Privacy Policy

Il Titolare del trattamento dei dati personali è Domenico Di Gangi, raggiungibile all'indirizzo email privacy@kilowattchiaro.it.

Il Titolare è responsabile delle decisioni relative a finalità e modalità del trattamento dei dati raccolti tramite il sito web e le applicazioni collegate.

Il servizio raccoglie e tratta le seguenti categorie di dati personali:

Dati forniti direttamente dall'utente

• Indirizzo e coordinate geografiche — utilizzati per individuare l'immobile e analizzare il tetto tramite dati satellitari.
• Dati di consumo energetico — consumo annuo (kWh), fasce orarie F1/F2/F3, spesa annua (€) e potenza impegnata (kW), inseriti manualmente o estratti dalla bolletta caricata.
• Bolletta elettrica — file PDF, JPG o PNG caricato dall'utente per l'estrazione automatica dei valori di consumo. Il file viene elaborato ed eliminato; vengono conservati solo i valori strutturati estratti (vedi sezioni 5 e 8).
• Preventivo installatore — file PDF o foto caricato per la verifica indipendente del preventivo ricevuto. Il file viene elaborato per estrarre i dati rilevanti (costo, potenza, componenti).
• Indirizzo email — fornito in fase di registrazione per l'accesso ai risultati e la gestione dell'account.

Dati raccolti automaticamente

• Dati tecnici — indirizzo IP, tipo di browser, sistema operativo, pagine visitate e timestamp delle richieste, raccolti dai log del server per garantire sicurezza e affidabilità del servizio.
• Cookie tecnici — cookie di sessione e autenticazione strettamente necessari al funzionamento del servizio (vedi sezione 10).
• Dati di analytics — solo previo consenso esplicito dell'utente: pagine visitate, durata della sessione, percorso di navigazione e interazioni con il servizio. Questi dati sono raccolti in forma pseudonimizzata tramite cookie analytics (vedi sezione 10).

I dati personali sono trattati per le seguenti finalità, ciascuna con la propria base giuridica ai sensi dell'art. 6 GDPR:

Condivisione con installatori — solo su consenso esplicito: la condivisione avviene esclusivamente tramite la funzione di prenotazione, richiede la selezione esplicita di ciascun installatore (consenso separato, facoltativo e registrato per singolo destinatario) ed è revocabile in qualsiasi momento contattando il Titolare (sez. 12). Al di fuori di questa funzione, nessun dato personale viene comunicato a installatori o partner commerciali per finalità di contatto commerciale.

I dati sono trattati con strumenti elettronici e automatizzati, adottando misure di sicurezza tecniche e organizzative adeguate a proteggerne la riservatezza, l'integrità e la disponibilità.

Il servizio non effettua profilazione automatizzata né decisioni automatiche con effetti giuridici sull'utente ai sensi dell'art. 22 GDPR. Le simulazioni fotovoltaiche sono stime informative basate su dati pubblici e parametri forniti dall'utente.

Il trattamento dei file caricati (bollette e preventivi) segue un principio di minimizzazione:

• Il file viene elaborato tramite servizi OCR e AI per estrarre esclusivamente i valori necessari alla simulazione.
• Il file originale e il testo OCR non vengono conservati da KiloWattChiaro al termine dell'elaborazione.
• Per i preventivi, un'estrazione strutturata normalizzata e priva del file sorgente può essere conservata in cache per massimo 3 ore per evitare chiamate AI duplicate. Il report integrato resta nella sessione corrente e non viene salvato nella memoria di 7 giorni dell'agente.
• Non viene creata alcuna libreria o archivio consultabile dei documenti caricati.

I dati personali sono condivisi con soggetti terzi esclusivamente quando ciò è necessario per erogare il servizio, garantirne sicurezza e affidabilità, o adempiere agli obblighi di legge. Attualmente i destinatari terzi rientrano nella categoria dei fornitori che trattano i dati per nostro conto (responsabili del trattamento).

Fornitori di servizi (responsabili del trattamento, art. 28 GDPR)

Questi soggetti trattano i dati esclusivamente per nostro conto e secondo le nostre istruzioni, sulla base di accordi conformi all'art. 28 GDPR.

