Titolare del trattamento
Settore e attività: Intermediario finanziario abilitato all’esercizio nei confronti del pubblico dell’attività di concessione di finanziamenti sotto qualsiasi forma, in osservanza a quanto previsto dall’art. 106 del D.Lgs. 385/93 e successive modifiche e integrazioni.
Settore e attività:
Intermediario finanziario abilitato all’esercizio nei confronti del pubblico dell’attività di concessione di finanziamenti, diretti e indiretti di altri operatori abilitati, sotto qualsiasi forma in osservanza a quanto espressamente previsto dall’art. 106 del D.lgs. 385/93 e successive modifiche ed integrazioni.
Responsabile per la protezione dati (DPO)
Dott. Marco Pozzati
Tel: +39 06.90250007
E-mail: privacy@spefin.it
Principi
Uno dei nostri obiettivi fondamentali è la protezione dei dati personali. I dati sono trattati in modo lecito, corretto e trasparente, adeguati, pertinenti e limitati a quanto necessario, esatti e, se necessario, aggiornati, raccolti per finalità determinate, esplicite e legittime ai sensi degli Artt. 5 e 6 del Regolamento (UE) 2016/679 e a seguito del conferimento del consenso ove previsto.
I dati sono trattati in maniera da garantire un’adeguata sicurezza, compresa la protezione — mediante misure tecniche e organizzative adeguate — da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale.
Informiamo in caso di modifiche sostanziali alla presente Informativa e al relativo trattamento dei dati, lasciando libera la decisione di continuare o meno ad usufruire dei servizi offerti.
Fonti da cui hanno origine i dati personali
Raccolti presso l’interessato:
Non raccolti presso l’interessato:
Categorie di soggetti interessati
Utenti (clienti e potenziali clienti: dipendenti pubblici o riconducibili all’amministrazione pubblica, dipendenti privati, pensionati) e candidati.
Dati personali trattati
A seconda dei casi, i dati personali trattati potranno consistere nelle seguenti categorie: nome e cognome, residenza, domicilio, contatti telefonici, indirizzo e-mail, luogo e data di nascita, professione, codice fiscale, documento d’identità, fotografie, Modello CUD, busta paga, certificato di stipendio o pensionistico, rapporto visita medica (RVM), posizione lavorativa, stipendio netto, tipologia di contratto, importo e durata del finanziamento, IBAN e condizioni contrattuali, e quanto altro necessario per la corretta e completa gestione della richiesta.
Nell’ambito delle attività precontrattuali e contrattuali, il Titolare può trattare anche la voce dell’interlocutore, esclusivamente per finalità di gestione della conversazione (trascrizione real-time, sintesi vocale di risposta, registrazione delle telefonate). La voce è trattata in via transitoria e non è utilizzata per finalità di identificazione biometrica univoca ai sensi dell’art. 4, n. 14 GDPR.
Tali dati possono essere oggetto di elaborazione automatizzata mediante sistemi avanzati, incluse tecnologie di riconoscimento ottico dei caratteri (OCR) e di Intelligenza Artificiale, al fine di verificare la conformità della documentazione e supportare il processo di istruttoria. Ogni elaborazione automatizzata è sottoposta a verifica e conferma da parte di un operatore umano prima di qualsiasi acquisizione dei dati.
Categorie dati personali
Comuni: anagrafici e di contatto, identificativi, dati di traffico telefonico ed elettronico, dati economico-finanziari (IBAN, importi, condizioni contrattuali).
Particolari: dati idonei a rivelare lo stato di salute (es. RVM, certificati medici, invalidità), l’adesione sindacale, l’origine razziale o etnica, l’orientamento politico, religioso o sindacale, ove necessari per l’istruttoria o per la copertura assicurativa.
Giudiziari: dati relativi ad antiriciclaggio, protesti, insolvenza, frode, furto d’identità e sostituzione di persona, pignoramenti, decreti ingiuntivi, procedure esecutive.
