Informativa sul trattamento dei dati personali

1. Chi tratta i tuoi dati

Il titolare del trattamento è Alexander Kofler, con sede in Frazione Grosso 29, 39058 Sarentino (BZ), P. IVA 03310490218 (di seguito "Alpivio"). Puoi scriverci a info@alpivio.it oppure, per le sole questioni relative ai dati personali, a privacy@alpivio.it.

Alpivio tratta i tuoi dati come titolare autonomo. Qui ci arrivi dal sito o da un messaggio dell'azienda che ha eseguito i lavori, ma il contratto per la pratica ENEA lo concludi con Alpivio, la delega la dai a Alpivio e la fattura te la emette Alpivio. L'installatore non decide come trattiamo i tuoi dati e non riceve il tuo documento d'identità.

Alpivio non ha nominato un responsabile della protezione dei dati, perché non ricorrono i casi previsti dall'art. 37 del Regolamento (UE) 2016/679. Per ogni richiesta sui tuoi dati risponde direttamente l'indirizzo privacy@alpivio.it.

2. Quali dati raccogliamo

Raccogliamo soltanto quello che serve a presentare la comunicazione ENEA e a emettere la fattura. Nessun dato viene chiesto "per sicurezza" o per usi futuri non dichiarati.

• Dati anagrafici e fiscali: nome, cognome, codice fiscale.
• Recapiti: numero di telefono e indirizzo di posta elettronica.
• I messaggi che ci mandi sulla pratica, per posta elettronica o su WhatsApp, con data e ora di arrivo. Gli allegati non li conserviamo.
• Dati dell'immobile e dell'intervento: indirizzo, dati tecnici dell'impianto installato, data di fine lavori.
• Immagine del documento d'identità, che carichi tu, e i dati che ne estraiamo automaticamente per confrontarli con quelli che hai scritto.
• Ricevuta del bonifico parlante, dalla quale risultano importo, data, causale e i dati del pagamento.
• Firma con cui conferisci la delega, insieme a data, ora e indirizzo IP del momento in cui la apponi.
• Dati relativi al pagamento del nostro compenso. I dati della carta li inserisci direttamente sulle pagine del nostro fornitore di pagamento e non transitano dai nostri sistemi: noi vediamo esito, importo e un identificativo della transazione.
• Dati tecnici minimi di funzionamento: il cookie che tiene aperta la tua pratica e i registri del server.

Il codice fiscale contiene già data di nascita, sesso e comune di nascita. Proprio per questo non ti chiediamo quei dati una seconda volta, e lo usiamo anche per verificare che tu sia maggiorenne.

3. Perché li trattiamo e su quale base giuridica

L'obbligo di trasmettere la comunicazione ENEA è in capo a te come contribuente, non a noi. Per noi si tratta quindi dell'esecuzione di un contratto, non di un obbligo di legge nostro. Lo diciamo perché cambia le tue possibilità: puoi revocare la delega, e in quel caso smettiamo di agire per tuo conto.

Non usiamo i tuoi dati per inviarti pubblicità. Se un giorno vorremo farlo, te lo chiederemo prima, con una casella separata che potrai lasciare vuota senza perdere nulla.

4. Il documento d'identità: come lo trattiamo e per quanto

L'immagine del documento è il dato più delicato che ci affidi, perché è quello che espone al furto d'identità. La trattiamo di conseguenza, e in modo diverso da tutto il resto.

• Estraiamo automaticamente i dati scritti sul documento (tipo, numero, ente di rilascio, scadenza, nome, cognome, codice fiscale) e li confrontiamo con quello che hai inserito.
• Non effettuiamo alcun riconoscimento del volto, alcun confronto biometrico e alcun controllo di 'liveness'. Non trattiamo quindi dati biometrici ai sensi dell'art. 9 del Regolamento.
• Conserviamo l'immagine fino alla trasmissione della pratica all'ENEA, perché fino ad allora una persona del nostro team può doverla confrontare con i dati inseriti, e la cancelliamo dopo la trasmissione, al più tardi novanta giorni dopo. Se la pratica si chiude senza trasmissione, perché eserciti il recesso, perché ti rimborsiamo l'intero importo o perché il pagamento viene contestato, la cancelliamo al più tardi novanta giorni dopo la chiusura, e in caso di recesso di regola entro il giorno successivo. Se lasci la pratica senza pagare, la cancelliamo dopo novanta giorni senza attività. Restano soltanto i dati estratti, che servono a dimostrare che la verifica è stata fatta.
• Non accettiamo il documento su WhatsApp né su altri servizi di messaggistica: lo carichi solo da questa pagina, su collegamento cifrato. Il Garante ha indicato espressamente la messaggistica istantanea come canale da non usare per i documenti d'identità.
• L'immagine è conservata in uno spazio non pubblico: non esiste alcun indirizzo che permetta di aprirla senza autorizzazione.

