Informativa privacy — Piattaforma di segnalazione whistleblowing

1. Titolare del trattamento

Il titolare del trattamento è Action-ICT S.r.l., con sede in Piazza Armando Diaz, 7, 20123 Milano, Italia (P.IVA/C.F. IT03187630128).

Per domande su questa informativa o sul trattamento dei dati personali in relazione alle segnalazioni whistleblowing: .

2. Responsabile della protezione dei dati (DPO)

Per richieste privacy relative alle segnalazioni whistleblowing, contatti .

Al momento non è pubblicato un recapito dedicato del Responsabile della Protezione dei Dati (DPO). Le richieste privacy relative al canale di whistleblowing sono gestite tramite il contatto privacy indicato sopra.

3. Finalità e basi giuridiche

Trattiamo i dati personali per le seguenti finalità in relazione al canale interno di segnalazione:

• Ricezione, registrazione, valutazione, approfondimento e gestione delle segnalazioni e delle comunicazioni successive — base giuridica: adempimento di un obbligo di legge (art. 6(1)(c) GDPR; D.Lgs. 24/2023 e normativa whistleblowing applicabile).
• Rilascio di codici di accesso, messaggistica sicura, conferma di ricezione entro 7 giorni e riscontro entro 90 giorni di calendario (SLA piattaforma; massimo di legge per il riscontro: tre mesi) — base giuridica: obbligo di legge come sopra.
• Registrazione della presa visione della presente informativa e delle dichiarazioni correlate — base giuridica: obbligo di legge e, ove applicabile, legittimo interesse a documentare la conformità (art. 6(1)(c) e art. 6(1)(f) GDPR).
• Protezione del canale da abusi (ALTCHA self-hosted, proof-of-work all'invio web) — base giuridica: legittimo interesse alla sicurezza e prevenzione delle frodi (art. 6(1)(f) GDPR). Il controllo è generato e verificato sui nostri server nello SEE; nessun dato CAPTCHA è inviato a terzi.
• Invio di email transazionali (notifiche, OTP, reset password) via SMTP — base giuridica: esecuzione del processo di segnalazione e obbligo di legge.

4. Categorie di dati personali

A seconda del modo in cui si utilizza il canale, possiamo trattare:

• Dati identificativi e di contatto da Lei forniti (nome, email, telefono, ruolo, rapporto con l'organizzazione) — non obbligatori se segnala anonimamente ove consentito.
• Contenuto della segnalazione, allegati, verbali di segnalazioni orali registrati da personale autorizzato e messaggi di follow-up.
• Dati personali di soggetti menzionati nella segnalazione (ad es. presunti autori o testimoni), ove presenti nella segnalazione o nel follow-up.
• Codici di accesso del segnalante e dati tecnici di sessione necessari al follow-up sicuro.
• Record di consenso e presa visione (lingua, versione dell'informativa, timestamp; IP e user agent possono essere conservati in forma protetta per accountability e non sono mostrati agli handler nel pannello admin).
• Token tecnici ALTCHA (proof-of-work) generati e verificati su questa piattaforma all'invio di una segnalazione web (non condivisi con terzi).
• Dati degli utenti amministrativi della piattaforma (distinti dall'identità del segnalante).

5. Protezione anti-abuso (ALTCHA)

L'invio della segnalazione è protetto da ALTCHA self-hosted (proof-of-work con licenza MIT). Il widget è servito da questa applicazione. Le challenge sono create e verificate solo sui nostri server nello Spazio Economico Europeo.

ALTCHA è parte di questa piattaforma. Non è un responsabile del trattamento esterno. Nessun dato CAPTCHA è condiviso con fornitori esterni di CAPTCHA.

• Nessun cookie e nessuno storage del browser per il controllo CAPTCHA.
• Nessun tracciamento, profilazione o fingerprinting del dispositivo.
• Nessun dato personale della segnalazione è inviato a un fornitore di CAPTCHA.
• Il browser calcola la soluzione proof-of-work; questa piattaforma verifica solo il token firmato.
• Base giuridica: legittimo interesse alla sicurezza e prevenzione degli abusi (art. 6(1)(f) GDPR).

