Name: Swapy
Author: Swapy S.r.l.

Questa informativa descrive come Swapy S.r.l. tratta i dati personali degli utenti che utilizzano il sito www.swapy.it, l’app e le relative funzionalità digitali (insieme, la “Piattaforma”). È resa ai sensi degli articoli 12, 13 e, ove applicabile, 14 del Regolamento (UE) 2016/679 (“GDPR”).

1. Chi è il titolare del trattamento

Il titolare del trattamento è Swapy S.r.l., con sede legale in Via Mauro Macchi 8, 20124 Milano (MI), Codice Fiscale e Partita IVA 14427320966. Contatti: e-mail privacy@swapy.it; PEC swapy@pec.it. Il Responsabile della protezione dei dati (DPO/RPD) è contattabile all’indirizzo dposwapysrl@beet.it.

2. A chi si applica e quali servizi copre

L’informativa si applica agli utenti registrati e non registrati della Piattaforma e ai trattamenti svolti da Swapy per registrazione e gestione dell’account, analisi delle utenze, comparazione di offerte, programmi di fidelizzazione, consulenza digitale, assistenza, gestione della richiesta e, se scelta dall’utente, predisposizione o trasmissione della documentazione necessaria alla conclusione di contratti con società partner nei settori dell’energia elettrica, gas naturale, telecomunicazioni, connettività Internet, streaming e altri servizi resi disponibili. L’informativa si applica inoltre, per i trattamenti pertinenti, agli intestatari o utilizzatori dei numeri telefonici segnalati nella Swapy Blacklist, anche se non sono utenti della Piattaforma.

3. Fonte dei dati personali

I dati sono raccolti principalmente direttamente dall’utente tramite registrazione, form, caricamento di bollette, utilizzo della Piattaforma, chat, e-mail, assistenza o altri canali messi a disposizione da Swapy. Swapy può ricevere dati anche da partner commerciali o tecnologici, fornitori di servizi, committenti, sistemi di verifica o fonti pubbliche legittimamente accessibili, quando necessario per dare seguito a una richiesta, verificare i dati, prevenire frodi o adempiere a obblighi di legge. Quando i dati non sono ottenuti direttamente dall’utente, Swapy fornisce le informazioni richieste dall’articolo 14 GDPR nei tempi previsti. Per alcune funzionalità, i dati provengono anche da altri utenti, come nel caso delle segnalazioni Swapy Blacklist e dei collegamenti tramite invito, oppure dai servizi Google, Facebook o Apple scelti per l’autenticazione. Ulteriori dati sono generati durante l’utilizzo della Piattaforma o ricevuti dai partner in relazione alle operazioni richieste dall’utente, come gli esiti necessari all’attribuzione dei punti Swapy Club. Le informazioni specifiche sono riportate nelle sezioni dedicate ai singoli servizi.

4. Categorie di dati personali trattati

Dati identificativi e di contatto: nome, cognome, codice fiscale, data e luogo di nascita, indirizzo, e-mail e telefono. Dati relativi alle utenze e alle bollette: consumi, spesa, fornitore, POD, PDR, codice di migrazione, indirizzo di fornitura e altre informazioni necessarie alla comparazione. Dati tecnici e di sicurezza: indirizzo IP, identificativi del dispositivo, log di accesso e consenso, eventi applicativi e diagnostica. Dati contrattuali e amministrativi: informazioni e documenti necessari alla proposta o sottoscrizione, inclusi IBAN o altri dati richiesti dal fornitore, soltanto quando necessari. Comunicazioni: chat, e-mail, ticket, messaggi. Per il servizio Swapy Club: attività rilevanti per il programma, punti e relativo saldo, inviti e collegamenti tra invitante e invitato, premi richiesti o erogati e relativi esiti. Per il servizio Wallet carte fedeltà: emittente, identificativo, immagine o codice della carta. Per il servizio Swapy Blacklist: numero telefonico segnalato, categoria e data della segnalazione e identificativo del segnalante. Swapy non richiede categorie particolari di dati ai sensi dell’articolo 9 GDPR. L’utente è invitato a non inserire dati non pertinenti o sensibili nei campi liberi, nelle chat o nei documenti caricati.

