Il titolare del trattamento ai sensi dell’articolo 4, par. 7, del Regolamento (UE) 2016/679 ("GDPR") e dell’articolo 28 del D.Lgs. 30 giugno 2003, n. 196 ("Codice Privacy"), come modificato dal D.Lgs. 10 agosto 2018, n. 101, è:
Olliv Italia S.r.l. (di seguito anche "CoinFlip" o la "Società")
Via Giuseppe Marcora, 11, 20121 Milano (MI)
C.F. e P.IVA: 17079791004
Numero REA: RM – 1694417
PEC: [email protected]
Olliv Italia S.r.l. è autorizzata dalla Commissione Nazionale per le Società e la Borsa (“Consob”), ai sensi dell’articolo 16, comma 1, del D.Lgs. 5 settembre 2024, n. 129 e dell’articolo 63 del Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività ("MiCAR"), quale prestatore di servizi per le cripto-attività per lo svolgimento del servizio di scambio di cripto-attività con fondi, di cui all’articolo 3, paragrafo 1, numero 16, lettera c), del MiCAR.
La presente informativa integra e specifica quella accessibile presso https://coinflip.tech/it-IT/terms/privacy-policy
Il Responsabile della Protezione dei Dati (Data Protection Officer) di CoinFlip è contattabile al seguente indirizzo: [email protected].
Ai sensi dell’articolo 4, paragrafo 14, del GDPR, per “dati biometrici” si intendono i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali le immagini facciali o i dati dattiloscopici.
I dati biometrici costituiscono "categorie particolari di dati personali" ai sensi dell’articolo 9 del GDPR, il cui trattamento è soggetto a condizioni rafforzate di liceità e a specifiche garanzie.
Nell’ambito dell’utilizzo dei servizi di CoinFlip, all’utente può essere richiesto di verificare la propria identità mediante un processo di verifica biometrica facciale erogato tramite la piattaforma Sumsub, configurata per il confronto biometrico 1:1 tra l’immagine live o selfie dell’utente e l’immagine del volto presente sul documento d’identità, con controllo di vivacità (liveness detection). Il trattamento dei dati biometrici è effettuato esclusivamente per le seguenti finalità:
· Verifica dell’identità dell’utente nell’ambito degli obblighi di adeguata verifica della clientela (Know Your Customer – KYC) ai sensi del D.Lgs. 21 novembre 2007, n. 231 (normativa antiriciclaggio) e del Regolamento (UE) 2023/1114 (MiCAR), mediante confronto 1:1 tra immagine dell’utente e documento d’identità;
· Prevenzione delle frodi, del furto d’identità e degli attacchi di presentazione, inclusi l’uso di documenti contraffatti, immagini statiche, riproduzioni video, emulatori, maschere o contenuti sintetici generati mediante deepfake;
· Adempimento degli obblighi di legge gravanti sul Titolare in quanto prestatore di servizi per le cripto-attività autorizzato, inclusi gli obblighi di adeguata verifica, conservazione e tracciabilità previsti dalla normativa applicabile.
· Esclusione di finalità di profilazione commerciale, marketing, sorveglianza, identificazione biometrica 1:N, ricerca facciale tra utenti o tra clienti, riutilizzo dell’identità verificata e addestramento di modelli algoritmici con i dati degli utenti di CoinFlip, salvo distinta base giuridica, separata informativa e autonoma valutazione d’impatto.
