Informativa sulla Privacy

MEMEDIA S.r.l. (di seguito “MEMEDIA” o il “Titolare”), in qualità di titolare del trattamento, considera la protezione dei dati personali un valore primario e impronta la propria attività a criteri di trasparenza e correttezza. Con la presente informativa — resa ai sensi e per gli effetti del Regolamento UE 2016/679 (di seguito il “Regolamento Privacy” o “GDPR”), del D. Lgs. 30 giugno 2003 n. 196 (di seguito il “Codice Privacy”) e, per quanto applicabile, del Regolamento UE 2024/1689 (di seguito l’“AI Act”) — MEMEDIA intende illustrarLe le modalità con cui vengono trattati i dati personali da Lei forniti nel quadro dell’utilizzo dei servizi resi disponibili tramite il sito www.quantoconsumi.it, ivi incluse le ipotesi in cui quest’ultimo sia integrato in siti di terzi in modalità “co-branded” oppure fruito da dispositivi mobili, anche per il tramite dell’applicazione per iOS e Android (di seguito il “Sito” o la “Piattaforma”).

1. Come raccogliamo i Suoi dati

I dati personali che La riguardano sono:

• conferiti direttamente da Lei tramite la registrazione e l’utilizzo del Sito o dell’app mobile (form di registrazione, area personale, modulo di contatto, caricamento di bollette in formato PDF, attivazione di servizi accessori quali lo sblocco biometrico);
• ottenuti per il tramite di soggetti con i quali MEMEDIA ha stipulato accordi commerciali e/o di collaborazione finalizzati all’acquisizione di nuovi utenti (i “Partner”), per l’esecuzione delle disposizioni da Lei espressamente ricevute;
• acquisiti automaticamente dai sistemi informatici e telematici utilizzati dalla Piattaforma nel corso del loro normale funzionamento (a titolo esemplificativo: indirizzo IP, identificativi del dispositivo, dati di navigazione, parametri UTM e di tracciamento di campagna, geolocalizzazione approssimativa derivante dall’indirizzo IP).

2. Perché trattiamo i Suoi dati e su quale base giuridica

2.1 Dati necessari per fornirLe il servizio (art. 6.1.b GDPR)

I dati raccolti saranno trattati dal Titolare, senza necessità di esplicito consenso, per fornire i servizi previsti dalle Condizioni di Utilizzo, principalmente legati all’ottimizzazione delle spese, alla comparazione di offerte commerciali e all’eventuale conclusione di contratti per prodotti energetici (fornitura di energia elettrica e gas ad uso domestico) e di telecomunicazione (fibra/internet). In particolare i dati saranno trattati:

• per consentire agli Utenti di registrarsi alla Piattaforma e successivamente accedere e gestire il proprio account, anche tramite credenziali di terze parti (Google, Facebook, Apple) e tramite autenticazione via numero di telefono;
• per l’erogazione dei servizi di ottimizzazione delle proprie spese, tramite l’invio di aggiornamenti periodici e consigli sulle migliori condizioni di mercato, nonché check-up periodici sulla convenienza dei prodotti scelti, incluse comunicazioni di servizio tramite e-mail, sms e notifiche push, disattivabili in qualsiasi momento dall’area personale;
• per l’erogazione dei servizi di comparazione e/o commercializzazione offerti dalla Piattaforma, tra cui prodotti energetici e di telecomunicazione;
• per le attività finalizzate alla conclusione di contratti tra gli Utenti e le Società Partner, inclusa la fornitura alle stesse delle informazioni necessarie ad erogare i servizi richiesti;
• per la predisposizione, in nome e per conto degli Utenti che avranno conferito a MEMEDIA apposito mandato con rappresentanza, di proposte di adesione al prodotto o servizio richiesto;
• per l’attività di consulenza ed assistenza via chat, e-mail e telefonica alla clientela;
• per l’erogazione di servizi accessori quali la verifica della copertura di rete, l’analisi automatizzata di bollette energetiche, internet e telefoniche caricate dall’Utente (per il dettaglio si rinvia al successivo paragrafo 9);
• per facilitare l’utilizzo dell’intera Piattaforma, ad esempio mediante il riconoscimento degli Utenti che ritornano sul Sito e la personalizzazione dell’esperienza utente;
• per la gestione amministrativa dei rapporti con le Società Partner;
• per rispondere ai commenti e alle segnalazioni inviate dalla clientela;
• per consentire l’autenticazione tramite sblocco biometrico (Face ID, Touch ID o biometria Android) sui dispositivi mobili che lo supportano: il riconoscimento avviene esclusivamente sul dispositivo dell’Utente tramite le API di sistema; il Titolare non riceve, non tratta e non conserva alcun dato biometrico ai sensi dell’art. 9 GDPR, ma esclusivamente un valore booleano che indica se la funzione è stata abilitata dall’Utente;
• per l’erogazione di ogni altro servizio previsto dalle Condizioni di Utilizzo.

