Perché è importante esaminare l’informativa sulla privacy prima di registrarsi
L’informativa sulla privacy e le condizioni relative alla raccolta dei dati personali di un exchange di criptovalute vanno lette prima di creare un account, non dopo il primo tentativo di accesso non riuscito o la prima richiesta di verifica. Sembra ovvio, eppure molti utenti aprono la pagina di registrazione, inseriscono il proprio numero di telefono e solo allora scoprono che, in base a un’informativa che non hanno mai letto, l’exchange chiede una scansione del passaporto, una prova di residenza e un selfie.
L’informativa è importante in tre momenti distinti: apertura dell’account, procedura di onboarding e accesso successivo. Se l’exchange dichiara di aver bisogno solo della tua email per la registrazione, ma la schermata successiva ti chiede altri dati, sai già che c’è una discrepanza da verificare. Un exchange può offrire una procedura semplice con email e password. Un altro può richiedere una verifica completa dell’identità (KYC) prima ancora di permetterti di accedere alla dashboard.
Leggi prima la sezione sulla raccolta dei dati. Cerca la frase che spiega perché l’exchange richiede ciascun dato. Se la risposta è vaga, come «per migliorare i servizi», non è sufficiente, da sola, per decidere con prudenza se registrarti. Un’informativa con esempi chiari è più facile da considerare affidabile di una scritta in modo elegante ma priva di dettagli.
C’è una conseguenza pratica da tenere presente: una volta inviato un documento, non puoi comportarti come se l’exchange non lo avesse mai ricevuto. Anche se in seguito chiudi l’account, l’informativa potrebbe prevedere la conservazione di alcuni dati per controlli antifrode, obblighi fiscali o gestione delle controversie. Quella singola clausola può essere più importante di un bonus di benvenuto.
Individua le categorie di dati menzionate nell’informativa
Inizia elencando una per una le categorie indicate. Una policy solida di solito distingue i dati identificativi, i recapiti, i dati del dispositivo, i dati delle transazioni, i dati comportamentali e le informazioni facoltative del profilo. Se l’exchange raggruppa tutto sotto la voce «dati dell’utente», chiediti perché abbia bisogno di una categoria così ampia.
I dati identificativi spesso includono il nome e cognome legali, la data di nascita e il numero di un documento d’identità rilasciato da un ente pubblico. I recapiti di solito comprendono l’indirizzo e-mail, il numero di telefono e l’indirizzo postale. I dati del dispositivo possono includere l’indirizzo IP, il tipo di browser, il sistema operativo e la versione dell’app. Nessuno di questi dati è di per sé insolito, ma la policy dovrebbe indicare quali vengono raccolti e per quale scopo.
I dati comportamentali meritano particolare attenzione. Possono includere gli orari di accesso, le pagine visualizzate, i clic, la durata della sessione e la fonte di provenienza. Alcuni exchange menzionano anche i comportamenti di trading o gli indicatori di rischio. Una frase come «monitoriamo l’utilizzo per rilevare gli abusi» ti dice che l’exchange sta tracciando più dei soli dati statici del profilo.
Le informazioni facoltative del profilo sono quelle meno evidenti. Possono includere la foto del profilo, il nickname, l’occupazione, le note sulla provenienza dei fondi o le preferenze dell’account. Facoltativo non significa sempre innocuo. Significa solo che il campo non è obbligatorio nella fase iniziale. Se stai confrontando degli exchange, è qui che conviene verificare la formulazione confrontandola con un’altra guida, ad esempio come analizzare le tendenze del mercato crypto, perché il comportamento della piattaforma spesso cambia quando aumenta l’attività degli utenti.
Una buona abitudine: copia le categorie di dati in un elenco con due colonne, «indicati nell’informativa» e «richiesti effettivamente nella schermata». Questo semplice confronto permette di individuare subito eventuali sorprese.