• Supabase, Inc. — autenticazione, database e storage. I dati sono ospitati nel datacenter AWS di Francoforte, Germania (eu-central-1). Supabase, Inc. è società di diritto statunitense: il contratto è regolato da clausole contrattuali standard (SCC) per eventuali accessi remoti dal personale USA.
• Hetzner Online GmbH — hosting dell'infrastruttura server (Germania).
• Google LLC — Google Solar API per i dati del tetto, Google Maps e modello Gemini per l'estrazione strutturata dei preventivi instradata tramite OpenRouter. Le richieste del preventivo impongono zero data retention e divieto di raccolta a livello di routing.
• Commissione Europea (PVGIS) — dati pubblici di irraggiamento solare (nessun dato personale trasmesso).
• OpenRouter, Inc. (Stati Uniti) — gateway API usato per instradare i preventivi verso i servizi OCR e il modello di estrazione. Ogni richiesta impone zero data retention e rifiuta provider che raccolgono i contenuti; il logging di input/output non è abilitato. Il DPA di OpenRouter è incorporato nei termini commerciali.
• Mistral AI (Francia) — OCR primario dei PDF dei preventivi tramite OpenRouter e OCR delle bollette sul backend principale. I contenuti sono usati esclusivamente per l'estrazione richiesta e non per addestrare modelli.
• PostHog Inc. — analytics e monitoraggio dell'utilizzo del servizio, attivati solo previo consenso esplicito dell'utente. I dati sono ospitati esclusivamente nell'Unione Europea (Francoforte, Germania) su infrastruttura AWS eu-central-1. PostHog tratta i dati per nostro conto ai sensi dell'art. 28 GDPR. Nessun trasferimento di dati al di fuori dello Spazio Economico Europeo.
• Cloudflare Inc. — risoluzione DNS e protezione DDoS; inoltre il parser PDF Cloudflare può essere usato tramite OpenRouter esclusivamente come fallback quando Mistral OCR rifiuta un PDF valido. In quel caso il documento transita nel parser per la sola durata dell'elaborazione.
• Functional Software, Inc. (Sentry) — monitoraggio errori applicativi. Sentry riceve tracce di errore che possono includere identificativi utente (UUID, non email), indirizzi IP e informazioni tecniche sul browser. I dati sensibili vengono mascherati automaticamente dal sistema.
• Grafana Labs — aggregazione centralizzata dei log applicativi, ospitata esclusivamente nell'Unione Europea (Francoforte, Germania). I log possono contenere indirizzi IP e percorsi delle richieste. Nessun dato identificativo diretto (email, nomi) viene incluso nei log applicativi.

Installatori (solo funzione di prenotazione): se l'utente richiede un incontro tramite la pagina di prenotazione, i dati indicati (nome, contatti, comune, sintesi dello scenario energetico) vengono comunicati esclusivamente agli installatori che l'utente ha selezionato uno per uno; i destinatari sono mostrati per nome al momento della selezione. La comunicazione avviene solo dopo un consenso separato, esplicito e facoltativo, registrato per singolo installatore e revocabile in qualsiasi momento (sez. 12). Al di fuori di questa funzione non comunichiamo dati personali a installatori fotovoltaici o ad altri partner commerciali.

I dati personali sono conservati all'interno dello Spazio Economico Europeo:

• Database e storage (Supabase): Francoforte, Germania — AWS eu-central-1.
• Application hosting (Hetzner): Germania.
• Analytics (PostHog): Francoforte, Germania — AWS eu-central-1.
• Log aggregati (Grafana Cloud): Francoforte, Germania.

Alcuni fornitori (Supabase, Inc.; Google LLC; OpenRouter, Inc.; Cloudflare Inc.; Functional Software — Sentry) sono società statunitensi. Il trattamento dei preventivi tramite OpenRouter può comportare un trasferimento fuori dallo SEE; le richieste applicano zero data retention e divieto di raccolta, mentre i trasferimenti e gli eventuali accessi remoti sono regolati dai DPA e dalle garanzie elencate di seguito:

• Decisioni di adeguatezza della Commissione Europea, ove disponibili (es. EU-US Data Privacy Framework).
• Clausole contrattuali standard (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46.2.c GDPR (Modulo 2, Controller to Processor).
• Ulteriori garanzie tecniche e organizzative (cifratura a riposo e in transito, controlli di accesso, minimizzazione).

