Politica di collaborazione di e.PN con le forze dell’ordine e le autorità governative
La presente Policy disciplina la collaborazione legittima del servizio e.PN con le forze dell’ordine e le altre autorità governative in relazione alle richieste di divulgazione di informazioni riguardanti gli utenti, i loro account e le loro transazioni.
La presente Policy mira a garantire il rispetto della normativa applicabile e dei principi di necessità e proporzionalità, nonché a tutelare i diritti e gli interessi legittimi degli utenti e di terzi. È rivolta esclusivamente alle autorità competenti; i privati, gli avvocati, le agenzie di recupero crediti e le altre entità commerciali devono utilizzare i canali di assistenza clienti e non rientrano nell’ambito di questo documento.
La cooperazione viene svolta in conformità alle leggi della Repubblica delle Seychelles e, ove applicabile, ai trattati internazionali. Di norma, le richieste delle autorità straniere devono essere presentate tramite le procedure di assistenza giudiziaria reciproca (MLA/MLAT), attraverso le autorità centrali designate, salvo espressa diversa disposizione di legge. La Società si riserva il diritto di verificare la competenza dell’autorità richiedente e la corretta forma procedurale della richiesta.
Tutte le richieste delle autorità competenti devono essere presentate tramite il canale di comunicazione ufficiale e.PN, indicando nell’oggetto «Law Enforcement Request». Per la notifica di documenti ufficiali in formato cartaceo, utilizzare il seguente indirizzo postale: Digital Waves LTD., 306 Victoria House, Victoria, Mahé, Seychelles. La richiesta deve provenire da un dominio ufficiale dell’autorità e contenere informazioni sul funzionario responsabile, sul suo dipartimento e sui suoi recapiti, nonché il numero del caso/fascicolo.
Una richiesta deve includere:
- Nome completo dell’autorità, dati di contatto e nome del funzionario responsabile;
- La base giuridica, compreso il riferimento alla normativa applicabile e al tipo di atto procedurale;
- Il numero del caso/fascicolo, la data di emissione, il periodo di validità e l’ambito territoriale dell’indagine;
- Identificativi dell’interessato (almeno uno, preferibilmente diversi), ad esempio: indirizzo e-mail e numero di telefono associati all’account, identificativo utente e.PN, dettagli della carta virtuale (solo le ultime 4 cifre), dettagli della transazione (data/ora (UTC)), importo, valuta, MCC, identificativo dell’esercente, dettagli di ricariche/prelievi, transazioni in criptovaluta (hash, indirizzi dei wallet), identificativi tecnici (indirizzo IP, identificativi dei dispositivi);
- Una descrizione chiara dei dati richiesti e di un periodo di tempo limitato a cui si riferisce la richiesta;
- Informazioni su eventuali divieti di notificare l’utente e sul metodo preferito per la consegna dei materiali.
La società riconosce i seguenti strumenti procedurali e adegua di conseguenza l’ambito delle informazioni divulgate:
- Richiesta legittima (un «ordine di produzione») – informazioni di base sull’account e sulle attività a esso correlate, nei limiti consentiti dalla legge;
- Un'ordinanza/una sentenza del tribunale – un insieme ampliato di dati, che include alcuni registri storici e informazioni sulle transazioni;
- Un mandato di perquisizione e sequestro – accesso a dati protetti o divulgazione obbligatoria, nel rispetto delle garanzie procedurali;
- Ordini di conservazione dei dati («conservazione») – conservazione temporanea di dati specificamente identificati;
- Richieste urgenti («divulgazione di emergenza») – in situazioni di minaccia imminente per la vita e/o di rischio di gravi lesioni personali, con conferma scritta da parte di un responsabile.
La Società può richiedere chiarimenti e limitare formulazioni eccessivamente ampie per rispettare i principi di necessità e proporzionalità.
