Kredici S.r.l.

Gestione degli adempimenti privacy

Il titolare tratta dati di fornitori che operano come responsabili del trattamento; dipendenti o collaboratori che operano come autorizzati al trattamento ed eventuali soggetti contitolari, titolari autonomi o destinatari di dati personali. Il trattamento avviene nell'ambito di un modello organizzativo privacy aziendale, al fine di adempiere agli obblighi di protezione dei dati personali (es. registrazione ed accountability, assegnazione di ruoli e responsabilità, redazione di contratti e lettere di autorizzazione etc.). Il trattamento può altresì riguardare la gestione delle richieste di esercizio dei diritti degli interessati nonché la gestione e documentazione di eventuali violazioni di dati personali. I dati vengono registrati all'interno di un software in Cloud Computing e gestiti con il supporto di un consulente privacy esterno; l'organizzazione si avvale inoltre di un Responsabile della protezione dei dati (DPO) esterno, che svolge i compiti previsti dall'art. 39 GDPR ed effettua audit periodici.

Per quali finalità e con quali basi giuridiche trattiamo i dati

Organizzazione e mantenimento del sistema aziendale di protezione dei dati personali (accountability).Base giuridica: Obbligo di legge (art. 6, lett. c, GDPR): Artt. 5.2, 24, 25, 30 e 32 Reg. UE 2016/679; art. 2-quaterdecies D.Lgs. 196/2003.
Gestione delle nomine, dei ruoli e delle responsabilità in materia privacy, compresa la designazione del Responsabile della protezione dei dati e i rapporti con il consulente privacy esterno.Base giuridica: Obbligo di legge (art. 6, lett. c, GDPR): Artt. 29, 37-39 Reg. UE 2016/679; art. 2-quaterdecies D.Lgs. 196/2003.
Gestione dei rapporti contrattuali con responsabili del trattamento e altri soggetti coinvolti nei trattamenti.Base giuridica: Obbligo di legge (art. 6, lett. c, GDPR): Artt. 26, 28 e 44-49 Reg. UE 2016/679.
Gestione delle richieste di esercizio dei diritti degli interessati.Base giuridica: Obbligo di legge (art. 6, lett. c, GDPR): Artt. 12-22 Reg. UE 2016/679; artt. 2-undecies e 2-terdecies D.Lgs. 196/2003.
Gestione e documentazione delle violazioni di dati personali.Base giuridica: Obbligo di legge (art. 6, lett. c, GDPR): Artt. 33 e 34 Reg. UE 2016/679.

Categorie di interessati

Dipendenti e collaboratori autorizzati
Fornitori nominati responsabili del trattamento
Contitolari o titolari autonomi coinvolti nei trattamenti
Interessati che esercitano i propri diritti
Responsabile della protezione dei dati e consulenti esterni

Interessati a maggior tutela: Dipendenti

Categorie di dati trattati

Dati identificativi (es. nome, cognome, ruolo aziendale)
Dati di contatto (es. email professionale, recapiti aziendali)
Dati contrattuali (es. nomine a responsabile del trattamento, lettere di autorizzazione, atto di designazione del DPO)
Dati relativi a richieste di esercizio diritti (es. contenuto richiesta, documentazione allegata)
Esiti degli audit e delle verifiche periodiche sul sistema di gestione privacy
Dati relativi alla formazione (es. frequentazione di corsi privacy, esito dei test)

Categorie di destinatari

Auditor di seconda o terza parte
Garante per la protezione dei dati personali
Guardia di Finanza
ItalCredi S.p.a.
Responsabile della Protezione dei Dati (RPD)

Responsabili del trattamento

Avv. Massimo Bacci (Consulente privacy)
Microsoft Ireland Operations Ltd. (Microsoft 365 / archiviazione documenti)
Dropbox International Unlimited Company (Cloud storage documentale (subresponsabile del consulente privacy))
Hostinger International Ltd. (Hosting VPS di Privacy Doodles (subresponsabile del consulente privacy))
Qboxmail S.r.l. (Servizio SMTP della piattaforma Privacy Doodles)
Google Ireland Ltd. (Google Drive) (Cloud storage documentale Google Drive (subresponsabile del consulente privacy))

Trasferimenti verso Paesi terzi

Alcuni dati personali sono trasferiti verso Paesi che si trovano al di fuori dello Spazio Economico Europeo (SEE). Qui sotto trovi, per ciascun trasferimento, il soggetto coinvolto, il Paese di destinazione e la garanzia che lo rende lecito:

Avv. Massimo Bacci (Consulente privacy) — Stati Uniti (garanzia: Data Privacy Framework (EU-US))
Microsoft Ireland Operations Ltd. (Microsoft 365 / archiviazione documenti) — Stati Uniti (garanzia: Data Privacy Framework (EU-US), Clausole contrattuali standard (SCC UE))
Dropbox International Unlimited Company (Cloud storage documentale (subresponsabile del consulente privacy)) — Stati Uniti (garanzia: Data Privacy Framework (EU-US), Clausole contrattuali standard (SCC UE))
Google Ireland Ltd. (Google Drive) (Cloud storage documentale Google Drive (subresponsabile del consulente privacy)) — Stati Uniti (garanzia: Data Privacy Framework (EU-US), Clausole contrattuali standard (SCC UE))

Periodo di conservazione

I dati vengono conservati per il tempo necessario a dimostrare la conformità (accountability) e gestire eventuali verifiche/contestazioni: in genere per la durata dei rapporti con i soggetti coinvolti e, successivamente, 10 anni o per un periodo congruo in funzione dei rischi e della prescrizione dei diritti, salvo obblighi specifici più lunghi (es. data breach documentati). I dati dei dipendenti vengono cancellati dai software in cloud una volta cessato il loro ruolo di autorizzati al trattamento.

Conseguenze della mancata comunicazione dei dati

La comunicazione dei dati è necessaria per adempiere agli obblighi in materia privacy e per gestire ruoli, nomine, richieste e incidenti; in mancanza non sarà possibile assicurare la conformità e gestire correttamente gli adempimenti. Quando alcune attività si basano su legittimo interesse (es. organizzazione e conservazione in cloud), l'interessato può opporsi nei limiti dell'art. 21 GDPR, salvo prevalenza di motivi legittimi o obblighi di legge.