Informativa sulla privacy

1 Informazioni su questa Informativa sulla privacy

La presente Informativa sulla privacy spiega come il Gruppo Fourthline (come definito di seguito) raccoglie e tratta i Suoi dati personali. Descrive quali dati personali trattiamo, per quali finalità, su quali basi giuridiche, per quanto tempo li conserviamo e quali diritti Le spettano.

La presente Informativa sulla privacy si applica quando Lei:

• visita o interagisce con i nostri siti web, portali o applicazioni (insieme: "Siti web");

• utilizza i nostri Servizi (come definiti di seguito);

• visita i nostri uffici;

• viene registrato come cliente tramite società che utilizzano i nostri Servizi ("Partner commerciali") di cui desidera utilizzare i servizi finanziari; oppure

• è un rappresentante di uno dei nostri Partner commerciali, potenziali clienti, venditori o fornitori.

La presente Informativa sulla privacy tratta i seguenti argomenti:

1. Informazioni su questa Informativa sulla privacy

2. Chi siamo

3. Legge applicabile

4. Come raccogliamo i Suoi dati personali

5. Finalità del trattamento, categorie di dati personali e basi giuridiche

6. Processo decisionale automatizzato

7. Uso dell'Intelligenza Artificiale

8. Minori

9. Con chi condividiamo i Suoi dati e perché

10. Cookie

11. I Suoi diritti

12. Il Suo obbligo di fornire i dati

13. Per quanto tempo conserviamo i Suoi dati personali

14. Come proteggiamo i Suoi dati personali

15. Come può contribuire a mantenere al sicuro i Suoi dati

16. Contatti

Potremmo aggiornare periodicamente la presente Informativa sulla privacy per riflettere modifiche della legge applicabile o delle nostre attività di trattamento. La versione più recente è sempre disponibile sul nostro Sito web. Le consigliamo di consultare questa pagina periodicamente.

2 Chi siamo

2.1 Gruppo Fourthline

Il Gruppo Fourthline fornisce servizi di verifica dell'identità, prevenzione delle frodi e servizi correlati (i "Servizi"), aiutando gli istituti finanziari a verificare l'identità dei loro clienti per adempiere agli obblighi normativi previsti dalla legislazione antiriciclaggio applicabile.

Ai fini della presente Informativa sulla privacy, il "Gruppo Fourthline" si riferisce esclusivamente alle due entità seguenti, ciascuna delle quali agisce come titolare autonomo del trattamento dei Suoi dati personali, a seconda del contesto:

Fourthline Payments è un istituto di pagamento regolamentato, autorizzato dalla Banca centrale olandese (De Nederlandsche Bank N.V. (DNB)) a fornire Servizi di pagamento. Consente inoltre ad altri istituti finanziari di fare affidamento sull'adeguata verifica della clientela svolta da Fourthline Payments in conformità alla legislazione antiriciclaggio olandese.

Fourthline fornisce inoltre servizi di verifica dell'identità, prevenzione delle frodi e Servizi correlati in outsourcing ai propri Partner commerciali. In tali casi, Fourthline agisce generalmente come responsabile del trattamento per conto del Partner commerciale interessato, e il trattamento dei dati personali in tale veste non rientra nella presente Informativa sulla privacy. Tuttavia, laddove Fourthline tratti dati personali come titolare autonomo al fine di migliorare i propri Servizi, tale trattamento rientra nella presente Informativa sulla privacy, come ulteriormente specificato nella sezione 2.1.2 di seguito.

Quando la presente Informativa sulla privacy fa riferimento a "noi", "ci" o "nostro", si intende una o entrambe le entità, a seconda del contesto. Qualora una sezione specifica si applichi a una sola entità, ciò viene indicato espressamente.

2.2 Quale entità è responsabile dei Suoi dati?

• Fourthline Payments è il titolare di tutti i trattamenti dei Suoi dati personali relativi alla Sua registrazione come cliente di Fourthline Payments e/o alla fornitura di Servizi di pagamento ("Cliente").

• Sia Fourthline che Fourthline Payments sono titolari autonomi del trattamento dei Suoi dati personali relativo al miglioramento dei rispettivi Servizi.

3 Legge applicabile

Il Gruppo Fourthline tratta con la dovuta cura i dati personali che riceve tramite i propri Siti web e con qualsiasi altro mezzo. Trattiamo i dati personali in conformità a:

• il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) ("GDPR"); e

• la Legge olandese di attuazione del GDPR (Uitvoeringswet Algemene verordening gegevensbescherming).

4 Come raccogliamo i Suoi dati personali

Possiamo ricevere i Suoi dati personali nei seguenti modi:

• direttamente da Lei, quando utilizza i nostri Servizi o comunica con noi via e-mail, telefono o altri mezzi elettronici;

• da Partner commerciali, ossia società di cui desidera utilizzare i servizi finanziari e che incaricano Fourthline di verificare la Sua identità; e

• da fornitori terzi di dati, come fornitori di liste di sanzioni, liste relative al finanziamento del terrorismo e liste di persone politicamente esposte (PEP).

5 Finalità del trattamento, categorie di dati personali e basi giuridiche

Per dati personali si intende qualsiasi informazione che La riguarda o che può essere collegata a Lei. Di seguito descriviamo, per ciascuna finalità, quali dati personali trattiamo e su quale base giuridica.

5.1 Verifica dell'identità e screening antiriciclaggio

5.1.1 Finalità del trattamento

In quanto istituto di pagamento autorizzato, Fourthline Payments è tenuta per legge a verificare l'identità dei propri Clienti e a confrontarli con le liste di controllo applicabili prima e durante il rapporto d'affari. Tale obbligo deriva, tra l'altro, dalla Legge olandese sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo (Wet ter voorkoming van witwassen en financieren van terrorisme, "Wwft") e dalla Legge olandese sulle sanzioni (Sanctiewet 1977). Ciò include l'uso dell'IA a tal fine; per maggiori informazioni si veda la sezione 8.

