للإنترنت، على سبيل المثال، منفصلة عن قواعد البيانات الداخلية. نحن نستخدم أنظمة كشف ومنع التطفل (IDS/IPS) ومراقبة مستمرة للشبكة. نجري عمليات مسح أمني واختبارات اختراق منتظمة للعثور على نقاط الضعف ومعالجتها. كما نستخدم شبكات VPN آمنة وقنوات مشفرة لأي إدارة عن بُعد.\
* تطوير برامج آمن: يتبع فريقنا الهندسي ممارسات وأطر برمجية آمنة. نجري مراجعات للكود ونستخدم أدوات فحص آلية للكشف عن نقاط الضعف الأمنية في برامجنا. قبل نشر الميزات أو التحديثات الجديدة، فإنها تخضع للاختبار (بما في ذلك اختبارات الأمان). لدينا أيضًا برنامج مكافآت الثغرات أو برنامج إفصاح مسؤول يشجع باحثي الأمن على إبلاغنا بالمشكلات.\
* تقليل البيانات وإخفاء الهوية: كلما أمكن، نخفض مقدار البيانات المحددة للهوية في أنظمتنا. على سبيل المثال، لأغراض تدريب الخوارزميات، نستخدم بيانات مجهولة الهوية. وفي الأنظمة التشغيلية، قد نقوم باستبدال معرفات مباشرة برموز (pseudonymization)، بحيث لا يمكن الربط الكامل بالهوية إلا باستخدام جدول منفصل (يخضع لرقابة مشددة). بهذه الطريقة، حتى لو تم الوصول إلى قاعدة بيانات داخلية، فإن البيانات لن تكون محددة الهوية على الفور دون المفتاح.\
* المراقبة والتسجيل: لدينا نظام شامل لتسجيل الدخوليات والإجراءات في أنظمتنا. تُولد الأنظمة الحرجة تنبيهات عند حدوث أنشطة غير اعتيادية (مثل محاولات تسجيل دخول متعددة فاشلة، أو عمليات تصدير كبيرة للبيانات). نوظف مراقبة على مدار الساعة (24/7) بحيث يتم إبلاغ فريق الأمان لدينا بسرعة بأي حوادث أو حالات شاذة محتملة. كما تساعدنا سجلاتنا في التحليل الجنائي إذا حدث خطأ ما، حتى نتمكن من تتبع المشكلة.\
* النسخ الاحتياطية والاستعادة: نقوم بإجراء نسخ احتياطية منتظمة للبيانات المهمة لمنع فقدانها. يتم تشفير النسخ الاحتياطية وتخزينها بشكل آمن (مع مراعاة نفس متطلبات إقامة البيانات – مثلاً، داخل الاتحاد الأوروبي). نقوم باختبار خطط استعادة الطوارئ لدينا بشكل دوري للتأكد من أننا قادرون على استعادة توفر البيانات والوصول إليها في الوقت المناسب حال وقوع حادث فيزيائي أو تقني. فترة الاحتفاظ الافتراضية للنسخ الاحتياطية محدودة، ثم يتم حذفها بشكل آمن.\
#### 6.2 التدابير التنظيمية
* سياسات الوصول والتدريب: يخضع جميع موظفي VOVE ID ومتعاقديها لفحوص خلفية حيثما يسمح القانون، ويجب عليهم توقيع اتفاقيات سرية. نقدم تدريبًا منتظمًا لجميع الموظفين حول ممارسات الخصوصية وأمن البيانات، لضمان فهمهم لمسؤولياتهم في حماية البيانات الشخصية والتعرف على أساليب الهندسة الاجتماعية أو المخاطر الأخرى. تحدد سياساتنا الداخلية كيفية التعامل مع البيانات والإبلاغ عنها والتخلص منها. عدد قليل فقط من الفريق المخوّل لديه إمكانية الوصول إلى بيانات المستخدمين الإنتاجية، وذلك أيضًا ضمن ظروف صارمة.\
* فريق مخصص للأمن والخصوصية: لدينا فريق مخصص مسؤول عن الإشراف على الأمان والامتثال لحماية البيانات. يشمل هذا الفريق مهندسين أمنيين ومسؤولي امتثال ومسؤول حماية بيانات (DPO) (سواء كان مطلوبًا بموجب القانون أو تم تعيينه من قبلنا طوعًا). يقوم هذا الفريق بإجراء تقييمات للمخاطر وتقييمات لتأثيرات الخصوصية. كما أننا نستعين بمدققين مستقلين أو خبراء لتقييم ضوابط الأمان لدينا بانتظام (بما في ذلك اختبار اختراق سنوي وربما تدقيقات مثل SOC 2 أو ISO 27001 مع نمو شركتنا).\
* إدارة مخاطر الطرف الثالث: قبل إشراك أي معالِج ثانوي أو بائع قد يتعامل مع بيانات شخصية، نقوم بتقييم وضعه الأمني وامتثاله. نتأكد من وجود اتفاقية معالجة بيانات موقعة معه. نطلب من معالِجينا الثانويين الحصول على شهادات أو تدقيقات ملائمة (مثل ISO 27001، SOC 2 أو ما شابه) أو أن يثبتوا امتثالهم لـ GDPR. نراقب امتثالهم، وسنُنهي العقود إذا لم يلبِّ أي بائع متطلبات الأمان الخاصة بنا.\
* مبدأ الحد الأدنى من الامتياز & الحاجة إلى المعرفة: كما ذكرنا، داخليًا نتبع مبدأ الحد الأدنى من الامتياز. يمكن لوكلاء الدعم أو التحقق لدينا رؤية البيانات المرتبطة بمهمتهم فقط (مثلاً، يمكن لوكيل الدعم الاطلاع على تفاصيل جلسة تحقق المستخدم النهائي فقط عند استكشاف تلك الجلسة لصالح العميل، وحتى في تلك الحالة قد يتم إخفاء بيانات حساسة مثل صور الهوية الكاملة ما لم تكن ضرورية للغاية). يتم تسجيل الوصول إلى بيانات الإنتاج ويتطلب موافقة إدارية.\
* الأمان الفيزيائي: رغم اعتمادنا الكبير على البنية التحتية السحابية، إلا أن أي مكتب أو بيئة مركز بيانات نعمل فيها تكون مؤمّنة. مكاتبنا لديها ضوابط وصول (بطاقات تعريف/نظم بيومترية) وسياسات للزوار. بالنسبة لمراكز البيانات السحابية، فإننا نعتمد على الأمان الفيزيائي للمزود (والذي يتضمن لدى Google Cloud حراسة على مدار الساعة/طوال الأسبوع، وصول بيومتري، إلخ). نحن لا نخزن بيانات شخصية حساسة على حواسيب أو أجهزة الموظفين؛ كل شيء موجود في بيئات سحابية آمنة. أجهزة الموظفين مشفرة وتتم إدارتها مركزيًا لفرض الأمان (مع إمكانية المسح عن بعد، إلخ).\
* خطة الاستجابة للحوادث: لدينا خطة استجابة للحوادث توضح الخطوات المتبعة لكشف واحتواء والتحقيق وإخطار الأطراف المعنية بحوادث الأمان. يتم تدريب الموظفين الرئيسيين على إجراءات الطوارئ. نقوم بمحاكاة سيناريوهات اختراق لضمان جاهزيتنا. راجع القسم التالي حول الاستجابة لحوادث خرق البيانات لمعرفة تفاصيل كيفية تعاملنا مع أي حوادث فعلية.\
* الشهادات وبرامج الامتثال: نقوم بمراجعة ضوابط الأمان لدينا باستمرار مقارنةً بالمعايير الصناعية والتهديدات الناشئة للحفاظ على تحديث إجراءات الحماية. هدفنا هو الحفاظ على وضع أمني “متطور” ومواكب لأعلى المعايير، مع ضمان السرية والسلامة وتوافر البيانات التي تعهدون بها إلينا.\
### 7. الاستجابة لحوادث خرق البيانات
على الرغم من أفضل جهودنا، لا يوجد نظام آمن بنسبة 100%. في حال وقوع خرق للبيانات الشخصية (حادث أمني يؤدي إلى الإتلاف أو الفقدان أو التعديل العرضي أو غير القانوني، أو الكشف أو الوصول غير المصرح به إلى البيانات الشخصية)، لدى VOVE ID خطة واضحة للاستجابة بسرعة وفعالية للحد من أي ضرر والامتثال لالتزاماتنا القانونية.
التعرف على الحادث واحتواؤه: أنظمة المراقبة لدينا وموظفونا مدربون على اكتشاف أي حوادث أمنية محتملة. في اللحظة التي نشك فيها بوقوع خرق بيانات، يتدخل فريق الاستجابة للحوادث لدينا فورًا. نجمع تفاصيل حول ما حدث، وما هي البيانات المعنية، ومَن يمكن أن يكون متضررًا. نعمل على احتواء الخرق فورًا – مثلاً، عزل الأنظمة المتأثرة، إلغاء المفاتيح أو بيانات الاعتماد المُخترَقة، أو إيقاف هجوم جارٍ – لمنع أي وصول غير مصرح به إضافي.
التقييم: سنقيّم نطاق وشدة الخرق. يشمل ذلك تحديد حجم البيانات والأفراد المتأثرين، ونوع البيانات (مثلاً، ما إذا كانت تتضمن معلومات حساسة مثل وثائق هوية أو بيانات بيومترية)، والعواقب المحتملة على المستخدمين. كما نحدد ما إذا كان الخرق مرجحًا أن يؤدي إلى أي خطر على حقوق الأفراد وحرياتهم – إذ يُفرّق GDPR بين الخروقات التي تشكل خطرًا وتلك التي لا تشكل خطرًا، مما يؤثر على متطلبات الإبلاغ.
الإبلاغ الداخلي: تضمن سياسة التصعيد الداخلية لدينا إبلاغ الأشخاص المناسبين، بما في ذلك الإدارة التنفيذية، ومسؤول حماية البيانات لدينا (إن وجد)، وفريق الأمن لدينا. إذا كان الخرق يتعلق بأنظمة يديرها معالِج ثانوي، فإننا نبلغ ذلك المعالِج أيضًا وننسق جهود الاستجابة معه.
معالجة المشكلة: سنحدد السبب الجذري للخرق ونتخذ إجراءات تصحيحية لمنع تكراره. قد يشمل ذلك تصحيح برنامج، أو تغيير الإعدادات، أو تعزيز المراقبة، أو حتى اتخاذ إجراءات إدارية (تأديب/إعادة تدريب الموظفين) إذا كان الخطأ بشريًا. نقوم بتوثيق كل ما نتعلمه لضمان المساءلة والتحسين.
إخطار الأطراف المتأثرة: نحن ملتزمون بالشفافية تجاه الحوادث الجسيمة. بصفتنا معالج بيانات لبيانات المستخدم النهائي، سنقوم بإخطار العميل المتأثر (المتحكم بالبيانات) دون تأخير غير مبرر بعد اكتشاف الخرق. يتيح ذلك لعميلنا الوفاء بالتزامه بإبلاغ الجهات التنظيمية أو الأفراد حسب الاقتضاء. سنزوده بجميع المعلومات ذات الصلة بالخرق، بما في ذلك طبيعة الحادث، والبيانات المتأثرة، والعواقب المحتملة، والإجراءات المتخذة للتخفيف منها. سنساعد عميلنا في التواصل مع مستخدميه النهائيين إذا لزم الأمر.
إذا كانت VOVE ID هي المتحكم بالبيانات المتضررة (مثلاً، خرق لبيانات زائر موقع أو بيانات حساب عميل تجاري)، فإن لدينا واجبات قانونية بالإخطار:
* السلطة الإشرافية: إذا كان الخرق مرجحًا أن يؤدي إلى خطر على حقوق وحريات الأفراد (مثال: خطر سرقة الهوية أو الاحتيال أو الضرر المعنوي أو أثر مهم آخر)، سنبلغ عنه إلى هيئة حماية البيانات المعنية دون تأخير غير مبرر، وفي غضون 72 ساعة إن أمكن. سيتضمن تقريرنا طبيعة الخرق، وفئات وعدد الأفراد والسجلات المتأثرة تقريبيًا، والعواقب المحتملة، والإجراءات المتخذة أو المقترحة لمعالجته. إذا لم نتمكن من تقديم كل التفاصيل خلال 72 ساعة، فسنقدم المعلومات الأولية ثم نكملها بأقرب وقت.\
* الأفراد المتأثرون: إذا كان الخرق مرجحًا أن يؤدي إلى خطر مرتفع على حقوقك وحرياتك، فسوف نبلغك أنت أيضًا (الأفراد المعنيين). يُقصد بالخطر المرتفع احتمال تعرضك لضرر كبير – على سبيل المثال، إذا تم تسريب معلومات هويتك أو كلمة مرورك ويمكن إساءة استخدامها. ستكون رسالتنا إليك بلغة واضحة، تصف ما حدث وأي خطوات ينبغي عليك اتخاذها لحماية نفسك (مثل تغيير كلمات المرور أو الحذر من محاولات الاحتيال)، بالإضافة إلى معلومات الاتصال بنا لمزيد من الاستفسارات. قد لا نتصل بالأفراد مباشرة إذا كانت البيانات المعنية تخص مستخدمين نهائيين تحت سيطرة عميل – ففي هذه الحالة عادة سيتولى العميل إبلاغهم، غالبًا بمساعدتنا. إذا كنا قد جعلنا البيانات غير قابلة للقراءة (مثل عبر تشفير قوي) أو اتخذنا إجراءات تحييد الخطر، أو إذا كان الإبلاغ الفردي يتطلب جهدًا غير متناسب (وعندها سنقوم بإعلان عام)، فقد لا يقتضي GDPR إخطارًا فرديًا. ولكن نهجنا الافتراضي هو التحوط لصالح الشفافية.\
الامتثال التنظيمي: نحن نُوثّق جميع الخروقات واستجاباتنا لها، وفق مبدأ المساءلة في GDPR. إذا لزم الأمر، سنتواصل مع سلطات حماية البيانات لتزويدها بمعلومات إضافية. لا نرى في الاستفسارات التنظيمية مواجهة عدائية بل فرصة لضمان أننا عالجنا المشكلة بشكل صحيح. سنلتزم بأي توجيهات تقدمها السلطات بخصوص مزيد من الإجراءات.
التحسين المستمر: بعد حل الخرق، نجري تحليلًا لاحقًا لاستخلاص الدروس. نقوم بتحديث إجراءات الأمان وخطة الاستجابة لدينا بناءً على ما تعلمناه. هدفنا هو منع الحوادث المستقبلية وتعزيز أنظمتنا. غالبًا ما تؤدي الاختراقات (حتى الطفيفة منها) إلى تطبيق ضوابط أكثر صرامة.
كن مطمئنًا بأننا نتعامل مع أي حادث أمني بأقصى قدر من الاستعجال والمهنية. إن حماية بياناتك هي أولويتنا القصوى، وفي حال حدث شيء خاطئ، سنفعل كل ما بوسعنا لتصحيح الوضع وإبقائك مطلعًا على كل خطوة.
### 8. الاحتفاظ بالبيانات
نحتفظ بالبيانات الشخصية فقط طوال المدة اللازمة لتحقيق الأغراض الموضحة في هذه السياسة، أو بحسب ما يتطلبه القانون أو التزاماتنا التعاقدية. إن الاحتفاظ بالبيانات لفترة أطول من اللازم قد يزيد من مخاطر الخصوصية، لذا نحن نسعى لتقليل فترة الاحتفاظ. أدناه نوضح مدة الاحتفاظ بأنواع مختلفة من البيانات والمعايير التي نستخدمها لتحديد تلك الفترات.
* بيانات تحقق المستخدم النهائي: افتراضيًا، تحتفظ VOVE ID بالبيانات الشخصية التي يتم جمعها خلال عملية التحقق من الهوية لفترة محدودة، وبعدها يتم حذفها أو جعلها مجهولة بشكل لا رجعة فيه. إن سياسة الاحتفاظ القياسية لدينا لسجلات التحقق لا تتجاوز 3 سنوات من تاريخ التحقق. في كثير من الحالات، نحتفظ بالبيانات التفصيلية (مثل الصور ومقاطع الفيديو والوثائق) لمدة أقصر (على سبيل المثال، \[90 يومًا] في التخزين “النشط” المتاح لعميلنا)، ثم نقوم بأرشفة البيانات بشكل آمن ومحدود الوصول لبقية فترة الاحتفاظ. يتم الاحتفاظ بالبيانات المؤرشفة لأغراض التدقيق والامتثال أو معالجة النزاعات فقط، ولا يمكن الوصول إليها بسهولة للاستخدام العادي. بعد انتهاء فترة الاحتفاظ، نقوم بحذف البيانات الشخصية بشكل آمن، بما في ذلك النسخ الاحتياطية.\
* * الاحتفاظ المخصص للعميل: قد يطلب بعض عملائنا من المؤسسات الكبرى فترة احتفاظ مختلفة لتلبية متطلباتهم التنظيمية. على سبيل المثال، قد يتعين على مؤسسة مالية الاحتفاظ بسجلات “اعرف عميلك” (KYC) لمدة 5 سنوات بموجب القانون، أو على العكس من ذلك قد تطلب خدمة تراعي الخصوصية حذف البيانات في وقت أقرب (لنقل، بعد 30 يومًا). نحن نوفر لعملائنا المرونة لضبط فترة الاحتفاظ عبر منصتنا أو بطلب خاص. إذا حدد العميل احتفاظًا مخصصًا، فسوف يتجاوز ذلك إعدادنا الافتراضي لتلك البيانات (وعادةً سيتم إبلاغك بذلك عبر إشعار خصوصية العميل). وفي كل الأحوال، نحن لا نحتفظ أبدًا ببيانات شخصية للمستخدمين النهائيين إلى الأبد وسنلتزم بتعليمات المتحكم في هذا الصدد.\
* البيانات البيومترية: بالنسبة للمعرّفات البيومترية (مثل قوالب الوجه)، نطبق فترة احتفاظ أكثر صرامة بما يتوافق مع التوجيهات القانونية. على سبيل المثال، قد يتم الاحتفاظ بقوالب الوجه فقط للمدة اللازمة لإكمال عملية التحقق ثم حذفها أو تخزينها بشكل منفصل مع توفير حماية إضافية. كما ذكرنا سابقًا، نحن لا نحتفظ افتراضيًا ببيانات الوجه البيومترية لأكثر من 3 سنوات، وغالبًا لفترة أقصر بكثير. تفرض بعض القوانين (مثل قانون خصوصية المعلومات الحيوية BIPA في ولاية إلينوي بالولايات المتحدة) حذف البيانات البيومترية بمجرد تحقيق الغرض منها أو خلال 3 سنوات. نحن نصمم سياسة الاحتفاظ الخاصة بنا لتلبية أشد القواعد المعمول بها صرامةً.\
* البيانات المجهولة: قد نحتفظ ببيانات مجهولة (لم تعد بيانات شخصية) مشتقة من عمليات التحقق لأغراض التحليل أو التدريب بعد انتهاء فترة الاحتفاظ، حيث إنها لا تشكل أي خطر على الخصوصية. على سبيل المثال، قد نحتفظ بمعلومات إحصائية مثل “معدلات النجاح” أو خصائص غير محددة الهوية تُستخدم لتحسين خوارزمياتنا بمرور الوقت. هذه البيانات لن تعرّفك ولا تخضع للحذف بناءً على طلبك لأنها غير مرتبطة بأي فرد.\
* بيانات العملاء التجاريين: إذا كنت عميلًا أو مستخدمًا لخدمتنا الموجهة للأعمال، فإننا نحتفظ ببياناتك طوال مدة العلاقة التجارية وبعدها حسب الحاجة. تحديدًا:\
* * معلومات حسابك والملف الشخصي يتم الاحتفاظ بها طالما بقيت شركتك عميلاً لنا وكان حسابك نشطًا. إذا تركت الشركة أو تم إلغاء تنشيط حسابك، سنزيل أو نجعل مجهولة البيانات الشخصية المرتبطة بمستخدمك بعد فترة زمنية معقولة، باستثناء الحد الذي تكون فيه مضمنة في سجلات عمل يتعين علينا الاحتفاظ بها.\
* معلومات العقد والمعاملات (مثل الاتفاقية الرئيسية، سجلات الفواتير، تذاكر الدعم) يتم الاحتفاظ بها طوال مدة العقد وبشكل عام لمدة لا تقل عن 3 سنوات بعد إنهائه. هذا للامتثال لمتطلبات حفظ السجلات القانونية (على سبيل المثال، قد تتطلب قوانين المحاسبة/الضرائب الاحتفاظ بالفواتير 7 سنوات) وللحصول على المعلومات الضرورية في حالة وجود التزامات أو نزاعات بعد العقد. نحن نؤرشف سجلات العملاء القديمة بشكل آمن ونقيد الوصول إليها.\
* الاتصالات معك (البريد الإلكتروني، سجلات الدردشة) قد يتم الاحتفاظ بها لفترة أقصر \[مثل سنتين] ما لم تحتوي على معلومات أعمال هامة نحتاج للاحتفاظ بها لفترة أطول. نقوم بتنظيف المراسلات القديمة التي لم تعد ضرورية بشكل دوري.\
* قائمة إلغاء الاشتراك: إذا قمت بإلغاء الاشتراك من المراسلات التسويقية، سنحتفظ بمعلومات الاتصال الخاصة بك في قائمة كبت بشكل دائم لضمان احترام طلب إلغاء الاشتراك ذلك (هذه ممارسة معيارية لتجنب إرسال بريد دون قصد لأولئك الذين اختاروا عدم الاستلام). تتضمن قائمة الكبت أقل قدر ممكن من المعلومات (عادةً البريد الإلكتروني وحالة إلغاء الاشتراك فقط).\
* بيانات زوار الموقع الإلكتروني:\
* * سجلات خادم الويب (التي قد تحتوي على عناوين IP وطوابع زمنية للزيارة) يتم الاحتفاظ بها بشكل عام لفترة قصيرة، عادةً من عدة أسابيع إلى بضعة أشهر (مثل 1-3 أشهر)، ما لم تكن هناك حاجة للاحتفاظ بها لفترة أطول لتحليلات الأمان. نحن ندور هذه السجلات ونحذفها بانتظام. أما السجلات المطلوبة لتحقيقات قانونية أو أمنية فقد يتم الاحتفاظ بها حتى حل تلك القضايا.\
* بيانات التحليلات يتم الاحتفاظ بها وفق الإعدادات الخاصة بنا لدى مزود التحليلات. حاليًا، تم تعيين فترة احتفاظ بياناتنا في Google Analytics على 14 شهرًا بشكل افتراضي (وهو إعداد شائع)، ما يعني أن البيانات الأقدم يتم حذفها تلقائيًا من التقارير. نحن لا نخزن بيانات التحليلات الخام خارج إطار فترة الاحتفاظ التي حددها المزود.\
* ملفات تعريف الارتباط المخزنة في متصفحك لها فترات انتهاء صلاحية خاصة بها. بعض ملفات تعريف الارتباط (مثل ملفات تعريف ارتباط الجلسة) تنتهي عند إغلاق المتصفح. أما الأخرى (مثل ملفات تفضيلات أو ملفات تحليلات) فقد تستمر لبضعة أشهر أو سنة أو سنتين. يوضح إشعار ملفات تعريف الارتباط لدينا مدة حياة كل ملف. يمكنك مسح ملفات تعريف الارتباط من متصفحك في أي وقت لحذفها على الفور.\
* المعلومات المقدمة عبر النماذج (مثل طلبات الاتصال) يتم تخزينها في أنظمتنا (نظام إدارة علاقات العملاء أو البريد) عادةً حتى لم تعد هناك حاجة إليها. إذا لم تُصبح عميلاً أو لم تستمر المحادثة، فقد نحذف استفسارك بعد \[12-24 شهرًا]. وإذا تعاملت معنا (على سبيل المثال أصبحت عميلاً)، تصبح البيانات جزءًا من سجلات العملاء وتخضع لسياسة الاحتفاظ الخاصة بالعملاء.\
* تسجيلات جلسات المستخدم (إذا استخدمنا في أي وقت أدوات تسجل كيفية تفاعل المستخدمين مع موقعنا – ونحن حاليًا لا نفعل – أو إذا كان لدينا تسجيلات ندوات عبر الإنترنت تشمل الحضور) فنحن نحتفظ بها فقط المدة اللازمة للتحليل أو لأغراض العرض، ثم نحذفها.\
### 9. حقوقك بصفتك موضوع البيانات
بصفتك مستخدمًا لخدماتنا أو زائرًا لموقعنا، لديك حقوق معينة تتعلق ببياناتك الشخصية بموجب GDPR وقوانين حماية البيانات الأخرى. نحن ملتزمون باحترام حقوقك ومنحك التحكم في معلوماتك. فيما يلي نوضح حقوقك الأساسية كمساهم بيانات وكيف يمكنك ممارستها. (إذا كنت في نطاق ولاية قضائية ذات حقوق إضافية، مثل كاليفورنيا أو البرازيل، فعادة ما يتم تناول تلك الحقوق بشكل منفصل؛ يركز هذا القسم على الحقوق المنصوص عليها في GDPR والتي نمدها إلى جميع المستخدمين.)
* الحق في أن تكون على علم: لديك الحق في الحصول على معلومات واضحة وشفافة حول كيفية معالجتنا لبياناتك الشخصية – وهذا تحديدًا هو هدف سياسة الخصوصية هذه. نسعى لتزويدك بجميع التفاصيل حول ممارساتنا في البيانات. إذا كان هناك أي شيء غير واضح، يمكنك دائمًا أن تطلب منا مزيدًا من المعلومات.\
* الحق في الوصول: لديك الحق في طلب تأكيد ما إذا كنا نعالج بياناتك الشخصية أم لا، وإذا كنا، يحق لك تلقي نسخة من تلك البيانات بالإضافة إلى معلومات إضافية. يُعرف هذا عمومًا باسم “طلب وصول موضوع البيانات” (DSAR). على سبيل المثال، يمكنك أن تطلب منا تزويدك بالبيانات التي لدينا عنك في أنظمتنا. سنقدمها مجانًا، وعادةً خلال شهر واحد. إذا طلبت نسخًا إضافية، قد نفرض رسومًا معقولة تستند إلى التكاليف الإدارية.\
* الحق في التصحيح: لديك الحق في تصحيح البيانات الشخصية غير الدقيقة وإكمال البيانات الناقصة. إذا لاحظت أننا نحتفظ بمعلومات غير صحيحة عنك (مثلاً، خطأ في تهجئة اسمك أو معلومات اتصال قديمة)، فيرجى إبلاغنا حتى نتمكن من تصحيحها. في كثير من الحالات (مثل ملف المستخدم في حساب عميل)، يمكنك تصحيح بياناتك مباشرة من خلال إعدادات الحساب.\
* الحق في المحو (الحق في النسيان): لديك الحق في طلب حذف بياناتك الشخصية في ظروف معينة. على سبيل المثال، إذا لم تعد البيانات ضرورية للأغراض التي تم جمعها لأجلها، أو إذا سحبت موافقتك ولم يعد لدينا أساس قانوني آخر للمعالجة، أو إذا اعترضت على المعالجة ولم يعد لدينا أسباب مشروعة تفوق مصلحتك، أو إذا عالجنا بياناتك بشكل غير قانوني – يمكنك أن تطلب منا محوها. سنحترم طلبات المحو الصحيحة ونحذف بياناتك، وسنطلب كذلك من معالِجينا حذفها، إلا حيث يتوجب علينا الاحتفاظ بها (مثلاً، بسبب التزامات قانونية أو دفاع عن دعاوى قانونية). سنبلغك إذا كان هذا هو الحال.\
* الحق في تقييد المعالجة: لديك الحق في طلب تقييد معالجة بياناتك الشخصية في ظروف معينة. ينطبق ذلك إذا كنت تنازع دقة البيانات (سنقيد المعالجة أثناء التحقق)، أو إذا كانت المعالجة غير قانونية لكنك تفضل التقييد بدلاً من المحو، أو إذا لم نعد بحاجة إلى البيانات ولكنك تحتاجها لإقامة أو ممارسة أو الدفاع عن مطالبات قانونية، أو إذا كنت قد اعترضت على المعالجة (ريثما يتم التحقق مما إذا كانت لدينا أسباب مشروعة تفوق حقوقك). عندما يتم تقييد المعالجة، سنحتفظ ببياناتك لكننا لن نستخدمها (باستثناء، مثلاً، لحالات إقامة أو دفاع عن دعاوى قانونية، أو بموافقتك). سنبلغك عندما يتم رفع التقييد.\
* الحق في قابلية نقل البيانات: بالنسبة للبيانات التي قدمتها لنا، لديك الحق في استلامها بصيغة منظمة وشائعة الاستخدام ويمكن قراءتها آليًا، كما لديك الحق في طلب نقلها إلى متحكم بيانات آخر حيثما كان ذلك ممكنًا تقنيًا. ينطبق هذا الحق عندما تستند المعالجة إلى موافقتك أو على عقد معك وكانت تتم بوسائل آلية. عمليًا، قد ينطبق ذلك إذا كنت مثلاً قد أدخلت بيانات في نموذج تسجيل وترغب في إعادة استخدامها في مكان آخر. سنوفر لك البيانات بصيغة CSV أو ما شابه بحيث يسهل استيرادها، وذلك بناءً على طلبك. لاحظ أن هذا الحق لا يُلزمنا بالاحتفاظ بالبيانات لفترة أطول من المعتاد؛ فهو يغطي فقط ما بحوزتنا من بيانات.\
* الحق في الاعتراض: لديك الحق في الاعتراض في أي وقت على معالجة بياناتك الشخصية عندما تكون المعالجة مستندة إلى مصالحنا المشروعة، أو لأداء مهمة للمنفعة العامة/في إطار ممارسة سلطة رسمية (وهو أمر لا نقوم به عادة). إذا اعترضت، يتوجب علينا إيقاف معالجة بياناتك ما لم نُظهر أسبابًا مشروعة قاهرة تتجاوز مصالحك وحقوقك وحرياتك، أو كانت المعالجة لأغراض إقامة أو ممارسة أو الدفاع عن مطالبات قانونية. كما أن لديك الحق المطلق في الاعتراض على أي معالجة لبياناتك لأغراض التسويق المباشر. على سبيل المثال، إذا كنت تتلقى رسائل تسويقية منا ولا ترغب بذلك، يمكنك الاعتراض (إلغاء الاشتراك) وسنتوقف. وإذا اعترضت على معالجة ما لأغراض منع الاحتيال (استنادًا إلى المصلحة المشروعة)، سننظر في طلبك ونوازن بينه وبين ضرورة تلك المعالجة.\
* الحق في عدم التعرض لقرار آلي بحت: لديك الحق في عدم التعرض لقرار يستند حصريًا إلى معالجة آلية، بما في ذلك بناء ملف شخصي، ينتج عنه تأثير قانوني أو تأثير مشابه بالغ الأهمية عليك، إلا إذا كان ذلك (أ) ضروريًا لإبرام أو تنفيذ عقد بيننا وبينك، (ب) مصرحًا به قانونًا، أو (ج) قائمًا على موافقتك الصريحة. بعبارة أبسط، إذا “قال الحاسوب لا” (مثال: رفض التحقق) بدون أي تدخل بشري، وكان لهذا الرفض تأثير كبير عليك، يمكنك طلب تدخل بشري أو الاعتراض على القرار. نحن نتناول نهجنا تجاه القرارات الآلية في القسم التالي. في عملياتنا، نضمن وجود مراجعة بشرية خاصة في الحالات الحدّية أو الفاشلة لضمان الإنصاف. كمستخدم نهائي، يمكنك أيضًا إثارة أي مخاوف من خلال عميلنا أو مباشرة لنا، وسنجعل شخصًا حقيقيًا يفحص الحالة.\
* الحق في سحب الموافقة: عندما نعتمد على موافقتك لمعالجة البيانات (مثال: موافقتك على استخدام ملفات تعريف الارتباط أو معالجة البيانات البيومترية)، فإن لك الحق في سحب هذه الموافقة في أي وقت. لن يؤثر سحب الموافقة على مشروعية المعالجة التي تمت بالفعل بناءً عليها، لكنه سيوقف المعالجة المستقبلية للبيانات المعنية. فمثلاً، يمكنك تغيير إعدادات ملفات تعريف الارتباط لسحب موافقتك على التحليلات؛ أو إذا كنت وافقت على تحقق بيومتري ثم غيرت رأيك قبل إتمامه، يمكنك إبلاغنا أو إبلاغ العميل لإيقاف العملية. يرجى ملاحظة أنه إذا سحبت موافقة لازمة لتقديم خدمة (مثل التحقق من الهوية)، فقد يعيق ذلك إمكانية إكمال تلك الخدمة.\
هذه الحقوق ليست مطلقة – فهناك استثناءات وشروط لانطباقها. على سبيل المثال، قد لا نمحو بيانات نحن ملزمون قانونًا بالاحتفاظ بها، أو قد نرفض طلب وصول واضح البطلان أو مفرط (لكن سنقدم تبريرًا في تلك الحالات). مع ذلك، سنقوم دائمًا بتقييم طلباتك والرد عليها بحسن نية ووفقًا للقوانين المعمول بها.
