Regole di verifica dell’identità per il recupero dell’account

La presente pagina descrive le modalità utilizzate per verificare l’identità di un cliente che richiede il recupero dell’accesso al proprio account ashbend. La verifica ha lo scopo di proteggere i dati personali, gli ordini storici, gli indirizzi salvati e le altre informazioni associate al profilo da accessi non autorizzati.

Le verifiche vengono effettuate secondo principi di proporzionalità, minimizzazione dei dati e sicurezza. Non vengono richieste informazioni eccedenti rispetto a quanto ragionevolmente necessario per accertare che la richiesta provenga dal legittimo titolare dell’account.

Una verifica dell’identità può essere necessaria quando il cliente non riesce più ad accedere all’account, ha perso l’accesso al metodo di autenticazione utilizzato, segnala una modifica non riconosciuta dei dati del profilo oppure richiede assistenza per ripristinare credenziali o accessi sensibili.

La verifica può inoltre essere applicata quando una richiesta presenta elementi anomali o quando esistono ragionevoli dubbi sull’identità della persona che la presenta.

Le richieste di recupero dell’account devono essere presentate attraverso il modulo dedicato disponibile sul sito.

Il modulo consente di raccogliere in modo strutturato le informazioni necessarie a identificare l’account e a verificare la legittimità della richiesta.

Per verificare l’identità possono essere richieste informazioni già ragionevolmente associate all’account, come nome e cognome, indirizzo e-mail utilizzato per la registrazione, numero di un ordine precedente o altre informazioni non sensibili utili a distinguere il titolare da un soggetto terzo.

La verifica viene costruita in modo da evitare, quando possibile, la raccolta di documenti o dati più invasivi rispetto a quelli necessari.

Quando il cliente conserva l’accesso all’indirizzo e-mail associato all’account, può essere utilizzato un collegamento temporaneo, un codice monouso o altra procedura di conferma elettronica.

Tali strumenti devono essere utilizzati entro il periodo di validità previsto e non devono essere condivisi con altre persone.

Quando l’accesso all’e-mail originaria non è più disponibile, può essere richiesto di confermare informazioni relative a un acquisto precedente.

Possono essere utilizzati, ad esempio, numero dell’ordine, nome del destinatario, indirizzo di consegna o altre informazioni già presenti nella documentazione contrattuale.

Non viene richiesto al cliente di comunicare dati completi della carta di pagamento, codici di sicurezza o password bancarie.

Un documento di identità non viene richiesto automaticamente per ogni recupero dell’account.

Può essere richiesto soltanto quando esistono ragionevoli dubbi sull’identità e altri metodi meno invasivi non risultano sufficienti, nel rispetto del principio di minimizzazione previsto dalla normativa sulla protezione dei dati.

Quando viene richiesto un documento, vengono raccolte soltanto le informazioni necessarie alla verifica e i dati non pertinenti possono essere oscurati quando ciò non compromette l’accertamento.

Per il recupero dell’account non devono essere inviati il numero completo della carta di credito o debito, il codice CVV/CVC, password bancarie, PIN, codici temporanei di autenticazione, codici di recupero personali o altre credenziali segrete.

ashbend non utilizza tali dati per verificare la titolarità di un account.

Una richiesta di recupero non viene approvata esclusivamente perché una persona conosce il nome o l’indirizzo e-mail associato al profilo.

Quando necessario, vengono utilizzati più elementi di verifica per ridurre il rischio che un soggetto terzo possa assumere il controllo dell’account utilizzando informazioni facilmente reperibili.

La sostituzione dell’indirizzo e-mail principale associato all’account viene trattata come un’operazione sensibile.

Prima della modifica può essere richiesta una verifica supplementare, soprattutto quando il cliente non dispone più dell’accesso all’indirizzo originario.

Una modifica non viene effettuata sulla sola base di una richiesta proveniente da un nuovo indirizzo non verificato.

Quando il numero di telefono è utilizzato come elemento di sicurezza o recupero, la sua modifica può richiedere una conferma aggiuntiva.

La semplice disponibilità di un nuovo numero non costituisce da sola prova sufficiente della titolarità dell’account.

Una richiesta presentata da un dispositivo o da un contesto tecnico non abituale può essere sottoposta a verifiche supplementari quando ciò è proporzionato al rischio.

La presenza di un dispositivo nuovo non determina automaticamente il rifiuto della richiesta, ma può rendere necessario confermare ulteriori informazioni.