Il Titolare non procede alla raccolta o al trattamento delle “categorie particolari di dati personali” di cui all’art. 9 del GDPR (dati relativi, ad esempio, allo stato di salute, alle convinzioni religiose o all’orientamento sessuale).

2.2 Trattamenti basati sul nostro legittimo interesse (art. 6.1.f GDPR)

I dati saranno altresì trattati, senza necessità di esplicito consenso e nel rispetto del bilanciamento di interessi compiuto dal Titolare, per:

• promuovere i propri servizi agli Utenti che ne hanno già usufruito, mediante comunicazioni informative e commerciali via e-mail aventi ad oggetto servizi analoghi a quelli già fruiti, nel rispetto dell’art. 130, comma 4, del Codice Privacy; l’Utente può opporsi in ogni momento;
• sviluppare analisi, osservatori e modelli previsionali su basi storiche e/o statistiche per la gestione del business e il miglioramento del servizio, in forma aggregata o pseudonimizzata;
• monitorare e assicurare il corretto funzionamento degli strumenti di comunicazione con gli Utenti e l’integrità della Piattaforma;
• effettuare ogni approfondimento necessario per la corretta verifica delle operazioni andate a buon fine;
• prevenire frodi, accessi e utilizzi non autorizzati del servizio, tutelare i diritti del Titolare in sede stragiudiziale e giudiziale, valutare l’affidabilità economica dei potenziali clienti, anche tramite verifiche con banche dati esterne. Tali verifiche non costituiscono decisioni interamente automatizzate ai sensi dell’art. 22 GDPR: ogni esito sfavorevole è sottoposto a revisione da parte di un operatore prima di produrre effetti sull’Utente;
• raccogliere e gestire il feedback della clientela sul servizio erogato dal Titolare e dai relativi Partner;
• garantire la sicurezza informatica della Piattaforma tramite registrazione di tentativi di accesso, indirizzi IP, log applicativi e meccanismi di blocco temporaneo degli account in caso di tentativi sospetti.

2.3 Trattamenti che effettuiamo con il Suo consenso (art. 6.1.a GDPR)

Previo esplicito e libero consenso, i dati potranno essere trattati per:

• l’invio periodico di comunicazioni promozionali e materiale pubblicitario tramite posta elettronica, sms e notifiche push;
• l’installazione e l’utilizzo di cookie di profilazione e di strumenti analitici di terze parti per finalità di marketing e pubblicità personalizzata, secondo quanto descritto nella Cookie Policy;
• la comunicazione dei dati a Società Partner per finalità di marketing autonomo, ove non strettamente necessaria all’esecuzione della richiesta dell’Utente.

Il mancato consenso non pregiudica i trattamenti di cui ai paragrafi 2.1 e 2.2. Il consenso può essere revocato in qualsiasi momento, senza che ciò pregiudichi la liceità dei trattamenti effettuati prima della revoca.

2.4 Condivisione dei dati con le Società Partner

I dati forniti potranno essere comunicati alle Società Partner con cui MEMEDIA ha stipulato o stipulerà accordi commerciali o di collaborazione, senza necessità di esplicito consenso ai sensi dell’art. 6, par. 1, lett. b) GDPR, al fine di dar seguito alle richieste degli Utenti (ad esempio contatti telefonici per la conclusione di un contratto, assistenza, ricontatto in relazione a preventivi salvati). Le Società Partner tratteranno i dati anche per gli adempimenti di legge ai sensi dell’art. 6, par. 1, lett. c) GDPR. L’Utente può prendere visione dell’elenco aggiornato delle Società Partner alla pagina partner.php nonché delle informative privacy delle stesse direttamente nelle pagine web della Piattaforma, al momento della scelta delle offerte.

