Privacy Policy

1Titolare del trattamento

Il Titolare del trattamento è Heiwit S.p.A., con sede legale in [PLACEHOLDER: indirizzo completo], P.IVA [PLACEHOLDER], C.F. [PLACEHOLDER], iscritta al REA n. [PLACEHOLDER], PEC [PLACEHOLDER].

Per qualsiasi richiesta in materia di privacy è possibile scrivere a privacy@heiwit.com. [PLACEHOLDER: nominativo e contatti DPO, se designato].

2Definizioni

Si applicano le definizioni dell'art. 4 GDPR: "Dato personale", "Trattamento", "Titolare", "Responsabile", "Interessato" e "Consenso".

3Tipologie di dati raccolti

3.1 Dati forniti volontariamente

• Nome e cognome
• Indirizzo email
• Numero di telefono
• Indirizzo di installazione dell'impianto
• Dati relativi ai consumi energetici e bolletta
• Eventuali foto del tetto caricate
• Dati di pagamento gestiti direttamente da Stripe Payments Europe Ltd (il Titolare non memorizza dati di carta)

3.2 Dati raccolti automaticamente

• Indirizzo IP, user agent, pagine visitate
• Cookie e tecnologie simili (si rimanda alla Cookie Policy)

3.3 Dati raccolti da terze parti

Per fornire l'analisi satellitare del tetto utilizziamo la Google Solar API, che ci restituisce dati geospaziali pubblici già esistenti (immagini satellitari, modelli digitali del terreno) non identificativi dell'interessato.

4Finalità e base giuridica del trattamento

• 4.1 Riscontro alla richiesta di preventivo — base: art. 6.1.b GDPR (misure precontrattuali su richiesta dell'interessato).
• 4.2 Contatto commerciale di follow-up per completare la richiesta di preventivo — base: art. 6.1.b GDPR (misure precontrattuali). Non richiede un consenso autonomo perché inerente all'oggetto della richiesta.
• 4.3 Obblighi contrattuali e di legge post-firma — base: art. 6.1.b e 6.1.c.
• 4.4 Marketing diretto e comunicazioni promozionali (newsletter, offerte future, retargeting) — base: art. 6.1.a GDPR (consenso esplicito, opt-in via checkbox dedicata nei form).
• 4.5 Analisi statistica via Google Analytics — base: art. 6.1.a GDPR (consenso espresso tramite cookie banner).

5Destinatari dei dati

I dati possono essere comunicati a:

• Personale interno autorizzato del Titolare;
• Soggetti che operano in qualità di Responsabili del trattamento ex art. 28 GDPR:
  • Provider di hosting [PLACEHOLDER];
  • Stripe Payments Europe Ltd (pagamenti);
  • Google Ireland Ltd (Solar API, Maps, Fonts, Analytics se consentito);
  • Meta Platforms Ireland Ltd (Pixel + Conversion API, se attivati e consentiti);
  • Provider di email transazionale [PLACEHOLDER];
  • Eventuale CRM esterno [PLACEHOLDER];
  • Namirial S.p.A. (firma elettronica qualificata via OpenAPI eSignature, server UE).
• Consulenti professionali, partner installatori per esecuzione del contratto e Autorità competenti su richiesta.

6Trasferimento dei dati extra-UE

Alcuni Responsabili (Google, Meta) possono trattare dati negli Stati Uniti. I trasferimenti avvengono sulla base delle Clausole Contrattuali Standard approvate dalla Commissione UE (Decisione 2021/914) e dell'adesione al Data Privacy Framework UE-USA. Stripe utilizza analoghe Clausole Contrattuali Standard. Namirial utilizza server localizzati nell'Unione Europea.

7Periodo di conservazione

• Dati lead e preventivi non concretizzati: 24 mesi dall'ultima interazione.
• Dati relativi a contratti firmati: 10 anni ai fini civilistici e fiscali.
• Log di consenso ai cookie: 24 mesi.
• Dati trattati per finalità di marketing: fino a revoca del consenso, più 30 giorni di safety net per garantire l'effettiva cessazione delle comunicazioni.

8Diritti dell'interessato

In qualunque momento Lei può esercitare i diritti previsti dagli artt. 15-22 GDPR:

• Accesso ai propri dati personali;
• Rettifica dei dati inesatti;
• Cancellazione ("diritto all'oblio");
• Limitazione del trattamento;
• Portabilità dei dati;
• Opposizione al trattamento;
• Revoca del consenso in ogni momento (senza pregiudizio per i trattamenti precedentemente effettuati);
• Reclamo al Garante per la protezione dei dati personali (www.gpdp.it).

9Modalità di esercizio dei diritti

È possibile inviare una richiesta a privacy@heiwit.com oppure tramite PEC a [PLACEHOLDER PEC]. Risponderemo entro 30 giorni dalla ricezione, estensibili di ulteriori 60 in caso di particolare complessità.

10Processi decisionali automatizzati

Il calcolo del preventivo solare non costituisce una decisione automatizzata ai sensi dell'art. 22 GDPR: si tratta di una stima indicativa, mentre l'offerta finale e la conclusione del contratto richiedono sempre l'intervento di un consulente commerciale.

11Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati: trasmissione in HTTPS, accessi cifrati, sistemi di backup, logging delle attività amministrative, controllo degli accessi a ruolo.

12Modifiche alla Privacy Policy

La presente informativa è soggetta a versionamento. La versione corrente è indicata in cima al documento. In caso di modifiche sostanziali, gli interessati identificati saranno informati via email, e il banner di consenso ricomparirà per acquisire nuovo consenso ove necessario.