Informativa Privacy

1. Contitolari del Trattamento (art. 26 GDPR)

I dati personali trattati attraverso la piattaforma ACG Suite sono gestiti in regime di contitolarità ai sensi dell'art. 26 del Regolamento (UE) 2016/679 dai seguenti soggetti:

ACG Clima Service S.R.L.

Gestore tecnico e utilizzatore della piattaforma

Sede legale: Via Duccio Galimberti 47, 15121 Alessandria (AL)

Sede operativa: Via Zanardi Bonfiglio 68, 27058 Voghera (PV)

P.IVA: 02735970069

Email: info@acgclimaservice.com

PEC: posta@pec.acgclimaservice.it

Guazzotti Energia S.r.l.

Utilizzatore della piattaforma

Sede legale: Via Galimberti 47, 15121 Alessandria (AL)

Amministrazione: Via Arturo Toscanini 2, 15121 Alessandria (AL)

P.IVA: 02630480065

Tel: 0131 1911022

Email: info@guazzottienergia.com

            Punto di contatto per gli interessati:

            ACG Clima Service S.R.L. — info@acgclimaservice.com

            I diritti previsti dal GDPR possono essere esercitati nei confronti di ciascun contitolare.
            Per comodità, è possibile rivolgersi al punto di contatto unico sopra indicato.

Le responsabilità tra i contitolari sono ripartite come segue:

ACG Clima Service: gestione tecnica della piattaforma, sicurezza informatica, backup, manutenzione, sviluppo software, gestione degli accessi, nomina dei responsabili del trattamento. Utilizza inoltre la piattaforma per le proprie attività operative, la gestione dei propri clienti, impianti e dipendenti.
Guazzotti Energia: utilizzo della piattaforma per le proprie attività operative, gestione dei dati dei propri clienti e dipendenti inseriti nella suite.

2. Categorie di Dati Personali Trattati

La piattaforma ACG Suite tratta le seguenti categorie di dati personali del personale interno (dipendenti e collaboratori) di ACG Clima Service e Guazzotti Energia:

Categoria	Dati specifici	Fonte
Identificativi	Nome, cognome, email aziendale	Registrazione account
Credenziali	Email, password (gestita da Firebase Authentication, cifrata)	Registrazione account
Log di accesso	Indirizzo IP, user-agent del browser, timestamp di login	Accesso automatico
Audit trail	Operazioni effettuate nella piattaforma, sezioni visitate	Registrazione automatica
Firme digitali	Firma autografa digitalizzata dei tecnici	Chiusura interventi
Comunicazioni	Messaggi chat interni, email aziendali, note vocali	Utilizzo strumenti comunicazione
Attività lavorative	Interventi effettuati, cantieri gestiti, report tecnici, agenda	Operatività quotidiana
Contatti clienti	Nomi, indirizzi, telefoni, codici fiscali/P.IVA dei clienti gestiti	Inserimento manuale e importazione

3. Finalità del Trattamento

Finalità	Base giuridica (art. 6 GDPR)
Gestione operativa aziendale (pianificazione interventi, cantieri, magazzino)	Art. 6(1)(b) — Esecuzione del contratto di lavoro
Sicurezza informatica (log accessi, audit trail, protezione da accessi non autorizzati)	Art. 6(1)(f) — Legittimo interesse del titolare
Adempimenti contrattuali verso clienti (manutenzione impianti, report tecnici)	Art. 6(1)(b) — Esecuzione contratto
Adempimenti legali (registri CURIT/CIT, dichiarazioni impianti termici)	Art. 6(1)(c) — Obbligo legale
Gestione documentale e fatturazione	Art. 6(1)(c) — Obbligo legale (fiscale)
Comunicazioni interne (chat, messaggistica, coordinamento)	Art. 6(1)(b) — Esecuzione del contratto di lavoro

4. Comunicazione e Diffusione dei Dati

I dati personali non vengono venduti, ceduti, comunicati o diffusi a soggetti terzi, salvo gli obblighi di legge e i responsabili del trattamento nominati (Google Ireland Limited e Anthropic PBC).

