SISTEMA DI SEGNALAZIONE DELLE VIOLAZIONI

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI AI SENSI DEGLI ARTICOLI 13 E 14 DEL REGOLAMENTO EUROPEO SULLA PROTEZIONE DEI DATI PERSONALI (GDPR)

Gentile Utente,

in Global Thinking Foundation vogliamo essere informati immediatamente di qualsiasi sospetta violazione o timore di violazione di leggi, regolamenti o politiche e procedure interne. Le segnalazioni possono avvenire attraverso diversi canali, tra cui la piattaforma digitale https://gltfoundation.smartleaks.cloud/#/ (“Piattaforma”) e l’indirizzo mail odv.gltfoundation.com

Indipendentemente dal canale utilizzato, la ricezione e l’analisi di una segnalazione, così come le eventuali indagini successivamente effettuate, comporteranno il trattamento dei dati personali da parte della Fondazione.

La Fondazione prende sul serio la protezione dei tuoi dati personali e per questo ti invita a leggere la seguente informativa – redatta ai sensi del D.lgs. 196/2003 e s.m.i. e del Regolamento UE n. 2016/679 sulla protezione dei dati personali – che ha lo scopo di aiutarti a capire come trattiamo e gestiamo i tuoi dati personali e le informazioni contenute nella tua segnalazione e di informarti sui tuoi diritti al riguardo.

1.     Informazioni generali e finalità del trattamento

La Fondazione si è dotata di una Piattaforma e di un indirizzo mail  per consentire a qualsiasi individuo, inclusi i dipendenti, lavoratori autonomi e collaboratori, ivi compresi i volontari e tirocinanti, lavoratori o collaboratori di fornitori, i liberi professionisti e i consulenti, gli amministratori e i membri degli organi di controllo, di segnalare sospette violazioni o timori di violazioni di leggi, regolamenti o politiche e procedure interne. Ai fini della presente Informativa, “Utente” è la persona che invia una segnalazione attraverso la Piattaforma o l’indirizzo mail.

In particolare, le segnalazioni possono riguardare comportamenti che costituiscono azioni od omissioni, commesse o tentate:

• penalmente rilevanti o che costituiscono illeciti civili, amministrativi o violazioni contabili;
• che coinvolgono legali rappresentanti, amministratori, dirigenti e/o dipendenti della Fondaziome o – in ogni caso – chiunque agisca per conto della Fondaziome (es: consulenti, fornitori, ecc.);
• poste in essere in violazione del Modello 231 o di altre Policy o procedure aziendali;

• suscettibili di arrecare un pregiudizio patrimoniale o di immagine alla società;
• che configurino potenziali conflitti di interesse;
• suscettibili di arrecare un danno alla salute o sicurezza dei dipendenti, o di arrecare un danno all’ambiente;
• suscettibili di costituire una violazione delle norme poste, tra l’altro, a tutela dei seguenti settori:
  • appalti pubblici;
  • servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo;
  • sicurezza e conformità dei prodotti;
  • sicurezza dei trasporti;
  • tutela dell’ambiente;
  • salute pubblica;
  • protezione dei consumatori; o
• in generale, della normativa nazionale o

I dati personali raccolti durante la ricezione, la gestione e l’indagine di una segnalazione (“Dati Personali”) sono trattati dalla Fondazione per garantirne la corretta gestione. La Fondazione elaborerà i tuoi Dati Personali solo per i seguenti scopi:

• gestire il ciclo di vita della segnalazione, svolgendo le indagini con le parti interessate, comprese le autorità pubbliche;
• abilitare la gestione della Piattaforma e dei relativi report;
• determinare se si è verificato o meno un illecito;
• determinare le sanzioni pertinenti e le eventuali misure di attenuazione da mettere in atto per prevenire futuri illeciti;
• verificare e garantire la corretta e completa applicazione delle policy aziendali e di attuare ogni attività successiva e conseguente a tali verifiche, nonché di adempiere a specifici obblighi di legge, dei regolamenti e della normativa applicabile con riferimento a precise esigenze connesse al controllo interno della società e al monitoraggio dei rischi aziendali, specificamente richiesti dalla legge;
• effettuare statistiche e report

2.    Dati Personali e categorie di dati trattati

Sono Dati Personali tutte le informazioni relative a una persona fisica identificata o identificabile (il cosiddetto “interessato”).

