INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

1. IL TITOLARE DEL TRATTAMENTO

La presente informativa è resa da Revolta S.r.l. (di seguito anche “Revolta”), con sede legale in Milano, Viale Certosa n. 218 (C.A.P. 20156), P. IVA 14021620969, indirizzo e-mail privacy@bollettaexpert.it, in qualità di titolare del trattamento dei dati personali riferiti alle persone fisiche che utilizzano l’applicazione “Bolletta Expert” (di seguito “App”) e i relativi servizi (di seguito “Utenti” o “interessati”). Per i clienti business, gli interessati sono le persone fisiche che operano per loro conto, quali legali rappresentanti e referenti.

La presente informativa riguarda i trattamenti connessi ai servizi resi tramite l’App (di seguito “Servizi”), come descritti nelle Condizioni generali d’uso dell’App, alle quali si rinvia anche per il significato dei termini indicati con l’iniziale maiuscola. Le informazioni sul trattamento dei dati personali associati al profilo dei Clienti finali sulla piattaforma “Bolletta Expert” sono contenute nelle privacy policy afferenti alle diverse fasi del servizio di comparazione. La Casella dedicata e il servizio di inoltro automatico delle comunicazioni dei Fornitori all’indirizzo e-mail associato al profilo del Cliente finale sulla piattaforma “Bolletta Expert” sono attivati nella “fase di completamento” – previa adesione del Cliente finale ai Servizi dell’App – indipendentemente dall’utilizzo dell’App, e sono descritti nella relativa informativa. L’App è riservata agli utenti maggiorenni.

2. I DATI DI CONTATTO DEL DATA PROTECTION OFFICER DI REVOLTA

Per qualsiasi informazione, chiarimento o ulteriore approfondimento riguardo le politiche di tutela dei dati personali di Revolta, è possibile rivolgersi al suo Data Protection Officer, che può essere contattato al seguente indirizzo e-mail: andrealisi@studiolegalelisi.it.

3. LE FONTI DI RACCOLTA DEI DATI

Oltre ai dati forniti direttamente dall’Utente, Revolta tratta dati personali non raccolti presso l’interessato, ottenuti dalle seguenti fonti:

• Fornitori: le comunicazioni e i documenti che i Fornitori trasmettono alla Casella dedicata (ad esempio contratti, bollette, avvisi, comunicazioni di rinnovo o di variazione dell’offerta) e i dati personali in essi contenuti, quali dati anagrafici e di contatto, dati relativi alla fornitura e al punto di prelievo, importi, scadenze, consumi e condizioni economiche;
• Distributore competente: i dati di misura relativi al punto di fornitura, acquisiti sulla base della delega rilasciata dall’Utente (per l’energia elettrica, E-Distribuzione S.p.A., tramite la piattaforma Demetra);
• Google e Apple, in caso di accesso tramite social login: in caso di accesso con Google, l’identificativo univoco dell’account Google, l’indirizzo e-mail (con l’indicazione della sua verifica), il nome e il cognome e, ove disponibili, la lingua impostata e il dominio dell’organizzazione (per gli account aziendali Google Workspace); in caso di accesso con Apple, l’identificativo dell’account Apple, il nome e l’indirizzo e-mail oppure, in base alla scelta dell’Utente, un indirizzo e-mail di inoltro generato da Apple.

4. LE FINALITÀ E LE BASI GIURIDICHE DEL TRATTAMENTO

Revolta tratta i dati personali degli interessati per le finalità e sulla base delle condizioni di liceità di seguito indicate.

