INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

Questa informativa spiega quali dati personali raccogliamo, per quali finalità li trattiamo, con chi li condividiamo, per quanto tempo li conserviamo e quali diritti puoi esercitare quando utilizzi la piattaforma Rox Pay, i servizi di incasso e di pagamento, il wallet, i terminali POS e i servizi accessori di fatturazione e assistenza, oppure quando visiti i nostri siti.

Rox Pay S.p.A.

Sede legale: Via G. Marconi, 67/A - 53036 Poggibonsi (SI)

Codice Fiscale e Partita IVA: 01524770524

Email: info@roxpay.eu

PEC: roxpay@namirialpec.it

Rox Pay S.p.A. ha designato un Responsabile della protezione dei dati, che puoi contattare per qualsiasi questione relativa al trattamento dei tuoi dati personali e per l'esercizio dei tuoi diritti.

DPO: Dott. Marco Franchi - marco.franchi@roxpay.eu

In alternativa puoi rivolgerti al Titolare ai recapiti indicati al punto 15.

L'informativa si rivolge a:

• (a) le persone fisiche che si registrano e utilizzano un account personale o aziendale;
• (b) i rappresentanti legali, gli amministratori, i procuratori, i dipendenti autorizzati e i titolari effettivi delle società che utilizzano i servizi, i cui dati riceviamo dalla società stessa o da fonti pubbliche ai sensi dell'art. 14 GDPR;
• (c) le persone che eseguono un pagamento verso un esercente che utilizza i nostri servizi, nei limiti descritti al punto 8;
• (d) i visitatori dei nostri siti e i destinatari delle nostre comunicazioni.

La società che ci trasmette i dati di propri rappresentanti, dipendenti o titolari effettivi è tenuta a informarli di questo trattamento e a mettere a loro disposizione la presente informativa.

A seconda dei servizi utilizzati trattiamo:

• (a) dati identificativi e di contatto: nome e cognome, data e luogo di nascita, codice fiscale, residenza o domicilio, email, numero di telefono;
• (b) dati dell'account e di sicurezza: credenziali conservate in forma cifrata, secondo fattore di autenticazione, registri di accesso e di attività, indirizzo IP, identificativi e caratteristiche del dispositivo utilizzato;
• (c) dati societari: informazioni sull'impresa, struttura proprietaria e di controllo, titolarità effettiva, poteri di rappresentanza, atti costitutivi, licenze e autorizzazioni;
• (d) dati di adeguata verifica: documento di identità, prova di residenza, informazioni sull'attività esercitata e sulla provenienza dei fondi, riscontri su liste di misure restrittive internazionali, elenchi di persone politicamente esposte e fonti pubbliche. Le verifiche di identità sono eseguite da Adyen e possono comprendere il confronto tra il documento e un'immagine del volto quando la normativa lo richiede;
• (e) dati di pagamento e di transazione: importi e valute, IBAN, dati identificativi in forma mascherata degli strumenti di pagamento, esiti autorizzativi, saldi e movimenti del wallet, rimborsi, contestazioni e chargeback;
• (f) dati fiscali e di fatturazione, ricevute e documenti contabili;
• (g) contenuto delle comunicazioni con l'assistenza, delle richieste e dei reclami;
• (h) dati di navigazione e informazioni raccolte tramite cookie tecnici (punto 16).

I dati completi delle carte di pagamento non sono conservati sui nostri sistemi: sono raccolti e trattati direttamente dai prestatori certificati PCI DSS che eseguono l'operazione.

Trattiamo categorie particolari di dati (art. 9 GDPR) soltanto quando strettamente necessario e sulla base del tuo consenso esplicito o di un obbligo di legge.

Raccogliamo i dati direttamente da te, quando ti registri, completi l'attivazione, utilizzi i servizi o ci contatti. Riceviamo dati anche dalla società per la quale operi, da registri e fonti pubbliche (registro delle imprese, registri dei titolari effettivi), da elenchi di misure restrittive e di persone politicamente esposte, da banche dati utilizzate per la prevenzione delle frodi, da Adyen e dagli altri prestatori che eseguono i pagamenti e, quando accedi alla piattaforma attraverso un marchio in white label, dal partner che ti ha presentato il servizio.