Se preferisci non caricare l'immagine, scrivici: possiamo concordare una verifica diversa. Ti chiediamo l'immagine perché è il modo più rapido, non perché sia l'unico possibile.

5. Per quanto tempo conserviamo i dati

Non c’è una durata unica, perché i dati non servono tutti alla stessa cosa. Questi sono i criteri, categoria per categoria.

I termini si allungano soltanto se e finché sia pendente un contenzioso, una verifica fiscale o una dichiarazione integrativa che li riguardi. In quel caso conserviamo fino alla definizione, e poi cancelliamo.

6. Chi altro vede i tuoi dati

Nessuno li compra, nessuno li rivende, nessuno li usa per profilarti. Li vedono i soggetti che ci servono per erogare il servizio, ciascuno soltanto per la parte che gli compete. Questa sezione riguarda te come cliente finale: se sei un’impresa che abbiamo contattato noi, l’elenco che ti riguarda è alla sezione 14.

L'elenco aggiornato dei fornitori, con nome, sede e funzione, è disponibile su richiesta scrivendo a privacy@alpivio.it. Con ciascuno dei responsabili abbiamo stipulato l'accordo previsto dall'art. 28 del Regolamento.

Fuori da questo elenco non c'è nessun altro. Per le imprese che contattiamo noi vale in aggiunta la sezione 14, che nomina anche il fornitore di intelligenza artificiale di cui ci serviamo per preparare la telefonata. In particolare le nostre pagine non caricano risorse da server di terzi: caratteri tipografici, fogli di stile, script e immagini arrivano dal nostro dominio. Anche una risorsa esterna che sembra innocua, come un carattere tipografico, comunicherebbe il tuo indirizzo IP a chi la ospita nel momento stesso in cui apri la pagina, prima ancora che tu abbia fatto qualcosa. L'unica eccezione è la pagina del pagamento: lì il tuo browser carica lo script del nostro fornitore dei servizi di pagamento dai suoi server, perché i dati della carta vadano direttamente a lui e mai a noi. I dettagli, compresi i cookie che imposta, sono nella pagina sui cookie.

7. Trasferimenti fuori dall'Unione europea

I dati della tua pratica sono ospitati su infrastrutture situate nell'Unione europea, in Germania. Alcuni dei nostri fornitori hanno però sede negli Stati Uniti e il loro personale tecnico può accedere ai dati per assistenza e manutenzione: anche il solo accesso da un paese terzo è un trasferimento ai sensi del Capo V del Regolamento. Preferiamo dirlo, invece di scrivere che i dati non escono mai dall'Europa.

Per questi trasferimenti ci basiamo, a seconda del fornitore, sulla decisione di adeguatezza della Commissione europea relativa al EU-US Data Privacy Framework, decisione di esecuzione (UE) 2023/1795, oppure sulle clausole contrattuali tipo adottate con decisione di esecuzione (UE) 2021/914. Dove operiamo sulla base della decisione di adeguatezza, abbiamo in ogni caso concordato anche le clausole contrattuali tipo, così che la tutela resti in piedi se la decisione dovesse venire meno.

Puoi chiedere copia delle garanzie adottate scrivendo a privacy@alpivio.it.

8. I tuoi diritti

Puoi esercitare in qualsiasi momento i diritti previsti dagli articoli da 15 a 22 del Regolamento.

• Accesso: sapere quali dati abbiamo e ottenerne copia.
• Rettifica: correggere un dato sbagliato o incompleto.
• Cancellazione: farli cancellare, nei limiti in cui non siamo tenuti a conservarli per legge o per la tua stessa detrazione.
• Limitazione: chiederci di sospendere il trattamento mentre verifichiamo una tua contestazione.
• Portabilità: ricevere in formato leggibile da un computer i dati che ci hai fornito e che trattiamo sulla base del contratto o del consenso.
• Opposizione: vedi il punto seguente.

