Policy antifrode e di sicurezza
Niente slogan sulla crittografia di livello bancario: i meccanismi specifici, chi custodisce cosa e ciò che non coprono.
1. Finalità e ambito
1.1 Finalità. Questa Policy descrive le misure che Nelvoi Ltd mantiene per prevenire le frodi, proteggere i conti e mettere in sicurezza la Piattaforma, e cosa puoi fare tu per proteggerti.
1.2 Ambito. Si applica a ogni utente della Piattaforma e copre la prevenzione delle frodi, i controlli di sicurezza, la verifica dell'identità, la gestione degli incidenti e la ripartizione delle responsabilità tra noi e te.
1.3 Una nota sulla fase attuale. NELVOI non è ancora stata lanciata. I controlli qui sotto descrivono il programma così come viene costruito e come opererà; ciò che è già in funzione oggi riguarda questo sito web.
I saldi in valuta fiat sono presso partner emittenti e bancari autorizzati, su conti separati dal denaro operativo della società.
Apple Pay e Google Pay consegnano all'esercente un token monouso. Un negozio che subisce una violazione non può far trapelare la tua carta.
Le criptovalute non sono coperte da alcun sistema di garanzia dei depositi, da nessuna parte. Preferiamo scriverlo qui piuttosto che lasciartelo supporre il contrario.
2. Come è custodito davvero il tuo saldo
«I tuoi fondi sono al sicuro» è la frase meno utile di questo settore. Ciò che conta è chi custodisce fisicamente il denaro, se è mescolato con quello della società e cosa ne è se la società sparisce. Sono tre domande diverse e hanno tre risposte diverse a seconda che il saldo sia in valuta fiat o in crypto.
Saldi in valuta fiat. Il denaro caricato su una carta è presso i partner emittenti e bancari autorizzati che gestiscono il programma carte, su conti segregati: tenuti separati dal denaro operativo di NELVOI e identificati come appartenenti ai clienti. La segregazione è ciò che rende quei saldi restituibili ai clienti invece che disponibili ai creditori della società. È un meccanismo diverso dall'assicurazione sui depositi, protegge da un fallimento diverso, e non confonderemo i due: una garanzia sui depositi bancari ti rimborsa se la banca fallisce; la segregazione fa sì che il denaro non sia mai stato della società, quindi non può perderlo.
Saldi in crypto. Le criptovalute che invii vengono convertite in un saldo fiat spendibile, non tenute come posizione di investimento: la carta spende valuta fiat, e la conversione avviene in entrata. Le eventuali crypto detenute temporaneamente durante questo processo sono presso un partner di custodia regolamentato, non in chiavi conservate sui nostri portatili. Nulla di tutto questo è coperto da un sistema di garanzia dei depositi in nessuna parte del mondo, perché nessun sistema del genere copre le crypto. Chi ti dice il contrario o è confuso o sta vendendo qualcosa.
Cosa succede in caso di insolvenza. I fondi segregati dei clienti non sono beni della società, ed è proprio questo lo scopo della segregazione. In un'insolvenza vengono identificati come denaro dei clienti e restituiti attraverso la procedura prevista nella giurisdizione dell'emittente. Quella procedura richiede tempo, settimane o mesi, non ore, e preferiamo che tu lo sappia ora piuttosto che scoprirlo nel momento peggiore.
L'avvertenza onesta. NELVOI non è ancora stata lanciata, e i paragrafi qui sopra descrivono come è strutturato il programma, non un servizio attivo che custodisce i tuoi soldi oggi. Il partner emittente specifico, la giurisdizione e l'accordo di salvaguardia saranno indicati in questa pagina e nei termini prima dell'apertura dei conti.
3. I nostri controlli
Quattro livelli. Ognuno ha un costo per noi, ed è da questo che capisci che sono reali.
Verifica dell'identità
Un documento rilasciato da un'autorità pubblica controllato per autenticità, una prova di vivacità che il volto corrisponda, la conferma della residenza e lo screening sulle liste di sanzioni e di persone politicamente esposte. I rapporti a rischio più alto ricevono un'adeguata verifica rafforzata, e lo screening continua dopo l'onboarding, perché le liste cambiano.