I dati possono essere comunicati esclusivamente a:

Google Ireland Limited — Responsabile del trattamento ex art. 28 GDPR per i servizi Firebase (Authentication, Firestore, Cloud Functions, Cloud Storage, Hosting). Si applicano i Google Cloud Data Processing Terms.
Anthropic PBC — Responsabile del trattamento ex art. 28 GDPR per il servizio di intelligenza artificiale Claude API, utilizzato nella chat AI integrata. Si applicano i Anthropic Data Processing Terms.
Autorità competenti — quando richiesto per obblighi di legge (es. Agenzia delle Entrate, enti di controllo impianti termici).

5. Trasferimento Dati Extra-UE

I dati trattati tramite Firebase/Google Cloud possono essere trasferiti e conservati in data center situati nell'Unione Europea (region europe-west1) e, per alcuni servizi di supporto, negli Stati Uniti.

I dati inviati all'API Claude (Anthropic) sono trasferiti negli Stati Uniti.

I trasferimenti extra-UE avvengono sulla base di:

Clausole contrattuali standard (SCC) approvate dalla Commissione Europea
EU-US Data Privacy Framework (ove applicabile)

6. Periodo di Conservazione

Tipologia dati	Periodo di conservazione
Log di accesso (audit log)	90 giorni
Dati di presenza online	Sessione corrente (cancellati al logout)
Log tentativi di accesso falliti	7 giorni
Log eventi di sistema	180 giorni
Log worker e sistema	90 giorni
Dati anagrafici clienti e impianti	Durata del rapporto contrattuale + 10 anni (obbligo fiscale/legale)
Documenti contabili/fiscali	10 anni (D.Lgs. 42/2004, art. 2220 c.c.)
Account dipendente	Durata del rapporto di lavoro. Disattivato alla cessazione.
Consensi GDPR	Conservati a tempo indeterminato per prova legale

La cancellazione automatica dei dati soggetti a retention è gestita da una Cloud Function schedulata (dataRetentionCleanup) eseguita quotidianamente alle ore 03:00.

7. Misure di Sicurezza (art. 32 GDPR)

Autenticazione tramite Firebase Authentication con protezione brute-force
Comunicazioni cifrate tramite HTTPS/TLS
Controllo degli accessi basato su ruoli (RBAC) con verifica in Firestore Security Rules
Audit log automatico delle operazioni amministrative
Rate limiting sulle API per prevenire abusi
Backup automatici giornalieri con retention controllata
Persistenza offline con sincronizzazione sicura
Segmentazione degli accessi per applicazione (app_permissions)

8. Diritti dell'Interessato (artt. 15-22 GDPR)

In qualità di interessato, Lei ha diritto di:

Accesso (art. 15) — ottenere conferma dell'esistenza di un trattamento e accedere ai propri dati
Rettifica (art. 16) — ottenere la correzione di dati inesatti
Cancellazione (art. 17) — ottenere la cancellazione dei dati, nei limiti previsti dalla legge
Limitazione (art. 18) — ottenere la limitazione del trattamento in determinate circostanze
Portabilità (art. 20) — ricevere i propri dati in formato strutturato e leggibile da dispositivo automatico
Opposizione (art. 21) — opporsi al trattamento basato su legittimo interesse

            Per esercitare i propri diritti, scrivere a:

            ACG Clima Service S.R.L.

            Email: info@acgclimaservice.com

            PEC: posta@pec.acgclimaservice.it

È inoltre possibile proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

9. Aggiornamenti dell'Informativa

La presente informativa può essere aggiornata periodicamente per riflettere modifiche al trattamento dei dati o alla normativa vigente. In caso di modifiche sostanziali, verrà richiesta una nuova presa visione tramite la piattaforma.

La versione corrente è sempre consultabile a questo indirizzo e nella sezione "Privacy Policy" di ciascuna applicazione della suite.