Informativa sulla privacy
Ultimo aggiornamento: 20 ottobre 2026
English · Français · Nederlands · Deutsch · Español · Português · Italiano · עברית · Polski
1. Chi siamo
La presente informativa spiega come VU Credentials Ltd («VU», «noi») tratta i dati personali. È registrata in Inghilterra e Galles con il numero di società 17527869, e la sua sede legale si trova in 20 Wenlock Road, London, England, N1 7GU.
Per i dati personali descritti nella sezione 3, ad eccezione dell’ultima riga della relativa tabella, siamo il titolare del trattamento ai sensi della normativa britannica in materia di protezione dei dati (UK GDPR e Data Protection Act 2018). Per domande e richieste relative alla privacy, scriva a legal@vucredentials.com.
2. Di chi sono i dati, e il nostro ruolo
Siamo il titolare del trattamento dei dati personali che riguardano:
- le persone che usano la dashboard di VU per conto dei nostri clienti;
- le persone che richiedono un account o che ci contattano;
- gli amministratori e i proprietari delle società che presentano una richiesta, che controlliamo sulle liste di sanzioni;
- i visitatori del nostro sito web e chi effettua chiamate alla nostra API.
Agiamo in qualità di responsabile del trattamento per i dati personali dei possessori e dei verificatori di credenziali che i nostri clienti inseriscono in credenziali o presentazioni. Il cliente che ha emesso la credenziale ne è il titolare del trattamento, e si applica la sua informativa sulla privacy: per quei dati, si rivolga al cliente. Li trattiamo solo per fornire il Servizio, come stabilito nei nostri Termini di servizio (sezione 10, in inglese).
3. Quali dati raccogliamo
| Di chi | Quali dati, e da dove provengono |
|---|---|
| Visitatori del sito web e dell’API | Il suo indirizzo IP, l’orario, la pagina o l’indirizzo dell’API richiesti, la risposta e il tipo di browser. Registrati dai nostri server. |
| Richiedenti | La ragione sociale della sua società, il paese, il numero di registrazione e la partita IVA, un indirizzo email di contatto e tutto ciò che scrive nella richiesta. Forniti da Lei. |
| Amministratori e proprietari delle società richiedenti | I nomi, e gli altri dati riportati nel registro pubblico, con l’esito del nostro controllo sulle sanzioni. Tratti dai registri pubblici delle imprese, come Companies House, dall’elenco britannico delle sanzioni (UK Sanctions List) e dalla lista OFAC degli Stati Uniti. |
| Utenti della dashboard | Il suo indirizzo email, il nome visualizzato e il ruolo. Le passkey che registra: una chiave pubblica, un’etichetta del dispositivo scelta da Lei e il momento dell’ultimo utilizzo di ciascuna. I link di accesso monouso, che scadono dopo 10 minuti e funzionano solo nel browser che li ha richiesti. I token di sessione, che durano 8 ore. Una registrazione delle azioni compiute nel suo account (il registro di audit), con l’indirizzo IP da cui proviene ciascuna. I nomi e i momenti di creazione e di ultimo utilizzo delle chiavi API; mai una chiave in sé, che conserviamo solo sotto forma di hash unidirezionale. |
| Pagatori, dall’apertura dei pagamenti in stablecoin | Gli indirizzi dei wallet che registra, le transazioni con cui ci paga (hash, importo, rete, token), gli esiti dello screening sulle sanzioni e i dati di fatturazione riportati nelle sue fatture. |
| Chiunque ci scriva | Le sue email e le nostre risposte. |
| Possessori di credenziali e verificatori (in qualità di responsabile del trattamento) | Gli attributi che i nostri clienti inseriscono nelle credenziali, conservati per tutta la durata dell’account del cliente, affinché questi possa consultarli, revocarli e sospenderli. Le presentazioni inviate ai verificatori, e gli attributi verificati in esse, cancellati 30 giorni dopo la conclusione della richiesta. Gli eventi che inviamo ai sistemi dei nostri clienti (webhook), che possono riportare quegli stessi attributi, cancellati 30 giorni dopo l’invio. |
4. Perché li usiamo, e la nostra base giuridica
| Finalità | Base giuridica |
|---|---|
| Fornire il Servizio: account, accesso, emissione e verifica di credenziali, fatturazione, assistenza | Contratto, con il nostro cliente; per i membri del suo team, il nostro legittimo interesse a fornire il servizio acquistato dal cliente |
| Mantenere sicuro il Servizio e prevenirne gli abusi: log delle richieste, registro di audit, limiti di frequenza | Legittimi interessi |
| Controllare sulle liste di sanzioni i richiedenti, i loro amministratori e proprietari, i wallet, i pagamenti e i rimborsi | Obbligo legale: la normativa britannica in materia di sanzioni vieta di mettere fondi o servizi a disposizione delle persone designate. Inoltre, il nostro legittimo interesse a dimostrare di aver agito con ragionevole diligenza |
| Tenere le scritture fiscali e contabili, ed emettere fatture | Obbligo legale |
| Email relative al suo account e al Servizio, come link di accesso, ricevute di pagamento e modifiche alle nostre condizioni | Contratto e legittimi interessi |
Non inviamo email di marketing e non vendiamo dati personali.
