Informativa sulla protezione dei dati

Titolare del trattamento

Il responsabile del trattamento dei dati in relazione a questo sito web è:

Solarstream AG
c/o Switzerland Innovation Park Central
Suurstoffi 18b
6343 Rotkreuz
Svizzera

CHE-224.276.663

E-mail: info@solarstream.ch

Per richieste relative alla protezione dei dati, contattare: christian.bertschy@solarstream.ch

---

Fornitura del sito web (file di log)

Descrizione e ambito del trattamento dei dati

Quando accedete al nostro sito web, cioè anche se non vi registrate o non trasmettete informazioni in altro modo, vengono automaticamente raccolte informazioni di carattere generale. Queste informazioni (file di log del server) comprendono, ad esempio, il tipo di browser web, il sistema operativo utilizzato, il nome del dominio del vostro provider di servizi Internet, il vostro indirizzo IP, l'URL di riferimento, la data e l'ora dell'accesso e informazioni simili.

Esse vengono elaborate in particolare per i seguenti scopi:

• Garantire un'impostazione fluida della connessione al sito web,
• Garantire un utilizzo fluido del nostro sito web,
• garantire e analizzare la sicurezza e la stabilità del sistema, in particolare per individuare eventuali abusi
• per la presentazione tecnicamente priva di errori e l'ottimizzazione del nostro sito web.

I dati vengono memorizzati anche nei file di log del nostro sistema. Questi dati non vengono memorizzati insieme ad altri dati personali dell'utente. Non utilizziamo i dati dell'utente per trarre conclusioni sulla sua persona. Tuttavia, ci riserviamo il diritto di controllare a posteriori i file di log del server qualora vi siano indizi concreti di un utilizzo illegale.

Destinatari dei dati

Per il funzionamento e la manutenzione del nostro sito web ci avvaliamo di fornitori di servizi che agiscono come nostri responsabili del trattamento dei dati. Tutti i fornitori di servizi sono obbligati per contratto a trattare i vostri dati in modo confidenziale.

---

Categorie di responsabili del trattamento e altri destinatari dei dati

Comunichiamo dati personali solo quando è necessario per le finalità descritte nella presente dichiarazione. A seconda della funzione utilizzata, i destinatari rientrano in particolare nelle seguenti categorie:

• fornitori di hosting, database, autenticazione, archiviazione di file, sincronizzazione, backup e sicurezza tecnica;
• fornitori di funzioni di posta elettronica, calendario, notifiche e comunicazione;
• fornitori di analisi del prodotto, diagnostica degli errori e registrazione tecnica;
• fornitori di analisi assistita dall’IA, riconoscimento di documenti, trascrizione e automazione;
• piattaforme di integrazione, pianificazione, contabilità, firma o approvvigionamento scelte dal cliente; e
• autorità, gestori di rete e servizi pubblici di geodati quando necessario per una funzione richiesta o per legge.

L’attuale registro dei responsabili del trattamento e degli altri destinatari dei dati indica ogni organismo, il suo ruolo, la finalità, le categorie di dati interessate, il luogo del trattamento, le garanzie applicabili ai trasferimenti e la base contrattuale. Il registro integra la presente dichiarazione e può essere aggiornato quando cambiano elementi operativi. Le modifiche sostanziali alla finalità, alle categorie di dati, alla categoria dei destinatari o a un trasferimento all’estero restano soggette a verifica legale e vengono comunicate separatamente.

---

Trasferimenti internazionali di dati

Alcuni dei nostri responsabili del trattamento hanno sede negli Stati Uniti. Tutti i dati personali a riposo sono conservati in Svizzera (Zurigo) o nell'UE (Francoforte).