1. Registrazione, autenticazione e gestione delle sessioni di accesso all’App, tramite indirizzo e-mail (con invio di un codice di verifica OTP al medesimo indirizzo) oppure tramite social login con account Google o Apple. Base giuridica: esecuzione di un contratto di cui l’interessato è parte o di misure precontrattuali adottate su sua richiesta (art. 6, par. 1, lett. b), GDPR).
2. Abbinamento dell’account creato sull’App al profilo del Cliente finale sulla piattaforma “Bolletta Expert”, mediante verifica della corrispondenza dell’indirizzo e-mail e del numero di telefono comunicati al Consulente Energetico in fase di consulenza e invio di un codice di verifica (OTP) via SMS. Base giuridica: esecuzione di un contratto di cui l’interessato è parte (art. 6, par. 1, lett. b), GDPR).
3. Erogazione dei Servizi: accesso all’area personale; consultazione dei dati relativi alle forniture, alle offerte in essere e alle bollette; ricezione, classificazione, conservazione e consultazione, tramite l’App, delle comunicazioni e dei documenti trasmessi dai Fornitori alla Casella dedicata; invio di notifiche all’interno dell’App; gestione delle richieste di assistenza. Base giuridica: esecuzione di un contratto di cui l’interessato è parte (art. 6, par. 1, lett. b), GDPR).
4. Inoltro automatico delle comunicazioni e dei documenti ricevuti nella Casella dedicata all’indirizzo e-mail associato al profilo del Cliente finale sulla piattaforma “Bolletta Expert”, anche dopo l’eventuale cancellazione dell’account dell’App, e conservazione temporanea dei messaggi ricevuti dopo tale cancellazione, al fine di poterli mettere a disposizione dell’Utente qualora l’inoltro non vada a buon fine o si verifichino disservizi che ne impediscano la ricezione. Base giuridica: esecuzione di un contratto di cui l’interessato è parte (art. 6, par. 1, lett. b), GDPR).
5. Acquisizione dei dati di misura presso il Distributore competente, sulla base della delega sottoscritta dall’Utente tramite la piattaforma “Bolletta Expert”, ed elaborazione dei dati di consumo per l’elaborazione di stime dell’importo delle bollette (“Bolletta Live”). Base giuridica: esecuzione di un contratto di cui l’interessato è parte (art. 6, par. 1, lett. b), GDPR). Le informazioni relative alla predisposizione e alla sottoscrizione della delega sono contenute nell’informativa relativa alla “fase di completamento”, resa agli utenti della piattaforma “Bolletta Expert”.
6. Analisi automatizzata delle comunicazioni dei Fornitori e dei dati di consumo, mediante logiche deterministiche di estrazione e modelli predittivi, al fine di organizzare le informazioni e migliorare l’accuratezza delle stime e delle previsioni di spesa a beneficio del singolo Utente. Tale attività comporta una profilazione (v. paragrafo 6). Base giuridica: esecuzione di un contratto di cui l’interessato è parte (art. 6, par. 1, lett. b), GDPR).
7. Servizio facoltativo di assistenza personalizzata del Consulente Energetico: comunicazione al Consulente di riferimento della data di ricezione, dell’importo, del consumo fatturato e della data di scadenza delle bollette pervenute nella Casella dedicata, affinché possa supportare l’Utente nella gestione della fornitura e dei pagamenti (ad esempio, segnalando importi anomali o ricordando le scadenze); invio all’Utente, tramite WhatsApp, al numero di telefono associato al profilo del Cliente finale sulla piattaforma “Bolletta Expert”, del file PDF di una o più bollette, su specifica richiesta formulata di volta in volta dall’Utente al Consulente. Il Consulente non accede al contenuto delle comunicazioni né agli allegati. Base giuridica: consenso dell’interessato (art. 6, par. 1, lett. a), GDPR), prestato tramite l’apposita funzionalità dell’App e revocabile in ogni momento. Il mancato consenso non pregiudica la fruizione degli altri Servizi.
8. Diagnostica, monitoraggio tecnico e sicurezza dell’App, anche prima dell’accesso dell’Utente: rilevazione e analisi di errori e malfunzionamenti, monitoraggio delle prestazioni dei sistemi, protezione degli accessi e prevenzione di utilizzi abusivi o fraudolenti. Base giuridica: legittimo interesse del titolare (art. 6, par. 1, lett. f), GDPR) a garantire la sicurezza, l’integrità, la continuità e il corretto funzionamento dell’App e dei Servizi.
9. Adempimento di obblighi previsti dalla legge, gestione delle richieste di esercizio dei diritti e accertamento, esercizio o difesa di un diritto in sede giudiziaria. Base giuridica: adempimento di obblighi legali (art. 6, par. 1, lett. c), GDPR) e legittimo interesse del titolare alla tutela dei propri diritti (art. 6, par. 1, lett. f), GDPR).

