1. Premessa e ambito di applicazione

La presente informativa descrive le modalità con cui EnerBuyer S.r.l. tratta i dati personali degli utenti, clienti, potenziali clienti, referenti aziendali e altri interessati che:

• navigano il sito https://enerbuyer.it o pagine e landing riconducibili a EnerBuyer;
• compilano form online, landing page, richieste di contatto, preventivo, consulenza o controllo bolletta;
• interagiscono con EnerBuyer tramite telefono, email, SMS, WhatsApp, canali social, campagne pubblicitarie, canali partner o strumenti analoghi;
• caricano o inviano bollette, documenti energetici, dati di consumo, pratiche tecniche o documentazione amministrativa;
• richiedono servizi relativi a energia elettrica, gas, fotovoltaico, comunità energetiche, BECER/CER, consulenza energetica, comparazione offerte, pratiche tecniche o servizi collegati;
• accedono a landing o iniziative realizzate da EnerBuyer anche in collaborazione con partner commerciali.

La presente informativa riguarda i trattamenti effettuati da EnerBuyer quale titolare del trattamento. Quando i dati sono comunicati a partner, fornitori, operatori energetici, comparatori o soggetti terzi che determinano autonomamente finalità e mezzi del trattamento, tali soggetti operano come autonomi titolari e rendono la propria informativa privacy.

2. Titolare del trattamento

Il titolare del trattamento è:

Enerbuyer S.r.l.
Sede legale: Via Giovanni Bovio 1, 70022 Altamura (BA), Italia
P. IVA / C.F.: 08336050722
PEC: enerbuyer@pec.it
Email per richieste privacy: info@enerbuyer.it
Telefono: +39 080 809 0944

Per le richieste relative al trattamento dei dati personali l’interessato può scrivere a info@enerbuyer.it, indicando nell’oggetto “Richiesta privacy”, oppure inviare comunicazione scritta all’indirizzo della sede legale sopra indicato.

3. Responsabile della protezione dei dati

EnerBuyer ha designato un Responsabile della Protezione dei Dati / Data Protection Officer (“DPO” o “RPD”) nella persona di Giambattista Tota.

L’interessato può rivolgere al DPO qualsiasi richiesta relativa al trattamento dei propri dati personali scrivendo a info@enerbuyer.it, indicando nell’oggetto “Attenzione DPO — Richiesta privacy”.

4. Categorie di dati personali trattati

EnerBuyer tratta dati personali nei limiti di quanto necessario rispetto alle finalità indicate nella presente informativa.

4.1 Dati di navigazione e dati tecnici

I sistemi informatici e le procedure software preposte al funzionamento del sito e delle landing possono acquisire, nel corso del normale esercizio, dati la cui trasmissione è implicita nell’uso dei protocolli di comunicazione Internet.

Rientrano in questa categoria, a titolo esemplificativo:

• indirizzi IP;
• data e ora della richiesta;
• URL richieste, URL di provenienza, parametri tecnici e parametri UTM;
• metodo HTTP, codice di risposta, dimensione della risposta;
• user-agent, identificativi del browser e informazioni tecniche sul dispositivo;
• log tecnici, di sicurezza e di funzionamento del sito, delle landing e dei servizi web.

Tali dati sono trattati per consentire il funzionamento del sito, garantire sicurezza, disponibilità e integrità dei sistemi, prevenire abusi e accertare eventuali responsabilità in caso di illeciti o incidenti informatici.

4.2 Dati forniti volontariamente tramite form, landing e canali di contatto

Quando l’interessato compila un form, una landing o contatta EnerBuyer, possono essere trattati:

• nome e cognome;
• ragione sociale, partita IVA, codice fiscale, ruolo o qualifica, se necessari;
• numero di telefono, indirizzo email, indirizzo, comune, provincia, CAP;
• tipologia di cliente o richiedente, ad esempio azienda, privato, professionista, condominio o ente;
• messaggi, richieste, preferenze di contatto e informazioni liberamente inserite;
• data, ora, pagina, campagna, agente o canale di provenienza della richiesta;
• eventuali registrazioni, evidenze del contatto o note operative, nei limiti consentiti dalla legge e quando necessarie per prova, qualità o gestione della richiesta.

4.3 Dati relativi a utenze, bollette e pratiche energetiche

Per fornire consulenza energetica, analisi bollette, comparazione offerte, assistenza post vendita, pratiche tecniche, attivazioni, volture, subentri, cessazioni, switching, modifiche di potenza, fotovoltaico, comunità energetiche e servizi collegati, EnerBuyer può trattare dati contenuti nella documentazione fornita dall’interessato o generati nell’ambito della gestione della richiesta.