I trasferimenti di dati personali sono garantiti dalle seguenti misure:

• Contratti di trattamento dei dati (DPA) sottoscritti

• Clausole contrattuali tipo dell'UE (SCC)

• Certificazione Swiss-US Data Privacy Framework

• Per l'automazione delle notifiche edilizie tramite Browserbase, autorizzata separatamente, non avviene alcun trasferimento ordinario finché la funzione non è stata esplicitamente attivata per un account cliente. Prima dell'attivazione verifichiamo e documentiamo la regione effettiva di trattamento e le garanzie applicabili. In assenza di questa verifica, la funzione rimane disattivata.
  La Germania dispone di un livello di protezione adeguato ai sensi della legge federale sulla protezione dei dati (LPD) — non sono necessarie misure di protezione supplementari per il trattamento dei dati a Francoforte.

---

Contattaci

Descrizione e ambito del trattamento dei dati

Sul nostro sito web è presente un modulo di contatto che può essere utilizzato per contattarci elettronicamente. Se utilizzate questa opzione, i dati personali inseriti nella maschera di input ci verranno trasmessi e memorizzati. Il trattamento dei vostri dati personali ci serve esclusivamente per elaborare la vostra richiesta.

Anche i seguenti dati vengono trasmessi e memorizzati al momento dell'invio del messaggio:

• data e ora della richiesta
• URL da cui è stata effettuata la richiesta
• Indirizzo IP

In alternativa, è possibile contattarci tramite gli indirizzi e-mail forniti. In questo caso, i dati personali dell'utente trasmessi con l'e-mail verranno memorizzati. Questi includono

• data e ora della richiesta
• URL da cui è stata effettuata la richiesta
• indirizzo IP
• nonché informazioni sui server coinvolti nella comunicazione e-mail.

Potete anche contattarci tramite il numero di telefono indicato. In questo caso raccogliamo dati di log che includono il numero di telefono e la durata della chiamata. Non registriamo le conversazioni.

Destinatari dei dati

Il nostro sito web è gestito da fornitori di servizi che agiscono come nostri responsabili del trattamento dei dati. Se ci inviate una richiesta di informazioni su un'offerta, i fornitori di servizi da noi utilizzati possono ricevere i dati per questi scopi, se ne hanno bisogno per adempiere ai rispettivi servizi (ad es. servizi informatici, call center). Tutti i fornitori di servizi sono obbligati per contratto a trattare i vostri dati in modo confidenziale.

---

Newsletter

Descrizione e ambito del trattamento dei dati

I vostri dati saranno utilizzati esclusivamente per inviarvi la newsletter sottoscritta via e-mail e, se avete dato il vostro consenso, per analizzare l'utilizzo della newsletter e dei contenuti ad essa collegati. Il vostro nome viene fornito per potervi indirizzare personalmente nella newsletter e, se necessario, per identificarvi qualora vogliate esercitare i vostri diritti di interessati.

Per verificare che la registrazione sia effettivamente effettuata dal titolare di un indirizzo e-mail, utilizziamo la procedura di "double opt-in" (procedura DOI) per la registrazione online. Ciò significa che, dopo la registrazione alla newsletter, riceverete un'e-mail in cui dovrete confermare la vostra registrazione alla newsletter cliccando su un link.

Al momento della conferma DOI vengono memorizzati anche i seguenti dati:

• luogo, data e ora della registrazione
• indirizzo IP
• indirizzo e-mail
• Titolo, nome e cognome, se applicabile

Inoltre, valutiamo il vostro comportamento di lettura e di utilizzo per migliorare costantemente la nostra newsletter e adattarla ai vostri interessi e alle vostre esigenze. A tal fine, analizziamo se e cosa leggete o cliccate nelle nostre newsletter per renderle ancora più interessanti.

Destinatari dei dati

Ci avvaliamo di fornitori di servizi che agiscono come nostri elaboratori di ordini per la spedizione e le analisi che vengono effettuate. Tutti i fornitori di servizi sono obbligati per contratto a trattare i vostri dati in modo confidenziale.

---

Registrazione

Descrizione e ambito del trattamento dei dati

Sul nostro sito web vi offriamo la possibilità di registrarvi inserendo i vostri dati personali. I dati vengono inseriti in una maschera di input, trasmessi a noi e memorizzati. I dati non vengono trasmessi a terzi. Nell'ambito del processo di registrazione vengono raccolti i seguenti dati:

• nome, cognome
• indirizzo e-mail
• password

Al momento della registrazione vengono memorizzati anche i seguenti dati:

• Indirizzo IP
• Data e ora della registrazione

Il consenso al trattamento di questi dati viene richiesto nell'ambito del processo di registrazione.