Distingui i dati obbligatori, facoltativi e dedotti
Non tutti i campi hanno lo stesso status. I campi obbligatori sono quelli che la piattaforma di scambio dichiara indispensabili per poter procedere. I campi facoltativi sono quelli che puoi lasciare vuoti. I dati dedotti sono più complicati, perché la piattaforma dichiara che potrebbe ricavarli dal modo in cui usi il servizio o dai controlli effettuati dai partner.
I campi obbligatori di solito includono l’indirizzo email, la password, il nome e una forma di verifica dell’identità. Alcune piattaforme di scambio richiedono già in questa fase anche un numero di telefono o il Paese di residenza. Se vedi un asterisco in un modulo, leggi la nota accanto. Anche una sola casella obbligatoria può riguardare il consenso alle comunicazioni di marketing, l’accettazione dei cookie o entrambi.
I campi facoltativi dovrebbero restare tali. Se l’informativa chiede il nome del datore di lavoro, l’esperienza di trading o la provenienza dei fondi, ma indica che questi dati sono facoltativi, puoi fermarti e chiedere perché siano rilevanti. A volte il motivo è normativo. A volte, invece, il modulo è progettato male. C’è differenza.
I dati dedotti sono il punto in cui l’informativa diventa più tecnica. La piattaforma di scambio potrebbe dichiarare di dedurre l’affidabilità del dispositivo, il rischio dell’account o la probabile posizione geografica dai modelli di accesso e dai segnali relativi all’indirizzo IP. Potrebbe dedurre se un utente sta usando un bot, una rete condivisa o una sessione sospetta. Non equivale a fornire direttamente questi dati, ma in molte informative rientra comunque nel trattamento dei dati personali.
Una breve regola può aiutare: se la piattaforma di scambio può dedurlo, probabilmente può usarlo. E se può usarlo, potrebbe anche condividerlo in base a un accordo sul trattamento dei dati.
Verifica i punti di raccolta dei dati durante il percorso dell’utente
I dati personali raramente vengono raccolti in un unico luogo. La registrazione raccoglie le informazioni di base. La verifica KYC raccoglie i documenti d’identità. Le chat con l’assistenza possono raccogliere tutto ciò che scrivi nella casella dei messaggi, inclusi screenshot, dati del conto e riferimenti bancari. Una policy che afferma che i dati possono essere raccolti «tramite le interazioni» copre un ambito molto ampio.
Anche il consenso ai cookie è un punto di raccolta. Da desktop, la piattaforma di scambio potrebbe monitorare il comportamento di navigazione prima ancora che tu abbia completato il modulo di registrazione. Su dispositivo mobile, le autorizzazioni dell’app possono consentire l’accesso alla posizione, alla fotocamera, ai contatti o alla memoria, a seconda di ciò che l’app richiede. Se l’app chiede di accedere alla fotocamera per verificare i documenti, è normale. Se chiede di accedere ai contatti senza un motivo chiaro, fai domande.
È facile non accorgersi dei link di referral. Un codice referral può rivelare quale partner ti ha indirizzato alla piattaforma e collegare così il tuo conto a una registrazione di affiliazione. Anche l’uso delle API può comportare la raccolta di dati, soprattutto se colleghi bot, strumenti per il portafoglio o software di rendicontazione. Se utilizzi strumenti insieme al tuo conto, può essere utile leggere una guida correlata come API per sviluppatori per l’analisi dei blog di investimento, perché l’accesso alle API spesso modifica i dati registrati.
Anche i messaggi all’assistenza meritano un’attenzione a parte. Un utente che scrive «il mio indirizzo sul passaporto è cambiato l’anno scorso» ha appena aggiunto altri dati personali al proprio profilo. Un altro utente che carica un estratto conto per spiegare l’esito negativo di una fase di verifica ha probabilmente ampliato l’insieme di file conservati dall’exchange. Questi dettagli tendono a rimanere negli archivi dei ticket.
Il percorso è importante perché la raccolta dei dati è cumulativa. Un modulo di registrazione può sembrare breve, ma quando si aggiungono KYC, cookie, cronologie delle chat e autorizzazioni, il fascicolo che ti riguarda può diventare molto più ampio del previsto.