5. Con chi li condividiamo
I nostri sub-responsabili del trattamento, che trattano dati personali per nostro conto in base a clausole sulla protezione dei dati:
| Fornitore | Cosa fa, e dove |
|---|---|
| Google Cloud (Google LLC) | Ospita la nostra API, il database, la gestione delle chiavi e i log. Stati Uniti (Iowa). |
| Amazon Rekognition (Amazon Web Services, Inc.) | Esegue la verifica di vitalità di un volto e lo confronta con la foto sul chip di un passaporto, quando verifichiamo un passaporto e nella verifica del volto al banco di un’azienda. Stati Uniti (Virginia). |
| Firebase Hosting (Google LLC) | Distribuisce il nostro sito web e la dashboard. Rete globale. |
| ZeptoMail (Zoho Corporation) | Invia i link di accesso e le email di servizio. Stati Uniti. |
| Fornitori di nodi blockchain | Leggono dati pubblici delle blockchain per consentirci di verificare i pagamenti. Li indicheremo qui prima dell’apertura dei pagamenti in stablecoin. |
Condividiamo inoltre dati personali con:
- le autorità, come l’Office of Financial Sanctions Implementation (l’autorità britannica per le sanzioni finanziarie), l’HMRC (l’amministrazione fiscale britannica), la polizia o un tribunale, quando la legge lo richiede;
- i nostri consulenti professionali, come commercialisti e avvocati, in via riservata;
- chiunque acquisisca o rilevi la nostra attività, che sarà tenuto a rispettare la presente informativa.
Blockchain pubbliche. Quando paga con una stablecoin, il trasferimento viene registrato su quella blockchain, pubblicamente e in modo permanente, per la natura stessa della blockchain. Non possiamo modificarlo né cancellarlo.
6. Trasferimenti al di fuori del Regno Unito
I nostri fornitori trattano i dati principalmente negli Stati Uniti. Trasferiamo dati personali al di fuori del Regno Unito solo sulla base di un meccanismo riconosciuto dalla normativa britannica in materia di protezione dei dati, come l’estensione britannica del quadro UE–USA per la protezione dei dati (UK Extension to the EU–US Data Privacy Framework), in base alla quale Google è certificata, o l’accordo internazionale sul trasferimento dei dati (International Data Transfer Agreement) o l’addendum britannico alle clausole contrattuali tipo dell’UE (International Data Transfer Addendum).
7. Per quanto tempo li conserviamo
| Dati | Periodo di conservazione |
|---|---|
| Log delle richieste al server | 30 giorni |
| Link di accesso e sessioni | 10 minuti e 8 ore, o fino al loro utilizzo o alla loro chiusura |
| Dati dell’account e registro di audit | Finché l’account è aperto, poi cancellati entro 30 giorni dalla sua chiusura, ad eccezione delle registrazioni indicate di seguito |
| Richieste che non approviamo | 12 mesi |
| Controlli sulle sanzioni, fatture e registrazioni dei pagamenti | 6 anni dalla fine del nostro rapporto, come richiesto dalle norme fiscali britanniche per le registrazioni finanziarie |
| Email scambiate con noi | 2 anni dal nostro ultimo scambio |
| Attributi delle credenziali (in qualità di responsabile del trattamento) | Finché l’account del cliente è aperto, poi cancellati entro 30 giorni dalla sua chiusura |
| Presentazioni e attributi verificati (in qualità di responsabile del trattamento) | 30 giorni dalla conclusione della richiesta |
| Eventi webhook inviati ai clienti (in qualità di responsabile del trattamento) | 30 giorni dall’invio |
| Backup del database | 7 giorni |
| Registrazioni su una blockchain pubblica | Permanenti, e al di fuori del nostro controllo |
8. I suoi diritti
Ha il diritto di chiederci una copia dei suoi dati personali; di ottenerne la rettifica; di ottenerne la cancellazione; di limitarne l’utilizzo da parte nostra o di opporvisi; e di riceverli in un formato portabile. Alcuni diritti dipendono dalla base giuridica, e potremmo conservare i dati che la legge ci impone di conservare.
Scriva a legal@vucredentials.com. Rispondiamo entro un mese, e potremmo prima chiederle di confermare la sua identità. Se la sua richiesta riguarda una credenziale, la inoltreremo al cliente che l’ha emessa, che ne è il titolare del trattamento.
Può presentare un reclamo all’Information Commissioner’s Office, l’autorità di controllo britannica per la protezione dei dati, su ico.org.uk o al numero +44 303 123 1113. Ci piacerebbe però avere prima l’opportunità di rimediare.
9. Cookie e archiviazione nel browser
Non utilizziamo cookie, strumenti di analisi, pubblicità né tracciamento di alcun tipo, e il nostro sito web non carica script di terze parti. La dashboard memorizza due elementi nel suo browser, entrambi strettamente necessari per l’accesso:
- un token di sessione, nella memoria di sessione (session storage), cancellato quando chiude la scheda;
- un identificativo casuale del browser, nella memoria locale (local storage), che associa un link di accesso al browser che lo ha richiesto.
10. Decisioni automatizzate
Non prendiamo alcuna decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici che la riguardano o che incida in modo analogo significativamente sulla sua persona. Lo screening sulle sanzioni è automatizzato, ma una corrispondenza si limita a sospendere un pagamento o una registrazione finché una persona non la esamina.
11. Sicurezza
- Cifratura in transito e a riposo.
- Separazione tra i clienti imposta dal database stesso, in modo che ogni richiesta possa raggiungere solo i dati del proprio cliente.
- Chiavi di firma custodite nel servizio di gestione delle chiavi di Google Cloud.
- Chiavi API conservate solo sotto forma di hash unidirezionali.
- Accesso senza password tramite passkey, e conferma con passkey per le azioni sensibili.
- Un registro di audit delle azioni sugli account, e accesso limitato a chi ne ha bisogno.
12. Minori
Il Servizio è destinato alle aziende e non si rivolge a persone di età inferiore ai 18 anni.
13. Modifiche alla presente informativa
Informeremo gli utenti della dashboard di qualsiasi modifica sostanziale tramite email o nella dashboard. La data in alto indica quando la presente informativa è stata modificata l’ultima volta.
14. Contatti
- Privacy: legal@vucredentials.com
- Assistenza: support@vucredentials.com