Destinatario dei dati

Per il processo di registrazione utilizziamo fornitori di servizi tecnici che agiscono come nostri responsabili del trattamento dei dati. Tutti i fornitori di servizi sono obbligati per contratto a trattare i vostri dati in modo confidenziale.

---

Archiviazione dei file

Gli utenti possono caricare file (documenti, immagini, allegati) nell'applicazione. Questi file vengono archiviati a Zurigo, in Svizzera (Supabase Storage, AWS eu-central-2).

L'accesso ai file è controllato tramite politiche di sicurezza a livello di riga (row-level security). I file sono crittografati a riposo (AES-256) e in transito (TLS 1.2+). I file caricati vengono eliminati quando il progetto o l'account associato viene eliminato.

---

Integrazione e-mail

Gli utenti possono collegare la propria casella di posta Microsoft 365 o Google Workspace all'applicazione. L'accesso avviene tramite l'API Microsoft Graph o l'API Gmail rispettivamente.

Dati raccolti

• Contenuto delle e-mail e allegati
• Indirizzi del mittente e del destinatario
• Oggetto dei messaggi e marcature temporali
• Dati di contatto (nome, indirizzo e-mail) quando l'importazione dei contatti è attivata

Finalità

I dati vengono utilizzati per visualizzare e inviare e-mail per conto degli utenti all'interno dell'applicazione e per associare i contatti con la rubrica dell'utente.

Implementazione tecnica

• Microsoft 365: Autenticazione tramite OAuth2 con autorizzazioni Mail.ReadWrite, Contacts.Read
• Google Workspace: Autenticazione tramite OAuth2 con autorizzazioni gmail.modify, contacts.readonly
• I dati di posta elettronica rimangono nel tenant o nell'account dell'utente
• I metadati memorizzati nella cache (mittente, oggetto, data) sono conservati nel nostro database (cfr. sezione «Categorie di responsabili del trattamento e altri destinatari dei dati»)

---

Analisi e-mail basata sull'intelligenza artificiale

Descrizione

Quando la funzione viene attivata dal titolare dell'account, le e-mail in arrivo vengono analizzate automaticamente da un modello di IA (fornito da Infomaniak SA in Svizzera). L'elaborazione avviene esclusivamente in Svizzera.

Dati raccolti ed elaborati

• Contenuto testuale dell'e-mail (senza allegati)
• Indirizzi del mittente e dei destinatari
• Oggetto del messaggio
• Contesto del progetto all'interno dell'applicazione

Risultati dell'analisi

• Riepilogo e analisi del sentiment
• Rilevamento di azioni necessarie e date
• Suggerimenti per l'assegnazione a progetti e contatti
• Rilevamento di potenziali nuovi lead
• Bozza di modello di risposta

Nessuna decisione individuale automatizzata

I risultati dell'analisi vengono presentati all'utente come suggerimenti. Tutte le assegnazioni e le azioni richiedono una conferma manuale da parte dell'utente. Non viene presa alcuna decisione completamente automatizzata ai sensi dell'art. 21 LPD.

Conservazione dei dati

I risultati dell'analisi vengono conservati in forma crittografata (AES-256-GCM) nel nostro database e cancellati automaticamente dopo 90 giorni per impostazione predefinita. Il titolare dell'account può prolungare il periodo di conservazione o impostarlo come illimitato nelle impostazioni dell'account. Il contenuto originale dell'e-mail non viene conservato in modo permanente.

Disattivazione

L'analisi IA può essere disattivata in qualsiasi momento nelle impostazioni dell'account.

---

Creazione di progetti e lead assistita dall'IA

Descrizione

Quando un utente utilizza il nuovo flusso di creazione di progetti o lead, può incollare o caricare e-mail, note, contenuti PDF o informazioni commerciali simili. Solarstream invia i contenuti selezionati lato server al servizio IA di Infomaniak SA per generare suggerimenti per i campi relativi a progetto, lead, contatto e indirizzo. Il trattamento avviene esclusivamente in Svizzera.