Esamina la condivisione dei dati, i responsabili del trattamento e l’accesso di terzi
La maggior parte degli exchange non gestisce tutto internamente. In determinate circostanze, può condividere i dati con fornitori di servizi di verifica, strumenti di analisi, società affiliate, autorità di regolamentazione o altri fornitori di servizi. L’informativa dovrebbe specificare chi riceve quali dati e perché. In caso contrario, non puoi sapere quante persone o organizzazioni hanno accesso ai tuoi dati.
I fornitori di servizi di verifica sono comuni. Possono controllare i documenti d’identità, individuare le frodi o convalidare gli indirizzi registrati. Gli strumenti di analisi possono monitorare l’uso dell’app, le segnalazioni di arresto anomalo e le prestazioni. Le società affiliate possono ricevere dati su referral e campagne, mentre le autorità di regolamentazione o le forze dell’ordine possono ottenere documenti nei casi previsti dalla legge.
Fai attenzione a espressioni generiche come «partner fidati» o «terze parti selezionate». Possono comprendere molte realtà diverse. Una policy più utile indica le categorie e lo scopo di ogni condivisione. Se un fornitore si occupa solo dell’invio delle email, è diverso da un fornitore che conserva documenti d’identità.
Ecco una verifica pratica: se dalla policy non riesci a capire se il destinatario è un responsabile del trattamento o un titolare del trattamento, la formulazione è troppo vaga. Chiedi all’assistenza a quale categoria appartiene il destinatario e se può riutilizzare i dati per finalità proprie. La risposta può rivelare una differenza sostanziale in termini di responsabilità.
Un altro aspetto da considerare: alcune policy consentono ai fornitori di servizi di operare in più Paesi e i dati possono essere trasferiti insieme a loro. Questo non significa automaticamente che lo scambio sia rischioso, ma vuol dire che dovresti leggere la sezione sui trasferimenti, non solo quella sulla condivisione.
Controlla le condizioni di conservazione, cancellazione e chiusura dell’account
La conservazione dei dati è un aspetto che spesso sorprende gli utenti. Un exchange può dichiarare di conservare i dati personali per il tempo necessario a fornire il servizio, rispettare gli obblighi di legge, prevenire le frodi o risolvere le controversie. Questo può significare che l’account viene chiuso, ma i dati restano. La policy dovrebbe specificare se le richieste di cancellazione prevedono delle eccezioni.
Verifica se l’exchange distingue tra diversi tipi di documenti. La scansione di un documento d’identità potrebbe essere conservata per un periodo diverso rispetto a un ticket di assistenza o a un registro delle operazioni. I dati delle transazioni spesso vengono conservati più a lungo di una pagina del profilo, perché l’exchange potrebbe averne bisogno per ragioni contabili, di audit o normative. Una policy potrebbe persino specificare che alcuni documenti non possono essere eliminati prima che sia trascorso un periodo prestabilito.
Le indicazioni sulla cancellazione dovrebbero essere specifiche. Se l’exchange afferma che «può cancellare» i dati su richiesta, è una formulazione più vaga rispetto a una promessa di cancellarli, fatte salve alcune eccezioni. Se dice che la chiusura dell’account non elimina subito le copie di backup, dovresti saperlo prima di caricare file sensibili. Il silenzio su questo punto è un campanello d’allarme.
A volte la policy parla di anonimizzazione anziché di cancellazione. Questo può significare che il tuo nome viene rimosso, mentre i registri di utilizzo restano in forma aggregata. Utile per l’exchange. Meno soddisfacente per l’utente. La distinzione è importante perché un documento privo del tuo nome potrebbe comunque essere ricondotto a te tramite identificativi interni.
Se ti serve un termine di paragone concreto, chiedi all’assistenza se i dati degli account chiusi vengono conservati per 30 giorni, 90 giorni o più a lungo. Se l’assistenza non risponde, la policy potrebbe fare la stessa cosa con una formulazione meno esplicita.