Sicurezza del conto
Autenticazione a due fattori, obbligatoria per prelievi, modifiche di sicurezza e aggiunta di un dispositivo. Crittografia in transito e a riposo. Scadenza automatica delle sessioni e un elenco dei dispositivi connessi che puoi chiudere da remoto. L'accesso del personale è basato sui ruoli, con privilegi minimi e registrato.
Monitoraggio delle transazioni
Screening in tempo reale, analisi comportamentale per individuare schemi incoerenti con l'uso normale di un conto, controlli di velocità e limiti, screening delle controparti rispetto alle sanzioni, e avvisi automatici esaminati da una persona invece che chiusi automaticamente.
Infrastruttura
Firewall e rilevamento delle intrusioni, gestione delle vulnerabilità e aggiornamenti, pratiche di sviluppo sicuro, monitoraggio continuo e penetration test indipendenti come parte del programma pre-lancio, insieme all'esame di sicurezza del partner emittente, che ogni programma carte deve superare prima di partire.
4. Sicurezza del conto
La carta e il saldo contano meno del conto a cui sono collegati. La maggior parte delle perdite nella finanza al dettaglio inizia con qualcun altro che entra in un conto, non con una violazione tecnica.
Autenticazione a due fattori
Disponibile su ogni conto e obbligatoria per le azioni sensibili: prelievi, modifica delle impostazioni di sicurezza, aggiunta di un nuovo dispositivo. Chi ha solo la tua password non va da nessuna parte.
Controllo di dispositivi e sessioni
Ogni dispositivo connesso è elencato con la sua ultima attività, e ognuno può essere disconnesso da remoto. Se una sessione ti sembra sospetta, puoi chiuderla senza aspettare l'assistenza.
Avvisi sulle azioni che contano
Una notifica per ogni pagamento, e per le modifiche alle impostazioni di sicurezza, all'email registrata o al numero di telefono. Il silenzio è ciò che permette a un furto di conto di passare inosservato per giorni.
Un periodo di attesa sulle modifiche sensibili
Cambiare l'email o il numero di telefono di un conto limita temporaneamente i prelievi. Per te è un fastidio una volta sola; per chi ha appena rubato le tue credenziali è un ostacolo serio.
5. Proteggersi dalle frodi
Queste misure fermano gli attacchi che vanno davvero a segno. Nessuna è tecnica.
Una password unica e l'autenticazione a due fattori
Unica, così una violazione di un altro sito non è una violazione di questo. A due fattori, così una password rubata da sola non basta. Preferisci un'app di autenticazione agli SMS: una SIM può essere clonata.
Non condividere mai un codice
La tua password, un codice a due fattori, il numero completo della carta e qualsiasi frase di recupero non ci servono mai e non te li chiederemo mai. Chi ne chiede uno non siamo noi, qualunque sia l'aspetto dell'indirizzo del mittente.
Raggiungici digitando l'indirizzo
Non seguire i link in messaggi inattesi. Apri nelvoi.com da solo. Un link che sembra corretto in un'email è la parte più economica di un kit di phishing.
Diffida dell'urgenza
La pressione ad agire subito è il tratto comune di quasi ogni truffa riuscita. Una richiesta legittima sopravvive a un'ora di tempo per controllarla.
Metti al sicuro il dispositivo e l'account email
La tua email è la via di reimpostazione per tutto il resto; proteggila almeno quanto i tuoi soldi. Tieni il software aggiornato ed evita operazioni finanziarie su reti pubbliche.
Controlla prima di confermare
Destinatario, rete, importo, valuta. Su una blockchain un errore qui è definitivo: vedi la sezione 7.
6. Se qualcosa va storto
Cosa fare, in ordine. I primi due passi dipendono da te e sono quelli che fermano l'emorragia.
Blocca la carta
Un tocco nel pannello, o da qualsiasi dispositivo da cui riesci ad accedere. I nuovi pagamenti vengono rifiutati immediatamente e il saldo resta dov'è. Fallo prima di ogni altra cosa: richiede pochi secondi ed è reversibile.
Cambia la password e disconnetti gli altri dispositivi
Se pensi che qualcun altro abbia accesso al conto e non solo alla carta, questo è il passo che lo esclude. Entrambe le opzioni sono nelle impostazioni di sicurezza.
