Identificare un cliente dall'app: CIE, NFC e adeguata verifica

Per molte attività, far registrare un cliente online è questione di un'email e una password. Per chi ha obblighi antiriciclaggio no: prima di vendere bisogna sapere chi è il cliente, verificarlo e conservarne i dati per anni.

Lo abbiamo affrontato costruendo l'app Aurelia Gold per Aurelia, un operatore professionale in oro di Frosinone. Qui raccontiamo come funziona un'identificazione fatta bene, dentro un'app.

In breve: per Aurelia Gold, l'app di un operatore professionale in oro di Frosinone, Evitouch ha costruito l'identificazione dei clienti in quattro passaggi: recapiti verificati con codici monouso, lettura via NFC del chip della Carta d'Identità Elettronica, questionario di adeguata verifica e controllo di un operatore prima dell'attivazione dell'account. Dopo la registrazione il profilo va tenuto aggiornato, e la legge impone di conservare i dati dell'identificazione per dieci anni.

Chi è obbligato all'adeguata verifica

L'adeguata verifica della clientela è l'insieme di controlli descritto dall'articolo 18 del D.Lgs. 231/2007, la normativa antiriciclaggio italiana: identificare il cliente e verificarne l'identità su fonti affidabili e indipendenti, individuare l'eventuale titolare effettivo, raccogliere informazioni sullo scopo e sulla natura del rapporto e controllarlo per tutta la sua durata. L'articolo 3 elenca chi deve farla: banche e intermediari finanziari, professionisti come notai, avvocati e commercialisti, e altri operatori non finanziari, tra cui gli operatori professionali in oro e gli agenti di mediazione immobiliare.

Per loro l'identificazione non è un passaggio da accorciare. È un obbligo, con responsabilità precise, e un'app deve rispettarlo per intero. Nel mondo finanziario si parla di KYC, e dentro un'app tutto passa dall'onboarding, cioè dal percorso con cui il cliente si registra.

Perché una foto del documento non basta

La strada più semplice sarebbe chiedere di fotografare la carta d'identità. Ma una foto prova soltanto che esiste un'immagine: può essere ritoccata, o ritrarre la copia di un documento che non è nelle mani di chi si sta registrando.

La Carta d'Identità Elettronica ha un chip, e il chip permette due verifiche che una foto non consente. La prima controlla che i dati siano firmati dall'autorità che ha emesso la carta e che nessuno li abbia alterati. La seconda chiede al chip di dimostrare di possedere la propria chiave privata: una carta clonata può contenere una copia dei dati, ma non quella chiave, e non saprebbe rispondere.

Per questo in Aurelia Gold il sistema non accetta foto del documento né dati scritti a mano: l'identità si legge dal chip, oppure la registrazione non va avanti.

I quattro passaggi di un'identificazione in app

1. Recapiti verificati

L'email si conferma con un codice monouso, e da lì in avanti si accede con un codice via SMS. Nessuna password da ricordare, né da farsi rubare.

2. Il chip della carta

Il cliente digita il CAN, il codice stampato sulla carta, poi la appoggia al telefono. Il CAN serve solo ad aprire il dialogo con il chip e non lascia mai il dispositivo. Il sistema riconosce anche una carta già registrata.

3. Il questionario

L'adeguata verifica non si ferma all'identità. In Aurelia Gold le domande sono nove, tutte obbligatorie e una per schermata: lo scopo del rapporto, se si opera per conto proprio o di terzi, la professione, la fascia di reddito, l'origine dei fondi, la frequenza e l'importo medio previsti, l'eventuale esposizione politica e una dichiarazione di veridicità. Chi agisce per conto di terzi non può comprare dall'app: quegli acquisti si possono chiedere soltanto in sede.

4. Una persona che approva

L'ultima parola non spetta al software. La registrazione fatta dall'app resta in attesa finché un operatore non completa la verifica e la approva, e fino a quel momento il cliente vede soltanto la schermata di revisione. In alternativa ci si registra allo sportello, con l'operatore che legge la carta davanti al cliente e attiva subito l'account.

Il controllo costante dopo la registrazione

Un profilo antiriciclaggio invecchia. Per questo il cliente deve riconfermare periodicamente le proprie dichiarazioni, e finché non lo fa gli acquisti restano sospesi. Se una risposta cambia, la modifica passa all'esame di un operatore, e le versioni precedenti restano archiviate.

Lo stesso vale per il documento: la data di scadenza si legge dal chip, il cliente riceve un avviso trenta giorni prima, e alla scadenza gli acquisti si fermano finché non legge la carta rinnovata.

Infine ogni ordine pagato viene confrontato con quanto il cliente aveva dichiarato. Quando qualcosa non torna, il sistema genera una segnalazione, e a valutarla è un operatore.

Conservazione dei dati: antiriciclaggio e GDPR

Qui si incontrano due leggi che tirano in direzioni opposte. Il GDPR dà al cliente il diritto di chiedere la cancellazione dei propri dati. La normativa antiriciclaggio impone di conservare per dieci anni i dati dell'identificazione e le operazioni.