Utilizzo di Sistemi di Intelligenza Artificiale
Spefin Finanziaria S.p.A. si avvale di sistemi di Intelligenza Artificiale (IA) come strumento di supporto all’attività degli operatori, nel pieno rispetto del Regolamento (UE) 2016/679 (GDPR) e del Regolamento (UE) 2024/1689 (AI Act). Le aree di utilizzo sono le seguenti:
1. Verifica ed estrazione documentale
Elaborazione automatizzata della documentazione caricata dal cliente o dalla rete vendita (documenti d’identità, buste paga, CUD, cedolini pensionistici, certificati di stipendio, rapporti di visita medica, modulistica contrattuale) tramite OCR, modelli di analisi visiva e modelli linguistici, ai fini della verifica di autenticità, completezza e conformità. I documenti di identità sono elaborati esclusivamente all’interno dell’infrastruttura della Società, senza alcun trasferimento a sistemi esterni. La modulistica contrattuale può essere analizzata tramite provider di IA in region situata nello Spazio Economico Europeo (SEE).
2. Smistamento intelligente della corrispondenza
Classificazione automatica delle e-mail in ingresso sulle caselle pubbliche del Titolare, ai fini dell’instradamento all’ufficio competente. Il sistema non genera risposte automatiche verso il mittente e non adotta decisioni sulle persone.
3. Assistenza pre-contrattuale tramite assistente vocale
Qualificazione telefonica dell’interesse di potenziali clienti tramite agente vocale basato su IA. L’interlocutore è informato all’inizio della chiamata — mediante messaggio vocale immediato e chiaro — della natura artificiale dell’interlocutore (art. 50 AI Act). In qualsiasi momento è possibile richiedere il passaggio a un consulente umano.
Garanzia fondamentale: In nessun caso i sistemi di IA adottano decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici significativi sull’interessato (art. 22 GDPR). Ogni risultanza dell’elaborazione automatizzata è sottoposta a verifica e conferma di un operatore umano qualificato. L’interessato ha in ogni caso diritto a ottenere l’intervento umano, esprimere il proprio punto di vista e contestare l’esito, scrivendo a privacy@spefin.it.
I provider di IA operano in qualità di Responsabili del trattamento ex art. 28 GDPR su infrastrutture localizzate nello Spazio Economico Europeo, non utilizzano i dati per l’addestramento dei modelli e sono vincolati contrattualmente al rispetto del GDPR.
Finalità del Trattamento, Base Giuridica e Periodo di Conservazione
| Finalità | Descrizione e Base Giuridica | Periodo di Conservazione |
|---|---|---|
| Misure precontrattuali – Preventivo | Informazione, consulenza, fattibilità, preventivazione, assistenza (anche mediante sistemi di IA), monitoraggio e rilevamento soddisfazione. Ivi incluso trattamento dati particolari e comunicazione alla rete vendita.Base giuridica: art. 6.1 lett. b GDPR; interesse legittimo; autorizzazione generale Autorità di controllo. | Tempo strettamente necessario alla gestione della richiesta. |
| Esecuzione contratto di finanziamento | Conclusione ed esecuzione delle obbligazioni contrattuali; ivi incluso trattamento dati particolari e comunicazione alla rete vendita e a soggetti di supporto operativo.Base giuridica: art. 6.1 lett. b GDPR; interesse legittimo; autorizzazione generale Autorità di controllo. | Durata contrattuale e, dopo la cessazione, 10 anni come da requisiti di legge. |
| Adempimento obblighi di legge | Obblighi previsti da normativa europea e nazionale applicabile.Base giuridica: art. 6.1 lett. c GDPR. Consenso non necessario. | Come da requisiti di legge. |
| Antiriciclaggio, antifrode, KYC | Adempimento obblighi antiriciclaggio, frode, furto d’identità e sostituzione di persona, antiterrorismo.Base giuridica: art. 6.1 lett. c GDPR. Consenso non necessario. | Come da requisiti di legge. |
| Diritti del Titolare – Recupero crediti / Contenzioso | Accertamento, esercizio o difesa dei diritti del Titolare in via stragiudiziale e giudiziaria.Base giuridica: legittimo interesse (art. 6.1 lett. f GDPR). Consenso non necessario. | Per tutta la durata del contenzioso, fino all’esaurimento dei termini di impugnazione. |
| Reclami | Gestione delle segnalazioni formali per reali o presunte irregolarità.Base giuridica: art. 6.1 lett. c GDPR. Consenso non necessario. | Durata del procedimento e dei termini legali applicabili. |