#### 9.1 ممارسة حقوقك
كيفية تقديم طلب: لممارسة أي من حقوقك في حماية البيانات، يمكنك التواصل معنا باستخدام معلومات الاتصال الواردة في قسم 12. الاتصال بنا أدناه. أسهل طريقة عمومًا هي إرسال بريد إلكتروني إلينا على (مع كتابة “الخصوصية” في موضوع الرسالة) موضحًا طلبك. يُرجى تحديد الحق الذي ترغب في ممارسته وأية تفاصيل ذات صلة (مثلاً، السياق الذي تعاملت معنا فيه، حتى نتمكن من تحديد بياناتك). يمكنك أيضًا إرسال طلبات عبر البريد إلى عنواننا أو استخدام أي بوابة إلكترونية قد نوفرها لطلبات الخصوصية.
التحقق من الهوية: حفاظًا على الأمان، قد نحتاج إلى التحقق من هويتك قبل تنفيذ طلبك. هذا لضمان أننا لا نفقد أو نحذف بيانات بناءً على طلب شخص ينتحل شخصيتك. قد نطلب منك تقديم معلومات تطابق ما لدينا في سجلاتنا، أو إذا لزم الأمر، نسخة من بطاقة هويتك (سنستخدمها فقط لتأكيد الهوية ثم نحذفها). بالنسبة للمستخدمين النهائيين، نظرًا لأننا ربما لا نملك بياناتك إلا عبر عميل، فقد نحيل طلبك لذلك العميل للتحقق من هويتك وتلبية طلبك (حيث إنه هو من جمع بياناتك أصلًا).
التصرف نيابةً عن آخر: إذا كنت وكيلاً مفوضًا تقدم طلبًا نيابة عن شخص آخر، فسنحتاج لإثبات التفويض (مثال: توكيل رسمي أو موافقة خطية من صاحب البيانات).
الرسوم والإطار الزمني: بشكل عام، لا نفرض رسومًا مقابل تلبية طلبات ممارسة الحقوق. إذا كان الطلب مجهدًا للغاية أو متكررًا، فإن القانون يسمح برسوم معقولة أو حتى رفض الطلب، لكننا عادة سنحاول تقديم نسخة واحدة من بياناتك مجانًا على الأقل. نهدف للرد على جميع الطلبات الصحيحة خلال شهر واحد من استلامها. إذا كان الطلب معقدًا أو لدينا عدد كبير من الطلبات، قد نمدد هذه المهلة شهرين إضافيين، ولكن سنخبرك بذلك خلال الشهر الأول مع شرح السبب. على سبيل المثال، قد يستغرق طلب وصول يتطلب جمع بيانات من أنظمة متعددة وقتًا أطول؛ وسنبقيك على علم بالمستجدات.
التعامل مع عملائنا (بالنسبة للمستخدمين النهائيين): إذا كنت مستخدمًا نهائيًا نعالج بياناته نيابة عن عميل، فغالبًا ما يكون من الأكثر فعالية توجيه طلبك لذلك العميل أولاً. باعتباره المتحكم في البيانات، يكون مسؤولا عن تلبية حقوقك. على سبيل المثال، إذا أردت نسخة من بيانات التحقق الخاصة بك، قد تزودك الشركة التي تحققت معها بتلك البيانات (غالبًا ما تتوفر لديهم عبر لوحة التحكم). إذا طلبت الحذف عبر العميل، فسيوجهنا لحذف السجلات حسب الحاجة. ومع ذلك، لا يوجد ما يمنعك من التواصل معنا مباشرةً – سنساعدك وننسق مع العميل ضمن الحدود المتاحة لنا. بموجب GDPR، كمعالِج يتعين علينا مساعدة المتحكم في تلبية طلبات مواضيع البيانات. لذا إذا تلقينا طلبًا ونعلم أنه يتعلق ببيانات عميل، قد نستشيره (مثلاً، للتحقق من أن إعطاء البيانات لك مناسب ولا ينتهك خصوصية شخص آخر) ثم نتابع التنفيذ وفقًا لذلك.
الاعتراض أو الحد من المعالجة: إذا اخترت الاعتراض على المعالجة أو سحب الموافقة، فسنوضح لك العواقب (إن وجدت) المترتبة على ذلك. على سبيل المثال، إذا اعترضت على معالجة ضرورية لخدمتنا المقدمة لعميل، فقد نضطر لإبلاغ العميل بأننا لن نستطيع متابعة عمليات التحقق المستقبلية الخاصة بك. إذا سحبت موافقتك على رسائل البريد الإلكتروني التسويقية، سنوقفها على الفور (قد يستغرق الأمر بضعة أيام للانعكاس عبر الأنظمة، لكن عادة ما يتم فورًا عبر رابط إلغاء الاشتراك). إذا أردت تقييد المعالجة، سنضع علامة على بياناتك بأنها “مقيّدة” ولن نستخدمها (عدا عن تخزينها) حتى يتم حل الأمر.
رفض الطلبات: في حالات نادرة، قد لا نتمكن من تلبية طلب ما. تشمل الأمثلة: عدم قدرتنا على حذف بيانات نحن ملزمون قانونًا بالاحتفاظ بها (سنخبرك بذلك ونحتفظ بالحد الأدنى فقط)؛ عدم قدرتنا على تقديم بيانات لو أن ذلك يمس حقوق شخص آخر (إذا كانت بياناتك مختلطة ببيانات آخرين وسيؤثر الكشف عنها على خصوصيتهم، سنعمل على فصل بياناتك)؛ أو إذا طلبت عدة نسخ أو قدمت طلبات متكررة بشكل مبالغ فيه، فقد نرفض الطلب أو نفرض رسومًا. إذا رفضنا جزءًا من طلب، فسنوضح لك بجلاء السبب، ونبيّن أية خيارات إضافية لديك (مثل تقديم شكوى لدى هيئة حماية البيانات، انظر أدناه).
الشكاوى: نشجعك على الاتصال بنا أولاً لحل أي أسئلة أو مشكلات لديك بشأن بياناتك الشخصية. ومع ذلك، إذا كنت تعتقد أننا لم نلتزم بقوانين حماية بياناتك، فيحق لك أيضًا تقديم شكوى إلى سلطة حماية البيانات المختصة (مثل لجنة حماية البيانات الشخصية (CNDP) في المغرب، أو هيئة حماية البيانات في بلدك داخل الاتحاد الأوروبي، أو مكتب مفوض المعلومات ICO في المملكة المتحدة، إلخ). يمكنك القيام بذلك في دولة عضو في الاتحاد الأوروبي حيث تقيم أو تعمل، أو حيث تعتقد أن الانتهاك وقع. سنعمل بتعاون كامل مع أي تحقيق من جهة تنظيمية وسنسعى لحل المسائل وديًا.
باختصار، حقوقك مهمة جدًا لنا. لقد وضعنا إجراءات لضمان قدرتنا على الوفاء بها. لا تتردد في ممارسة هذه الحقوق – فقد تم تصميمها لمنحك التحكم وراحة البال فيما يتعلق ببياناتك الشخصية.
### 10. اتخاذ القرارات الآلية والتنميط
تتضمن خدمات VOVE ID تقنيات متقدمة، بما في ذلك الذكاء الاصطناعي (AI) والتعلم الآلي، لتنفيذ عمليات التحقق من الهوية بكفاءة ودقة. نرغب في أن نكون شفافين حول كيفية عمل المعالجة الآلية في نظامنا، ودور البشر في عملية اتخاذ القرار.
العمليات الآلية في التحقق: عندما تخضع لعملية تحقق الهوية عبر VOVE ID، يتم أتمتة عدة خطوات. فعلى سبيل المثال، قد يتحقق نظامنا تلقائيًا مما إذا كانت وثيقة الهوية التي قدمتها أصلية (مثلاً عبر كشف العلامات الأمنية أو مقارنتها بقوالب قياسية)، أو يقارن صورتك الشخصية (السيلفي) بصورة هويتك باستخدام خوارزميات التعرف على الوجه. وقد نقوم أيضًا بتشغيل فحوص احتيال آلية – على سبيل المثال، وضع إشارة إذا تم استخدام نفس وثيقة الهوية عدة مرات أو إذا كانت هناك مؤشرات خطر معينة (كأن تكون الوثيقة منتهية الصلاحية أو يُشتبه أن الفيديو احتيالي). تساعد هذه العمليات الآلية في تسريع التحقق، غالبًا في الوقت الفعلي أو خلال دقائق.
أهمية القرارات: عادةً، تكون نتيجة العملية الآلية توصية أو درجة ثقة وليس حكمًا نهائيًا. على سبيل المثال، قد ينتج نظامنا درجة ثقة بأن صورة السيلفي الخاصة بك تطابق صورة وثيقة هويتك، أو نتيجةً بأن الوثيقة اجتازت فحوص الأصالة. ثم يستخدم عميلنا (الشركة التي تتحقق منك) تلك النتائج ليقرر ما إذا كان سيوافق على عملية التحقق أم لا. في كثير من الحالات، فإن القرارات التي تؤثر عليك (مثل هل يمكنك فتح الحساب أم لا) تُتخذ من قبل عميلنا، ربما بالاستناد إلى نتائجنا الآلية.
الإشراف البشري: نضمن وجود مراجعة وإشراف بشري في سير عمل التحقق من الهوية لدينا لتجنب قرارات مؤتمتة بالكامل قد تؤثر بشكل كبير على الأفراد. يتم مراجعة العديد من نتائج التحقق من الهوية من قبل أخصائيين مدربين، خاصة إذا كان النظام الآلي غير متيقن أو أشار إلى مشكلة. على سبيل المثال، إذا تعذر على خوارزمياتنا التحقق من وثيقتك أو وجهك بثقة كافية، فقد يتم تصعيد الحالة إلى مُحقّق بشري لمراجعة الصور يدويًا واتخاذ القرار. يضمن هذا النهج المدمج بين الأتمتة والإشراف البشري دقة أعلى وإنصافًا. نحن لا نعتمد فقط على الخوارزميات لقبول أو رفض الهوية – فعادة ما يكون هناك عنصر بشري مشارك، سواءً لدى VOVE ID أو لدى العميل، لمراجعة النتائج، ولا سيما في الحالات الحدّية.
لا قرارات قانونية أو جوهرية من VOVE ID وحدها: عادةً لا تتخذ VOVE ID بحد ذاتها أي قرارات ذات تأثير قانوني أو مشابه عليك دون تدخل بشري. خدمتنا تقدم نتائج التحقق من الهوية لعميلنا. في النهاية، يعود القرار لعميلنا – مثلاً، في قبولك كعميل لديه أو لا – بناءً على تلك النتائج وتقييمه الخاص. ومع ذلك، ندرك أن نتيجة تحقق سلبية قد يكون لها تأثير كبير (مثال: قد لا تتمكن من استخدام خدمة إذا لم يتم التحقق من هويتك). لذلك، نصمم أنظمتنا بحيث تقلل الأخطاء وتوفر سبلًا للتظلم.
حقوقك بخصوص القرارات الآلية: بموجب GDPR، لديك الحق في عدم الخضوع لقرار يستند فقط إلى المعالجة الآلية وله تأثير كبير عليك، ولديك الحق في طلب تدخل بشري، والتعبير عن وجهة نظرك، والطعن في القرار. إذا شعرت يومًا بأن قرارًا آليًا عبر نظامنا كان خاطئًا أو غير عادل، يمكنك التواصل مع عميلنا أو معنا لطلب مراجعة يدوية. على سبيل المثال، إذا تم رفض التحقق الخاص بك وتعتقد أن ذلك خطأ (ربما كانت جودة الصورة رديئة أو أن النظام أخطأ)، يمكنك طلب إعادة التحقق أو المراجعة. قد يكون لدى عميلنا إجراءاته الخاصة للتعامل مع هذه الاعتراضات، وسنساعده عبر توفير أية معلومات لازمة أو إجراء فحص ثانٍ بواسطة مُحقّق بشري.
التنميط: يمكن أن يعني “التنميط” في سياقنا تحليل جوانب متعلقة بك مثل سلوكك أو خصائصك بهدف تقييم مخاطر الاحتيال. نحن ننشئ بالفعل ملفات مخاطر في نطاق محدود (مثل سمعة الجهاز، نتائج عمليات التحقق السابقة). ومع ذلك، فإننا لا نقوم بتنميطك لأغراض تسويقية أو تقديم تنبؤات شخصية خارج إطار التحقق من الهوية. أي تنميط نقوم به يهدف فقط إلى التحقق من الهوية وكشف الاحتيال، وليس إلى تقييم شخصيتك أو عاداتك أو أهليتك الائتمانية مثلاً.
تدريب النماذج والإنصاف: يتم تدريب نماذج الذكاء الاصطناعي لدينا (مثل تلك المستخدمة لمطابقة الوجوه) على مجموعات بيانات متنوعة بهدف تحقيق الإنصاف وعدم التحيز. نحن نراقب بنشاط أي انحياز ونعمل على الحد منه (مثل الفروق في الدقة بين المجموعات الديموغرافية المختلفة). كما نختبر بانتظام أداء فحوصاتنا الآلية للتأكد من موثوقيتها. إذا وجدنا أية مشكلة منهجية، نقوم بتحديث نماذجنا، وفي تلك الأثناء نعتمد أكثر على الفحوص البشرية. نحن ندرك حساسية المطابقة البيومترية الآلية ونسعى لتحقيق معايير دقة عالية لتجنب حالات الرفض الخاطئ أو القبول الخاطئ.
الشفافية: إذا كان قرار أو نتيجة معينة تم توجيهها بشكل كبير بواسطة عمليات آلية، فإننا أو عميلنا سنزودك – عند الطلب – بمعلومات مفيدة حول المنطق المستخدم. قد نصف لك مثلاً: “تم وضع إشارة على وثيقتك باعتبارها مزورة محتملة بواسطة نظامنا الآلي بسبب عدم تطابق في البيانات، مما ساهم في اتخاذ قرار بإجراء مراجعة إضافية”. لن نكشف بالتفصيل عن خوارزمياتنا المملوكة، ولكننا سنشرح العوامل العامة.
باختصار، على الرغم من أن VOVE ID تستخدم أنظمة آلية متطورة لجعل التحقق من الهوية سريعًا وآمنًا، فإننا لا نسلم مصيرك لآلة دون أي مجال للتدخل. نحن نمزج بين التكنولوجيا والحكم البشري لضمان أن القرارات دقيقة ومبررة. وإذا شعرت في أي وقت أن جزءًا آليًا من خدمتنا تسبب في نتيجة غير صحيحة لك، فأخبر عميلنا أو أخبرنا – فلديك الحق في أن يقوم شخص حقيقي بمراجعة الموقف.
### 11. تحديثات سياسة الخصوصية هذه
قد نقوم بتحديث أو تعديل سياسة الخصوصية هذه من وقت لآخر لتعكس التغييرات في ممارساتنا أو تقنياتنا أو المتطلبات القانونية أو لأسباب تشغيلية أخرى. نريدك دائمًا على علم بكيفية تعاملنا مع بياناتك الشخصية، لذا سنقوم بإبلاغك بأي تغييرات مهمة ونشر السياسة المنقحة مع تاريخ سريان محدّث.
الإصدار والتاريخ: يمكنك العثور أعلى هذه السياسة على تاريخ “آخر تحديث”. يشير هذا التاريخ إلى وقت سريان النسخة الحالية. يمكن توفير النسخ الأقدم من سياسة الخصوصية الخاصة بنا عند الطلب (أو قد تكون مؤرشفة على موقعنا).
الإخطار بالتغييرات: إذا قمنا بإجراء تغييرات جوهرية على هذه السياسة – مثلاً، إذا بدأنا بمعالجة البيانات لغرض جديد، أو غيّرنا مدة احتفاظنا بالبيانات، أو أضفنا فئات جديدة من الجهات المستلمة – فسنتخذ الخطوات المناسبة لإبلاغك. قد يشمل ذلك:
* نشر إشعار بارز على موقعنا أو لوحة التحكم (مثل لافتة أو نافذة منبثقة) لإعلامك بالتحديث.\
* إرسال إخطار عبر البريد الإلكتروني لعملائنا أو للمستخدمين (إذا كان لدينا بريدك الإلكتروني) يصف التغييرات.\
* في بعض الحالات، قد نسعى للحصول على موافقتك على الممارسات الجديدة إذا تطلب القانون ذلك. على سبيل المثال، إذا كان الغرض الجديد يعتمد على الموافقة أو إذا كنا سنبدأ معالجة بيانات حساسة بطريقة جديدة، فسنضمن حصولك على خيار الموافقة قبل أن يحدث ذلك.\
قد يتم إدخال تغييرات طفيفة (مثل التوضيحات أو التصحيحات اللغوية أو التحديثات التي لا تؤثر بشكل جوهري على الخصوصية) دون إشعار خاص سوى تحديث السياسة على موقعنا. ومع ذلك، نحرص على عدم إجراء تغييرات مفاجئة.
مراجعة السياسة: نحن نشجعك على مراجعة سياسة الخصوصية هذه بشكل دوري للبقاء مطلعًا على ممارساتنا المتعلقة بالبيانات. إذا واصلت استخدام خدمات VOVE ID أو موقعنا الإلكتروني بعد دخول نسخة جديدة من السياسة حيز التنفيذ، فسيُعتبر ذلك قبولًا للشروط المحدّثة (في حدود ما يسمح به القانون). إذا كنت لا توافق على أي تغييرات، ينبغي عليك التوقف عن استخدام خدماتنا، ويمكنك ممارسة حقوقك (مثل طلب حذف بياناتك).
لعملائنا: إذا قمنا بتحديث هذه السياسة، فلن يقلل ذلك من حقوقك-
للتواصل معنا:
إذا كانت لديك أي استفسارات تتعلق بسياسة الخصوصية هذه أو حول كيفية تعاملنا مع بياناتك الشخصية، يمكنك التواصل معنا عبر البريد الإلكتروني التالي:
* البريد الإلكتروني: \
* المسؤول عن حماية البيانات: طارق (Tarik)\
* العنوان: VOVE ID Inc., 16192 الطريق الساحلي، ليويس، مقاطعة ساسيكس، ولاية ديلاوير، 19958، الولايات المتحدة الأمريكي\
# Terms and Conditions
These Global Terms and Conditions (the “Terms”) together with any Order Form or agreement that references them (collectively, the “Agreement”) govern the provision of identity verification services by VOVE ID Inc., a Delaware corporation having an address at 16192 Coastal Highway, Lewes, DE 19958, USA (“VOVE ID,” “we,” “us,” or “our”), to the contracting business entity (the “Client” or “you”). This Agreement is for business-to-business (B2B) use only. By executing an Order Form or by accessing or using the Services, the Client agrees to be bound by these Terms. If there is a separate written master services agreement signed by both VOVE ID and Client, that agreement will prevail in case of conflict with these Terms.
### 1. Definitions
For purposes of this Agreement, the following capitalized terms have the meanings given below:
1.1 “Affiliate” means any entity that directly or indirectly controls, is controlled by, or is under common control with a party, where “control” means ownership of more than 50% of the voting equity of the entity.
1.2 “Client” means the business entity that signs an Order Form or contract for the Services (including its permitted Affiliates who have signed Order Forms under this Agreement).
1.3 “End User” means an individual (such as the Client’s customer or employee) whose identity is being verified using the Services at the Client’s request. End Users are not parties to this Agreement.
1.4 “Order Form” means any ordering document, purchase order, online signup form, or other agreement (including any schedules or statements of work) that specifies the Services to be provided by VOVE ID and is executed or otherwise agreed to by Client (or its Affiliate) and VOVE ID (or its Affiliate). Each Order Form is governed by these Terms.
1.5 “Services” means VOVE ID’s identity verification and related services and products provided to Client under this Agreement. This includes, without limitation, VOVE ID’s software and technology for identity verification (such as our mobile and web Software Development Kits (SDKs), application programming interfaces or APIs, web-based dashboard and administrative portal, and any associated software, websites, documentation, and technical support). The specific features and scope of the Services are as described in the applicable Order Form and any Documentation provided by VOVE ID.
1.6 “Client Data” means all data, content, and information (including personal data) that Client or its End Users submit to or make available through the Services. End-User Data (e.g. identity documents, biometric information, personal details submitted for verification) is a subset of Client Data. Client Data does not include any data that VOVE ID independently generates or derives from operating the Services (such as aggregated performance metrics or improvements).
1.7 “Privacy Policy” means VOVE ID’s Global Privacy Policy, which provides information on how VOVE ID collects, uses, and protects personal information. The Privacy Policy is available on VOVE ID’s website and may be updated from time to time. While not a contract, it is referenced here for transparency.
1.8 “Data Processing Addendum” or “DPA” means the separate data processing agreement between VOVE ID and Client that governs the handling of personal data by VOVE ID on behalf of Client, in compliance with applicable data protection laws. The DPA (including any Standard Contractual Clauses, if applicable) is hereby incorporated into this Agreement by reference and shall be executed by the parties as required by law or by VOVE ID’s policies.
Additional Definitions: Other capitalized terms may be defined contextually in these Terms. For example, “Confidential Information” is defined in Section 5 (Confidentiality).
### 2. Provision and Scope of Services
2.1 Service Description. VOVE ID will provide the Services to Client as outlined in the Order Form. The Services enable Client to verify the identities of End Users through tools such as our SDKs and APIs integrated into Client’s applications, and through our secure online dashboard for managing and reviewing verification results. The exact verification methods (e.g. ID document verification, facial biometric checks, liveness detection, database checks) and service levels will be those specified in the Order Form or relevant product documentation. VOVE ID will perform the Services in a professional manner and in accordance with the Agreement.
2.2 VOVE ID Responsibilities. During the term of this Agreement, VOVE ID will:
* Availability: Use commercially reasonable efforts to maintain the availability of the Services 24/7, excluding downtime for scheduled maintenance or updates. VOVE ID will endeavor to schedule maintenance during off-peak hours and, for any planned maintenance expected to cause more than a brief interruption, will provide advance notice to Client when practicable.\
* Security: Implement and maintain appropriate technical and organizational measures designed to protect the security, confidentiality, and integrity of Client Data within the Services. This includes measures to prevent unauthorized access to or use of Client Data. (Additional details about security measures may be provided in documentation or a security exhibit upon request.)\
* No Malicious Code: Ensure that the Services, as provided by VOVE ID, do not knowingly contain any viruses, worms, Trojan horses, or other malicious code designed to harm or unauthorizedly access Client’s systems or data.\
* Compliance: Comply with all laws and regulations applicable to VOVE ID’s provision of the Services to its clients generally (for example, laws regarding the handling of personal data when acting as a service provider). This Agreement does not obligate VOVE ID to comply with laws or requirements that apply specifically to Client’s industry or jurisdiction that are not generally applicable to identity verification service providers, unless agreed in writing.\
2.3 Service Limitations. VOVE ID is responsible for providing the technology and analysis to verify identities, but Client acknowledges that VOVE ID is not a decision-maker for Client’s business processes. The Services are a tool to assist Client in its identity verification and compliance needs; Client is solely responsible for any decisions or actions it takes based on the results or reports provided by the Services. VOVE ID does not guarantee that using the Services will ensure Client’s compliance with any specific law or that every identity verification will be accurate or meet Client’s particular standards.
2.4 Support. Unless otherwise specified in an Order Form, VOVE ID will provide standard support for the Services at no additional charge. Standard support includes access to online documentation and reasonable email or web-based support for technical issues or general inquiries. Client may contact VOVE ID support at the designated email or through the dashboard. Any enhanced support or service level agreement (SLA) must be documented in a separate schedule or Order Form.
2.5 Third-Party Services. Client acknowledges that in delivering the Services, VOVE ID may utilize or integrate with third-party services, data sources, or sub-processors (for example, biometric processing providers or government identity databases) to perform certain verification functions. Such third-party components are listed in VOVE ID’s Sub-processor list or documentation provided to Client (available upon request). VOVE ID does not control and is not responsible for any information or results provided by third-party sources, and availability of those sources may vary. VOVE ID will use reasonable care in selecting and managing third-party providers, but makes no warranty or guarantee regarding data obtained from third parties.
### 3. Client Responsibilities and Acceptable Use
3.1 Compliance with Laws and Purpose of Use. The Client shall use the Services solely for legitimate and lawful business purposes in accordance with this Agreement and all applicable laws and regulations. Client is responsible for ensuring that its use of the Services (including its collection, submission, and use of End User personal data for verification) complies with all applicable laws, such as privacy and data protection laws, anti-money laundering (AML) and know-your-customer (KYC) regulations, consumer protection laws, and (if applicable) laws regarding the use of biometric identifiers or facial recognition. This includes, where required, obtaining any necessary consents or authorizations from End Users to allow VOVE ID to process their personal data on Client’s behalf. Client will not use the Services in any manner that would violate any law or the rights of any individual.
3.2 End User Notices and Consents. Client bears responsibility for its End Users in relation to the Services. In particular, Client shall:
* Provide Notice: Clearly inform End Users that their personal data (such as ID documents, photographs, biometric data, etc.) will be collected and transmitted to VOVE ID for the purpose of identity verification. Client should direct End Users to VOVE ID’s Privacy Policy or include equivalent disclosures in its own privacy notice so End Users understand how their data will be used.\
* Obtain Consent: Obtain any consents from End Users that are required under applicable laws (for example, consent for processing biometric information under certain jurisdictions, like the Illinois Biometric Information Privacy Act (BIPA) in the USA, if applicable). Client should maintain records of such consents.\
* Legal Basis: Ensure it has a valid legal basis (e.g. consent or legitimate interest) for processing End Users’ personal data and for instructing VOVE ID to process that data as part of the Services. Client confirms that it is either not subject to, or is in compliance with, any sector-specific privacy laws that may impose requirements on identity verification (for example, if Client is in the financial sector, it will comply with relevant customer verification rules).\
Upon VOVE ID’s reasonable request, Client will provide evidence of having provided necessary notices and obtained required consents from End Users. VOVE ID is entitled to rely on Client’s instructions and representations that such disclosures and consents have been provided.
3.3 Acceptable Use Restrictions. Client shall not, and shall not permit any third party (including End Users or contractors under its control) to misuse the Services. Without limiting the generality of the foregoing, Client agrees that it will NOT:
* Unauthorized Representations: Make any warranties or representations to any person or entity regarding the Services that are not previously approved in writing by VOVE ID. (For example, Client should not misrepresent the Services as its own product or guarantee results beyond what VOVE ID provides.)\
* Resale and Sharing: Use the Services to provide verification services to third parties outside of Client’s own organization, nor make the Services available to any person or entity other than Client and its authorized users. (Client may use the Services to verify its own customers or users – i.e., End Users – but Client may not act as a service bureau that resells VOVE ID’s Services to others without a separate written reseller agreement.)\
* Reverse Engineering: Copy, modify, decompile, reverse engineer, disassemble, or otherwise attempt to derive source code or trade secrets from any software, algorithms, or components of the Services (except to the extent such restriction is prohibited by applicable law).\
* Derivatives and Competition: Create any derivative works based on the Services, or use the Service (or any data or output from it) to develop, train, or improve any competing product or service. Client will not access or use the Services for the purpose of benchmarking or competitive analysis, or in order to build a similar or competitive product.\
* Malicious Activity: Upload, transmit, or introduce into the Services any material that contains viruses, worms, Trojan horses, malware, or any other harmful code. Client shall not use the Services in a manner that could damage, disable, overburden, or impair VOVE ID’s systems or interfere with other users’ use of the Services.\
* Unauthorized Access: Bypass or attempt to circumvent any security or access controls measures of the Services. Client will not attempt to gain unauthorized access to any portion of the Service or its underlying systems or networks.\
* Unlawful / Improper Content: Provide to VOVE ID any data or content that is unlawful, fraudulent, defamatory, obscene, or infringes any third-party rights. This includes ensuring that any identification documents or biometric data submitted are lawfully obtained and belong to the individual being verified. Client will not knowingly submit false, stolen, or misleading information through the Service.\
* Sub-license or Transfer: Sell, rent, lease, sublicense, distribute, or otherwise transfer the use of the Services (or any component thereof) to any third party, except as expressly permitted by this Agreement.\
3.4 Client’s Account and Users. Client is responsible for maintaining the confidentiality of any account credentials, API keys, or authentication tokens provided by VOVE ID for accessing the Services. Client shall limit access to the Services to its own personnel or contractors who have a need to use the Services for Client’s internal business purposes and who are bound by obligations no less protective of VOVE ID’s rights than those in this Agreement. Client is liable for any use of the Services by persons it allows to access the Services (including any usage that violates this Section 3), and any act or omission by any such user will be deemed an act or omission of Client under this Agreement. Client shall promptly notify VOVE ID if it becomes aware of any unauthorized use of or access to the Services (such as a compromised account or API key) and will cooperate with VOVE ID to remediate the issue.
3.5 Client Representations. Client represents and warrants that (a) it has all necessary rights, licenses, and permissions to provide the Client Data (including End User data) to VOVE ID and to allow VOVE ID to process such data for the purposes of this Agreement; and (b) Client’s submission of and use of Client Data in connection with the Services will not violate any law or infringe upon any rights of any third party.
3.6 Suspension for Violations. If VOVE ID reasonably suspects or detects that Client’s use of the Services (including use by any End User or authorized user of Client) violates the restrictions in this Agreement or is causing immediate and material harm to the Services or others, VOVE ID reserves the right to suspend or limit Client’s access to the Services, or to specific suspicious transactions, on an emergency basis. In non-emergency situations, VOVE ID will provide advance notice (email is sufficient) to Client of any suspension and cooperate with Client to resolve the issue. In urgent cases when prior notice is not feasible (e.g. suspected fraud, attacks or ongoing legal violation), VOVE ID may suspend access first and notify Client promptly thereafter, providing details of the suspected violation. VOVE ID will reinstate suspended Services once the issue is resolved to VOVE ID’s reasonable satisfaction. Any suspension or limitation of Service under this provision shall not constitute a breach by VOVE ID, and Client remains responsible for fees incurred during any period of suspension due to its violation.
### 4. Fees & Payment
4.1. Service Fee. Customer will pay all Service Fees specified in Order Forms executed hereunder. Payment obligations are non-cancelable, and, except as expressly set forth herein, Service Fees are non-refundable. Any unused Sessions will expire at the end of the applicable Service Period, and no credits will be applied to future Order Forms for unused Sessions. Any other credits accrued during the term of the applicable Order Form will only apply to on-time renewals, and will otherwise expire upon non-renewal, termination, or expiration of the applicable Order Form. For clarity, credits and unused Sessions have no currency, exchange, or refund value.
4.2. Excessive Sessions. If the Customer submits more Sessions than set forth in the Order Form, then VOVE ID will thereafter submit monthly invoices to Customer for the additional Session Fees at the rates set forth on the Order Form.
4.3. Invoicing, Payment, and Taxes. VOVE ID will bill Customer through invoices sent via email to the billing contact designated by Customer, unless an alternative payment method is otherwise specified in the Order Form. Unless otherwise indicated on the Order Form, Service Fees will be invoiced annually in advance and full payment for invoices must be received within thirty (30) days from the date the invoice was received; provided, however, that if the invoice was sent to the email address designated by Customer, it will be deemed received on the date it was sent. Unless otherwise agreed between the Parties, all amounts referred to in the Agreement are payable in Euros (for UK/EEA Customers) or United States Dollars (for US/ROW Customers). Except for those taxes based on VOVE ID’s net income, Customer will be responsible for all applicable taxes in connection with this Agreement, including, but not limited to, value-added, goods and services, consumption, sales, and/or any other applicable tax. Should any payment for the Services be subject to withholding tax by any government, Customer will reimburse VOVE ID for such withholding tax. Unpaid invoices are subject to a finance charge of 1.5% per month, or the maximum permitted by law, whichever is lower, on any outstanding balance, plus all reasonable expenses of collection.
