Informativa sul trattamento dei dati personali

Ultimo aggiornamento: 21 ottobre 2026 · English

La presente informativa descrive le modalità con cui PROMETEO (di seguito, "Piattaforma") tratta i dati personali degli utenti, ai sensi del Regolamento (UE) 2016/679 (di seguito, "GDPR") e della normativa nazionale vigente in materia di protezione dei dati personali.

1. Titolare del trattamento

Cluster Energia Basilicata ETS (C.F. 96090180769), con sede legale in Via di Giura snc, 85100 Potenza (PZ), c/o Confindustria Basilicata — Centro Direzionale, è il titolare del trattamento dei dati personali raccolti tramite la Piattaforma. Per qualunque richiesta o per esercitare i propri diritti è possibile scrivere a info@clusterenergiabasilicata.it oppure, via posta elettronica certificata, a clusterenergia.basilicata@PEC.it.

La Piattaforma è gestita, per conto del Cluster, da SEN Consulting S.r.l.s. (Pisticci, MT), che la ospita e ne cura l'esercizio tecnico e l'assistenza in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR. Per alcuni servizi SEN Consulting si avvale a sua volta dei sub-responsabili elencati al punto 6.

2. Tipologie di dati trattati

• Dati identificativi. Nome, cognome, indirizzo email, ruolo aziendale, numero di telefono (facoltativo), forniti in fase di onboarding o invito.
• Dati aziendali. Ragione sociale, P.IVA, settore, dimensione, modello di business, dati di internazionalizzazione, indirizzo della sede.
• Risposte all'assessment. Le valutazioni qualitative inserite nel questionario ESG e le evidenze testuali eventualmente associate.
• Dati tecnici. Indirizzo IP (in forma hash), timestamp di accesso, identificativi di sessione, log applicativi. Dalle richieste registrate nei log sono rimossi credenziali e cookie di sessione, codici di accesso monouso e i dati inseriti nei moduli (indirizzi email, nomi, testi dei messaggi, evidenze dell'assessment).
• Conversazioni con Prometeo AI. Se scegli di usare l'assistente, i messaggi che scrivi e le risposte generate: vedi il punto 4.
• Dati di navigazione (solo previo consenso). Se attivi la categoria Analytics nel banner cookie, Google Analytics 4 raccoglie pagine visitate, eventi di interazione, tipo di dispositivo e browser, area geografica approssimativa e un identificativo pseudonimo del browser; l'indirizzo IP è anonimizzato. Senza il tuo consenso nulla di tutto questo viene raccolto, perché lo script non viene nemmeno caricato nella pagina: vedi la Cookie policy.
• Registro dei consensi cookie. Identificativo casuale del consenso, categorie accettate, data e modalità della scelta, user agent, hash con salt dell'indirizzo IP e — solo se eri autenticato al momento della scelta — l'identificativo del tuo account.

3. Finalità e base giuridica

• Erogazione del servizio (art. 6.1.b GDPR — esecuzione del contratto): autenticazione, generazione dello score, raccomandazione dello strumento, emissione del Documento Zero, assistente Prometeo AI (punto 4).
• Richieste di contatto e di kick-off (art. 6.1.b GDPR — misure precontrattuali adottate su richiesta dell'interessato): le richieste inviate dal modulo di contatto o dalla pagina dei risultati sono gestite dal Cluster Energia Basilicata ETS, con il supporto tecnico di SEN Consulting, che non le utilizza per finalità proprie, e non sono trasmesse a consulenti o ad altri soggetti terzi.
• Sicurezza della Piattaforma (art. 6.1.f GDPR — legittimo interesse del titolare a proteggere la Piattaforma e i dati che contiene): conservazione di log e audit trail, per prevenire accessi e usi impropri e ricostruire che cosa è accaduto in caso di incidente.
• Consenso (art. 6.1.a GDPR e art. 122 del Codice privacy): misurazione dell'utilizzo della Piattaforma tramite Google Analytics 4, per migliorarne le funzionalità. La base giuridica è il consenso e non il legittimo interesse, perché il trattamento comporta l'archiviazione di informazioni sul tuo dispositivo. Puoi revocarlo in qualsiasi momento dalle preferenze cookie, senza che questo pregiudichi la liceità del trattamento svolto fino a quel momento.
• Osservatorio sul sistema produttivo lucano (art. 6.1.f — legittimo interesse del titolare a rappresentare lo stato di maturità del territorio): elaborazione di statistiche esclusivamente aggregate e non nominative, restituite al Cluster Energia Basilicata e ai decisori regionali. I dati sono aggregati in modo da non consentire la reidentificazione della singola impresa, e i dati di singola azienda non sono in alcun caso visibili agli altri associati.
• Obbligo di prova del consenso (art. 7.1 GDPR): conservazione del registro delle scelte espresse nel banner cookie, per poter dimostrare che il consenso è stato prestato. Vedi la Cookie policy.

4. Prometeo AI

Prometeo AI è un assistente facoltativo basato sull'intelligenza artificiale. Quando lo usi interagisci con un sistema automatico, non con una persona. Le risposte hanno valore indicativo, possono contenere errori e non sostituiscono il parere di un professionista.