A seconda del prodotto e dell’effettiva disponibilità dei dati, la Società può conservare:
- Informazioni sull’account (nome/pseudonimo, recapiti, data di registrazione, stato dell’account, informazioni sui consensi);
- Materiali KYC/AML (documenti forniti, risultati dei controlli su sanzioni e PEP, date delle verifiche; l’accesso alle copie dei documenti è concesso solo in presenza di una base giuridica sufficiente);
- Dati relativi alle carte virtuali (tipo, partner emittente, ultime 4 cifre del numero della carta; l’accesso ai dati completi della carta potrebbe essere limitato dai requisiti PCI DSS e dalle policy dei partner bancari);
- Dati delle transazioni (autorizzazioni e registrazioni di compensazione, data/ora (UTC), importo, valuta, MCC, identificativo dell'esercente, stati, codici di rifiuto/chargeback, ricariche/prelievi e rimborsi);
- Informazioni sulle transazioni in criptovaluta, ove applicabile (hash, indirizzi, metadati di instradamento);
- Registri tecnici (indirizzi IP, stringhe user agent, identificatori ausiliari dei dispositivi, registri di autenticazione, telemetria del motore di rischio in misura ragionevole);
- Materiali dell’assistenza clienti (ticket, corrispondenza, allegati, laddove sussista una base giuridica sufficiente).
La Società non è un fornitore di servizi di messaggistica, non memorizza il «contenuto delle comunicazioni» tra gli utenti e non effettua il tracciamento occulto della geolocalizzazione; i dati sulla posizione possono essere presenti solo indirettamente nei registri di rete.
Proporzionalità e minimizzazione dei dati. La società divulga solo i dati necessari per lo scopo indicato e limitatamente al periodo specificato. Si chiede alle autorità di indicare gli identificativi e il periodo pertinente nel modo più preciso possibile.
Notifica utente. In linea generale, la politica della Società è informare l’utente di una richiesta ricevuta, a condizione che tale notifica non sia vietata dalla legge o da un’ordinanza del tribunale e non comporti il rischio di danni, distruzione di prove o interferenze con le indagini. Ove consentito dalla legge, la notifica può essere ritardata o omessa.
Richieste urgenti. In caso di minaccia imminente alla vita o di rischio di gravi lesioni fisiche, un funzionario autorizzato deve presentare una richiesta contrassegnata con «EMERGENZA», accompagnata da una conferma scritta delle circostanze della minaccia e della necessità di una divulgazione immediata. La Società dà priorità a tali richieste e divulga solo la quantità minima di dati necessaria.
Tempi di elaborazione e priorità. Le richieste vengono elaborate durante l’orario di lavoro della Società (dal lunedì al venerdì, 09:00–18:00, UTC+3), esclusi i giorni festivi ufficiali. Le richieste urgenti sono accettate 24 ore su 24 via e-mail con l’apposita indicazione. Quando la legge prevede termini procedurali, la Società si impegna a rispettarli oppure informa l’autorità della necessità di una proroga.
Rimborso spese. Nei casi previsti dalla legge applicabile, la Società può richiedere il rimborso dei costi ragionevoli effettivamente sostenuti per la ricerca, l’elaborazione e il trasferimento dei materiali. Le informazioni sull’importo e sulla procedura di rimborso sono fornite su richiesta dell’autorità.
Chiarimento, limitazione o rifiuto. La Società può chiedere chiarimenti, limitare la portata della divulgazione o rifiutarsi di dare seguito alla richiesta qualora questa non sia conforme alla legge applicabile, esuli dalle competenze dell’autorità, sia eccessivamente ampia, non contenga identificativi sufficienti o violi i diritti e le libertà degli interessati in assenza di un’adeguata base giuridica. Tutte le richieste e le azioni intraprese al riguardo sono registrate nei log interni della Società.
Disposizioni finali. La presente Policy può essere aggiornata di tanto in tanto; la versione attuale è pubblicata sul sito web e.pn. Questo documento non modifica gli accordi con gli utenti né le informative sulla privacy e si applica insieme a essi nella misura in cui riguarda i rapporti con le autorità governative. Inviando una richiesta, l’autorità conferma di disporre dei poteri necessari e di accettare di rispettare i requisiti della presente Policy.