4.4. Non-payment. If Customer fails to pay the Service Fee (excluding any amounts disputed in reasonable and good faith) within thirty (30) days from the relevant due date, then provided VOVE ID has provided at least ten (10) or more days prior notice, then VOVE ID may, without limiting its other rights and remedies, suspend or temporarily disable Customer’s access to the Service in part or in full, without any obligation to provide any access to the Service until all relevant Service Fees are paid in full.
4.5. Future Functionality. Customer agrees that its purchases hereunder are neither contingent on the delivery of any future functionality or features nor dependent on any oral or written public or private comments made by VOVE ID regarding future functionality or features.
\
### 5. Confidentiality
5.1 Definition of Confidential Information. “Confidential Information” means any non-public or proprietary information disclosed by one party (the “Disclosing Party”) to the other (the “Receiving Party”) in connection with this Agreement, whether disclosed in written, oral, visual, electronic, or other form, that is designated as confidential or that should reasonably be understood to be confidential given the nature of the information and the context of disclosure. Confidential Information of Client includes Client Data and any business or technical information that Client provides about its operations, plans, customers, or technology. Confidential Information of VOVE ID includes the Services (including software, algorithms, and software code, whether source or object, and any non-public documentation), as well as any non-public information about VOVE ID’s pricing, product roadmap, security practices, or business. The terms and conditions of this Agreement (including pricing and any Order Form) shall be deemed Confidential Information of both parties.
However, Confidential Information does not include information that the Receiving Party can prove: (a) is or becomes generally known to the public through no breach of this Agreement (and no wrongful act) by the Receiving Party; (b) was already known to or in the possession of the Receiving Party, without confidentiality restrictions, prior to receiving it from the Disclosing Party; (c) is independently developed by the Receiving Party without use of or reference to the Disclosing Party’s Confidential Information; or (d) is rightfully obtained by the Receiving Party from a third party who had the legal right to disclose it without confidentiality obligations. Information shall not be deemed to be within the foregoing exceptions merely because it is included in more general information that is or becomes public or known, nor because it is an aggregation of information that includes public or known components.
5.2 Confidentiality Obligations. The Receiving Party shall treat the Disclosing Party’s Confidential Information with the same degree of care that it uses to protect its own similar confidential information, but in no event less than a reasonable standard of care. Except as expressly permitted in this Agreement, the Receiving Party will not use the Disclosing Party’s Confidential Information for any purpose outside the scope of this Agreement, and will not disclose it to any third party, except to those affiliates, employees, contractors, or advisors of the Receiving Party who need to know the information for purposes of this Agreement and who are bound by confidentiality obligations at least as protective as those herein. The Receiving Party shall be responsible for any breach of confidentiality by its personnel or representatives.
Neither party will disclose the terms of this Agreement or any Order Form to any third party (other than its affiliates, or its attorneys, accountants, auditors, or financial advisors who are bound to confidentiality) without the prior written consent of the other, except as required by law. Each party agrees not to publicly announce or disclose the existence or content of this Agreement without the other’s prior consent, except that VOVE ID may include Client’s name and logo in lists of customers as permitted under Section 6.6 (Publicity) below.
5.3 Permitted Disclosure by Law. If the Receiving Party is required by law, regulation, or legal process (e.g., subpoena or court order) to disclose any of the Disclosing Party’s Confidential Information, the Receiving Party shall (to the extent legally permitted) provide prompt written notice to the Disclosing Party, so that the Disclosing Party may seek a protective order or other appropriate remedy. The Receiving Party shall disclose only that portion of Confidential Information which it is legally required to disclose. If a civil or regulatory proceeding is filed against the Receiving Party that would likely require disclosure of the Disclosing Party’s Confidential Information, the Receiving Party will, if requested, cooperate with the Disclosing Party (at the Disclosing Party’s expense) in seeking confidential treatment for such information.
5.4 Return or Destruction. Except as otherwise provided in this Agreement, upon the Disclosing Party’s written request or upon termination of this Agreement, the Receiving Party will promptly return or destroy (at the Disclosing Party’s election) all Confidential Information of the Disclosing Party in its possession or control, and certify in writing that it has done so. Notwithstanding the foregoing, the Receiving Party may retain copies of Confidential Information (a) stored in routine computer backups that are not readily accessible, (b) as required to comply with applicable law or archival policies (e.g., stored business records or emails that are not easy to isolate), or (c) that are necessary for audit, legal, or dispute resolution purposes. Any retained Confidential Information remains subject to the confidentiality obligations of this Section 5 for as long as it is retained.
5.5 Duration. The confidentiality obligations in this Section 5 shall commence upon disclosure of Confidential Information and survive for a period of five (5) years after the termination of this Agreement, except with respect to trade secrets (and any personal data within Client Data), which shall be protected indefinitely or for as long as permitted by applicable law.
### 6. Intellectual Property and Ownership
6.1 Ownership of Services and VOVE ID IP. As between the parties, VOVE ID retains all right, title, and interest in and to the Services and all related technology, software, algorithms, databases, know-how, and Intellectual Property Rights (meaning patents, copyrights, trade secrets, trademarks, and all other proprietary rights) in the Services. No rights or licenses are granted to Client under this Agreement except as expressly set forth herein. VOVE ID reserves all rights not expressly granted. Client is not acquiring any ownership of or title to any part of the Services or VOVE ID’s intellectual property. Client acknowledges that the Services (including any copies of software or SDKs provided to Client) are licensed, not sold.
6.2 License to Use the Services. Subject to Client’s compliance with this Agreement and payment of all applicable fees, VOVE ID grants Client a limited, non-exclusive, non-transferable (except as permitted under Section 13.1), non-sublicensable right and license during the term of this Agreement to access and use the Services solely for Client’s internal business operations. This license permits Client to integrate VOVE ID’s SDKs and APIs into Client’s own mobile or web applications and to use the VOVE ID dashboard and tools, in each case only for the purpose of verifying the identities of Client’s End Users and managing Client’s use of the Service. All use of the Services must be in accordance with any accompanying Documentation or usage guidelines provided by VOVE ID. Any software provided by VOVE ID as part of the Services is licensed to Client in object code form only. Client shall not remove any copyright, trademark, or other proprietary notices from the VOVE ID software or materials.
6.3 Client Data Ownership. As between the parties, Client retains all right, title, and interest in and to the Client Data (subject to the rights granted to VOVE ID below). VOVE ID does not claim ownership of the personal data, documents, or information that End Users submit to the Service; such data remains under Client’s ownership and control. VOVE ID will act as a service provider/processor with respect to personal data within the Client Data, as described in Section 7 (Data Protection).
6.4 License to Client Data. Client hereby grants to VOVE ID and its Affiliates a worldwide, non-exclusive, royalty-free license to host, copy, process, transmit, and otherwise use Client Data solely for the following purposes: (a) to provide and perform the Services for Client and its End Users, in accordance with this Agreement and Client’s instructions (including to verify identities, generate verification reports, and communicate results to Client); (b) to operate, maintain, and improve the Services, including developing new features and performing analytics (for example, using verification outcomes to refine VOVE ID’s algorithms or to train machine learning models, provided that when doing so, VOVE ID will anonymize or aggregate any personal data so it no longer identifies Client or any individual); (c) to troubleshoot, provide support, or fix issues with the Services at Client’s request; and (d) to generate statistical data, insights, or industry reports related to identity verification or fraud trends, which may be derived from Client Data in an aggregated and anonymized form (such that neither Client nor any individual can be identified). Any anonymized or aggregated data that VOVE ID creates under clause (d) will be owned by VOVE ID and may be used for any lawful purpose, provided it contains no identifying information of Client or End Users.
6.5 Feedback. Client may provide feedback, suggestions, or ideas to VOVE ID regarding the Services (for example, suggestions for improvements or new features). Client agrees that VOVE ID is free to use and incorporate any feedback or suggestions provided by Client or its users, with no obligation to Client. To the extent such feedback is protectable under intellectual property laws, Client hereby grants VOVE ID a perpetual, irrevocable, worldwide, sublicensable, royalty-free license to use, modify, and incorporate into the Services any feedback or suggestions provided by Client or its authorized users.
6.6 Trademarks and Publicity. Each party retains all rights in its trademarks, logos, and brand names. Except as expressly permitted in this section, neither party shall use the other party’s name or trademarks without prior written consent. Notwithstanding the foregoing: VOVE ID may identify Client as a customer and use Client’s name and logo in VOVE ID’s marketing materials, client lists, press releases, or website, solely to indicate that Client uses the Services. VOVE ID will use Client’s logo and name in accordance with any trademark usage guidelines provided by Client. Similarly, Client may publicly state that it uses VOVE ID’s identity verification services and may use VOVE ID’s name and logos for the purpose of referencing the integration, provided Client follows any brand guidelines supplied by VOVE ID. Either party may withdraw the above permission (for example, if Client does not wish to be listed as a reference) by providing written notice (email is sufficient) to the other party, after which the other party will stop any new public use of the removed name or logo.
### 7. Data Protection and Privacy
7.1 Roles of the Parties. The parties acknowledge and agree that, with respect to any personal data of End Users processed under this Agreement, Client is the “data controller” (or equivalent term under applicable law) and VOVE ID is the “data processor” or “service provider.” This means Client determines the purposes and means of the processing of End User personal data, and VOVE ID processes that data on Client’s behalf in order to provide the Services. VOVE ID shall not use or retain personal data from Client Data for any purpose other than as permitted under this Agreement and the DPA, except as required by applicable law. Client is responsible for determining the legality of processing under applicable data protection laws and for providing any required notices or obtaining any necessary consents from End Users, as set forth in Section 3.2.
7.2 Data Processing Addendum. To the extent that VOVE ID will be processing any personal data on behalf of Client in the course of providing the Services (especially if such data is subject to the EU General Data Protection Regulation (GDPR), the California Consumer Privacy Act (CCPA), or other privacy laws), the parties will enter into a Data Processing Addendum. The DPA outlines the subject-matter and duration of processing, the nature and purpose of processing, the types of personal data, the categories of data subjects, and the obligations of both parties in line with Article 28 of the GDPR and analogous provisions of other laws. The DPA is hereby incorporated into and forms part of this Agreement. In the event of any conflict between this Agreement and the DPA with respect to the treatment of personal data, the terms of the DPA shall prevail. VOVE ID represents that it will implement appropriate technical and organizational measures to protect personal data as described in the DPA and that it will only engage sub-processors under the conditions outlined in the DPA.
7.3 Privacy Policy. VOVE ID’s collection, use, and disclosure of personal information in connection with the Services is further described in our published Privacy Policy (available on our website). While the Privacy Policy is not a contractual document, it reflects VOVE ID’s commitment to handling personal data in accordance with applicable laws and provides transparency to End Users and Clients about our data practices. Client acknowledges that it has reviewed VOVE ID’s Privacy Policy. Where required by law, (for example under certain privacy regulations) Client will ensure that End Users are provided with or directed to VOVE ID’s Privacy Policy.
7.4 Confidentiality of Personal Data. VOVE ID acknowledges that personal data within Client Data may constitute Confidential Information of Client. VOVE ID will ensure that any personnel who process personal data under this Agreement are bound by appropriate confidentiality obligations. If VOVE ID becomes aware of any Security Breach (meaning an actual unauthorized access to or acquisition of personal data in VOVE ID’s systems) it will notify Client without undue delay and cooperate with Client in accordance with the DPA and applicable law.
7.5 Data Retention and Deletion. VOVE ID will retain personal data processed on behalf of Client only for as long as necessary to fulfill the purposes of the Agreement or as required by law or legitimate business needs (such as evidence of the verification). Upon termination or expiration of the Agreement, VOVE ID will delete or return personal data in its possession as set forth in the DPA (subject to any retention requirements in Section 5.4 or by law).
7.6 International Transfers. The parties acknowledge that Client Data (including personal data) may be transferred or stored outside of the country where it was originally collected (for example, to data centers or sub-processors in the United States or the European Union). Each party agrees to comply with applicable data transfer laws. Where required for transfers of EU personal data outside the European Economic Area, the parties will rely on appropriate legal mechanisms such as Standard Contractual Clauses, as further detailed in the DPA.
7.7 Cooperation and Compliance. VOVE ID will reasonably assist Client (by appropriate technical and organizational measures and information) in fulfilling Client’s obligations to respond to data subject requests or regulatory inquiries, and in demonstrating compliance with applicable data protection laws, taking into account the nature of the processing and the information available to VOVE ID. Any material or costly assistance beyond the standard services may be chargeable at agreed rates. Both parties will cooperate in good faith on data protection matters as needed to ensure compliance with applicable privacy laws.
(In summary, both VOVE ID and Client agree to handle personal data properly: VOVE ID will act as a diligent processor/service provider and Client will fulfill its role as the data controller. The detailed obligations are set forth in the DPA, which is part of this Agreement.)
### 8. Representations and Warranties; Disclaimer
8.1 Mutual Authority. Each party represents and warrants that it is a business entity duly organized and in good standing under the laws of its jurisdiction of formation, and that it has full power and authority to enter into this Agreement and to perform its obligations hereunder. Each party further represents that the individual executing this Agreement or any Order Form on its behalf has the authority to do so, thereby binding the respective party to the terms of the Agreement.
8.2 Client’s Warranties. Client represents and warrants that: (a) Compliance and Use: Client will use the Services in compliance with all applicable laws and regulations, and only for lawful purposes as set out in this Agreement; (b) Data Rights: Client (and/or its End Users) have all necessary rights in, and have provided all required notices and obtained all required consents regarding, the Client Data (including personal data) that is submitted to the Services, such that VOVE ID’s processing of Client Data as permitted by this Agreement will not violate any law or infringe any rights of any third party; and (c) No High-Risk Use: Client will not use the Services for any purpose that is inherently high-risk or where the use of the Services is likely to result in personal injury or property damage (for example, using identity verification as the sole means to secure physical access to facilities in critical infrastructure without additional safeguards) without notifying VOVE ID and obtaining written approval, acknowledging that the Services are not designed for fail-safe performance in life-safety situations.
8.3 VOVE ID’s Limited Warranty. VOVE ID warrants that the Services, as delivered, will materially conform to the specifications and performance metrics agreed in the Order Form or Documentation (if any). VOVE ID also warrants that it will provide the Services with reasonable skill and care, in a manner consistent with general industry standards reasonably applicable to the provision of similar services. Client’s exclusive remedy and VOVE ID’s sole obligation for breach of the warranty in this Section 8.3 shall be that VOVE ID will use commercially reasonable efforts to correct or re-perform any non-conforming Services reported to it by Client. If VOVE ID is unable to restore the Services to material conformity within a reasonable time (not to exceed 30 days) after written notice from Client of a breach of this warranty, then Client may terminate the affected Service for cause in accordance with Section 11.4 (Termination for Cause) and, notwithstanding the “No Refunds” provision of Section 4.2, VOVE ID will refund any prepaid fees attributable to the unused portion of the terminated Service. The foregoing warranty will not apply to the extent any non-conformance is caused by (i) misuse or unauthorized modifications of the Service by Client, (ii) use of the Service in combination with hardware, software, or data not provided or approved by VOVE ID, or (iii) Third-Party Services or data sources outside of VOVE ID’s control.
8.4 Disclaimers. EXCEPT AS EXPRESSLY PROVIDED IN THIS AGREEMENT, THE SERVICES AND ALL RELATED SOFTWARE, DATA, AND MATERIALS ARE PROVIDED “AS IS” AND “AS AVAILABLE” WITHOUT ANY WARRANTIES OF ANY KIND, EITHER EXPRESS OR IMPLIED. VOVE ID SPECIFICALLY DISCLAIMS ALL IMPLIED WARRANTIES, INCLUDING ANY IMPLIED WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE, TITLE, NON-INFRINGEMENT, AND ANY WARRANTIES ARISING FROM COURSE OF DEALING OR USAGE OF TRADE. VOVE ID DOES NOT GUARANTEE THAT THE SERVICES WILL DETECT OR PREVENT ALL FRAUDULENT OR ILLEGITIMATE ACTIVITIES, OR THAT THEY WILL BE ERROR-FREE OR UNINTERRUPTED. CLIENT ACKNOWLEDGES THAT IDENTITY VERIFICATION IS INHERENTLY PROBABILISTIC AND THAT VOVE ID DOES NOT WARRANT OR REPRESENT THAT ANY PARTICULAR IDENTITY DOCUMENT OR INDIVIDUAL IS GENUINE, VALID, OR TRUSTWORTHY. Client is solely responsible for its decisions or actions taken in response to the results provided by the Services. Client uses and relies on the information and results obtained from the Services at its own risk.
8.5 No Other Warranties. VOVE ID does not warrant that the Services will meet all of Client’s requirements, or that all errors can or will be corrected. No information or advice (written or oral) given by VOVE ID or its representatives shall create any warranty or in any way increase the scope of the warranties expressly given in this Agreement. Client has no right to make or pass on any representation or warranty on behalf of VOVE ID to any third party.
8.6 Third-Party Content. VOVE ID disclaims any responsibility for any third-party services, databases, products, or websites (including those of End Users or Client’s own service providers) that are not part of the Services. If the Services include features that allow Client to access or use third-party websites or services (for example, scanning an ID against a government database), such features are provided for convenience and do not imply any endorsement or warranty by VOVE ID of those external services. Any exchange of data or other interaction between Client (or End Users) and a third-party service is solely between Client and that third party and is governed by the third party’s own terms and privacy policy.
THE DISCLAIMERS IN THIS SECTION 8 SHALL APPLY TO THE MAXIMUM EXTENT PERMITTED BY APPLICABLE LAW. Some jurisdictions do not allow the exclusion of certain warranties, so some of the above exclusions may not apply to Client. In that event, the warranties will be disclaimed or limited to the fullest extent permitted under applicable law.
### 9. Mutual Indemnification
9.1 Client Indemnification. Client shall defend, indemnify, and hold harmless VOVE ID, its Affiliates, and their respective officers, directors, employees, agents, and contractors (the “VOVE ID Indemnitees”) from and against any and all third-party claims, demands, suits, or proceedings (“Claims”) and all related liabilities, losses, damages, judgments, settlements, penalties, fines, costs, and expenses (including reasonable attorneys’ fees) (“Losses”) arising out of or relating to: (a) Client Data or End User Data – any Claim that the collection, use, or provision of Client Data (including data provided by Client’s End Users) to VOVE ID, or VOVE ID’s processing of such data in accordance with Client’s instructions, violates any applicable law or infringes or misappropriates the intellectual property, privacy, or other rights of a third party (for example, if an End User alleges that Client did not have the right to use their data, or if a third-party content owner alleges that data supplied by Client infringes their copyright); (b) Client’s Use of the Services – any Claim resulting from Client’s or its authorized users’ use of the Services in breach of this Agreement or applicable law (including any actions or decisions taken by Client based on verification results, or any misuse of the Service, or failure to obtain required End User consents as required by this Agreement); or (c) Other Business of Client – any Claim arising from the nature of Client’s products, services, or business that is independent of the use of the VOVE ID Services (for instance, a Claim brought by one of Client’s customers or users, except to the extent caused by VOVE ID’s breach).
Client’s indemnification obligation is contingent on: (i) VOVE ID providing prompt written notice to Client of the Claim (provided that failure to give prompt notice will only relieve Client of its indemnification obligations to the extent it is materially prejudiced by the delay); (ii) VOVE ID giving Client sole control of the defense and settlement of the Claim, except that Client may not settle any Claim in a manner that admits fault or liability on behalf of any VOVE ID Indemnitee or imposes non-monetary obligations on a VOVE ID Indemnitee without VOVE ID’s prior written consent; and (iii) VOVE ID providing reasonable cooperation (at Client’s expense) in the defense of the Claim. VOVE ID has the right to participate in the defense of the Claim with counsel of its own choosing at its own expense.
9.2 VOVE ID Indemnification. VOVE ID shall defend, indemnify, and hold harmless Client, its Affiliates, and their respective officers, directors, and employees (the “Client Indemnitees”) from and against any third-party Claims and all related Losses arising out of or relating to an allegation that the Services (as provided by VOVE ID and used by Client in accordance with this Agreement and any Documentation) infringe or misappropriate any third party’s patent, copyright, or trademark, or violate their trade secret rights. In the event of any such Claim, VOVE ID may, at its option: (a) obtain for Client the right to continue using the Services; (b) modify or replace the Services (or the alleged infringing part) so that it becomes non-infringing while providing substantially equivalent functionality; or (c) if VOVE ID determines that options (a) and (b) are not reasonably feasible, terminate Client’s use of the affected Service upon reasonable notice to Client and, if Client had pre-paid for any unused portion of the Service, provide a pro-rata refund for the terminated portion. The above indemnification obligations of VOVE ID will not apply to the extent the Claim arises from: (i) Client Data or any content or data provided by Client or any End User; (ii) Client’s combination or use of the Services with software, services, or materials not supplied by VOVE ID, if the Claim would have been avoided by use of the Services alone; (iii) Client’s use of the Services in a manner not authorized by this Agreement or inconsistent with the applicable Documentation; or (iv) any modification to the Services not made by or at the direction of VOVE ID.
VOVE ID’s indemnification obligation is contingent on: (1) Client providing prompt written notice to VOVE ID of the Claim (with the same proviso as above regarding prejudice by delay); (2) Client giving VOVE ID sole control of the defense and settlement of the Claim (with the same restriction that VOVE ID may not settle in a way that imposes liability or obligations on Client Indemnitees without Client’s consent, which shall not be unreasonably withheld); and (3) Client providing reasonable cooperation (at VOVE ID’s expense) in the defense of the Claim. Client has the right to participate in the defense with its own counsel at its own expense.
9.3 Exclusive Remedy. This Section 9 states the entire liability of each party and the sole and exclusive remedy of the other party with respect to any Claim by any third party alleging intellectual property infringement or any other Claims and Losses described in the indemnities above.
### 10. Limitation of Liability
10.1 Limitation on Types of Damages. TO THE MAXIMUM EXTENT PERMITTED BY LAW, NEITHER PARTY SHALL BE LIABLE TO THE OTHER (OR TO ANY THIRD PARTY) FOR ANY INDIRECT, SPECIAL, INCIDENTAL, CONSEQUENTIAL, EXEMPLARY, OR PUNITIVE DAMAGES, OR FOR ANY LOSS OF PROFITS, REVENUE, BUSINESS, ANTICIPATED SAVINGS, DATA, OR GOODWILL, ARISING OUT OF OR RELATED TO THIS AGREEMENT OR THE USE OR PERFORMANCE OF THE SERVICES. This disclaimer of liability applies regardless of the theory of liability (contract, tort, negligence, strict liability, by statute, or otherwise) and even if a party has been advised of the possibility of such damages or if any remedy fails of its essential purpose.
10.2 Cap on Liability. EXCEPT FOR THE SPECIFIC EXCLUSIONS STATED BELOW, EACH PARTY’S TOTAL CUMULATIVE LIABILITY to the other party for all claims and losses arising out of or relating to this Agreement or the Services (whether in contract, tort or otherwise) shall not exceed the total amount of fees paid or payable by Client to VOVE ID under this Agreement in the twelve (12) months immediately preceding the event giving rise to the claim. If the claim arises before twelve months of Services have been provided, the cap shall be the average monthly fee paid up to the date of the event, times twelve. If no fees have been paid (for example, during a free trial), VOVE ID’s total liability shall not exceed US $100.
10.3 Exceptions. The limitations and exclusions of liability in this Section 10 will NOT apply to: (a) Client’s obligation to pay all fees owed under any Order Form; (b) either party’s indemnification obligations under Section 9; (c) damages for breach of confidentiality obligations (Section 5) or misuse of the other party’s intellectual property (Section 6) by a party; or (d) liability for fraud, willful misconduct, or gross negligence; and (e) liability that cannot be limited by law (such as certain statutory liabilities or personal injury or death caused by negligence, to the extent applicable law prohibits such limitation).
10.4 Nature of Claims and Failure of Essential Purpose. The parties agree that the waivers and limitations specified in this Section 10 apply regardless of the form of action, even if any limited remedy specified in this Agreement is found to have failed of its essential purpose, and even if a party has been advised of the possibility of such damages. The parties acknowledge that these limitations allocate the risks between VOVE ID and Client, and that VOVE ID’s pricing and agreement to enter into this Agreement reflect this allocation and the limitations of liability specified herein.
Some jurisdictions do not allow the exclusion or limitation of certain damages, so some of the provisions of this Section may not apply to Client. In such cases, the parties’ liability will be limited to the fullest extent permitted by applicable law.
### 11. Term and Termination
11.1 Term of Agreement. This Agreement commences on the Effective Date (which, unless otherwise stated, is the date of last signature on the initial Order Form between the parties or the date these Terms are accepted) and will remain in effect until all Order Forms have expired or have been terminated in accordance with this Section 11. Each Order Form will specify an initial subscription term or validity period for the Services under that Order Form (e.g. a one-year term, or month-to-month, etc.). If no term is specified in an Order Form, the default term for that Order Form shall be one (1) year from the service start date.
11.2 Renewal. The Services under an Order Form will automatically renew for successive renewal terms equal in duration to the initial term (or one year, if the initial term is longer), unless either party gives the other written notice of non-renewal at least thirty (30) days before the end of the then-current term. If the Order Form specifies a different notice period or different renewal term (e.g. month-to-month renewals), that shall apply instead. For any renewal term, VOVE ID reserves the right to reasonably adjust the fees or pricing structure, provided that VOVE ID notifies Client of any pricing increase at least sixty (60) days prior to the end of the current term. Any such fee change will take effect upon the renewal term. Either party may also opt not to renew an Order Form for any reason by providing the required notice, in which case that Order Form (and any Services provided under it) will terminate at the end of its then-current term.
11.3 Termination for Cause. Either party may terminate this Agreement (and any or all Order Forms) for cause upon written notice to the other party if the other party commits a material breach of this Agreement and fails to cure such breach within thirty (30) days after receiving written notice describing the breach in reasonable detail. (In the case of Client’s breach of payment obligations, VOVE ID may provide a shorter cure period of ten (10) days’ notice for overdue payments.) If the breach is incurable, the non-breaching party may terminate immediately upon notice. Additionally, either party may terminate this Agreement immediately by written notice if the other party (a) becomes insolvent or is generally unable to pay its debts as they become due; (b) files or has filed against it a petition for voluntary or involuntary bankruptcy or pursuant to any other insolvency law, and such petition is not dismissed within sixty (60) days of filing; (c) seeks the appointment of a receiver, trustee, or custodian for all or a substantial part of its assets; (d) makes a general assignment for the benefit of its creditors; or (e) undergoes any analogous event or proceeding under the laws of any jurisdiction (each of the foregoing events, a “Bankruptcy Event”). In the event of a Bankruptcy Event involving Client, VOVE ID may alternatively elect to suspend Services and/or any access to Client Data, to the extent permitted by law, until adequate assurance of future payment is received.
11.4 Termination for Convenience of a Specific Order. The parties acknowledge that this Agreement is intended for B2B contracted services and does not generally allow unilateral termination for convenience during a committed term, aside from non-renewal per Section 11.2. However, if an Order Form explicitly permits either party to terminate that Order Form for convenience (e.g. a month-to-month plan that can be canceled on 30 days’ notice), then termination shall be effective for that Order Form as specified, and these Terms will continue to govern any remaining active Order Forms. Termination of one Order Form will not automatically terminate other Order Forms unless expressly stated.
11.5 Effect of Termination. Upon expiration or termination of this Agreement or an individual Order Form for any reason:
* Cessation of Services: VOVE ID will cease providing the terminated Services, and Client will immediately stop all access to and use of the terminated Services (including ceasing use of any VOVE ID SDKs or API keys in its applications). Client shall also uninstall or destroy any VOVE ID software or materials relating to the terminated Services, except to the extent retention is required for archival or legal purposes.\
* Payment of Outstanding Fees: Client shall immediately pay all outstanding fees and charges accrued up to the effective date of termination. In addition, if the Agreement or an Order Form is terminated prior to the end of its term (except due to VOVE ID’s uncured breach or as otherwise expressly allowed), any unpaid fees for the remainder of the term shall become immediately due (as liquidated damages and not as a penalty).\
* No Refunds: Except as expressly provided in this Agreement, termination shall not relieve Client of its obligation to pay any fees accrued or payable to VOVE ID, and Client shall not be entitled to any refund of fees paid. (If Client terminated for VOVE ID’s uncured material breach, or if VOVE ID terminated an Order Form under Section 9.2 option (c) due to an infringement claim, any refund due will be handled as stated in those sections.)\
* Return of Client Data: Upon Client’s written request made within 30 days after termination, VOVE ID will provide Client with a copy of Client Data (for example, verification results or any documents provided by End Users) that was stored in the Service, in a common electronic format. After such 30-day period, VOVE ID may delete Client Data from the active environment for the terminated Services, except as otherwise prohibited by law or allowed under Section 5.4 and Section 7 (for backup, legal retention, etc.). VOVE ID’s obligations to retain or delete personal data after termination shall be governed by the DPA.\
* Survival: Any provision of this Agreement that, by its nature, should survive termination or expiration shall survive, including but not limited to: Sections 4.2 (No Refunds), 5 (Confidentiality), 6.3-6.5 (Ownership and license provisions, to the extent needed to effect ongoing rights or restrictions), 8.4-8.6 (Disclaimers), 9 (Indemnification), 10 (Limitation of Liability), 11.5 (Effects of Termination), 12 (Governing Law and Dispute Resolution), and 13 (General Provisions), as well as any accrued payment obligations or other provisions expressly stated to survive.\
Termination of the Agreement shall not prejudice any rights or remedies of either party that have accrued prior to the effective date of termination. If this Agreement is terminated in its entirety, all Order Forms are terminated. If one or more Order Forms survive (for example, because only certain Order Forms were terminated or the Agreement was replaced by another for new business), then these Terms remain in effect for those surviving Order Forms.
### 12. Governing Law and Dispute Resolution
12.1 Governing Law. This Agreement, and any disputes arising out of or relating to this Agreement or the Services, shall be governed by and construed in accordance with the laws of the State of Delaware, USA, excluding its conflict of laws principles that would require application of the laws of a different jurisdiction. The United Nations Convention on Contracts for the International Sale of Goods (CISG) does not apply to this Agreement. The parties agree that the Uniform Computer Information Transactions Act (UCITA), or any similar laws, will not apply even if adopted in Delaware. In addition, any applicable local implementation of Directive 2011/83/EU (Consumer Rights Directive) or other consumer protection statutes are acknowledged not to apply to this B2B Agreement.
12.2 Jurisdiction and Venue. The parties irrevocably agree that any legal action, suit, or proceeding arising out of or related to this Agreement shall be brought exclusively in the state or federal courts located in the State of Delaware, USA (specifically, a state court of competent jurisdiction in Sussex County, Delaware, or the United States District Court for the District of Delaware, as appropriate). Each party consents to the exclusive jurisdiction and venue of such courts and waives any objection (including any objection based on inconvenience) to jurisdiction or venue in such forums.
12.3 Dispute Resolution; Injunctive Relief. In the event of any dispute or claim between the parties, the parties agree to first attempt in good faith to resolve the issue through informal negotiation between senior management of each party. If a dispute cannot be resolved amicably within a reasonable time (for example, 30 days), either party may proceed to litigation in the courts specified above. Nothing in this Agreement will prevent either party from seeking immediate injunctive or equitable relief from a court of competent jurisdiction (including courts outside of Delaware) in order to prevent irreparable harm, such as a breach of confidentiality or misappropriation of intellectual property, since monetary damages may not adequately remedy such harm.
12.4 Waiver of Jury Trial. EACH PARTY KNOWINGLY AND IRREVOCABLY WAIVES ANY RIGHT IT MAY HAVE TO A TRIAL BY JURY in any legal proceeding for any dispute or claim arising out of or relating to this Agreement or the Services. This waiver is made knowingly and voluntarily by each party and is a material inducement for both parties to enter into this Agreement.