Dati raccolti ed elaborati

• testi incollati, estratti di documenti o contenuti e-mail selezionati dall'utente
• nomi, indirizzi e-mail, numeri di telefono e indirizzi quando compaiono nei contenuti forniti
• contesto del progetto o del lead all'interno dell'applicazione

Finalità e controllo da parte dell'utente

I risultati servono esclusivamente a suggerire o precompilare campi del modulo. Gli utenti verificano e confermano i suggerimenti prima del salvataggio. Non viene presa alcuna decisione completamente automatizzata.

Trasferimento, addestramento e conservazione

La trasmissione avviene solo tramite connessioni TLS lato server. Il servizio IA di Infomaniak è configurato in modo che i contenuti siano trattati esclusivamente in Svizzera, non siano utilizzati per addestrare modelli e non siano conservati dopo l'inferenza. Per questa funzione Solarstream registra solo metadati tecnici e contatori, non il contenuto dei campi estratti. Vengono conservati solo i dati di progetto, lead o contatto confermati dall'utente secondo i normali periodi di conservazione.

---

Sincronizzazione del calendario

Gli utenti possono collegare il proprio calendario Microsoft 365 o Google all'applicazione per visualizzare gli appuntamenti nella pianificazione delle risorse.

Dati raccolti

• Eventi del calendario (titolo, periodo, partecipanti)
• ID del calendario e stato di sincronizzazione

Implementazione tecnica

• Microsoft 365: Autenticazione tramite OAuth2 (Calendars.Read)
• Google Workspace: Autenticazione tramite OAuth2 (calendar.readonly, calendar.events)
• I dati del calendario vengono memorizzati nella cache nel nostro database (cfr. sezione «Categorie di responsabili del trattamento e altri destinatari dei dati»)

---

Integrazione Bexio

Gli utenti possono collegare il proprio account Bexio per importare i dati di contatto nell'applicazione.

Dati raccolti

• Dati di contatto: nome, indirizzo, indirizzo e-mail, numero di telefono
• Nome dell'azienda e numero cliente

Flusso dei dati

I dati fluiscono esclusivamente da Bexio a Solarstream (importazione unidirezionale). Nessun dato viene riscritto in Bexio.

Implementazione tecnica

• Autenticazione tramite OAuth2 con autorizzazioni di sola lettura (contact_show, project_show)
• I contatti importati vengono conservati nel nostro database (cfr. sezione «Categorie di responsabili del trattamento e altri destinatari dei dati»)

Offerta digitale e portale clienti

Descrizione e ambito del trattamento dei dati

Quando le viene inviata un'offerta fotovoltaica tramite il nostro portale clienti (/portal/[token]), può consultare e aggiornare i propri dati di contatto e di pagamento e accettare l'offerta elettronicamente. L'accesso avviene tramite un link limitato nel tempo e non individuabile (token), senza un login separato.

Dati raccolti

• Titolo, nome, cognome, ragione sociale
• Indirizzo e-mail, numero di telefono
• Indirizzo (via, numero civico, CAP, città)
• IBAN/coordinate bancarie, se indicate per l'elaborazione del pagamento
• al momento dell'accettazione dell'offerta: indirizzo IP, identificativo del browser (user-agent) e data/ora dell'accettazione come prova della firma elettronica (vedi la sezione «Categorie di responsabili del trattamento e altri destinatari dei dati», DeepCloud AG/DeepSign)

Finalità

I dati servono a verificare ed elaborare la sua offerta, ad aggiornare i suoi dati di contatto e, in caso di accettazione, come documentazione probatoria per la firma elettronica giuridicamente valida.