6. Destinatari e responsabili del trattamento

I dati personali sono accessibili secondo need-to-know al personale autorizzato a ricevere e gestire le segnalazioni (Compliance Office).

Utilizziamo i responsabili indicati nella tabella seguente. Il titolare garantisce idonei contratti o strumenti giuridici ex art. 28 GDPR ove richiesto.

7. Trasferimenti internazionali

L'hosting principale, il database e ALTCHA self-hosted sono destinati a rimanere nello Spazio Economico Europeo. L'infrastruttura email può trattare dati negli USA o in altri Paesi. Ove avvengano trasferimenti, si fa affidamento su garanzie appropriate quali Clausole Contrattuali Standard o meccanismi equivalenti messi a disposizione dal fornitore.

8. Conservazione

Le segnalazioni e le comunicazioni correlate sono conservate per 5 anni dalla data di chiusura del caso come Risolto, salvo periodi più lunghi imposti dalla legge o giustificati per l'accertamento, l'esercizio o la difesa di diritti in sede giudiziaria.

I record di consenso, presa visione e audit possono essere conservati per lo stesso periodo o quanto necessario a dimostrare la conformità.

Alla scadenza, i dati possono essere cancellati o anonimizzati tramite processi amministrativi di retention. La cancellazione può essere limitata ove necessario a tutelare i segnalanti o a rispettare l'art. 17(3) GDPR e la normativa whistleblowing.

9. Diritti dell'interessato

Ai sensi del GDPR Lei ha diritto di accesso, rettifica, cancellazione, limitazione, opposizione (ove applicabile) e portabilità (ove applicabile), fatte salve le limitazioni previste dalla normativa whistleblowing e dall'art. 17(3) GDPR.

Ove il trattamento si basi sul legittimo interesse, può opporsi ai sensi dell'art. 21 GDPR. Ove abbia fornito una presa visione basata sul consenso che possa essere revocata senza pregiudicare la liceità del trattamento precedente, può revocarla contattando il referente privacy indicato sotto.

Per esercitare i diritti in relazione a una segnalazione, contatti o utilizzi il canale di follow-up sicuro se conserva il codice di accesso. Il titolare potrà dover verificare la Sua identità senza compromettere la riservatezza.

Gli utenti amministrativi possono essere soggetti a procedure distinte di richiesta accesso/cancellazione gestite dal titolare.

10. Diritto di reclamo

Ha diritto di proporre reclamo all'Autorità di controllo italiana (Garante per la protezione dei dati personali): www.garanteprivacy.it — Piazza Venezia 11, 00187 Roma.

11. Riservatezza, necessità e tutela del whistleblower

L'identità del segnalante e le informazioni da cui possa desumersi sono protette ai sensi del D.Lgs. 24/2023 e della normativa applicabile. È vietata ogni forma di ritorsione verso chi segnala in buona fede.

Non è obbligato a fornire dati personali oltre quanto necessario per la gestione della segnalazione. La mancata fornitura di dati identificativi o di contatto opzionali non impedisce l'invio ove la segnalazione anonima sia consentita; può limitare la possibilità di contattarla o di fornire un follow-up personalizzato.

La segnalazione anonima può essere disponibile ove consentito dalla legge e dalla policy aziendale.

12. Processi decisionali automatizzati

Non utilizziamo processi decisionali automatizzati, inclusa la profilazione, che producano effetti giuridici o impatti significativi sugli interessati nel processo di whistleblowing.

13. Modifiche all'informativa

Possiamo aggiornare la presente informativa. L'identificativo di versione è indicato in questa pagina e al momento dell'invio della segnalazione. Le modifiche sostanziali saranno riflesse nella versione pubblicata e, ove richiesto, portate alla Sua attenzione al momento della segnalazione.

Destinatari e responsabili del trattamento (sintesi)