Per esercitarli scrivi a privacy@alpivio.it. Rispondiamo entro un mese; se la richiesta è complessa possiamo prendere due mesi in più, dicendotelo entro il primo.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, garante@gpdp.it, protocollo@pec.gpdp.it, oppure di ricorrere all'autorità giudiziaria.

9. Diritto di opposizione

Alcuni trattamenti si fondano sul nostro interesse legittimo: la verifica dell'identità tramite documento e la difesa di un nostro diritto. Rispetto a questi hai il diritto di opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare.

Se ti opponi, smettiamo di trattare quei dati salvo che dimostriamo l'esistenza di motivi legittimi cogenti che prevalgono sui tuoi interessi, diritti e libertà, oppure che ci servano per accertare, esercitare o difendere un diritto in sede giudiziaria. Per opporti basta una riga a privacy@alpivio.it.

10. Decisioni automatizzate

Non prendiamo decisioni che ti riguardano basate unicamente su un trattamento automatizzato, e non facciamo profilazione. La lettura automatica del documento produce un confronto fra dati: se qualcosa non torna, il caso passa a una persona, che decide. Questo vale per te come cliente finale. Se sei un’impresa che abbiamo contattato noi, prima di telefonarti prepariamo in modo automatico due o tre frasi di sintesi: quella è profilazione, non produce nessuna decisione, ed è descritta per intero alla sezione 14.

Il fornitore del servizio di pagamento applica proprie misure automatiche antifrode e può rifiutare una transazione. Quella decisione è sua e la assume come titolare autonomo; le informazioni relative le trovi nella sua informativa.

11. Sicurezza

• Ogni collegamento avviene su canale cifrato.
• I documenti sono conservati in spazi non pubblici, raggiungibili soltanto tramite autorizzazione verificata volta per volta.
• La banca dati applica regole di accesso per riga: chi non è coinvolto nella tua pratica non la vede, nemmeno internamente.
• Gli accessi del personale sono nominativi e registrati.
• In caso di violazione dei dati che comporti un rischio elevato per i tuoi diritti, te lo comunichiamo senza ingiustificato ritardo, come previsto dall’art. 34 del Regolamento.

12. Minori

Il servizio si rivolge esclusivamente a persone maggiorenni: la delega e il contratto richiedono la capacità di agire, che si acquista a diciotto anni. Verifichiamo l'età a partire dal codice fiscale e non apriamo pratiche per minorenni. Se un minorenne è proprietario dell'immobile, deve agire chi ne ha la rappresentanza legale: in quel caso scrivici prima di iniziare.

13. Modifiche a questa informativa

Se cambiamo qualcosa di sostanziale aggiorniamo la data in testa a questa pagina e, quando la modifica riguarda una pratica già aperta, te lo comunichiamo con un messaggio. Non introduciamo nuove finalità su dati già raccolti senza informarti prima, come richiede l’art. 13, par. 3, del Regolamento.

14. Se sei un’impresa che abbiamo contattato noi: dati non raccolti presso di te

Questa sezione non riguarda i clienti finali. Riguarda le imprese di installazione e manutenzione che contattiamo noi per proporre la collaborazione. I loro dati non li abbiamo ricevuti da loro: li abbiamo presi da registri e fonti pubbliche. In questo caso il Regolamento chiede due informazioni in più, da dove vengono i dati e come ci si oppone, e sono l’art. 14, par. 2, lett. f) e lett. b). Le trovi qui sotto. Se sei arrivato qui da una nostra email o da un nostro messaggio, è questa la sezione che ti serve.

Vale anche, e senza attenuazioni, se sei una ditta o impresa individuale: in quel caso ragione sociale, indirizzo, telefono e codice fiscale sono dati personali tuoi, non soltanto dati di un’azienda.