Scrivi all'assistenza
A [email protected], dall'indirizzo del conto se puoi. Spiega cosa è successo e quando. Rispondiamo entro un giorno lavorativo, e le segnalazioni di conto compromesso saltano la coda.
Noi indaghiamo e interveniamo
Possiamo bloccare le carte, bloccare un dispositivo, riemettere un numero di carta e conservare la registrazione della transazione per una contestazione. Ciò che non possiamo fare è annullare un trasferimento blockchain completato: nessuno può.
7. Dove sta la responsabilità
7.1 La nostra. Mantenere i controlli della sezione 3; indagare tempestivamente sulle segnalazioni; bloccare ciò che va bloccato; conservare la registrazione delle transazioni; avvisare te e le autorità quando una violazione lo richiede.
7.2 La tua. Tenere al sicuro credenziali e dispositivi; attivare le funzioni di sicurezza che mettiamo a disposizione; controllare le transazioni prima di confermarle; segnalare tempestivamente qualsiasi operazione non autorizzata.
7.3 Ciò che non possiamo annullare. Come stabilito nei Termini e condizioni, non siamo responsabili per le perdite derivanti da credenziali che hai divulgato, da accessi non autorizzati tramite un'autenticazione compromessa, da phishing o ingegneria sociale in cui hai fornito tu le informazioni, o da transazioni che hai autorizzato, anche se sei stato ingannato nell'autorizzarle. Non è una clausola che nascondiamo: è il motivo per cui esiste la sezione 5, e il motivo per cui la frode con pagamento autorizzato è la più difficile da rimediare in tutta la finanza.
7.4 Ciò che nessuno può annullare. Un trasferimento blockchain completato non può essere annullato da noi, dai nostri partner né da nessun altro. Dove il recupero è tecnicamente possibile lo tenteremo, senza addebitare nulla per il tentativo.
8. Gestione degli incidenti
8.1 Procedura. Manteniamo procedure documentate di risposta agli incidenti per rilevarli e contenerli, indagare sulle cause, attuare misure correttive e avvisare le persone coinvolte.
8.2 Notifica. Quando un incidente riguarda le tue informazioni personali o il tuo conto, ti avviseremo come e quando la legge applicabile lo richiede, senza ritardi ingiustificati, con ciò che sappiamo e ciò che ti consigliamo di fare. Non ritarderemo una notifica per finire di scriverne una che suoni meglio.
8.3 Forze dell'ordine. Collaboriamo con le forze dell'ordine e le autorità di vigilanza che indagano su frodi e crimini informatici, e possiamo segnalare attività sospette senza avvisarti dove la legge lo consente o lo richiede: vedi la policy antiriciclaggio sul perché a volte non possiamo dirtelo.
9. I controlli sono tuoi, non da richiedere a noi
La maggior parte dei danni a un conto avviene nell'ora prima che qualcuno raggiunga l'assistenza. Quindi ciò che li ferma è nell'app, non dietro una coda telefonica.
- Blocco con un tocco — i nuovi pagamenti vengono rifiutati subito, il saldo resta dov'è
- Sostituisci il numero — gratis, senza spostare il conto né il denaro
- Conferma sul tuo telefono — 3-D Secure sui pagamenti a rischio più alto, così un numero rubato non basta
- Dati dietro una nuova autenticazione — il numero completo compare solo quando lo chiedi
10. Cosa non è coperto
Essere chiari sui limiti conta più di un elenco più lungo di rassicurazioni.
Le criptovalute non sono coperte dalla protezione dei depositi. I sistemi pubblici di garanzia dei depositi proteggono i depositi bancari, non i saldi in crypto. Gli asset detenuti in crypto comportano un rischio di mercato e non sono assicurati contro di esso.
I trasferimenti blockchain sono definitivi. Se invii fondi all'indirizzo sbagliato o sulla rete sbagliata, nessuno può annullarlo. Controlla sempre la rete prima di inviare: è il modo più comune in assoluto in cui le persone perdono denaro, e non ha nulla a che fare con la nostra sicurezza.
Nessuno di NELVOI ti chiederà mai la password, il codice 2FA o il numero completo della carta. Chi lo fa si sta spacciando per noi. Il nostro unico indirizzo di assistenza è [email protected].