Il conferimento dei Dati Personali dell’Utente è facoltativo. L’opzione di segnalazione anonima disponibile sulla Piattaforma e accedendo all’indirizzo email consente di effettuare una segnalazione senza fornire alcun Dato Personale dell’Utente.

Nel caso in cui l’Utente decida volontariamente di fornire i propri Dati Personali, le seguenti categorie di dati potranno essere trattate nell’ambito della gestione delle segnalazioni dal Titolare del Trattamento:

1. Dati identificativi dell’Utente: nome, cognome e informazioni di contatto (a meno

che la segnalazione sia anonima);

1. Dati Personali della persona segnalata o di altre parti menzionate, o dati ottenuti dal Titolare del Trattamento durante le indagini: nome, cognome e Dati Personali (ad esempio, la descrizione delle funzioni e informazioni di contatto); e

• Informazioni relative alla violazione segnalata: descrizione della presunta violazione, nonché una descrizione delle circostanze del caso, o altre informazioni ottenute nel corso delle indagini sui fatti segnalati, registri/riassunti del processo investigativo, azioni intraprese a seguito dell’indagine.

A seconda delle leggi vigenti nel Paese in cui il segnalante è residente, la segnalazione potrebbe non essere consentita in forma anonima; in tali casi, i Dati Personali saranno comunque trattati in modo confidenziale e saranno comunicati solo secondo le regole di seguito riportate.

Si prega di tenere presente che le informazioni contenute in alcune segnalazioni possono includere categorie particolari di Dati Personali. Secondo l’articolo 9 del GDPR sono considerati “dati particolari” i dati che possono rivelare l’origine razziale o etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l’adesione a partiti o sindacati, i dati relativi alla salute e all’orientamento sessuale, o a procedimenti penali.

In relazione a tali dati il GDPR prevede maggiori restrizioni e gli stessi saranno trattati solo se e quando sono rilevanti ai fini della segnalazione e solo nella misura consentita dalla legge applicabile e/o dalla necessità di accertare, esercitare o difendere un diritto in un’azione legale pendente davanti a un tribunale ai sensi dell’art. 9, par. 2, lett. f) GDPR. Se, invece, tali dati non sono rilevanti ai fini della segnalazione e si pongono al di fuori dell’ambito consentito dalla legge applicabile e/o non sono necessari per accertare, esercitare o difendere un diritto in un’azione legale pendente davanti a un tribunale, saranno cancellati prontamente e in modo sicuro e non saranno ulteriormente trattati.

3.    Trattamento dei Dati Personali

Per “Trattamento dei Dati Personali” intendiamo, ai sensi dell’art. 4(2) del GDPR, qualunque operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a Dati Personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso e la diffusione.

I Dati Personali forniti saranno trattati dalla Fondazione secondo le modalità e nel rispetto della normativa vigente, nel rispetto del principio di minimizzazione e attraverso metodi idonei a garantirne la sicurezza e la riservatezza. In particolare, i trattamenti di tali dati saranno eseguiti:

• tramite un supporto digitale o audio, a seconda del canale utilizzato per l’effettuazione della segnalazione;
• in modo da garantire i più elevati standard di riservatezza e da prevenire o ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della

In conformità con il GDPR, i Dati Personali di volta in volta ottenuti possono essere

utilizzati per aggiornare e correggere le informazioni raccolte in precedenza.

Al fine di garantire la riservatezza del segnalante per tutta la durata della gestione della segnalazione interna, l’identità della stessa sarà conosciuta dai soggetti espressamente autorizzati alla gestione alle segnalazioni. L’identità della Persona Segnalante viene protetta in ogni contesto successivo alla segnalazione e non può essere rivelata senza il suo espresso consenso, e tutti coloro che ricevono o sono coinvolti nella gestione della segnalazione sono tenuti a tutelare la riservatezza di tale informazione.

