Polityka prywatności

Veryfy di RM, z siedzibą przy Via Angelo Brofferio 181, Asti (AT), P.IVA 01627330051 — kontakt pod adresem info@veryfy.eu.

Administrator (RM) zdecydował się wyznaczyć siebie na osobę odpowiedzialną za ochronę danych. Kontakt pod tym samym adresem co administrator.

Veryfy jest usługą weryfikacji firm: na żądanie użytkownika dotyczące konkretnej firmy lub P.IVA zbieramy i przetwarzamy dane publiczne — dane identyfikacyjne i z rejestru handlowego (camerali) firmy, sprawozdania finansowe złożone w rejestrze, informacje o wspólnikach i członkach zarządu, wskaźniki ryzyka kredytowego, protesty i postępowania upadłościowe — aby sporządzić raport zbiorczy.

Dane pochodzą z oficjalnych źródeł publicznych (Registro Imprese, Izby Handlowe (Camere di Commercio), sprawozdania finansowe złożone w rejestrze, rejestry protestów) za pośrednictwem dostawcy technicznego OpenAPI.com, który agreguje i strukturyzuje te źródła. Źródło i data każdej danej pokazanej w raporcie są zawsze podane, zgodnie z wymogiem Kodeksu postępowania dotyczącego przetwarzania danych osobowych w ramach informacji gospodarczych (Codice di condotta), przyjętego na podstawie art. 20 ust. 4 Kodeksu prywatności (Codice Privacy) (art. 2-quater d.lgs. 196/2003).

Przy każdym produkcie dotyczącym firmy oferujemy kontrolę antyoszustwową: użytkownik, po zakupie, może podać adres e-mail lub stronę, z której firma się z nim skontaktowała, oraz IBAN, który miał zapłacić, aby sprawdzić, czy naprawdę należą do tej firmy. Celem jest zapobieganie oszustwom: prawnie uzasadniony interes (legittimo interesse) uznany w motywie 47 RODO (GDPR) (art. 6 ust. 1 lit. f).

Minimalizacja. Z adresu e-mail używamy i przechowujemy wyłącznie domenę (część po @), nigdy pełnego adresu; IBAN sprawdzamy pod względem formalnej poprawności sami, bez wysyłania go do kogokolwiek, i przechowujemy wyłącznie kraj oraz ostatnie 4 cyfry. Wszystkie kontrole dotyczą firmy i jej domeny: odczytujemy dane, które sama firma udostępnia publicznie (rekordy DNS, strona główna), oraz rejestry publiczne (VIES, rejestry nazw domen, z których używamy wyłącznie daty rejestracji). Nie sprawdzamy, na jakich stronach zarejestrowany jest adres e-mail, i nie szukamy profili osobistych.

W ramach Sprawozdania o sovraindebitamento użytkownik powierza nam kwestionariusz dotyczący swojej sytuacji zadłużeniowej: przyczyny zadłużenia, wykaz wierzycieli i kwot, dochody i wydatki gospodarstwa domowego, majątek, czynności dokonane w ostatnich pięciu latach oraz niektóre oświadczenia dotyczące okoliczności istotnych dla oceny uczciwości (meritevolezza). Dane są tym, co użytkownik pisze o sobie i o członkach rodziny na utrzymaniu; podstawą prawną jest umowa z osobą, której dane dotyczą (art. 6 ust. 1 lit. b RODO (GDPR)), a jego kod podatkowy jest używany do przeszukiwania publicznych źródeł opisanych w §4 z celem "weryfikacja własna". Do momentu płatności kwestionariusz pozostaje w przeglądarce użytkownika; po płatności zapisywany jest wraz z zamówieniem i raportem, aby wygenerować dokument, umożliwić jego pobranie i ponownie wygenerować go w przypadku błędu technicznego.

Kwestionariusz może zawierać dane dotyczące zdrowia (np. wydatki medyczne lub choroba wśród przyczyn zadłużenia): są przetwarzane tylko wtedy, gdy użytkownik je wpisze, na podstawie jego wyraźnej zgody (art. 9 ust. 2 lit. a RODO (GDPR)), którą może cofnąć, pisząc na adres info@veryfy.eu, żądając także usunięcia danych. Nie uzyskujemy dostępu do systemów informacji kredytowej ani do Centrali dei Rischi, nie przekazujemy dokumentu wierzycielom ani osobom trzecim i nie składamy go w sądzie: wydajemy go wyłącznie użytkownikowi, który udostępnia go swojemu adwokatowi i OCC (organowi ds. restrukturyzacji zadłużenia).