5. Finalità e base giuridica del trattamento

Swapy tratta i dati personali esclusivamente per finalità determinate, esplicite e legittime. A seconda dell’attività svolta, il trattamento si fonda su una delle basi giuridiche previste dall’articolo 6, paragrafo 1, GDPR: esecuzione di un contratto o di misure precontrattuali richieste dall’utente (lettera b); adempimento di un obbligo legale (lettera c); perseguimento del legittimo interesse di Swapy o di terzi, dopo aver verificato che non prevalgano i diritti e le libertà dell’interessato (lettera f); consenso libero, specifico, informato e revocabile (lettera a).

Account e accesso

Creare e gestire account, autenticazione anche tramite Google, Facebook e Apple e area personale.

Base giuridica: Art. 6(1)(b) GDPR — contratto o misure precontrattuali

Analisi e comparazione

Leggere dati e bollette, confrontare offerte, elaborare ranking e simulazioni e fornire check-up periodici richiesti.

Base giuridica: Art. 6(1)(b) GDPR — servizio richiesto

Miglioramento tecnico

Diagnostica, correzione degli errori, miglioramento delle prestazioni e della sicurezza, senza addestramento dei modelli AI.

Base giuridica: Art. 6(1)(f) GDPR — legittimo interesse, previa valutazione e minimizzazione

Proposta e sottoscrizione

Predisporre richieste, moduli e documentazione e trasmettere i dati al partner scelto.

Base giuridica: Art. 6(1)(b) GDPR — misure precontrattuali richieste

Assistenza

Gestire richieste, reclami, chat, ticket e comunicazioni.

Base giuridica: Art. 6(1)(b) GDPR; art. 6(1)(f) per gestione e tutela delle contestazioni

Sicurezza e tutela

Prevenire frodi e abusi, proteggere sistemi e diritti e gestire contestazioni.

Base giuridica: Art. 6(1)(f) GDPR — legittimo interesse di Swapy e degli utenti

Adempimenti

Rispettare obblighi legali, fiscali, contabili, amministrativi e richieste delle autorità.

Base giuridica: Art. 6(1)(c) GDPR — obbligo legale

Swapy Club

Gestire Swapy Club, eventi premiabili, inviti, validazione e scadenza dei punti, richieste e consegna dei premi come al punto 6.1.

Base giuridica: Art. 6(1)(b); art. 6(1)(c) e (f) per obblighi e controlli specifici

Swapy Wallet

Memorizzare, visualizzare e sincronizzare le carte aggiunte dall’utente, con backup Swapy.

Base giuridica: Art. 6(1)(b) GDPR — servizio richiesto

Swapy Blacklist

Gestire segnalazioni di chiamate indesiderate, lista personale e comune e filtro delle chiamate secondo il punto 6.2.

Base giuridica: Art. 6(1)(b) per i dati del segnalante necessari al servizio; art. 6(1)(f) per i numeri di terzi, a tutela dalle chiamate indesiderate.

Marketing Swapy

Inviare offerte e promozioni di Swapy secondo i canali attivati.

Base giuridica: Art. 6(1)(a) GDPR — consenso facoltativo

Cookie e SDK non tecnici

Analytics non esenti, advertising, remarketing e tracciamento cross-site/app.

Base giuridica: Art. 6(1)(a) GDPR — consenso, ove richiesto

Consenso facoltativo al marketing Swapy

Durante la registrazione l’utente può selezionare la casella facoltativa e non preselezionata «Desidero ricevere da Swapy offerte e promozioni per risparmiare sulle mie utenze », selezionandola autorizza Swapy a utilizzare i propri dati di contatto per inviare tali comunicazioni tramite e-mail, SMS, notifiche push o messaggistica, secondo i canali attivati e le preferenze espresse. La base giuridica è il consenso, ai sensi dell’articolo 6, paragrafo 1, lettera a), GDPR. Il consenso è facoltativo e distinto dalla presa visione dell’informativa e dall’accettazione delle condizioni d’uso. Può essere revocato in qualsiasi momento dalle impostazioni dell’area personale o scrivendo a privacy@swapy.it. Il rifiuto o la revoca non impediscono la registrazione, l’utilizzo dei servizi o l’invio della richiesta al fornitore; la revoca non pregiudica la liceità dei trattamenti precedenti. Il consenso non comprende la profilazione commerciale né la comunicazione dei dati ai fornitori per loro finalità di marketing, soggette a scelte separate come descritto al punto 9.1. I tempi di conservazione sono indicati al punto 11.