4.    Titolare del trattamento

Il Titolare del trattamento è Global Thinking Foundation con sede legale Via Aosta, 21, Milano (MI), nella persona del suo legale rappresentante (“Titolare del Trattamento”).

5.    Base giuridica del trattamento

Obbligo legale: i tuoi Dati Personali saranno trattati per finalità di natura obbligatoria legate al rispetto delle leggi e dei regolamenti applicabili e per soddisfare eventuali richieste ricevute dalle Autorità competenti.

Interesse legittimo: conserveremo i tuoi Dati Personali anche sulla base del legittimo interesse della Fondazione a gestire correttamente le segnalazioni ricevute, in linea con la relativa Policy per la gestione delle segnalazioni, per prevenire e indagare sulle presunte violazioni elencate nel precedente paragrafo I, nonché per difendere i propri diritti in (o intentare) un procedimento legale di conseguenza.

I Dati Personali dell’Utente e dei soggetti menzionati nella segnalazione potranno essere trattati senza il relativo consenso, nei casi in cui ciò sia necessario per perseguire il legittimo interesse del Titolare del Trattamento a ricevere e trattare le segnalazioni di effettive o presunte violazioni di leggi o regolamenti applicabili agli enti del terzo settore, nonché delle politiche e procedure interne.

Il trattamento dei dati sarà in ogni caso effettuato secondo i principi applicabili in tema di finalità, rilevanza, adeguatezza e limitazione.

6. Comunicazione dei Dati Personali

Per le finalità descritte al precedente paragrafo 1, i Dati Personali forniti potranno essere trasmessi nelle seguenti aree:

1. All’interno della Fondazione – I dati potranno essere utilizzati dal personale della Fondazione incaricato del trattamento, al quale è stato affidato uno specifico ruolo di incaricato del trattamento, che si impegna a mantenere la loro riservatezza e al quale sono state impartite adeguate istruzioni.

I tuoi Dati Personali saranno resi accessibili solo a coloro che, all’interno della Fondazione , ne hanno bisogno in ragione delle loro mansioni o della loro posizione gerarchica. Tali soggetti saranno opportunamente istruiti al fine di evitare la perdita, la distruzione, l’accesso non

autorizzato o il trattamento non autorizzato dei dati.

Inoltre, i dati potranno essere utilizzati da società terze o individui che svolgono attività strumentali per conto della Fondazione come ad esempio:

1. Fornitori di servizi: la società esterna che fornisce alla Fondazione i servizi necessari alla gestione delle segnalazioni e i fornitori della Piattaforma e dell’indirizzo mail, che accederanno ai dati solo per scopi di manutenzione del sistema o supporto tecnico per l’Utente; tali fornitori sono debitamente nominati Responsabili del trattamento in conformità alle disposizioni del GDPR;
2. Consulenti esterni per la gestione del procedimento investigativo e l’assistenza legale, aziende e società operanti nell’ambito di rapporti di assistenza e consulenza.

Queste società operano come Responsabili del trattamento di dati e sotto la direzione e il monitoraggio della Fondazione .

In ogni caso, la tua segnalazione sarà trattata solo da personale interno o esterno specificamente nominato, autonomo, dedicato e specificamente formato anche in tema di vincoli imposti dalla normativa in materia di protezione dei Dati Personali, in base al principio del need-to-know espresso dal GDPR.

La protezione dei tuoi Dati Personali e la legittimità del trattamento sono garantite da opportuna nomina a Responsabile del Trattamento di tutti i soggetti terzi che effettuano un trattamento in nome e per conto della Fondazione . Tutti i nostri Responsabili del Trattamento sono pertanto tenuti a rispettare le leggi vigenti in materia di privacy e a implementare adeguate misure di sicurezza.

1. Al di fuori della Fondazione (Enti pubblici o di sorveglianza) – Inoltre, sempre per le finalità strettamente strumentali alla valutazione delle segnalazioni e in attuazione di disposizioni di legge o contrattuali, in alcune circostanze la Fondazione potrebbe aver bisogno di trasmettere, direttamente o indirettamente, alcuni dei Dati Personali contenuti nella segnalazione – secondo uno stringente criterio di pertinenza – alle seguenti categorie di soggetti:
   1. autorità di pubblica sicurezza;
   2. autorità

Tali soggetti agiranno in qualità di Titolari (autonomi) del trattamento (dei rispettivi trattamenti), a meno che non agiscano per conto della Fondazione in qualità di Responsabili del trattamento e abbiano quindi sottoscritto uno specifico contratto che disciplina i trattamenti loro affidati, ai sensi dell’art. 28 del GDPR.

