1. Titolare del trattamento

La presente informativa viene resa dalla società DGA S.p.a. a socio unico, con sede legale in Campi Bisenzio (FI), Località Capalle, Via Pietro Nenni n. 72/B, (di seguito, anche più semplicemente, “DGA” o il “Titolare del trattamento”), nella sua qualità di Titolare del trattamento in relazione al trattamento dei dati personali dei segnalanti, delle persone coinvolte, delle persone connesse e di ogni altro soggetto comunque coinvolto o menzionato (di seguito, gli “Interessati”) effettuato nell’ambito della gestione delle segnalazioni di violazioni rientranti nell’ambito di applicazione della “Whistleblowing Policy” adottata dalla società in conformità a quanto previsto dal D.lgs. n. 24/2023 di attuazione della direttiva (UE) 2019/1937 “riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”.

2. Tipologia di dati trattati

Nell’ambito della gestione delle segnalazioni di violazioni rientranti nell’ambito di applicazione della “Whistleblowing Policy” sono raccolti e trattati i seguenti dati personali:

1. dati personali di natura comune (es. dati anagrafici, dati di contatto, ecc…) degli Interessati;
2. qualora riportati nella segnalazione o acquisiti in seguito nell’ambito della gestione della segnalazione stessa, potranno essere oggetto di trattamento anche dati sensibili degli Interessati (quali, a mero titolo esemplificativo e non esaustivo, i dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose e/o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale, dati giudiziari, relativi a reati e condanne penali, ecc…).

I predetti dati saranno trattati con supporti informatici e cartacei che ne garantiscono la sicurezza e la riservatezza.

3. Finalità e base giuridica del trattamento

Il trattamento è finalizzato alla ricezione, istruttoria e gestione delle segnalazioni e di eventuali azioni conseguenti, ed in particolare all’accertamento dei fatti segnalati e all’adozione di eventuali provvedimenti. Ai sensi dell’art. 6, comma 1. lett. f), Regolamento (UE) n. 679/2016 (di seguito anche “Regolamento”), tutti i dati personali raccolti nell’ambito del presente trattamento sono strettamente funzionali e necessari per il perseguimento di quanto previsto dal D. Lgs. n. 24/2023, oltre che per eventuali esigenze di controllo interno, di monitoraggio dei rischi aziendali, di difesa di un diritto in sede giudiziaria o per ulteriori legittimi interessi del Titolare. I dati di contatto eventualmente forniti dalla persona segnalante potranno essere utilizzati nel caso in cui dovesse rendersi necessario un contatto diretto con la stessa e per aggiornamenti rispetto allo stato della segnalazione.

4. Destinatari dei dati

Per il perseguimento delle finalità suddette, i dati personali forniti sono resi accessibili solo a coloro i quali, all'interno di DGA, sono competenti a ricevere o a dare seguito alle attività di istruttoria e gestione delle segnalazioni e di eventuali azioni conseguenti. Tali soggetti sono opportunamente istruiti al fine di evitare la perdita, l’accesso ai dati da parte di soggetti non autorizzati o trattamenti non consentiti dei dati stessi e, più in generale, in relazione agli obblighi in materia di protezione dei dati personali. I dati possono essere trattati, inoltre, da Consulenti esterni e Terze Parti con funzioni tecniche (ad esempio, il provider della piattaforma per la gestione delle segnalazioni interne), che agiscono in qualità di Responsabili/Sub-Responsabili del trattamento e hanno sottoscritto un apposito contratto che disciplina puntualmente i trattamenti loro affidati e gli obblighi in materia di protezione dei dati e sicurezza del trattamento ai sensi dell’art. 28, comma III, Regolamento (UE) 2016/679. Infine, i dati personali potranno essere trasmessi anche ad altri soggetti autonomi titolari del trattamento, in base a norme di legge o di regolamento (es. Autorità Pubbliche, Autorità Giudiziaria, ecc..). L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità, potranno essere rivelate a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni solo previo consenso espresso della persona segnalante conformemente a quanto previsto dal D. Lgs. n. 24/2023.

5. Modalità di trattamento e conservazione dei dati

I dati verranno trattati prevalentemente attraverso strumenti informatici e/o automatizzati nell’ambito della piattaforma Whistleblowing adottata dal Titolare del Trattamento, con logiche correlate alle finalità sopraindicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati. In conformità con quanto previsto dal D.lgs. n. 24/2023, i dati verranno trattati per il tempo necessario alla gestione della specifica segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione.

6. Conferimento dei dati

In caso di segnalazione effettuata attraverso la piattaforma per la gestione delle segnalazioni interne, il conferimento dei dati da parte del segnalante è obbligatorio ai fini della sua registrazione alla piattaforma stessa. In tal caso, il rifiuto al conferimento dei dati rende impossibile seguire l’iter della procedura descritta nella Whistleblowing Policy.

7. Trasferimento dei dati a Paesi terzi

I dati trattati non vengono trasferiti dal Titolare del trattamento verso Paesi terzi.

8. Diritti degli Interessati

Gli Interessati – in conformità con quanto previsto dal Regolamento (UE) 2016/679 – possono chiedere al Titolare del trattamento dei propri dati personali oggetto della presente informativa, l’accesso ai dati che li riguardano, la loro rettifica, l’integrazione o la loro cancellazione, nonché la limitazione del trattamento o qualsiasi altro diritto di cui agli articoli da 15 a 22 del GDPR, ricorrendone i presupposti, che dovranno essere espressamente evidenziati nella richiesta.

L’esercizio di tali diritti potrà, comunque, essere limitato qualora esistano interessi legittimi prevalenti sugli interessi, diritti e libertà dell’Interessato, anche connessi all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria o ad altri obblighi di legge che il Titolare del trattamento deve assolvere o ad eventuali disposizioni delle Autorità Pubbliche o dell’Autorità Giudiziaria o degli Organi di Polizia.

Inoltre, l’Interessato ha diritto di proporre reclamo, qualora ritenga che i suoi diritti siano stati violati, dinanzi al Garante per la Protezione dei Dati Personali.

La persona coinvolta o la persona menzionata nella segnalazione non possono esercitare i diritti che il Regolamento (UE) 2016/679 riconosce agli Interessati con riferimento ai propri dati personali trattati nell’ambito della segnalazione. Ciò in quanto dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante. In tali casi, dunque, al soggetto segnalato o alla persona menzionata nella segnalazione è preclusa anche la possibilità, laddove ritengano che il trattamento che li riguarda violi suddetti diritti, di rivolgersi al Titolare del trattamento e, in assenza di risposta da parte di quest’ultimo, di proporre reclamo al Garante della protezione dei dati personali.

Qualora il trattamento sia basato sul consenso, l’interessato ha il diritto di revocare in ogni momento il consenso prestato al trattamento dei dati, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prestato prima della revoca.