3. Quali dati sono obbligatori e quali facoltativi

La comunicazione dei dati personali necessari per il raggiungimento delle finalità indicate ai paragrafi 2.1 e 2.4 è obbligatoria; l’eventuale rifiuto non consentirà al Titolare di erogare i servizi richiesti. Il conferimento dei dati per le finalità di cui al paragrafo 2.3 è facoltativo: l’eventuale rifiuto non incide sull’accesso al Sito o sull’utilizzo dei servizi base.

4. Chi è il Titolare e come contattarci

Titolare del trattamento è MEMEDIA S.r.l., con sede legale in Via Adriatica 94, 06135 Perugia (PG) — P.IVA 04043600545.

Per qualunque richiesta in materia di protezione dei dati personali è possibile scrivere a privacy@quantoconsumi.it oppure all’indirizzo postale sopra indicato (Att.ne “Privacy Trattamento Dati”).

5. Quali dati personali trattiamo

Per il raggiungimento delle finalità sopra descritte, il Titolare tratta le seguenti categorie di dati personali. La raccolta avviene in misura proporzionata al servizio richiesto e non tutti i dati sotto elencati sono raccolti per ogni Utente.

6. A chi comunichiamo i Suoi dati

6.1 Soggetti che operano come titolari autonomi

I dati potranno essere comunicati ai seguenti soggetti, che li tratteranno in qualità di autonomi titolari:

• Società Partner (fornitori di energia elettrica, gas, fibra/internet) di cui all’elenco aggiornato disponibile alla pagina partner.php, per l’esecuzione delle disposizioni ricevute dall’Utente;
• altre società con cui il Titolare ha stipulato accordi finalizzati all’offerta di beni o servizi, per l’erogazione dei servizi richiesti;
• società autorizzate (ad esempio informatori commerciali) per legittime verifiche nell’interesse della lealtà delle transazioni commerciali;
• organismi di vigilanza, autorità giudiziarie e amministrative, italiane o unionali, nei casi previsti dalla normativa applicabile;
• provider di autenticazione di terze parti, ove l’Utente scelga di accedere alla Piattaforma tramite social login: Google LLC (per Google Sign-In), Meta Platforms Ireland Ltd (per Facebook Login) e Google Ireland Ltd (per l’autenticazione via numero di telefono mediante Firebase Authentication). Tali soggetti trattano i dati ai sensi delle proprie informative privacy.

6.2 Fornitori nominati responsabili del trattamento (art. 28 GDPR)

Il Titolare si avvale di fornitori di servizi nominati responsabili del trattamento, vincolati da specifico accordo (Data Processing Agreement). Le principali categorie e i principali fornitori sono i seguenti:

L’elenco completo e aggiornato dei responsabili del trattamento può essere richiesto in qualsiasi momento al Titolare scrivendo a privacy@quantoconsumi.it. I dati non saranno diffusi, messi a disposizione o dati in consultazione in alcuna forma a soggetti diversi da quelli indicati o a soggetti indeterminati.

7. Quando trasferiamo i dati al di fuori dello Spazio Economico Europeo

Alcuni dei servizi necessari al funzionamento della Piattaforma comportano un trasferimento di dati personali al di fuori dello Spazio Economico Europeo (“SEE”), con particolare riferimento agli Stati Uniti d’America. Tali trasferimenti riguardano in particolare:

• l’invio dei documenti (bollette PDF) e dei dati ad essi correlati ad Anthropic, PBC, ai fini dell’analisi automatizzata descritta al paragrafo 9;
• la raccolta di dati di navigazione e tecnici tramite Google Analytics 4 e altri strumenti forniti da Google LLC;
• l’autenticazione tramite social login (Google, Facebook) e tramite numero di telefono (Firebase Authentication);
• la trasmissione di notifiche push tramite Firebase Cloud Messaging.

Tali trasferimenti avvengono esclusivamente sulla base di adeguate garanzie ai sensi degli articoli 44 e seguenti del GDPR. In particolare, il Titolare si avvale congiuntamente di:

• la decisione di adeguatezza della Commissione Europea del 10 luglio 2023 relativa all’EU-U.S. Data Privacy Framework, ove il fornitore vi abbia aderito;
• le Clausole Contrattuali Standard (Standard Contractual Clauses) approvate dalla Commissione Europea con decisione 2021/914, integrate da misure supplementari tecniche e organizzative (a titolo esemplificativo: cifratura in transito e a riposo, controlli di accesso basati sul principio del minimo privilegio, audit periodici);
• la valutazione d’impatto sui trasferimenti (Transfer Impact Assessment) documentata internamente.