Si tenga presente che l’identità dell’Utente, che agisce come individuo segnalante, sarà divulgata solo qualora previsto da obbligo di legge o regolamento, richiesta di esibizione precedentemente menzionata, o per garantire il diritto di difesa dell’individuo segnalato, nel caso in cui il segnalante abbia manifestato il proprio consenso.

La Fondazione implementa in ogni caso misure di sicurezza appropriate per salvaguardare i tuoi Dati Personali da accessi non autorizzati, divulgazione o cancellazione accidentale:

• applichiamo misure ragionevoli per garantire che i Dati Personali siano raccolti in conformità con i principi di minimizzazione e limitazione delle finalità;

• conserviamo i tuoi Dati Personali per un tempo limitato come specificato nel successivo paragrafo 8, a meno che l’estensione del periodo di conservazione sia richiesta o consentita dalla legge;
• ci avvaliamo di tecnologie d’avanguardia per garantire la riservatezza dei Dati Personali, che vanno dalla crittografia, l’utilizzo di password complesse e autenticazione a due fattori, a firewall e software dedicati per proteggere i server da attacchi esterni;
• selezioniamo i nostri partner commerciali e fornitori di servizi in base a rigorosi criteri di qualificazione e all’obbligo di rispettare i nostri standard di sicurezza garantito da specifiche disposizioni contrattuali ed eseguiamo audit e altre valutazioni per verificare la loro conformità ai requisiti di cui sopra;
• effettuiamo apposite sessioni di formazione sulla privacy e la protezione dei dati e test per verificare l’apprendimento del personale e altre attività per accrescere la consapevolezza delle tematiche privacy tra i dipendenti e i collaboratori.

7.    Trasferimenti internazionali di dati

I tuoi Dati Personali sono conservati sul server dei fornitori della Piattaforma e della Linea Telefonica (appositamente nominati Responsabile del trattamento) situato in Italia o all’interno dell’Unione Europea. In base alle specifiche caratteristiche e al contenuto della tua segnalazione, i tuoi Dati Personali possono essere trasferiti in altri paesi, anche non appartenenti all’Unione Europea. La società ha valutato l’impatto dei trasferimenti internazionali che potrebbero rientrare nell’ambito delle segnalazioni e ha implementato le opportune garanzie.

Qualora si riveli necessario trasferire – per esigenze connesse alla gestione delle segnalazioni

– i tuoi Dati Personali in paesi esterni all’Unione Europea, che non garantiscono un adeguato livello di protezione dei Dati Personali ai sensi del GDPR, la società trasferirà i tuoi dati solo verso Paesi riguardo ai quali la Commissione Europea abbia dichiarato un livello di sicurezza adeguato o, in alternativa, adotterà le misure contrattuali per garantire che tutti i beneficiari dispongano di un livello adeguato di protezione dei dati (ad esempio attraverso l’implementazione delle Standard Contractual Clauses approvate dalla Commissione Europea).

8.    Conservazione dei Dati Personali

I tuoi Dati Personali saranno trattati e conservati dal Titolare del Trattamento, per il tempo strettamente necessario alla gestione delle segnalazioni, coerentemente con le necessità che possono sorgere durante la gestione della sua segnalazione (ad esempio, causa legale, procedimento presso le autorità pubbliche) o all’adempimento degli obblighi di legge. I dati verranno eliminati dalla Piattaforma e dalla Linea telefonica trascorsi 5 anni dalla chiusura dell’istruttoria, a meno che il Titolare non sia tenuto a conservarli per un ulteriore periodo di tempo al fine di adempiere agli obblighi di legge o per garantire la possibilità di difesa in giudizio. In tal caso, comunque, i tuoi dati non saranno soggetti a trattamenti ulteriori.