In pratica, tali requisiti consistono in due verifiche distinte ma correlate:

1. Verifica dell'identità - confermare che Lei sia chi dichiara di essere:

   • Chi è Lei? Verifichiamo che Lei sia chi dichiara di essere. Per farlo, Lei scatta una foto del Suo documento d'identità (come un passaporto o una carta d'identità) e un selfie e/o un breve video del Suo volto. Li confrontiamo per assicurarci che il documento Le appartenga e che Lei sia fisicamente presente durante la verifica. Inoltre, valutiamo se il documento è completamente visibile e leggibile e verifichiamo se contiene le caratteristiche (di sicurezza) attese.

   • Il Suo documento è autentico? Verifichiamo che il Suo documento d'identità sia autentico e non sia stato manomesso o contraffatto. Esaminiamo inoltre determinate caratteristiche del documento, come il layout e i dettagli stampati.

   • Qual è il Suo punteggio di rischio per la verifica dell'identità? Sulla base delle verifiche dell'identità e del documento sopra descritte, calcoliamo un punteggio di rischio complessivo per la Sua verifica. Tale punteggio è il risultato di diversi controlli riguardanti fattori quali la Sua identità, l'autenticità del documento, indicatori geografici e segnali di conformità. Ogni controllo contribuisce con un valore ponderato al punteggio totale. Il punteggio finale determina se Lei viene classificato come rischio basso, medio, alto o inaccettabile e, su tale base, stabiliamo se possiamo accettarLa come Cliente.

2. Screening antiriciclaggio - valutare se Lei rappresenta un rischio di criminalità finanziaria:

   • È presente in una lista (di controllo)? Verifichiamo se il Suo nome e i Suoi dati personali corrispondono a quelli di una persona presente nelle liste di sanzioni applicabili, nelle liste di controllo delle persone politicamente esposte (PEP) o in articoli di stampa negativi. Se i Suoi dati corrispondono a qualcuno presente in una di queste liste, effettuiamo ulteriori indagini per stabilire se si tratti effettivamente della stessa persona.

   • Qual è il Suo punteggio di rischio dello screening antiriciclaggio? Quando i Suoi dati personali sembrano corrispondere a quelli di una persona presente in una lista di controllo, valutiamo separatamente la probabilità che Lei sia effettivamente la stessa persona di quella elencata. Lo facciamo confrontando i Suoi dati personali (come nome, data di nascita, età, ubicazione, nazionalità, sesso e luogo di nascita) con quelli della persona elencata. A ciascun dato viene assegnato un punteggio ponderato in base al grado di corrispondenza, producendo un punteggio complessivo di rischio della corrispondenza che determina se possiamo accettarLa come Cliente.

5.1.2 Dati personali utilizzati

A seconda del Partner commerciale di cui desidera utilizzare i servizi finanziari, potremmo trattare i seguenti dati personali:

• Dati identificativi di base: nome completo, data di nascita, luogo di nascita, nazionalità, sesso, fotografie selfie e registrazioni video, indirizzo, indirizzo e-mail e numero di telefono;

• Dati del documento d'identità: tipo di documento, foto del documento (fronte e retro), numero del documento, data di rilascio, data di scadenza, Paese di rilascio, autorità di rilascio;

• Dati biometrici: geometria facciale estratta da fotografie selfie e registrazioni video e punteggio di somiglianza facciale derivato (dati appartenenti a categorie particolari ai sensi dell'art. 9 GDPR);

• Dati dello screening antiriciclaggio: status di PEP, eventuale presenza in una lista di sanzioni, eventuali articoli di stampa negativi che La riguardano. I dati che La riguardano (come nome, data di nascita, nazionalità, sesso, ubicazione e luogo di nascita) vengono confrontati con banche dati di liste di controllo, comprese liste di sanzioni, liste PEP e articoli di stampa negativi.

• Dati derivati e dedotti: punteggi di rischio KYC, esiti delle verifiche e altri risultati generati dagli algoritmi o dai processi analitici di Fourthline;

• Dati di comunicazione: corrispondenza tra Lei e Fourthline.

5.1.3 Base giuridica e categorie particolari di dati

La base giuridica per il trattamento dei Suoi dati personali ai fini della verifica dell'identità e dello screening antiriciclaggio dipende dal tipo di dati trattati:

• Il trattamento dei Suoi dati identificativi e del documento, dei dati dello screening antiriciclaggio e dei dati derivati e dedotti si basa su un obbligo legale, in particolare i nostri obblighi ai sensi della Wwft e della Sanctiewet 1977 di svolgere l'adeguata verifica della clientela e di confrontare i clienti con le liste di controllo applicabili.

• Il trattamento dei Suoi dati biometrici si basa sull'esecuzione di un contratto. La verifica biometrica è necessaria per accertare la Sua identità nell'ambito del processo di instaurazione di un rapporto con Lei in qualità di Cliente. Sebbene la Wwft ci imponga di verificare la Sua identità, non prescrive il metodo con cui farlo. Utilizziamo la verifica biometrica perché è il metodo più affidabile e proporzionato per verificare l'identità in un contesto di onboarding a distanza.

Poiché i dati biometrici costituiscono una categoria particolare di dati personali ai sensi dell'articolo 9 GDPR, ci basiamo inoltre sull'eccezione dell'interesse pubblico rilevante (art. 9, paragrafo 2, lettera g), GDPR) per il trattamento dei Suoi dati biometrici, in particolare al fine di autenticare la Sua identità in relazione ai nostri obblighi di legge in materia di adeguata verifica della clientela e per finalità di sicurezza correlate.

5.2 Servizi di pagamento

5.2.1 Finalità del trattamento

Quando Fourthline Payments Le fornisce servizi di pagamento in qualità di Cliente, è necessario trattare determinati dati personali per eseguire e amministrare le operazioni di pagamento. Ciò include l'avvio, l'elaborazione e la registrazione delle operazioni di pagamento per Suo conto.

