myPOS e conformità al GDPR

Il nostro impegno verso i clienti e per la protezione dei dati

Dal 25 maggio 2018, in tutti gli Stati membri dell’Unione Europea e dello Spazio Economico Europeo è in vigore il Regolamento generale sulla protezione dei dati, o GDPR (General Data Protection Regulation). Il GDPR mira ad armonizzare le diverse leggi sulla protezione dei dati degli Stati membri, portando a una maggiore standardizzazione della protezione dei dati per tutti i cittadini europei. Questo cambiamento normativo è il benvenuto in myPOS, perché ci siamo sempre impegnati per garantire ai nostri clienti la massima protezione dei dati personali.

Predisposizione della struttura organizzativa di myPOS

La protezione dei dati personali dei nostri clienti è per noi della massima importanza. Nell’ultimo anno, abbiamo lavorato instancabilmente per assicurare che tutti i requisiti di conformità al GDPR siano soddisfatti con largo anticipo. Seguiamo inoltre tutte le procedure del settore e tutte le linee guida emanate dalle autorità di regolamentazione al fine di adeguare le nostre misure di protezione in modo appropriato e continuativo.

Responsabile della protezione dei dati, team per la privacy e formazione in materia di GDPR

Tutti i nostri dipendenti hanno ricevuto una formazione in materia di GDPR sotto la supervisione del nostro team per la privacy locale, della funzione di controllo della conformità e dei nostri consulenti esterni sulla privacy. Ogni nuovo dipendente deve partecipare a una sessione di formazione obbligatoria sulle norme e sulle migliori pratiche in materia di privacy. In seguito, si svolgono annualmente nuove sessioni di formazione per tutti i dipendenti con cadenza annuale. Abbiamo nominato il nostro responsabile della protezione dei dati, o DPO (Data Protection Officer), che funge anche da responsabile del team per la privacy, conformemente ai requisiti del GDPR.

Politiche interne

Le politiche interne dell’azienda vengono aggiornate conformemente ai nuovi requisiti del GDPR.

Dati raccolti

I dati personali raccolti e trattati sono descritti in dettaglio nella nostra Informativa sulla privacy. Trattiamo i dati personali previo consenso dei clienti e sulla base di diverse motivazioni, definite dal GDPR: obblighi di legge, conclusione e/o esecuzione di un rapporto giuridico, interesse legittimo.

Come utilizziamo i dati raccolti

Utilizziamo, memorizziamo e trattiamo dati personali per fornire, comprendere, migliorare e sviluppare i nostri servizi, oltreché per garantire un ambiente sicuro, perseguire i nostri interessi legittimi e rispettare i nostri obblighi legali. Informazioni dettagliate sono disponibili nella nostra Informativa sulla privacy.

Clienti myPOS e rispettivi dati personali

Tutti i clienti myPOS sono persone giuridiche (imprese/società). Ai sensi del GDPR, i dati relativi alle imprese individuali sono dati personali. Altre società e imprese non rientrano tra gli interessati ai sensi di legge. Tuttavia, siamo tenuti a verificare l’identità dell’imprenditore/utente autorizzato che apre il conto (denominato “utente che apre il conto” in caso di società o altra entità). Trattiamo i dati personali relativi a tale imprenditore/utente autorizzato. Le informazioni relative alla società (ad eccezione delle imprese individuali), compresi il profilo di rischio e i controlli di due diligence, non sono regolamentate dal GDPR.

Perché scattiamo foto delle persone autorizzate e dei loro documenti d’identità? Si tratta di una procedura conforme al GDPR?

Il servizio myPOS è stato progettato per scopi commerciali e può essere utilizzato da persone fisiche o giuridiche. L’utente che si registra o utilizza i servizi myPOS per conto di una persona giuridica è trattato come persona autorizzata e potrebbe essere obbligato a comunicarci i dati personali di rappresentanti legali, dipendenti, agenti, beneficiari effettivi o di qualsiasi altra terza parte collegata alla persona giuridica.

In ottemperanza ai nostri obblighi di legge ai sensi delle normative in materia di antiriciclaggio e antiterrorismo pertinenti, siamo tenuti a verificare l’identità del nostro cliente o l’identità dell’utente autorizzato che apre il conto.

