VAM Investments Group S.p.a.

Gestione degli adempimenti privacy

Il titolare tratta dati di fornitori che operano come responsabili del trattamento; dipendenti o collaboratori che operano come autorizzati al trattamento ed eventuali soggetti contitolari, titolari autonomi o destinatari di dati personali. Il trattamento avviene nell'ambito di un modello organizzativo privacy aziendale, al fine di adempiere agli obblighi di protezione dei dati personali (es. registrazione ed accountability, assegnazione di ruoli e responsabilità, redazione di contratti e lettere di autorizzazione etc.). Il trattamento può altresì riguardare la gestione delle richieste di esercizio dei diritti degli interessati nonché la gestione e documentazione di eventuali violazioni di dati personali. I dati vengono registrati all'interno di un software in Cloud Computing e gestiti con l'aiuto di un consulente esterno.

Finalità del trattamento

Organizzazione e mantenimento del sistema aziendale di protezione dei dati personali (accountability).
Gestione delle nomine, dei ruoli e delle responsabilità in materia privacy.
Gestione dei rapporti contrattuali con responsabili del trattamento e altri soggetti coinvolti nei trattamenti.
Gestione delle richieste di esercizio dei diritti degli interessati.
Gestione e documentazione delle violazioni di dati personali.

Basi giuridiche

Art. 6/c GDPR - Obbligo di legge

Le finalità 1, 2, 3, 4 e 5 si fondano sull'adempimento degli obblighi previsti dal Regolamento (UE) 2016/679, in particolare artt. 24, 28, 30, 33, 34 e 37-39 GDPR, ai sensi dell'art. 6, par. 1, lett. c).

Categorie di interessati

Dipendenti e collaboratori autorizzati
Fornitori nominati responsabili del trattamento
Contitolari o titolari autonomi coinvolti nei trattamenti
Interessati che esercitano i propri diritti
Soggetti coinvolti in eventuali data breach

Interessati a maggior tutela: Dipendenti

Categorie di dati trattati

Dati identificativi (es. nome, cognome, ruolo aziendale)
Dati di contatto (es. email professionale, recapiti aziendali)
Dati contrattuali (es. nomine a responsabile del trattamento, lettere di autorizzazione)
Dati relativi a richieste di esercizio diritti (es. contenuto richiesta, documentazione allegata)
Dati coinvolti in violazioni di dati personali

Categorie di destinatari

Autorità di controllo
Clienti (possono essergli comunicati dati dei fornitori responsabili del trattamento)

Responsabili del trattamento

Avv. Massimo Bacci (Consulenza privacy)
Hostinger International Ltd (Web hosting / cloud hosting)
Microsoft Ireland Ltd. (Servizi software)

Trasferimenti verso Paesi terzi

L'utilizzo dei servizi di Microsoft 365, in particolare la posta elettronica di Microsoft Exchange, può comportare il trasferimento di dati verso gli USA.

Data Privacy Framework (EU-US)

Microsoft ha ottenuto la certificazione DPF UE-US, oggetto di decisione di adeguatezza della Commissione Europea.

Periodo di conservazione

I dati vengono conservati per il tempo necessario a dimostrare la conformità (accountability) e gestire eventuali verifiche/contestazioni: in genere per la durata dei rapporti con i soggetti coinvolti e, successivamente, 10 anni o per un periodo congruo in funzione dei rischi e della prescrizione dei diritti, salvo obblighi specifici più lunghi (es. data breach documentati). I dati dei dipendenti vengono cancellati dai software in cloud una volta cessato il loro ruolo di autorizzati al trattamento.

Conseguenze della mancata comunicazione dei dati

Il conferimento dei dati è necessario per adempiere agli obblighi in materia privacy e per gestire ruoli, nomine, richieste e incidenti; in mancanza non sarà possibile assicurare la conformità e gestire correttamente gli adempimenti. Quando alcune attività si basano su legittimo interesse (es. organizzazione e conservazione in cloud), l'interessato può opporsi nei limiti dell'art. 21 GDPR, salvo prevalenza di motivi legittimi o obblighi di legge.