Sicurezza dei dati e KYC su 8lends: come tutto è protetto
Foto del documento, selfie, indirizzo del wallet: chi custodisce davvero i tuoi dati su 8lends e perché la piattaforma non può fisicamente toccare i tuoi fondi.
8lends lavora con due categorie di dati sensibili: dati KYC (foto del documento, selfie, informazioni personali) e dati on-chain (indirizzo del wallet, cronologia delle transazioni). I dati KYC sono conservati presso Sumsub — un provider con certificazioni ISO 27001, SOC 2 e conformità GDPR, non presso 8lends. I dati on-chain sono pubblici per natura della blockchain. La piattaforma opera secondo un modello non-custodial — 8lends non possiede la chiave privata del tuo wallet e non può fisicamente prelevare i fondi. La verifica AML del wallet è obbligatoria per tutti gli investimenti — è un requisito regolamentare di base.
Quali dati raccoglie 8lends
| Categoria | Cosa include | Dove viene conservato |
|---|---|---|
| Dati KYC (identità) | Foto del passaporto/ID, selfie, nome, data di nascita, cittadinanza, indirizzo | Presso Sumsub, non presso 8lends |
| Dati AML (wallet) | Indirizzo del wallet, cronologia delle transazioni, risk scoring | Presso il provider AML + on-chain |
| Dati transazionali | Investimenti, pagamenti, claim, vendite sul Secondary Market | On-chain (pubblico) + area personale |
| Email e notifiche | Email (facoltativo), impostazioni delle notifiche | Presso 8lends, cifrato |
| Dati di contatto | Richieste al supporto, corrispondenza | Presso 8lends |
Dati KYC — chi li conserva e come li protegge
Il KYC viene effettuato tramite Sumsub — un provider internazionale di identity verification, utilizzato da grandi exchange (Binance, OKX, Bybit) e da piattaforme finanziarie regolamentate.
Certificazioni e standard di Sumsub:
- ISO 27001 — standard internazionale di sicurezza delle informazioni
- SOC 2 Type II — audit del controllo di sicurezza, disponibilità e riservatezza
- PCI DSS — standard di protezione dei dati di pagamento
- Conformità GDPR (UE) — requisiti per la protezione dei dati personali
- Conformità CCPA (California) — diritti alla riservatezza
- GDIC (Global Digital Identity Certification) — Sumsub è stato il primo provider a ottenere questa certificazione (agosto 2024)
Cosa significa in pratica:
- 8lends non conserva la foto del documento e non conserva il selfie — dopo il KYC restano solo presso Sumsub
- Cifratura at-rest — i dati presso Sumsub sono cifrati lato archiviazione
- Cifratura in-transit — trasmissione dei dati tramite TLS
- Audit esterni regolari — gli standard ISO 27001 e SOC 2 richiedono verifiche annuali da parte di revisori indipendenti
- I dati biometrici sono trattati secondo lo standard ISO/IEC 30107 (Biometric Presentation Attack Detection)
Verifica AML del wallet — obbligatoria per tutti
Per ogni investimento (compresi quelli fino a $500 senza KYC) il wallet viene sottoposto a una verifica AML automatica. È un requisito di base del regolatore (PCMLTFA in Canada, FATF Travel Rule).
Cosa viene verificato:
- Liste sanzionatorie: OFAC (USA), UN, EU, HM Treasury (UK)
- Collegamento con cripto-mixer (Tornado Cash e simili)
- Cronologia di interazione con servizi della darknet
- Collegamento con indirizzi fraudolenti noti o hack
- Collegamento con giurisdizioni presenti nelle liste sanzionatorie
Cosa NON è richiesto per l'AML:
- Documenti d'identità (questo è il KYC, non l'AML)
- Selfie o biometria
- Informazioni sul datore di lavoro
L'AML lavora solo con i dati on-chain pubblici del tuo wallet. Non è necessaria alcuna informazione privata per la verifica.
Dati on-chain — cosa è pubblico e cosa no
La blockchain Base è pubblica per natura. Ciò significa:
Cosa è visibile pubblicamente:
- L'indirizzo del tuo wallet
- L'intera cronologia delle transazioni di quell'indirizzo
- I saldi di USDC, ETH e altri token
- L'interazione con lo smart contract di 8lends
- L'importo di ogni investimento e in quale progetto
Cosa NON è visibile pubblicamente:
- La tua identità (nome, passaporto) — questo è off-chain presso Sumsub
- Il collegamento tra l'indirizzo e una persona reale
- Il contenuto dei messaggi al supporto
Questa è pseudonimità — il tuo wallet è visibile a tutti, ma senza i dati KYC i terzi non sanno chi ne sia il proprietario. 8lends conosce il collegamento «indirizzo ↔ KYC» all'interno del proprio sistema, ma non lo pubblica on-chain.