Trattiamo i tuoi dati per le seguenti finalità:

• (a) attivare e gestire l'account, erogare i servizi, eseguire le operazioni di pagamento, gestire i saldi e fornire assistenza contrattuale: esecuzione del contratto (art. 6(1)(b) GDPR). Il conferimento dei dati è necessario e in mancanza non possiamo attivare i servizi;
• (b) identificare la clientela, eseguire l'adeguata verifica e i controlli sulle misure restrittive, conservare i dati delle operazioni ed effettuare le comunicazioni e le segnalazioni dovute alle autorità: adempimento di obblighi di legge (art. 6(1)(c) GDPR) ai sensi del D.Lgs. 231/2007 e successive modifiche. Il conferimento è obbligatorio;
• (c) prevenire, individuare e gestire frodi, abusi, contestazioni e chargeback, garantire la sicurezza della piattaforma e la continuità del servizio: legittimo interesse (art. 6(1)(f) GDPR) e obblighi imposti dai circuiti di pagamento;
• (d) adempiere agli obblighi contabili, fiscali e di fatturazione: obbligo di legge (art. 6(1)(c) GDPR);
• (e) gestire reclami, contenziosi e recupero dei crediti: legittimo interesse (art. 6(1)(f) GDPR);
• (f) inviare comunicazioni commerciali su servizi analoghi a quelli già utilizzati: legittimo interesse per i clienti, con possibilità di opposizione in qualsiasi momento e senza formalità; consenso (art. 6(1)(a) GDPR) per i contatti che non sono ancora clienti;
• (g) svolgere profilazione commerciale, analisi di mercato e personalizzazione delle offerte: consenso (art. 6(1)(a) GDPR), facoltativo e revocabile in ogni momento. Il rifiuto non pregiudica l'accesso ai servizi.

Per adempiere agli obblighi antiriciclaggio e per prevenire le frodi utilizziamo controlli automatizzati: un filtro preliminare sulle richieste di attivazione, un punteggio di rischio associato a ciascun cliente e regole e soglie che analizzano le operazioni anche in tempo reale.

Questi controlli possono comportare la richiesta di documentazione aggiuntiva, il rifiuto o l'archiviazione di una richiesta di attivazione, il rifiuto o il blocco di una singola operazione, la costituzione di una riserva a garanzia, la sospensione dei servizi o la cessazione del rapporto. La base giuridica è l'adempimento di obblighi di legge e l'esecuzione del contratto.

Le decisioni che producono effetti significativi non sono adottate esclusivamente in modo automatizzato: sono sottoposte alla verifica di un operatore. Hai in ogni caso diritto a ottenere l'intervento umano, a esprimere la tua opinione e a contestare la decisione scrivendo ai recapiti indicati al punto 15.

Non possiamo fornire informazioni la cui comunicazione è vietata dalla normativa antiriciclaggio, in particolare sull'esistenza e sul contenuto di eventuali segnalazioni di operazioni sospette.

Non utilizziamo i dati delle tue operazioni di pagamento per finalità pubblicitarie e non li cediamo a terzi per le loro finalità di marketing.

Quando una persona esegue un pagamento verso un esercente che utilizza i nostri servizi, trattiamo i dati necessari a eseguire, riconciliare e documentare l'operazione. Rispetto a tali dati siamo titolari autonomi per gli obblighi antiriciclaggio, per la prevenzione delle frodi, per la gestione delle contestazioni e per i nostri registri contabili.

I dati che l'esercente inserisce o carica nella piattaforma per la propria attività (anagrafiche dei clienti, causali, documenti, ricevute) sono trattati per suo conto in qualità di responsabili: l'esercente resta titolare di quel trattamento ed è tenuto a fornire ai propri clienti una propria informativa e a verificare la sussistenza di una base giuridica.

Adyen tratta i dati necessari alla custodia dei fondi e all'esecuzione dei pagamenti quale titolare autonomo, come indicato al punto 9.

Persone autorizzate al nostro interno: dipendenti, collaboratori e amministratori, che operano su nostra istruzione, con profili di accesso limitati a quanto necessario.

Responsabili del trattamento: fornitori di infrastruttura, hosting e servizi cloud, servizi di invio di email e SMS, strumenti di assistenza e di firma elettronica, consulenti, revisori e corrieri, vincolati da contratti ai sensi dell'art. 28 GDPR.

Adyen N.V. (istituto di pagamento): riceve i dati identificativi, i documenti e i dati delle operazioni necessari all'apertura del conto di pagamento, alle verifiche di identità (KYC), alla custodia dei fondi e all'esecuzione dei pagamenti. Per tali trattamenti Adyen agisce quale titolare autonomo secondo la propria informativa (adyen.com).

Banche, istituti di pagamento e circuiti di carte: per l'esecuzione delle operazioni, i regolamenti e la gestione delle contestazioni.

Partner in white label: il soggetto che ti ha presentato il servizio, limitatamente ai dati necessari alla gestione del rapporto commerciale.

Soggetti autorizzati per legge: autorità giudiziaria e forze di polizia, Unità di informazione finanziaria, Agenzia delle Entrate, organismi di vigilanza e di controllo.

L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scritta ai recapiti indicati al punto 15. I dati non sono venduti né diffusi.

I dati sono conservati su server situati nell'Unione europea. Alcuni fornitori possono trattare i dati al di fuori dello Spazio economico europeo: in tal caso il trasferimento avviene solo in presenza di una decisione di adeguatezza della Commissione europea oppure di garanzie adeguate ai sensi dell'art. 46 GDPR (clausole contrattuali standard, norme vincolanti d'impresa, certificazioni), integrate ove necessario da misure supplementari.