Przetwarzanie opiera się na prawnie uzasadnionym interesie (legittimo interesse) administratora i jego użytkowników (art. 6 ust. 1 lit. f RODO (GDPR)) w zakresie oceny wiarygodności kontrahenta handlowego przed wystawieniem faktury, podpisaniem umowy lub udzieleniem kredytu — ta sama podstawa prawna, na której działają inni autoryzowani dostawcy informacji gospodarczych we Włoszech (np. CRIBIS, Cerved). Zgoda firmy lub weryfikowanych osób nie jest wymagana.

Gdy osoba fizyczna pełni funkcję w spółce, funkcję zarządczą lub posiada istotny udział w weryfikowanej firmie, przetwarzanie podlega wspomnianemu Kodeksowi postępowania dotyczącemu informacji gospodarczych, z tym samym zakresem, który już opisano.

Oferujemy również weryfikację osoby fizycznej jako głównego podmiotu, niezależnie od roli w spółce (np. specjalisty przed powierzeniem mu zlecenia, poręczyciela lub gwaranta (fideiussore), wspólnika lub członka zarządu w toku due diligence, najemcy przed wynajęciem mu nieruchomości). W tym przypadku Kodeks postępowania dotyczący informacji gospodarczych nie ma bezpośredniego zastosowania — podstawą prawną pozostaje prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO (GDPR)), ograniczony jednak do czterech zadeklarowanych i weryfikowalnych wobec osoby trzeciej celów, jedynych, dla których usługa jest oferowana: weryfikacja trwającego lub planowanego stosunku zawodowego lub umownego; weryfikacja poręczyciela lub gwaranta; due diligence wspólnika lub członka zarządu w ramach operacji korporacyjnej lub handlowej; weryfikacja najemcy przed zawarciem umowy najmu. Wykluczone, a usługa ich nie dopuszcza, są: weryfikacja osób trzecich z ciekawości osobistej, weryfikacja partnera lub byłego partnera, spory prywatne oraz wszelkie formy nadzoru.

Weryfikacja własnych danych. Gdy użytkownik deklaruje, że weryfikuje siebie (cel "Weryfikacja własna" na swoim kodzie podatkowym lub "Moja firma" na swojej P.IVA), przetwarzanie danych, których to dotyczy, opiera się na wykonaniu umowy zawartej z samą osobą, której dane dotyczą (art. 6 ust. 1 lit. b RODO (GDPR)). Deklarację, że kod podatkowy lub P.IVA są jego własne, użytkownik składa na swoją odpowiedzialność: nie weryfikujemy tożsamości osoby, która ją składa. Również w tym przypadku przetwarzane dane pochodzą wyłącznie ze źródeł publicznych: nie uzyskujemy dostępu do systemów informacji kredytowej ani do Centrali dei Rischi.

Przed każdą weryfikacją prosimy użytkownika o zadeklarowanie celu wniosku (dla firmy: fakturowanie, umowa, odzyskanie wierzytelności, ocena udziału kapitałowego lub weryfikacja własnej firmy; dla osoby fizycznej: jeden z czterech powyższych celów lub weryfikacja samego siebie): ta deklaracja jest potrzebna do udokumentowania podstawy prawnej, ale odpowiedzialność za przetwarzanie pozostaje po naszej stronie — odpowiedzialność użytkownika jest dodatkowa, nie zastępuje naszej.

• Wygenerowanie raportu weryfikacyjnego zamówionego przez użytkownika
• Obsługa zakupu i fakturowanie (dane płacącego użytkownika, nie weryfikowanego podmiotu)
• Na żądanie użytkownika monitorowanie w czasie już zweryfikowanej firmy (funkcja "Sentinella") i powiadamianie go o istotnych zmianach
• Na żądanie użytkownika wykonanie kontroli antyoszustwowej dla już zweryfikowanej firmy (zob. §3 bis)
• Jeśli użytkownik loguje się do strefy zastrzeżonej, zarządzanie kontem i programem zaproszeń (zob. §10)
• Wypełnianie obowiązków prawnych (podatkowych, księgowych, przeciwdziałania praniu pieniędzy, o ile mają zastosowanie)

Wygenerowane raporty są przechowywane przez czas niezbędny do udostępnienia ich użytkownikowi, który je kupił, oraz zgodnie z ustawowymi obowiązkami podatkowymi. Dane zebrane dla pojedynczego raportu nie są ponownie wykorzystywane do weryfikacji zamawianych przez innych użytkowników poza techniczne okno pamięci podręcznej (7 dni), służące unikaniu podwójnego naliczenia opłaty za to samo zamówienie, a nie do budowy własnego archiwum.

Wynik kontroli antyoszustwowej jest przechowywany razem z raportem lub zakupem, którego dotyczy, przez ten sam okres, w skróconej formie opisanej w §3 bis.