Rientrano in questa categoria:

• bollette, estratti bolletta, documenti tecnici o amministrativi;
• dati identificativi dell’intestatario della fornitura;
• indirizzo di fornitura;
• POD, PDR, codice cliente, matricole contatore e altri identificativi tecnici;
• mercato di provenienza, fornitore attuale, tariffa, condizioni economiche, importi e storico fatturazione;
• consumi, potenza impegnata, tensione, profilo di utilizzo e dati energetici necessari all’analisi;
• dati necessari alla predisposizione o gestione di pratiche commerciali, tecniche, contrattuali, amministrative o fiscali.

L’interessato che invia documentazione riferita a terzi dichiara di essere legittimato a farlo e, ove necessario, di aver fornito agli interessati le informazioni previste dalla normativa applicabile.

4.4 Dati acquisiti tramite OCR, automazioni e strumenti di analisi

In caso di caricamento o invio volontario di bollette o documenti energetici, i dati personali e tecnici in essi contenuti possono essere letti, estratti o normalizzati anche tramite strumenti automatici di riconoscimento ottico dei caratteri (OCR), sistemi di analisi documentale o strumenti di intelligenza artificiale generativa.

Tali strumenti sono utilizzati esclusivamente per agevolare la compilazione, ridurre errori di trascrizione e predisporre analisi, preventivi, offerte o pratiche richieste dall’interessato. In ogni caso, ogni proposta commerciale, analisi tecnica o decisione che riguardi l’interessato è sottoposta a valutazione umana qualificata da parte del personale EnerBuyer: non vengono adottate decisioni basate unicamente su trattamento automatizzato ai sensi dell’art. 22 GDPR.

Il caricamento della bolletta o di documentazione energetica è facoltativo, salvo che sia indispensabile per uno specifico servizio richiesto. EnerBuyer invita l’utente a non caricare dati non pertinenti, categorie particolari di dati ex art. 9 GDPR o dati giudiziari ex art. 10 GDPR.

4.5 Dati ricevuti da partner, agenti e campagne lead

I dati possono provenire anche da agenti, partner, campagne lead, piattaforme pubblicitarie, canali social, comparatori o soggetti terzi che abbiano raccolto i dati sulla base di propria informativa e idonea base giuridica.

In tali casi EnerBuyer tratta i dati per finalità compatibili con la richiesta dell’interessato, con il rapporto commerciale o con la base giuridica applicabile, ferma restando la responsabilità del soggetto che ha raccolto originariamente i dati per gli obblighi informativi e di liceità di propria competenza.

4.6 Dati relativi a clienti, lead commerciali e rapporti contrattuali

EnerBuyer può trattare dati relativi a:

• richieste di consulenza, preventivo o contatto commerciale;
• storico contatti e interazioni con consulenti, agenti o personale autorizzato;
• stato della pratica, offerte proposte, contratti, mandati, consensi, revoche e preferenze;
• documentazione richiesta da fornitori, partner, distributori, comunità energetiche, soggetti tecnici o amministrativi;
• dati necessari alla fatturazione, gestione contabile, gestione reclami, assistenza e difesa dei diritti.

4.7 Categorie particolari di dati

EnerBuyer non richiede, tramite sito, landing e form ordinari, il conferimento di categorie particolari di dati personali ai sensi dell’art. 9 GDPR.

Qualora l’interessato invii spontaneamente dati non pertinenti, particolari o eccedenti, EnerBuyer li tratterà solo se strettamente necessario e nei limiti consentiti dalla normativa, oppure provvederà a cancellarli, oscurarli o limitarne il trattamento.

5. Finalità, basi giuridiche e conservazione

I dati personali sono trattati per le finalità e sulle basi giuridiche indicate di seguito. I periodi di conservazione sono indicati come criteri generali e devono essere coordinati con il registro dei trattamenti e con le policy tecniche effettivamente applicate.

Al termine dei periodi applicabili, i dati sono cancellati, anonimizzati o conservati in forma limitata quando necessario per obblighi legali, tutela dei diritti o esigenze tecniche non altrimenti gestibili.

6. Natura del conferimento

Il conferimento dei dati necessari alla richiesta di contatto, consulenza, comparazione, preventivo o gestione pratica è facoltativo, ma necessario per consentire a EnerBuyer di rispondere e fornire il servizio richiesto.

