Informativa privacy (politique de confidentialité)

Veryfy di RM, dont le siège est Via Angelo Brofferio 181, Asti (AT), P.IVA 01627330051 — joignable à l'adresse info@veryfy.eu.

Le responsable du traitement (RM) a choisi de se désigner lui-même comme référent pour la protection des données. Joignable à la même adresse que le responsable du traitement.

Veryfy est un service de vérification d'entreprise : à la demande de l'utilisateur concernant une entreprise ou un numéro de TVA précis, nous collectons et traitons des données publiques — données d'identification et du Registre des entreprises (Registro Imprese) de l'entreprise, bilans déposés, informations sur les associés et les administrateurs, indicateurs de risque de crédit, protêts et procédures collectives — pour produire un rapport de synthèse.

Les données proviennent de sources publiques officielles (Registre des entreprises, Chambres de commerce, bilans déposés, registres des protêts) par l'intermédiaire du fournisseur technique OpenAPI.com, qui agrège et structure ces sources. La source et la date de chaque donnée affichée dans le rapport sont toujours indiquées, comme l'exige le Code de conduite pour le traitement des données personnelles dans le cadre des informations commerciales, adopté en application de l'art. 20, alinéa 4, du Codice Privacy (code de la vie privée) (art. 2-quater du D.lgs. 196/2003, décret législatif).

Avec chaque produit concernant une entreprise, nous proposons un contrôle anti-arnaque : après l'achat, l'utilisateur peut indiquer l'e-mail ou le site à partir duquel l'entreprise l'a contacté, ainsi que l'IBAN qu'on lui a demandé de payer, afin de vérifier qu'ils appartiennent réellement à cette entreprise. La finalité est la prévention des fraudes, intérêt légitime reconnu par le considérant 47 du RGPD (GDPR) (art. 6, par. 1, lett. f).

Minimisation. De l'e-mail nous n'utilisons et ne conservons que le domaine (la partie après le @), jamais l'adresse complète ; de l'IBAN nous calculons nous-mêmes la validité formelle, sans l'envoyer à qui que ce soit, et nous ne conservons que le pays et les 4 derniers chiffres. Tous les contrôles portent sur l'entreprise et son domaine : nous lisons les données que l'entreprise elle-même rend publiques (enregistrements DNS, page principale du site) et des registres publics (VIES, registres des noms de domaine, dont nous n'utilisons que la date d'enregistrement). Nous ne vérifions pas sur quels sites une adresse e-mail est enregistrée et nous ne recherchons pas de profils personnels.

Avec la Relazione sovraindebitamento, l'utilisateur nous confie un questionnaire sur sa situation d'endettement : causes de l'endettement, liste des créanciers et des montants, revenus et dépenses du foyer, patrimoine, actes accomplis au cours des cinq dernières années et certaines déclarations sur les circonstances pertinentes pour la meritevolezza (mérite du débiteur). Les données sont celles que l'utilisateur saisit sur lui-même et sur les membres de sa famille à charge ; la base juridique est le contrat avec la personne concernée (art. 6, par. 1, lett. b, RGPD) et son code fiscal sert à interroger les sources publiques décrites au §4 avec la finalité « vérification sur moi-même ». Jusqu'au paiement, le questionnaire reste dans le navigateur de l'utilisateur ; au paiement, il est enregistré avec la commande et le rapport, afin de produire le document, de le rendre téléchargeable et de le régénérer en cas d'erreur technique.

Le questionnaire peut contenir des données relatives à la santé (par exemple des frais médicaux, ou la maladie parmi les causes de l'endettement) : elles ne sont traitées que si l'utilisateur les saisit, sur la base de son consentement explicite (art. 9, par. 2, lett. a, RGPD), qu'il peut révoquer en écrivant à info@veryfy.eu, en demandant aussi l'effacement des données. Nous n'accédons pas aux systèmes d'information sur le crédit ni à la Centrale des risques, nous ne communiquons pas le document à des créanciers ou à des tiers et ne le déposons pas en tribunal : nous le remettons uniquement à l'utilisateur, qui le partage avec son avocat et l'OCC.