Da dove vengono i dati, fonte per fonte. Sono tutte fonti accessibili al pubblico e sono tutte quelle che usiamo davvero:

• Il registro nazionale delle imprese certificate F-Gas, previsto dal Regolamento (UE) 517/2014 e dal DPR 146/2018, consultabile pubblicamente. È la fonte di partenza: ragione sociale, indirizzo, provincia, codice ATECO, partita IVA e i dati del certificato (numero, categoria, date, organismo di certificazione).
• INI-PEC, l’indice nazionale dei domicili digitali delle imprese e dei professionisti, per l’indirizzo PEC.
• Elenchi telefonici e directory di imprese consultabili online, in particolare Pagine Gialle.
• Motori di ricerca sul web pubblico (DuckDuckGo, Bing, Google Custom Search e il servizio Serper.dev che interroga Google), da cui leggiamo il testo dei risultati.
• Il sito web dell’impresa stessa, quando ne ha uno: leggiamo le pagine di contatto e i dati di fatturazione che vi sono pubblicati.
• I dati delle schede attività di Google Maps, tramite Google Places API e tramite un servizio di estrazione (Apify), da cui prendiamo telefono, sito e lo stato di attività.
• Un export dei dati camerali di InfoCamere, acquistato da noi, quando le fonti gratuite non hanno dato nulla.

Non compriamo liste di contatti da chi fa commercio di dati, non usiamo dati presi da social network e non ricostruiamo indirizzi di posta elettronica per tentativi. Registriamo per ogni singolo dato da quale di queste fonti proviene e quando: se ci chiedi conto di un tuo recapito, possiamo dirti esattamente da dove viene.

Prima di telefonarti, chi ti chiama legge due o tre frasi di preparazione su di te. Le scrive un sistema automatico, mettendo insieme quello che risulta dalle fonti pubbliche elencate qui sopra, quello che ci siamo già detti e, se la tua impresa ha un sito, quello che vi hai pubblicato tu. Serve soltanto a non farti spiegare da capo di che cosa ti occupi. Ai sensi dell’art. 4, n. 4, del Regolamento questa è profilazione, e preferiamo chiamarla con il suo nome invece di scrivere che non ne facciamo.

Quello che quelle frasi non sono. Non ti assegniamo un punteggio, non ti mettiamo in una graduatoria e non cambiano l’ordine con cui ti chiamiamo. Nessuna decisione che ti riguarda viene presa dal sistema: chi ti scrive e chi ti chiama è una persona con nome e cognome, che firma il messaggio e che decide da sé se e come contattarti, art. 22 del Regolamento. Non ci finisce nulla sulla tua salute, sulle tue opinioni, sulla tua vita privata o su vicende giudiziarie, non usiamo fonti diverse da quelle elencate qui sopra, e di ogni frase conserviamo la fonte da cui viene. Per scriverle ci appoggiamo a un fornitore di intelligenza artificiale, che tratta quei dati soltanto per nostro conto, come responsabile del trattamento ai sensi dell’art. 28 del Regolamento, e che non li usa per addestrare i propri modelli; se ha sede fuori dall’Unione europea il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea oppure delle clausole contrattuali tipo, e su richiesta ti diciamo quale delle due e di chi si tratta. Puoi chiederci copia di quelle frasi, farle correggere se sono sbagliate o farle cancellare: basta una riga a privacy@alpivio.it. Le cancelliamo comunque, da sole, nel momento in cui ci chiedi di non essere più contattato.

Per quanto tempo: conserviamo i dati finché dura l’attività di contatto e finché la proposta ha senso. Se ci dici di no, teniamo il tuo recapito solo per non ricontattarti, e per quello lo teniamo a tempo indeterminato: è l’unico modo perché il blocco regga anche se il tuo nome ricompare nel registro F-Gas al prossimo aggiornamento. In quel caso il dato non viene più usato per nessun altro scopo.

Come fermarci, subito e senza spiegazioni. Hai il diritto di opporti in qualsiasi momento al trattamento fondato sul nostro interesse legittimo, art. 21 del Regolamento, e per il marketing diretto l’opposizione è incondizionata: non dobbiamo valutare nulla, dobbiamo solo smettere. Basta una riga a privacy@alpivio.it, oppure rispondere al messaggio che ti abbiamo mandato, oppure dirlo alla persona che ti chiama. Blocchiamo il recapito in modo definitivo e non lo riattiviamo mai più, nemmeno se lo stesso nome ci torna davanti da un’altra fonte.

Valgono per te anche tutti gli altri diritti elencati alla sezione 8, compreso quello di sapere quali dati abbiamo su di te e da dove li abbiamo presi, e quello di reclamo al Garante. L’indirizzo è sempre privacy@alpivio.it.