12.5 Class Action Waiver. The parties agree that any disputes will be conducted only on an individual basis and not in a class, consolidated, or representative action. Client will not join any class action or bring claims on behalf of the general public or other clients against VOVE ID to the maximum extent permitted by law. (This provision is intended to reflect that this Agreement is a business-to-business contract; it does not grant any right to bring a class or collective action, which is not contemplated between sophisticated parties.)
### 13. General Provisions
13.1 Assignment. Neither party may assign or transfer this Agreement, in whole or in part, to any third party without the prior written consent of the other party, and any attempt to do so without consent will be void. However, either party may assign this Agreement without the other’s consent: (a) to an Affiliate (provided that the assigning party remains responsible for its obligations hereunder and the Affiliate agrees in writing to be bound by these Terms); or (b) in connection with a merger, acquisition, corporate reorganization, or sale of all or substantially all of its assets or equity not involving a direct competitor of the other party. In the case of any permitted assignment, the assigning party will provide prompt written notice to the other party. This Agreement shall be binding upon and inure to the benefit of the parties and their respective permitted successors and assigns. If a party undergoes a change of control to a competitor of the other party, the other party may terminate this Agreement upon written notice (with a refund of any pre-paid fees for the remaining term, in the case of VOVE ID terminating due to a competitor acquiring Client).
13.2 Entire Agreement. This Agreement (including all Order Forms, and any documents incorporated by reference such as the DPA and any exhibits or addenda hereto) constitutes the entire agreement between the parties with respect to its subject matter, and supersedes all prior or contemporaneous agreements, proposals, negotiations, understandings and communications, whether written or oral, between the parties regarding the same subject matter. Each party acknowledges that in entering into this Agreement it has not relied on any representation, warranty, or statement not expressly set out in this Agreement. In the event of a conflict between the terms in the main body of these Terms and an Order Form, the Order Form shall prevail (but only for that Order). In the event of a conflict between these Terms and the DPA regarding data protection matters, the DPA shall prevail. Any terms or conditions that appear on a purchase order or other ordering document (other than the Order Form or mutually executed agreement) issued by Client shall be void and of no effect even if the order is accepted or performed by VOVE ID; only the terms of this Agreement and the applicable Order Form will govern the relationship.
13.3 Modifications and Waivers. No modification or amendment of this Agreement (including any Order Form), and no waiver of any breach or default, will be effective unless in writing and signed by an authorized representative of each party. However, the parties agree that VOVE ID may update these Terms from time to time, for example to address changes in law or improvements to the Services, and such updated Terms will become effective for a given Client upon the next renewal of an Order Form or entry into a new Order Form, or upon a mutually agreed written amendment, whichever occurs first. VOVE ID will notify Client of material updates to the Terms reasonably in advance of renewal when feasible. No waiver of any breach of this Agreement shall be deemed a waiver of any other breach, and no waiver shall be effective unless in writing signed by the waiving party. The failure or delay of either party to enforce any provision of this Agreement shall not constitute a waiver of that party’s rights to subsequently enforce the provision.
13.4 Severability. If any provision of this Agreement is held by a court of competent jurisdiction to be invalid, illegal, or unenforceable, that provision will be deemed modified to the minimum extent necessary to make it enforceable (or, if not possible, it will be severed from this Agreement without affecting the validity of the remaining provisions). The remaining provisions of the Agreement will remain in full force and effect. In such case, the parties shall negotiate in good faith a lawful and enforceable substitute provision that most nearly reflects the original intent and economic impact of the invalid provision.
13.5 Relationship of the Parties. The parties are entering into this Agreement as independent contractors. Nothing in this Agreement shall create a partnership, franchise, joint venture, agency, fiduciary, or employment relationship between the parties. Neither party has the authority to bind or act on behalf of the other party in any manner. Each party is responsible for its own expenses, employees, and operations. VOVE ID may identify Client as a customer as permitted in Section 6.6, but such reference does not imply any other relationship beyond that of service provider and client.
13.6 Third-Party Beneficiaries. This Agreement is for the benefit of the parties and their permitted successors and assigns only. Except for Affiliates of VOVE ID or Client (to the extent expressly allowed to use or benefit from the Services under an Order Form) or as otherwise stated in this Agreement, there are no third-party beneficiaries to this Agreement. Notwithstanding the foregoing, the parties agree that VOVE ID’s Affiliates and VOVE ID’s licensors may enforce the provisions of this Agreement that relate to protection of intellectual property, disclaimers, and limits on liability. Apart from the foregoing, no third party shall have any rights under this Agreement.
13.7 Force Majeure. Neither party shall be liable for any delay or failure in performance (except for the obligation to pay money) due to causes beyond its reasonable control, such as wars, terrorism, acts of God, natural disasters, pandemics, strikes, labor disputes, governmental regulations or orders, electrical or telecommunications outages, cyber-attacks that could not be reasonably prevented, or other similar unforeseeable and extraordinary events (“Force Majeure”). The affected party shall provide notice to the other party as soon as practicable of the Force Majeure event and will use diligent efforts to mitigate its effects and resume full performance as soon as possible. If a Force Majeure event continues for more than thirty (30) days, either party may terminate any affected Order Form upon written notice without further liability (and if Client had pre-paid for services not provided due to such termination, VOVE ID will refund the pre-paid fees for the unused portion).
13.8 Notices. All notices, requests, consents, claims, and communications required or permitted under this Agreement (other than routine operational communications, such as support or system updates, which may be sent via the Services or email to designated contacts) shall be in writing and shall be deemed effectively given: (a) when delivered by hand or by a nationally recognized overnight courier service (receipt requested) to the addresses of the parties set forth on the Order Form or to such other address as a party may designate by notice; (b) on the fifth business day after being sent by registered or certified mail, return receipt requested, postage prepaid; or (c) on the first business day after being sent by email to the legal notice email address provided by each party (with confirmation of successful transmission retained). For clarity, notices regarding material breaches, indemnifiable claims, or termination must be delivered in a manner that generates a record of receipt (hand delivery, courier, certified mail, or email with confirmation). Either party may update its notice addresses by giving notice to the other party in accordance with this Section.
13.9 Export Compliance and Sanctions. The Services, software, and technology of VOVE ID may be subject to export control and economic sanctions laws of the United States or other jurisdictions. Client represents that it is not named on any U.S. government denied-party list (such as the Specially Designated Nationals list) and that it is not a national of, or an entity registered in, any country subject to comprehensive U.S. sanctions (currently including, for example, Cuba, Iran, North Korea, Syria, and the Crimea region) (collectively, “Sanctioned Jurisdictions”). Client shall not – directly or indirectly – export, re-export, transfer or make available the Services or any related technology to any destination, person, or entity restricted or prohibited by U.S. or applicable law (including to any Sanctioned Jurisdiction or any person on a sanctions list). Client shall ensure that its use of the Services complies with all applicable export, import, and sanctions regulations. VOVE ID may suspend or terminate the provision of Services if VOVE ID reasonably determines that doing so is required to comply with applicable export or sanctions laws.
13.10 U.S. Government End Users. If Client is a U.S. federal or state government entity or if this Agreement becomes subject to the Federal Acquisition Regulations (FAR), Client acknowledges that the Services are provided as “commercial items,” “commercial computer software,” and “commercial computer software documentation” with only those rights as are granted to all other users pursuant to the terms and conditions of this Agreement. Nothing in this Agreement requires VOVE ID to provide technical data pursuant to the Defense Federal Acquisition Regulations (DFARS) or similar procurement regulations.
13.11 Counterparts and Signatures. If this Agreement (or any Order Form) is executed in writing (physically or electronically), it may be executed in counterparts, each of which will be deemed an original and all of which together shall constitute one agreement. Execution of a signature page to this Agreement (or Order Form) and sending it by electronic means (e.g., as a scanned PDF attached to an email or via an electronic signature service) shall be as effective as signing and delivering the document in person.
13.12 Headings and Interpretation. The headings used in this Agreement are for convenience only and shall not affect the interpretation of any provision. As used in this Agreement, “including” means “including without limitation”. Any list of examples following “including” or “such as” is illustrative and not exhaustive. In case of any ambiguity in this Agreement, it shall not be construed against either party as the drafter. If this document is translated into a language other than English and there is a conflict between the English text and the translated text, the English text shall govern (unless otherwise required by law).
13.13 Signatures and Acceptance. The individuals accepting or signing this Agreement or any Order Form on behalf of their respective organizations hereby represent and warrant that they have the authority to bind their organization to these terms. Client’s use of the Services (or signature of an Order Form) constitutes acceptance of these Terms.
***
By entering into an Order Form governed by these Terms, the parties acknowledge that they have read and agree to all of the above terms and conditions.
# Conditions générales
Les présentes Conditions générales globales (les « Conditions »), conjointement avec tout Bon de commande ou accord qui s’y réfère (collectivement, le « Contrat »), régissent la fourniture de services de vérification d’identité par VOVE ID Inc., une société du Delaware dont l’adresse est 16192 Coastal Highway, Lewes, DE 19958, USA (« VOVE ID », « nous », « notre » ou « nos »), à l’entité commerciale contractante (le « Client » ou « vous »). Le présent Contrat est exclusivement destiné à un usage inter-entreprises (B2B). En signant un Bon de commande ou en accédant ou en utilisant les Services, le Client accepte d’être lié par ces Conditions. Si un contrat-cadre de services écrit distinct est signé par VOVE ID et le Client, ce contrat prévaudra en cas de conflit avec les présentes Conditions.
### 1. Définitions
Aux fins du présent Contrat, les termes commençant par une majuscule ont les significations indiquées ci-dessous :
1.1 « Affilié » désigne toute entité qui contrôle directement ou indirectement une partie, qui est contrôlée par une partie, ou qui est sous contrôle commun avec une partie, étant entendu que « contrôle » désigne la détention de plus de 50 % des droits de vote de l’entité concernée.
1.2 « Client » désigne l’entité commerciale qui signe un Bon de commande ou un contrat pour les Services (y compris ses Affiliés autorisés ayant signé des Bons de commande dans le cadre du présent Contrat).
1.3 « Utilisateur final » désigne un individu (tel qu’un client ou un employé du Client) dont l’identité est vérifiée à l’aide des Services à la demande du Client. Les Utilisateurs finaux ne sont pas parties au présent Contrat.
1.4 « Bon de commande » désigne tout document de commande, bon d’achat, formulaire d’inscription en ligne ou autre accord (y compris toute annexe ou tout cahier des charges) qui précise les Services à fournir par VOVE ID et qui est signé ou autrement approuvé par le Client (ou son Affilié) et VOVE ID (ou son Affilié). Chaque Bon de commande est régi par les présentes Conditions.
1.5 « Services » désigne les services de vérification d’identité et les services et produits connexes de VOVE ID fournis au Client en vertu du présent Contrat. Cela comprend, sans s’y limiter, les logiciels et la technologie de VOVE ID destinés à la vérification d’identité (tels que nos kits de développement logiciel (SDK) mobiles et web, nos interfaces de programmation d’applications (API), notre tableau de bord en ligne et portail d’administration, ainsi que tout logiciel, site web, documentation et support technique associés). Les fonctionnalités spécifiques et la portée des Services sont celles décrites dans le Bon de commande applicable et dans toute documentation fournie par VOVE ID.
1.6 « Données du Client » désigne toutes les données, contenus et informations (y compris les données à caractère personnel) que le Client ou ses Utilisateurs finaux soumettent ou mettent à disposition par le biais des Services. Les Données d’Utilisateur final (par ex. : documents d’identité, informations biométriques, détails personnels soumis aux fins de vérification) sont un sous-ensemble des Données du Client. Les Données du Client n’incluent pas les données que VOVE ID génère ou déduit de manière indépendante dans le cadre de l’exploitation des Services (telles que des métriques de performance agrégées ou des améliorations).
1.7 « Politique de confidentialité » désigne la Politique de confidentialité globale de VOVE ID, qui fournit des informations sur la manière dont VOVE ID collecte, utilise et protège les informations personnelles. La Politique de confidentialité est disponible sur le site web de VOVE ID et peut être mise à jour de temps à autre. Bien qu’elle ne soit pas un contrat, elle est mentionnée ici par souci de transparence.
1.8 « Addendum sur le Traitement des Données » ou « ATD » désigne l’accord distinct de traitement des données conclu entre VOVE ID et le Client qui régit la gestion des données personnelles par VOVE ID pour le compte du Client, en conformité avec les lois applicables en matière de protection des données. L’ATD (y compris toutes Clauses Contractuelles Types, le cas échéant) est par les présentes incorporé au présent Contrat et en fait partie intégrante.
Remarque : D’autres termes utilisés dans les présentes Conditions peuvent être définis ailleurs dans ces Conditions. Par exemple, le terme « Informations confidentielles » est défini à la Section 5 (Confidentialité).
### 2. Fourniture et portée des Services
2.1 Description des Services. VOVE ID fournira les Services au Client comme indiqué dans le Bon de commande. Les Services permettent au Client de vérifier l’identité des Utilisateurs finaux au moyen d’outils tels que nos SDK et API intégrés dans les applications du Client, ainsi qu’au moyen de notre tableau de bord en ligne sécurisé pour gérer et examiner les résultats de vérification. Les méthodes de vérification précises (par ex. : vérification de documents d’identité, contrôles biométriques faciaux, détection de vivacité, vérifications de base de données) et les niveaux de service utilisés seront ceux spécifiés dans le Bon de commande ou la documentation produit pertinente. VOVE ID exécutera les Services de manière professionnelle et en conformité avec le Contrat.
2.2 Responsabilités de VOVE ID. Pendant la durée du présent Contrat, VOVE ID s’engage à :
* Disponibilité : Déployer des efforts commercialement raisonnables afin de maintenir la disponibilité des Services 24 h/24 et 7 j/7, hors périodes d’indisponibilité planifiées pour maintenance ou mises à jour. VOVE ID s’efforcera de planifier les opérations de maintenance en dehors des heures de pointe et, pour toute maintenance planifiée susceptible d’entraîner une interruption de service plus que brève, fournira un préavis au Client dans la mesure du possible.\
* Sécurité : Mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées conçues pour protéger la sécurité, la confidentialité et l’intégrité des Données du Client au sein des Services. Cela inclut des mesures destinées à prévenir tout accès ou toute utilisation non autorisés des Données du Client. (Des détails supplémentaires sur les mesures de sécurité peuvent être fournis séparément, par exemple dans une documentation ou une annexe de sécurité, sur demande.)\
* Absence de code malveillant : Veiller à ce que les Services fournis par VOVE ID ne contiennent, à sa connaissance, aucun virus, ver, cheval de Troie ou autre code malveillant conçu pour endommager ou accéder sans autorisation aux systèmes ou données du Client. (Cependant, VOVE ID n’est pas responsable de tout code malveillant introduit par le Client ou par des tiers.)\
* Conformité : Se conformer à l’ensemble des lois et réglementations applicables à la prestation des Services par VOVE ID pour sa clientèle de manière générale (par exemple, les lois concernant le traitement des données personnelles lorsqu’elle agit en qualité de prestataire de services). Le présent Contrat n’oblige pas VOVE ID à se conformer aux lois ou exigences qui s’appliquent uniquement au Client ou au secteur d’activité du Client.\
2.3 Limites des Services. VOVE ID est responsable de fournir la technologie et les analyses permettant de vérifier des identités, mais le Client reconnaît que VOVE ID ne prend aucune décision pour les processus métier du Client. Les Services sont un outil destiné à aider le Client dans ses besoins de vérification d’identité et de conformité ; le Client est seul responsable de toute décision ou mesure qu’il prend sur la base des résultats ou rapports fournis par les Services. VOVE ID ne garantit pas que l’utilisation des Services assurera la conformité du Client à quelque loi ou réglementation que ce soit, ni que chaque vérification d’identité effectuée sera acceptée par tout tiers (par exemple, une autorité de régulation ou un partenaire) exigeant une vérification d’identité.
2.4 Support. Sauf indication contraire dans un Bon de commande, VOVE ID fournira un support standard pour les Services sans frais supplémentaires. Le support standard comprend l’accès à la documentation en ligne et une assistance raisonnable par e-mail ou via le web pour les problèmes techniques ou les questions générales. Le Client peut contacter le support de VOVE ID à l’adresse e-mail désignée ou par le portail web prévu à cet effet. Tout support amélioré ou accord de niveau de service (SLA) doit être consigné dans une annexe séparée ou un Bon de commande distinct (et peut être soumis à des frais additionnels).
2.5 Services de tiers. Le Client reconnaît que, dans le cadre de la fourniture des Services, VOVE ID peut utiliser ou intégrer des services, sources de données ou sous-traitants tiers (par exemple, des prestataires de traitement biométrique ou des bases de données d’identité gouvernementales) pour effectuer certaines fonctions de vérification. Ces composants tiers sont indiqués dans la liste des sous-traitants de VOVE ID ou dans la documentation fournie au Client (disponible sur demande). VOVE ID n’exerce aucun contrôle sur les informations ou résultats fournis par des sources tierces et n’en est pas responsable, et la disponibilité de ces sources peut varier. VOVE ID fera des efforts raisonnables pour atténuer toute perturbation en cas d’indisponibilité d’un service tiers.
### 3. Responsabilités du Client et utilisation acceptable
3.1 Conformité aux lois et objectif d’utilisation. Le Client ne doit utiliser les Services qu’à des fins professionnelles légitimes et licites, conformément au présent Contrat ainsi qu’à l’ensemble des lois et réglementations applicables. Le Client est responsable de s’assurer que son utilisation des Services (y compris la collecte, la soumission et l’utilisation des données personnelles des Utilisateurs finaux aux fins de vérification) est conforme à l’ensemble des lois applicables. Celles-ci incluent, par exemple, les lois sur la confidentialité et la protection des données, les réglementations de lutte contre le blanchiment d’argent (AML) et les obligations de connaissance du client (KYC), les lois de protection des consommateurs, ainsi que, le cas échéant, les lois concernant l’utilisation d’identifiants biométriques ou de la reconnaissance faciale. Cela comprend, lorsque la loi l’exige, d’obtenir tous les consentements ou autorisations nécessaires de la part des Utilisateurs finaux pour permettre à VOVE ID de traiter leurs données personnelles pour le compte du Client. Le Client n’utilisera pas les Services d’une manière qui violerait toute loi ou les droits de tout individu.
3.2 Informations et consentements des Utilisateurs finaux. Le Client assume la responsabilité vis-à-vis de ses Utilisateurs finaux dans le cadre des Services. En particulier, le Client doit :
* Information des Utilisateurs finaux : Informer clairement les Utilisateurs finaux que leurs données personnelles (telles que des documents d’identité, photographies, données biométriques, etc.) seront collectées et transmises à VOVE ID aux fins de vérification d’identité. Le Client doit orienter les Utilisateurs finaux vers la Politique de confidentialité de VOVE ID ou inclure des divulgations équivalentes dans sa propre notice de confidentialité afin que les Utilisateurs finaux comprennent comment leurs données seront utilisées.\
* Obtenir le consentement : Obtenir de la part des Utilisateurs finaux tous les consentements requis par les lois applicables (par exemple, le consentement pour le traitement d’informations biométriques dans certaines juridictions, comme requis par le California Consumer Privacy Act (CCPA) ou l’Illinois Biometric Information Privacy Act (BIPA) aux États-Unis, le cas échéant). Le Client doit conserver la trace de ces consentements.\
* Base légale : S’assurer qu’il dispose d’une base légale valide (par ex. : consentement ou intérêt légitime) pour traiter les données personnelles des Utilisateurs finaux et pour demander à VOVE ID de traiter ces données dans le cadre des Services. Le Client confirme qu’il n’est soumis à aucune loi spécifique à son secteur en matière de protection de la vie privée qui imposerait des exigences en matière de vérification d’identité ou, s’il y est soumis, qu’il respecte de telles lois (par exemple, si le Client appartient au secteur financier, il respectera les règles pertinentes de vérification de la clientèle).\
Sur demande raisonnable de VOVE ID, le Client fournira la preuve qu’il a fourni les informations nécessaires et obtenu les consentements requis des Utilisateurs finaux. VOVE ID est en droit de se fier aux instructions et déclarations du Client attestant que ces informations et consentements ont été fournis.
3.3 Restrictions d’utilisation acceptable. Le Client s’engage à ne pas utiliser les Services de manière abusive ni à ne permettre à aucun tiers (y compris les Utilisateurs finaux ou les prestataires sous son contrôle) d’en faire un usage abusif. Sans limiter la portée générale de ce qui précède, le Client convient qu’il ne fera PAS ce qui suit :
* Déclarations non autorisées : Ne donner aucune garantie ni faire de déclaration à quiconque au sujet des Services sans l’approbation écrite préalable de VOVE ID. (Par exemple, le Client ne doit pas présenter les Services comme son propre produit ni promettre des résultats au-delà de ce que fournit VOVE ID.)\
* Revente et partage : Ne pas utiliser les Services pour fournir des services de vérification à des tiers en dehors de l’organisation du Client, ni rendre les Services accessibles à quiconque autre que le Client et ses utilisateurs autorisés. (Le Client peut utiliser les Services pour vérifier ses propres clients ou utilisateurs , c’est-à-dire les Utilisateurs finaux , mais il ne peut pas agir en tant que prestataire revendant les Services de VOVE ID à des tiers sans un accord de revente écrit distinct.)\
* Ingénierie inverse : Ne pas copier, modifier, décompiler, désassembler, procéder à de l’ingénierie inverse ou tenter d’une quelconque manière de dériver le code source ou les secrets commerciaux de tout logiciel, algorithme ou composant des Services (sauf dans la mesure où une telle restriction est interdite par la loi applicable).\
* Produits dérivés et concurrence : Ne développer aucun produit dérivé à partir des Services, ni utiliser le Service (ou toute donnée ou tout résultat qui en provient) pour développer, entraîner ou améliorer un produit ou service concurrent. Le Client n’accèdera pas aux Services et ne les utilisera pas aux fins de banc d’essai ou d’analyse concurrentielle, ni pour construire un produit similaire ou concurrent.\
* Activités malveillantes : Ne pas télécharger, transmettre ou introduire dans les Services tout élément contenant un virus, un ver, un cheval de Troie, un logiciel malveillant ou tout autre code nuisible. Le Client ne doit pas utiliser les Services d’une manière qui pourrait endommager, désactiver, surcharger ou altérer les systèmes de VOVE ID, ni nuire à l’utilisation des Services par d’autres utilisateurs.\
* Accès non autorisé : Ne pas contourner ni tenter de contourner les mesures de sécurité ou de contrôle d’accès des Services. Le Client n’essaiera pas d’accéder sans autorisation à une partie quelconque du Service ou à ses systèmes ou réseaux sous-jacents.\
* Contenu illicite ou inapproprié : Ne pas fournir à VOVE ID des données ou contenus illégaux, frauduleux, diffamatoires, obscènes ou enfreignant les droits d’un tiers. Cela inclut de s’assurer que tous les documents d’identité ou données biométriques soumis sont obtenus légalement et appartiennent à l’individu vérifié. Le Client ne soumettra pas sciemment d’informations fausses, volées ou trompeuses via le Service.\
* Sous-licence ou transfert : Ne pas vendre, louer, prêter, concéder sous licence, distribuer ou autrement transférer l’utilisation des Services (ou de tout composant de ceux-ci) à un tiers, sauf si expressément autorisé par le présent Contrat.\
3.4 Compte et utilisateurs du Client. Le Client est responsable du maintien de la confidentialité de tout identifiant de compte, clé API ou jeton d’authentification fourni par VOVE ID pour accéder aux Services. Le Client doit limiter l’accès aux Services à son propre personnel ou à ses sous-traitants qui ont besoin d’utiliser les Services pour les besoins internes de l’entreprise du Client et qui sont liés par des obligations de confidentialité au moins aussi strictes que celles énoncées dans le présent Contrat. Le Client est responsable de toute utilisation des Services par les personnes à qui il permet d’y accéder (y compris toute utilisation qui enfreint la présente Section 3), et tout acte ou omission de la part de tout tel utilisateur sera considéré comme un acte ou une omission du Client en vertu du présent Contrat. Le Client notifiera promptement VOVE ID s’il prend connaissance d’une utilisation ou d’un accès non autorisé aux Services (par exemple : un compte ou une clé API compromis) et coopérera avec VOVE ID pour remédier au problème.
3.5 Déclarations du Client. Le Client déclare et garantit que : (a) Droits et conformité : il utilisera les Services en conformité avec toutes les lois et réglementations applicables, et uniquement à des fins licites telles que prévues dans le présent Contrat ; (b) Droits sur les données : le Client (et/ou ses Utilisateurs finaux) détient tous les droits nécessaires sur les Données du Client (y compris les données personnelles) soumises aux Services, et a fourni tous les avis et obtenu tous les consentements requis, de sorte que le traitement par VOVE ID des Données du Client tel que permis par le présent Contrat ne violera aucune loi ni n’enfreindra les droits d’un tiers ; et (c) Pas d’utilisation à haut risque : le Client n’utilisera pas les Services à des fins intrinsèquement à haut risque ou dans des situations où l’utilisation des Services est susceptible de provoquer des blessures corporelles ou des dommages matériels (par exemple, utiliser la vérification d’identité comme seul moyen de sécuriser l’accès physique à des installations d’infrastructures critiques sans mesures de sauvegarde supplémentaires) sans informer VOVE ID et obtenir son approbation écrite, en reconnaissant que les Services ne sont pas conçus pour une performance infaillible dans des situations de sécurité vitale.
3.6 Suspension en cas de violation. Si VOVE ID soupçonne ou détecte raisonnablement que l’utilisation des Services par le Client (y compris par un Utilisateur final ou un utilisateur autorisé du Client) viole les restrictions du présent Contrat ou cause un préjudice immédiat et substantiel aux Services ou à autrui, VOVE ID se réserve le droit de suspendre ou de limiter l’accès du Client aux Services, ou à des transactions spécifiques jugées suspectes, de manière urgente. Dans les situations non urgentes, VOVE ID fournira au Client un préavis (un courriel suffit) de toute suspension et coopérera avec le Client pour résoudre le problème. Dans les cas urgents où un préavis préalable n’est pas réalisable (par exemple, en cas de fraude suspectée, d’attaques ou de violation légale en cours), VOVE ID peut suspendre l’accès en premier lieu et en informer le Client immédiatement après, en fournissant les détails de la violation suspectée. VOVE ID rétablira les Services suspendus une fois le problème résolu à la satisfaction raisonnable de VOVE ID. Toute suspension ou limitation du Service en vertu de la présente disposition ne constituera pas un manquement de VOVE ID, et le Client reste responsable des frais encourus pendant toute période de suspension due à sa violation.
### 4. Frais et paiement
4.1 Frais de service. Le Client paiera tous les frais de service indiqués dans les Bons de commande conclus en vertu des présentes. Les obligations de paiement ne sont pas annulables et, sauf disposition expresse contraire aux présentes, les frais de service ne sont pas remboursables. Toute Session inutilisée expirera à la fin de la Période de service applicable, et aucun crédit ne sera appliqué aux futurs Bons de commande pour les Sessions inutilisées. Tout autre crédit accumulé pendant la durée du Bon de commande applicable ne s’appliquera qu’aux renouvellements effectués dans les délais, et expirera autrement en cas de non-renouvellement, de résiliation ou d’expiration du Bon de commande applicable. Pour plus de clarté, les crédits et les Sessions inutilisées n’ont aucune valeur monétaire, d’échange ou de remboursement.
4.2 Sessions excédentaires. Si le Client soumet plus de Sessions que ce qui est prévu dans le Bon de commande, alors VOVE ID émettra par la suite des factures mensuelles au Client pour les frais de Session supplémentaires aux tarifs indiqués dans le Bon de commande.
4.3 Facturation, paiement et taxes. VOVE ID facturera le Client par le biais de factures envoyées par e-mail au contact de facturation désigné par le Client, sauf si une autre méthode de paiement est spécifiée dans le Bon de commande. Sauf indication contraire dans le Bon de commande, les frais de service seront facturés annuellement à l’avance et le paiement intégral des factures doit être reçu dans les trente (30) jours suivant la date de réception de la facture ; étant entendu que, si la facture a été envoyée à l’adresse e-mail désignée par le Client, elle sera réputée reçue à la date d’envoi. Sauf accord contraire entre les parties, tous les montants mentionnés dans le Contrat sont payables en euros (pour les Clients du Royaume-Uni/EEE) ou en dollars américains (pour les Clients des États-Unis/reste du monde). À l’exception des taxes basées sur le revenu net de VOVE ID, le Client sera responsable de toutes les taxes applicables dans le cadre du présent Contrat, y compris, sans s’y limiter, la TVA, les taxes sur les biens et services, les taxes à la consommation, les taxes de vente et/ou toute autre taxe applicable. Si un paiement pour les Services est soumis à une retenue à la source par un gouvernement, le Client remboursera à VOVE ID le montant de cette retenue. Les factures impayées sont soumises à des frais de 1,5 % par mois, ou au maximum autorisé par la loi si celui-ci est inférieur, sur tout solde impayé, plus tous les frais raisonnables de recouvrement.
4.4 Défaut de paiement. Si le Client ne paie pas les frais de service (à l’exclusion de tout montant contesté de bonne foi) dans les trente (30) jours suivant la date d’échéance applicable, alors à condition que VOVE ID ait donné un préavis d’au moins dix (10) jours, VOVE ID peut, sans limiter ses autres droits et recours, suspendre ou désactiver temporairement l’accès du Client aux Services, en tout ou partie, sans aucune obligation de rétablir l’accès aux Services tant que l’intégralité des frais de service dus n’aura pas été payée.
4.5 Fonctionnalités futures. Le Client reconnaît que ses achats effectués en vertu du présent Contrat ne sont pas conditionnés à la livraison de fonctionnalités ou caractéristiques futures, et ne dépendent pas non plus de déclarations publiques, orales ou écrites, faites par VOVE ID concernant des fonctionnalités ou caractéristiques à venir.
### 5. Confidentialité
5.1 Définition des Informations confidentielles. On entend par « Informations confidentielles » toute information non publique ou propriétaire divulguée par une partie (la « Partie divulgatrice ») à l’autre (la « Partie réceptrice ») dans le cadre du présent Contrat, qu’elle soit divulguée sous forme écrite, orale, visuelle, électronique ou autre, et qui est désignée comme confidentielle ou qui, compte tenu de la nature de l’information et des circonstances de la divulgation, devrait raisonnablement être considérée comme confidentielle. Les Informations confidentielles du Client incluent les Données du Client ainsi que toute information commerciale ou technique que le Client fournit concernant ses opérations, plans, clients ou technologie. Les Informations confidentielles de VOVE ID incluent les Services (y compris les logiciels, algorithmes et code logiciel, qu’il soit en code source ou objet, ainsi que toute documentation non publique), de même que toute information non publique relative aux tarifs, à la feuille de route produit, aux pratiques de sécurité ou aux activités commerciales de VOVE ID. Les termes et conditions du présent Contrat (y compris les prix et tout Bon de commande) sont considérés comme des Informations confidentielles des deux parties.
Toutefois, les Informations confidentielles n’incluent pas les informations que la Partie réceptrice peut prouver : (a) qui sont ou deviennent généralement connues du public sans violation du présent Contrat (et sans acte répréhensible) de la part de la Partie réceptrice ; (b) qu’elle connaissait ou détenait déjà, sans obligation de confidentialité, avant de les recevoir de la Partie divulgatrice ; (c) qui sont développées de manière indépendante par la Partie réceptrice sans utiliser ni se référer aux Informations confidentielles de la Partie divulgatrice ; ou (d) qu’elle a obtenues légitimement d’un tiers ayant le droit légal de les divulguer sans obligation de confidentialité. Des informations ne seront pas réputées relever des exceptions ci-dessus simplement parce qu’elles sont incluses dans des informations plus générales qui sont ou deviennent publiques ou connues, ni parce qu’elles constituent une combinaison de différentes informations dont chacune est, isolément, dans le domaine public.
