Privacy Policy

1. Introduzione

La presente Privacy Policy descrive come IPGS ENERGY S.r.l. raccoglie, utilizza e protegge i dati personali degli utenti in conformità con il Regolamento Generale sulla Protezione dei Dati (GDPR — Regolamento UE 2016/679) e il D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.

Si applica al sito www.ipgsenergy.it, al portale clienti portale.ipgsenergy.it e alle comunicazioni email inviate da IPGS ENERGY S.r.l.

2. Titolare del Trattamento

Il Titolare del trattamento dei dati è:
IPGS ENERGY S.r.l.
Sede legale: Via Ugo Ojetti 7, 20151 Milano (MI), Italia
P.IVA e Codice Fiscale: 07006920966
Registro delle Imprese di Milano — REA MI-1928935
Capitale sociale: euro 10.000,00 interamente versato
Email: ipgsenergy@ipgsenergy.it

IPGS ENERGY S.r.l. non ha nominato un Responsabile della Protezione dei Dati, non ricorrendo i presupposti dell'art. 37 del Regolamento UE 2016/679: non svolge monitoraggio regolare e sistematico degli interessati su larga scala né tratta su larga scala categorie particolari di dati. Per ogni questione in materia di protezione dei dati è possibile scrivere all'indirizzo indicato sopra.

Quando IPGS ENERGY S.r.l. tratta dati personali per conto di un cliente aziendale — tipicamente i dati dei referenti e dei dipendenti contenuti nei documenti di fornitura caricati in portale — opera in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito atto di nomina.

3. Dati Raccolti

Raccogliamo le seguenti categorie di dati:

• Dati identificativi: nome, cognome, email, numero di telefono
• Dati aziendali: ragione sociale, partita IVA, indirizzo sede
• Dati tecnici: indirizzo IP, tipo di browser, sistema operativo
• Dati di utilizzo: pagine visitate, tempo di permanenza, azioni effettuate
• Dati relativi alle autoletture gas: PDR, matricole contatori, letture
• Dati contenuti nei documenti caricati in portale: contratti di fornitura, fatture e bollette, corrispondenza con i fornitori, dati di consumo. Possono includere dati identificativi e di contatto dei referenti aziendali.
• Dati delle richieste di assistenza: contenuto dei ticket, allegati, cronologia degli scambi
• Dati di autenticazione e sicurezza: credenziali cifrate, secondo fattore di autenticazione, codici di recupero, registro degli accessi e degli eventi di sicurezza
• Dati di interazione con le comunicazioni email: avvenuta apertura dei messaggi informativi, secondo quanto descritto al successivo par. 9
• Dati di candidatura: per chi risponde a una posizione aperta tramite il modulo di contatto, i dati identificativi e le informazioni professionali comunicate spontaneamente
• Dati di consenso: data e ora dell'accettazione dei documenti legali, versione accettata e relativa impronta crittografica del testo, indirizzo IP e identificativo del browser (user agent) al momento dell'accettazione. Per i consensi ai cookie prestati sul sito pubblico l'indirizzo IP è conservato esclusivamente in forma cifrata non reversibile.

Non trattiamo intenzionalmente categorie particolari di dati personali (art. 9 GDPR). Invitiamo gli utenti a non inserire dati di questo tipo nei documenti caricati, nei messaggi di assistenza e nelle richieste di contatto.

4. Finalità del Trattamento

I dati vengono trattati per le seguenti finalità:

• Erogazione dei servizi richiesti e gestione del rapporto contrattuale
• Risposta alle richieste di contatto e consulenza
• Analisi e ottimizzazione delle forniture energetiche, incluse le elaborazioni automatiche dei documenti descritte al par. 11
• Gestione delle richieste di assistenza
• Adempimenti di obblighi legali e fiscali
• Invio di comunicazioni di servizio necessarie all'esecuzione del rapporto
• Invio di comunicazioni informative sui servizi e sul mercato energetico, con misurazione aggregata dell'interesse suscitato (par. 9)
• Valutazione delle candidature per le posizioni aperte
• Sicurezza della piattaforma, protezione dei moduli pubblici dall'invio automatizzato e prevenzione delle frodi
• Analisi statistiche anonime per migliorare i servizi offerti
• Conservazione della prova dei consensi prestati, in adempimento dell'obbligo di responsabilizzazione previsto dall'art. 7(1) e dall'art. 5(2) GDPR

5. Base Giuridica

Il trattamento dei dati si basa su:

• Esecuzione del contratto (art. 6.1.b GDPR) — per l'erogazione dei servizi, la gestione degli account e delle richieste di assistenza, le comunicazioni di servizio
• Obblighi di legge (art. 6.1.c GDPR) — per adempimenti fiscali e normativi
• Consenso dell'interessato (art. 6.1.a GDPR) — per i cookie analitici e di marketing e per l'invio di comunicazioni informative a soggetti che non siano già clienti
• Legittimo interesse (art. 6.1.f GDPR) — per la sicurezza della piattaforma, la protezione dai bot, la prevenzione di frodi, la documentazione dei consensi e l'analisi e ottimizzazione delle forniture energetiche nell'ambito del rapporto di consulenza

L'invio di comunicazioni informative ai clienti su servizi analoghi a quelli già forniti avviene ai sensi dell'art. 130, comma 4, del D.Lgs. 196/2003: l'interessato è informato fin dalla raccolta dell'indirizzo e può opporsi gratuitamente, in ogni momento, sia al momento della raccolta sia in occasione di ogni successiva comunicazione.