Le traitement repose sur l'intérêt légitime du responsable et de ses utilisateurs (art. 6, par. 1, lett. f, RGPD) à évaluer la fiabilité d'une contrepartie commerciale avant de facturer, de signer un contrat ou d'accorder un crédit — la même base juridique sur laquelle opèrent les autres fournisseurs d'informations commerciales autorisés en Italie (ex. CRIBIS, Cerved). Le consentement de l'entreprise ou des personnes vérifiées n'est pas nécessaire.

Lorsque la personne physique exerce une fonction sociale, un rôle d'administration ou une participation significative dans l'entreprise vérifiée, le traitement relève du Code de conduite pour les informations commerciales cité ci-dessus, avec le même périmètre déjà décrit.

Nous proposons par ailleurs une vérification sur la personne physique en tant que sujet principal, indépendamment d'un rôle societaire (par ex. un professionnel avant de lui confier une mission, un garant ou fidéjusseur, un associé ou un administrateur en phase de due diligence, un locataire avant de lui louer un bien). Dans ce cas, le Code de conduite pour les informations commerciales ne s'applique pas directement : la base juridique reste l'intérêt légitime (art. 6, par. 1, lett. f, RGPD), toutefois circonscrit à quatre finalités déclarées et vérifiables vis-à-vis d'un tiers, les seules pour lesquelles le service est proposé : vérification d'une relation professionnelle ou contractuelle en cours ou à établir ; vérification d'un garant ou fidéjusseur ; due diligence sur un associé ou un administrateur dans le cadre d'une opération societaire ou commerciale ; vérification d'un locataire avant de conclure un contrat de location. Sont exclues, et le service ne les permet pas, la vérification de tiers par curiosité personnelle, la vérification d'un partenaire ou d'un ex-partenaire, les litiges privés et toute forme de surveillance.

Vérification de ses propres données. Lorsque l'utilisateur déclare se vérifier lui-même (finalité « Vérification sur moi-même » sur son propre code fiscal, ou « Mon entreprise » sur son propre numéro de TVA), le traitement des données le concernant repose sur l'exécution du contrat conclu avec la personne concernée elle-même (art. 6, par. 1, lett. b, RGPD). La déclaration selon laquelle le code fiscal ou le numéro de TVA sont les siens est faite par l'utilisateur sous sa responsabilité : nous ne vérifions pas l'identité de son auteur. Là encore, les données traitées sont exclusivement de source publique : nous n'accédons pas aux systèmes d'information sur le crédit ni à la Centrale des risques.

Avant chaque vérification, nous demandons à l'utilisateur de déclarer la finalité de la demande (pour une entreprise : facturation, contrat, recouvrement de créance, évaluation d'une participation, ou vérification de sa propre entreprise ; pour une personne physique, l'une des quatre finalités ci-dessus ou la vérification de soi-même) : cette déclaration est nécessaire pour documenter la base juridique, mais la responsabilité du traitement reste la nôtre — celle de l'utilisateur s'ajoute, sans la remplacer.

• Générer le rapport de vérification demandé par l'utilisateur
• Gérer l'achat et la facturation (données de l'utilisateur payeur, et non de la personne vérifiée)
• Si activé par l'utilisateur, surveiller dans le temps une entreprise déjà vérifiée (fonction « Sentinella ») et l'en avertir en cas de variations significatives
• Sur demande de l'utilisateur, effectuer le contrôle anti-arnaque sur une entreprise déjà vérifiée (voir §3 bis)
• Si l'utilisateur accède à l'espace réservé, gérer le compte et le programme d'invitations (voir §10)
• Respecter les obligations légales (fiscales, comptables, anti-blanchiment le cas échéant)

Les rapports générés sont conservés le temps nécessaire pour les rendre disponibles à l'utilisateur qui les a achetés et pour les obligations fiscales prévues par la loi. Les données collectées pour un rapport unique ne sont pas réutilisées pour des vérifications demandées par d'autres utilisateurs au-delà de la fenêtre technique de cache (7 jours), destinée à éviter des doubles facturations sur la même demande, et non à constituer une archive propre.