Modello non-custodial — cosa significa per la sicurezza
8lends opera secondo il principio non-custodial: la piattaforma non ha il controllo sui tuoi fondi.
Cosa significa tecnicamente:
- 8lends non conosce la tua seed phrase — la conosci solo tu
- 8lends non possiede la chiave privata del tuo wallet
- Ogni transazione richiede la tua firma nel wallet (MetaMask, Trust Wallet)
- La piattaforma non può addebitare USDC senza una conferma esplicita tramite il wallet
- In caso di hack dei server di 8lends i tuoi fondi restano sulla blockchain sotto il tuo controllo
Risk surface — cosa viene ridotto
Tabella comparativa dei rischi custodial vs non-custodial:
| Scenario | Piattaforma custodial (exchange) | 8lends (non-custodial) |
|---|---|---|
| Hack dei server | Rischio elevato di perdita dei fondi | I fondi sulla blockchain sono al sicuro |
| Fallimento della piattaforma | Fondi congelati, rimborso non garantito | Fondi disponibili nel wallet |
| Il regolatore chiude la piattaforma | Accesso al prelievo bloccato | I fondi restano on-chain |
| Smarrimento della password della piattaforma | Recupero tramite KYC | Non applicabile (non c'è password) |
| Smarrimento della seed phrase del wallet | Non applicabile | Fondi persi per sempre |
La principale responsabilità dell'investitore nel modello non-custodial è la conservazione della seed phrase.
Tempi di conservazione dei dati
| Tipo di dati | Tempo di conservazione | Base giuridica |
|---|---|---|
| Dati KYC | Minimo 5 anni dopo la fine del rapporto | PCMLTFA (Canada), FATF Recommendation 11 |
| Verifiche AML | Minimo 5 anni | FATF, PCMLTFA (Canada) |
| Dati transazionali | Minimo 5 anni | PCMLTFA (Canada) |
| Email e corrispondenza con il supporto | Fino a 3 anni dopo la cessazione del rapporto | GDPR + esigenze aziendali |
| Cookie di sessione | Sessione (fino alla chiusura del browser) | Tecnici |
I tempi sono conformi agli standard internazionali, tra cui FATF Recommendation 11 e i requisiti di conservazione dei registri della PCMLTFA canadese. La conservazione dei dati oltre il minimo di base può avvenire nei casi in cui i dati siano critici per indagini o procedimenti giudiziari in corso.
I tuoi diritti come investitore
In conformità con il GDPR (per i residenti UE) e con norme analoghe di altre giurisdizioni, hai il diritto di:
- Richiedere una copia dei tuoi dati — quali dati sono conservati, dove, in quale formato
- Richiedere la correzione di dati inesatti
- Richiedere la cancellazione dei dati (con riserve — alcuni dati devono essere obbligatoriamente conservati per l'AML)
- Opporti al trattamento dei dati per finalità di marketing
- Richiedere la portabilità dei dati — ricevere i dati in formato leggibile da una macchina
- Presentare reclamo all'autorità di controllo del paese di residenza
Per esercitare questi diritti — contattare tramite [email protected] indicando la richiesta specifica.
Sicurezza del wallet — a carico dell'investitore
8lends protegge i dati dalla propria parte, ma la sicurezza del wallet è responsabilità dell'investitore. Raccomandazioni di base:
- Annotare la seed phrase su carta, conservarla separatamente dal dispositivo, non nel cloud e non sul telefono
- Non comunicare mai la seed phrase a nessuno, incluso il "supporto 8lends" (noi non la richiediamo)
- Hardware wallet (Ledger / Trezor) — la soluzione migliore per somme ingenti
- Autenticazione a due fattori su email ed exchange
- Anti-phishing: verificare sempre l'URL — solo app.8lends.io, nessun clone
- Aggiornamenti regolari del wallet e del sistema operativo
- Wallet separato per gli investimenti — non mescolarlo con il wallet per gli esperimenti DeFi
Maggiori dettagli sulla scam-protection
Protezione regolamentare dei dati
| Regolatore / norma | Cosa si applica a 8lends |
|---|---|
| PCMLTFA / FINTRAC (Canada) | AML/CFT, identificazione dei clienti, conservazione dei registri, reportistica a FINTRAC |
| PIPEDA e PIPA (Canada, British Columbia) | Protezione dei dati personali |
| FATF Travel Rule | Trasmissione dei dati del mittente/destinatario delle transazioni |
| GDPR (per i clienti UE) | Diritti di accesso, cancellazione, portabilità |
| CCPA (per i clienti della California) | Equivalente del GDPR negli USA |
| PolyReg SRO / FINMA | Standard svizzeri AML tramite Maclear AG |
Cosa 8lends NON fa con i dati
- Non vende i dati a terzi
- Non utilizza i dati KYC per pubblicità di marketing
- Non trasmette la biometria a terzi (resta presso Sumsub)
- Non pubblica il collegamento «indirizzo ↔ identità» on-chain
- Non conserva le informazioni di pagamento (le carte sono gestite da MoonPay)
- Non ha accesso alla tua chiave privata o alla tua seed phrase
Domande frequenti
Dove vengono conservate esattamente le foto dei miei documenti? Presso Sumsub — il provider KYC. Sumsub ha data center nell'UE (per la conformità GDPR) e negli USA. L'esatta collocazione geografica è nella Sumsub Privacy Policy. 8lends riceve da Sumsub solo il risultato della verifica (passed/rejected/pending), non i documenti stessi.