Il conferimento di bollette, documenti o dati di consumo è facoltativo, salvo che sia indispensabile per una specifica analisi o pratica. In assenza di tali dati, EnerBuyer potrà erogare il servizio solo nei limiti delle informazioni disponibili.

I consensi per marketing, comunicazioni promozionali non necessarie, profilazione non tecnica o comunicazione a partner per finalità promozionali proprie sono sempre facoltativi. Il mancato consenso non impedisce la gestione della richiesta principale.

7. Modalità del trattamento e misure di sicurezza

Il trattamento è effettuato con strumenti manuali, informatici e telematici, secondo principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza.

EnerBuyer adotta misure tecniche e organizzative adeguate al rischio, tra cui, ove applicabile:

• canali cifrati HTTPS/TLS;
• credenziali individuali e controllo degli accessi;
• autorizzazioni differenziate in base alle mansioni;
• segregazione degli ambienti e dei dati;
• conservazione controllata di documenti e log;
• backup, procedure di ripristino e misure di continuità operativa;
• monitoraggio tecnico e misure di sicurezza server-side;
• minimizzazione dei dati e limitazione degli accessi al personale autorizzato;
• gestione backend/server-side delle credenziali tecniche e delle secret key dei partner, che non sono esposte pubblicamente nelle landing.

Le misure sono riesaminate e aggiornate in funzione dell’evoluzione tecnica, organizzativa e dei rischi rilevati.

8. Destinatari dei dati, responsabili e partner

I dati personali possono essere trattati da personale, collaboratori, agenti, consulenti e incaricati autorizzati da EnerBuyer, nei limiti delle mansioni assegnate e secondo istruzioni ricevute.

I dati possono inoltre essere comunicati, nei limiti necessari alle finalità indicate, alle seguenti categorie di soggetti:

• fornitori di servizi IT, hosting, manutenzione, sicurezza informatica, backup, posta elettronica, CRM, automazioni, firma elettronica, conservazione documentale e gestione documentale;
• fornitori di energia, gas, fotovoltaico, telecomunicazioni, servizi CER/BECER o altri soggetti necessari alla richiesta dell’interessato;
• comparatori, piattaforme lead, broker, operatori energetici, call center, società di customer care e partner commerciali coinvolti nella richiesta o nel servizio;
• fornitori tecnologici per OCR, analisi documentale, prevenzione frodi, automazioni e supporto tecnico;
• consulenti fiscali, contabili, legali, amministrativi e DPO/RPD;
• autorità, enti pubblici, organi di vigilanza o soggetti legittimati a ricevere dati per legge, ordine dell’autorità o tutela dei diritti.

I soggetti che trattano dati per conto di EnerBuyer sono nominati, ove necessario, responsabili del trattamento ai sensi dell’art. 28 GDPR. I soggetti che determinano autonomamente finalità e mezzi del proprio trattamento operano quali autonomi titolari e rendono la propria informativa privacy.

L’elenco aggiornato delle principali categorie di responsabili e destinatari può essere richiesto scrivendo a info@enerbuyer.it.

9. Specifica per landing integrate con SuperMoney

Quando una landing EnerBuyer è collegata ai servizi SuperMoney, l’interessato è chiamato a prendere visione anche dell’informativa privacy SuperMoney tramite apposito link presente nel form e a rilasciare due consensi distinti.

In tale contesto:

• EnerBuyer opera come titolare autonomo per i trattamenti svolti nel proprio perimetro, inclusi raccolta della richiesta, gestione del mandato commerciale, audit dei consensi, sicurezza e assistenza;
• SuperMoney opera come autonomo titolare per i trattamenti relativi ai propri servizi di brokeraggio energia, gestione della lead, CRM, contatto cliente e flussi successivi;
• l’eventuale flag tecnico informativaPrivacy trasmesso a SuperMoney riguarda la presa visione/consenso richiesto dall’integrazione SuperMoney e non assorbe i trattamenti autonomi di EnerBuyer;
• il consenso o evidenza privacy riferito a EnerBuyer resta nel perimetro EnerBuyer e non viene trasmesso a SuperMoney;
• le informative e i consensi riferiti a EnerBuyer e a SuperMoney sono presentati in modo logicamente e testualmente distinguibile.