5.2.2 Dati personali utilizzati

• Nome, cognome e indirizzo;

• Numero di conto bancario internazionale (IBAN); e

• Indicatori delle operazioni e informazioni correlate.

5.2.3 Base giuridica

La base giuridica per il trattamento dei Suoi dati personali per questa finalità è l'esecuzione di un contratto: tali dati sono necessari per eseguire i servizi di pagamento da Lei richiesti. Per questa finalità non vengono trattate categorie particolari di dati personali.

5.3 Rilevamento e prevenzione delle frodi

5.3.1 Finalità del trattamento

I criminali che intendono utilizzare conti bancari e altri sistemi finanziari per attività illecite talvolta tentano di accedere a un conto finanziario in modo fraudolento. Per tutelare i nostri interessi e quelli dei nostri Partner commerciali e dei loro clienti, nonché l'integrità del sistema finanziario in senso più ampio, trattiamo dati personali per rilevare e prevenire le frodi di identità, il che include i backup di tali dati. Utilizziamo l'IA per questa finalità; si veda la sezione 8.

In pratica, ciò significa che effettuiamo i seguenti controlli:

• Questa richiesta sembra sospetta? I nostri sistemi analizzano automaticamente ogni verifica per rilevare modelli comunemente associati a tentativi di frode. Tali modelli includono, ad esempio, segni di manomissione del documento, incongruenze tra la foto sul documento e il selfie, dati del dispositivo o di localizzazione.

• Questa persona o questo documento sono già stati visti in precedenza? Verifichiamo se un documento d'identità o una combinazione di dati personali è stata precedentemente segnalata o utilizzata in un tentativo di frode sospetto o confermato. Ciò ci aiuta a individuare i casi in cui lo stesso documento o la stessa identità fraudolenta viene utilizzata più volte in diversi tentativi di onboarding.

• È necessaria una revisione umana? Se i nostri sistemi indicano che una verifica potrebbe essere fraudolenta, analisti Fourthline appositamente formati esaminano manualmente il caso. L'analista valuta se la pratica è effettivamente fraudolenta o se è stata segnalata erroneamente. La decisione finale è sempre presa da un essere umano.

• Cosa succede se la frode viene confermata? Se il nostro analista conferma che si è verificata una frode e che i dati personali coinvolti appartengono a un autore della frode, registriamo e conserviamo tali informazioni. Ciò ci consente di proteggerci da futuri tentativi di frode con la stessa identità e di supportare eventuali procedimenti legali successivi. Conserviamo tali dati per un massimo di otto anni.

5.3.2 Dati personali utilizzati

Ciò può comportare il trattamento dei seguenti dati personali:

• Caratteristiche del documento;

• Caratteristiche di selfie e video;

• Dati di rete e connettività;

• Dati di localizzazione;

• Nazionalità e geografia;

• Caratteristiche del dispositivo;

• Dati dei sensori di movimento del dispositivo;

• Risultati dei controlli incrociati;

• Segnali di rischio e conformità;

• Punteggi di rischio; e

• ID cliente e marcature temporali.

5.3.3 Base giuridica e categorie particolari di dati

La base giuridica per il trattamento dei dati per questa finalità è il legittimo interesse, che è triplice:

• L'interesse di Fourthline Payments stessa: proteggersi dall'uso fraudolento della propria piattaforma e dei propri Servizi, inclusi danni finanziari e reputazionali;

• L'interesse dei Partner commerciali: proteggere gli istituti finanziari dall'acquisizione di clienti fraudolenti, che potrebbe esporli a sanzioni normative e a reati finanziari; e

• L'interesse pubblico più ampio: prevenire i reati finanziari e le frodi di identità in generale, in linea con gli obiettivi della legislazione AML/KYC.

La nostra giustificazione per trattare dati personali relativi a un reato è stabilire se fornire o meno un Servizio a Lei in qualità di (potenziale) Cliente e tutelare i nostri interessi in relazione a violazioni penali commesse o potenzialmente commesse ai danni di Fourthline Payments.

L'eccezione applicabile per il trattamento dei Suoi dati biometrici per questa finalità è un interesse pubblico rilevante, in particolare la tutela dell'interesse pubblico più ampio alla prevenzione della criminalità e delle frodi di identità in generale, in linea con gli obiettivi della legislazione AML/KYC.

Per garantire l'accuratezza dei dati personali relativi ai reati, il nostro Team di Quality Assurance effettua regolarmente controlli a campione.

5.4 Personal KYC Vault

5.4.1 Finalità del trattamento

Nell'ambito dei propri Servizi, Fourthline Payments offre un Personal KYC Vault sicuro. Si tratta di uno spazio di archiviazione sicuro in cui i Suoi dati personali verificati vengono conservati per Suo conto, in modo da poter essere riutilizzati per future procedure di verifica dell'identità senza che Lei debba ripetere l'intero processo di verifica.

5.4.2 Dati personali utilizzati

Per questa finalità trattiamo i seguenti dati personali:

• Dati identificativi di base: nome completo, data di nascita, luogo di nascita, nazionalità, sesso, fotografie selfie e registrazioni video, indirizzo, indirizzo e-mail e numero di telefono;

• Dati del documento d'identità: tipo di documento, foto del documento (fronte e retro), video del documento, numero del documento, data di rilascio, data di scadenza, Paese di rilascio, autorità di rilascio;

• Dati biometrici: geometria facciale estratta da fotografie selfie e registrazioni video e punteggio di somiglianza facciale derivato (dati appartenenti a categorie particolari ai sensi dell'art. 9 GDPR); e

• Dati derivati e dedotti: punteggi di rischio KYC, esiti delle verifiche e altri risultati generati dagli algoritmi o dai processi analitici di Fourthline.