5.2 Obligations de confidentialité. La Partie réceptrice doit traiter les Informations confidentielles de la Partie divulgatrice de manière confidentielle et protéger ces informations avec le même soin qu’elle apporte à la protection de ses propres informations confidentielles similaires, en aucun cas avec un degré de soin inférieur à celui d’une personne raisonnable. La Partie réceptrice n’utilisera les Informations confidentielles de la Partie divulgatrice qu’aux fins d’exécuter ses obligations ou d’exercer ses droits en vertu du présent Contrat, et ne divulguera ces Informations confidentielles qu’aux Affiliés, employés, sous-traitants ou conseillers juridiques et financiers de la Partie réceptrice qui ont besoin d’en connaître pour ces mêmes fins et qui sont soumis à des obligations de confidentialité au moins aussi protectrices que celles énoncées dans le présent Contrat. La Partie réceptrice sera responsable de toute violation des obligations de confidentialité par l’une de ces personnes. Aucune des parties ne divulguera les termes du présent Contrat ou d’un Bon de commande à un tiers (autre que ses Affiliés, ou ses avocats, comptables, auditeurs ou conseillers financiers qui sont tenus à la confidentialité) sans le consentement écrit préalable de l’autre partie, sauf si la loi l’exige. Chaque partie accepte de ne pas annoncer publiquement ou divulguer l’existence ou le contenu du présent Contrat sans le consentement préalable de l’autre, étant entendu que VOVE ID peut inclure le nom et le logo du Client dans ses listes de clients et supports promotionnels généraux, conformément à la Section 6.6 (Publicité) ci-dessous.
5.3 Divulgation permise par la loi. Si la Partie réceptrice est tenue de divulguer des Informations confidentielles de la Partie divulgatrice en vertu d’une loi, d’un règlement ou d’une procédure judiciaire (par exemple, une ordonnance d’un tribunal), elle pourra le faire à condition d’en informer promptement la Partie divulgatrice par écrit (dans la mesure permise par la loi) afin de lui permettre de demander une mesure de protection appropriée. La Partie réceptrice ne divulguera que la partie des Informations confidentielles qui est légalement requise et prendra toutes les mesures raisonnables pour assurer que ces informations reçoivent un traitement confidentiel dans la mesure du possible. Si une procédure judiciaire ou administrative est engagée contre la Partie réceptrice et est susceptible d’entraîner la divulgation des Informations confidentielles de la Partie divulgatrice, la Partie réceptrice coopérera, si demandé, avec la Partie divulgatrice (aux frais de cette dernière) pour demander un traitement confidentiel de ces informations.
5.4 Restitution ou destruction. Sauf disposition contraire dans le présent Contrat, sur demande écrite de la Partie divulgatrice ou à la résiliation du présent Contrat, la Partie réceptrice devra, au choix de la Partie divulgatrice, retourner ou détruire promptement toutes les Informations confidentielles de la Partie divulgatrice en sa possession ou sous son contrôle, et certifier par écrit qu’il a été procédé à cette restitution ou destruction. Nonobstant ce qui précède, la Partie réceptrice peut conserver des copies des Informations confidentielles qui (a) sont stockées dans des sauvegardes informatiques courantes qui ne sont pas facilement accessibles, (b) doivent être conservées pour respecter la loi applicable ou des politiques d’archivage (par ex. : des enregistrements commerciaux ou e-mails stockés qu’il n’est pas aisé d’isoler), ou (c) sont nécessaires à des fins d’audit, juridiques ou de résolution de litiges. Toute Information confidentielle ainsi conservée restera soumise aux obligations de confidentialité de la présente Section 5 tant qu’elle est conservée.
5.5 Durée. Les obligations de confidentialité prévues dans la présente Section 5 prennent effet dès la divulgation des Informations confidentielles et demeureront en vigueur pendant une durée de cinq (5) ans après la résiliation du présent Contrat, à l’exception des secrets d’affaires (ainsi que de toute donnée personnelle incluse dans les Données du Client), qui devront être protégés indéfiniment ou aussi longtemps que la loi applicable le permet.
### 6. Propriété intellectuelle et propriété des données
6.1 Propriété des Services et de la propriété intellectuelle de VOVE ID. Entre les parties, VOVE ID conserve tous les droits, titres et intérêts relatifs aux Services et à la propriété intellectuelle de VOVE ID, y compris, sans s’y limiter, tous les brevets, droits d’auteur, secrets commerciaux, marques de commerce et autres droits de propriété intellectuelle afférents aux Services, ainsi que toutes modifications, améliorations ou œuvres dérivées de ceux-ci. Aucune disposition du présent Contrat ne transfère au Client un quelconque droit de propriété intellectuelle sur les Services ou sur toute technologie ou information de VOVE ID, sauf octroi exprès d’une licence dans le présent Contrat. Sous réserve des droits limités expressément accordés ci-dessous, VOVE ID se réserve tous les droits, titres et intérêts sur ses Services, y compris toutes les copies associées.
6.2 Licence d’utilisation des Services. Sous réserve du respect par le Client du présent Contrat et du paiement des frais applicables, VOVE ID accorde au Client une licence limitée, non exclusive, non transférable (sans droit de sous-licence) pour accéder aux Services et les utiliser pendant la Durée du présent Contrat, uniquement aux fins des activités internes du Client et conformément à la documentation fournie. Cette licence inclut le droit d’intégrer les SDK et API de VOVE ID dans les applications du Client et d’utiliser toute interface logicielle, site web, tableau de bord ou documentation mis à disposition dans le cadre des Services, exclusivement dans le but d’utiliser les Services comme autorisé par le présent Contrat.
6.3 Propriété des Données du Client. Entre les parties, le Client conserve tous les droits, titres et intérêts sur les Données du Client. VOVE ID ne revendique aucun droit de propriété sur les Données du Client soumises dans le cadre des Services.
6.4 Licence relative aux Données du Client. Par les présentes, le Client accorde à VOVE ID et à ses Affiliés une licence mondiale, non exclusive et libre de redevances, pour utiliser, reproduire, modifier (par exemple, convertir de format ou créer des œuvres dérivées techniques), transmettre et stocker les Données du Client afin de fournir les Services conformément au présent Contrat. VOVE ID peut également utiliser les Données du Client de manière agrégée et anonymisée pour améliorer ses services et à des fins d’analyse statistique, à condition que de telles données agrégées ne permettent pas d’identifier le Client ni aucun individu.
6.5 Commentaires. Le Client peut fournir à VOVE ID des retours, suggestions ou idées concernant les Services (« Commentaires »). Le Client convient que VOVE ID peut librement utiliser et exploiter ces Commentaires à toutes fins, y compris pour améliorer ou développer les Services, sans aucune obligation envers le Client. À cet effet, le Client concède à VOVE ID un droit et une licence exempts de redevances, perpétuels, irrévocables et mondiaux sur tout Commentaire qu’il fournit.
6.6 Marques et publicité. Chaque partie conserve tous les droits sur ses marques, logos et noms commerciaux. Sauf accord écrit contraire entre les parties, aucune partie ne peut utiliser les marques ou le nom de l’autre partie à des fins publicitaires ou promotionnelles sans le consentement préalable de celle-ci. Nonobstant ce qui précède, VOVE ID peut inclure le nom et le logo du Client dans ses listes de clients et documents promotionnels généraux, sous réserve du droit du Client de demander par écrit le retrait de son nom ou logo de ces listes à tout moment.
### 7. Protection des données et vie privée
7.1 Rôle des parties. Les parties reconnaissent et conviennent qu’en ce qui concerne les données à caractère personnel traitées dans le cadre de la vérification d’identité, le Client agit en qualité de responsable du traitement et VOVE ID agit en qualité de sous-traitant, conformément aux lois applicables en matière de protection des données. À ce titre, chaque partie respectera les obligations qui lui incombent en vertu de ces lois.
7.2 Addendum de traitement des données. Dans la mesure où VOVE ID traitera des données à caractère personnel pour le compte du Client dans le cadre de la fourniture des Services (en particulier si ces données sont soumises au Règlement général sur la protection des données de l’UE (RGPD), au California Consumer Privacy Act (CCPA) ou à d’autres lois sur la vie privée), les parties concluront un Addendum sur le Traitement des Données. L’ATD précise l’objet et la durée du traitement, la nature et la finalité du traitement, les types de données personnelles, les catégories de personnes concernées, et les obligations de chaque partie conformément à l’article 28 du RGPD et aux dispositions analogues d’autres lois. L’ATD est par les présentes incorporé au présent Contrat et en fait partie intégrante. En cas de conflit entre le présent Contrat et l’ATD concernant le traitement des données personnelles, les termes de l’ATD prévaudront. VOVE ID déclare qu’elle mettra en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données personnelles comme décrit dans l’ATD et qu’elle n’engagera des sous-traitants ultérieurs que dans les conditions définies dans l’ATD.
7.3 Politique de confidentialité. La collecte, l’utilisation et la divulgation par VOVE ID des informations personnelles dans le cadre des Services sont décrites plus en détail dans notre Politique de confidentialité publiée (disponible sur notre site web). Bien que la Politique de confidentialité ne soit pas un document contractuel, elle reflète l’engagement de VOVE ID à traiter les données personnelles conformément aux lois applicables et apporte transparence aux Utilisateurs finaux et aux Clients quant à nos pratiques en matière de données. Le Client reconnaît avoir pris connaissance de la Politique de confidentialité de VOVE ID. Lorsque la loi l’exige (par exemple, en vertu de certaines réglementations sur la vie privée), le Client veillera à ce que les Utilisateurs finaux reçoivent ou soient dirigés vers la Politique de confidentialité de VOVE ID.
7.4 Confidentialité des données personnelles. VOVE ID reconnaît que les données à caractère personnel incluses dans les Données du Client peuvent constituer des Informations confidentielles du Client. VOVE ID veillera à ce que tout personnel qui traite des données personnelles dans le cadre du présent Contrat soit soumis à des obligations de confidentialité appropriées. Si VOVE ID prend connaissance d’une Violation de sécurité (c’est-à-dire un accès non autorisé ou une acquisition non autorisée de données personnelles dans les systèmes de VOVE ID), elle en informera le Client sans retard injustifié et coopérera avec le Client conformément à l’ATD et à la loi applicable.
7.5 Conservation et suppression des données. VOVE ID ne conservera les données personnelles traitées pour le compte du Client que pendant la durée nécessaire pour atteindre les objectifs du présent Contrat ou celle requise par la loi ou par des besoins commerciaux légitimes (tels que la conservation d’une preuve de la vérification). À la résiliation ou à l’expiration du présent Contrat, VOVE ID supprimera ou restituera les données personnelles en sa possession conformément aux dispositions de l’ATD (sous réserve de toute obligation de conservation prévue à la Section 5.4 ou par la loi).
7.6 Transferts internationaux. Les parties reconnaissent que les Données du Client (y compris les données à caractère personnel) peuvent être transférées ou stockées en dehors du pays où elles ont été initialement collectées (par exemple, vers des centres de données ou des sous-traitants aux États-Unis ou dans l’Union européenne). Chaque partie s’engage à se conformer aux lois applicables en matière de transfert de données. Lorsque requis pour des transferts de données personnelles de l’UE en dehors de l’Espace économique européen, les parties s’appuieront sur des mécanismes juridiques appropriés tels que les Clauses Contractuelles Types, comme détaillé dans l’ATD.
7.7 Collaboration et conformité. VOVE ID aidera raisonnablement le Client (au moyen de mesures techniques et organisationnelles appropriées et de la fourniture d’informations) à s’acquitter de ses obligations de répondre aux demandes des personnes concernées ou aux enquêtes des régulateurs, et à démontrer sa conformité aux lois applicables en matière de protection des données.
### 8. Déclarations et garanties; exonération
8.1 Pouvoir mutuel. Chaque partie déclare et garantit qu’il s’agit d’une entité commerciale dûment constituée et en règle en vertu des lois de sa juridiction de constitution, et qu’elle a pleine capacité et autorité pour conclure le présent Contrat et exécuter ses obligations aux termes des présentes. Chaque partie déclare en outre que la personne signant le présent Contrat ou tout Bon de commande en son nom en a l’autorité, engageant ainsi la partie qu’elle représente aux termes du Contrat.
8.2 Garanties du Client. Le Client déclare et garantit que : (a) Conformité et utilisation : le Client utilisera les Services en conformité avec toutes les lois et réglementations applicables, et uniquement à des fins licites comme stipulé dans le présent Contrat ; (b) Droits sur les données : le Client (et/ou ses Utilisateurs finaux) détient tous les droits nécessaires sur les Données du Client (y compris les données personnelles) soumises aux Services, et a fourni tous les avis et obtenu tous les consentements requis, de sorte que le traitement par VOVE ID des Données du Client tel que permis par le présent Contrat ne violera aucune loi ni n’enfreindra les droits d’un tiers ; et (c) Pas d’utilisation à haut risque : le Client n’utilisera pas les Services à des fins intrinsèquement à haut risque ou dans des situations où l’utilisation des Services est susceptible d’entraîner des blessures corporelles ou des dommages matériels (par exemple, utiliser la vérification d’identité comme seul moyen de sécuriser l’accès physique à des installations d’infrastructures critiques sans mesures de sauvegarde supplémentaires) sans en informer VOVE ID et obtenir son approbation écrite.
8.3 Garantie limitée de VOVE ID. VOVE ID garantit que les Services, tels que fournis, seront en conformité matérielle avec les spécifications et indicateurs de performance convenus dans le Bon de commande ou la documentation (le cas échéant). VOVE ID garantit également qu’elle fournira les Services avec une compétence et un soin raisonnables, d’une manière conforme aux standards généraux de l’industrie raisonnablement applicables à la fourniture de services similaires. Le recours exclusif du Client, et la seule obligation de VOVE ID en cas de violation de la garantie stipulée dans la présente Section 8.3, seront que VOVE ID déploiera des efforts commercialement raisonnables pour corriger ou reprovisionner tout Service non conforme signalé par le Client. Si VOVE ID est incapable de rétablir la conformité matérielle des Services dans un délai raisonnable (n’excédant pas 30 jours) après notification écrite par le Client de la violation de cette garantie, alors le Client pourra résilier le Service affecté pour motif valable conformément à la Section 11.3 (Résiliation pour manquement), et, nonobstant toute disposition contraire relative à l’absence de remboursement dans le Contrat, VOVE ID remboursera tous les frais prépayés relatifs à la portion inutilisée du Service résilié. La garantie qui précède ne s’appliquera pas dans la mesure où la non-conformité est causée par (i) une mauvaise utilisation ou des modifications non autorisées du Service par le Client ; (ii) l’utilisation du Service en combinaison avec du matériel, des logiciels ou des données non fournis ou approuvés par VOVE ID, si la Réclamation aurait été évitée par l’utilisation du Service seul ; ou (iii) des services ou sources de données de tiers hors du contrôle de VOVE ID.
8.4 Exclusions de garantie. SAUF DISPOSITION EXPRESSE CONTRAIRE DANS LE PRÉSENT CONTRAT, LES SERVICES ET TOUS LES LOGICIELS, DONNÉES ET MATÉRIELS ASSOCIÉS SONT FOURNIS « EN L’ÉTAT » ET « SELON DISPONIBILITÉ », SANS AUCUNE GARANTIE D’AUCUNE SORTE, EXPRESSE OU IMPLICITE. VOVE ID DÉCLINE SPÉCIFIQUEMENT TOUTE GARANTIE IMPLICITE, Y COMPRIS TOUTE GARANTIE IMPLICITE DE QUALITÉ MARCHANDE, D’ADÉQUATION À UN USAGE PARTICULIER, DE TITRE ET D’ABSENCE DE CONTREFAÇON, AINSI QUE TOUTE GARANTIE DÉCOULANT DE LA LOI OU DES USAGES COMMERCIAUX. VOVE ID NE GARANTIT PAS QUE LES SERVICES RÉPONDRONT AUX BESOINS DU CLIENT, NI QUE LEUR FONCTIONNEMENT SERA ININTERROMPU OU SANS ERREUR, NI QUE LES RÉSULTATS OBTENUS PAR LE BIAIS DES SERVICES SERONT EXACTS OU FIABLES.
8.5 Absence d’autres garanties. VOVE ID ne garantit pas que les Services satisferont à toutes les exigences du Client, ni que les Services seront ininterrompus ou exempts d’erreurs, ni que les résultats obtenus par le biais des Services seront exacts ou fiables. Le Client reconnaît qu’il assume l’ensemble des risques découlant de l’utilisation des Services.
8.6 Contenu de tiers. VOVE ID décline toute responsabilité quant à tout service, contenu ou donnée de tiers que le Client peut utiliser ou consulter en lien avec les Services, et VOVE ID n’offre aucune garantie à leur égard. Tout service, contenu ou composant tiers est fourni « en l’état » sous la seule responsabilité de son fournisseur tiers.
### 9. Indemnisation mutuelle
9.1 Indemnisation par le Client. Le Client s’engage à défendre, indemniser et dégager de toute responsabilité VOVE ID, ses Affiliés, ainsi que leurs dirigeants, administrateurs et employés respectifs (les « Indemnitaires VOVE ID ») de toute Réclamation de tiers et de toutes les Pertes associées découlant de ou liées à : (a) l’utilisation des Services par le Client en violation du présent Contrat ou des lois applicables (y compris, notamment, toute utilisation des Services contraire à la Section 3 ou toute violation par le Client des lois applicables, telle qu’une non-conformité aux réglementations anti-blanchiment ou une violation des droits de propriété intellectuelle d’un tiers) ; (b) les Données du Client ou tout contenu fourni par le Client (y compris la soumission de données personnelles d’Utilisateurs finaux en violation du présent Contrat, ou le fait de ne pas avoir obtenu les consentements des Utilisateurs finaux requis en vertu du présent Contrat) ; ou (c) toute autre affaire relevant de l’activité propre du Client , toute Réclamation résultant de la nature des produits, services ou activités du Client et indépendante de l’utilisation des Services de VOVE ID (par exemple, une Réclamation introduite par l’un des clients ou utilisateurs du Client, sauf dans la mesure où elle est causée par un manquement de VOVE ID).
Les obligations d’indemnisation du Client sont conditionnées au fait que : (i) VOVE ID fournisse promptement au Client une notification écrite de la Réclamation (étant entendu que le défaut de notification rapide ne libérera le Client de ses obligations d’indemnisation que dans la mesure où ce retard lui cause un préjudice matériel) ; (ii) VOVE ID confie au Client le contrôle exclusif de la défense et du règlement de la Réclamation, étant entendu que le Client ne peut régler aucune Réclamation d’une manière impliquant une reconnaissance de faute ou de responsabilité de la part d’un Indemnitaire VOVE ID ou imposant des obligations non pécuniaires à un Indemnitaire VOVE ID sans le consentement écrit préalable de VOVE ID ; et (iii) VOVE ID fournisse une coopération raisonnable (aux frais du Client) dans la défense de la Réclamation. VOVE ID a le droit de participer à la défense de la Réclamation avec un avocat de son choix à ses propres frais.
9.2 Indemnisation par VOVE ID. VOVE ID s’engage à défendre, indemniser et dégager de toute responsabilité le Client, ses Affiliés, ainsi que leurs dirigeants, administrateurs et employés respectifs (les « Indemnitaires du Client ») de toute Réclamation de tiers et de toutes les Pertes associées découlant de ou liées à une allégation selon laquelle les Services (tels que fournis par VOVE ID et utilisés par le Client conformément au présent Contrat et à la Documentation) enfreignent ou détournent un brevet, un droit d’auteur ou une marque de commerce d’un tiers, ou violent ses droits de secret commercial. En cas d’une telle Réclamation, VOVE ID pourra, à son choix : (a) obtenir pour le Client le droit de continuer à utiliser les Services ; (b) modifier ou remplacer les Services (ou la partie prétendument contrefaisante) de sorte qu’ils ne soient plus contrefaisants tout en offrant des fonctionnalités substantiellement équivalentes ; ou (c) si VOVE ID détermine que les options (a) et (b) ne sont pas raisonnablement réalisables, mettre fin à l’utilisation par le Client du Service affecté moyennant un préavis raisonnable au Client et, si le Client a prépayé une portion inutilisée du Service, fournir un remboursement au prorata pour la portion résiliée. Les obligations d’indemnisation ci-dessus de VOVE ID ne s’appliqueront pas dans la mesure où la Réclamation résulte : (i) des Données du Client ou de tout contenu ou donnée fourni par le Client ou un Utilisateur final ; (ii) de la combinaison ou de l’utilisation des Services par le Client avec des logiciels, services ou matériels non fournis par VOVE ID, si la Réclamation aurait été évitée par l’utilisation des Services seuls ; (iii) de l’utilisation des Services par le Client d’une manière non autorisée par le présent Contrat ou incompatible avec la Documentation applicable ; ou (iv) de toute modification des Services qui n’est pas effectuée par VOVE ID ou à sa demande.
Les obligations d’indemnisation de VOVE ID sont conditionnées au fait que : (1) le Client fournisse promptement à VOVE ID une notification écrite de la Réclamation (étant entendu que le manquement à fournir un préavis rapide n’affectera pas les obligations d’indemnisation de VOVE ID sauf dans la mesure où ce retard lui cause un préjudice matériel) ; (2) le Client confie à VOVE ID le contrôle exclusif de la défense et du règlement de la Réclamation (avec la même réserve qu’indiquée ci-dessus concernant le règlement) ; et (3) le Client fournisse une coopération raisonnable (aux frais de VOVE ID) dans la défense de la Réclamation. Le Client a le droit de participer à la défense de la Réclamation avec un avocat de son choix à ses propres frais.
9.3 Recours exclusif. La présente Section 9 énonce l’entière responsabilité de chaque partie et le recours unique et exclusif de l’autre partie en ce qui concerne toute Réclamation de tiers décrite dans les obligations d’indemnisation ci-dessus.
### 10. Limitation de responsabilité
10.1 Limitation des types de dommages. DANS TOUTE LA MESURE PERMISE PAR LA LOI, AUCUNE DES PARTIES NE SERA RESPONSABLE ENVERS L’AUTRE (NI ENVERS UN TIERS) DE TOUT DOMMAGE INDIRECT, SPÉCIAL, ACCESSOIRE, CONSÉCUTIF, EXEMPLAIRE OU PUNITIF, NI DE TOUTE PERTE DE PROFITS, DE REVENUS, D’ACTIVITÉ, D’ÉCONOMIES ANTICIPÉES, DE DONNÉES OU D’AFFAIRES, DÉCOULANT DU PRÉSENT CONTRAT OU DE L’UTILISATION OU DE LA PERFORMANCE DES SERVICES. Cette exclusion de responsabilité s’applique quel que soit le fondement juridique invoqué (contrat, délit, négligence, responsabilité stricte, disposition légale ou autre) et même si une partie a été informée de la possibilité de tels dommages ou si tout recours prévu manque à sa raison d’être essentielle.
10.2 Plafond de responsabilité. SAUF POUR LES EXCEPTIONS SPÉCIFIQUES ÉNONCÉES CI-DESSOUS, LA RESPONSABILITÉ CUMULÉE TOTALE DE CHAQUE PARTIE ENVERS L’AUTRE PARTIE pour toutes les réclamations et pertes découlant du présent Contrat ou des Services (que ce soit en responsabilité contractuelle, délictuelle ou autre) n’excédera pas le montant total des frais payés ou payables par le Client à VOVE ID en vertu du présent Contrat au cours des douze (12) mois ayant immédiatement précédé l’événement à l’origine de la réclamation. Si la réclamation survient avant que douze mois de Services n’aient été fournis, le plafond de responsabilité sera égal au montant des frais mensuels moyens payés jusqu’à la date de l’événement, multiplié par douze. Si aucun frais n’a été payé (par exemple, pendant une période d’essai gratuit), la responsabilité totale de VOVE ID n’excédera pas 100 USD.
10.3 Exceptions. Les limitations et exclusions de responsabilité de la présente Section 10 ne s’appliqueront PAS : (a) à l’obligation du Client de payer tous les frais dus en vertu de tout Bon de commande ; (b) aux obligations d’indemnisation de l’une ou l’autre partie en vertu de la Section 9 ; (c) aux dommages résultant d’une violation des obligations de confidentialité (Section 5) ou d’une utilisation abusive par une partie de la propriété intellectuelle de l’autre partie (Section 6) ; (d) à la responsabilité pour fraude, faute intentionnelle ou négligence grave ; et (e) à toute responsabilité qui ne peut être limitée par la loi (telle que certaines responsabilités légales ou les dommages corporels ou le décès causés par négligence, dans la mesure où la loi applicable interdit une telle limitation).
10.4 Nature des réclamations et échec du recours essentiel. Les parties conviennent que les renonciations et limitations spécifiées dans la présente Section 10 s’appliquent indépendamment de la forme de l’action intentée, même si tout recours limité spécifié dans le présent Contrat est jugé avoir manqué à sa raison d’être essentielle, et même si une partie a été informée de la possibilité de tels dommages. Les parties reconnaissent que les dispositions de la présente Section 10 reflètent une répartition volontaire des risques entre elles, qui constitue un élément essentiel de la base de leur accord, et que ces dispositions resteront en vigueur même si un recours limité venait à faillir à son objectif essentiel.
### 11. Durée et résiliation
11.1 Durée du Contrat. Le présent Contrat commence à la Date d’entrée en vigueur (qui, sauf indication contraire, correspond à la date de la dernière signature du Bon de commande initial entre les parties ou à la date à laquelle ces Conditions sont acceptées) et restera en vigueur jusqu’à ce que tous les Bons de commande aient expiré ou aient été résiliés conformément à la présente Section 11. Chaque Bon de commande spécifiera une durée d’abonnement initiale ou une période de validité pour les Services couverts par ce Bon de commande (par ex. : une durée d’un an, un abonnement mensuel, etc.). Si aucune durée n’est spécifiée dans un Bon de commande, la durée par défaut de ce Bon de commande sera d’un (1) an à compter de la date de début des Services.
11.2 Renouvellement. Les Services fournis en vertu d’un Bon de commande se renouvelleront automatiquement pour des périodes successives égales à la durée initiale (ou d’un an, si la durée initiale est plus longue), à moins que l’une des parties ne notifie par écrit à l’autre partie son intention de ne pas renouveler au moins trente (30) jours avant la fin de la période en cours. Si le Bon de commande prévoit un délai de préavis ou une période de renouvellement différents (par ex. : renouvellements mensuels), ces modalités spécifiques s’appliqueront. Pour tout terme de renouvellement, VOVE ID se réserve le droit d’ajuster raisonnablement les tarifs ou la structure tarifaire, à condition que VOVE ID notifie au Client toute augmentation de tarif au moins soixante (60) jours avant la fin de la période en cours. Toute modification de tarif prendra effet à compter de la période de renouvellement. Chaque partie peut également décider de ne pas renouveler un Bon de commande pour quelque raison que ce soit en fournissant le préavis requis, auquel cas ce Bon de commande (et les Services qui y sont associés) prendra fin à l’expiration de sa période en cours.
11.3 Résiliation pour manquement. Chaque partie peut résilier le présent Contrat (ainsi que tout ou partie des Bons de commande) pour motif valable sur notification écrite à l’autre partie si cette dernière commet un manquement grave au présent Contrat et ne remédie pas à ce manquement dans un délai de trente (30) jours après avoir reçu une notification écrite décrivant le manquement de manière raisonnablement détaillée. (Dans le cas d’un manquement qui ne peut être corrigé, la partie non défaillante peut résilier immédiatement via notification écrite.) En outre, VOVE ID peut suspendre immédiatement les Services ou résilier le présent Contrat immédiatement sur notification écrite si le Client fait l’objet d’une procédure de faillite, d’insolvabilité, de liquidation ou de cession au bénéfice de créanciers.
11.4 Résiliation discrétionnaire d’un Bon de commande spécifique. Les parties reconnaissent que le présent Contrat est conclu entre entreprises. Sauf disposition contraire convenue par écrit, un Bon de commande ne peut être résilié de manière anticipée et discrétionnaire par l’une ou l’autre des parties que selon les modalités de renouvellement ou de non-renouvellement prévues ci-dessus, ou conformément à la Section 11.3 (Résiliation pour manquement). Si un Bon de commande spécifique prévoit expressément un droit de résiliation anticipée sans motif, les conditions de cette résiliation y figureront et s’appliqueront.
11.5 Effet de la résiliation. À l’expiration ou à la résiliation du présent Contrat ou d’un Bon de commande, le droit du Client d’accéder aux Services concernés et de les utiliser cessera immédiatement, et le Client devra cesser toute utilisation des Services et, à la demande de VOVE ID, retourner ou détruire tout logiciel ou documentation de VOVE ID en sa possession ou sous son contrôle. La résiliation du Contrat n’affectera pas les droits ou recours accumulés des parties à la date de la résiliation. Les Sections du présent Contrat qui, de par leur nature, doivent survivre à la résiliation (y compris, sans s’y limiter, les obligations de paiement échues, la confidentialité, la propriété intellectuelle, la limitation de responsabilité et l’indemnisation) resteront en vigueur après la résiliation ou l’expiration du Contrat. Si le présent Contrat est résilié dans son intégralité, tous les Bons de commande sont également résiliés. Si un ou plusieurs Bons de commande survivent (par exemple parce que seuls certains Bons de commande ont été résiliés ou que le Contrat a été remplacé par un autre pour de nouvelles affaires), alors les présentes Conditions resteront en vigueur pour ces Bons de commande restants.
### 12. Droit applicable et résolution des litiges
12.1 Droit applicable. Le présent Contrat, ainsi que tout litige en découlant ou s’y rapportant, sont régis et interprétés conformément aux lois de l’État du Delaware, États-Unis, à l’exclusion de ses principes de conflit de lois qui imposeraient l’application des lois d’une autre juridiction. La Convention des Nations Unies sur les contrats de vente internationale de marchandises (CVIM) ne s’applique pas au présent Contrat. Les parties conviennent que l’Uniform Computer Information Transactions Act (UCITA), ou toute loi similaire, ne s’appliquera pas même si adoptée dans l’État du Delaware. En outre, toute transposition locale applicable de la Directive 2011/83/UE (Directive sur les droits des consommateurs) ou d’autres lois de protection des consommateurs est reconnue comme non applicable au présent Contrat B2B.
12.2 Juridiction et tribunal compétent. Les parties conviennent irrévocablement que toute action en justice, poursuite ou procédure découlant du présent Contrat ou s’y rapportant sera portée exclusivement devant les tribunaux étatiques ou fédéraux situés dans l’État du Delaware, États-Unis (en particulier, un tribunal d’État compétent dans le comté de Sussex, Delaware, ou le tribunal de district des États-Unis pour le district du Delaware, selon le cas). Chaque partie consent à la compétence exclusive de ces tribunaux et renonce à toute objection (y compris toute objection fondée sur l’inconvénient du tribunal) quant à la compétence ou au lieu de ces juridictions.
12.3 Résolution des litiges ; mesures injonctives. En cas de litige ou de réclamation entre les parties, celles-ci conviennent de tenter d’abord de bonne foi de résoudre le différend par des négociations informelles entre la direction supérieure de chaque partie. Si un litige ne peut être résolu à l’amiable dans un délai raisonnable (par exemple 30 jours), chaque partie pourra engager une procédure judiciaire devant les tribunaux spécifiés ci-dessus. Aucune disposition du présent Contrat n’empêche l’une ou l’autre des parties de solliciter une mesure injonctive ou équitable immédiate auprès d’un tribunal compétent (y compris des tribunaux en dehors du Delaware) afin de prévenir un préjudice irréparable, tel qu’une violation de la confidentialité ou une appropriation illicite de propriété intellectuelle, étant donné que des dommages-intérêts pourraient ne pas constituer un recours adéquat pour remédier à un tel préjudice.
12.4 Renonciation au droit à un procès par jury. CHAQUE PARTIE RENONCE EN TOUTE CONNAISSANCE DE CAUSE ET DE MANIÈRE IRRÉVOCABLE À TOUT DROIT QU’ELLE POURRAIT AVOIR À UN PROCÈS AVEC JURY dans toute action en justice relative à tout litige ou réclamation découlant du présent Contrat ou s’y rapportant. Cette renonciation est faite en toute connaissance de cause et volontairement par chaque partie et constitue une condition essentielle ayant incité les parties à conclure le présent Contrat.