Il trattamento dei dati personali e dei dati biometrici si fonda sulle seguenti basi giuridiche, distinguendo tra dati personali comuni ai sensi dell’articolo 6 GDPR e dati biometrici quali categorie particolari ai sensi dell’articolo 9 GDPR:
· Consenso esplicito dell’interessato ai sensi dell’articolo 9, paragrafo 2, lettera a), del GDPR, prestato prima dell’avvio della verifica biometrica in forma libera, specifica, informata, inequivocabile, separata dalle altre basi di trattamento e revocabile in qualsiasi momento;
· Adempimento di obblighi legali cui è soggetto il Titolare, ai sensi dell’articolo 6, paragrafo 1, lettera c), del GDPR, con riferimento agli obblighi di adeguata verifica della clientela, prevenzione del riciclaggio, contrasto al finanziamento del terrorismo e compliance applicabili ai prestatori di servizi per le cripto-attività;
· Motivi di interesse pubblico rilevante ai sensi dell’articolo 9, paragrafo 2, lettera g), del GDPR, limitatamente ai profili di prevenzione delle frodi e solo ove il Titolare abbia individuato e documentato la specifica base normativa dell’Unione o nazionale e le misure appropriate e specifiche a tutela dei diritti fondamentali dell’interessato.
L’utente ha il diritto di revocare il consenso in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca. In assenza del consenso al trattamento biometrico o in caso di revoca, CoinFlip potrà proporre, ove compatibile con la normativa applicabile e con il profilo di rischio dell’operazione, una modalità alternativa di identificazione non biometrica o con intervento umano; qualora l’identificazione non possa essere completata, CoinFlip potrebbe non essere in grado di erogare il servizio richiesto.
Il processo di verifica biometrica tramite Sumsub prevede, in sintesi, le seguenti operazioni configurate dal Titolare:
1. L’utente acquisisce e trasmette un’immagine del proprio documento d’identità e un’immagine live o selfie del proprio volto tramite il componente tecnico messo a disposizione da Sumsub, con trasmissione diretta verso l’ambiente sicuro del responsabile;
2. Sumsub effettua controlli documentali, inclusa la lettura automatizzata del documento, la verifica di autenticità, il controllo della zona a lettura ottica (MRZ), di codici a barre, QR code, chip ed elementi di sicurezza;
3. Sumsub estrae temporaneamente le caratteristiche facciali necessarie al solo confronto 1:1 tra immagine live o selfie e immagine del volto presente sul documento, senza autorizzazione alla costituzione di una banca dati biometrica identificativa;
4. Sumsub svolge il controllo di vivacità e anti-spoofing, trasmette a CoinFlip esclusivamente l’esito della verifica e i reason codes strettamente necessari, senza trasmettere il template biometrico, e cancella i dati biometrici secondo le istruzioni documentate del Titolare e i termini indicati nella sezione 8.
CoinFlip si avvale di Sumsub per la fornitura dei servizi di verifica biometrica dell’identità, verifica documentale, liveness detection e controlli connessi di KYC/AML, nei limiti della configurazione scelta dal Titolare.
Sumsub opera quale responsabile del trattamento ai sensi dell’articolo 28 del GDPR, sulla base di un accordo scritto che disciplina oggetto, durata, natura e finalità del trattamento, categorie di dati e interessati, istruzioni documentate, obblighi di riservatezza, misure di sicurezza, assistenza nell’esercizio dei diritti, gestione dei sub-responsabili, cancellazione o restituzione dei dati e audit. Eventuali trattamenti di Sumsub per finalità autonome, inclusi sviluppo dei servizi, reti antifrode, reusable KYC, Sumsub ID, analisi statistiche, profilazione o addestramento di modelli, non sono autorizzati per i dati degli utenti di CoinFlip salvo distinta base giuridica, separata informativa e autonoma valutazione d’impatto.
Le istruzioni impartite a Sumsub prevedono la disabilitazione della ricerca facciale tra utenti, della face search cross-client, dell’identificazione biometrica 1:N e del riutilizzo dei dati biometrici per training o miglioramento di modelli, salvo nuova valutazione preventiva e aggiornamento della presente informativa.