5.4.3 Base giuridica e categorie particolari di dati

La base giuridica per il trattamento dei Suoi dati personali per questa finalità è l'esecuzione del contratto con Lei: la conservazione dei Suoi dati identificativi verificati è necessaria per fornire il servizio KYC Vault da Lei richiesto. Per questa finalità non vengono trattate categorie particolari di dati personali in via esclusiva, oltre a quanto già raccolto e verificato nell'ambito del processo di verifica dell'identità descritto nella sezione 5.1.3.

5.5 Addestramento e miglioramento dei sistemi di IA

5.5.1 Finalità del trattamento

Poiché i criminali adottano tecniche sempre più sofisticate per abusare del sistema finanziario, il Gruppo Fourthline lavora costantemente per migliorare l'accuratezza, la sicurezza e l'affidabilità dei propri Servizi. Una parte centrale di ciò è l'addestramento e il miglioramento dei sistemi di IA alla base delle nostre capacità di verifica dell'identità e rilevamento delle frodi.

Sia Fourthline che Fourthline Payments utilizzano dati personali provenienti da verifiche reali per addestrare e migliorare i propri modelli di IA, inclusi modelli per:

• Autenticazione dei documenti: rilevare se un documento d'identità è autentico o fraudolento;

• Riconoscimento dei documenti: identificare i tipi di documento ed estrarre i campi pertinenti;

• Rilevamento della vivacità (liveness): verificare che la persona che presenta il documento sia fisicamente presente;

• Riconoscimento facciale: abbinare una fotografia selfie alla foto presente su un documento d'identità;

• Rilevamento delle frodi: identificare modelli associati a tentativi di onboarding fraudolenti.

Questo processo coinvolge analisti umani (annotatori) che esaminano ed etichettano i dati identificativi, ad esempio contrassegnando aree di interesse sulle foto dei documenti o valutando se un documento appare autentico. I set di dati annotati risultanti vengono quindi utilizzati per addestrare e convalidare i modelli di IA. L'accesso ai dati utilizzati a fini di addestramento è rigorosamente controllato e limitato esclusivamente al personale autorizzato.

5.5.2 Dati personali utilizzati

Per queste finalità utilizziamo i seguenti dati personali:

• Il Suo nome, cognome, data di nascita, luogo di nascita e indirizzo;

• Le Sue fotografie (selfie) e registrazioni video;

• Il Suo documento d'identità, inclusi foto e video del documento, zona a lettura ottica (MRZ), zona di ispezione visiva (VIZ), numero del documento, data di rilascio, data di scadenza, Paese e autorità di rilascio;

• Dati di localizzazione; e

• Metadati tecnici associati alla Sua sessione di verifica, come il sistema operativo del dispositivo, i dettagli del browser e i sensori del dispositivo.

5.5.3 Base giuridica

La base giuridica per il trattamento dei dati per questa finalità è un legittimo interesse: il nostro interesse a mantenere e migliorare Servizi di verifica dell'identità sicuri, accurati e resistenti alle frodi. Ciò vale sia per Fourthline che per Fourthline Payments.

5.6 Marketing e comunicazione

5.6.1 Finalità del trattamento

Possiamo utilizzare i dati personali dei rappresentanti dei Partner commerciali, dei potenziali clienti aziendali e di altri contatti professionali per inviare informazioni sui nostri prodotti, Servizi e aggiornamenti, come newsletter, inviti a eventi e comunicazioni simili. Questo marketing non è rivolto ai singoli utenti finali dei nostri Servizi.

5.6.2 Dati personali utilizzati

Per queste finalità utilizziamo i seguenti dati personali:

• Nome, cognome, indirizzo e-mail, qualifica professionale.

5.6.3 Base giuridica

La base giuridica per il trattamento dei dati personali per questa finalità è il consenso o il legittimo interesse, a seconda della natura della comunicazione e delle norme applicabili ai sensi della legge olandese sulle telecomunicazioni.

Può opporsi in qualsiasi momento alla ricezione di comunicazioni di marketing utilizzando l'opzione di cancellazione presente nei nostri messaggi o contattandoci all'indirizzo dpo@fourthline.com.

5.7 Backup e continuità operativa

5.7.1 Finalità del trattamento

In quanto istituto di pagamento autorizzato, Fourthline Payments è tenuta, ai sensi dell'articolo 12 del Regolamento sulla resilienza operativa digitale (Regolamento (UE) 2022/2554, "DORA"), a sviluppare, documentare e mantenere politiche e procedure di backup per garantire il ripristino dei propri sistemi e dati TIC con tempi di inattività, interruzioni e perdite minimi in caso di incidente. Fourthline adempie a tale obbligo per conto di entrambe le entità nell'ambito del proprio ruolo di fornitore di servizi TIC all'interno del Gruppo Fourthline.

I dati di backup sono archiviati in sistemi fisicamente e logicamente separati dai sistemi primari, soggetti agli stessi controlli di accesso, standard di crittografia e misure di sicurezza dei dati originali, e non vengono utilizzati per finalità diverse dal ripristino e dal recupero. Le procedure di backup e i metodi di ripristino vengono testati periodicamente in conformità ai nostri obblighi di continuità operativa TIC ai sensi del DORA.

I dati di backup vengono conservati per lo stesso periodo dei dati originali a cui si riferiscono, in linea con la nostra Politica di conservazione delle informazioni, e vengono cancellati quando i dati sottostanti raggiungono la fine del loro periodo di conservazione.

5.7.2 Dati personali utilizzati

Per adempiere ai nostri obblighi ai sensi del DORA, manteniamo backup di tutti i dati essenziali per il ripristino dei nostri Servizi e l'adempimento dei nostri obblighi normativi. Ciò include tutti i dati personali menzionati nel capitolo 5.1.

5.7.3 Base giuridica e categorie particolari di dati

La base giuridica per il trattamento dei dati personali menzionati al punto 5.1 per questa finalità è un obbligo legale ai sensi del DORA.

L'eccezione applicabile per il trattamento dei dati biometrici per questa finalità è un interesse pubblico rilevante, coerente con i nostri obblighi in materia di antiriciclaggio e verifica dell'identità.