Copia delle garanzie adottate può essere richiesta al Titolare ai recapiti indicati al paragrafo 4.

8. Come proteggiamo i dati e come usiamo i cookie

Il trattamento dei dati è effettuato attraverso strumenti manuali, informatici e telematici idonei a garantirne la sicurezza e la riservatezza, mediante misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR (a titolo esemplificativo: cifratura delle comunicazioni in transito tramite TLS, conservazione delle password sotto forma di hash crittografico non reversibile, segregazione dei privilegi di accesso, log degli accessi privilegiati, backup periodici).

Il Sito utilizza cookie tecnici (necessari al funzionamento) nonché cookie analitici e di profilazione di prima e di terze parti. I cookie analitici e di profilazione sono attivati esclusivamente previa acquisizione del consenso dell’Utente, che può essere prestato, negato e successivamente modificato tramite l’apposito banner all’accesso al Sito o tramite la voce “Preferenze cookie” presente nel piede di pagina. Per il dettaglio dei cookie utilizzati, della loro finalità e della loro durata si rinvia alla Cookie Policy.

Fatta salva la valutazione automatizzata di affidabilità economica descritta al paragrafo 2.2 (sempre soggetta a revisione umana) e l’analisi automatizzata delle bollette descritta al paragrafo 9 (priva di effetti giuridici e con possibilità di richiedere revisione manuale), l’Utente non viene sottoposto ad alcuna decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo significativo sulla sua persona ai sensi dell’art. 22 GDPR.

9. Come leggiamo le bollette con l’intelligenza artificiale

Tra i servizi offerti dalla Piattaforma vi è la possibilità di caricare le proprie bollette di energia elettrica, gas, fibra e telefonia in formato PDF al fine di ottenere un’analisi automatizzata dei costi, dei consumi e della convenienza dell’offerta sottoscritta.

9.1 Come funziona l’analisi

Quando l’Utente carica una bolletta sulla Piattaforma, il documento e le informazioni in esso contenute sono trasmessi, in forma cifrata in transito, ai sistemi di Anthropic, PBC (Stati Uniti d’America), che fornisce a MEMEDIA un modello di linguaggio (“Claude”) per l’estrazione strutturata dei dati. L’analisi avviene attraverso un meccanismo di consensus multi-agente: il documento è sottoposto a una prima estrazione, ad una verifica indipendente e, in caso di divergenza tra i due esiti, ad un’ulteriore fase di arbitrato. Sui prezzi indicizzati (PUN per la luce, PSV per il gas) il risultato dell’analisi è sovrascritto da calcoli deterministici eseguiti da MEMEDIA sulla base di indici di mercato pubblici.

9.2 Su quale base giuridica la effettuiamo

Il trattamento si fonda sull’esecuzione del contratto con l’Utente ai sensi dell’art. 6, par. 1, lett. b) GDPR, in quanto strettamente necessario per erogare il servizio di analisi richiesto.

9.3 Cosa fa il fornitore di AI con i Suoi dati

Sulla base degli accordi commerciali e del Data Processing Agreement in essere con Anthropic, PBC, i dati trasmessi ai fini dell’analisi delle bollette non sono utilizzati per l’addestramento dei modelli di intelligenza artificiale e sono conservati dal fornitore esclusivamente per il tempo strettamente necessario all’erogazione del servizio.

9.4 Trasparenza e tracciabilità delle decisioni (AI Act)

In ottemperanza ai principi di trasparenza e tracciabilità sanciti dal Regolamento UE 2024/1689 (AI Act), per ogni bolletta analizzata MEMEDIA conserva un identificativo univoco del prompt utilizzato e del modello che ha effettivamente eseguito l’elaborazione. Tali informazioni costituiscono l’audit trail della decisione automatizzata e possono essere fornite all’Utente su sua richiesta.

9.5 La revisione da parte di una persona

Qualora la confidenza dell’analisi automatizzata su campi critici risulti inferiore a una soglia predefinita, ovvero qualora siano rilevate anomalie nei dati estratti, la bolletta viene sottoposta a revisione manuale da parte del personale di MEMEDIA prima di essere mostrata all’Utente. L’Utente ha in ogni caso il diritto di richiedere una revisione manuale dell’esito dell’analisi automatizzata, scrivendo a privacy@quantoconsumi.it o utilizzando gli appositi strumenti disponibili nell’area personale.

