Come condividere i documenti in modo sicuro per KYC

KYC (Know Your Customer) è una procedura obbligatoria per casinò e servizi fintech autorizzati. Ma il trasferimento dei documenti è un momento ad alto rischio, con phishing, furto di file dalla posta, mirror senza HTTPS e fughe accidentali attraverso le nuvole. Di seguito è come il giocatore inviare i documenti il più sicuro possibile e ciò che l'operatore deve fare da parte sua.

Parte 1. Trasferimento sicuro di documenti KYC - passaggi per il giocatore

1) Verificare l'autenticità del canale

Accedi solo dal segnalibro al dominio ufficiale per https ://( serratura senza errori).

Trasmettere i file tramite il portale KYC integrato nello studio privato o nell'applicazione mobile.

Non inviare i documenti alle chat/messaggistica/social media o alle mail personali dei dipendenti.

Se è stato chiesto di mandarlo alla posta, lo chieda all'ufficio. Se necessario, utilizzare un archivio protetto (vedere paragrafo 6).

2) Preparare i file corretti

Formato: JPEG/PNG a colori per foto o PDF per scene.

Qualità: senza filtri, tutto è leggibile; non tagliare gli angoli, non migliorare con le neurosette.

Che cosa è possibile chiudere:

Su un estratto conto bancario: nascondi il saldo/transazioni non correlate, lascia il FIO, l'indirizzo, la data e le informazioni richieste dall'operatore;
sul conto dei servizi pubblici, puoi nascondere le somme.
Che non può essere chiuso: FIO, data di nascita, numero di documento, foto, zona MRZ e scadenza se l'operatore chiede una copia completa. Segui le istruzioni ufficiali: a volte è consentito nascondere parzialmente (ad esempio, 6 numeri su 8), a volte no.

3) Selfie/« liveness »- come fare correttamente

Foto senza occhiali/cappelli/filtri, buona luce.

Se si desidera un selfie con un documento, tenere accanto un secondo foglio con scritto «Per KYC in , data». Non chiudere i dati del documento, la scritta è su carta separata e non sul documento stesso.

4) Rimuovi i metadati in eccesso

Prima di caricare, rimuovere EXIF (geolocalizzazione/modello di telefono) nelle proprietà del file o tramite l'editor incorporato. Per PDF, disattivare Track changes/Comments e salvare come documento piatto.

5) Nomi e ordine

Chiamatelo «ID _ Petrov _ 2025-10-22». jpg`, `UtilityBill_Petrov_2025-09. pdf`.

Non inserire i documenti nel «sharing» condiviso, solo il caricamento di indirizzi nel portale KYC.

6) Se la posta (come eccezione)

Configura v.zip/.7z con la crittografia AES, passa la password ad altri canali (ad esempio, tramite un messaggio nello studio).

Non scrivere «passaporto/ID» nell'argomento della lettera - Usa termini neutri.

7) Controlla la conferma

Dopo il download, attendere lo stato dello studio (ricevuto/in convalida/approvato).

Attivare le notifiche relative agli ingressi e alle modifiche del profilo. in caso di attività strane, cambia immediatamente la password e blocca le sessioni.

8) Tempi e diritti

Scopri la conservazione e il collegamento alla privacy.

Nel settore autorizzato si dispone di diritti GDPR/analoghi: accesso ai dati, correzione, restrizione dell'elaborazione e rimozione dopo la scadenza dei tempi obbligatori.

Parte del 2. Cosa deve fornire l'operatore (per quanto riguarda l'accettazione e lo storage di KYC)

A) Ricevimento protetto

HTTPS/TLS 1 completo. 2/1. 3, HSTS, divieto mixed-content, CSP rigoroso; mTLS e crittografia per CDN.

In-app/portale KYC - Download solo dopo login, secure-links monouso scaduto.

Anti-fishing: DMARC (p = reject), MTA-STS/TLS-RPT, monitoraggio CT dei domini doppie.

B) Minimizzazione e validazione

Richiedi solo ciò di cui hai bisogno (SoF/SoW alle soglie).

Regole chiare per mascherare i campi superflui negli estratti; un elenco di formati e esempi validi.