Le résultat du contrôle anti-arnaque est conservé avec le rapport ou l'achat auquel il se rapporte, pour la même période, sous la forme réduite décrite au §3 bis.

Pour fournir le service, nous recourons à des fournisseurs tiers qui traitent des données pour notre compte :

• OpenAPI.com (Italie) — source des données du registre, des bilans et des risques
• Supabase — infrastructure de base de données, projet hébergé dans l'Union européenne
• Stripe — gestion des paiements
• Resend — envoi des e-mails transactionnels (remise du rapport, notifications Sentinella, liens d'accès à l'espace réservé)

Pour le contrôle anti-arnaque, nous interrogeons en outre des services publics, en n'envoyant que le numéro de TVA ou le nom de domaine de l'entreprise : VIES de la Commission européenne ; les résolveurs DNS publics de Cloudflare et, en secours, de Google ; les registres des noms de domaine (RDAP et, pour les .it, le WHOIS du Registre .it) ; le catalogue public des fuites de données de Have I Been Pwned (Australie) ; le site web du domaine indiqué. Ils ne sont pas responsables du traitement pour notre compte : ils répondent à des requêtes publiques.

Avec chaque fournisseur qui traite des données pour notre compte est en vigueur un accord qui en régit le traitement (désignation en tant que sous-traitant au sens de l'art. 28 RGPD, lorsqu'applicable) et les garanties applicables aux éventuels transferts hors UE.

Toute personne figurant dans un rapport généré par Veryfy en qualité d'associé, d'administrateur ou de bénéficiaire effectif peut exercer, à l'égard du responsable, les droits d'accès, de rectification, d'effacement, de limitation et d'opposition au traitement prévus par les art. 15 à 22 RGPD, en écrivant à info@veryfy.eu. Nous répondons dans un délai de 30 jours.

Sans préjudice de tout autre recours administratif ou juridictionnel, il est possible de déposer une réclamation auprès du Garante per la protezione dei dati personali (Garant pour la protection des données personnelles), selon les modalités indiquées sur le site www.gpdp.it.

Accès. Pour entrer dans l'espace réservé, l'utilisateur indique son e-mail et reçoit un lien à usage unique valable 30 minutes. Nous traitons l'e-mail, la date des accès et une empreinte cryptographique (hash) de l'adresse IP, jamais l'adresse IP en clair. Base juridique : exécution du service demandé par l'utilisateur (art. 6, par. 1, lett. b, RGPD). Le cookie de session « vf_sessione » (30 jours) est un cookie technique, nécessaire pour rester connecté : il ne requiert pas de consentement.

Qui invite. Pour gérer le programme d'invitations, nous traitons le code d'invitation, les invitations abouties, le crédit acquis et celui utilisé. Base juridique : exécution du règlement du programme d'invitations auquel l'utilisateur adhère (art. 6, par. 1, lett. b, RGPD).

Personne invitée. Si la personne invitée clique sur « Accepter l'invitation », nous enregistrons dans son navigateur le cookie « vf_invito » (30 jours) avec le code d'invitation, la date d'acceptation et l'empreinte de l'adresse IP : le cookie n'est posé qu'avec ce clic, et celui qui ne le souhaite pas peut poursuivre avec « Continuer sans invitation » ou le supprimer depuis son navigateur. Lorsque l'invité achète, nous enregistrons le produit acheté et une forme normalisée de son e-mail, pour vérifier qu'il s'agit d'un nouveau client et qu'il ne s'agit pas d'une auto-invitation. Base juridique : le consentement exprimé par le clic pour le cookie (art. 122 du Code de la vie privée) et l'intérêt légitime du responsable à prévenir les abus du programme (art. 6, par. 1, lett. f, RGPD). Nous ne communiquons à la personne qui invite ni le nom ni l'e-mail de l'invité : elle ne voit que le produit acheté et l'état du crédit.

Conservation. Les liens d'accès sont supprimés 30 jours après leur émission. Les données du programme d'invitations sont conservées tant que le compte est actif et que le crédit est utilisable ; les données liées à un paiement suivent les délais des obligations fiscales et comptables. L'utilisateur peut à tout moment demander la fermeture de son compte en écrivant à info@veryfy.eu.