5. CATEGORIE DI DATI TRATTATI E NATURA DEL CONFERIMENTO

Nell’ambito delle finalità indicate, Revolta tratta le seguenti categorie di dati personali:

• Dati identificativi e di contatto (nome, cognome, indirizzo e-mail, numero di telefono; per i clienti business, denominazione e partita IVA del cliente e dati dei referenti).
• Dati di autenticazione e di sessione (identificativo dell’account, dati relativi alle sessioni di accesso e alla verifica tramite codice inviato via e-mail); le credenziali di accesso sono memorizzate sul dispositivo dell’Utente negli archivi protetti del sistema operativo.
• Dati relativi alla verifica tramite OTP in fase di abbinamento (numero di telefono, esito e numero dei tentativi di verifica, data e ora, operatore di telefonia mobile e altri dati tecnici della verifica).
• Dati ricevuti dai provider di social login (v. paragrafo 3).
• Dati relativi alle forniture (punto di prelievo o di riconsegna, indirizzo di fornitura, Fornitore, potenza, offerta in essere e relative condizioni economiche).
• Contenuto delle comunicazioni dei Fornitori ricevute nella Casella dedicata (ad esempio bollette, importi, scadenze, allegati e altre informazioni ivi contenute).
• Dati di misura e dati di consumo, ricavati dai dati di misura resi disponibili dal Distributore.
• Dati inferiti (stime, previsioni e altri esiti dell’analisi automatizzata).
• Dati relativi al servizio di assistenza personalizzata (prestazione e revoca del consenso, con indicazione della data e dell’ora; richieste di invio delle bollette tramite WhatsApp e numero di telefono al quale sono inviate).
• Dati tecnici e di diagnostica (tipo e modello del dispositivo, sistema operativo, versione dell’App, identificativi tecnici e dell’installazione, informazioni su errori, arresti anomali e prestazioni, indirizzi delle risorse richiamate). Il servizio di diagnostica è configurato in modo da non conservare l’indirizzo IP. In occasione della verifica della connettività di rete, l’App può contattare un servizio di Google, che riceve l’indirizzo IP e i dati di connessione del dispositivo;
• Posizione approssimativa del dispositivo, trattata per le finalità di cui al paragrafo 4, lettera h).

Il conferimento dei dati necessari per le finalità di cui alle lettere da a) a f) del paragrafo 4 è facoltativo, ma il mancato conferimento impedisce l’utilizzo dell’App o dei relativi Servizi. Il consenso al servizio di assistenza personalizzata di cui alla lettera g) del paragrafo 4 è facoltativo e il suo mancato rilascio non ha conseguenze sulla fruizione degli altri Servizi. I dati tecnici e di diagnostica di cui alla lettera h) del paragrafo 4 sono raccolti automaticamente durante l’utilizzo dell’App.

6. MODALITÀ DEL TRATTAMENTO DEI DATI

I dati sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate e mediante misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR. L’App non memorizza sul dispositivo dell’Utente i contenuti consultati (quali comunicazioni, bollette, dati di consumo e stime); sul dispositivo sono conservate esclusivamente le credenziali di accesso, negli archivi protetti del sistema operativo.

L’analisi automatizzata delle comunicazioni e dei dati di consumo è svolta mediante logiche deterministiche di estrazione dei dati e sistemi basati su modelli predittivi e di intelligenza artificiale, forniti da OVHcloud ed eseguiti nel territorio dell’Unione europea, senza conservazione dei dati da parte del fornitore e senza utilizzo degli stessi per l’addestramento dei modelli. Tali elaborazioni comportano una profilazione ai sensi dell’art. 4, n. 4, GDPR, in quanto sono volte a prevedere l’andamento dei consumi e della spesa dell’Utente; esse non costituiscono tuttavia un processo decisionale automatizzato ai sensi dell’art. 22 GDPR, poiché le stime hanno natura meramente indicativa e non producono effetti giuridici né incidono in modo analogo significativamente sull’Utente.

L’App può contenere collegamenti che aprono ambienti esterni (ad esempio il browser del dispositivo per l’accesso tramite social login, il sito “Bolletta Expert”, applicazioni di mappe, telefono o posta elettronica). I dati personali dell’Utente acquisiti tramite tali sistemi esterni sono trattati autonomamente dai rispettivi titolari del trattamento, secondo quanto indicato nelle relative informative privacy.