6. Servizi di Swapy

6.1. Swapy Club – programma fedeltà

Swapy Club è il programma fedeltà gratuito riservato agli utenti maggiorenni, disciplinato dal regolamento del programma. Consente di ottenere punti, premi e vantaggi attraverso le attività previste dal regolamento. La partecipazione al programma non costituisce consenso al marketing o alla profilazione commerciale.

6.2. Swapy Blacklist – filtro chiamate

Swapy Blacklist consente di bloccare le chiamate indesiderate. L’attivazione è facoltativa e richiede l’abilitazione della funzione nelle impostazioni dello smartphone. Il servizio si basa sulle segnalazioni degli utenti e utilizza due liste: la lista personale che contiene i numeri segnalati dal singolo utente come indesiderati e ne blocca le chiamate esclusivamente per quell’utente, quando il filtro è attivo, mentre la lista comune contiene i numeri segnalati da almeno 50 utenti distinti in un arco temporale di 120 giorni, contando una sola segnalazione per utente e numero. Blocca le chiamate provenienti da tali numeri per tutti gli utenti che hanno attivato il filtro, anche se non li hanno segnalati personalmente. La lista comune non è direttamente consultabile dagli utenti. Le segnalazioni sono trasmesse ai server Swapy e associate all’account del segnalante. Swapy rende disponibili al sistema operativo le liste dei numeri da bloccare: quando arriva una chiamata, il sistema operativo verifica il numero e, se presente nelle liste, la blocca sul dispositivo. Swapy non accede allo storico delle chiamate né riceve i dati delle chiamate in arrivo. L’inclusione nella lista comune si basa sul conteggio delle segnalazioni, senza verifiche preventive di Swapy sulla natura delle chiamate. Le segnalazioni esprimono valutazioni degli utenti e non attestano comportamenti illeciti. L’identità del segnalante non è resa consultabile agli altri utenti. L’utente può rimuovere le proprie segnalazioni, che vengono cancellate anche alla chiusura dell’account. Il ritiro delle segnalazioni, la cancellazione degli account e il decorso della finestra di 120 giorni comportano la rivalutazione dei numeri: se viene meno la soglia richiesta, il numero è escluso dalla lista comune. Disattivare il filtro nelle impostazioni dello smartphone interrompe il blocco delle chiamate, ma non cancella le segnalazioni conservate sui server. Anche gli intestatari o utilizzatori dei numeri segnalati che non hanno un account Swapy possono chiedere informazioni riguardo un’eventuale inclusione nelle liste scrivendo a privacy@swapy.it, secondo le modalità del capitolo 15. Gli stessi soggetti possono contestare l’inclusione nelle liste e segnalare una riassegnazione del numero o un caso di falsificazione del numero chiamante (spoofing), utilizzando il medesimo recapito.

6.3. Swapy Wallet – raccolta carte fedeltà

Il Wallet consente di raccogliere e visualizzare nell’app le carte fedeltà aggiunte volontariamente dall’utente. Le carte sono memorizzate sul dispositivo e incluse nella sincronizzazione e nei backup gestiti da Swapy. L’utente può rimuovere le singole carte; la cancellazione dell’account comporta la cancellazione delle carte associate, secondo i tempi e le modalità del capitolo 11. Queste operazioni non modificano il rapporto di fidelizzazione con l’emittente della carta. L’archiviazione delle carte non comporta l’accesso allo storico degli acquisti presso gli emittenti né autorizza la profilazione commerciale. Per le finalità e le basi giuridiche dei singoli servizi, i destinatari dei dati, i tempi di conservazione e le modalità di esercizio dei diritti si rinvia rispettivamente ai capitoli 5, 9, 11 e 15.

7. Registrazione e accesso tramite servizi terzi

L’utente può scegliere di registrarsi e accedere a Swapy tramite Google, Facebook o Apple. Swapy riceve dal servizio scelto nome e indirizzo e-mail per creare o riconoscere l’account e consentire l’accesso. Questa scelta non costituisce consenso al marketing Swapy. Swapy è titolare del trattamento dei dati utilizzati per la gestione dell’account sulla propria piattaforma. I servizi di autenticazione trattano i dati di propria competenza secondo le rispettive informative: Google, Facebook e Apple. Per i trattamenti svolti da Swapy, le finalità e le basi giuridiche, gli eventuali trasferimenti, i tempi di conservazione e i diritti sono descritti rispettivamente nei capitoli 5, 10, 11 e 15.