5.8 Videosorveglianza (CCTV)

5.8.1 Finalità del trattamento

Fourthline gestisce telecamere di videosorveglianza presso i propri uffici allo scopo di proteggere le proprie strutture, tutelare la sicurezza di dipendenti, visitatori e beni, e prevenire e rilevare accessi non autorizzati, furti o altri incidenti di sicurezza. Le registrazioni della videosorveglianza vengono consultate solo in caso di incidente di sicurezza o su richiesta legittima delle autorità di polizia.

5.8.2 Dati personali utilizzati

• Riprese video e foto delle persone presenti nei locali di Fourthline, inclusi visitatori e dipendenti.

5.8.3 Base giuridica

La nostra base giuridica per questo trattamento è il legittimo interesse, ossia il nostro interesse a proteggere i nostri locali e a garantire la sicurezza delle persone e dei beni ivi presenti.

5.9 Vendite e generazione di lead

5.9.1 Finalità del trattamento

Fourthline tratta i dati personali dei rappresentanti di potenziali Partner commerciali nel contesto delle attività di vendita, incluse l'individuazione e il contatto di potenziali clienti, la risposta a richieste in entrata, la preparazione di proposte commerciali e la gestione della pipeline di vendita. L'obiettivo è instaurare nuove relazioni commerciali con istituti finanziari e altre entità regolamentate che possano beneficiare dei Servizi di Fourthline.

5.9.2 Dati personali utilizzati

• Nome, qualifica professionale, datore di lavoro e recapiti aziendali (indirizzo e-mail, numero di telefono, profilo LinkedIn, indirizzo aziendale) dei rappresentanti di potenziali Partner commerciali;

• Registrazioni di interazioni commerciali, riunioni, chiamate e corrispondenza; e

• Informazioni condivise dal potenziale Partner commerciale nel contesto di discussioni esplorative.

5.9.3 Base giuridica

La nostra base giuridica per questo trattamento è il legittimo interesse, ossia il nostro interesse a far crescere la nostra attività e a individuare organizzazioni che possano beneficiare dei nostri Servizi.

5.10 Gestione e negoziazione dei contratti

5.10.1 Finalità del trattamento

Nel contesto della negoziazione, stipula, esecuzione e gestione di contratti con Partner commerciali, venditori e fornitori, Fourthline tratta i dati personali delle persone fisiche che agiscono come referenti o rappresentanti di tali organizzazioni. Ciò include la gestione della corrispondenza, la tenuta dei registri contrattuali e il monitoraggio degli obblighi contrattuali.

5.10.2 Dati personali utilizzati

• Nome, qualifica professionale e recapiti aziendali (indirizzo e-mail, numero di telefono, indirizzo aziendale) dei referenti presso Partner commerciali, venditori e fornitori;

• Corrispondenza e registrazioni delle comunicazioni relative alla negoziazione ed esecuzione dei contratti; e

• Firme su contratti e documenti correlati.

5.10.3 Base giuridica

Qualora l'interessato agisca come rappresentante o referente di una persona giuridica parte del contratto, la nostra base giuridica è il legittimo interesse, ossia il nostro interesse a poter eseguire e amministrare i nostri rapporti contrattuali.

5.11 Visitatori del sito web

5.11.1 Finalità del trattamento

Quando visita il sito web di Fourthline, raccogliamo determinati dati tecnici e comportamentali per garantire il corretto funzionamento del sito web, analizzare come i visitatori interagiscono con i nostri contenuti e migliorare l'esperienza dell'utente. Questo trattamento è ulteriormente descritto nella cookie policy di cui alla sezione 8 della presente Informativa sulla privacy.

5.11.2 Dati personali utilizzati

• Indirizzo IP e posizione approssimativa da esso derivata;

• Tipo di browser, sistema operativo e informazioni sul dispositivo;

• Pagine visitate, tempo trascorso sulle pagine, modelli di clic e fonte di provenienza; e

• Identificatori dei cookie e dati di tracciamento simili (soggetti a consenso ove richiesto).

5.11.3 Base giuridica

La nostra base giuridica per il trattamento strettamente necessario è il legittimo interesse, ossia il nostro interesse al corretto funzionamento e alla sicurezza del nostro sito web. Per i cookie analitici e di tracciamento, la nostra base giuridica è il consenso, ottenuto tramite il banner dei cookie presentato alla Sua prima visita.

6 Processo decisionale automatizzato

Il calcolo del Suo punteggio di rischio e la determinazione iniziale della necessità di ulteriori indagini possono essere effettuati in modo automatizzato, anche attraverso l'uso di sistemi di IA (si veda il capitolo successivo).

In determinati casi, la Sua verifica può essere conclusa automaticamente senza ulteriore revisione umana. Ciò avviene quando:

• la Sua verifica dà luogo a un rinvio (sendback), ossia le foto o i dati inviati non soddisfano gli standard di qualità richiesti e Lei viene invitato a riprovare. Un rinvio non costituisce un rifiuto e non ha conseguenze negative per Lei;

• Lei non soddisfa i requisiti obbligatori di idoneità imposti dalla legge applicabile, ad esempio se si trova in un Paese soggetto a sanzioni o ad altre restrizioni legali. In tali casi, Fourthline non prende alcuna decisione: l'esito è una conseguenza giuridica diretta della legge applicabile e Fourthline non ha alcuna discrezionalità per decidere diversamente; e

• i servizi finanziari che Lei richiede non sono disponibili nel Suo Paese, perché il Partner commerciale interessato non li ha resi disponibili in tale Paese. In tali casi, l'esito riflette l'ambito dei servizi offerti dal Partner commerciale, non una decisione presa da Fourthline su di Lei personalmente.