| Marketing diretto | Invio di comunicazioni promozionali e commerciali su prodotti e servizi propri, tramite modalità automatizzate (e-mail, SMS, WhatsApp, ecc.) e tradizionali (posta, telefono con operatore), nonché rilevazione della soddisfazione e studi di mercato.Potenziale cliente — Base giuridica: consenso (facoltativo e revocabile); in assenza di diniego iniziale o opposizione successiva. Cliente (soft spam per prodotti analoghi) — Base giuridica: legittimo interesse (art. 130, c. 4, Codice Privacy). Cliente (prodotti diversi) — Base giuridica: consenso facoltativo e revocabile. | Fino a 24 mesi dal periodo di maturazione del requisito di rinnovo. Per il potenziale cliente: dalla data di consenso. Per l’ex cliente: dalla chiusura di tutti i rapporti. Durata massima: 8 anni dal consenso o fino a revoca. |
| Cessione a terzi per marketing autonomo | Comunicazione dei dati a soggetti terzi autonomi titolari del trattamento per l’invio di proprie comunicazioni promozionali tramite modalità automatizzate e tradizionali. L’interessato ha diritto a richiedere la lista dei soggetti terzi destinatari.Base giuridica: consenso esplicito (art. 6.1 lett. a GDPR). Consenso facoltativo e revocabile. | 8 anni dalla sottoscrizione del consenso o fino a revoca. |
| Valutazione del merito creditizio | Accesso a Sistemi di Informazioni Creditizie (SIC) per la valutazione del merito creditizio e la prevenzione del sovraindebitamento, previa informativa specifica ai sensi del Codice di deontologia SIC.Base giuridica: consenso; adempimento obbligo di legge. | Come previsto dal Codice di deontologia SIC. |
| Verifica e controllo di conformità documentale tramite IA | Elaborazione con strumenti di IA della documentazione trasmessa dal cliente, tramite provider cloud in ambito SEE.Base giuridica: art. 6.1 lett. b GDPR (misure pre/contrattuali); art. 6.1 lett. c GDPR (antifrode, antiriciclaggio, KYC); per dati particolari: consenso esplicito dell’interessato (art. 9.2 lett. a GDPR) o, ove applicabile, art. 9.2 lett. b GDPR. | In caso di contratto: durata contrattuale + 10 anni. In ogni altro caso: tempo strettamente necessario. Le immagini dei documenti non sono persistite oltre il tempo necessario all’estrazione. I log delle operazioni IA sono conservati per un massimo di 12 mesi. |
| Assistenza pre/contrattuale tramite IA | Smistamento automatico della corrispondenza in ingresso; qualificazione telefonica tramite assistente vocale; classificazione delle richieste e supporto all’istruttoria. Nessuna decisione unicamente automatizzata con effetti giuridici significativi.Base giuridica: art. 6.1 lett. b GDPR; legittimo interesse del Titolare (art. 6.1 lett. f GDPR) previa LIA documentata; per potenziali clienti contattati tramite assistente vocale: consenso specifico alla ricezione di chiamate commerciali automatizzate, acquisito a monte dai fornitori di lead. | Fase pre-contrattuale: tempo strettamente necessario. In caso di contratto: durata contrattuale + 10 anni. Log IA: massimo 12 mesi. Trascritti conversazioni vocali: vedi riga “Registrazione conversazioni telefoniche”. |
| Registrazione conversazioni telefoniche – Qualità del servizio | Monitoraggio della qualità del servizio, formazione del personale, verifica del corretto operato degli addetti. L’interessato è informato mediante apposito messaggio vocale all’inizio della chiamata.Base giuridica: legittimo interesse del Titolare (art. 6.1 lett. f GDPR), previa LIA documentata. | Massimo 90 giorni dalla data della chiamata, con cancellazione automatica e tracciata. |
| Registrazione conversazioni telefoniche – Obblighi normativi e tutela | Adempimento obblighi normativi (D.Lgs. 231/2007 antiriciclaggio; disposizioni Banca d’Italia; gestione reclami e contenzioso; richieste dell’Autorità Giudiziaria); tutela contrattuale del Titolare.Base giuridica: art. 6.1 lett. c GDPR; legittimo interesse (art. 6.1 lett. f GDPR). | 10 anni dalla chiusura del rapporto o dall’operazione. In caso di procedimento giudiziario, reclamo o richiesta dell’Autorità: sospensione fino alla definizione. |
| Decorsi i termini di conservazione sopra indicati, i dati saranno distrutti, cancellati o resi anonimi, compatibilmente con le procedure tecniche di cancellazione e backup, salvo che il diritto nazionale o dell’Unione preveda la conservazione dei dati. | ||
Destinatari dei dati
I dati possono essere comunicati e trattati da soggetti esterni operanti in qualità di titolari, quali, a titolo esemplificativo:
Italia:
I dati possono altresì essere trattati, per conto della Società, da soggetti esterni designati come responsabili del trattamento ex art. 28 GDPR, tra cui:
Albania: Soggetti che svolgono servizi di supporto continuativo all’operatività e organizzazione (vedi sezione Trasferimento dati extra-UE).
