SACBO SPA e BGY International Services srl (di seguito anche BIS), rispettivamente, rendono nel seguito la propria informativa relativa al trattamento di dati personali dei segnalanti, segnalati ed eventuali altri soggetti terzi coinvolti (nel seguito, “Interessati”), effettuato in relazione alla gestione delle segnalazioni disciplinate dalla “Whistleblowing Policy”.

NOTA BENE

Si precisa che l’informativa n. 1 (“Informativa SACBO”) si riferisce al trattamento di dati personali correlato alle segnalazioni indirizzate a SACBO Spa

L’informativa n. 2 (“Informativa BIS ”), riportata di seguito all’Informativa SACBO, si riferisce invece al trattamento di dati personali correlato alle segnalazioni indirizzate BGY International Services srl.

INFORMATIVA N. 1 AI SENSI DEGLI ARTT. 13 E 14 DEL REGOLAMENTO (UE) 2016/679 (“GDPR”) RELATIVA AL TRATTAMENTO DEI DATI PERSONALI DEI SEGNALANTI, SEGNALATI ED EVENTUALI ALTRI SOGGETTI TERZI COINVOLTI (“INTERESSATI”), EFFETTUATO DA SACBO S.P.A. IN RELAZIONE ALLA GESTIONE DELLE SEGNALAZIONI DISCIPLINATE DALLA “WHISTLEBLOWING POLICY”.

SACBO S.p.A. (di seguito, “il “Titolare”) fornisce, qui di seguito, l’informativa sui trattamenti dei dati personali dei segnalanti, segnalati ed eventuali altri soggetti terzi coinvolti (tutti “Interessati al trattamento”, in conformità alla normativa privacy vigente), effettuati dalla stessa in relazione alla gestione delle segnalazioni disciplinate dalla “Whistleblowing Policy” (di seguito, “Policy”), pubblicata nell’area dedicata alle Policies della piattaforma Whistleblowing.

Tipologie di dati trattati

Il Titolare consente di effettuare segnalazioni circostanziate di condotte illecite di natura amministrativa, contabile, civile o penale anche ai sensi del D.lgs 231/2001

Le segnalazioni possono essere nominali o anonime. Nel caso di segnalazioni nominali, su scelta del segnalante, i dati personali di quest’ultimo saranno associati alla segnalazione. Nel caso di segnalazioni anonime, i sistemi informatici aziendali non saranno in grado di identificare il segnalante dal punto di accesso al portale (indirizzo IP).

All’interno del form, messo a disposizione, il segnalante potrà indicare i propri dati personali, in caso di segnalazioni nominali (e, nello specifico, dati anagrafici e dati di contatto), nonché dati personali del segnalato e/o di eventuali soggetti terzi (di seguito i "Dati").

Inoltre, nel contesto di tale attività, potranno essere trattati anche dati particolari (ad esempio, dati relativi alla salute) e dati giudiziari (in particolare, dati relativi a ipotesi di reato) qualora gli stessi venissero direttamente forniti dal segnalante; non si tratta infatti di categorie di dati che siano richieste in maniera mandatoria al fine dell’invio della segnalazione.

Fonte dei dati personali e categorie di dati raccolti c/o terzi

Il Titolare raccoglie i dati attraverso le segnalazioni.

I Dati del segnalante eventualmente indicati sono forniti direttamente dal segnalante stesso (e quindi acquisiti dal Titolare presso l’interessato ai sensi dell’art. 13 del GDPR); i dati del segnalato e/o di terzi sono forniti dal segnalante (e quindi acquisiti dal Titolare presso terzi ai sensi dell’art. 14 del GDPR).

. Segnalanti possono essere dipendenti e/o collaboratori, amministratori, consulenti e, in generale, tutti gli stakeholder del Titolare o qualsiasi soggetto portatore di un interesse legittimo. Le segnalazioni possono essere nominali oppure anonime. Per preservare le finalità investigative, nei casi previsti dalla legge, il segnalato, ai sensi dell’art. 14, co. 5, lett. d) del GDPR, può non essere immediatamente messo a conoscenza del trattamento dei propri dati effettuato da parte del Titolare, fintanto che sussista il rischio di compromettere la possibilità di verificare efficacemente la fondatezza della denuncia o di raccogliere le prove necessarie.