Aby świadczyć usługę, korzystamy z zewnętrznych dostawców, którzy przetwarzają dane w naszym imieniu:

• OpenAPI.com (Włochy) — źródło danych z rejestru, sprawozdań finansowych i wskaźników ryzyka
• Supabase — infrastruktura bazy danych, projekt hostowany w Unii Europejskiej
• Stripe — obsługa płatności
• Resend — wysyłka e-maili transakcyjnych (dostarczenie raportu, powiadomienia Sentinella, linki dostępu do strefy zastrzeżonej)

Do kontroli antyoszustwowej odpytujemy dodatkowo publiczne usługi, przesyłając wyłącznie P.IVA lub nazwę domeny firmy: VIES Komisji Europejskiej; publiczne resolwery DNS Cloudflare oraz, w zapasie, Google; rejestry nazw domen (RDAP oraz, dla domen .it, WHOIS rejestru .it); publiczny katalog naruszeń danych Have I Been Pwned (Australia); stronę internetową wskazanej domeny. Nie są one podmiotami przetwarzającymi w naszym imieniu: odpowiadają na publiczne zapytania.

Z każdym dostawcą, który przetwarza dane w naszym imieniu, obowiązuje umowa regulująca przetwarzanie (powierzenie na podstawie art. 28 RODO (GDPR), o ile ma zastosowanie) oraz gwarancje dla ewentualnych transferów poza UE.

Każda osoba, która pojawia się w raporcie wygenerowanym przez Veryfy jako wspólnik, członek zarządu lub beneficjent rzeczywisty (titolare effettivo), może wobec administratora korzystać z praw dostępu, sprostowania, usunięcia, ograniczenia i sprzeciwu wobec przetwarzania przewidzianych w art. 15-22 RODO (GDPR), pisząc na adres info@veryfy.eu. Odpowiadamy w ciągu 30 dni.

Bez uszczerbku dla innych środków odwoławczych administracyjnych lub sądowych, można złożyć skargę do Garante per la protezione dei dati personali (włoskiego organu ochrony danych osobowych) zgodnie z zasadami podanymi na stronie www.gpdp.it.

Dostęp. Aby wejść do strefy zastrzeżonej, użytkownik podaje swój e-mail i otrzymuje jednorazowy link ważny 30 minut. Przetwarzamy e-mail, datę logowań oraz skrót kryptograficzny (hash) adresu IP, nigdy adresu IP w postaci jawnej. Podstawa prawna: wykonanie usługi żądanej przez użytkownika (art. 6 ust. 1 lit. b RODO (GDPR)). Plik cookie sesji "vf_sessione" (30 dni) jest plikiem technicznym, niezbędnym do utrzymania zalogowania: nie wymaga zgody.

Osoba zapraszająca. Aby zarządzać programem zaproszeń, przetwarzamy kod zaproszenia, skuteczne zaproszenia, zgromadzony i wykorzystany kredyt. Podstawa prawna: wykonanie regulaminu programu zaproszeń (programma inviti) , do którego przystępuje użytkownik (art. 6 ust. 1 lit. b RODO (GDPR)).

Osoba zaproszona. Jeśli zaproszona osoba kliknie "Przyjmij zaproszenie", zapisujemy w jej przeglądarce plik cookie "vf_invito" (30 dni) z kodem zaproszenia, datą przyjęcia i skrótem adresu IP: plik zapisuje się tylko po tym kliknięciu, a kto go nie chce, może kontynuować przez "Kontynuuj bez zaproszenia" lub usunąć go z przeglądarki. Gdy zaproszony dokonuje zakupu, rejestrujemy zakupiony produkt oraz znormalizowaną postać jego e-maila, aby sprawdzić, czy jest nowym klientem i czy nie chodzi o auto-zaproszenie. Podstawa prawna: zgoda wyrażona kliknięciem na plik cookie (art. 122 Kodeksu prywatności, Codice Privacy) oraz prawnie uzasadniony interes administratora w zapobieganiu nadużyciom programu (art. 6 ust. 1 lit. f RODO (GDPR)). Osobie zapraszającej nie przekazujemy imienia ani e-maila zaproszonego: widzi tylko zakupiony produkt i stan kredytu.

Przechowywanie. Linki dostępu są usuwane 30 dni po wydaniu. Dane programu zaproszeń są przechowywane, dopóki konto jest aktywne, a kredyt można z niego wykorzystać; dane związane z płatnością podlegają terminom obowiązków podatkowych i księgowych. Użytkownik może w każdej chwili zażądać zamknięcia konta, pisząc na adres info@veryfy.eu.