InfoCert S.p.A. è incaricata della gestione del servizio di sottoscrizione digitale dei contratti di finanziamento. Le compagnie assicurative operative nell’ambito del procedimento di sottoscrizione online sono anch’esse destinatarie dei dati pertinenti.
Obbligatorietà del
Conferimento dei dati
Il conferimento dei dati, ivi inclusi quelli particolari, è un requisito necessario per la conclusione del contratto. Il mancato, parziale o inesatto conferimento comporta l’impossibilità di gestire quanto richiesto e di concludere il contratto.
Soggetti Autorizzati al Trattamento
I dati potranno essere trattati dai dipendenti e collaboratori delle funzioni aziendali, ivi inclusa la rete vendita, che sono stati espressamente autorizzati al trattamento e adeguatamente formati.
Trasferimento dei dati personali in paesi non appartenenti all’Unione Europea
I dati potranno essere trasferiti all’estero in paesi extra-europei, in particolare in Albania, per attività di supporto continuativo all’operatività e organizzazione. L’Albania ha adottato accordi bilaterali con l’Italia e, in data 15/01/2025, ha pubblicato nella Gazzetta Ufficiale la Legge 124/2024 sulla protezione dei dati personali, che introduce un quadro giuridico allineato a quello europeo. Il trasferimento avviene previa sottoscrizione delle Clausole Contrattuali Tipo adottate dalla Commissione Europea (art. 46, par. 2, lett. c) e d) GDPR).
Per quanto riguarda i sistemi di Intelligenza Artificiale:
Diritti dell’interessato – reclamo all’autorità di controllo
Contattando il DPO all’indirizzo privacy@spefin.it, gli interessati possono esercitare i seguenti diritti:
Diritto a non essere sottoposto a decisioni unicamente automatizzate (art. 22 GDPR): Qualora i dati siano trattati mediante processi automatizzati, l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici significativi. Il Titolare garantisce che ogni risultanza automatizzata è sottoposta a verifica e conferma da parte di un operatore umano. L’interessato può ottenere l’intervento umano, esprimere il proprio punto di vista e contestare l’esito scrivendo a privacy@spefin.it.
Il Titolare fornirà le informazioni relative all’esercizio dei diritti senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta (art. 12 GDPR).
Gli interessati hanno il diritto di proporre reclamo all’Autorità di controllo competente: Garante per la Protezione dei Dati Personali, Piazza Venezia n. 11 – 00187 Roma – E-mail: protocollo@gpdp.it – PEC: protocollo@pec.gpdp.it.
Codice del Consumo
Previa autorizzazione, la Società — per la raccolta dei dati necessari all’esecuzione delle misure precontrattuali e contrattuali — potrà avvalersi di tecniche di comunicazione a distanza (telefono con operatore, posta elettronica, internet, ecc.). Per tecniche di comunicazione a distanza si intendono le tecniche diverse dagli annunci pubblicitari con le quali il soggetto offerente contatta la clientela, che non comportano la presenza fisica e simultanea del cliente (qualificabile come Consumatore ai sensi del Codice del Consumo) e del soggetto offerente o di un suo incaricato. Tale autorizzazione potrà essere revocata in qualsiasi momento.
Ultimo aggiornamento: maggio 2026 — Spefin Finanziaria S.p.A. — privacy@spefin.it