12.5 Renonciation aux recours collectifs. Les parties conviennent que tout litige sera conduit uniquement sur une base individuelle et non dans le cadre d’une action collective, regroupée ou représentative. Le Client n’intentera pas de recours collectif et ne fera pas valoir de réclamations au nom du grand public ou d’autres clients contre VOVE ID, dans toute la mesure permise par la loi. (Cette disposition vise à refléter le fait que le présent Contrat est un contrat commercial entre entreprises ; elle n’accorde à aucune partie le droit d’engager une action collective ou conjointe, ce qui n’est pas envisagé entre parties averties.)
### 13. Dispositions générales
13.1 Cession. Aucune des parties ne peut céder ou transférer le présent Contrat, en tout ou partie, à un tiers sans le consentement écrit préalable de l’autre partie, et toute tentative de cession sans consentement sera nulle. Cependant, chaque partie peut céder le présent Contrat sans le consentement de l’autre : (a) à un Affilié (à condition que la partie cédante demeure responsable de ses obligations aux termes des présentes et que l’Affilié accepte par écrit d’être lié par les présentes Conditions) ; ou (b) dans le cadre d’une fusion, d’une acquisition, d’une réorganisation ou de la vente de la totalité ou de la quasi-totalité de ses actifs ou de son capital, n’impliquant pas un concurrent direct de l’autre partie. En cas de cession permise, la partie cédante fournira un avis écrit prompt à l’autre partie. Le présent Contrat liera les parties et s’appliquera au bénéfice des parties et de leurs successeurs et ayants droit autorisés respectifs. Si une partie fait l’objet d’un changement de contrôle en faveur d’un concurrent de l’autre partie, cette autre partie peut résilier le présent Contrat via notification écrite (avec remboursement de tout frais prépayé pour la durée restante, dans le cas où VOVE ID résilie en raison de l’acquisition du Client par un concurrent).
13.2 Intégralité de l’accord. Le présent Contrat (y compris tous les Bons de commande, et tout document incorporé par référence tels que l’ATD ainsi que les annexes ou addenda aux présentes) constitue l’intégralité de l’accord entre les parties concernant son objet et remplace tous les accords, propositions, négociations, ententes et communications antérieurs ou contemporains, écrits ou oraux, entre les parties à l’égard du même objet. Chaque partie reconnaît qu’en concluant le présent Contrat elle ne s’est appuyée sur aucune déclaration, garantie ou assertion qui ne soit expressément énoncée dans le présent Contrat. En cas de conflit entre les termes du corps principal des présentes Conditions et ceux d’un Bon de commande, le Bon de commande prévaudra (uniquement pour ce Bon). En cas de conflit entre les présentes Conditions et l’ATD concernant les questions de protection des données, l’ATD prévaudra. Toute clause ou condition figurant sur un bon de commande ou autre document de commande émis par le Client (autre qu’un Bon de commande ou un accord signé conjointement) sera nulle et non avenue, même si la commande est acceptée ou exécutée par VOVE ID ; seuls les termes du présent Contrat et du Bon de commande applicable régissent la relation entre les parties.
13.3 Modifications et renonciations. Aucune modification ou amendement du présent Contrat (y compris de tout Bon de commande), et aucune renonciation à un manquement ou défaut, ne sera effective à moins d’être faite par écrit et signée par un représentant autorisé de chaque partie. Cependant, les parties conviennent que VOVE ID peut mettre à jour de temps à autre les présentes Conditions pour les futurs Bons de commande ou renouvellements, à condition que VOVE ID en informe le Client par écrit. De telles modifications ne s’appliqueront qu’aux Bons de commande conclus ou renouvelés après la date d’entrée en vigueur de la mise à jour, et n’affecteront pas les Services en cours fournis en vertu d’un Bon de commande existant sans le consentement du Client.
13.4 Divisibilité. Si une disposition du présent Contrat est jugée invalide, illégale ou inapplicable par un tribunal compétent, cette disposition sera appliquée dans toute la mesure permise par la loi, et les dispositions restantes du Contrat resteront pleinement en vigueur. Les parties négocieront de bonne foi pour remplacer toute disposition invalide ou inapplicable par une disposition valide qui se rapproche le plus possible de l’intention économique de la disposition initiale.
13.5 Relation entre les parties. Les parties concluent le présent Contrat en tant que contractants indépendants. Rien dans le présent Contrat ne doit être interprété comme créant une société de personnes, une coentreprise, une relation d’emploi ou de franchise entre les parties. Aucune partie n’est autorisée à agir en tant qu’agent de l’autre ni à engager l’autre partie de quelque manière que ce soit, et aucune partie ne fera de déclaration contraire.
13.6 Bénéficiaires tiers. Le présent Contrat est conclu au bénéfice des parties et de leurs successeurs et ayants droit autorisés respectifs. À l’exception des dispositions de la Section 9 (Indemnisation) en faveur des Indemnitaires de chaque partie, aucune personne ou entité qui n’est pas partie au présent Contrat n’aura le droit de faire valoir les termes du présent Contrat ou d’être considérée comme un bénéficiaire tiers.
13.7 Force majeure. Aucune des parties ne sera tenue responsable de tout retard ou manquement dans l’exécution de ses obligations (à l’exception des obligations de paiement) dû à des causes indépendantes de sa volonté raisonnable, notamment les catastrophes naturelles, les actes gouvernementaux, le terrorisme, les tremblements de terre, les incendies, les inondations, les pandémies, les conflits armés, les cyberattaques ou des pannes d’Internet généralisées, à condition que la partie affectée en informe promptement l’autre partie et déploie des efforts commercialement raisonnables pour atténuer les effets de tels événements de force majeure.
13.8 Notifications. Toutes les notifications, demandes, consentements, réclamations et autres communications requises ou permises en vertu du présent Contrat doivent être faites par écrit et seront réputées dûment données : (a) lorsqu’elles sont livrées en personne, (b) lorsqu’elles sont envoyées par courrier recommandé ou certifié (affranchissement prépayé, avec accusé de réception), (c) lorsqu’elles sont envoyées par service de messagerie express reconnu (avec confirmation de livraison), ou (d) lorsqu’elles sont envoyées par e-mail à l’adresse de contact désignée par chaque partie. Les notifications à VOVE ID doivent être envoyées à l’attention de son service juridique à l’adresse de VOVE ID indiquée ci-dessus, ou à toute autre adresse ou contact communiqué par VOVE ID par écrit. Les notifications au Client seront envoyées à l’adresse ou au contact indiqué dans le Bon de commande ou enregistré dans le compte du Client.
13.9 Conformité à l’exportation et sanctions. Les Services, logiciels et technologies de VOVE ID sont soumis aux lois et réglementations en matière d’exportation des États-Unis et de toute autre juridiction applicable. Le Client s’engage à se conformer à toutes les lois applicables en matière d’exportation et de sanctions internationales. En particulier, le Client certifie qu’il n’accédera pas aux Services ni ne les utilisera dans un pays ou territoire faisant l’objet d’un embargo total par les États-Unis, et qu’il ne permettra à aucune entité ou personne figurant sur une liste de sanctions gouvernementales d’accéder aux Services ou de les utiliser.
13.10 Utilisateurs finaux du gouvernement des États-Unis. Si le Client est une entité gouvernementale fédérale ou d’État des États-Unis ou si le présent Contrat est soumis aux réglementations fédérales américaines sur les marchés publics, le Client reconnaît que les Services constituent un « logiciel informatique commercial » et une « documentation de logiciel informatique commercial », tels que définis au 48 C.F.R. § 2.101, et que les droits des utilisateurs finaux du gouvernement des États-Unis sont limités conformément au 48 C.F.R. § 12.212 et au 48 C.F.R. §§ 227.7202-1 à 227.7202-4, selon le cas, ou à toute réglementation similaire. Toute utilisation des Services par le gouvernement américain constitue une reconnaissance des droits de propriété exclusifs de VOVE ID sur les Services.
13.11 Contreparties et signatures. Si le présent Contrat (ou tout Bon de commande) est signé en plusieurs exemplaires, chacun de ces exemplaires est réputé être un original et tous ces exemplaires constituent ensemble un seul et même accord. La signature de ce Contrat ou de tout Bon de commande peut être transmise par voie électronique (y compris via une signature électronique ou l’envoi d’une copie numérisée de la signature), et toute signature ainsi transmise sera considérée comme équivalente à une signature originale à toutes fins.
13.12 Titres et interprétation. Les titres des sections du présent Contrat sont fournis uniquement par commodité et ne doivent pas affecter l’interprétation de celui-ci. Dans le présent Contrat, sauf indication contraire du contexte : (a) l’utilisation du singulier inclut le pluriel et vice versa ; (b) l’utilisation de « y compris » ou « notamment » signifie « y compris, sans s’y limiter » ; (c) toute référence à un document désigne ce document tel qu’il peut être modifié ou remplacé de temps à autre ; et (d) toute référence à une loi ou à un règlement comprend ses amendements successifs.
13.13 Signatures et acceptation. Les personnes acceptant ou signant le présent Contrat ou tout Bon de commande déclarent qu’elles ont le pouvoir de le faire, engageant ainsi la partie qu’elles représentent aux termes du Contrat. Les parties conviennent que l’acceptation électronique du présent Contrat ou de tout Bon de commande (par exemple, en cochant une case « J’accepte » ou en cliquant sur un bouton d’acceptation) constitue une acceptation valide et engage le Client aux présentes Conditions comme si le Contrat avait été signé de manière manuscrite.
Acceptation. En concluant un Bon de commande régi par les présentes Conditions, les parties reconnaissent avoir lu et approuvé l’ensemble des termes et conditions ci-dessus.
# الشروط والأحكام العامة
تنويه: هذه الشروط والأحكام العامة (”الشروط”) مع أي نموذج طلب أو اتفاقية أخرى تُحيل إليها (ويُشار إليها مجتمعةً بـ”الاتفاقية”) تحكم تقديم خدمات التحقق من الهوية الرقمية من قبل شركة VOVE ID Inc.، وهي شركة مسجلة في ولاية ديلاوير بالولايات المتحدة الأمريكية وعنوانها 16192 Coastal Highway, Lewes, DE 19958, USA (ويُشار إليها فيما يلي بـ”VOVE ID” أو “نحن” أو “نا”) إلى جهة العمل المتعاقدة (”العميل” أو “أنت”). هذه الاتفاقية مخصصة للاستخدام التجاري بين الشركات (B2B) فقط. وبقيام العميل بتوقيع أي نموذج طلب أو بالوصول إلى الخدمات أو استخدامها، فإنه يوافق على الالتزام بهذه الشروط وكافة السياسات المشار إليها فيها. وإذا وُجد اتفاق خدمات رئيسي مكتوب منفصل موقّع من كلا الطرفين VOVE ID والعميل، فإن ذلك الاتفاق المنفصل يسود في حالة التعارض مع هذه الشروط.
### 1. التعريفات
لغايات هذه الاتفاقية، يكون للمصطلحات المعرّفة أدناه المعاني الموضحة لكل منها:
1.1 “الطرف التابع” يعني أي كيان يسيطر بشكل مباشر أو غير مباشر على أحد الطرفين، أو يقع تحت سيطرته، أو يخضع لسيطرة مشتركة معه، حيث تعني “السيطرة” ملكية أكثر من 50% من الأسهم ذات حق التصويت لذلك الكيان.
1.2 “العميل” يعني كيان العمل الذي يوقّع نموذج طلب أو عقد للحصول على الخدمات (بما في ذلك أي من الشركات التابعة المسموح لها الخاصة به التي وقّعت نماذج طلبات بموجب هذه الاتفاقية).
1.3 “المستخدم النهائي” يعني الفرد (مثل زبون العميل أو موظفه) الذي يتم التحقق من هويته باستخدام الخدمات بناءً على طلب العميل. المستخدمون النهائيون ليسوا أطرافًا في هذه الاتفاقية.
1.4 “نموذج الطلب” يعني أي مستند طلب أو أمر شراء أو نموذج تسجيل عبر الإنترنت أو أي اتفاقية أخرى (بما في ذلك أي جداول أو بيانات عمل) تُحدد الخدمات التي ستقدمها VOVE ID، ويتم توقيعها أو الموافقة عليها من قِبل العميل (أو أحد الشركات التابعة له) وVOVE ID (أو إحدى شركاتها التابعة). يخضع كل نموذج طلب لهذه الشروط.
1.5 “الخدمات” تعني خدمات ومنتجات VOVE ID للتحقق من الهوية والخدمات ذات الصلة التي تُقدم إلى العميل بموجب هذه الاتفاقية. ويشمل ذلك، على سبيل المثال لا الحصر، برامج وتقنيات VOVE ID الخاصة بالتحقق من الهوية (مثل مجموعات تطوير البرمجيات للهواتف المحمولة والويب (SDKs) وواجهات برمجة التطبيقات (APIs) ولوحة المعلومات والإدارة عبر الويب، وأي برامج ومواقع إلكترونية ووثائق فنية ودعم تقني ذو صلة). تكون الميزات المحددة ونطاق الخدمات وفق ما هو موصوف في نموذج الطلب المعني وأي وثائق إرشادية مقدمة من VOVE ID.
1.6 “بيانات العميل” تعني جميع البيانات والمحتوى والمعلومات (بما في ذلك البيانات الشخصية) التي يقدّمها العميل أو مستخدموه النهائيون إلى الخدمات أو يتيحونها من خلالها. وتُعتبر بيانات المستخدم النهائي (مثل وثائق الهوية والمعلومات البيومترية والتفاصيل الشخصية المقدمة لغرض التحقق) مجموعة فرعية من بيانات العميل. ولا تشمل بيانات العميل أية بيانات تقوم VOVE ID بتوليدها أو اشتقاقها بشكل مستقل من تشغيل الخدمات (مثل مقاييس الأداء المجمّعة أو تحسينات المنتج).
1.7 “سياسة الخصوصية” تعني سياسة الخصوصية العالمية لدى VOVE ID، والتي توضح كيفية قيام VOVE ID بجمع المعلومات الشخصية واستخدامها وحمايتها. تتوفر سياسة الخصوصية على موقع VOVE ID الإلكتروني، وقد يتم تحديثها من وقت لآخر. ورغم أن سياسة الخصوصية ليست وثيقة تعاقدية، فإنه تتم الإشارة إليها هنا من باب الشفافية.
1.8 “ملحق معالجة البيانات” أو “DPA” يعني اتفاقية معالجة البيانات المنفصلة بين VOVE ID والعميل التي تنظم كيفية تعامل VOVE ID مع البيانات الشخصية بالنيابة عن العميل، بما يتوافق مع قوانين حماية البيانات المعمول بها. يُعتبر الـ DPA (بما في ذلك أية بنود تعاقدية قياسية، إذا كانت قابلة للتطبيق) جزءًا من هذه الاتفاقية بموجب هذه الإحالة، ويجب أن يوقَّع عليها من كلا الطرفين حسب ما يتطلبه القانون أو سياسات VOVE ID.
تعريفات إضافية: قد يتم تعريف بعض المصطلحات الكبيرة الأخرى ضمن سياق هذه الشروط. فعلى سبيل المثال، يتم تعريف مصطلح “المعلومات السرية” في القسم 5 (السرية).
### 2. توفير الخدمات ونطاقها
2.1. وصف الخدمة. ستقدم VOVE ID الخدمات للعميل وفقًا لما هو موضح في نموذج الطلب. تمكن الخدماتُ العميلَ من التحقق من هويات المستخدمين النهائيين من خلال أدوات مثل مجموعات تطوير البرمجيات (SDKs) وواجهات برمجة التطبيقات (APIs) المدمجة في تطبيقات العميل، ومن خلال لوحة معلومات آمنة عبر الإنترنت لإدارة ومراجعة نتائج التحقق. ستكون طرق التحقق المحددة (على سبيل المثال: التحقق من وثائق الهوية، فحوصات القياسات الحيوية للوجه، التحقق من الحيوية، التحقق من قواعد البيانات) ومستويات الخدمة كما هي مذكورة في نموذج الطلب أو في الوثائق الخاصة بالمنتج ذي الصلة. ستنفذ VOVE ID الخدمات بشكل احترافي ووفقًا لما تقتضيه هذه الاتفاقية.
2.2. مسؤوليات VOVE ID. طوال مدة هذه الاتفاقية، ستقوم VOVE ID بما يلي:
* التوافر: بذل جهود معقولة تجاريًا للحفاظ على توفر الخدمات بشكل مستمر على مدار 24/7، مع استثناء فترات التوقف المقررة للصيانة أو التحديثات. ستسعى VOVE ID لجدولة الصيانة خلال ساعات خارج أوقات الذروة، وإذا كان من المتوقع أن تسبب الصيانة المخططة انقطاعًا يتجاوز فترة وجيزة، فستقدم إشعارًا مسبقًا للعميل عندما يكون ذلك ممكنًا.\
* الأمان: تنفيذ وإبقاء تدابير تقنية وتنظيمية مناسبة مصممة لحماية أمن وسرية وسلامة بيانات العميل ضمن الخدمات. يشمل ذلك تدابير لمنع الوصول غير المصرح به إلى بيانات العميل أو استخدامها على نحو غير مشروع. (قد يتم تقديم تفاصيل إضافية حول تدابير الأمان في الوثائق أو في ملحق أمني عند الطلب).\
* خلوّ البرمجيات الضارة: ضمان أن الخدمات، بالشكل الذي تقدمه VOVE ID، خالية — حسب علم VOVE ID وضمن حدود المعقول — من أية فيروسات أو ديدان إلكترونية أو أحصنة طروادة أو أي شفرات خبيثة أخرى مصممة للإضرار بأنظمة العميل أو بياناته أو الوصول غير المصرح إليه إليها.\
* الامتثال: الامتثال لكافة القوانين واللوائح المعمول بها على قيام VOVE ID بتقديم الخدمات لعملائها بشكل عام (على سبيل المثال، القوانين المتعلقة بالتعامل مع البيانات الشخصية عند العمل بصفة معالج بيانات). ولا تُلزم هذه الاتفاقية شركة VOVE ID بالامتثال لأية قوانين أو متطلبات خاصة بصناعة العميل أو سلطته القضائية والتي لا تنطبق عمومًا على مزوّدي خدمات التحقق من الهوية، ما لم يتم الاتفاق على ذلك خطيًا.\
2.3. حدود الخدمة. تدرك VOVE ID أنها مسؤولة عن توفير التكنولوجيا والتحليلات اللازمة للتحقق من الهويات، لكن يُقرّ العميل بأن VOVE ID ليست جهة اتخاذ القرار في عمليات أعمال العميل. تعتبر الخدمات أداة لمساعدة العميل في تلبية احتياجات التحقق من الهوية والامتثال؛ ويكون العميل وحده مسؤولًا عن أي قرارات أو إجراءات يتخذها استنادًا إلى النتائج أو التقارير المقدمة عبر الخدمات. ولا تضمن VOVE ID أن استخدام الخدمات سيضمن امتثال العميل لأي قانون محدد، كما لا تضمن أن كل عملية تحقق من الهوية ستكون دقيقة أو تلبي معايير العميل الخاصة.
2.4. الدعم. ما لم يُنَص على خلاف ذلك في نموذج الطلب، ستوفر VOVE ID دعمًا قياسيًا للخدمات دون رسوم إضافية. يشمل الدعم القياسي الوصول إلى وثائق إرشادية عبر الإنترنت، ودعمًا معقولًا عبر البريد الإلكتروني أو الويب للمشكلات التقنية أو الاستفسارات العامة. يمكن للعميل التواصل مع دعم VOVE ID عبر البريد الإلكتروني المخصّص للدعم أو من خلال لوحة التحكم. وأي دعم معزّز أو اتفاقية مستوى خدمة (SLA) يجب توثيقها في ملحق منفصل أو في نموذج الطلب.
2.5. الخدمات التابعة لأطراف ثالثة. يُقرّ العميل بأنه عند تقديم الخدمات قد تستعين VOVE ID بخدمات أو مصادر بيانات أو معالجات فرعية لطرف ثالث أو تدمجها (على سبيل المثال، مزودي معالجة بيومترية أو قواعد بيانات حكومية للهوية) لأداء وظائف تحقق معينة. يتم إدراج هذه المكونات التابعة لأطراف ثالثة في قائمة معالجي البيانات الفرعيين لدى VOVE ID أو في الوثائق المقدمة إلى العميل (متاحة عند الطلب). لا تتحكم VOVE ID في المعلومات أو النتائج التي توفرها المصادر الخارجية وليست مسؤولة عنها، وقد يختلف توفر تلك المصادر. ستتوخى VOVE ID العناية المعقولة في اختيار وإدارة مزودي الخدمات الخارجيين، لكنها لا تقدم أي ضمان أو تعهد بخصوص البيانات التي يتم الحصول عليها من أطراف ثالثة.
### 3. مسؤوليات العميل والاستخدام المقبول
3.1. الامتثال للقوانين والغرض من الاستخدام. يلتزم العميل باستخدام الخدمات لأغراض تجارية مشروعة وقانونية فقط، ووفقًا لهذه الاتفاقية وكافة القوانين واللوائح المعمول بها. يتحمل العميل مسؤولية ضمان أن استخدامه للخدمات (بما في ذلك قيامه بجمع البيانات الشخصية للمستخدمين النهائيين وتقديمها واستخدامها لغرض التحقق) يتوافق مع جميع القوانين السارية، مثل قوانين الخصوصية وحماية البيانات، وقوانين مكافحة غسل الأموال (AML) وقواعد “اعرف عميلك” (KYC)، وقوانين حماية المستهلك، والقوانين الخاصة (إن وجدت) باستخدام المحددات البيومترية أو التعرّف على الوجه. ويشمل ذلك، حيثما كان مطلوبًا، الحصول على أية موافقات أو تفويضات ضرورية من المستخدمين النهائيين للسماح لـ VOVE ID بمعالجة بياناتهم الشخصية نيابةً عن العميل. ولن يستخدم العميل الخدمات بأي طريقة تنتهك أي قانون أو حقوق أي فرد.
3.2. إشعارات وموافقات المستخدمين النهائيين. يتحمل العميل المسؤولية تجاه مستخدميه النهائيين فيما يتعلق بالخدمات. وعلى وجه الخصوص، يجب على العميل القيام بما يلي:
* تقديم إشعار: إبلاغ المستخدمين النهائيين بوضوح بأنه سيتم جمع بياناتهم الشخصية (مثل وثائق الهوية أو الصور أو البيانات البيومترية وغيرها) وإرسالها إلى VOVE ID بغرض التحقق من الهوية. ينبغي أن يوجه العميل المستخدمين النهائيين إلى سياسة خصوصية VOVE ID أو أن يضمن تضمين إفصاحات مكافئة في إشعاره الخصوصي الخاص، بحيث يفهم المستخدمون النهائيون كيفية استخدام بياناتهم.\
* الحصول على الموافقة: الحصول على أي موافقات من المستخدمين النهائيين تكون مطلوبة بموجب القوانين المعمول بها (على سبيل المثال، الموافقة على معالجة المعلومات البيومترية في بعض الولايات القضائية، مثل قانون خصوصية المعلومات البيومترية لولاية إلينوي (BIPA) في الولايات المتحدة، إن كان ذلك قابلًا للتطبيق). يجب على العميل الاحتفاظ بسجلات تلك الموافقات.\
* الأساس القانوني: ضمان أن لديه أساسًا قانونيًا صالحًا (مثل الموافقة أو المصلحة المشروعة) لمعالجة البيانات الشخصية الخاصة بالمستخدمين النهائيين ولإعطاء تعليمات لـ VOVE ID بمعالجة تلك البيانات كجزء من الخدمات. يؤكد العميل أنه إما غير خاضع أو ملتزم بأي قوانين خصوصية خاصة بقطاعه قد تفرض متطلبات على عمليات التحقق من الهوية (فعلى سبيل المثال، إذا كان العميل ينتمي للقطاع المالي، فسوف يمتثل للقواعد ذات الصلة الخاصة بالتحقق من هوية العملاء).\
يجب على العميل، عند طلب معقول من VOVE ID، تقديم دليل على أنه قد قدّم الإشعارات اللازمة وحصل على الموافقات المطلوبة من المستخدمين النهائيين. ويحق لـ VOVE ID الاعتماد على تعليمات العميل وإقراراته بأن تلك الإفصاحات والموافقات قد تم توفيرها.
3.3. قيود الاستخدام المقبول. يوافق العميل على أنه لن يقوم، ولن يسمح لأي طرف ثالث (بما في ذلك المستخدمون النهائيون أو المتعاقدون الواقعون تحت سيطرته) بسوء استخدام الخدمات. وعلى وجه الخصوص، يتعهد العميل بعدم القيام بما يلي:
* البيانات أو الإقرارات غير المصرح بها: تقديم أي ضمانات أو إقرارات لأي شخص أو جهة بخصوص الخدمات دون الحصول على موافقة خطية مسبقة من VOVE ID. (على سبيل المثال، لا يجوز للعميل إساءة تقديم الخدمات على أنها منتج خاص به، أو تقديم أي ضمانات بشأن النتائج تتجاوز ما تقدمه VOVE ID فعليًا).\
* إعادة البيع والمشاركة: استخدام الخدمات لتقديم خدمات التحقق لأطراف ثالثة خارج نطاق منظمة العميل، أو إتاحة الخدمات لأي شخص أو جهة غير العميل ومستخدميه المخوّلين. (يجوز للعميل استخدام الخدمات للتحقق من عملائه أو مستخدميه الخاصين ، أي المستخدمين النهائيين ، لكن لا يجوز للعميل العمل كجهة تقدم خدمات VOVE ID للآخرين مقابل أجر دون اتفاقية إعادة بيع مكتوبة منفصلة).\
* الهندسة العكسية: نسخ أو تعديل أو تفكيك أو إجراء هندسة عكسية أو فك تجميع أو محاولة استنباط شفرة المصدر أو الأسرار التجارية من أي برامج أو خوارزميات أو مكونات خاصة بالخدمات (باستثناء الحد الذي يحظره القانون المعمول به على نحو صريح منعًا باتًا لمثل هذا التقييد).\
* الأعمال المشتقة والمنافسة: إنشاء أي أعمال مشتقة تستند إلى الخدمات، أو استخدام الخدمة (أو أي بيانات أو مخرجات منها) لتطوير أو تدريب أو تحسين أي منتج أو خدمة منافسة. كما لن يقوم العميل بالوصول إلى الخدمات أو استخدامها لغرض إعداد مقارنات أو تحليلات تنافسية، أو بقصد بناء منتج مشابه أو منافس.\
* النشاط الضار: تحميل أو نقل أو إدخال أي مواد في الخدمات تحتوي على فيروسات أو ديدان أو أحصنة طروادة أو برامج خبيثة أو أي شفرة مؤذية أخرى. كما لن يستخدم العميل الخدمات بطريقة قد تتلف أو تعطل أو تثقل كاهل أنظمة VOVE ID أو تتداخل مع استخدام الآخرين للخدمات.\
* الوصول غير المصرح به: محاولة تجاوز أو التحايل على أي من إجراءات الأمان أو التحكم بالوصول الخاصة بالخدمات. لن يحاول العميل الوصول غير المصرح به إلى أي جزء من الخدمة أو أنظمتها أو شبكاتها الأساسية.\
* المحتوى غير القانوني أو غير الملائم: تزويد VOVE ID بأي بيانات أو محتوى غير قانوني أو احتيالي أو تشهيري أو بذيء أو ينتهك حقوق الغير. ويتضمن ذلك ضمان أن أي مستندات تعريفية أو بيانات بيومترية يتم تقديمها قد تم الحصول عليها بشكل قانوني وتعود للشخص الذي يجري التحقق من هويته. كما لن يقوم العميل عن علم بتقديم معلومات زائفة أو مسروقة أو مضللة عبر الخدمة.\
### 4. الرسوم والدفع
4.1. رسوم الخدمة. يتعين على العميل دفع جميع رسوم الخدمات (“رسوم الخدمة”) المحددة في نماذج الطلب الموقعة بموجب هذه الاتفاقية. إن التزامات دفع الرسوم غير قابلة للإلغاء، ورسوم الخدمة غير قابلة للاسترداد إلا إذا ورد نص صريح خلاف ذلك هنا. تنتهي صلاحية أي جلسات غير مستخدمة مع نهاية مدة الخدمة المحددة في نموذج الطلب المعني، ولن تُنسب أي أرصدة أو تعويضات إلى نماذج طلب مستقبلية لقاء الجلسات غير المستخدمة. وأي أرصدة أخرى يتم اكتسابها خلال مدة نموذج الطلب المعني لن تنطبق إلا على عمليات التجديد التي تتم في وقتها المحدد، وستنقضي خلاف ذلك في حالة عدم التجديد أو إنهاء الاتفاقية أو انتهاء مدة نموذج الطلب. وللتوضيح، ليس للأرصدة والجلسات غير المستخدمة أي قيمة نقدية أو صرف أو استرداد.
4.2. الجلسات الزائدة. إذا قدّم العميل عددًا من جلسات التحقق يزيد عن العدد المنصوص عليه في نموذج الطلب، فستقوم VOVE ID بعد ذلك بإصدار فواتير شهرية إضافية إلى العميل عن رسوم الجلسات الإضافية وفق الأسعار المحددة في نموذج الطلب.
4.3. الفواتير والدفع والضرائب. ستقوم VOVE ID بفوترة رسوم الخدمة للعميل عن طريق إرسال فواتير عبر البريد الإلكتروني إلى جهة الاتصال المفوَّضة للفوترة من قبل العميل، ما لم يُحدد طريقة دفع بديلة في نموذج الطلب. ما لم يبين نموذج الطلب خلاف ذلك، سيتم إصدار فواتير رسوم الخدمة بشكل سنوي مقدّمًا، ويجب تسديد كامل قيمة أي فاتورة خلال ثلاثين (30) يومًا من تاريخ استلام العميل لتلك الفاتورة؛ ومع ذلك، إذا تم إرسال الفاتورة إلى عنوان البريد الإلكتروني المخصص من قِبل العميل، فسيعتبر العميل أنه استلمها في تاريخ إرسالها. ما لم يتفق الطرفان على خلاف ذلك، فإن جميع المبالغ المذكورة في هذه الاتفاقية واجبة الدفع باليورو (بالنسبة للعملاء في المملكة المتحدة/المنطقة الاقتصادية الأوروبية) أو بالدولار الأمريكي (بالنسبة للعملاء في الولايات المتحدة/بقية العالم). باستثناء الضرائب المفروضة على دخل VOVE ID الصافي، يكون العميل مسؤولًا عن جميع الضرائب السارية المتعلقة بهذه الاتفاقية، بما في ذلك على سبيل المثال لا الحصر ضرائب القيمة المضافة أو السلع والخدمات أو الاستهلاك أو المبيعات أو أي ضرائب أخرى ذات صلة. وإذا كان أي مدفوع لقاء الخدمات خاضعًا لاقتطاع ضريبي من قبل أي حكومة، فسيقوم العميل بتعويض VOVE ID عن تلك الضريبة المقتطعة. تخضع الفواتير غير المدفوعة إلى رسوم تمويل بواقع 1.5% شهريًا، أو الحد الأقصى المسموح به قانونًا (أيهما أقل)، على أي رصيد غير مدفوع، بالإضافة إلى جميع نفقات التحصيل المعقولة.
4.4. عدم الدفع. إذا أخفق العميل في دفع رسوم الخدمة (باستثناء أي مبالغ متنازع عليها بحسن نية وبشكل معقول) خلال ثلاثين (30) يومًا من تاريخ الاستحقاق ذي الصلة، فإنه بعد قيام VOVE ID بتقديم إشعار مسبق بعشرة (10) أيام على الأقل وعدم تسديد العميل خلال تلك المدة، يحق لـ VOVE ID ، دون المساس بأي من حقوقها ووسائل انتصافها الأخرى ، تعليق أو تعطيل وصول العميل إلى الخدمة بشكل مؤقت، كليًا أو جزئيًا، دون أي التزام بتوفير أي وصول إلى الخدمة إلى أن يتم دفع جميع رسوم الخدمة ذات الصلة بالكامل.
4.5. الوظائف المستقبلية. يقر العميل بأن مشترياته بموجب هذه الاتفاقية ليست مشروطة بتوفير أي وظائف أو ميزات مستقبلية، ولا تعتمد على أي تصريحات أو تعليقات (شفهية أو مكتوبة) عامة أو خاصة صادرة عن VOVE ID بشأن وظائف أو ميزات مستقبلية.