Un'app per un settore regolato deve gestire entrambe le cose, e dirlo chiaramente. In Aurelia Gold il cliente chiede l'eliminazione dell'account dall'app stessa: vengono cancellati l'accesso, i recapiti, il piano di accumulo e le preferenze di notifica. Restano invece conservati per dieci anni i dati del documento, custoditi cifrati, le risposte al questionario e gli ordini. Il cliente lo sa prima di chiederlo, perché è scritto nella pagina di Aurelia sull'eliminazione dell'account.

Nel frattempo quei dati non sono a disposizione di chiunque: ogni volta che un operatore apre il fascicolo di un cliente, il sistema registra chi l'ha fatto e quando.

Una registrazione fatta bene non è la più corta: è quella che non va rifatta.

Tre scelte per un percorso di verifica che si completa

Un percorso di verifica fatto male costa due volte: le persone lo abbandonano a metà, e chi arriva in fondo rischia di essere stato verificato in modo insufficiente. Tre scelte valgono per qualunque settore.

Una domanda per schermata. Nove schermate brevi pesano meno di un modulo lungo.

Il documento letto dal chip. Niente errori di trascrizione, niente foto sfocate da rifare, e la certezza che la carta sia vera.

Un messaggio chiaro alla fine, che dica cosa succede adesso. In Aurelia Gold l'ultima schermata conferma che la richiesta è in revisione, spiega cosa manca per completare la verifica e avvisa che arriverà una notifica appena l'account sarà approvato.

Abbiamo raccontato l'intero progetto, dal portale della fonderia al piano di accumulo, nel case study di Aurelia Gold.

Cosa serve per portare la lettura della CIE nella tua app

Quattro cose, prima ancora del codice. Un percorso alternativo per chi ha un telefono senza NFC, come la registrazione allo sportello. Una schermata che spieghi cos'è il CAN e dove si trova sulla carta. Un back-office in cui una persona esamina e approva le registrazioni. E regole chiare su cosa si conserva, per quanto tempo e chi può vederlo, decise con chi segue la conformità dell'azienda prima di iniziare lo sviluppo.

FAQ

Tutti gli smartphone leggono la CIE?

Serve uno smartphone con NFC. Sui modelli che ne sono privi la lettura del chip non è possibile, ed è bene prevedere un percorso alternativo, per esempio la registrazione allo sportello.

Cos'è il CAN della carta d'identità elettronica?

È il Card Access Number, il codice stampato sulla CIE. Serve all'app per aprire un canale protetto con il chip prima di leggerlo via NFC. Non va confuso con il PIN, che serve invece per entrare nei servizi online con la CIE. In Aurelia Gold il CAN non lascia mai il telefono.

KYC e adeguata verifica sono la stessa cosa?

Sono concetti vicini, ma non identici. KYC, da Know Your Customer, è il nome internazionale del processo con cui un'azienda identifica e conosce i propri clienti. Adeguata verifica della clientela è il nome degli obblighi che in Italia fissa il D.Lgs. 231/2007. In un'app entrambi passano dall'onboarding.

La lettura via NFC sostituisce il riconoscimento di persona?

Non da sola. Leggere il chip con il CAN prova che la carta è autentica e non alterata, non che sia nelle mani del suo titolare. L'articolo 19 del D.Lgs. 231/2007 elenca i casi in cui l'identificazione vale anche senza la presenza fisica del cliente, e quale strada seguire lo decide chi cura la conformità dell'attività. In Aurelia Gold, in ogni caso, nessun account si attiva senza un operatore.

Per quanto tempo si conservano i dati antiriciclaggio?

Dieci anni. Lo stabilisce l'articolo 31 del D.Lgs. 231/2007: documenti, dati e informazioni raccolti per l'adeguata verifica si conservano per dieci anni dalla fine del rapporto con il cliente o dall'operazione occasionale. Nel caso di Aurelia il termine decorre dall'eliminazione dell'account, e la richiesta di cancellazione prevista dal GDPR non lo accorcia.

La lettura della CIE serve anche fuori dal settore dell'oro?

Il meccanismo non dipende dal settore: la stessa lettura del chip può servire a un'agenzia immobiliare o a uno studio professionale che deve identificare i propri clienti. Cambiano gli obblighi e le procedure, e se basti a identificare un cliente senza incontrarlo lo stabilisce chi segue la conformità dell'attività.

Evitouch sviluppa app con verifica dell'identità?

Sì. Evitouch ha sviluppato l'identificazione dei clienti di Aurelia Gold, dalla lettura della CIE via NFC al questionario di adeguata verifica, fino al controllo di un operatore. Evitouch è un'agenzia di comunicazione digitale di Alatri, in provincia di Frosinone, e progetta app iOS e Android per aziende che hanno obblighi di legge da rispettare: trovi come lavoriamo nella pagina sullo sviluppo di app e software su misura.

Hai clienti da identificare prima di vendere?

Prenota una call gratuita con il nostro team: in 30 minuti capiamo insieme quali passaggi della tua verifica possono diventare digitali e quali devono restare allo sportello.

Questo articolo descrive le scelte di progetto di un'app realizzata da Evitouch. Non è una consulenza legale: la conformità di un processo alla normativa antiriciclaggio va sempre valutata da un professionista.

Evitouch è un'agenzia di comunicazione digitale con sede ad Alatri, in provincia di Frosinone, e uffici a Londra. Sviluppiamo siti web e app per aziende e professionisti in tutta Italia.