• Dati trattati. I messaggi che scrivi e le risposte generate. Per rispondere, l'assistente può consultare i dati della Piattaforma a cui il tuo account ha già accesso, come gli assessment e i report della tua impresa, e una raccolta di documenti pubblici di riferimento sulla sostenibilità.
• Base giuridica. Esecuzione del contratto (art. 6.1.b GDPR): il trattamento avviene solo quando sei tu a scrivere all'assistente.
• Fornitore e luogo del trattamento. Le risposte sono generate da modelli linguistici forniti da Microsoft tramite il servizio Azure OpenAI di Azure AI Foundry, con elaborazione all'interno dell'Unione Europea.
• Nessun addestramento. In base alle condizioni del servizio Azure OpenAI, le conversazioni non sono utilizzate per addestrare i modelli.
• Monitoraggio degli abusi. Microsoft può conservare richieste e risposte per un massimo di 30 giorni, al solo fine di individuare e contrastare usi impropri del servizio.
• Riservatezza. Le conversazioni sono personali: non sono visibili agli altri utenti né agli amministratori della Piattaforma. Un amministratore può estrarne una copia solo per rispondere a una tua richiesta di accesso ai dati (punto 8), e l'operazione viene registrata.
• Conservazione. Le conversazioni sono conservate finché esiste il tuo account. Puoi cancellarle in qualsiasi momento: una conversazione cancellata scompare subito e viene eliminata definitivamente trascorsi 30 giorni. Con la cancellazione dell'account sono eliminate tutte.
• Cosa non inserire. Ti chiediamo di non inserire nelle conversazioni dati personali di altre persone, né categorie particolari di dati (ad esempio dati relativi alla salute, alle opinioni politiche o alle convinzioni religiose).

Gli stessi modelli sono usati anche per redigere la sezione di confronto con le imprese comparabili, nel report dei risultati e nel Documento Zero, a partire dai dati dell'impresa e dalle risposte all'assessment.

5. Conservazione

I dati sono conservati per il tempo necessario al perseguimento delle finalità sopra indicate. In particolare:

• Dati di account e assessment — fino a 5 anni dalla cessazione del rapporto contrattuale, in coerenza con i termini ordinari di prescrizione in materia commerciale.
• Log di sicurezza e audit trail — 12 mesi dalla data di registrazione.
• Richieste di contatto e lead — 24 mesi dall'ultimo contatto, salvo conversione in cliente.
• Log applicativi — 30 giorni rolling.
• Conversazioni con Prometeo AI — per tutta la durata dell'account; quelle che cancelli sono eliminate definitivamente 30 giorni dopo la cancellazione. Microsoft può conservare richieste e risposte per un massimo di 30 giorni a fini di monitoraggio degli abusi (punto 4).
• Registro dei consensi cookie — 24 mesi dalla registrazione. Il consenso stesso vale sei mesi; la prova deve sopravvivergli, perché una contestazione può arrivare dopo la scadenza.
• Dati di Google Analytics 4 — 14 mesi, il periodo minimo configurabile sulla piattaforma Google. Trattenuti da Google, non da noi.

6. Destinatari

I dati possono essere trattati dal personale autorizzato del titolare, dal responsabile del trattamento e dai sub-responsabili di cui questo si avvale:

• SEN Consulting S.r.l.s. (Pisticci, MT) — responsabile del trattamento: hosting, gestione tecnica e assistenza della Piattaforma.
• Sub-responsabile: Microsoft Ireland Operations Ltd. (Azure, Entra External ID, Azure OpenAI di Azure AI Foundry) — hosting dell'infrastruttura nell'UE, autenticazione degli utenti e modelli linguistici di Prometeo AI, con elaborazione nell'UE.
• Sub-responsabile: Mailgun Technologies, Inc. (gruppo Sinch) — invio di email transazionali (inviti, Documento Zero, codici OTP), con trattamento nella regione UE.
• Sub-responsabile: Google Ireland Ltd. (Google Analytics 4, Google Tag Manager) — misurazione dell'uso della Piattaforma, solo se hai prestato il consenso alla categoria Analytics.

Il responsabile e i sub-responsabili sono vincolati da accordi sul trattamento dei dati ai sensi dell’art. 28 GDPR.

Il personale del Cluster autorizzato per iscritto, cioè gli operatori della Piattaforma, consulta in sola lettura i dati delle imprese che gli sono assegnate: anagrafica, assessment, risultati e documenti caricati in archivio, per le attività di supporto e di animazione del Cluster. Il personale di SEN Consulting incaricato dell'amministrazione della Piattaforma vi accede per la gestione tecnica e l'assistenza. Le altre imprese registrate non vedono in alcun caso i dati della tua impresa.

7. Trasferimenti extra-UE

I dati sono ospitati su data center Azure della regione West Europe, e le richieste a Prometeo AI sono elaborate all'interno dell'Unione Europea. Eventuali trasferimenti extra-UE sono protetti dalle Standard Contractual Clauses (SCC) della Commissione Europea.

Le email transazionali sono elaborate nella regione UE di Mailgun. Poiché Mailgun Technologies, Inc. ha sede negli Stati Uniti, l'eventuale accesso ai dati da parte sua dagli Stati Uniti è protetto dalle SCC previste dal suo accordo sul trattamento dei dati.

Se acconsenti alla categoria Analytics, i dati di navigazione raccolti da Google Analytics 4 possono essere trasferiti a Google LLC negli Stati Uniti. Il trasferimento è fondato sulle SCC e sull'adesione di Google LLC al EU–US Data Privacy Framework. Revocando il consenso il trasferimento cessa; la Piattaforma cancella contestualmente i cookie di Google già presenti nel tuo browser.

8. Diritti degli interessati

Gli interessati possono esercitare in qualunque momento i diritti previsti dagli articoli 15-22 del GDPR — accesso, rettifica, cancellazione, limitazione, portabilità, opposizione — scrivendo a info@clusterenergiabasilicata.it. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

9. Modifiche all'informativa

La presente informativa può essere aggiornata; la versione corrente è sempre consultabile all'indirizzo /privacy con la data di ultimo aggiornamento in cima al documento.

Questa informativa è disponibile anche in lingua inglese alla pagina /en/privacy.