In tutti gli altri casi in cui il Suo punteggio di rischio indica che un rifiuto potrebbe essere giustificato, la decisione finale è sempre presa da un analista umano. L'articolo 22 GDPR, che Le conferisce il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, non si applica ai rinvii o agli esiti imposti dalla legge, poiché questi non producono effetti giuridici negativi nei Suoi confronti o non costituiscono una decisione di Fourthline.

7 Uso dell'Intelligenza Artificiale

Utilizziamo l'intelligenza artificiale ("IA") nell'ambito dei nostri Servizi di verifica dell'identità e prevenzione delle frodi, come descritto nelle sezioni 5.1, 5.2 e 5.3. Vogliamo essere trasparenti su come ciò funziona in pratica.

Non utilizziamo modelli linguistici di grandi dimensioni ("LLM") o IA generativa, come ChatGPT, Gemini o strumenti simili, in alcuna parte del nostro processo di verifica dell'identità. I Suoi dati personali non vengono trattati da, né utilizzati per addestrare, alcun modello di IA pubblicamente disponibile o gestito commercialmente. Ciò significa che i Suoi dati personali non vengono inseriti né conservati all'interno di un modello di IA generico di grandi dimensioni.

Utilizziamo invece modelli di IA proprietari con ambito ristretto, ciascuno sviluppato internamente per un compito specifico e ben definito. Alcuni esempi:

• determinare se un documento d'identità è autentico;

• verificare che un selfie corrisponda alla foto presente su un documento d'identità; oppure

• rilevare se un video è stato registrato dal vivo.

Ogni modello riceve solo i dati strettamente necessari per il proprio compito specifico e produce un risultato fisso e deterministico, come un esito superato/non superato o un punteggio delimitato. Nessun modello è in grado di svolgere compiti al di fuori del proprio ambito definito.

I Suoi dati vengono trattati all'interno di questo ambiente chiuso e controllato. I nostri sistemi di IA sono interamente ospitati internamente e non vengono mai messi a disposizione di terzi come modelli autonomi. L'accesso ai dati personali è limitato, registrato e disciplinato da rigorosi controlli basati sui ruoli.

I risultati dell'IA fungono da segnali all'interno di un più ampio sistema di verifica. A seconda dell'esito del processo di verifica, la Sua verifica può essere completata automaticamente o inoltrata per la revisione a un analista umano formato, in conformità alle nostre procedure controllate. Qualsiasi accertamento di manomissione del documento d'identità, spoofing, deepfake o altra frode di identità viene confermato da tale analista umano formato.

8 Minori

I nostri Servizi non sono direttamente rivolti ai minori (persone di età inferiore a 18 anni). Tuttavia, a seconda della natura dei servizi finanziari offerti da un Partner commerciale, potremmo trattare dati personali di minori, ad esempio quando un Partner commerciale offre prodotti o servizi finanziari accessibili ai minori e ci chiede di effettuare di conseguenza la verifica dell'identità. In tali casi, il trattamento dei dati personali del minore avviene sulle stesse basi giuridiche e in conformità agli stessi standard descritti nella presente Informativa sulla privacy.

9 Con chi condividiamo i Suoi dati e perché

Condividiamo i Suoi dati personali solo quando necessario e garantiamo sempre l'adozione di adeguate garanzie. Quando condividiamo dati con soggetti al di fuori del SEE, ci basiamo su decisioni di adeguatezza, sul Quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) o sulle Clausole contrattuali standard dell'UE.

9.1 All'interno del Gruppo Fourthline

Ai fini della presente Informativa sulla privacy, il Gruppo Fourthline comprende due entità che condividono tra loro dati personali per finalità operative, normative e di rendicontazione. La base giuridica e la natura di tale condivisione dipendono dal contesto.

9.1.1 Finalità di verifica dell'identità

Fourthline Payments agisce come titolare del trattamento per la verifica dell'identità e lo screening antiriciclaggio. I dati personali raccolti in tale contesto vengono trattati da Fourthline Payments e condivisi con Fourthline nella misura necessaria per la fornitura dei servizi di identità e verifica, inclusa la fornitura dell'infrastruttura tecnica e dei servizi di supporto necessari a tal fine. In tale contesto, Fourthline agisce come responsabile del trattamento per conto di Fourthline Payments, in base a un accordo di servizi infragruppo.

9.1.2 Finalità di addestramento dei modelli di IA

Fourthline è responsabile dello sviluppo e dell'addestramento dei sistemi di IA alla base dei Servizi del Gruppo Fourthline (si veda il punto 5.2 per maggiori informazioni). A tal fine, i dati personali raccolti da Fourthline Payments nel contesto della verifica dell'identità vengono trasferiti a Fourthline per essere utilizzati come dati di addestramento. Alla ricezione di tali dati, Fourthline agisce come titolare autonomo del trattamento ai fini dell'addestramento dei modelli di IA, poiché determina in modo indipendente le finalità e i mezzi di tale trattamento.

Questo trasferimento infragruppo è formalizzato tramite un accordo infragruppo di condivisione dei dati e viene effettuato sulla base del legittimo interesse di Fourthline a mantenere e migliorare Servizi di verifica dell'identità sicuri, accurati e resistenti alle frodi. Il trasferimento non comporta l'utilizzo dei Suoi dati personali per finalità diverse da quelle descritte nella sezione 5.2 della presente Informativa sulla privacy.

9.1.3 Garanzie

Tutti i trasferimenti infragruppo di dati personali sono disciplinati da un accordo infragruppo che include adeguate garanzie di protezione dei dati. I dati personali condivisi all'interno del Gruppo Fourthline sono soggetti alle stesse misure di sicurezza tecniche e organizzative descritte nella sezione 14 della presente Informativa sulla privacy e non vengono utilizzati per finalità diverse da quelle qui descritte.

9.2 Partner commerciali

Condividiamo i Suoi dati personali con il Partner commerciale tramite il quale Lei viene registrato, nella misura necessaria per la fornitura dei nostri Servizi e per gli obblighi normativi propri del Partner commerciale.

