KYC & Identity Verification Policy
La KYC Policy disciplina i processi di qualificazione dell’identità utilizzati per proteggere account, operazioni e workflow di firma, nel rispetto dei principi di minimizzazione, proporzionalità e privacy by design.
1. Finalità e ambito
Le verifiche possono essere richieste per elevare il livello di affidabilità dell’account, prevenire frodi, soddisfare requisiti del provider o consentire specifici servizi. Firmato non impone la stessa verifica a ogni funzione: intensità e metodo dipendono dal rischio e dal servizio richiesto.
2. Dati e minimizzazione
Firmato privilegia la conservazione di esito, stato, identificativo della pratica, date, provider e audit. Immagini del documento, selfie, video o dati biometrici non sono copiati nello storage Firmato salvo necessità documentata, configurazione esplicita o obbligo applicabile.
3. Liveness e dati biometrici
Quando il provider utilizza liveness o confronto facciale, possono essere trattati dati biometrici. Tali trattamenti richiedono un’idonea base giuridica, informativa trasparente, misure rafforzate e una chiara ripartizione dei ruoli tra UESE, Cliente e provider.
4. Esiti, riesame e anomalie
Una verifica può risultare pending, in review, needs information, verified, rejected o expired. Un esito negativo non deve essere interpretato automaticamente come frode. Ove appropriato, possono essere richiesti ulteriori elementi o attivato un riesame secondo le procedure disponibili.
5. Rapporto con la firma elettronica
Il KYC dell’account e l’identificazione richiesta dal trust provider sono processi distinti. Per FEA o QES possono essere richieste ulteriori verifiche, certificati, OTP o procedure imposte dal QTSP.
6. Conservazione e diritti
I dati sono conservati per periodi proporzionati alle finalità, agli obblighi di legge, alla sicurezza e alla gestione delle contestazioni. Gli interessati possono esercitare i diritti previsti dal GDPR nei limiti applicabili e rivolgersi al DPO o all’autorità di controllo competente.
7. Sicurezza e provider
I flussi KYC sono integrati tramite API e redirect sicuri ove disponibili. Il provider può operare come responsabile o titolare autonomo in funzione del servizio e degli accordi; la relativa informativa è resa disponibile quando richiesta.
8. Versionamento, prevalenza e conservazione della prova
Firmato conserva la versione del documento resa disponibile e, ove previsto dal flusso applicativo, la relativa accettazione con data, account e informazioni tecniche di audit. Le modifiche sostanziali possono richiedere una nuova presa visione o accettazione. La lingua e il Paese sono variabili distinte: la lingua determina la versione linguistica, mentre il Paese determina l’integrazione nazionale applicabile.