8. Intelligenza artificiale, algoritmi e decisioni automatizzate

Swapy utilizza sistemi automatizzati per analizzare i dati delle utenze e confrontare le offerte. Le informazioni delle bollette sono estratte mediante OCR sui server Swapy. Al servizio AI vengono trasmessi soltanto consumi, costi e tariffe estratti, senza inviare la bolletta integrale o le conversazioni libere dell’utente. L’intelligenza artificiale supporta l’analisi e l’interpretazione dei dati; i calcoli economici seguono formule definite e riproducibili. La costruzione del profilo di consumo e l’ordinamento personalizzato delle offerte costituiscono profilazione finalizzata alla comparazione richiesta dall’utente, distinta dalla profilazione commerciale del fornitore, soggetta a consenso separato. L’utente può correggere i dati, confrontare le alternative, chiedere assistenza e scegliere se procedere: il sistema non attiva automaticamente un contratto. Per le funzioni di comparazione e assistenza AI qui descritte, Swapy non adotta decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogamente significativo sull’utente, ai sensi dell’articolo 22 GDPR. I dati personali degli utenti, inclusi conversazioni, prompt, output e metadati, non sono utilizzati da Swapy per addestrare o perfezionare i modelli AI. Scaleway non utilizza i contenuti trasmessi per addestrare, riaddestrare o migliorare i modelli e non li rende accessibili ai produttori dei modelli. Per finalità e basi giuridiche, fornitori, trasferimenti e conservazione si rinvia rispettivamente ai capitoli 5, 9, 10 e 11.

9. Destinatari

9.1. Società partner scelte dall’utente

Quando l’utente seleziona il fornitore e l’offerta e conferma la richiesta, Swapy trasmette soltanto i dati necessari alla relativa pratica. La trasmissione necessaria a dare seguito alla richiesta si fonda sulle misure precontrattuali o sul contratto richiesti dall’utente e non dipende dal consenso marketing. Il partner è autonomo titolare per la propria fase precontrattuale e contrattuale, secondo l’informativa resa disponibile prima della conferma. A valle della selezione del fornitore e dell’offerta, possono essere proposti consensi facoltativi e separati per il marketing del fornitore. Le finalità, il titolare, i canali e la revoca sono specificati nei testi e nell’informativa del fornitore. Queste scelte non estendono il consenso marketing Swapy e non autorizzano la comunicazione promozionale a partner indeterminati. Le preferenze per ricevere comunicazioni contrattuali restano distinte dai consensi promozionali. Per le operazioni svolte per conto del partner, inclusa l’eventuale raccolta e trasmissione delle evidenze dei consensi, Swapy opera secondo il ruolo e le istruzioni definiti negli accordi applicabili, quale responsabile o sub-responsabile quando ne ricorrono i presupposti. I trattamenti propri di Swapy restano distinti da quelli svolti per conto del partner. Per le operazioni svolte da Swapy per conto del partner, la base giuridica del trattamento è individuata dal partner in qualità di titolare.

9.2. Fornitori e altri soggetti

I dati possono essere trattati, nei limiti necessari, da personale autorizzato e da fornitori di hosting, cloud, backup, sicurezza, CRM, ticketing, messaggistica, notifiche, AI, OCR, analytics tecnici e servizi per punti o premi. Tali soggetti sono nominati responsabili o sub-responsabili quando ne ricorrono i presupposti. Possono inoltre ricevere dati consulenti, professionisti e autorità pubbliche, con il ruolo determinato dalla normativa e dall’attività svolta. I dati non sono diffusi né messi a disposizione di soggetti indeterminati. Per i servizi di intelligenza artificiale descritti al capitolo 8, Swapy utilizza Scaleway Generative API, fornito da Scaleway S.A.S., con sede in Francia. Per i trattamenti di cui Swapy è titolare, Scaleway opera quale responsabile del trattamento, secondo gli accordi applicabili. Per i luoghi di trattamento, gli eventuali trasferimenti e i tempi di conservazione si rinvia ai capitoli 10 e 11.