11. Domande sulla sicurezza
I fondi dei clienti sono custoditi su conti segregati presso partner regolamentati, separati dal denaro della società, ed è questo che permette di restituirli ai clienti invece di trattarli come beni della società. Non è la stessa cosa dell'assicurazione sui depositi, e non la descriveremo come tale.
Vengono inviati a un fornitore di verifica regolamentato che esegue il controllo. Noi riceviamo il risultato e i dati richiesti dalla legge, non una copia di tutto ciò che hai caricato.
Accedi da un altro dispositivo e blocca le tue carte, oppure scrivi a [email protected] e le blocchiamo noi per te. Il saldo resta dov'è: è legato al tuo conto verificato, non al tuo dispositivo.
I penetration test indipendenti fanno parte del programma pre-lancio, insieme all'esame di sicurezza del nostro partner emittente, che ogni programma carte deve superare prima di partire.
No, e vale la pena essere precisi sul perché. I sistemi di garanzia dei depositi, l'FSCS nel Regno Unito, la FDIC negli Stati Uniti, le direttive europee sulla garanzia dei depositi, coprono i depositi presso banche autorizzate. Un saldo carta presso un partner regolamentato di moneta elettronica o di emissione è invece tutelato tramite la segregazione: il tuo denaro è tenuto separato da quello della società, così resta tuo invece di diventare un bene dell'impresa. I saldi in crypto non sono coperti da nulla, da nessuna parte. Qualsiasi fornitore che sostenga che i suoi saldi in crypto sono assicurati sta descrivendo qualcosa di diverso dall'assicurazione sui depositi.
Possiamo bloccare un conto, e in alcune situazioni siamo tenuti a farlo per legge. La normativa antiriciclaggio obbliga le imprese regolamentate e i loro partner a trattenere o rifiutare transazioni in circostanze definite, e in alcune giurisdizioni vieta anche di dirti il motivo in quel momento. Non possiamo prendere i tuoi soldi per uso nostro: i fondi segregati non sono nostri. La policy antiriciclaggio spiega cosa fa scattare un controllo e cosa possiamo e non possiamo dirti.
Nella maggior parte dei casi sono irrecuperabili, ed è il modo più comune in assoluto in cui le persone perdono denaro in crypto: non ha nulla a che fare con la sicurezza di alcun fornitore. Inviare USDT sulla catena sbagliata, o a un indirizzo di un asset diverso, significa in genere che i fondi sono persi. Controlla la rete prima di confermare. Dove un recupero è tecnicamente possibile ci proveremo, ma non possiamo prometterlo e non ti addebiteremo nulla per il tentativo.
Non ti chiederemo mai la password, un codice a due fattori, il numero completo della carta o la frase di recupero: né per email, né per telefono, né in chat, mai. Il nostro unico indirizzo di assistenza è [email protected] e il nostro unico sito è nelvoi.com. Se un messaggio chiede una di queste cose, non siamo noi, qualunque sia l'aspetto dell'indirizzo del mittente. Inoltralo a [email protected] e cancellalo.
Non vendiamo dati personali. I dati sono condivisi con le parti necessarie a far funzionare il servizio, il fornitore di verifica che esegue i controlli d'identità, i partner emittenti e bancari che custodiscono i saldi ed elaborano i pagamenti, e i circuiti che instradano le transazioni, e con le autorità dove la legge lo richiede. L'informativa sulla privacy elenca le categorie e i motivi.
I penetration test indipendenti fanno parte del programma pre-lancio, insieme all'esame di sicurezza del nostro partner emittente, che ogni programma carte deve superare prima di partire. I programmi carte ereditano anche i requisiti PCI DSS che si applicano al trattamento dei dati delle carte, ed è uno dei motivi per cui i numeri completi delle carte sono gestiti dalla piattaforma di emissione e non conservati da noi.
Da leggere dopo
- Una carta crypto è sicura? I rischi sono reali, ma non sono quelli di cui la gente si preoccupa. Ecco cosa protegge davvero il denaro, e da cosa non lo protegge niente. Leggi →
- La verifica, e perché non si può aggirare Ogni emittente di carte chiede chi sei prima di emettere qualsiasi cosa. Ecco cosa viene controllato davvero, e cosa fa tornare un controllo respinto. Leggi →
Ancora niente in questa categoria.
Questo documento è disponibile in più lingue. In caso di discrepanza tra le versioni, prevale la versione inglese.