Copia delle garanzie adottate può essere richiesta ai recapiti indicati al punto 15.

Conserviamo i dati per il tempo necessario alle finalità indicate e, in particolare:

• (a) dati contrattuali, contabili e fiscali: dieci anni dalla cessazione del rapporto;
• (b) dati e documenti di adeguata verifica e delle operazioni: dieci anni dalla cessazione del rapporto o dall'esecuzione dell'operazione occasionale, ai sensi del D.Lgs. 231/2007 e successive modifiche;
• (c) richieste di attivazione non accolte: per il tempo necessario a dimostrare la correttezza della valutazione e ad adempiere agli obblighi antiriciclaggio, e comunque non oltre dieci anni dalla decisione;
• (d) registri tecnici e di sicurezza: dodici mesi, salvo che siano necessari per accertare incidenti o illeciti;
• (e) comunicazioni con l'assistenza: ventiquattro mesi dalla chiusura della richiesta;
• (f) dati trattati per marketing e profilazione: ventiquattro mesi dall'ultimo contatto e in ogni caso fino alla revoca del consenso o all'opposizione.

Alla scadenza i dati sono cancellati o resi anonimi, salvo che debbano essere conservati per un contenzioso in corso o per un ulteriore obbligo di legge.

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR: cifratura dei dati in transito e delle informazioni riservate, pseudonimizzazione ove possibile, controllo degli accessi con autenticazione a più fattori e privilegi minimi, registrazione delle attività, backup e procedure di ripristino, gestione delle vulnerabilità e degli aggiornamenti, formazione del personale, verifiche periodiche e vincoli contrattuali di riservatezza per i fornitori.

Ogni violazione di dati personali è documentata e valutata senza ritardo. Quando comporta un rischio per i diritti e le libertà delle persone la notifichiamo all'autorità di controllo entro settantadue ore dal momento in cui ne veniamo a conoscenza e, se il rischio è elevato, informiamo anche gli interessati, descrivendo la natura della violazione, le probabili conseguenze e le misure adottate per porvi rimedio.

Puoi esercitare in ogni momento i diritti di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità (art. 20) e opposizione (art. 21), revocare i consensi prestati senza che ciò pregiudichi la liceità dei trattamenti già effettuati e proporre reclamo all'autorità di controllo.

Alcuni diritti incontrano limiti previsti dalla legge: non possiamo cancellare o limitare il trattamento dei dati che siamo obbligati a conservare per finalità antiriciclaggio, contabili e fiscali; l'accesso può essere circoscritto quando la comunicazione è vietata dalla normativa antiriciclaggio o quando lederebbe i diritti e le libertà di terzi; la portabilità riguarda i soli dati che ci hai fornito e che trattiamo sulla base del contratto o del consenso.

Email: info@roxpay.eu

DPO: marco.franchi@roxpay.eu

PEC: roxpay@namirialpec.it

Raccomandata A/R: Via G. Marconi, 67/A - 53036 Poggibonsi (SI)

Indica i tuoi dati completi, il diritto che intendi esercitare e un recapito per la risposta. Possiamo chiederti un documento di identità soltanto se non siamo in grado di identificarti con certezza.

Rispondiamo entro un mese dal ricevimento della richiesta; il termine può essere prorogato di due mesi in caso di richieste complesse o numerose, dandotene motivata comunicazione. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive.

Nell'area riservata utilizziamo esclusivamente cookie e identificativi tecnici necessari all'autenticazione, al mantenimento della sessione, alle preferenze di lingua e alla sicurezza: senza di essi la piattaforma non può funzionare e per questo non è richiesto il consenso.

Sui siti pubblici l'eventuale utilizzo di cookie non tecnici, anche di terze parti, è subordinato al consenso raccolto tramite l'apposito banner, che consente di modificare le scelte in qualsiasi momento.

Possiamo aggiornare questa informativa per adeguarla a nuove disposizioni, a modifiche dei servizi o a miglioramenti delle misure di sicurezza. La versione vigente è sempre pubblicata su questa pagina con la data di aggiornamento; le modifiche sostanziali sono comunicate con almeno trenta giorni di preavviso tramite email, avviso sul sito o messaggio nell'area riservata.

Rox Pay S.p.A. - Via G. Marconi, 67/A - 53036 Poggibonsi (SI)

Email: info@roxpay.eu

PEC: roxpay@namirialpec.it

Se ritieni che il trattamento dei tuoi dati personali violi il Regolamento puoi proporre reclamo all'autorità di controllo competente nello Stato in cui risiedi, lavori o in cui si è verificata la presunta violazione, oppure rivolgerti all'autorità giudiziaria.

Garante per la protezione dei dati personali: Piazza Venezia, 11 - 00187 Roma - www.garanteprivacy.it