Политика конфиденциальности

Veryfy di RM, с местонахождением по адресу Via Angelo Brofferio 181, Asti (AT), НДС-номер (P.IVA) 01627330051 — контактный адрес: info@veryfy.eu.

Контролёр данных (RM) решил самостоятельно назначить себя контактным лицом по защите данных. Связаться можно по тому же адресу, что и с контролёром.

Veryfy — это сервис проверки компаний: по запросу пользователя о конкретной компании или НДС-номере (partita IVA) мы собираем и обрабатываем публичные данные — регистрационные данные компании и данные Торговой палаты, депонированную финансовую отчётность, информацию об участниках и администраторах, показатели кредитного риска, протесты и конкурсные процедуры — чтобы подготовить сводный отчёт.

Данные поступают из официальных публичных источников (Реестр предприятий (Registro Imprese), Торговые палаты (Camere di Commercio), депонированная финансовая отчётность, реестры протестов) через технического поставщика OpenAPI.com, который агрегирует и структурирует эти источники. Источник и дата каждого данного, показанного в отчёте, всегда указываются, как требует Кодекс поведения при обработке персональных данных в сфере коммерческой информации, принятый на основании ст. 20, п. 4, Кодекса о защите персональных данных (Codice Privacy) (ст. 2-quater законодательного декрета 196/2003).

С каждым продуктом по компании мы предлагаем антимошеннический чек: пользователь после покупки может указать email или сайт, с которого с ним связалась компания, и IBAN, на который его просили заплатить, чтобы проверить, что они действительно принадлежат этой компании. Цель — предотвращение мошенничества, законный интерес, признаваемый пунктом 47 преамбулы GDPR (ст. 6, п. 1, лит. f).

Минимизация. Из email мы используем и храним только домен (часть после @), никогда не полный адрес; для IBAN мы сами вычисляем формальную правильность, никому его не отправляя, и храним только страну и последние 4 цифры. Все проверки касаются компании и её домена: мы читаем данные, которые сама компания делает публичными (записи DNS, главная страница сайта), и публичные реестры (VIES, реестры доменных имён, из которых мы используем только дату регистрации). Мы не проверяем, на каких сайтах зарегистрирован адрес email, и не ищем личные профили.

С Relazione sovraindebitamento пользователь передаёт нам опросник о своей долговой ситуации: причины задолженности, перечень кредиторов и сумм, доходы и расходы семьи, имущество, действия, совершённые за последние пять лет, и некоторые заявления об обстоятельствах, значимых для оценки достойности (meritevolezza). Данные — это то, что пользователь пишет о себе и о находящихся на его иждивении членах семьи; правовое основание — договор с субъектом данных (ст. 6, п. 1, лит. b, GDPR), а его налоговый код (codice fiscale) используется для запросов к публичным источникам, описанным в §4, с целью «проверка меня самого». До оплаты опросник остаётся в браузере пользователя; при оплате он сохраняется вместе с заказом и отчётом, чтобы подготовить документ, сделать его доступным для скачивания и сформировать заново в случае технической ошибки.

Опросник может содержать данные о здоровье (например, медицинские расходы или болезнь среди причин задолженности): они обрабатываются, только если пользователь их вносит, на основании его явного согласия (ст. 9, п. 2, лит. a, GDPR), которое он может отозвать, написав на info@veryfy.eu, в том числе потребовав удаления данных. Мы не обращаемся к системам кредитной информации и к Центральному кредитному реестру (Centrale dei Rischi), не передаём документ кредиторам или третьим лицам и не подаём его в суд: мы передаём его только пользователю, который делится им со своим адвокатом и с OCC.

Обработка основана на законном интересе контролёра данных и его пользователей (ст. 6, п. 1, лит. f, GDPR) в оценке надёжности коммерческого контрагента перед выставлением счёта, подписанием договора или предоставлением кредита — на том же правовом основании работают другие поставщики коммерческой информации, получившие разрешение в Италии (напр., CRIBIS, Cerved). Согласие компании или проверяемых лиц не требуется.

Когда физическое лицо занимает корпоративную должность, роль в управлении или значимую долю в проверяемой компании, обработка подпадает под упомянутый выше Кодекс поведения в сфере коммерческой информации, с теми же границами, что уже описаны.

Кроме того, мы предлагаем проверку физического лица как основного субъекта, независимо от корпоративной роли (например, специалист перед поручением ему задания, поручитель или гарант, участник или администратор на этапе due diligence, арендатор перед сдачей ему недвижимости). В этом случае Кодекс поведения в сфере коммерческой информации напрямую не применяется — правовым основанием остаётся законный интерес (ст. 6, п. 1, лит. f, GDPR), ограниченный, однако, четырьмя заявленными и проверяемыми перед третьим лицом целями, только для которых сервис и предлагается: проверка текущих или предстоящих профессиональных или договорных отношений; проверка поручителя или гаранта; due diligence участника или администратора в рамках корпоративной или коммерческой операции; проверка арендатора перед заключением договора аренды. Исключены, и сервис этого не допускает, проверка третьих лиц из личного любопытства, проверка партнёра или бывшего партнёра, частные споры и любая форма слежки.

Проверка собственных данных. Когда пользователь заявляет, что проверяет самого себя (цель «Проверка меня самого» по собственному налоговому коду (codice fiscale) или «Моя компания» по собственному НДС-номеру (partita IVA)), обработка касающихся его данных основана на исполнении договора, заключённого с самим субъектом данных (ст. 6, п. 1, лит. b, GDPR). Заявление о том, что налоговый код (codice fiscale) или НДС-номер (partita IVA) являются собственными, делается пользователем под его ответственность: мы не проверяем личность того, кто его делает. И в этом случае обрабатываемые данные имеют исключительно публичный источник: мы не обращаемся к системам кредитной информации и к Центральному кредитному реестру (Centrale dei Rischi).