Il conferimento dei dati necessari all'esecuzione del contratto è indispensabile: senza di essi non è possibile attivare l'account né erogare il servizio. Il conferimento dei dati per finalità informative e per i cookie non necessari è facoltativo e il rifiuto non pregiudica l'accesso al portale.

6. Responsabili del Trattamento e Destinatari

I dati personali possono essere comunicati alle seguenti categorie di destinatari, nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Supabase Inc. (USA, infrastruttura nell'Unione Europea) — servizi di autenticazione, database e archiviazione documenti. I dati sono protetti dalle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea.
• Amazon Web Services, Inc. (USA) — invio di email transazionali e informative tramite AWS SES. Trasferimento regolato da SCC e certificazione sotto il Data Privacy Framework.
• Vercel Inc. (USA) — hosting del sito web e del portale. Trasferimento regolato da SCC.
• Anthropic PBC (USA) — lettura automatica e strutturazione dei dati contenuti nelle bollette e nei documenti di fornitura caricati in portale. I contenuti trasmessi non sono utilizzati per l'addestramento dei modelli e sono conservati dal fornitore per il solo tempo necessario all'elaborazione. Trasferimento regolato da SCC.
• Cloudflare, Inc. (USA) — protezione dei moduli pubblici dall'invio automatizzato (servizio Turnstile), che tratta indirizzo IP e segnali tecnici del browser. Trasferimento regolato da SCC e Data Privacy Framework.
• Google LLC (USA) — Google Analytics per analisi statistiche del traffico (solo previo consenso). Trasferimento regolato da SCC e Data Privacy Framework.
• Meta Platforms Ireland Ltd. (Irlanda) — strumenti di misurazione delle campagne pubblicitarie sul sito pubblico, attivi solo previo consenso ai cookie di marketing.

I dati possono inoltre essere comunicati a professionisti e consulenti (commercialisti, legali, revisori) e alle autorità competenti quando previsto dalla legge. Non sono oggetto di diffusione né di vendita a terzi.

Copie di sicurezza dei documenti aziendali possono essere conservate su infrastruttura di archiviazione dedicata gestita direttamente da IPGS ENERGY S.r.l. e situata nell'Unione Europea.

L'elenco aggiornato dei responsabili del trattamento è consultabile alla pagina www.ipgsenergy.it/legal.

I trasferimenti di dati verso gli Stati Uniti avvengono in conformità al Capo V del GDPR, mediante Standard Contractual Clauses (SCC) e, ove applicabile, sulla base dell'adeguatezza riconosciuta tramite il EU-US Data Privacy Framework.

7. Conservazione dei Dati

I dati personali vengono conservati per il tempo necessario alle finalità per cui sono stati raccolti:

• Dati del rapporto di consulenza: per la durata del rapporto + 10 anni (obblighi fiscali, art. 2220 C.C.)
• Documenti fiscali: 10 anni (normativa fiscale italiana)
• Documenti di fornitura caricati in portale: per la durata del rapporto e successivamente nei limiti degli obblighi di legge
• Dati di consumo energetico: 5 anni dalla cessazione del rapporto
• Ticket di assistenza: 2 anni dalla chiusura
• Log di accesso e eventi di sicurezza: 12 mesi (misure di sicurezza), salvo conservazione più lunga in caso di contenzioso o incidente
• Dati di contatto (richieste informative): 24 mesi dalla richiesta
• Candidature: 12 mesi dal ricevimento, salvo diverso consenso dell'interessato
• Dati di apertura delle comunicazioni informative: 24 mesi
• Dati analitici: 26 mesi (Google Analytics)
• Registro dei consensi ai documenti legali: 10 anni dall'accettazione, quale prova dell'adempimento contrattuale e dell'obbligo di responsabilizzazione
• Registro dei consensi ai cookie: 24 mesi dalla raccolta

8. Diritti dell'Interessato

Ai sensi degli artt. 15-22 del GDPR, l'interessato ha diritto di:

• Accedere ai propri dati personali (art. 15 GDPR)
• Ottenere la rettifica dei dati inesatti (art. 16 GDPR)
• Ottenere la cancellazione dei dati (art. 17 GDPR)
• Ottenere la limitazione del trattamento (art. 18 GDPR)
• Richiedere la portabilità dei dati (art. 20 GDPR)
• Opporsi al trattamento, incluso l'invio di comunicazioni informative (art. 21 GDPR)
• Revocare il consenso in qualsiasi momento senza pregiudizio per la liceità del trattamento basato sul consenso prestato prima della revoca
• Proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it)

Le richieste sono evase senza ingiustificato ritardo e comunque entro 30 giorni dal ricevimento, prorogabili di ulteriori 60 giorni nei casi previsti dall'art. 12(3) GDPR, con informativa all'interessato.