Qualcuno può scoprire che investo su 8lends tramite la blockchain? È visibile che l'indirizzo del tuo wallet interagisce con lo smart contract di 8lends — questo è pubblico. Ma chi sta dietro a quell'indirizzo non viene pubblicato. Il collegamento «indirizzo ↔ identità» è noto solo a 8lends e Sumsub nei loro sistemi interni e non viene divulgato pubblicamente senza una base giuridica.
E se mi hackerano e mi rubano la seed phrase? È una situazione critica. 8lends non può recuperare i fondi — il wallet e il suo contenuto sono controllati interamente dalla seed phrase. È una proprietà fondamentale del Web3. Per questo la protezione della seed phrase è l'aspetto più importante della sicurezza personale.
Il regolatore può richiedere i miei dati a 8lends? Sì, in presenza di una base legale (richiesta giudiziaria, indagine AML/CFT, verifica fiscale con assistenza legale internazionale). 8lends è obbligata a trasmettere i dati al regolatore su richiesta — è una norma standard per tutte le piattaforme finanziarie regolamentate. Ma senza una base legale i dati non vengono trasmessi.
8lends trasmette i dati alle autorità fiscali? Non automaticamente. 8lends non presenta dichiarazioni fiscali per tuo conto: dichiarare i tuoi redditi è tua responsabilità come investitore. In caso di richiesta ufficiale da parte di un'autorità fiscale (ad esempio tramite assistenza legale internazionale) — i dati vengono trasmessi.
E se Sumsub viene hackerata? Sumsub possiede ISO 27001, SOC 2 Type II e audit esterni regolari. Questo riduce il rischio, ma non lo elimina completamente. In caso di breach — Sumsub è obbligata a informare gli utenti e i regolatori in conformità con il GDPR. Per l'utente ciò significa un rischio di fuga dei dati KYC (foto del documento, selfie) — gli stessi rischi che si avrebbero con l'hack di qualsiasi banca o exchange con KYC.
Come cancellare i propri dati da 8lends? Tramite richiesta a [email protected]. Verranno cancellati: email, corrispondenza con il supporto, dati di marketing. Non possono essere cancellati (per requisiti regolamentari): dati KYC e verifiche AML (minimo 5 anni secondo FATF / la PCMLTFA canadese), registri transazionali. Alla scadenza dei termini regolamentari — i dati vengono cancellati.
È sicuro tenere somme ingenti su 8lends? 8lends è una piattaforma non-custodial, quindi i fondi non sono su 8lends, ma nel tuo wallet. «Somme ingenti su 8lends» tecnicamente significa «somme ingenti nel mio wallet, investite negli smart contract di 8lends». La protezione consiste in:
- Hardware wallet (Ledger/Trezor) per somme ingenti
- Audit CertiK + Cyberscope per gli smart contract di 8lends
- Diversificazione su più progetti
- Wallet di riserva per altri esperimenti
8lends utilizza cookie o tracking? Solo cookie tecnici per il funzionamento dell'interfaccia. Per il tracking di marketing viene utilizzato in misura minima — solo analisi aggregata senza collegamento a un utente specifico.
Dove trovare il testo completo della Privacy Policy? Su app.8lends.io nella sezione documenti — Privacy Policy e Terms & Conditions. Questi documenti vengono aggiornati regolarmente in base ai cambiamenti del contesto regolamentare.
Vedi anche:
Informativa: 8lends è una piattaforma gestita da CLEARCHAIN CORP, registrata presso FINTRAC (Canada) come Money Services Business. Maclear AG (Svizzera), membro di PolyReg SRO sotto la supervisione di FINMA, opera come Collateral Agent. Il KYC tramite Sumsub è conforme ai requisiti di identificazione dei clienti della PCMLTFA (Canada). Sumsub possiede le certificazioni ISO 27001, SOC 2 Type II, PCI DSS e la conformità GDPR. Quadro normativo aggiornato a settembre 2026.