Implementazione tecnica e conservazione

I dati di accesso al portale sono memorizzati nel nostro database a Zurigo, Svizzera (vedi «Categorie di responsabili del trattamento e altri destinatari dei dati»). Il token di accesso è valido 90 giorni; i token scaduti vengono eliminati automaticamente. I dati di offerta e firma delle offerte archiviate vengono eliminati automaticamente dopo 365 giorni. Gli accessi sono protetti contro gli abusi tramite sicurezza a livello di riga (RLS) e limitazione della frequenza (rate limiting).

Automazione delle notifiche edilizie tramite accesso ai portali

Descrizione e ambito del trattamento dei dati

Solarstream prevede una funzione autorizzata separatamente che può preparare o inviare notifiche edilizie tramite portali ufficiali. Questa funzione è disattivata per impostazione predefinita e viene attivata per un account cliente solo dopo un'ulteriore fase di approvazione.

Se la funzione è attivata, possono essere trattati in particolare i seguenti dati:

• riferimento del progetto o della pratica
• nome, indirizzo e-mail e numero di telefono del proprietario o della persona di contatto
• indirizzo del sito
• dettagli tecnici dell'impianto solare
• moduli, planimetrie, autorizzazioni e documenti giustificativi caricati
• numeri di conferma, ricevute e, se necessario, screenshot dell'invio

Destinatari e finalità

Se la funzione è attivata, tali dati possono essere trasmessi al gestore del portale competente e a Browserbase Inc. quale responsabile del trattamento per l'automazione del browser. Il trattamento serve esclusivamente a preparare e inviare una notifica edilizia e a documentare la prova dell'invio.

Trasferimenti internazionali di dati

La funzione rimane disattivata finché la regione concreta di trattamento e le garanzie applicabili per Browserbase non sono state documentate contrattualmente. Senza tale documentazione non avviene alcun utilizzo in produzione.

Conservazione

• documenti caricati per un invio: di norma 30 giorni dopo l'invio riuscito
• ricevute / conferme: di norma 365 giorni
• screenshot come prova: di norma 30 giorni e solo se un numero di riferimento o una ricevuta non sono sufficienti
• log tecnici degli errori in caso di esecuzioni fallite: di norma 14 giorni

---

Misurazione della portata

Descrizione e ambito dell'elaborazione dei dati

Utilizziamo strumenti di analisi per valutare il comportamento degli utenti. Una descrizione più dettagliata degli strumenti è disponibile nella sezione "Strumenti di analisi" della presente informativa sulla privacy.

Il trattamento avviene sulla base del nostro legittimo interesse. La misurazione della portata e le informazioni che ne derivano sono utili per personalizzare il sito web.

Destinatari dei dati

Per il funzionamento e la manutenzione del nostro sito web utilizziamo fornitori di servizi tecnici che agiscono in qualità di responsabili del trattamento. Tutti i fornitori di servizi sono obbligati per contratto a trattare i vostri dati in modo confidenziale.

---

Strumenti di analisi utilizzati

Utilizzo di PostHog

Sul nostro sito web utilizziamo PostHog (PostHog Inc., USA), un potente strumento di analisi open source, per analizzare il comportamento degli utenti in modo anonimo e senza l'utilizzo di cookie. I dati vengono conservati ed elaborati su un server europeo a Francoforte, in Germania (istanza UE). Questo utilizzo avviene esclusivamente con dati anonimizzati e aggregati al fine di migliorare l'esperienza dell'utente e analizzare le prestazioni dei nostri contenuti. Le informazioni raccolte da PostHog includono dati tecnici come il sistema operativo, il browser e la risoluzione dello schermo, nonché modelli di utilizzo come le pagine visitate, la durata della visita, i percorsi dei clic sulla pagina di origine e le registrazioni delle sessioni.

---

Protezione e sicurezza dei dati

I dati dell'applicazione sono conservati a Zurigo, in Svizzera (AWS eu-central-2). I dati di analisi sono conservati ed elaborati a Francoforte, in Germania (UE). Tutti i dati sono crittografati a riposo con AES-256 e in transito con TLS 1.2+. L'accesso ai dati è controllato tramite politiche di sicurezza a livello di riga (row-level security) a livello di database.