Gli utenti del portale clienti possono inoltre esercitare autonomamente il diritto di accesso e di portabilità scaricando i propri dati dalla sezione Impostazioni › Privacy del portale, dove è consultabile anche lo storico dei consensi prestati, e modificare le proprie preferenze di comunicazione dalla sezione Impostazioni › Notifiche.

Per esercitare i propri diritti, scrivere a: ipgsenergy@ipgsenergy.it

9. Comunicazioni email e statistiche di apertura

Le comunicazioni informative inviate da IPGS ENERGY S.r.l. contengono un'immagine trasparente di dimensioni minime (comunemente detta pixel di tracciamento) che, quando il programma di posta scarica le immagini, ci segnala che il messaggio è stato aperto. Il dato viene utilizzato per misurare l'interesse suscitato dai contenuti e migliorarli; non alimenta profilazioni individuali né decisioni sul singolo destinatario.

Il trattamento si fonda sul legittimo interesse del Titolare a verificare l'efficacia delle proprie comunicazioni (art. 6(1)(f) GDPR). È possibile opporsi in qualsiasi momento scrivendo agli indirizzi indicati al par. 8, disattivando le comunicazioni informative dalla sezione Impostazioni › Notifiche del portale, oppure impedendo il caricamento automatico delle immagini nel proprio programma di posta. Le comunicazioni di servizio necessarie all'esecuzione del rapporto non contengono strumenti di misurazione.

10. Candidature e selezione del personale

Chi risponde a una posizione aperta pubblicata su www.ipgsenergy.it/lavora-con-noi invia i propri dati tramite il modulo di contatto. Tali dati sono trattati per la sola valutazione della candidatura, sulla base dell'esecuzione di misure precontrattuali su richiesta dell'interessato (art. 6(1)(b) GDPR), e sono accessibili al solo personale incaricato della selezione.

Le candidature sono conservate per 12 mesi dal ricevimento e successivamente cancellate, salvo che l'interessato acconsenta a una conservazione più lunga per future opportunità. Invitiamo a non inserire nella candidatura dati non pertinenti alla valutazione professionale, in particolare categorie particolari di dati ai sensi dell'art. 9 GDPR.

11. Elaborazioni automatiche e processi decisionali

Per accelerare la lavorazione delle bollette e dei documenti di fornitura, IPGS ENERGY S.r.l. utilizza strumenti automatici di lettura e strutturazione dei dati, basati anche su modelli di intelligenza artificiale forniti da Anthropic PBC. I documenti trasmessi non vengono utilizzati per l'addestramento dei modelli.

L'esito dell'elaborazione automatica ha carattere preliminare ed è sempre sottoposto a verifica da parte di un operatore. IPGS ENERGY S.r.l. non adotta processi decisionali automatizzati, inclusa la profilazione, che producano effetti giuridici o incidano significativamente sull'interessato (art. 22 GDPR).

12. Cookie

Il sito utilizza cookie tecnici e, previo consenso, cookie analitici e di marketing. Per maggiori informazioni sulla gestione dei cookie, consultare la nostra Cookie Policy.

13. Minori

I servizi di IPGS ENERGY S.r.l. sono destinati esclusivamente a soggetti maggiorenni (età minima 18 anni) che agiscono in qualità di rappresentanti o delegati di aziende clienti. Non raccogliamo consapevolmente dati personali di minori di 18 anni. Qualora venissimo a conoscenza di aver raccolto dati di un minore, provvederemo alla loro tempestiva cancellazione.

14. Sicurezza

IPGS ENERGY S.r.l. adotta misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali e prevenire accessi non autorizzati, perdita o divulgazione dei dati, tra cui: crittografia dei dati in transito (TLS/SSL), conservazione delle credenziali in forma cifrata, autenticazione a più fattori per gli account amministrativi e operativi, controllo degli accessi basato su ruoli (RBAC) con isolamento dei dati a livello di database, registrazione degli eventi di sicurezza e copie di sicurezza periodiche.

In caso di violazione dei dati personali che comporti un rischio elevato per i diritti e le libertà degli interessati, IPGS ENERGY S.r.l. provvede alla notifica al Garante e alla comunicazione agli interessati nei termini previsti dagli artt. 33 e 34 GDPR.

15. Modifiche

La presente Privacy Policy può essere modificata. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento e, se sostanziali, comunicate via email agli utenti registrati con un preavviso di almeno 30 giorni. Ogni versione precedente resta consultabile nell'archivio pubblicato alla pagina www.ipgsenergy.it/legal.