I tuoi Dati Personali saranno trattati secondo i termini di cui sopra o per un periodo più breve qualora tu decida di esercitare uno dei diritti elencati nel successivo paragrafo 9. Tieni

presente che qualora chiedessi di cancellare i tuoi Dati Personali, potremmo non essere in grado di rispondere alla tua segnalazione o di concludere l’indagine.

Se le verifiche effettuate in relazione alla segnalazione non sollevano alcuna evidenza di violazione (segnalazione infondata) o se la segnalazione non rientra nell’ambito delle condotte segnalabili (segnalazioni non pertinenti), i Dati Personali ad essa relativi saranno immediatamente cancellati.

Alla scadenza del termine, i tuoi Dati Personali saranno cancellati o resi anonimi secondo le nostre procedure interne, a meno che non sia diversamente richiesto da obblighi di legge o nel caso in cui i tuoi Dati Personali siano necessari per proteggere i nostri diritti presso una qualsiasi autorità giudiziaria o altra autorità competente.

Ti informiamo inoltre che, ai sensi degli articoli 5 e 89.1 del GDPR, i tuoi Dati Personali possono essere conservati in forma anonima per periodi di tempo più lunghi rispetto a quanto specificato nel precedente paragrafo a soli fini statistici, fatta salva l’attuazione di adeguate misure tecniche e organizzative necessarie a tutelare i Tuoi diritti e le Sue libertà.

9.       Diritti dell’interessato

Ai sensi degli artt. 15-22 GDPR, in qualità di interessato, potrai esercitare i seguenti diritti:

1. Diritto di accesso: diritto di ottenere dal Titolare la conferma che sia o meno in corso un trattamento di Dati Personali e in tal caso, di ottenere l’accesso ai Dati Personali e a ulteriori informazioni sull’origine, finalità, categoria di dati trattati, destinatari di comunicazione e/o trasferimento dei dati, periodo di conservazione dei dati o criteri per determinarlo, diritti dell’interessato.
2. Diritto di rettifica: diritto di ottenere dal Titolare:
   1. la rettifica dei Dati Personali inesatti senza ingiustificato ritardo;
   2. l’integrazione dei dati personali incompleti, anche fornendo al Titolare una dichiarazione integrativa contenente le informazioni di cui chiede l’inserimento.
3. Diritto alla cancellazione: diritto di ottenere dal Titolare la cancellazione dei Dati Personali senza ingiustificato ritardo nel caso in cui:
   1. i Dati Personali non sono più necessari rispetto alle finalità del trattamento;
   2. il consenso su cui si basa il trattamento è revocato e non sussiste altro fondamento giuridico per il trattamento;
   3. i Dati Personali sono stati trattati illecitamente;
   4. i Dati Personali devono essere cancellati per adempiere a un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento.
4. Diritto di opposizione al trattamento: diritto di opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, al trattamento dei dati personali di cui all’art. 6, 1, lett. e) o f) GDPR, compresa la profilazione sulla base di tali disposizioni.
5. Diritto di limitazione di trattamento: diritto di ottenere dal Titolare la limitazione del trattamento, nei casi in cui sia contestata l’esattezza dei Dati Personali (per il periodo necessario al titolare del trattamento per verificare

l’esattezza di tali dati personali), se il trattamento è illecito e/o l’interessato si è opposto al trattamento.

6. Diritto alla portabilità dei dati: diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali e di trasmettere tali dati ad altro titolare del trattamento, solo per i casi in cui il trattamento sia basato sul consenso e per i soli dati trattati tramite strumenti elettronici.
7. Diritto di proporre reclamo a un’autorità di controllo: fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il GDPR ha il diritto di proporre reclamo all’autorità di controllo dello Stato membro in cui risiede o lavora abitualmente, ovvero dello Stato in cui si è verificata la presunta violazione.

10.  Informazioni sul processo decisionale automatizzato e aggiornamenti

I tuoi Dati Personali non sono soggetti a processo decisionale automatizzato (ivi compresa la profilazione). Questa informativa potrà essere aggiornata di volta in volta. Qualsiasi aggiornamento della presente informativa diventerà effettivo al momento della sua pubblicazione sulla Piattaforma.