Перед каждой проверкой мы просим пользователя заявить цель запроса (для компании: выставление счетов, договор, взыскание долга, оценка участия или проверка собственной компании; для физического лица — одну из четырёх целей, указанных выше, или проверку самого себя): это заявление необходимо для документирования правового основания, но ответственность за обработку остаётся за нами — ответственность пользователя добавляется, а не заменяет её.

• Сформировать отчёт о проверке, запрошенный пользователем
• Управлять покупкой и выставлением счетов (данные платящего пользователя, а не проверяемого субъекта)
• Если активировано пользователем, со временем отслеживать уже проверенную компанию (функция «Sentinella») и уведомлять его о значимых изменениях
• По запросу пользователя выполнить антимошеннический чек по уже проверенной компании (см. §3 bis)
• Если пользователь заходит в закрытую зону, управлять аккаунтом и программой приглашений (см. §10)
• Исполнять обязанности, предусмотренные законом (налоговые, бухгалтерские, по противодействию отмыванию денег, где применимо)

Сформированные отчёты хранятся в течение времени, необходимого для того, чтобы сделать их доступными пользователю, который их приобрёл, и для налоговых обязанностей, предусмотренных законом. Данные, собранные для одного отчёта, не используются повторно для проверок, запрошенных другими пользователями, за пределами технического окна кэша (7 дней), цель которого — избежать двойного выставления счёта по одному и тому же запросу, а не создание собственного архива.

Результат антимошеннического чека хранится вместе с отчётом или покупкой, к которой он относится, в течение того же срока, в сокращённой форме, описанной в §3 bis.

Для оказания сервиса мы опираемся на сторонних поставщиков, которые обрабатывают данные по нашему поручению:

• OpenAPI.com (Италия) — источник данных Торговой палаты, финансовой отчётности и риска
• Supabase — инфраструктура базы данных, проект размещён в Европейском союзе
• Stripe — обработка платежей
• Resend — отправка транзакционных email (доставка отчёта, уведомления Sentinella, ссылки для входа в закрытую зону)

Для антимошеннического чека мы дополнительно обращаемся к публичным сервисам, отправляя только НДС-номер (partita IVA) или доменное имя компании: VIES Европейской комиссии; публичные DNS-резолверы Cloudflare и, в резерве, Google; реестры доменных имён (RDAP и, для .it, WHOIS Реестра .it); публичный каталог утечек данных Have I Been Pwned (Австралия); веб-сайт указанного домена. Они не являются обработчиками данных по нашему поручению: они отвечают на публичные запросы.

С каждым поставщиком, обрабатывающим данные по нашему поручению, действует соглашение, регулирующее обработку (назначение обработчиком данных на основании ст. 28 GDPR, где применимо), и гарантии на случай возможной передачи за пределы ЕС.

Любой, кто фигурирует в отчёте, сформированном Veryfy, в качестве участника, администратора или конечного бенефициара, может осуществлять в отношении контролёра данных права доступа, исправления, удаления, ограничения и возражения против обработки, предусмотренные ст. 15-22 GDPR, написав на info@veryfy.eu. Мы отвечаем в течение 30 дней.

Без ущерба для любых других административных или судебных средств защиты можно подать жалобу в Гарант по защите персональных данных (Garante per la protezione dei dati personali) в порядке, указанном на сайте www.gpdp.it.

Доступ. Для входа в закрытую зону пользователь указывает свой email и получает одноразовую ссылку, действительную 30 минут. Мы обрабатываем email, дату входов и криптографический отпечаток (хеш) IP-адреса, но никогда сам IP-адрес в открытом виде. Правовое основание: исполнение сервиса, запрошенного пользователем (ст. 6, п. 1, лит. b, GDPR). Сессионный cookie «vf_sessione» (30 дней) является техническим cookie, необходимым для сохранения входа: согласие не требуется.

Приглашающий. Для управления программой приглашений мы обрабатываем код приглашения, успешные приглашения, накопленный и использованный кредит. Правовое основание: исполнение правил программы приглашений, к которой присоединяется пользователь (ст. 6, п. 1, лит. b, GDPR).

Приглашённый. Если приглашённое лицо нажимает «Принять приглашение», мы сохраняем в его браузере cookie «vf_invito» (30 дней) с кодом приглашения, датой принятия и хешем IP-адреса: cookie записывается только после этого нажатия, а тот, кто его не хочет, может продолжить с «Продолжить без приглашения» или удалить его из браузера. Когда приглашённый совершает покупку, мы регистрируем купленный продукт и нормализованную форму его email, чтобы проверить, что это новый клиент и что это не самоприглашение. Правовое основание: согласие, выраженное нажатием, для cookie (ст. 122 Codice Privacy) и законный интерес контролёра данных в предотвращении злоупотреблений программой (ст. 6, п. 1, лит. f, GDPR). Приглашающему мы не сообщаем ни имя, ни email приглашённого: он видит только купленный продукт и состояние кредита.

Хранение. Ссылки для входа удаляются через 30 дней после выпуска. Данные программы приглашений хранятся, пока аккаунт активен и кредит может быть использован; данные, связанные с платежом, следуют срокам налоговых и бухгалтерских обязанностей. Пользователь может в любой момент потребовать закрытия аккаунта, написав на info@veryfy.eu.