9.3 Autorità pubbliche e organismi di vigilanza

In quanto istituto di pagamento autorizzato, Fourthline Payments è soggetta alla vigilanza della Banca centrale olandese (De Nederlandsche Bank, DNB) e di altre autorità competenti. Sia Fourthline che Fourthline Payments possono essere tenute o autorizzate a condividere i Suoi dati personali con i seguenti soggetti:

• Autorità di vigilanza e di regolamentazione, inclusa DNB in qualità di autorità di vigilanza prudenziale per Fourthline Payments, l'Autorità olandese per i mercati finanziari (Autoriteit Financiële Markten, AFM), altri organismi di vigilanza nazionali all'interno del SEE ove richiesto dalla legge applicabile, e le autorità di protezione dei dati, inclusa l'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens);

• Autorità giudiziarie e inquirenti, inclusi tribunali, organismi di arbitrato e mediazione, pubblici ministeri e autorità di polizia, su loro legittima richiesta o nel contesto di procedimenti legali;

• Autorità di intelligence finanziaria, inclusa l'Unità di informazione finanziaria olandese (FIU-Nederland), nella misura in cui siamo tenuti a segnalare operazioni inusuali ai sensi della Wwft;

• Professionisti legali e finanziari, come avvocati, fiduciari o revisori, qualora la divulgazione sia richiesta dalla legge o necessaria in relazione a quanto sopra.

Divulgheremo i Suoi dati personali ai soggetti sopra indicati solo nella misura richiesta o consentita dalla legge applicabile e unicamente per le finalità per le quali tale divulgazione è giuridicamente giustificata.

9.4 Fornitori di servizi terzi (responsabili del trattamento)

Collaboriamo con fornitori di servizi terzi che trattano dati personali per nostro conto. Condividiamo solo i dati personali necessari per lo specifico servizio che forniscono.

9.5 Trasferimenti aziendali

In caso di fusione, acquisizione o vendita (di parte) dell'attività del Gruppo Fourthline, i dati personali potrebbero essere trasferiti nell'ambito di tale operazione. In tal caso, aggiorneremo di conseguenza la nostra Informativa sulla privacy.

10 Cookie

I nostri Siti web utilizzano cookie e tecnologie simili (insieme: "cookie") per migliorare la Sua esperienza, analizzare l'utilizzo e supportare integrazioni di terze parti. Alla Sua prima visita ai nostri Siti web, Le viene presentato un banner dei cookie che Le consente di accettare, rifiutare o gestire i cookie non essenziali. I cookie strettamente necessari vengono installati senza consenso in quanto indispensabili per il funzionamento del Sito web.

Per maggiori informazioni sui cookie che utilizziamo, consulti la nostra Cookie Policy (www.fourthline.com/cookie-policy).

11 I Suoi diritti

Il GDPR Le conferisce una serie di diritti in relazione ai Suoi dati personali. Di seguito spieghiamo ciascun diritto, quando si applica e quando può essere limitato. Per esercitare uno qualsiasi di questi diritti, La preghiamo di contattarci all'indirizzo dpo@fourthline.com e di indicarci il Partner commerciale tramite il quale è stato registrato utilizzando i nostri servizi di verifica dell'identità. Ci impegniamo a rispondere entro un mese. In alcuni casi potremmo respingere la Sua richiesta, nel qual caso La informeremo del motivo entro un termine ragionevole, ove consentito dalla legge. La preghiamo di non inviarci una copia non oscurata del Suo documento d'identità tramite e-mail ordinaria.

11.1 Diritto di opposizione

Lei ha il diritto di opporsi al trattamento dei Suoi dati personali basato sul nostro legittimo interesse. Valuteremo se i nostri legittimi interessi siano prevalenti rispetto ai Suoi interessi o ai Suoi diritti e libertà fondamentali.

Lei ha inoltre il diritto di opporsi in qualsiasi momento all'uso dei Suoi dati personali per finalità di marketing diretto. Cesseremo immediatamente di trattare i Suoi dati per tale finalità al ricevimento della Sua opposizione.

Non è possibile opporsi a un trattamento basato su un obbligo legale. Se siamo tenuti per legge a trattare i Suoi dati, la Sua opposizione non comporterà l'interruzione di tale trattamento.

11.2 Diritto di accesso

Lei ha il diritto di richiedere una panoramica dei dati personali che conserviamo su di Lei e di come li trattiamo.

Possiamo limitare l'accesso qualora la sua concessione pregiudichi i diritti e le libertà altrui, o qualora ci sia legalmente vietato divulgare determinate informazioni, ad esempio nel contesto di un'indagine per frode in corso o di un obbligo di segnalazione antiriciclaggio.

11.3 Diritto di rettifica

Se i Suoi dati personali sono inesatti o incompleti, Lei ha il diritto di chiederci di correggerli o integrarli. Qualora abbiamo condiviso dati inesatti con terzi, li informeremo della correzione.

I dati personali contenuti in registri di sola lettura, come i log di audit e le tracce delle azioni, non possono essere modificati a seguito di una richiesta di rettifica.

11.4 Diritto alla cancellazione

Lei ha il diritto di chiederci di cancellare i Suoi dati personali quando:

• non ne abbiamo più bisogno per la finalità per cui sono stati raccolti;

• Lei revoca il consenso e non sussiste altra base giuridica per il trattamento;

• Lei si oppone al trattamento basato sul legittimo interesse e non sussistono motivi prevalenti;

• il trattamento è illecito; oppure

• la cancellazione è richiesta dal diritto dell'UE o nazionale.

Questo diritto non si applica quando il trattamento è necessario per adempiere a un obbligo legale. In particolare, Fourthline Payments è tenuta per legge a conservare i Suoi dati personali per cinque anni dalla fine del nostro rapporto d'affari o per cinque anni dall'esecuzione di un'operazione ai sensi della Wwft. In caso di frode, possiamo conservare i dati personali relativi a un reato per un massimo di otto anni. In tali casi La informeremo che non possiamo soddisfare la Sua richiesta di cancellazione e ne spiegheremo il motivo. I dati personali contenuti in registri di sola lettura, come i log di audit, non possono essere cancellati a seguito di una richiesta di cancellazione.