7. PERIODO DI CONSERVAZIONE DEI DATI

I dati personali sono conservati per il tempo necessario al perseguimento delle finalità per le quali sono trattati e, in particolare:

• comunicazioni e documenti ricevuti nella Casella dedicata, ai fini della consultazione tramite l’App: per tutta la durata di attivazione dell’account e fino a 30 giorni dopo la cancellazione dell’account da parte dell’Utente o l’interruzione dei Servizi da parte di Revolta; dopo la cancellazione dell’account, i messaggi che continuano a pervenire nella Casella dedicata ai fini del servizio di inoltro automatico sono conservati per 30 giorni dalla ricezione; in caso di richiesta di cessazione del servizio di inoltro automatico, i messaggi e i relativi allegati sono cancellati entro 30 giorni dalla ricezione della richiesta;
• dati di consumo e stime: 24 mesi;
• dati di autenticazione e di sessione: fino alla cancellazione dell’account, al momento della quale l’identità di accesso è eliminata anche presso il fornitore del servizio di autenticazione;
• dati relativi alla verifica tramite OTP: 30 giorni dalla verifica, decorsi i quali sono cancellati dal fornitore, salva la permanenza nelle copie di backup per un periodo massimo di ulteriori 30 giorni;
• dati relativi al servizio di assistenza personalizzata: fino alla revoca del consenso; le registrazioni relative alla prestazione e alla revoca del consenso sono conservate fino a eventuale revoca del consenso e per un periodo ulteriore di 90 giorni; le registrazioni delle richieste di invio delle bollette tramite WhatsApp sono conservate per 24 mesi dalla richiesta;
• dati di diagnostica: 90 giorni dalla rilevazione, oltre al periodo di conservazione delle copie di backup da parte del fornitore; dati di telemetria: 90 giorni dalla rilevazione;
• qualora, dopo il download dell’App, la fornitura non venga attivata per cause non imputabili a Revolta, l’account e i relativi dati sono cancellati decorsi sei mesi dal primo accesso.

Decorsi i termini indicati, i dati sono cancellati o resi anonimi, salvo che la loro ulteriore conservazione sia necessaria per adempiere obblighi di legge o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

La cancellazione dell’account comporta l’eliminazione dell’identità di accesso all’App e l’impossibilità di accedere ai Servizi. Essa non comporta la cancellazione del profilo del Cliente finale sulla piattaforma “Bolletta Expert”, i cui dati sono trattati secondo le informative rese sulla piattaforma, né la disattivazione della Casella dedicata, che resta attiva ai fini del servizio di inoltro automatico, fino alla eventuale richiesta di cessazione del servizio da parte dell’Utente.

8. CATEGORIE DI DESTINATARI DEI DATI PERSONALI

I dati personali dell’Utente possono essere comunicati a:

1. dipendenti e collaboratori di Revolta appositamente autorizzati e istruiti che abbiano necessità di accedervi nello svolgimento dei propri compiti;
2. fornitori di servizi tecnologici, nominati responsabili del trattamento ai sensi dell’art. 28 GDPR, tra i quali: Clerk, Inc. (autenticazione e gestione delle sessioni); Twilio, Inc. (invio dei codici OTP via SMS in fase di abbinamento e inoltro delle comunicazioni via e-mail); Amazon Web Services EMEA SARL (ricezione delle comunicazioni indirizzate alla Casella dedicata); DigitalOcean Holdings, Inc. (elaborazione e archiviazione dei dati); ClickHouse, Inc. (piattaforma di analytics backend per l’archiviazione e l’elaborazione dei dati di consumo); OVH Groupe SA, operante con il nome commerciale OVHcloud (estrazione e analisi automatizzata dei dati contenuti nelle comunicazioni dei Fornitori); Functional Software, Inc., operante con il nome commerciale Sentry (diagnostica e segnalazione degli errori); Better Stack, Inc. (monitoraggio tecnico dei sistemi); Meta Platforms, Inc. (invio delle bollette tramite WhatsApp);
3. Consulente Energetico di riferimento dell’Utente, in qualità di responsabile del trattamento, esclusivamente in caso di adesione al servizio di assistenza personalizzata e limitatamente alle informazioni indicate al paragrafo 4, lettera g);
4. Google e Apple, in qualità di titolari autonomi, in caso di accesso tramite social login, nonché Google in relazione al servizio di verifica della connettività di rete;
5. autorità e soggetti pubblici, ove previsto dalla legge.