### 5. السرية
5.1. تعريف المعلومات السرية. يُقصد بمصطلح “المعلومات السرية” أي معلومات غير عامة أو معلومات ذات طبيعة خاصة أو سرية يتم إفشاؤها من طرف (”الطرف المفصح”) إلى الطرف الآخر (”الطرف المستلم”) فيما يتعلق بهذه الاتفاقية، سواء كان الإفشاء بشكل كتابي أو شفهي أو مرئي أو إلكتروني أو أي شكل آخر، وكانت تلك المعلومات محددة على أنها سرية أو ينبغي من طبيعة المعلومات وظروف إفشائها اعتبارها سرية بشكل معقول. تشمل المعلومات السرية الخاصة بالعميل بيانات العميل وأي معلومات تجارية أو فنية يقدمها العميل حول عملياته أو خططه أو عملائه أو تقنياته. وتشمل المعلومات السرية الخاصة بـ VOVE ID الخدمات (بما في ذلك البرامج والخوارزميات وشفرات البرامج سواء المصدرية أو التنفيذية، وأي وثائق غير عامة)، وكذلك أية معلومات غير عامة حول أسعار VOVE ID أو خارطة طريق منتجاتها أو ممارساتها الأمنية أو أعمالها. وتُعد شروط وأحكام هذه الاتفاقية (بما في ذلك التسعير وأي نموذج طلب) معلومات سرية لكلا الطرفين.
غير أن المعلومات السرية لا تشمل المعلومات التي يُمكن للطرف المستلم إثبات أنها: (أ) أصبحت معروفة على نطاق واسع لعامة الجمهور دون خرق هذه الاتفاقية (ودون أي عمل خاطئ) من قبل الطرف المستلم؛ أو (ب) كانت معروفة بالفعل لدى الطرف المستلم أو بحوزته، دون قيود سرية، قبل استلامها من الطرف المفصح؛ أو (ج) تم تطويرها بشكل مستقل من قبل الطرف المستلم دون استخدام المعلومات السرية للطرف المفصح أو الرجوع إليها؛ أو (د) حصل عليها الطرف المستلم بصورة مشروعة من طرف ثالث يملك حقًا قانونيًا في إفشائها دون التزامات سرية. ولن تُعد المعلومات واقعة ضمن الاستثناءات سالفة الذكر لمجرد أنها مضمّنة في معلومات أكثر عمومية أصبحت معروفة أو متاحة للعامة، كما لن تُعد ضمن تلك الاستثناءات لمجرد أنها عبارة عن تجميع لمعلومات تشمل عناصر مشاعة أو معروفة.
5.2. التزامات السرية. يتعين على الطرف المستلم أن يتعامل مع معلومات الطرف المفصح السرية بنفس درجة الحرص التي يوليها لحماية معلوماته السرية المماثلة، على ألا تقل درجة الحرص في جميع الأحوال عن المعقول. وباستثناء ما تسمح به هذه الاتفاقية صراحةً، لن يستخدم الطرف المستلم معلومات الطرف المفصح السرية لأي غرض خارج نطاق هذه الاتفاقية، كما لن يفشيها إلى أي طرف ثالث، باستثناء الشركات التابعة للطرف المستلم أو موظفيه أو متعاقديه أو مستشاريه الذين يحتاجون إلى معرفة تلك المعلومات لأغراض تنفيذ هذه الاتفاقية والذين يلتزمون بالتزامات سرية لا تقل حمايةً عما هو وارد هنا. يكون الطرف المستلم مسؤولًا عن أي خرق للسرية من قبل موظفيه أو ممثليه.
لن يقوم أي من الطرفين بالإفصاح عن شروط هذه الاتفاقية أو أي نموذج طلب إلى أي طرف ثالث (بخلاف الشركات التابعة له أو محاميه أو محاسبيه أو مدققي حساباته أو مستشاريه الماليين ممن يخضعون لالتزامات سرية) دون موافقة خطية مسبقة من الطرف الآخر، إلا إذا كان ذلك مطلوبًا بموجب القانون. ويوافق كل طرف على عدم الإعلان علنًا أو الإفصاح عن وجود هذه الاتفاقية أو مضمونها دون موافقة مسبقة من الطرف الآخر، باستثناء أن VOVE ID يجوز لها إدراج اسم العميل وشعاره في قوائم العملاء كما هو مسموح به بموجب القسم 6.6 (الإعلان) أدناه.
5.3. الإفصاح المسموح به بموجب القانون. إذا كان الطرف المستلم ملزمًا بموجب القانون أو اللوائح أو إجراء قانوني (مثل أمر استدعاء أو أمر محكمة) بالإفصاح عن أي من معلومات الطرف المفصح السرية، فيجب على الطرف المستلم (في الحدود التي يسمح بها القانون) أن يوجّه إخطارًا خطيًا سريعًا إلى الطرف المفصح، بحيث يتمكن الطرف المفصح من السعي لاستصدار أمر حماية أو أي علاج قانوني مناسب آخر لمنع أو تقييد ذلك الإفصاح. سيقوم الطرف المستلم عندئذ بالإفصاح فقط عن الجزء من المعلومات السرية الذي يُطلب منه قانونًا الكشف عنه. وإذا تم رفع دعوى مدنية أو إجراء تنظيمي ضد الطرف المستلم من شأنه على الأرجح أن يوجب عليه الإفصاح عن معلومات الطرف المفصح السرية، فسيقوم الطرف المستلم، إذا طُلب منه ذلك، بالتعاون مع الطرف المفصح (على نفقة الطرف المفصح) في السعي للحصول على معاملة سرية لتلك المعلومات.
5.4. الإعادة أو الإتلاف. فيما عدا ما تنص عليه هذه الاتفاقية على نحو مغاير، يجب على الطرف المستلم ، بناءً على طلب خطي من الطرف المفصح أو عند إنهاء هذه الاتفاقية ، أن يعيد فورًا أو يتلف (وفق اختيار الطرف المفصح) جميع معلومات الطرف المفصح السرية التي تكون بحوزته أو تحت سيطرته، وأن يقدّم شهادة خطية تفيد بامتثاله لذلك. وبالرغم مما سبق، يجوز للطرف المستلم الاحتفاظ بنسخ من المعلومات السرية في الحالات التالية: (أ) النسخ المخزنة ضمن النسخ الاحتياطية الروتينية لأنظمة الحاسوب والتي يتعذّر الوصول إليها بسهولة؛ أو (ب) حسب ما قد يكون مطلوبًا للاحتفاظ بالسجلات بموجب القانون أو السياسات الإرشيفية (مثل رسائل البريد الإلكتروني أو سجلات الأعمال المخزنة التي يصعب فصلها)؛ أو (ج) ما يكون ضروريًا لأغراض التدقيق أو الامتثال القانوني أو تسوية النزاعات. وتظل أي معلومات سرية يتم الاحتفاظ بها خاضعة لالتزامات السرية المنصوص عليها في هذا القسم 5 طوال مدة احتفاظ الطرف المستلم بها.
5.5. المدة. تظل التزامات السرية الواردة في هذا القسم 5 سارية بدءًا من تاريخ الإفشاء الأول للمعلومات السرية وتستمر لمدة خمس (5) سنوات بعد إنهاء هذه الاتفاقية، وذلك باستثناء ما يتعلق بالأسرار التجارية (وأية بيانات شخصية ضمن بيانات العميل) حيث تستمر الالتزامات السرية بدون تحديد زمني أو وفق المدة القصوى التي يسمح بها القانون المعمول به.
### 6. الملكية الفكرية والملكية
6.1. ملكية الخدمات وحقوق VOVE ID الفكرية. بين الطرفين، تحتفظ VOVE ID بكل الحقوق والملكية والمصلحة في الخدمات وفي جميع التقنيات والبرمجيات والخوارزميات وقواعد البيانات والمعرفة الفنية وحقوق الملكية الفكرية (ويشمل ذلك براءات الاختراع وحقوق التأليف والأسرار التجارية والعلامات التجارية وجميع حقوق الملكية الأخرى) المتعلقة بالخدمات. لا يُمنح العميل أي حق أو ترخيص بموجب هذه الاتفاقية إلا حسبما هو منصوص عليه صراحةً هنا. وتحتفظ VOVE ID بجميع الحقوق غير الممنوحة صراحةً. ولا يكتسب العميل أي حق ملكية أو حق ملكية فكرية في أي جزء من الخدمات أو ملكية VOVE ID الفكرية. ويُقر العميل بأن الخدمات (بما في ذلك أي نسخ من البرامج أو أدوات الـ SDK المقدمة إلى العميل) يتم ترخيصها للاستخدام وفق الشروط، وليس بيعها.
6.2. ترخيص استخدام الخدمات. رهناً امتثال العميل لهذه الاتفاقية ودفعه لجميع الرسوم المستحقة، تمنح VOVE ID العميل حقًا وترخيصًا محدودًا وغير حصري وغير قابل للنقل (إلا بالقدر المسموح به بموجب القسم 13.1) وغير قابل للترخيص الفرعي خلال مدة هذه الاتفاقية للوصول إلى الخدمات واستخدامها فقط لأغراض عمليات العميل التجارية الداخلية. يسمح هذا الترخيص للعميل بدمج مجموعات تطوير البرمجيات (SDKs) وواجهات برمجة التطبيقات (APIs) الخاصة بـ VOVE ID في تطبيقات العميل الخاصة بالهواتف المحمولة أو الويب، وباستخدام لوحة التحكم والأدوات الخاصة بـ VOVE ID، وذلك في كل حالة فقط لغرض التحقق من هويات المستخدمين النهائيين للعميل وإدارة استخدام العميل للخدمة. يجب أن يكون أي استخدام للخدمات متوافقًا مع أي وثائق إرشادية أو توجيهات استخدام مرفقة بالخدمة أو مقدمة من VOVE ID. أي برنامج تقدمه VOVE ID كجزء من الخدمات يتم ترخيصه للعميل بشكل تنفيذي (كود جاهز) فقط. ويلتزم العميل بعدم إزالة أي إشعارات بحقوق النشر أو العلامات التجارية أو حقوق الملكية الأخرى من برامج أو مواد VOVE ID.
6.3. ملكية بيانات العميل. بين الطرفين، يحتفظ العميل بجميع الحقوق والملكية والمصلحة في بيانات العميل (مع مراعاة الحقوق الممنوحة لـ VOVE ID أدناه). لا تدّعي VOVE ID ملكية البيانات الشخصية أو الوثائق أو المعلومات التي يقدمها المستخدمون النهائيون إلى الخدمة؛ إذ تبقى تلك البيانات ملكًا للعميل وخاضعة لسيطرته. ستعمل VOVE ID كمعالج خدمة/بيانات فيما يتعلق بالبيانات الشخصية ضمن بيانات العميل، على النحو الموضح في القسم 7 (حماية البيانات).
6.4. ترخيص بيانات العميل. بموجب هذه الاتفاقية، يمنح العميل لـ VOVE ID وشركاتها التابعة ترخيصًا عالميًا غير حصري وخاليًا من الرسوم لاستضافة ونسخ ومعالجة ونقل واستخدام بيانات العميل بأي طريقة أخرى للأغراض التالية فقط: (أ) توفير الخدمات وأدائها لصالح العميل ومستخدميه النهائيين، وفقًا لهذه الاتفاقية وتعليمات العميل (بما في ذلك للتحقق من الهويات وإعداد تقارير التحقق وإبلاغ النتائج للعميل)؛ و(ب) تشغيل الخدمات وصيانتها وتحسينها، بما في ذلك تطوير ميزات جديدة وإجراء التحليلات (على سبيل المثال، استخدام نتائج عمليات التحقق لتحسين خوارزميات VOVE ID أو لتدريب نماذج التعلم الآلي، على أن تقوم VOVE ID عند القيام بذلك بإخفاء هوية أي بيانات شخصية أو تجميعها بحيث لا تعود معرّفة للعميل أو لأي فرد)؛ و(ج) استكشاف الأخطاء وإصلاحها أو تقديم الدعم أو معالجة المشكلات المتعلقة بالخدمات بناءً على طلب العميل؛ و(د) توليد بيانات أو رؤى إحصائية أو تقارير حول قطاع التحقق من الهوية أو اتجاهات الاحتيال، والتي قد يتم اشتقاقها من بيانات العميل بشكل مجمّع ومجهول الهوية (بحيث لا يمكن التعرف على العميل أو أي فرد). تكون أي بيانات مجمّعة أو مجهولة الهوية تُنشئها VOVE ID بموجب البند (د) مملوكة لـ VOVE ID، ويجوز استخدامها لأي غرض مشروع بشرط ألا تحتوي على أي معلومات تعريفية تخص العميل أو المستخدمين النهائيين.
6.5. التعليقات. يجوز للعميل تقديم ملاحظات أو اقتراحات أو أفكار إلى VOVE ID بخصوص الخدمات (على سبيل المثال، اقتراحات تحسينات أو ميزات جديدة). ويوافق العميل على أن VOVE ID حرة في استخدام أية تعليقات أو اقتراحات مقدمة من العميل أو مستخدميه ودمجها في خدماتها دون أي التزام تجاه العميل. وبالقدر الذي تكون فيه تلك التعليقات قابلة للحماية بموجب قوانين الملكية الفكرية، يمنح العميل بموجب هذه الاتفاقية شركة VOVE ID ترخيصًا دائمًا لا رجعة فيه وعالميًا يمكن ترخيصه من الباطن وبدون رسوم، لاستخدام أي تعليقات أو اقتراحات يقدمها العميل أو مستخدموه المخوّلون أو تعديلها أو دمجها في الخدمات.
6.6. العلامات التجارية والإعلان. يحتفظ كل طرف بجميع الحقوق في علاماته التجارية وشعاراته وأسمائه التجارية. وباستثناء ما يسمح به هذا القسم صراحةً، لا يجوز لأي من الطرفين استخدام اسم الطرف الآخر أو علاماته التجارية دون موافقة خطية مسبقة. ومع عدم الإخلال بما سبق، يجوز لـ VOVE ID أن تُشير إلى العميل كأحد عملائها وأن تستخدم اسم العميل وشعاره في المواد التسويقية وقوائم العملاء والبيانات الصحفية أو الموقع الإلكتروني الخاص بـ VOVE ID، وذلك فقط للإشارة إلى استخدام العميل للخدمات. وستستخدم VOVE ID شعار العميل واسمه وفقًا لأية إرشادات استخدام للعلامة التجارية يقدمها العميل. وبالمثل، يجوز للعميل أن يذكر علنًا أنه يستخدم خدمات التحقق من الهوية المقدمة من VOVE ID، وأن يستخدم اسم VOVE ID وشعاراتها لغرض الإشارة إلى التكامل بينهما، بشرط أن يتبع العميل أي إرشادات للعلامة التجارية توفرها VOVE ID. يجوز لأي من الطرفين إلغاء الإذن المذكور أعلاه (على سبيل المثال، إذا لم يرغب العميل في إدراجه كمرجع) من خلال إخطار خطي (ويُكتفى بالبريد الإلكتروني) للطرف الآخر، وعندها سيتوقف الطرف الآخر عن أي استخدام عام جديد للاسم أو الشعار الذي طُلب إزالته.
### 7. حماية البيانات والخصوصية
7.1. أدوار الأطراف. يُقرّ الطرفان ويوافقان على أنه، فيما يتعلق بأي بيانات شخصية تخص المستخدمين النهائيين تتم معالجتها بموجب هذه الاتفاقية، فإن العميل هو “مراقب البيانات” (أو أي مصطلح معادل بموجب القانون المعمول به) وVOVE ID هي “معالج البيانات” أو “مزود الخدمة”. وهذا يعني أن العميل يحدد أغراض معالجة البيانات الشخصية للمستخدمين النهائيين ووسائلها، وأن VOVE ID تعالج تلك البيانات نيابةً عن العميل من أجل تقديم الخدمات. لا يجوز لـ VOVE ID استخدام البيانات الشخصية من بيانات العميل أو الاحتفاظ بها لأي غرض آخر عدا ما تسمح به هذه الاتفاقية وملحق معالجة البيانات، إلا بالقدر الذي يطلبه القانون المعمول به. ويكون العميل مسؤولًا عن تحديد مشروعية المعالجة بموجب قوانين حماية البيانات المعمول بها، وكذلك عن تقديم أي إشعارات لازمة أو الحصول على أية موافقات ضرورية من المستخدمين النهائيين، وفقًا لما هو مبين في القسم 3.2 أعلاه.
7.2. ملحق معالجة البيانات. إلى الحد الذي ستقوم فيه VOVE ID بمعالجة أية بيانات شخصية نيابةً عن العميل في سياق تقديم الخدمات (لا سيما إذا كانت تلك البيانات خاضعة للائحة العامة لحماية البيانات للاتحاد الأوروبي (GDPR) أو قانون خصوصية المستهلك في كاليفورنيا (CCPA) أو قوانين خصوصية أخرى)، سيبرم الطرفان ملحقًا لمعالجة البيانات (DPA). يوضح الـ DPA موضوع المعالجة ومدتها، وطبيعة المعالجة وغرضها، وأنواع البيانات الشخصية، وفئات أصحاب البيانات، والتزامات كلا الطرفين بما يتماشى مع المادة 28 من اللائحة GDPR ونظائرها في القوانين الأخرى. ويُعتبر الـ DPA جزءًا لا يتجزأ من هذه الاتفاقية. وفي حالة أي تعارض بين أحكام هذه الاتفاقية وملحق معالجة البيانات فيما يتعلق بمعالجة البيانات الشخصية، تسود أحكام الـ DPA. وتقرّ VOVE ID بأنها ستنفذ تدابير فنية وتنظيمية مناسبة لحماية البيانات الشخصية وفق ما هو موضح في ملحق معالجة البيانات، وبأنها لن تستعين بمعالجي بيانات فرعيين إلا وفق الشروط المنصوص عليها في الـ DPA.
7.3. سياسة الخصوصية. إن كيفية قيام VOVE ID بجمع المعلومات الشخصية واستخدامها والإفصاح عنها فيما يتعلق بالخدمات موضحة بمزيد من التفصيل في سياسة الخصوصية المنشورة لدينا (المتاحة على موقعنا الإلكتروني). ورغم أن سياسة الخصوصية ليست وثيقة تعاقدية، فإنها تعكس التزام VOVE ID بالتعامل مع البيانات الشخصية وفقًا للقوانين المعمول بها وتوفر شفافية للمستخدمين النهائيين والعملاء حول ممارساتنا البيانية. يُقرّ العميل بأنه قد اطلع على سياسة خصوصية VOVE ID. وعندما يقتضي القانون (على سبيل المثال بموجب بعض أنظمة الخصوصية)، سيضمن العميل إحاطة المستخدمين النهائيين بسياسة خصوصية VOVE ID أو توجيههم إليها.
7.4. سرية البيانات الشخصية. تقرّ VOVE ID بأن البيانات الشخصية الواردة ضمن بيانات العميل قد تشكّل معلومات سرية خاصة بالعميل. ستضمن VOVE ID أن أي موظفين لديها يعالجون البيانات الشخصية بموجب هذه الاتفاقية ملتزمون بالتزامات سرية مناسبة. وإذا علمت VOVE ID بحدوث أي خرق أمني (ويُقصد بذلك وصول أو استحواذ غير مصرح به فعلي على بيانات شخصية ضمن أنظمة VOVE ID)، فستقوم بإخطار العميل دون تأخير غير مبرر والتعاون معه وفقًا لما يحدده ملحق معالجة البيانات والقانون المعمول به.
7.5. الاحتفاظ بالبيانات وحذفها. ستحتفظ VOVE ID بالبيانات الشخصية التي تتم معالجتها نيابةً عن العميل فقط للمدة اللازمة لتحقيق أغراض هذه الاتفاقية أو حسبما يقتضيه القانون أو احتياجات العمل المشروعة (مثل الاحتفاظ بإثبات عملية التحقق). عند إنهاء الاتفاقية أو انتهائها، ستقوم VOVE ID بحذف البيانات الشخصية التي بحوزتها أو إعادتها وفقًا لما هو منصوص عليه في ملحق معالجة البيانات (مع مراعاة أي متطلبات احتفاظ منصوص عليها في القسم 5.4 أو بموجب القانون).
7.6. عمليات النقل الدولية. يُقرّ الطرفان بأن بيانات العميل (بما في ذلك البيانات الشخصية) قد يتم نقلها أو تخزينها خارج البلد التي جُمعت فيها أصلًا (على سبيل المثال، إلى مراكز بيانات أو مزودي خدمات فرعيين في الولايات المتحدة أو الاتحاد الأوروبي). يوافق كل طرف على الامتثال لقوانين نقل البيانات المعمول بها. وعندما يكون ذلك مطلوبًا من أجل نقل بيانات شخصية تابعة للاتحاد الأوروبي إلى خارج المنطقة الاقتصادية الأوروبية، سيعتمد الطرفان على آليات قانونية مناسبة مثل البنود التعاقدية القياسية، وفق ما هو مفصل بشكل إضافي في ملحق معالجة البيانات.
7.7. التعاون والامتثال. ستقدم VOVE ID المساعدة المعقولة للعميل (من خلال التدابير التقنية والتنظيمية المناسبة وتوفير المعلومات) في الوفاء بالتزامات العميل بالاستجابة لطلبات أصحاب البيانات أو استفسارات الجهات التنظيمية، وفي إثبات الامتثال لقوانين حماية البيانات المعمول بها، مع الأخذ بالاعتبار طبيعة المعالجة والمعلومات المتاحة لـ VOVE ID. ويجوز تحميل العميل تكاليف أي مساعدة جوهرية تتجاوز الخدمات القياسية وفق أسعار يتم الاتفاق عليها. سيتعاون الطرفان بحسن نية في مسائل حماية البيانات حسب الضرورة لضمان الامتثال لقوانين الخصوصية المطبقة.
### 8. الإقرارات والضمانات؛ إخلاء المسؤولية
8.1. السلطة القانونية المتبادلة. يُقرّ ويضمن كل طرف أنه كيان تجاري تم تأسيسه حسب الأصول ويتمتع بوضع نظامي جيد بموجب قوانين الولاية القضائية التي تم تأسيسه فيها، وأن لديه كافة الصلاحيات والسلطات اللازمة لإبرام هذه الاتفاقية والوفاء بالتزاماته بموجبها. ويقرّ كل طرف أيضًا بأن الشخص الطبيعي الذي يوقّع هذه الاتفاقية أو أي نموذج طلب نيابةً عنه مخوّل للقيام بذلك، مما يرتب إلزام الطرف المعني بشروط هذه الاتفاقية.
8.2. ضمانات العميل. يُقرّ ويضمن العميل ما يلي: (أ) الامتثال والاستخدام: سيستخدم العميل الخدمات وفقًا لكافة القوانين واللوائح المعمول بها، وللأغراض المشروعة المنصوص عليها في هذه الاتفاقية فقط؛ (ب) الحقوق في البيانات: إن العميل (و/أو مستخدميه النهائيين) يمتلكون جميع الحقوق اللازمة، وقد قاموا بتقديم جميع الإشعارات المطلوبة والحصول على كافة الموافقات المطلوبة فيما يتعلق ببيانات العميل (بما في ذلك البيانات الشخصية) التي يتم تقديمها إلى الخدمات، بحيث لا يؤدي قيام VOVE ID بمعالجة بيانات العميل على النحو المسموح به في هذه الاتفاقية إلى انتهاك أي قانون أو التعدي على حقوق أي طرف ثالث؛ (ج) عدم الاستخدام عالي المخاطر: لن يستخدم العميل الخدمات لأي غرض ينطوي بطبيعته على درجة عالية من المخاطر أو حيث يُحتمل أن يؤدي استخدام الخدمات إلى إصابة أشخاص أو أضرار في الممتلكات (على سبيل المثال، استخدام عملية التحقق من الهوية كوسيلة وحيدة لتأمين الوصول المادي إلى منشآت ضمن بنية تحتية حساسة دون وجود ضمانات إضافية)، ما لم يُخطِر العميلُ VOVE ID بذلك ويحصل على موافقة خطية منها، مع اعترافه بأن الخدمات غير مصممة لتحقيق أداء معصوم في ظروف تتعلق بسلامة الأرواح.
8.3. الضمان المحدود من VOVE ID. تضمن VOVE ID أن الخدمات، بالشكل الذي يتم تسليمها به، ستتطابق جوهريًا مع المواصفات والمقاييس الأدائية المتفق عليها في نموذج الطلب أو الوثائق (إن وجدت). كما تضمن VOVE ID أنها ستقدم الخدمات بمهارة وعناية معقولتين وبشكل يتفق مع المعايير الصناعية العامة المعقولة التطبيق لتقديم خدمات مماثلة. ويكون العلاج الحصري للعميل والتزام VOVE ID الوحيد في حالة الإخلال بالضمان الوارد في هذا القسم 8.3 هو أن VOVE ID ستبذل جهودًا تجارية معقولة لتصحيح أو إعادة تقديم أية خدمات غير متوافقة يتم إبلاغها إليها من قبل العميل. وإذا تعذر على VOVE ID استعادة الخدمات لتتوافق جوهريًا مع المواصفات خلال فترة زمنية معقولة (لا تتجاوز 30 يومًا) بعد تلقيها إخطارًا خطيًا من العميل بالإخلال بهذا الضمان، يجوز للعميل إنهاء الخدمة المتأثرة بسبب إخلال مادي وفقًا للقسم 11.3 (الإنهاء بسبب الإخلال)، وعلى الرغم من حكم “عدم استرداد المدفوعات” الوارد في القسم 4.1 أعلاه، ستقوم VOVE ID برد أي رسوم مدفوعة مسبقًا خاصة بالجزء غير المستخدم من الخدمة التي تم إنهاؤها. ولن ينطبق الضمان السابق بالقدر الذي ينشأ فيه عدم المطابقة عن: (i) إساءة استخدام العميل للخدمة أو إجرائه تعديلات غير مصرح بها عليها؛ (ii) استخدام العميل للخدمة بالتزامن مع أجهزة أو برمجيات أو بيانات لم توفرها أو توافق عليها VOVE ID، إذا كان من الممكن تفادي المطالبة باستخدام الخدمة وحدها؛ (iii) استخدام العميل للخدمة بطريقة غير مصرح بها بموجب هذه الاتفاقية أو لا تتوافق مع الوثائق المعمول بها؛ أو (iv) أي تعديل على الخدمات لم تقم به VOVE ID أو بتوجيه منها.
8.4. إخلاء المسؤولية. باستثناء ما هو منصوص عليه صراحةً في هذه الاتفاقية، تُقَدَّم الخدمات وجميع البرامج والبيانات والمواد ذات الصلة بها “كما هي” و”وفق توفرها” دون أي ضمانات من أي نوع، سواء أكانت صريحة أم ضمنية. وتنفي VOVE ID على وجه التحديد جميع الضمانات الضمنية بما في ذلك أي ضمانات ضمنية خاصة بالتسويق أو الملاءمة لغرض معين أو الملكية أو عدم الانتهاك، وأي ضمانات ناشئة عن التعامل أو العرف التجاري.
يُقرّ العميل بأن عملية التحقق من الهوية بطبيعتها احتمالية، وأن VOVE ID لا تضمن أو تصرّح بأن أية وثيقة هوية أو شخص معيّن هو حقيقي أو صالح أو محل ثقة. ويكون العميل مسؤولًا بمفرده عن قراراته أو إجراءاته المتخذة استجابةً للنتائج المقدمة عبر الخدمات. يستخدم العميل المعلومات والنتائج التي يحصل عليها من الخدمات على مسؤوليته الخاصة.
8.5. عدم وجود ضمانات أخرى. لا تضمن VOVE ID أن الخدمات ستلبي جميع متطلبات العميل، أو أنه يمكن تصحيح جميع الأخطاء أو سيتم تصحيحها. ولا يؤدي أي معلومات أو نصائح (سواء كانت مكتوبة أو شفهية) تقدمها VOVE ID أو ممثلوها إلى إنشاء أي ضمان أو توسيع نطاق الضمانات المنصوص عليها صراحةً في هذه الاتفاقية. وليس للعميل أي حق في تقديم أو نقل أي إقرار أو ضمان بالنيابة عن VOVE ID إلى أي طرف ثالث.
8.6. المحتوى الخاص بأطراف ثالثة. تخلي VOVE ID مسؤوليتها عن أي خدمات أو منتجات أو مواقع إلكترونية تابعة لأطراف ثالثة (بما في ذلك تلك الخاصة بالمستخدمين النهائيين أو مزودي الخدمات الخاصين بالعميل) التي ليست جزءًا من الخدمات المقدمة. وإذا تضمنت الخدمات ميزات تمكن العميل من الوصول إلى مواقع أو خدمات أطراف ثالثة أو استخدامها (على سبيل المثال، فحص بطاقة هوية مقابل قاعدة بيانات حكومية)، فإن هذه الميزات تُقدم للتسهيل ولا تعني أي مصادقة أو ضمان من VOVE ID لتلك الخدمات الخارجية. وأي تبادل للبيانات أو تفاعل آخر بين العميل (أو مستخدميه النهائيين) وأي خدمة لطرف ثالث يقع حصريًا بين العميل وذلك الطرف الثالث وخاضع لشروط الخدمة وسياسة الخصوصية الخاصة بذلك الطرف الثالث.
تسري إخلاءات المسؤولية المنصوص عليها في هذا القسم 8 بالحد الأقصى الذي يسمح به القانون المعمول به. قد لا تسمح بعض الولايات القضائية باستثناء بعض الضمانات، لذلك قد لا تنطبق بعض الاستثناءات المذكورة أعلاه على العميل. وفي تلك الحالة، يتم إخلاء أو تقييد تلك الضمانات إلى أقصى حد يسمح به القانون.
### 9. التعويض المتبادل
9.1. تعويض العميل. يتوجب على العميل الدفاع عن VOVE ID وشركاتها التابعة وتعويضها وحمايتها من الضرر هي ومسؤوليها ومديريها وموظفيها ووكلائها ومتعاقديها (ويُشار إليهم مجتمعين بـ”المُعَوَّضين لدى VOVE ID”) ضد أي وجميع المطالبات والمطالبات القضائية والدعاوى أو الإجراءات التي يرفعها طرف ثالث (“الدعاوى”) وأية مسؤوليات أو خسائر أو أضرار أو أحكام أو تسويات أو عقوبات أو غرامات أو تكاليف أو نفقات ذات صلة (بما في ذلك أتعاب المحاماة المعقولة) (“الخسائر”) الناشئة عن أو المتعلقة بـ: (أ) بيانات العميل أو بيانات المستخدم النهائي ، أي دعوى تدعي أن جمع أو استخدام أو تقديم بيانات العميل (بما في ذلك البيانات المقدمة من مستخدمي العميل النهائيين) إلى VOVE ID، أو معالجة VOVE ID لتلك البيانات وفق تعليمات العميل، ينتهك أي قانون معمول به أو يعتدي على الملكية الفكرية أو الخصوصية أو غيرها من حقوق الطرف ثالث (على سبيل المثال، إذا ادّعى مستخدم نهائي أن العميل لم يكن لديه الحق في استخدام بياناته، أو إذا ادعى مالك محتوى تابع لطرف ثالث أن البيانات التي قدمها العميل تنتهك حقوق النشر الخاصة به)؛ (ب) استخدام العميل للخدمات ، أي دعوى تنجم عن استخدام العميل أو مستخدميه المخولين للخدمات بما يشكّل خرقًا لهذه الاتفاقية أو للقانون المعمول به (بما في ذلك أي إجراءات أو قرارات يتخذها العميل بناءً على نتائج التحقق، أو أي إساءة استخدام للخدمة، أو الإخفاق في الحصول على الموافقات المطلوبة من المستخدمين النهائيين حسبما تقتضيه هذه الاتفاقية)؛ أو (ج) أعمال العميل الأخرى ، أي دعوى ناشئة عن طبيعة منتجات أو خدمات أو أعمال العميل التي تكون مستقلة عن استخدام خدمات VOVE ID (على سبيل المثال، دعوى يرفعها أحد عملاء العميل أو مستخدميه، باستثناء ما تسببت فيه مخالفة VOVE ID).