Finalità del trattamento e base giuridica

I dati personali degli Interessati al trattamento sono trattati per le finalità connesse all’applicazione della sopra citata Policy, preordinata alla gestione delle segnalazioni di condotte illecite ai sensi della L. n. 179 del 2017 e del D.Lgs n.24 del 10 marzo 2023.

L’adozione di tale Policy e il conseguente trattamento di dati personali avviene, pertanto, per l’adempimento di un obbligo di legge di cui alla Direttiva UE 2019/1937 come recepita dal D.lgs 24/2023, che impone al Titolare di prevedere appositi canali per presentare segnalazioni.

Le categorie particolari di dati personali e i dati giudiziari saranno trattati per tale finalità, rispettivamente, ai sensi dell’art. 9, co. 2, lett. b) e dell’art. 10 del GDPR.

Con riguardo ad un eventuale trattamento dei dati personali successivo alla chiusura del procedimento di analisi della segnalazione, la base giuridica è rappresentata dal legittimo interesse del Titolare all’esercizio dei propri diritti in tutti i casi in cui si renda necessario (e.g., riapertura di procedimenti giudiziari, richieste di risarcimento danni correlate alla segnalazione), ai sensi dell’art. 6, co. 1, lett. f).

Modalità, logica del trattamento e tempi di conservazione

I trattamenti dei dati sono effettuati manualmente (ad esempio, su supporto cartaceo) e/o attraverso strumento automatizzato (la piattaforma Whistleblowing), con logiche correlate alle finalità sopraindicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati.

I Dati sono conservati per un periodo di 5 anni dalla chiusura di tutte le attività conseguenti all'accertamento dei fatti esposti nella segnalazione, qualora la stessa non comporti

l'instaurazione di un contenzioso o un procedimento disciplinare nei confronti del segnalato o del segnalante. In quest’ultimo caso, i dati saranno conservati per tutta la durata del contenzioso o del procedimento stragiudiziale fino allo spirare dei termini di esperibilità delle azioni di impugnazione.

Titolare, DPO, Responsabili del trattamento e Soggetti autorizzati al trattamento

Titolare del trattamento è SACBO, con sede in via Orio al Serio 49/51 Grassobbio (BG).

SACBO ha nominato un Data Protection Officer, (di seguito, “DPO”) ai sensi degli articoli 37-39 del GDPR. Il DPO di SACBO può essere contattato, mediante e-mail all’indirizzo: dpo@sacbo.it, da qualsiasi Interessato al trattamento per ogni questione relativa ai propri dati personali e/o all’esercizio dei diritti previsti ai sensi degli artt. 15 e ss. del GDPR.

Responsabile del trattamento, ai sensi dell’art. 28 del GDPR, è la società Digital PA S.r.l., con sede in Cagliari, via San Tommaso d’Acquino, 18/a, (e-mail: privacy@digitalpa.it) che gestisce la piattaforma di Whistleblowing e

SACBO, ai sensi degli articoli 28 e 29 del GDPR, fornisce al Responsabile del trattamento istruzioni operative per assicurare la riservatezza e la sicurezza del trattamento dei dati personali, garantire la conformità alla normativa applicabile e la tutela degli Interessati al trattamento.

Soggetti autorizzati al trattamento dal Titolare sono: i componenti dell’Organismo di Vigilanza e del Comitato Etico e Anticorruzione ed eventuali Referenti aziendali.

Natura del conferimento e conseguenze dell’eventuale rifiuto

Il conferimento dei dati del segnalante è obbligatorio per accedere alla piattaforma in “modalità riservata”. Un eventuale rifiuto al conferimento dei dati in questo caso rende impossibile seguire l’iter della procedura descritta nella Policy.

Il conferimento dei dati del segnalante è facoltativo per chi accede alla piattaforma in “modalità Anonima” tuttavia l’applicazione della procedura di segnalazione sarà possibile solo qualora le segnalazioni siano adeguatamente circostanziate e rese con dovizia di particolari, ove cioè siano in grado di far emergere fatti e situazioni relazionandoli a contesti determinati.

Categorie di soggetti terzi ai quali i dati potrebbero essere comunicati

Titolari autonomi a cui i dati trattati possono essere trasmessi sono: Autorità Giudiziaria, legali esterni a mandato, Società di investigazioni private.