Numerosi tentativi di accesso o recupero non riusciti in un breve periodo possono determinare un blocco temporaneo delle funzioni di recupero per proteggere l’account da tentativi automatizzati o fraudolenti.

Il blocco di sicurezza non comporta la cancellazione del profilo e viene gestito secondo le procedure tecniche applicabili.

Quando le informazioni disponibili non consentono di verificare con sufficiente affidabilità che la richiesta provenga dal legittimo titolare, l’accesso all’account può non essere ripristinato.

Questa misura serve a evitare che dati personali e ordini storici vengano comunicati a una persona non autorizzata.

Il rifiuto del recupero dell’account non elimina eventuali diritti relativi agli ordini già effettuati, che possono essere gestiti attraverso le procedure di assistenza previste sul sito previa verifica appropriata dell’identità.

Se il cliente ritiene che il proprio account sia stato utilizzato da una persona non autorizzata, è consigliabile avviare immediatamente la procedura di recupero e modificare, quando possibile, le credenziali associate.

Possono essere applicate misure temporanee di sicurezza per proteggere il profilo durante la verifica.

Dopo una verifica positiva, il cliente può essere invitato a creare una nuova password o a completare un altro passaggio di autenticazione.

La nuova password dovrebbe essere sufficientemente robusta, diversa da quelle utilizzate su altri servizi e non condivisa con terzi.

Quando tecnicamente possibile e opportuno per la sicurezza, il recupero dell’account può comportare la chiusura delle sessioni precedentemente attive, soprattutto in presenza di un sospetto accesso non autorizzato.

Ciò riduce il rischio che una sessione compromessa continui a essere utilizzata dopo il ripristino delle credenziali.

Il recupero dell’account non modifica i dati storici degli ordini già validamente registrati.

Una volta ripristinato l’accesso, lo storico disponibile nel profilo può essere nuovamente consultabile secondo le funzionalità offerte dal sito e i periodi di conservazione applicabili.

Durante la verifica vengono raccolte soltanto le informazioni proporzionate al livello di rischio e necessarie a confermare l’identità.

Non vengono richiesti automaticamente dati aggiuntivi quando l’identità può essere verificata in modo sufficientemente affidabile attraverso elementi già disponibili.

Le informazioni utilizzate per il recupero dell’account vengono conservate soltanto per il periodo necessario a completare la verifica, documentare la sicurezza della procedura e gestire eventuali contestazioni o obblighi applicabili.

I dati non necessari non vengono conservati indefinitamente esclusivamente perché sono stati forniti durante una procedura di recupero.

Le informazioni richieste per la verifica devono essere inviate esclusivamente attraverso il modulo dedicato o gli strumenti sicuri messi a disposizione dal sito.

Non è consigliabile inviare documenti o credenziali sensibili attraverso canali pubblici, commenti, social network o altre modalità non previste dalla procedura ufficiale.

Quando una richiesta di recupero comporta l’accesso a dati personali, ashbend può adottare misure ragionevoli per verificare l’identità del richiedente, in coerenza con gli obblighi di sicurezza e con le regole del Regolamento (UE) 2016/679.

La verifica deve essere proporzionata e non viene utilizzata come ostacolo artificiale all’esercizio dei diritti dell’interessato.

Il recupero dell’account è distinto dall’esercizio dei diritti previsti dal GDPR.

Un utente che non riesce a recuperare il proprio account conserva comunque il diritto, quando ne ricorrono i presupposti, di presentare una richiesta di accesso, rettifica, cancellazione o altro diritto privacy attraverso il modulo dedicato.

Per tali richieste può essere effettuata una verifica dell’identità proporzionata alla natura dei dati richiesti e al rischio di comunicazione a soggetti non autorizzati.

Le richieste di recupero vengono esaminate nel più breve tempo ragionevolmente possibile in funzione della complessità della verifica e delle informazioni disponibili.

Quando la richiesta riguarda anche l’esercizio formale di un diritto previsto dal GDPR, si applicano i relativi termini legali, normalmente entro 1 mese dal ricevimento, salvo le proroghe consentite dalla normativa.

ashbend non chiede mai al cliente di dimostrare la propria identità comunicando password, PIN bancari, codici CVV/CVC o codici temporanei ricevuti dalla banca.

Se una richiesta apparentemente collegata ad ashbend domanda tali informazioni, il cliente non deve fornirle e dovrebbe utilizzare esclusivamente i canali ufficiali disponibili sul sito.