Il significato ristretto
Il KYC è un processo di verifica dell'identità. In questo contesto di hosting, no-KYC descrive un modello di account senza controlli di routine sui documenti d'identità. Non equivale a un servizio che non tratta dati personali.
I record di cui un servizio può aver bisogno
KoalaVPS non conserva log delle attività svolte sui server dei clienti. Gli identificativi dell'account, i registri di autenticazione, gli ordini, i riferimenti di pagamento e i messaggi all'assistenza possono comunque essere necessari per fornire e proteggere l'account. No-KYC e l'assenza di log delle attività del server descrivono parti diverse dell'informativa sulla privacy; nessuno dei due rende private le transazioni pubbliche su blockchain.
Il tuo carico di lavoro resta una tua responsabilità
Mantieni il software aggiornato, proteggi gli utenti delle applicazioni e adotta pratiche lecite di trattamento dei dati. La registrazione minima di un provider di hosting non cambia i tuoi obblighi verso le persone i cui dati sono trattati dalla tua applicazione.
Fai domande concrete
Cosa viene raccolto alla registrazione? Cosa appare nei log del server? Dove sono i backup? Quale azienda stipula il contratto con te? Come vengono gestite le richieste? Risposte chiare rendono significativa una scelta di privacy.
Lo pseudonimato non equivale all'essere non osservabili
Un'email stabile o una chiave pubblica possono identificare un account senza un nome da passaporto, collegando comunque l'attività nel tempo. L'indirizzo del tuo server, i contenuti pubblicati e i riferimenti di pagamento possono creare altri collegamenti. Scegli cosa separare in base a un'esigenza realistica, non a una promessa di invisibilità perfetta.
Rendi il ripristino parte della progettazione della privacy
Una registrazione minimale può rendere più difficile il recupero di un account perso. Conserva i codici di recupero privati e i metodi di accesso verificati. Un servizio dovrebbe evitare di raccogliere a posteriori un file di identità non necessario solo perché il suo processo di recupero non è mai stato progettato.
Confronta i compromessi prima di ordinare
Un'iscrizione senza KYC può ridurre i dati identificativi detenuti dal fornitore, lasciando però altri compromessi pratici. Il recupero di un account smarrito può dipendere da un segreto di recupero o da un'email verificata anziché da un controllo del passaporto. Il pagamento anticipato in criptovaluta può avere regole di conversione e rimborso diverse da un addebito su carta. L'hosting autogestito lascia inoltre a te la manutenzione del software e i backup. Confronta l'intero servizio con le tue esigenze invece di considerare una singola etichetta di iscrizione come una proprietà di sicurezza completa.
- Controlla l'informativa sulla privacy per le categorie di dati nominate, le finalità, la conservazione, l'accesso al supporto e i subresponsabili.
- Chiedi come viene recuperato un account se si perdono sia la casella email sia l'accesso al server; conserva il materiale di recupero concordato fuori dal server.
- Controlla le condizioni di cancellazione e rimborso prima di pagare per un lungo periodo di servizio.
- Considera una pagina canary o di trasparenza come una dichiarazione datata del fornitore. Non certifica che l'infrastruttura non sia mai stata acceduta.
Documentazione ufficiale: EDPB: responsabilità del titolare e del responsabile del trattamento
Separa la privacy dell'account dalla policy della tua applicazione
Se gestisci un'applicazione pubblica, spiega quali informazioni raccoglie la tua applicazione anche quando l'account di hosting prevede un'iscrizione minima. Un amministratore può comunque conservare indirizzi IP, registrazioni email, eventi di autenticazione e backup del database. Definisci uno scopo di conservazione per ciascuno anziché ereditare indefinitamente una politica di logging predefinita. Se una revisione della privacy rileva troppi dati, rimuovi la raccolta non necessaria a livello di applicazione e di reverse proxy, poi verifica anche la conservazione dei backup.
- Mantieni utili gli avvisi operativi senza registrare password, token bearer o corpi completi delle richieste.
- Usa utenti applicativi separati e credenziali del database con privilegi limitati; la minimizzazione dei dati lato provider non impedisce la compromissione di un'applicazione.
- Rivedi insieme policy e impostazioni tecniche dopo aver modificato il recupero dell'account, la fatturazione o gli strumenti di supporto.
Documentazione ufficiale: EDPB: responsabilità del titolare e del responsabile del trattamento