CoinFlip non vende, cede a titolo oneroso, né utilizza a fini di profitto i dati biometrici degli interessati. I dati biometrici e i dati strettamente connessi alla verifica dell’identità possono essere comunicati o resi accessibili esclusivamente ai seguenti destinatari, nei limiti delle finalità sopra indicate:
· a Sumsub, quale responsabile del trattamento, per l’erogazione dei servizi di verifica dell’identità, controllo documentale, liveness detection, prevenzione delle frodi e controlli KYC/AML configurati da CoinFlip;
· alle Autorità competenti, incluse Autorità giudiziaria, Unità di Informazione Finanziaria, Forze dell’ordine e Autorità di vigilanza, qualora sussista un obbligo di legge, una richiesta legittima o un provvedimento vincolante;
· ai sub-responsabili del trattamento autorizzati da Sumsub e approvati o non opposti da CoinFlip, limitatamente ai servizi tecnici strettamente necessari, quali hosting, infrastruttura cloud, screening AML, gestione sicura delle richieste degli interessati, supporto tecnico e servizi di estrazione documentale, nel rispetto dell’articolo 28, paragrafo 4, del GDPR e delle garanzie applicabili ai trasferimenti verso Paesi terzi.
I dati biometrici non saranno in alcun caso oggetto di diffusione.
I dati biometrici grezzi e i relativi template trattati tramite Sumsub sono conservati esclusivamente per il tempo strettamente necessario al completamento della verifica dell’identità, alla gestione di eventuali anomalie tecniche o contestazioni immediate e alla prevenzione di frodi connesse alla specifica sessione di verifica. Essi non sono conservati da CoinFlip e non sono utilizzati per costituire archivi biometrici identificativi.
I modelli biometrici (template) estratti dalle immagini facciali per il solo confronto 1:1 sono distrutti in modo permanente e irreversibile al completamento della procedura di verifica o, ove ciò non sia tecnicamente possibile per esigenze di sicurezza, contestazione o antifrode documentate, entro il termine più breve configurabile e comunque non oltre un anno dalla verifica, salvo che un obbligo di legge specifico imponga diversamente.
La documentazione dell’avvenuta adeguata verifica, gli esiti e le evidenze non biometriche necessarie per adempiere agli obblighi di legge in materia antiriciclaggio sono conservati per il periodo previsto dalla normativa applicabile. Tale conservazione non comporta, salvo obbligo specifico e documentato, la conservazione del template biometrico, che deve essere cancellato secondo istruzioni contrattuali verificabili e con modalità idonee a impedirne il recupero.
Sumsub fornisce a CoinFlip un report di verifica, un esito e reason codes minimi; la decisione finale sull’instaurazione o prosecuzione del rapporto non è fondata esclusivamente su trattamento automatizzato. In caso di esito negativo, blocco della verifica o richiesta di ulteriori informazioni, l’interessato può ottenere l’intervento di personale autorizzato, esprimere la propria opinione, contestare l’esito e chiedere una verifica alternativa, nei limiti consentiti dalla normativa applicabile e dal profilo di rischio dell’operazione.
I dati sono trattati, per impostazione predefinita, in infrastrutture ubicate nello Spazio economico europeo, con localizzazione primaria indicata dal fornitore in Germania.
CoinFlip richiede che Sumsub adotti misure tecniche e organizzative adeguate al rischio, incluse cifratura dei dati in transito e a riposo, controllo degli accessi secondo il principio del privilegio minimo, autenticazione forte degli operatori, segregazione logica per cliente, logging degli accessi, vulnerability assessment, penetration test, gestione degli incidenti, cancellazione verificabile e mantenimento di certificazioni o attestazioni di sicurezza pertinenti, incluse ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type 2 e certificazioni di presentation attack detection ove applicabili.
L’interessato può esercitare nei confronti di CoinFlip i diritti previsti dagli articoli 15-22 GDPR, inclusi accesso, rettifica, cancellazione, limitazione, opposizione, portabilità ove applicabile e diritto di non essere sottoposto a una decisione basata unicamente su trattamento automatizzato nei casi previsti dal GDPR. CoinFlip risponde alle richieste avvalendosi, ove necessario, dell’assistenza di Sumsub quale responsabile del trattamento; per ogni questione relativa al trattamento dei dati biometrici o all’esercizio dei diritti, l’interessato può contattare il DPO all’indirizzo [email protected].