Siamo obbligati per legge a identificare e verificare il titolare del conto (una persona autorizzata dalla società) e dato che non sempre le persone sono in grado di caricare autonomamente le informazioni necessarie, lo facciamo noi per loro. Seguendo le migliori pratiche, abbiamo implementato una video chat di identificazione in un ambiente online. Seguiamo questa procedura per comodità dei nostri clienti.

Le normative in materia di antiriciclaggio e antiterrorismo, in linea generale, obbligano le istituzioni finanziarie e altri soggetti giuridici a rischio di essere usate come strumento per riciclare denaro o finanziare il terrorismo, a:

1. identificare i propri clienti, ovvero il soggetto obbligato deve chiedere al cliente di fornire i suoi dati personali.
2. verificare la loro identità, ovvero il soggetto obbligato deve “controllare” che i dati personali dell’utente non siano falsificati, contraffatti, rubati o simili.

Quando la suddetta procedura si svolge a distanza, ad esempio tramite un’app, dobbiamo garantire che la verifica dell’identità del cliente sia effettuata usando almeno due misure tecniche.

La funzionalità di video chat e l’obbligo di scattare foto dei nostri clienti e del loro documento d’identità è, in questo momento, il modo legale più rapido e semplice da usare per erogare i nostri servizi.

Valutazione d'impatto sulla protezione dei dati

Abbiamo effettuato un esame dettagliato di tutte le nostre procedure per il trattamento dei dati, per prodotto e per reparto. Abbiamo analizzato le motivazioni del trattamento, i periodi di conservazione, le misure di sicurezza tecniche e legali per garantire i diritti e le libertà dei nostri clienti e ci siamo assicurati che qualsiasi attività di trattamento dei dati da noi svolta sia al 100% conforme alla legge.

I nostri periodi di conservazione

Si prega di notare che, in qualità di istituto finanziario, secondo la direttiva sui servizi di pagamento e la legislazione sul riciclaggio di denaro sporco siamo obbligati a conservare i dati del cliente per un periodo di 5 anni dopo la cessazione del contratto/conto del nostro cliente.

Correzione (rettifica) dei dati personali del cliente

I nostri clienti ci possono inviare una richiesta di correzione di dati personali non precisi o incompleti tramite e-mail, all’indirizzo [email protected].

Accesso ai dati

I nostri clienti hanno il diritto di ricevere copia dei dati che conserviamo per loro in qualsiasi momento. La richiesta può essere inviata tramite e-mail all’indirizzo [email protected].

Eliminazione dei dati

Di norma, conserviamo i dati personali dei clienti per il tempo richiesto per l’esecuzione del contratto stipulato tra loro e noi e per adempiere ai nostri obblighi normativi. I nostri clienti possono richiedere in qualsiasi momento la chiusura del loro conto myPOS e la risoluzione del contratto. Tuttavia, in conformità con le normative, conserveremo i loro dati per 5 anni dopo la risoluzione del contratto.

Nel momento in cui i termini regolamentari di conservazione sono scaduti, cancelliamo diligentemente i dati personali dei clienti dai nostri sistemi. La richiesta di cancellazione può essere inviata tramite e-mail all’indirizzo [email protected].

Ulteriori informazioni sono disponibili nella nostra Informativa sulla privacy.

Trasferimento dati come diritto dei nostri clienti

I nostri clienti hanno il diritto di ricevere una copia dei propri dati personali in un formato strutturato, di uso comune, leggibile da dispositivo automatico, che ne consenta il riutilizzo. Possono trasferire i loro dati personali da un titolare del trattamento a un altro e/o essere garantiti che i dati personali siano trasmessi direttamente e senza impedimenti tra i titolari del trattamento.

Revoca del consenso e limitazione di trattamento dei dati personali

Se i nostri clienti hanno fornito il loro consenso al trattamento dei dati personali da parte nostra, possono revocare il consenso in qualsiasi momento modificando le impostazioni dell’account o inviandoci una comunicazione con l’indicazione di quale consenso intendono ritirare. Si prega di notare che la revoca del consenso non pregiudica la liceità di qualsiasi attività di trattamento basata sul consenso prima della revoca.

Diritti degli interessati e persone giuridiche

Si fa presente che, ai sensi del GDPR, le società non rientrano tra gli interessati. I titolari di aziende che utilizzano i servizi myPOS e dispongono di conti commerciali possono esercitare i loro diritti, ma solo per quanto riguarda i propri dati personali (o i dati personali della persona autorizzata). Le informazioni relative alla loro società, compresi il profilo di rischio e i controlli di due diligence, non sono regolamentate dal GDPR.