Per i visitatori non registrati del sito web, PostHog non raccoglie dati personali come nomi o indirizzi e-mail. Per gli utenti registrati dell'applicazione — a condizione che il consenso all'analisi sia stato dato — dati utente pseudonimizzati (ID utente, indirizzo e-mail, nome) vengono trasmessi a PostHog per analizzare l'utilizzo del prodotto e migliorare l'esperienza utente. Questi dati vengono elaborati esclusivamente sull'istanza UE (Francoforte).

---

Divulgazione a terzi

Comunichiamo dati personali a responsabili del trattamento, titolari autonomi del trattamento, destinatari scelti dal cliente e organismi legalmente o pubblicamente competenti nell’ambito delle categorie descritte sopra. I destinatari possono trattare i dati personali solo per la finalità pertinente e sulla base contrattuale o legale applicabile. I dettagli aggiornati sono disponibili nel registro dei responsabili del trattamento e degli altri destinatari dei dati.

---

Periodi di conservazione

Conserviamo i vostri dati per i seguenti periodi:

• File di log del server: 30 giorni
• Dati del modulo di contatto: durata del rapporto commerciale + 1 anno
• Dati della newsletter: fino alla cancellazione dell'iscrizione
• Dati dell'account utente: durata del contratto + 30 giorni dopo l'eliminazione dell'account
• File caricati: durata del contratto, eliminati con l'account
• Cache dei metadati e-mail: durata del contratto
• Risultati dell'analisi IA: 90 giorni dalla creazione per impostazione predefinita (configurabile dal titolare dell'account), cancellazione automatica
• Creazione di progetti/lead assistita dall'IA: Il servizio IA di Infomaniak non conserva i contenuti dopo l'inferenza; Solarstream conserva solo i dati di progetto, lead o contatto confermati dall'utente secondo i normali periodi di conservazione
• Cache del calendario: durata del contratto
• Contatti Bexio importati: durata del contratto, cancellati con l'account
• Dati di analisi: secondo la configurazione in PostHog (istanza UE)
• Documenti per l'invio digitale delle notifiche edilizie: di norma 30 giorni dopo l'invio riuscito
• Ricevute / conferme delle notifiche edilizie: di norma 365 giorni
• Screenshot delle notifiche edilizie: di norma 30 giorni e solo se necessari come prova
• Log di errore delle esecuzioni di notifiche edilizie: di norma 14 giorni per le esecuzioni fallite

---

Diritti dell'interessato

L'interessato ha i seguenti diritti in relazione ai dati personali che lo riguardano:

• il diritto di ottenere informazioni sui dati personali in nostro possesso e sulle modalità di trattamento degli stessi;
• il diritto di ricevere una copia dei Suoi dati personali in un formato di uso comune
• il diritto alla rettifica dei vostri dati personali;
• il diritto alla cancellazione dei vostri dati personali;
• il diritto di opporsi al trattamento dei vostri dati personali.

Si noti che a questi diritti si applicano delle eccezioni. Nella misura consentita dalla legge, possiamo rifiutare la vostra richiesta di esercitare tali diritti.

Potete revocare il vostro consenso al trattamento dei dati personali in qualsiasi momento. Si prega di notare che la revoca è efficace solo per il futuro. L'elaborazione avvenuta prima della revoca non è interessata.

Per informazioni sui dati personali da noi trattati, inviate la vostra richiesta di informazioni a christian.bertschy@solarstream.ch.

Gli utenti che hanno effettuato l'accesso all'applicazione Solarstream possono eliminare il proprio account in qualsiasi momento da Impostazioni → Sicurezza → Elimina account. L'eliminazione anonimizza immediatamente i contenuti da voi creati e archivia le vostre appartenenze al team; i backup automatici del database possono conservare copie fino a 30 giorni prima della cancellazione definitiva.

Per le richieste di protezione dei dati relative ai dati raccolti da HubSpot, potete anche inviare una richiesta direttamente tramite il portale per la privacy di HubSpot.

Avete inoltre il diritto di presentare un reclamo all'Incaricato federale della protezione dei dati e delle informazioni (IFPDT).