10. Trasferimenti fuori dallo Spazio Economico Europeo

Swapy privilegia il trattamento nello Spazio Economico Europeo. Gli eventuali trasferimenti verso Paesi terzi sono effettuati nel rispetto degli articoli 44 e seguenti GDPR, sulla base di una decisione di adeguatezza applicabile o di garanzie adeguate, quali le Clausole Contrattuali Standard. Quando richiesto, tali garanzie sono accompagnate dalla valutazione del trasferimento e da misure supplementari; queste ultime non costituiscono da sole un titolo autonomo di trasferimento. Per informazioni sui trasferimenti e per ottenere copia delle garanzie applicabili è possibile scrivere a privacy@swapy.it. Per l’elaborazione dei dati tramite Scaleway Generative API, Swapy utilizza infrastrutture situate nell’Unione europea. Nella configurazione adottata, il flusso ordinario di elaborazione AI non prevede trasferimenti di tali dati al di fuori dello Spazio Economico Europeo.

11. Periodo di conservazione dei dati

La tabella seguente indica, per ciascuna categoria di dati o attività di trattamento, il periodo di conservazione oppure il criterio utilizzato per determinarlo. Dove previsto, specifica da quale momento decorre il termine e distingue la conservazione nei sistemi Swapy da quella presso i fornitori. Alla scadenza, i dati sono cancellati o resi irreversibilmente anonimi. Un’eventuale conservazione ulteriore è limitata ai dati e al tempo necessari per adempiere a obblighi di legge, rispondere a richieste delle autorità o tutelare diritti in relazione a concrete contestazioni, con accesso riservato ai soggetti autorizzati.

Account: Fino alla chiusura dell’account, richiesta dall’utente o automatica dopo 24 mesi senza accessi autenticati, con preavviso di almeno 30 giorni.
Bollette caricate: 30 giorni dal caricamento del documento originale. I dati estratti seguono il termine distinto sottoindicato.
Dati estratti e profilo di consumo: 12 mesi dalla relativa estrazione o acquisizione. Il semplice accesso all’account non rinnova il termine del dato già acquisito.
Ranking e risultati salvati: 30 giorni dalla generazione di ranking, simulazioni e risultati delle analisi salvati nell’account, compresi i risultati di comparazione e le offerte salvate come esito dell’analisi.
Conversazioni AI e relativi output: 30 giorni dalla registrazione del singolo contenuto, per assistenza e verifica della qualità; escluso ogni uso per addestramento o fine-tuning.
Pratiche e documenti contrattuali: Per la durata della procedura e, per le pratiche trasmesse, massimo 24 mesi dalla trasmissione al partner. Per le richieste non trasmesse, limitatamente al tempo necessario a gestire la richiesta.
Log tecnici e di sicurezza: 12 mesi dalla registrazione dell’evento. I log non costituiscono un archivio alternativo di bollette o conversazioni.
Backup: 30 giorni dalla creazione della copia. Le copie residue non sono utilizzate per finalità ordinarie e sono eliminate o sovrascritte al termine del ciclo.
Prove dei consensi e versioni informative: Per i consensi raccolti da Swapy come titolare: 5 anni dalla raccolta o revoca, limitatamente alle evidenze necessarie per finalità probatorie. Le evidenze raccolte per conto del partner seguono le sue istruzioni documentate.
Swapy Club: Per la durata dell’adesione, limitatamente alle necessità di gestione; dopo la cessazione, soltanto per richieste di premio pendenti, reclami, concrete esigenze di difesa e obblighi applicabili, per il periodo necessario a ciascuna finalità.
Swapy Wallet: Fino alla rimozione della carta o alla chiusura dell’account, incluse le copie sincronizzate nei sistemi Swapy; le copie residue nei backup seguono il ciclo di 30 giorni. Al ripristino si riapplicano le cancellazioni maturate.
Swapy Blacklist: Massimo 12 mesi dalla prima segnalazione del numero nella rispettiva lista. Rimozioni anticipate e cancellazione delle segnalazioni alla chiusura dell’account.
Consenso Marketing Swapy: 24 mesi dal rilascio del consenso salvo revoca precedente.
Dati fiscali e contabili: 10 anni, ove applicabile alla specifica documentazione.
Dati anonimizzati: Senza limite, soltanto se l’anonimizzazione è irreversibile. La pseudonimizzazione non equivale ad anonimizzazione.
Elaborazioni AI: Nessuna conservazione ordinaria di input/output dopo l’elaborazione; Sono previste conservazioni temporanee per sicurezza o anomalie (massimo 14 giorni), elaborazioni batch, se utilizzate (massimo 24 ore per gli input), e cache tecnica.