Evidenza dei consensi (registro audit EnerBuyer). Per ogni invio del form, EnerBuyer registra in un proprio archivio interno: indirizzo IP del client, timestamp dell’invio, valore dei due consensi prestati (Supermoney ed EnerBuyer), URL delle informative effettivamente mostrate, identificativo opaco (hash crittografico SHA-256) del numero di telefono e copia del payload trasmesso a SuperMoney. Tali dati sono conservati per finalità di accountability ex art. 5.2 GDPR (prova della liceità del trattamento), gestione di eventuali subject access request, retry tecnici e prevenzione frodi. Base giuridica: interesse legittimo del titolare e obbligo di accountability (artt. 6.1.f e 5.2 GDPR). Conservazione: di norma 24 mesi dall’invio, fatti salvi termini di prescrizione più lunghi in caso di contenzioso.

I dati trasmessi a SuperMoney sono limitati a quelli necessari alla creazione e gestione della lead energia secondo la specifica integrazione applicabile e la relativa informativa privacy SuperMoney.

10. Trasferimenti di dati fuori dallo Spazio Economico Europeo

EnerBuyer privilegia, ove ragionevolmente possibile, servizi e infrastrutture localizzati nello Spazio Economico Europeo o soggetti a garanzie adeguate.

Alcuni fornitori tecnologici utilizzati da EnerBuyer (ad esempio servizi cloud, di sicurezza perimetrale, DNS, posta elettronica, analisi documentale o intelligenza artificiale) possono avere sede o sub-fornitori in Paesi extra-SEE, in particolare negli Stati Uniti d’America. Categorie di fornitori che possono comportare trasferimenti extra-SEE includono provider cloud e di rete (es. Google, Cloudflare, Microsoft), strumenti di analisi documentale e di IA generativa (es. Anthropic, OpenAI) e piattaforme di comunicazione.

In tali casi, EnerBuyer verifica che il trasferimento avvenga nel rispetto degli articoli 44 e seguenti del GDPR, sulla base di una decisione di adeguatezza della Commissione europea (incluso, ove applicabile, l’EU–US Data Privacy Framework), di Clausole Contrattuali Standard ex art. 46 GDPR, di misure tecniche e organizzative supplementari o di altra garanzia prevista dalla normativa applicabile. L’elenco aggiornato dei fornitori extra-SEE e delle relative garanzie può essere richiesto scrivendo a info@enerbuyer.it.

11. Cookie e strumenti di tracciamento

Il sito https://enerbuyer.it e le landing EnerBuyer utilizzano due categorie di cookie e strumenti analoghi:

Cookie tecnici. Cookie strettamente necessari al funzionamento del sito, alla sicurezza, alla gestione della sessione, alla compilazione dei moduli e alla fruizione dei servizi richiesti dall’utente, inclusi i cookie utilizzati dalla piattaforma di gestione dei consensi per memorizzare le scelte espresse dall’utente. Tali cookie non richiedono il consenso dell’utente ai sensi dell’art. 122 del Codice Privacy.

Cookie e strumenti di terze parti subordinati a consenso preventivo. Il sito integra strumenti e widget forniti da terze parti, in particolare:

• strumenti analitici e di misurazione forniti da Google (Google Analytics, Google Tag Manager, Google Site Kit), finalizzati a raccogliere informazioni aggregate sull’utilizzo del sito e a migliorarne contenuti e funzionamento;
• widget di recensioni Elfsight (“All in One Reviews”) per la visualizzazione di recensioni provenienti da fonti pubbliche di terzi.

Tali strumenti vengono attivati esclusivamente dopo l’acquisizione del consenso dell’utente, raccolto tramite l’apposito banner mostrato al primo accesso al sito e gestito mediante la piattaforma di Consent Management di Iubenda S.r.l., in conformità con le linee guida del Garante per la protezione dei dati personali del 10 giugno 2021 (doc. web 9677876).

L’utente può in qualsiasi momento modificare o revocare le proprie scelte cliccando sull’apposito link “Modifica preferenze cookie” presente nel piè di pagina del sito, oppure tramite le impostazioni del proprio browser. La disabilitazione dei cookie tecnici può impedire o limitare alcune funzionalità del sito.

Per il dettaglio analitico dei singoli cookie utilizzati, della loro durata e dei rispettivi titolari del trattamento di terze parti, si rimanda alla Cookie Policy consultabile alla pagina https://www.iubenda.com/privacy-policy/33173232/cookie-policy.

12. Comunicazioni commerciali, telefono, SMS, WhatsApp e Registro Pubblico delle Opposizioni

EnerBuyer può utilizzare i dati di contatto forniti dall’interessato per rispondere a richieste, gestire preventivi, pratiche, consulenze o rapporti contrattuali.

L’invio di comunicazioni promozionali non strettamente necessarie, newsletter, offerte commerciali, messaggi SMS, WhatsApp, contatti telefonici o comunicazioni per conto di terzi avviene solo quando sussiste una base giuridica adeguata, incluso il consenso dell’interessato ove richiesto.