9.6 Per quanto conserviamo le bollette caricate

Le bollette caricate sono conservate su infrastruttura del Titolare (server con sede nell’Unione Europea) per la durata del rapporto contrattuale con l’Utente, salvo diversa richiesta. Le bollette più risalenti di sei mesi vengono automaticamente escluse dal flusso di confronto delle offerte; l’Utente può in qualsiasi momento richiedere la cancellazione di singole bollette o di tutte le bollette dal proprio account.

10. Per quanto tempo conserviamo i Suoi dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per le quali sono stati raccolti, e comunque secondo i seguenti criteri:

• dati trattati per le finalità di cui ai paragrafi 2.1, 2.2 e 2.4: fino al 31 dicembre del decimo anno dalla data di conferimento o, se successiva, dall’ultimo utilizzo dei dati in risposta alla richiesta di un servizio, inclusa la gestione dell’area personale dell’Utente;
• dati trattati sulla base del consenso (paragrafo 2.3): fino alla revoca del consenso, anche se successiva al termine di cui al punto precedente;
• file delle bollette caricate dall’Utente: per la durata del rapporto contrattuale, secondo quanto indicato al paragrafo 9.6;
• log applicativi e di sicurezza (accessi, tentativi falliti, indirizzo IP): per un periodo non superiore a dodici mesi, salvo conservazione per tempi superiori in caso di indagini su incidenti di sicurezza;
• dati di navigazione raccolti tramite cookie: secondo i tempi indicati nella Cookie Policy;
• dati relativi a contenziosi stragiudiziali o giudiziali: per tutta la durata degli stessi e fino allo scadere dei termini previsti dalla legge per le azioni di impugnazione.

Decorsi i termini sopra indicati, i dati saranno cancellati o resi anonimi in modo irreversibile.

11. I Suoi diritti sui dati personali

In conformità agli articoli 15-22 del GDPR, l’Utente ha il diritto di:

• ottenere l’accesso ai propri dati personali (art. 15) e la loro rettifica (art. 16) o cancellazione (art. 17);
• ottenere la limitazione del trattamento (art. 18);
• opporsi al trattamento (art. 21), in particolare al trattamento per finalità di marketing diretto, in qualsiasi momento;
• esercitare il diritto alla portabilità dei dati (art. 20), ricevendo in formato strutturato, di uso comune e leggibile da dispositivo automatico i dati che lo riguardano;
• revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca;
• non essere sottoposto a decisioni interamente automatizzate che producano effetti giuridici o significativi (art. 22) e, con riferimento all’analisi automatizzata delle bollette, richiedere la revisione umana dell’esito (paragrafo 9.5);
• proporre reclamo all’Autorità Garante per la protezione dei dati personali (garanteprivacy.it) o all’Autorità competente nello Stato membro di residenza, di lavoro o del luogo dell’asserita violazione.

Come esercitare i Suoi diritti

L’esercizio dei diritti è gratuito e può essere richiesto:

• scrivendo a privacy@quantoconsumi.it;
• inviando una comunicazione postale a MEMEDIA S.r.l., Att.ne “Privacy Trattamento Dati”, Via Adriatica 94, 06135 Perugia;
• utilizzando le funzioni di gestione del proprio account disponibili nell’area personale del Sito (in particolare per la modifica dei dati anagrafici, la gestione dei consensi marketing e la richiesta di cancellazione dell’account);
• compilando l’apposito modulo online di opt-out disponibile sul Sito.

Il Titolare risponderà alle richieste senza ingiustificato ritardo e, in ogni caso, entro un mese dal ricevimento della richiesta, salvo proroga per richieste particolarmente complesse, ai sensi dell’art. 12, par. 3, GDPR. La cancellazione dei dati è evasa nel medesimo termine, fatti salvi gli obblighi di conservazione previsti dalla normativa fiscale e amministrativa applicabile (in particolare la conservazione decennale dei dati contabili connessi a contratti conclusi tramite la Piattaforma).

12. Come aggiorniamo questa informativa

Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento, dandone comunicazione agli Utenti tramite pubblicazione della versione aggiornata sul Sito. Si invita pertanto l’Utente a consultare periodicamente la presente pagina. In caso di modifiche sostanziali, l’aggiornamento verrà portato all’attenzione degli Utenti registrati anche mediante comunicazione via e-mail.