11.5 Diritto di limitazione del trattamento

Lei ha il diritto di chiederci di limitare il trattamento dei Suoi dati personali quando:

• Lei contesta l'esattezza dei Suoi dati (per il periodo necessario a verificarla);

• il trattamento è illecito ma Lei preferisce la limitazione alla cancellazione;

• non abbiamo più bisogno dei dati ma Lei ne ha bisogno per azioni legali; oppure

• Lei si è opposto al trattamento e stiamo valutando se i nostri legittimi interessi prevalgano sui Suoi.

11.6 Diritto alla portabilità dei dati

Lei ha il diritto di ricevere i Suoi dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di farli trasmettere a un altro titolare, quando:

• il trattamento si basa sul consenso o sull'esecuzione di un contratto; e

• il trattamento è effettuato con mezzi automatizzati.

Questo diritto non si applica al trattamento basato su un obbligo legale o sul legittimo interesse. Poiché la maggior parte dei nostri trattamenti dei dati dei Clienti si basa su un obbligo legale, questo diritto avrà in pratica un'applicazione limitata nel contesto dei nostri Servizi.

11.7 Diritti relativi al processo decisionale automatizzato

Quando vengono utilizzati sistemi automatizzati per prendere decisioni che La riguardano in modo significativo, Lei ha il diritto di ottenere una revisione umana della decisione, di esprimere il Suo punto di vista e di contestare la decisione. Per maggiori informazioni sull'esistenza di un processo decisionale automatizzato, si veda la sezione 8.

11.8 Diritto di revoca del consenso

Quando trattiamo i Suoi dati personali sulla base del consenso, Lei ha il diritto di revocare il consenso in qualsiasi momento. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca stessa.

11.9 Diritto di proporre reclamo

Se non è soddisfatto di come gestiamo i Suoi dati personali, Lei può:

• contattare il nostro Responsabile della protezione dei dati all'indirizzo dpo@fourthline.com; oppure

• presentare un reclamo all'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) all'indirizzo www.autoriteitpersoonsgegevens.nl, che è la nostra autorità di controllo capofila, oppure all'autorità di protezione dei dati del Suo Paese di residenza.

12 Il Suo obbligo di fornire i dati

Vi sono determinate informazioni che Fourthline Payments è tenuta per legge a raccogliere su di Lei prima di poter instaurare un rapporto con Lei in qualità di Cliente, al fine di adempiere ai nostri obblighi ai sensi della Wwft. Senza tali dati, potremmo non essere in grado di fornirLe i nostri Servizi o di stipulare un contratto con Lei.

13 Per quanto tempo conserviamo i Suoi dati personali

Il Gruppo Fourthline conserva e tratta i Suoi dati personali solo per il tempo necessario ad adempiere ai nostri obblighi derivanti dal contratto con Lei, o per il tempo in cui la legge ci impone di conservare tali dati. Fourthline Payments è tenuta per legge a conservare i Suoi dati personali relativi alla Sua registrazione come Cliente per cinque anni dalla cessazione del nostro rapporto d'affari con Lei, o per cinque anni dall'esecuzione di un'operazione ai sensi della Legge olandese sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo (Wet ter voorkoming van witwassen en financieren van terrorisme). Possono verificarsi circostanze (come frodi, requisiti antiriciclaggio, indagini delle autorità di polizia o l'esercizio di azioni legali) in cui siamo obbligati a conservare i Suoi dati personali ancora più a lungo. In caso di frode, possiamo conservare i Suoi dati personali relativi a un reato per un massimo di otto anni.

14 Come proteggiamo i Suoi dati personali

Il Gruppo Fourthline applica un quadro di politiche interne, procedure e misure tecniche e organizzative per mantenere al sicuro i Suoi dati. Ciò include:

• politiche di clean room e rigorosi controlli di accesso;

• crittografia e pseudonimizzazione ove opportuno;

• test e valutazione periodici delle misure di sicurezza, inclusi test di backup e ripristino;

• accordi di riservatezza per tutti i dipendenti con accesso ai dati personali;

• separazione delle strutture di backup dall'archiviazione primaria dei dati.

Nonostante i nostri migliori sforzi, nessuna trasmissione di dati via internet può essere garantita come completamente sicura. Qualsiasi trasmissione ai nostri Siti web avviene a Suo rischio. Una volta ricevuti i Suoi dati, applichiamo rigorosi controlli per prevenire accessi non autorizzati.

15 Come può contribuire a mantenere al sicuro i Suoi dati

Può contribuire a proteggere i Suoi dati personali:

• utilizzando software di protezione degli endpoint aggiornati (come antivirus) e protezione di rete (come firewall);

• scegliendo password sicure e l'autenticazione a più fattori ove disponibile, e mantenendole riservate;

• custodendo i Suoi documenti d'identità fisici, dispositivi e strumenti di pagamento;

• rimanendo vigile durante l'utilizzo di servizi online in cui potrebbero verificarsi attività o tentativi insoliti o fraudolenti contro i Suoi dati.

16 Contatti

Per qualsiasi domanda sulla presente Informativa sulla privacy o su come gestiamo i Suoi dati personali, o per richiedere una copia delle nostre garanzie per i trasferimenti internazionali, La preghiamo di contattare il nostro Responsabile della protezione dei dati:

dpo@fourthline.com

Si prega di notare che questo indirizzo e-mail è riservato esclusivamente alle richieste in materia di privacy dei dati. Tutti gli altri messaggi non verranno elaborati.

Questa è una traduzione dell'Informativa sulla privacy in lingua inglese. Per la terminologia legale, La preghiamo di fare riferimento alla versione inglese, che prevale in caso di discrepanze. Versione: ottobre 2026.