C) Protezione di file e chiavi

Crittografia at rest, segregazione delle reti, accesso ai privilegi più bassi.

KMS + HSM per chiavi, rotazione e controllo.

Antivirus/saning allegati, «scarico di sabbia» per i file dannosi.

D) Processi e verifiche

Registri di accesso invariati (chi ha guardato/copiato), DLP-alert.

Conservazione formale e rimozione automatica con atto/login.

Formazione dello Zapport: niente «reimpostazione per data di nascita», solo per regolamento.

Canale DSAR (Data Subject Access Sollest) e SLA per le risposte all'utente.

E) UX e trasparenza

Procedura guidata di avvio passo con esempi di cosa chiudere/cosa lasciare.

Stato della richiesta visibile, ETA e elenco dei documenti mancanti.

Pagina Protezione dati: obiettivi, autorizzazioni, scadenze, contatti DPO.

Errori frequenti e come evitarli

Errore	Cosa è pericoloso	Come è corretto
Invia documenti a Telegram/Posta al gestore	Perdita di controllo, fughe dalle caselle di posta	Solo portale KYC; e-mail - Archivio crittografato in caso estremo
Caricamento sullo specchio senza HTTPS	MITM, furto di account e documenti	Controlla sempre https ://e il dominio lettera-in-lettera
Miglioratori ridisegnati	Rifiuto per «sospetto di modifica»	Nessun filtro; luce/nitidezza - ok, ma non cambiare il contenuto
Chiusi i campi critici sull'ID	Ricontrollo, ritardi nel pagamento	Seguire le istruzioni per chiudere solo ciò che è consentito
File con geometria/EXIF	Dati personali superflui	Rimuovi EXIF prima del download
Collegamento pubblico al cloud	Accesso estraneo, indicizzazione	Solo collegamenti privati con l'esportazione o download in diretta sul portale

Foglio di assegno per il giocatore (stampa)

Entro nel sito tramite https ://dal segnalibro; dominio senza «sostituzione».
Scarico solo tramite il portale KYC (non tramite chat/posta elettronica).
Elaborato file leggibili senza filtri; EXIF eliminato.
Sugli estratti conto la maschera in eccesso secondo le istruzioni.
Un selfie/foglio con scritto «per KYC in , data» (se necessario).
Ha ottenuto lo stato nello studio; Le notifiche di accesso/modifica sono attivate.
So dove guardare i tempi di conservazione e come richiedere la rimozione dopo il termine.

Foglio di assegno per l'operatore

HTTPS/TLS 1. 2/1. 3, HSTS, CSP; crittografia per CDN, mTLS per API interne.
Portale KYC con secure-links e scadenza, senza «ricevimento via posta».
Politica di minimizzazione: chiaro ciò che chiediamo e come mascherare il superfluo.
Crittografia at rest; KMS + HSM; Accesso ai ruoli login di accesso e DLP.
Antivirus/sabbia incorporato, scansione EXIF/metadati.
Ritenzione e rimozione automatica Canale DSAR Insegnare lo zappone.
Antifishing: DMARC (p = reject), monitoraggio CT, avvisi nello studio.

Mini FAQ

È possibile incollare parte del numero di documento?

Solo se è esplicitamente consentito dall'istruzione. Altrimenti, datemi una copia completa.

Perché non prendere via e-mail?

La posta diventa spesso fonte di fuoriuscite. Il portale KYC integrato è preferito; e-mail: solo con un archivio e una password crittografati su un altro canale.

È necessario eliminare i file dopo la verifica?

Il giocatore, sì, è locale. L'operatore conserva la legge/licenza entro i limiti previsti.

Perché eliminare EXIF?

In EXIF, le geometrie e le parti del dispositivo sono dati personali superflui, non necessari per la convalida.

La trasmissione sicura di documenti KYC è due azioni: (1) utilizzare il canale corretto (portale ufficiale KYC su HTTPS) e (2) ridurre al minimo i dati superflui (eliminare i metadati, mascherare solo quelli consentiti). Da parte dell'operatore, l'infrastruttura protetta, la minimizzazione, i processi di accesso rigorosi e la comunicazione comprensibile sono critici. Questo approccio allo stesso tempo accelera la verifica, protegge la privacy e riduce i rischi per tutti.