9. TRASFERIMENTO DATI VERSO UN PAESE TERZO E/O UN’ORGANIZZAZIONE INTERNAZIONALE

Alcuni dei soggetti indicati al paragrafo 8 hanno sede negli Stati Uniti o possono trattare i dati personali al di fuori dello Spazio economico europeo (SEE). Si tratta, in particolare, di Clerk, Inc.; Twilio, Inc.; Functional Software, Inc. (Sentry); Better Stack, Inc.; ClickHouse, Inc.; DigitalOcean Holdings, Inc.; Meta Platforms, Inc., Google, in relazione al servizio di verifica della connettività.

I trasferimenti verso gli Stati Uniti avvengono sulla base della decisione di adeguatezza adottata dalla Commissione europea con riferimento all’EU-U.S. Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023, ai sensi dell’art. 45 GDPR), in quanto i predetti soggetti risultano certificati nell’ambito di tale quadro. Per gli eventuali trasferimenti non coperti da tale decisione, anche verso ulteriori subfornitori stabiliti in altri Paesi terzi, si applicano le Clausole Contrattuali Tipo approvate dalla Commissione europea ai sensi dell’art. 46 GDPR, incluse nei rispettivi accordi sul trattamento dei dati.

L’interessato può ottenere informazioni sulle garanzie adottate e copia delle stesse scrivendo a privacy@bollettaexpert.it.

10. DIRITTI DELL’INTERESSATO

In relazione ai trattamenti descritti, l’interessato può esercitare in qualsiasi momento i seguenti diritti:

• Accesso (art. 15 GDPR): ottenere la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, l’accesso ai dati e alle informazioni relative al trattamento;
• Rettifica (art. 16 GDPR): ottenere la rettifica dei dati inesatti e l’integrazione dei dati incompleti; si ricorda che la modifica dell’indirizzo e-mail o del numero di telefono associati al profilo del Cliente finale sulla piattaforma “Bolletta Expert” comporta la creazione di un nuovo profilo e un nuovo abbinamento, secondo quanto previsto dalle Condizioni generali d’uso dell’App;
• Cancellazione (art. 17 GDPR): ottenere la cancellazione dei dati nei casi previsti dalla legge;
• Limitazione (art. 18 GDPR): ottenere la limitazione del trattamento nei casi previsti dalla legge;
• Portabilità (art. 20 GDPR): ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati forniti a Revolta e trattati, con mezzi automatizzati, sulla base del contratto o del consenso, e trasmetterli a un altro titolare;
• Revoca del consenso (art. 7, par. 3, GDPR): revocare in qualsiasi momento il consenso prestato per il servizio di assistenza personalizzata, anche tramite l’apposita funzionalità dell’App, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
• Reclamo (art. 77 GDPR): proporre reclamo al Garante per la protezione dei dati personali, fatto salvo ogni altro ricorso amministrativo o giurisdizionale.

L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, ai trattamenti basati sul legittimo interesse del titolare indicati al paragrafo 4, lettere h) e i). In tal caso Revolta si astiene dal trattare ulteriormente i dati personali, salvo che dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento, che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato, quali la necessità di garantire la sicurezza e l’integrità dell’App e dei Servizi, oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

11. MODALITÀ DI ESERCIZIO DEI DIRITTI

L’interessato può esercitare i suoi diritti inviando un messaggio di posta elettronica all’indirizzo privacy@bollettaexpert.it. Nel caso in cui non dovesse essere possibile soddisfare la sua richiesta, ne saranno indicate le motivazioni.

Revolta fornisce riscontro senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta; tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste, dandone comunicazione all’interessato. Il consenso al servizio di assistenza personalizzata può essere revocato anche direttamente dall’area dedicata dell’App.

Per esercitare i suoi diritti, l’interessato può anche avvalersi di organismi, organizzazioni o associazioni senza scopo di lucro, i cui obiettivi statutari siano di pubblico interesse e che siano attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali, conferendo, a tal fine, idoneo mandato. L’interessato può anche scegliere di farsi assistere da una persona di fiducia.

Per conoscere i suoi diritti ed essere sempre aggiornato sulla normativa in materia di tutela delle persone rispetto al trattamento dei dati personali, l’interessato può rivolgersi all’Autorità Garante per la protezione dei dati personali, consultando il sito web all'indirizzo http://www.garanteprivacy.it/.

12. MODIFICHE DELLA PRESENTE INFORMATIVA

Revolta può modificare o aggiornare la presente informativa, anche in considerazione di modifiche normative o dei Servizi. Le modifiche rilevanti sono comunicate agli Utenti tramite l’App.