12. Conferimento dei dati

Il conferimento dei dati necessari alla registrazione e all’erogazione delle funzionalità richieste è un requisito per instaurare ed eseguire il relativo rapporto contrattuale. Il mancato conferimento impedisce di completare la registrazione o di utilizzare la funzionalità per la quale tali dati sono necessari. Eventuali dati richiesti per obblighi di legge sono indicati come tali al momento della raccolta. L’utilizzo di Swapy Club, Wallet e Blacklist è facoltativo; i dati necessari a ciascun servizio sono richiesti quando l’utente sceglie di utilizzarlo. Il mancato utilizzo di questi servizi non impedisce l’accesso alle altre funzionalità della piattaforma. I consensi al marketing e alle ulteriori attività promozionali o di profilazione commerciale sono facoltativi e separati. Il rifiuto o la revoca non impediscono la registrazione, l’utilizzo dei servizi o la gestione della richiesta contrattuale. I dati indicati come facoltativi possono essere omessi senza pregiudicare il servizio richiesto.

13. Sicurezza

Swapy adotta misure tecniche e organizzative proporzionate al rischio, fra cui autenticazione, autorizzazioni basate sui ruoli, controllo degli accessi, backup, monitoraggio, gestione delle vulnerabilità e procedure di cancellazione. Sono attive protezioni di cifratura dei dati durante la trasmissione sui collegamenti internet e durante la conservazione sui server, nelle copie di backup e sui dischi dei computer aziendali. L’accesso ai documenti e ai dati contrattuali è limitato alle persone che ne hanno necessità operativa.

La Piattaforma può utilizzare cookie, SDK, identificativi del dispositivo, analytics e strumenti analoghi. Gli strumenti strettamente necessari possono essere utilizzati senza consenso; analytics non esenti, profilazione, advertising, remarketing e tracciamento cross-site/app sono attivati soltanto previo consenso. Dettagli e possibilità di modifica delle preferenze sono disponibili nella Cookie Policy e nel pannello delle preferenze. La scelta del canale preferito, come e-mail o SMS, e il permesso del sistema operativo alle notifiche push non sostituiscono il consenso marketing. Le comunicazioni di servizio e quelle promozionali sono gestite in base alle rispettive finalità e basi giuridiche.

15. Diritti degli interessati

Nei casi previsti dagli articoli 15–22 GDPR, l’utente può chiedere accesso, rettifica, cancellazione, limitazione e portabilità dei dati; opporsi ai trattamenti fondati sul legittimo interesse e in ogni momento al marketing diretto; revocare il consenso senza pregiudicare i trattamenti già effettuati; e ottenere le garanzie applicabili in materia di decisioni automatizzate. Le richieste possono essere inviate a privacy@swapy.it o al DPO all’indirizzo dposwapysrl@beet.it. Swapy può chiedere le informazioni strettamente necessarie a verificare l’identità del richiedente. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali. Per i trattamenti svolti autonomamente dai partner, l’utente può rivolgersi anche ai recapiti riportati nelle rispettive informative. Swapy risponde alle richieste nei termini previsti dal GDPR.

16. Aggiornamenti

Swapy aggiorna questa informativa quando cambiano la normativa, la Piattaforma, le funzionalità AI, i partner, le finalità, i destinatari o i tempi di conservazione. La versione aggiornata è pubblicata sul sito e nell’app con l’indicazione della data di aggiornamento. Se le modifiche incidono significativamente sui trattamenti o richiedono un nuovo consenso, l’utente sarà informato con modalità adeguate. Se una nuova attività richiede il consenso, non viene avviata prima di avere raccolto un consenso valido e specifico.

Versione 4.5 | Revisione del 12 ottobre 2026