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti:

Ai sensi degli artt. 15-22 del GDPR, l'utente ha il diritto di:

• Accesso — ottenere conferma del trattamento e copia dei propri dati personali.
• Rettifica — chiedere la correzione di dati inesatti o incompleti.
• Cancellazione — chiedere la rimozione dei propri dati quando non più necessari o in caso di revoca del consenso.
• Limitazione — chiedere la limitazione del trattamento in determinate circostanze.
• Portabilità — ricevere i propri dati in formato strutturato e leggibile da dispositivo automatico.
• Opposizione — opporsi al trattamento basato su legittimo interesse.
• Revoca del consenso — revocare in qualsiasi momento il consenso prestato, senza pregiudizio per la liceità del trattamento effettuato prima della revoca.

Per esercitare questi diritti, scrivere a privacy@kilowattchiaro.it. Il Titolare risponderà entro 30 giorni dalla richiesta.

L'utente ha inoltre il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

Cookie tecnici (senza consenso)

Il sito utilizza cookie tecnici strettamente necessari al funzionamento del servizio:

• Cookie di sessione — per mantenere la sessione di navigazione attiva durante l'utilizzo del servizio.
• Cookie di autenticazione — per gestire il login e l'accesso alle aree riservate tramite Supabase Auth.
• Storage locale del browser — per ricordare preferenze tecniche, stato della simulazione e risultati recenti sul dispositivo dell'utente.

Ai sensi dell'art. 122 del Codice Privacy (D.Lgs. 196/2003) e delle Linee Guida del Garante sui cookie del 10 giugno 2021 (Provvedimento doc. web n. 9677876), i cookie tecnici non richiedono il consenso dell'utente.

Strumenti di analisi (previo consenso)

Il banner mostrato al primo accesso permette di scegliere separatamente due categorie, attivabili in modo indipendente:

A. Cookie analitici

Previo consenso, il sito utilizza PostHog Inc. (dati ospitati in Francoforte, AWS eu-central-1) per analizzare in forma aggregata il percorso di navigazione:

• ph_[project_id]_posthog — cookie di analytics con durata di 365 giorni, utilizzato per identificare sessioni ricorrenti in forma pseudonimizzata.

Finalità: miglioramento del servizio tramite analisi aggregata (pagine visitate, durata sessione, funzionalità utilizzate). Nessun dato di profilazione, marketing o tracciamento di terze parti.

B. Registrazione della sessione

Previo consenso separato e aggiuntivo, il servizio può registrare in forma anonimizzata i movimenti del cursore, i clic e lo scorrimento della pagina per identificare problemi di usabilità. I campi che possono contenere dati sensibili (email, password) sono mascherati automaticamente. La registrazione richiede come prerequisito il consenso ai cookie analitici.

Base giuridica: consenso (art. 6.1.a GDPR, art. 122 D.Lgs. 196/2003). Prima del consenso, nessun cookie analitico viene impostato, nessuna registrazione è attiva e nessun dato viene trasmesso a PostHog. Il browser Do Not Track (DNT) viene rispettato.

Il rifiuto di entrambe le categorie non pregiudica in alcun modo l'accesso e il funzionamento del servizio.

Gestione delle preferenze

L'utente può modificare le proprie preferenze in qualsiasi momento tramite il link «Gestisci cookie» presente nel footer di ogni pagina: si aprirà il pannello delle preferenze con le scelte correnti precompilate e potrà essere attivato o disattivato ogni singolo strumento. La modifica ha effetto immediato, senza necessità di ricaricare la pagina.

La scelta è memorizzata localmente nel browser (kwc_cookie_consent, schema v2) per 6 mesi, dopodiché viene richiesto un rinnovo. Una copia del consenso (con identificatore di sessione pseudonimizzato e hash IP) è registrata lato server per l'audit trail GDPR.

Il Titolare si riserva di aggiornare la presente informativa per adeguarla a modifiche normative o funzionali del servizio. In caso di modifiche sostanziali, l'utente sarà informato tramite comunicazione visibile sul sito o via email.

La data dell'ultimo aggiornamento è sempre indicata in cima a questa pagina.