Individua i riferimenti ai trasferimenti transfrontalieri e alla base giuridica
Le clausole sui trasferimenti transfrontalieri sono spesso nascoste verso la fine. Potrebbero indicare che i dati vengono conservati o trattati in un altro Paese, talvolta al di fuori della giurisdizione in cui risiedi. È importante perché le tutele legali, le modalità per risolvere le controversie e l’accesso delle autorità di controllo possono variare da un luogo all’altro.
Cerca anche le indicazioni sulla base giuridica. Una policy può basarsi sul consenso, sull’esecuzione di un contratto, sul legittimo interesse, su un obbligo legale o sulla prevenzione delle frodi. Il consenso è la base più facile da capire, ma non è sempre quella utilizzata dalla piattaforma. Il legittimo interesse può riguardare i controlli di sicurezza, il miglioramento della piattaforma o la gestione dei rischi, purché la piattaforma spieghi come ha valutato il bilanciamento degli interessi.
Se la piattaforma menziona obblighi di conformità, leggi con attenzione. Spesso queste parole giustificano la conservazione dei dati e la loro condivisione con le autorità. Se menziona il legittimo interesse, controlla se la policy fornisce degli esempi invece di limitarsi a indicare una generica base giuridica. Una base giuridica senza esempi è solo una risposta a metà.
Le indicazioni sui trasferimenti transfrontalieri possono comparire anche nelle sezioni dedicate ai cookie e alle analisi. I dati sul tuo dispositivo, browser e sessione potrebbero essere inviati a fornitori in un’altra regione, anche se il tuo account è locale. Ecco perché è così importante distinguere tra il tracciamento sul sito web e la verifica dell’account.
Per una panoramica più ampia delle norme sui cambiamenti regionali, puoi consultare anche cosa è cambiato nelle regole degli exchange di criptovalute, poiché le indicazioni sui trasferimenti spesso rispecchiano i cambiamenti normativi più fedelmente di quanto faccia la pagina iniziale.
Decidere se registrarsi fornendo il minimo indispensabile di dati
La decisione di iscriversi fornendo il minimo di dati parte da una domanda: di cosa hai bisogno adesso e cosa può aspettare? Se vuoi solo consultare i prezzi, potrebbero bastare email e password. Se vuoi fare trading, potrebbero essere necessari controlli d’identità. Se vuoi prelevare valuta fiat, la piattaforma potrebbe chiederti altri dati. La risposta dipende dalla funzionalità, non dagli slogan.
Prima di completare la verifica, fai all’assistenza tre domande dirette. Primo: quali campi sono obbligatori per creare un account? Secondo: quali servono solo per i prelievi o per ottenere limiti più elevati? Terzo: è possibile lasciare vuoti i campi facoltativi del profilo senza perdere l’accesso? Queste tre risposte possono evitarti di condividere più dati del necessario.
Un utente prudente può anche rimandare il caricamento dei documenti finché la piattaforma non conferma il motivo preciso della raccolta. Se l’informativa dice che un documento è necessario per rispettare la legge, chiedi a quale categoria di norme si riferisce. Se dice che il documento serve a prevenire le frodi, chiedi se accetta copie con i dati oscurati. Anche piccole differenze sono importanti.
C’è anche una semplice abitudine pratica: conserva gli screenshot delle schermate di iscrizione e la data della versione dell’informativa. Se in seguito la piattaforma modifica le condizioni, saprai a cosa avevi acconsentito il primo giorno. Questa documentazione torna utile quando l’assistenza clienti dice che la policy «ha sempre detto così».
Per chi confronta i prodotti prima di iscriversi, lo stesso approccio è utile anche per il trading. Se controlli già come confrontare il trading spot prima di effettuare ordini, presta la stessa attenzione ai dati personali. L’exchange richiede alcuni dati. Sei tu a decidere quanti fornirne e quando.
Un ultimo passaggio: non caricare più documenti di quanti ne richieda l’informativa in quella fase. Se l’exchange ha bisogno solo di una prova d’identità, non inviare una dichiarazione dei redditi. Se basta un selfie, non aggiungere una bolletta, a meno che non te la richieda espressamente l’assistenza. Stabilire limiti chiari protegge sia l’account sia la persona che c’è dietro.