إن التزام العميل بالتعويض مشروط بـ: (1) قيام VOVE ID بتقديم إشعار خطي سريع إلى العميل بالدعوى (مع العلم أن الإخفاق في تقديم إشعار سريع لن يُعفي العميل من التزاماته بالتعويض إلا بالقدر الذي يلحق به ضرر مادي بسبب التأخير)؛ (2) منح VOVE ID العميل السيطرة الحصرية على الدفاع في الدعوى والتسوية الخاصة بها، مع مراعاة أنه لا يجوز للعميل تسوية أي دعوى بطريقة تُقر ضمنيًا بمسؤولية أي من المُعَوَّضين لدى VOVE ID أو تفرض عليهم التزامات غير مالية دون موافقة خطية مسبقة من VOVE ID؛ و (3) تقديم VOVE ID التعاون المعقول (على نفقة العميل) في الدفاع عن تلك الدعوى. تمتلك VOVE ID الحق في المشاركة في الدفاع عن الدعوى بواسطة محامٍ من اختيارها وعلى نفقتها الخاصة.
9.2. تعويض VOVE ID. يتوجب على VOVE ID الدفاع عن العميل وشركاته التابعة وتعويضهم وحمايتهم من الضرر هم ومسؤوليهم ومديريهم وموظفيهم (ويُشار إليهم مجتمعين بـ”المُعَوَّضين لدى العميل”) ضد أي دعاوى لطرف ثالث وجميع الخسائر المرتبطة بها والناتجة عن ادعاء بأن الخدمات (بالشكل الذي تقدمه VOVE ID ويستخدمه العميل وفقًا لهذه الاتفاقية وأي وثائق إرشادية) تنتهك أو تستولي بشكل غير مشروع على براءة اختراع أو حق نشر أو علامة تجارية لطرف ثالث، أو تنتهك حقوق أسراره التجارية.
في حالة حدوث أي دعوى من هذا القبيل، يجوز لـ VOVE ID، وفق خيارها: (أ) أن تحصل للعميل على حق الاستمرار في استخدام الخدمات؛ أو (ب) أن تعدّل الخدمات أو تستبدلها (أو الجزء المزعوم أنه منتهك) بحيث تصبح غير منتهِكة مع توفير وظيفة مكافئة جوهريًا؛ أو (ج) إذا قررت VOVE ID أن الخيارين (أ) و(ب) ليسا متاحين بصورة معقولة، أن تنهي استخدام العميل للخدمة المتأثرة بعد تقديم إشعار معقول إلى العميل، وإذا كان العميل قد دفع مقدمًا مقابل أي جزء غير مستخدم من تلك الخدمة، أن ترد للعميل المبلغ المتناسب مع الجزء المتبقي غير المستخدم. ولن تنطبق التزامات التعويض المذكورة أعلاه الخاصة بـ VOVE ID بالقدر الذي تنشأ فيه الدعوى عن: (i) بيانات العميل أو أي محتوى أو بيانات يقدمها العميل أو أي مستخدم نهائي؛ (ii) استخدام العميل للخدمات بالاقتران مع برامج أو خدمات أو مواد لم توفرها VOVE ID، إذا كان من الممكن تجنب الدعوى باستخدام الخدمات بمفردها؛ (iii) استخدام العميل للخدمات بطريقة غير مصرح بها بموجب هذه الاتفاقية أو غير متسقة مع الوثائق المعمول بها؛ أو (iv) أي تعديل على الخدمات لم يتم بواسطة VOVE ID أو بتوجيه منها.
إن التزام VOVE ID بالتعويض مشروط بـ: (1) قيام العميل بتقديم إشعار خطي سريع إلى VOVE ID بالدعوى (مع نفس التحفظ المذكور أعلاه بخصوص عدم إعفاء VOVE ID من المسؤولية إلا إذا لحق بها ضرر مادي بسبب التأخير)؛ (2) منح العميل VOVE ID السيطرة الحصرية على الدفاع في الدعوى وتسويتها (مع نفس القيد المذكور أعلاه وهو أنه لا يجوز لـ VOVE ID التسوية بطريقة تفرض مسؤولية أو التزامات على المُعَوَّضين لدى العميل دون موافقة العميل، على ألا يُرفض منح الموافقة دون سبب معقول)؛ و (3) تقديم العميل التعاون المعقول (على نفقة VOVE ID) في الدفاع عن الدعوى. يحق للعميل المشاركة في الدفاع بواسطة مستشار قانوني من اختياره وعلى نفقته الخاصة.
9.3. الحل الحصري. يحدد هذا القسم 9 كامل مسؤولية كل طرف والعلاج الحصري للطرف الآخر فيما يتعلق بأي دعوى يرفعها أي طرف ثالث بدعوى انتهاك الملكية الفكرية أو أي دعاوى وخسائر أخرى كما تم وصفها في التزامات التعويض أعلاه.
### 10. تحديد المسؤولية
10.1. حدود أنواع الأضرار. إلى أقصى حد يسمح به القانون، لا يكون أي من الطرفين مسؤولًا تجاه الآخر (ولا تجاه أي طرف ثالث) عن أي أضرار غير مباشرة أو خاصة أو عرضية أو تبعية أو تأديبية أو عقابية، أو عن أي خسارة في الأرباح أو الإيرادات أو الأعمال أو المدخرات المتوقعة أو البيانات أو السمعة التجارية، الناشئة عن هذه الاتفاقية أو المتعلقة بها أو عن استخدام الخدمات أو أدائها. ينطبق إخلاء المسؤولية هذا بغض النظر عن نظرية المسؤولية، سواء كانت عقدية أو تقصيرية (بما في ذلك الإهمال) أو مسؤولية صارمة أو بموجب القانون أو غير ذلك، وسواء تم إخطار الطرف باحتمال تلك الأضرار أم لا، وسواء فشل أي علاج محدد في تحقيق غرضه الأساسي أم لا.
10.2. الحد الأقصى للمسؤولية. باستثناء الاستثناءات المحددة أدناه، فإن إجمالي المسؤولية التراكمية لكل طرف تجاه الطرف الآخر عن جميع الدعاوى والخسائر الناشئة عن أو المتعلقة بهذه الاتفاقية أو بالخدمات (سواء كانت المسؤولية بموجب عقد أو ضرر أو غير ذلك) لن تتجاوز إجمالي المبالغ المدفوعة أو المستحقة الدفع من العميل إلى VOVE ID بموجب هذه الاتفاقية خلال فترة الاثني عشر (12) شهرًا التي تسبق مباشرة الحدث الذي أعطى نشوءًا للمطالبة. وإذا نشأت المطالبة قبل تقديم الخدمات لمدة اثني عشر شهرًا، فإن الحد الأقصى يكون متوسط الرسوم الشهرية المدفوعة حتى تاريخ الحدث مضروبًا في اثني عشر. وإذا لم يتم دفع أي رسوم (على سبيل المثال، خلال فترة تجريبية مجانية)، فلن تتجاوز المسؤولية الإجمالية لـ VOVE ID مبلغ 100 دولار أمريكي.
10.3. الاستثناءات. لا تنطبق حدود المسؤولية واستثناءاتها الواردة في هذا القسم 10 على: (أ) التزام العميل بدفع جميع الرسوم المستحقة بموجب أي نموذج طلب؛ (ب) التزامات أي من الطرفين بالتعويض بموجب القسم 9؛ (ج) الأضرار الناجمة عن خرق التزامات السرية (القسم 5) أو سوء استخدام الملكية الفكرية للطرف الآخر (القسم 6) من قبل أحد الطرفين؛ (د) المسؤولية الناتجة عن احتيال أو سوء سلوك متعمد أو إهمال جسيم؛ و (هـ) المسؤولية التي لا يجوز تحديدها بموجب القانون (مثل بعض المسؤوليات القانونية أو الإصابات الشخصية أو الوفاة الناجمة عن الإهمال، إلى الحد الذي يحظر فيه القانون المعمول به مثل هذا التحديد).
10.4. طبيعة المطالبات وفشل الغرض الأساسي. يتفق الطرفان على أن التنازلات والقيود المحددة في هذا القسم 10 تنطبق بغض النظر عن نوع الإجراء أو الدعوى، حتى لو تبين أن أي علاج محدود محدد في هذه الاتفاقية قد أخفق في تحقيق الغرض الأساسي منه، وحتى لو تم إخطار أحد الطرفين باحتمال حدوث مثل تلك الأضرار.
### 11. المدة وإنهاء الاتفاقية
11.1. مدة الاتفاقية. تسري هذه الاتفاقية بدءًا من تاريخ النفاذ (وهو ما لم يُنَص على خلافه يكون تاريخ آخر توقيع على نموذج الطلب الأولي بين الطرفين أو التاريخ الذي يتم فيه قبول هذه الشروط) وتظل سارية حتى تنتهي جميع نماذج الطلب إما بانقضاء مدتها أو بإنهائها وفقًا لأحكام هذا القسم 11. سيحدد كل نموذج طلب مدة الاشتراك الأولية أو فترة الصلاحية الخاصة بالخدمات الواردة في ذلك النموذج (على سبيل المثال: مدة سنة واحدة، أو تجديد شهري، إلخ). وإذا لم يتم تحديد مدة في نموذج الطلب، فتكون المدة الافتراضية لذلك النموذج سنة واحدة (1) اعتبارًا من تاريخ بدء الخدمة.
11.2. التجديد. سيتم تجديد الخدمات الواردة في أي نموذج طلب تلقائيًا لمدة مماثلة لمدة الاشتراك الأولية (أو لمدة سنة واحدة إذا كانت المدة الأولية أطول من ذلك)، إلا إذا قام أحد الطرفين بإشعار الطرف الآخر خطيًا بعدم الرغبة في التجديد وذلك قبل ثلاثين (30) يومًا على الأقل من نهاية المدة الجارية حينها. وإذا نص نموذج الطلب على فترة إشعار مختلفة أو مدة تجديد مختلفة (مثل التجديدات الشهرية)، فإنه يُعمل بذلك بدلًا من الشرط السابق. وبالنسبة لأي مدة تجديد، تحتفظ VOVE ID بالحق في تعديل الرسوم أو هيكل التسعير بشكل معقول، بشرط أن تُخطر VOVE ID العميل بأي زيادة في الأسعار قبل ستين (60) يومًا على الأقل من نهاية المدة الحالية. ويسري أي تعديل في الرسوم اعتبارًا من مدة التجديد. كما يجوز لأي من الطرفين اختيار عدم تجديد نموذج طلب لأي سبب كان، بشرط تقديم الإشعار المطلوب، وفي هذه الحالة تنتهي صلاحية ذلك النموذج (وأي خدمات مقدمة بموجبه) مع نهاية مدته الحالية آنذاك.
11.3. الإنهاء بسبب الإخلال. يجوز لأي من الطرفين إنهاء هذه الاتفاقية (وأي أو جميع نماذج الطلب) بسبب إخلال من الطرف الآخر، وذلك عبر إشعار خطي إذا قام الطرف الآخر بارتكاب خرق مادي لهذه الاتفاقية ولم يقم بمعالجته خلال ثلاثين (30) يومًا من تلقيه إشعارًا خطيًا يصف ذلك الخرق بشكل معقول. (في حالة إخلال العميل بالتزاماته بالدفع، يجوز لـ VOVE ID أن تمنح مهلة علاج أقصر مدتها عشرة (10) أيام للإشعار بالتأخير في الدفع). إذا كان الخرق غير قابل للعلاج، يجوز للطرف غير المخل إنهاء الاتفاقية فورًا بموجب إشعار. وإضافة إلى ذلك، يجوز لأي من الطرفين إنهاء هذه الاتفاقية فورًا من خلال إشعار خطي إذا قام الطرف الآخر بـ (أ) التعرض للإعسار أو بات غير قادر بشكل عام على سداد ديونه عند استحقاقها؛ أو (ب) تقديم طلب (أو تقديم طلب ضده) لإشهار الإفلاس بشكل طوعي أو غير طوعي بموجب أي قانون إفلاس أو إعسار آخر، ولم يتم رفض تلك الدعوى خلال ستين (60) يومًا من تقديمها؛ أو (ج) السعي لتعيين حارس قضائي أو وصي أو قيّم على كل أو جزء كبير من أصوله؛ أو (د) القيام بعملية تنازل عام لصالح الدائنين؛ أو (هـ) الخضوع لأي حدث أو إجراء مشابه بموجب قوانين أي ولاية قضائية (ويُشار إلى كل الأحداث المذكورة أعلاه بـ”حدث الإفلاس”). وفي حالة حدوث حدث إفلاس يتعلق بالعميل، يجوز لـ VOVE ID بدلاً من الإنهاء أن تختار تعليق الخدمات و/أو أي وصول إلى بيانات العميل إلى الحد المسموح به قانونًا حتى يتم تلقي ضمانات كافية لاستيفاء المدفوعات المستقبلية.
11.4. الإنهاء وفق الرغبة لأمر محدد. يقر الطرفان بأن هذه الاتفاقية مخصصة للخدمات التعاقدية بين مؤسستين ولا تسمح عمومًا بالإنهاء الأحادي دون سبب خلال مدة الالتزام المتفق عليها، باستثناء عدم التجديد وفق القسم 11.2 أعلاه. ومع ذلك، إذا أجاز نموذج طلب صراحةً لأي من الطرفين إنهاء ذلك النموذج لأجل الراحة (على سبيل المثال، خطة شهرية يمكن إنهاؤها بإشعار قبل 30 يومًا)، فإنه يتم إنهاء ذلك النموذج وفق الشروط المحددة، وتظل هذه الشروط سارية على أي نماذج طلب أخرى نشطة. ولا يؤدي إنهاء أحد نماذج الطلب تلقائيًا إلى إنهاء النماذج الأخرى ما لم يُنَص صراحةً على ذلك.
11.5. أثر الإنهاء. عند انتهاء أو إنهاء هذه الاتفاقية أو أي نموذج طلب فردي لأي سبب كان:
* وقف الخدمات: ستتوقف VOVE ID عن تقديم الخدمات المنتهية، ويجب على العميل على الفور إيقاف كل وصول إلى الخدمات المنتهية واستخدامها (بما في ذلك التوقف عن استخدام أي أدوات SDK أو مفاتيح API من VOVE ID في تطبيقاته). يجب على العميل كذلك إزالة تثبيت أو إتلاف أي برامج أو مواد تخص VOVE ID ذات صلة بالخدمات المنتهية، باستثناء الحد الذي يتطلبه الاحتفاظ بها لأغراض أرشيفية أو قانونية.\
* دفع الرسوم المستحقة: يجب على العميل فورًا دفع جميع الرسوم المستحقة وغير المسددة المتراكمة حتى تاريخ السريان للإنهاء. بالإضافة إلى ذلك، إذا تم إنهاء الاتفاقية أو أي نموذج طلب قبل نهاية مدته (باستثناء إنهاء بسبب إخلال لم يتم معالجته من قِبل VOVE ID أو كما تسمح الشروط صراحةً)، تصبح أية رسوم غير مدفوعة عن المدة المتبقية مستحقة على الفور (كتعويض متفق عليه وليس كغرامة).\
* عدم استرداد المدفوعات: باستثناء ما هو منصوص عليه صراحةً في هذه الاتفاقية، لا يؤدي الإنهاء إلى إعفاء العميل من التزامه بدفع أي رسوم مستحقة لـ VOVE ID، كما لا يحق للعميل استرداد أية رسوم مدفوعة. (إذا قام العميل بالإنهاء بسبب إخلال مادي من جانب VOVE ID لم يتم معالجته، أو إذا قامت VOVE ID بإنهاء نموذج طلب بموجب خيار (ج) في القسم 9.2 بسبب دعوى انتهاك، فسيتم التعامل مع أي استرداد مستحق وفق ما هو مبين في تلك الأقسام).\
* إرجاع بيانات العميل: بناءً على طلب خطي من العميل يُقدَّم خلال 30 يومًا بعد الإنهاء، ستقدم VOVE ID إلى العميل نسخة من بيانات العميل (على سبيل المثال، نتائج التحقق أو أي مستندات قدمها المستخدمون النهائيون) التي تم تخزينها في الخدمة، بصيغة إلكترونية متعارف عليها. وبعد مرور تلك الفترة البالغة 30 يومًا، يجوز لـ VOVE ID حذف بيانات العميل من البيئة النشطة للخدمات المنتهية، ما لم يكن ممنوعًا خلافًا لذلك بموجب القانون أو مسموحًا به بموجب القسم 5.4 والقسم 7 (من حيث النسخ الاحتياطية أو الاحتفاظ القانوني، إلخ). وتخضع التزامات VOVE ID المتعلقة بالاحتفاظ بالبيانات الشخصية أو حذفها بعد الإنهاء لأحكام ملحق معالجة البيانات (DPA).\
* استمرارية بعض الأحكام: تظل ساريةً أي أحكام من هذه الاتفاقية تستوجب بطبيعتها بقاؤها بعد الإنهاء أو الانقضاء، بما في ذلك على سبيل المثال لا الحصر: الأقسام 4.2 (عدم استرداد المدفوعات)، 5 (السرية)، 6.3-6.5 (أحكام الملكية والتراخيص بالقدر اللازم لإنفاذ الحقوق أو القيود المستمرة)، 8.4-8.6 (إخلاءات المسؤولية)، 9 (التعويض)، 10 (تحديد المسؤولية)، 11.5 (أثر الإنهاء)، 12 (القانون الحاكم وتسوية المنازعات)، 13 (أحكام عامة)، إضافةً إلى أي التزامات دفع متراكمة أو غيرها من الأحكام المنصوص على بقائها صراحةً.\
لن يؤثر إنهاء الاتفاقية على أي حقوق أو تعويضات لأي من الطرفين كانت قد نشأت قبل تاريخ النفاذ للإنهاء. وإذا تم إنهاء هذه الاتفاقية بالكامل، تُنهى جميع نماذج الطلب كذلك. وإذا نجا نموذج طلب أو أكثر (على سبيل المثال، لأن نماذج طلب معينة فقط هي التي تم إنهاؤها أو تم استبدال هذه الاتفاقية بأخرى جديدة لأعمال جديدة)، فإن هذه الشروط تظل سارية على نماذج الطلب الباقية.
### 12. القانون الحاكم وتسوية المنازعات
12.1. القانون الحاكم. تخضع هذه الاتفاقية، وأي نزاعات تنشأ عن هذه الاتفاقية أو تتعلق بها أو بالخدمات، لقوانين ولاية ديلاوير، الولايات المتحدة الأمريكية، ويتم تفسيرها وفقًا لها، باستثناء قواعد تنازع القوانين التي من شأنها أن تؤدي إلى تطبيق قوانين ولاية قضائية أخرى. ولا تسري على هذه الاتفاقية اتفاقية الأمم المتحدة بشأن عقود البيع الدولي للبضائع (CISG). ويتفق الطرفان على عدم تطبيق قانون معاملات معلومات الحاسوب الموحد (UCITA) أو أي قوانين مشابهة، حتى لو تم تبنيها في ديلاوير. بالإضافة إلى ذلك، يعترف الطرفان بعدم انطباق أي تنفيذ محلي للتوجيه الأوروبي 2011/83/EU (توجيه حقوق المستهلك) أو غيره من قوانين حماية المستهلك على هذه الاتفاقية المبرمة بين مؤسستين.
12.2. الاختصاص القضائي والمكان. يوافق الطرفان بشكل نهائي على أن أي إجراء قانوني أو دعوى أو إجراءات تنشأ عن هذه الاتفاقية أو تتعلق بها يجب أن تُرفع حصريًا أمام محاكم الولاية أو المحاكم الفيدرالية الواقعة في ولاية ديلاوير، الولايات المتحدة الأمريكية (وتحديدًا أمام محكمة ولاية ذات اختصاص في مقاطعة ساسكس بولاية ديلاوير، أو محكمة المقاطعة الفيدرالية للمنطقة في ديلاوير، حسبما يكون مناسبًا). ويُقر كل طرف باختصاص ومكان تلك المحاكم حصريًا، ويتنازل عن أي اعتراض (بما في ذلك أي اعتراض على أساس عدم الملاءمة) على الاختصاص أو المكان أمام هذه المحاكم.
12.3. تسوية المنازعات؛ التعويض الزجري. في حالة أي نزاع أو مطالبة بين الطرفين، يتفق الطرفان أولًا على محاولة حلّ المسألة وديًا بحسن نية عن طريق مفاوضات غير رسمية بين الإدارة العليا لكل منهما. وإذا تعذر حل النزاع وديًا خلال مدة زمنية معقولة (على سبيل المثال، 30 يومًا)، يجوز لأي من الطرفين اللجوء إلى التقاضي أمام المحاكم المحددة أعلاه. ولا شيء في هذه الاتفاقية يمنع أيًا من الطرفين من السعي للحصول فورًا على إجراء زجري أو عادل من محكمة ذات اختصاص (بما في ذلك المحاكم خارج ديلاوير) لمنع أي ضرر لا يمكن جبره، مثل خرق الالتزامات السرية أو اختلاس الملكية الفكرية، حيث قد لا تكفي التعويضات المالية وحدها لمعالجة هذا الضرر.
12.4. التنازل عن المحاكمة أمام هيئة محلفين. يتنازل كل طرف عن علم وبشكل لا رجعة فيه عن أي حق قد يكون له في محاكمة أمام هيئة محلفين في أية دعوى قانونية بشأن أي نزاع أو مطالبة ناشئة عن هذه الاتفاقية أو الخدمات أو تتعلق بها. تم تقديم هذا التنازل عن وعي وطواعية من كل طرف، ويُعد حافزًا جوهريًا لكل من الطرفين للدخول في هذه الاتفاقية.
12.5. التنازل عن الدعاوى الجماعية. يتفق الطرفان على أن تُجرى أي منازعات بينهما على أساس فردي فقط وليس كجزء من إجراء جماعي أو موحد أو تمثيلي. لن ينضم العميل إلى أي دعوى جماعية، كما لن يرفع أي دعاوى باسم العامة أو عملاء آخرين ضد VOVE ID إلى أقصى حد يسمح به القانون. (تهدف هذه الأحكام إلى التأكيد على أن هذه الاتفاقية هي عقد بين جهتين تجاريتين؛ وهي لا تمنح أي حق في رفع دعوى جماعية أو جماهيرية حيث إن ذلك غير متصور بين أطراف متمرّسة).
### 13. أحكام عامة
13.1. التنازل (التنازل عن الاتفاقية). لا يجوز لأي طرف إحالة هذه الاتفاقية أو تحويلها، سواءً كليًا أم جزئيًا، إلى أي طرف ثالث دون موافقة خطية مسبقة من الطرف الآخر، وأي محاولة للقيام بذلك دون تلك الموافقة تعتبر باطلة. ومع ذلك، يجوز لأي من الطرفين إحالة هذه الاتفاقية دون موافقة الطرف الآخر: (أ) إلى طرف تابع (شريطة أن يبقى الطرف المحيل مسؤولًا عن التزاماته بموجبها وأن يوافق الطرف التابع خطيًا على الالتزام بهذه الشروط)؛ أو (ب) في سياق اندماج أو استحواذ أو إعادة تنظيم شركة أو بيع جميع أصوله أو معظمها أو أسهمه، بشرط ألا يتعلق الأمر بمنافس مباشر للطرف الآخر. في حالة أي إحالة مسموح بها، سيقدم الطرف المحيل إخطارًا خطيًا فوريًا إلى الطرف الآخر. وتكون هذه الاتفاقية ملزمة وتعود بالنفع على الطرفين وخلفائهما والمتنازل لهم المسموح بهم. وإذا تعرض أحد الطرفين لتغيير في السيطرة يؤول إلى منافس للطرف الآخر، فيجوز للطرف الآخر إنهاء هذه الاتفاقية عبر إشعار خطي (مع رد أي رسوم مدفوعة مقدمًا عن المدة المتبقية، في حالة قيام VOVE ID بالإنهاء بسبب استحواذ منافس على العميل).
13.2. مجمل الاتفاقية. تشكل هذه الاتفاقية (بما في ذلك جميع نماذج الطلب وأي مستندات مدمجة بالإحالة مثل ملحق معالجة البيانات وأي ملاحق أو مرفقات لها) مجمل الاتفاق بين الطرفين فيما يخص موضوعها، وتلغي وتحل محل جميع الاتفاقيات والمقترحات والمفاوضات والتفاهمات والاتصالات السابقة أو المعاصرة، سواء كانت كتابية أم شفهية، بين الطرفين بخصوص نفس الموضوع. ويُقر كل طرف بأنه لدى إبرامه هذه الاتفاقية فإنه لم يعتمد على أي إقرار أو ضمان أو تصريح غير منصوص عليه صراحةً في هذه الاتفاقية. وفي حال وجود أي تعارض بين أحكام النص الأساسي لهذه الشروط وبين نموذج طلب، يسود نموذج الطلب (ولكن فقط بالنسبة لذلك الطلب). وفي حال وجود تعارض بين هذه الشروط وملحق معالجة البيانات فيما يتعلق بأمور حماية البيانات، يسود ملحق معالجة البيانات. وتعتبر أي شروط أو أحكام تظهر في أمر شراء أو مستند طلب آخر يصدره العميل (بخلاف نموذج الطلب أو اتفاقية موقعة بين الطرفين) لاغية ولا أثر لها، حتى لو قبلت VOVE ID ذلك الطلب أو نفذته؛ حيث إن الشروط الواردة في هذه الاتفاقية ونموذج الطلب المعمول به فقط هي التي تحكم العلاقة بين الطرفين.
13.3. التعديلات والتنازلات. لا يكون أي تعديل أو تنقيح لهذه الاتفاقية (بما في ذلك أي نموذج طلب)، ولا أي تنازل عن أي إخلال أو تقصير، ساريًا ما لم يكن خطيًا وموقعًا من ممثل مفوَّض عن كل طرف. إلا أن الطرفين يتفقان على أنه يجوز لـ VOVE ID تحديث هذه الشروط من وقت لآخر ، على سبيل المثال لمواكبة التغييرات في القانون أو تحسين الخدمات ، وتصبح هذه الشروط المحدَّثة سارية بالنسبة لأي عميل عند التجديد التالي لأحد نماذج الطلب الخاصة به أو عند دخوله في نموذج طلب جديد أو عند توقيع تعديل خطي متفق عليه بين الطرفين، أيها يحدث أولًا. ستقوم VOVE ID بإخطار العميل بالتحديثات المادية التي تطرأ على الشروط في وقت معقول قبل التجديد عندما يكون ذلك ممكنًا. ولا يُعتبر أي تنازل عن أي إخلال بهذه الاتفاقية تنازلاً عن أي إخلال آخر، كما لا يكون أي تنازل ساريًا ما لم يكن خطيًا وموقعًا من الطرف المتنازل. كما أن فشل أي من الطرفين في إنفاذ أي حكم من أحكام هذه الاتفاقية أو تأخره في ذلك لا يشكل تنازلاً من ذلك الطرف عن حقه في إنفاذ ذلك الحكم فيما بعد.
13.4. قابلية الفصل. إذا قضت أية محكمة مختصة ببطلان أو عدم قانونية أو عدم قابلية تنفيذ أي حكم من أحكام هذه الاتفاقية، فسيتم اعتبار ذلك الحكم معدلًا بالقدر الأدنى اللازم لجعله قابلًا للتنفيذ (وإذا تعذّر ذلك، فيُعتبر مفصولًا من هذه الاتفاقية دون أن يؤثر ذلك على صحة الأحكام الأخرى). تظل بقية أحكام الاتفاقية سارية بكامل قوتها وأثرها. وفي هذه الحالة، يتعين على الطرفين التفاوض بحسن نية لاستبدال حكم قانوني وقابل للتنفيذ يعكس على نحو أقرب النية الأصلية والأثر الاقتصادي للحكم الباطل.
13.5. علاقة الأطراف. يرتبط الطرفان بموجب هذه الاتفاقية بصفة متعاقدين مستقلين. ولا ينشئ أي شيء في هذه الاتفاقية شراكة أو علاقة امتياز أو مشروع مشترك أو وكالة أو علاقة ائتمانية أو علاقة عمل بين الطرفين. وليس لأي من الطرفين سلطة إلزام الطرف الآخر أو التصرف نيابةً عنه بأي صفة. كل طرف مسؤول عن نفقاته وموظفيه وعملياته الخاصة. يجوز لـ VOVE ID الإشارة إلى العميل كزبون لها كما هو مسموح به في القسم 6.6، لكن هذه الإشارة لا تعني أي علاقة أخرى بخلاف علاقة مقدم خدمة وعميل.
13.6. المستفيدون من الأطراف الثالثة. تهدف هذه الاتفاقية لمنفعة الطرفين وخلفائهما المسموح لهم والمتنازل لهم فقط. وباستثناء الشركات التابعة لـ VOVE ID أو العميل (بالقدر المسموح به صراحةً لاستخدام الخدمات أو الاستفادة منها بموجب نموذج طلب) أو كما هو منصوص عليه خلاف ذلك في هذه الاتفاقية، لا يوجد أي مستفيد من الغير لهذه الاتفاقية. ومع عدم الإخلال بما سبق، يتفق الطرفان على أن لشركات VOVE ID التابعة وللمرخصين لدى VOVE ID الحق في إنفاذ أحكام هذه الاتفاقية المتعلقة بحماية الملكية الفكرية وإخلاءات المسؤولية وحدود المسؤولية. وبخلاف ما تقدم، لا يتمتع أي طرف ثالث بأي حقوق بموجب هذه الاتفاقية.
13.7. القوة القاهرة. لا يكون أي من الطرفين مسؤولًا عن أي تأخير أو إخفاق في الأداء (باستثناء الالتزام بدفع الأموال) ناتج عن أسباب خارجة عن سيطرته المعقولة، مثل الحروب أو الأعمال الإرهابية أو الكوارث الطبيعية أو الأوبئة أو الإضرابات أو النزاعات العمالية أو القوانين أو الأوامر الحكومية أو انقطاع خدمات الكهرباء أو الاتصالات أو الهجمات الإلكترونية التي لا يمكن منعها بشكل معقول أو غيرها من الأحداث المشابهة غير المتوقعة والاستثنائية (“القوة القاهرة”). يجب على الطرف المتأثر أن يقوم بإشعار الطرف الآخر بالحدث الممثل للقوة القاهرة في أقرب وقت ممكن عمليًا، وأن يبذل جهودًا حثيثة للتخفيف من آثاره واستئناف الأداء الكامل في أسرع وقت ممكن. وإذا استمر حدث القوة القاهرة لمدة تزيد عن ثلاثين (30) يومًا، يجوز لأي من الطرفين إنهاء أي نموذج طلب متأثر عبر إشعار خطي ودون أي مسؤولية أخرى (وإذا كان العميل قد دفع مقدمًا مقابل خدمات لم تُقدَّم بسبب هذا الإنهاء، فسوف تُعيد VOVE ID الرسوم المدفوعة مقدمًا عن الجزء غير المستخدم).
13.8. الإشعارات. يجب أن تكون جميع الإخطارات والطلبات والموافقات والمطالبات وأشكال الاتصال الأخرى المطلوبة أو المسموح بها بموجب هذه الاتفاقية (باستثناء الاتصالات التشغيلية الروتينية، مثل الدعم أو التحديثات النظامية التي يجوز إرسالها عبر الخدمات أو البريد الإلكتروني إلى جهات الاتصال المعينة) مكتوبة، وتُعتبر قد أُبلغت على النحو الصحيح في الحالات التالية: (أ) عند تسليمها باليد أو عن طريق خدمة بريد سريع معترف بها على المستوى الوطني (مع طلب إيصال) إلى عناوين الطرفين المبينة في نموذج الطلب أو إلى أي عنوان آخر قد يُحدده أحد الطرفين بموجب إخطار؛ أو (ب) في يوم العمل الخامس بعد إرسالها بواسطة بريد مسجل أو معتمد مع طلب إيصال بالإرجاع ومسبوق الدفع رسوم البريد؛ أو (ج) في يوم العمل الأول بعد إرسالها عبر البريد الإلكتروني إلى عنوان البريد الإلكتروني المحدد للإشعارات القانونية لكل طرف (مع الاحتفاظ بتأكيد الإرسال الناجح).
.jpg?alt=media&token=caa53725-37dc-4f26-a733-c54a760ec9ef)