Con chi condividiamo i dati personali

Nell’ambito della fornitura dei servizi che i nostri clienti hanno richiesto e per aiutare a individuare e prevenire atti potenzialmente illegali e fraudolenti e altre violazioni delle nostre politiche, potremmo condividere i dati personali con le società del gruppo myPOS . Potremmo condividere i dati personali anche con provider di servizi terze parti che, svolgendo funzioni a nostra discrezione e per nostro conto, ci supportano nella fornitura di servizi, prodotti e/o piattaforme myPOS. Per ulteriori informazioni, consultare la sezione 3 della nostra Informativa sulla privacy.

Minori e nostri servizi

I nostri servizi non sono destinati a persone di età inferiore ai 18 anni, salvo quanto espressamente specificato nella nostra Informativa sulla privacy o in altro documento legale. Se acquisiamo conoscenza effettiva di aver raccolto dati personali da una persona di età inferiore ai 18 anni, tali dati saranno immediatamente cancellati, a meno che non siamo obbligati per legge a conservarli.

Valutazione di fornitori e partner

Tutti i nostri attuali fornitori sono stati sottoposti a una valutazione finalizzata a garantire la loro rispondenza ai requisiti di sicurezza e privacy stabiliti dal GDPR. Per mantenere la conformità, queste verifiche saranno condotte per tutti i nuovi fornitori. Quando trasferiamo, conserviamo ed elaboriamo dati personali al di fuori dello Spazio Economico Europeo, garantiamo che sono state adottate misure di sicurezza appropriate per garantire un livello adeguato di protezione dei dati..

Per la gestione di soggetti insediati al di fuori dello SEE, richiediamo sempre ai nostri fornitori di essere registrati ai sensi dei meccanismi dello Scudo per la privacy (o similari) oppure di fornirci una valutazione di adeguatezza delle misure di tutela della privacy applicate.

Crittografia e memorizzazione di dati personali

Ci assumiamo la responsabilità di garantire che i dati personali siano conservati al sicuro, in forma crittografata, su server collocati all’interno di centri dati speciali in giurisdizioni di classe A in Europa. Per impedire l’accesso o la divulgazione non autorizzata di dati, garantiamo misure di sicurezza fisiche, elettroniche e procedurali conformi alle normative vigenti per la tutela dei dati personali non pubblici.

Per quanto riguarda il conto myPOS, le procedure di sicurezza sono descritte nella nostra Informativa sulla privacy.

Risposta a eventi imprevisti

Le nostre procedure di risposta a eventi imprevisti sono state progettate e testate per assicurare che gli eventi di sicurezza imprevisti siano rilevati e segnalati al personale appropriato per la risoluzione, che il personale segua i protocolli definiti per la risoluzione degli eventi di sicurezza e che i passaggi eseguiti per la risoluzione siano documentati e periodicamente controllati dal nostro team di sicurezza. Stiamo inoltre lavorando per aggiornare queste politiche e procedure al fine di includere la notifica delle violazioni se e quando un evento imprevisto per la sicurezza comporta la perdita o l’uso non autorizzato di informazioni di identificazione personale, o PII (Personal Identifiable Information).

Conformità dei cookie

Quando gli utenti visitano o usano i nostri siti Web o le nostre app mobile, utilizziamo i “cookie” e altre tecnologie. Tale utilizzo si basa sul consenso. Se i nostri utenti desiderano revocare il proprio consenso per l’accettazione dei cookie e tecnologie simili, possono eliminare i cookie usando le impostazioni del browser (le modalità di eliminazione sono descritte nella nostra Informativa sui cookie). Ulteriori informazioni sulle modalità di eliminazione e di blocco dei cookie sono consultabili all’indirizzo http://www.allaboutcookies.org/manage-cookies/clear-cookies-installed.html

Le nostre licenze e registrazioni

Forniamo servizi finanziari in tutta l’UE e in tutto lo SEE. myPOS Payments Ltdv., come parte del gruppo, è un istituto di moneta elettronica autorizzato dalla FCA e offre agli esercenti conti e servizi finanziari. Il nostro numero di registrazione è disponibile presso l’autorità di controllo dell’infrastruttura di pagamento competente. Nel Regno Unito siamo reperibili nel Financial Services Register (registro dei servizi finanziari) all’indirizzo:

https://register.fca.org.uk/ShPo_FirmDetailsPage?id=001b000003tahppAAA