Soft-spam (art. 130, comma 4, Codice Privacy). EnerBuyer può inviare al cliente, tramite email, comunicazioni promozionali relative a propri servizi analoghi a quelli oggetto del rapporto contrattuale o della richiesta già gestita, senza necessità di un consenso separato. L’interessato può opporsi a tali invii sin dal momento della raccolta dei dati e in ogni successiva comunicazione, gratuitamente e con modalità semplici, utilizzando il link di disiscrizione o scrivendo a info@enerbuyer.it.

Per i contatti telefonici promozionali, EnerBuyer tiene conto della normativa applicabile in materia di Registro Pubblico delle Opposizioni. L’interessato può opporsi in ogni momento al trattamento per finalità promozionali scrivendo a info@enerbuyer.it.

La revoca del consenso o l’opposizione al marketing non pregiudicano la gestione di richieste, contratti, pratiche o obblighi legali già in corso.

13. Minori

I servizi EnerBuyer non sono rivolti specificamente a minori. Qualora EnerBuyer venga a conoscenza di aver raccolto dati personali di minori senza adeguato presupposto giuridico o autorizzazione dell’esercente la responsabilità genitoriale, adotterà misure ragionevoli per cancellare tali dati o limitarne il trattamento.

14. Processi decisionali automatizzati e profilazione

EnerBuyer non adotta decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici sull’interessato o incidano in modo analogo significativamente sulla sua persona ai sensi dell’art. 22 GDPR.

Eventuali analisi tecniche, commerciali, documentali o energetiche svolte con strumenti digitali sono funzionali alla consulenza e non sostituiscono, salvo diversa informativa specifica, la valutazione umana e professionale del caso concreto.

15. Diritti dell’interessato

Nei limiti e alle condizioni previste dal GDPR, l’interessato può esercitare i seguenti diritti:

• accesso ai dati personali;
• rettifica dei dati inesatti o integrazione dei dati incompleti;
• cancellazione dei dati, nei casi previsti dalla normativa;
• limitazione del trattamento;
• opposizione al trattamento, anche per finalità di marketing;
• portabilità dei dati, quando applicabile;
• revoca del consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca;
• diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati nei casi previsti dall’art. 22 GDPR.

Le richieste possono essere inviate tramite:

• email a info@enerbuyer.it (oggetto consigliato: “Richiesta privacy” oppure “Attenzione DPO — Richiesta privacy”);
• PEC: enerbuyer@pec.it;
• comunicazione scritta indirizzata alla sede legale del titolare indicata nella sezione 2.

EnerBuyer risponde entro i termini previsti dall’art. 12 GDPR, ordinariamente entro un mese dal ricevimento. Tale termine può essere prorogato nei casi previsti dalla normativa, tenuto conto della complessità e del numero delle richieste.

EnerBuyer può richiedere informazioni aggiuntive necessarie a confermare l’identità del richiedente e prevenire accessi non autorizzati ai dati personali.

Per i trattamenti svolti da partner o fornitori terzi quali autonomi titolari, l’interessato dovrà fare riferimento anche ai recapiti indicati nelle rispettive informative privacy.

16. Reclamo all’autorità di controllo

L’interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione della normativa applicabile può proporre reclamo al Garante per la protezione dei dati personali, secondo le modalità indicate sul sito istituzionale www.garanteprivacy.it.

Resta salva la possibilità di adire le competenti sedi giudiziarie.

17. Link, piattaforme e siti di terzi

Il sito e le landing EnerBuyer possono contenere link a siti, pagine, documenti, piattaforme o servizi di terzi. EnerBuyer non è responsabile delle modalità con cui tali terzi trattano i dati personali degli utenti, salvo il caso in cui agisca direttamente quale titolare o responsabile del trattamento per specifiche attività.

L’utente è invitato a consultare le informative privacy dei terzi prima di comunicare dati personali attraverso siti o servizi non direttamente controllati da EnerBuyer.

18. Aggiornamenti dell’informativa

EnerBuyer può aggiornare la presente informativa per adeguarla a modifiche normative, organizzative, tecniche, commerciali o ai servizi offerti.

La versione aggiornata sarà pubblicata su https://enerbuyer.it/privacy con indicazione della data di ultimo aggiornamento. In caso di modifiche sostanziali, EnerBuyer adotterà misure ragionevoli per darne evidenza agli interessati, tenuto conto della natura dei servizi e dei dati trattati.