Diritto di accesso ai dati personali ed altri diritti dell’Interessato

Gli Interessati al trattamento possono chiedere al Titolare, mediante richiesta e-mail all’indirizzo privacy@sabo.it, l’accesso ai dati che li riguardano, la loro rettifica, l’integrazione o la loro cancellazione, nonché la limitazione del trattamento o qualsiasi altro diritto di cui agli articoli da 15 a 22 del GDPR, ricorrendone i presupposti da evidenziare nella richiesta;

ciò, comunque, salvo l’esistenza di motivi legittimi prevalenti sugli interessi, diritti e libertà dell’interessato, l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria o altri obblighi di legge che il Titolare deve assolvere o diversa disposizione eventuale delle Autorità Pubbliche o dell’Autorità Giudiziaria o degli Organi di Polizia. Gli Interessati al trattamento hanno altresì diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali in caso di trattamento illegittimo od illecito dei propri dati da parte del Titolare.

Ai sensi dell’art. 2 undecies del D.lgs. n. 196/2003, come aggiornato dal D.lgs. n. 101/2018, i diritti di cui agli articoli da 15 a 22 del GDPR non possono essere esercitati qualora da ciò possa derivare un pregiudizio effettivo e concreto alla riservatezza del dipendente che segnala una condotta illecita di cui sia venuto a conoscenza in ragione del proprio ufficio. In tale ipotesi i diritti in questione possono essere esercitati per il tramite del Garante (con le modalità di cui all’art. 160 del Codice medesimo), il quale informa l’interessato di avere eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell’interessato di proporre ricorso giurisdizionale.

INFORMATIVA N.2 AI SENSI DEGLI ARTT. 13 E 14 DEL REGOLAMENTO (UE) 2016/679 (“GDPR”) RELATIVA AL TRATTAMENTO DEI DATI PERSONALI DEI SEGNALANTI, SEGNALATI ED EVENTUALI ALTRI SOGGETTI TERZI COINVOLTI (“INTERESSATI”), EFFETTUATO DA BGY INTERNATIONAL SERVICES SRL IN RELAZIONE ALLA GESTIONE DELLE SEGNALAZIONI DISCIPLINATE DALLA “WHISTLEBLOWING POLICY”.

BGY INTERNATIONAL SERVICES SRL (il “Titolare”) fornisce, qui di seguito, l’informativa sui trattamenti dei dati personali dei segnalanti, segnalati ed eventuali altri soggetti terzi coinvolti (tutti “Interessati al trattamento”, in conformità alla normativa privacy vigente), effettuati dalla stessa in relazione alla gestione delle segnalazioni disciplinate dalla “Whistleblowing Policy” (di seguito, “Policy”), pubblicata nell’area dedicata alle Policy della piattaforma Whistleblowing.

Tipologie di dati trattati

Il Titolare consente di effettuare segnalazioni circostanziate di condotte illecite di natura amministrativa, contabile, civile o penale anche ai sensi del D.lgs 231/2001

Le segnalazioni possono essere nominali o anonime. Nel caso di segnalazioni nominali, su scelta del segnalante, i dati personali di quest’ultimo saranno associati alla segnalazione. Nel caso di segnalazioni anonime, i sistemi informatici aziendali non saranno in grado di identificare il segnalante dal punto di accesso al portale (indirizzo IP).

All’interno del form, messo a disposizione, il segnalante potrà indicare i propri dati personali, in caso di segnalazioni nominali (e, nello specifico, dati anagrafici e dati di contatto), nonché dati personali del segnalato e/o di eventuali soggetti terzi (di seguito i "Dati").

Inoltre, nel contesto di tale attività, potranno essere trattati anche dati particolari (ad esempio, dati relativi alla salute) e dati giudiziari (in particolare, dati relativi a ipotesi di reato) qualora gli stessi venissero direttamente forniti dal segnalante; non si tratta infatti di

categorie di dati che siano richieste in maniera mandatoria al fine dell’invio della segnalazione.

Fonte dei dati personali e categorie di dati raccolti c/o terzi

Il Titolare raccoglie i dati attraverso le segnalazioni.

I Dati del segnalante eventualmente indicati sono forniti direttamente dal segnalante stesso (e quindi acquisiti dal Titolare presso l’interessato ai sensi dell’art. 13 del GDPR); i dati del segnalato e/o di terzi sono forniti dal segnalante (e quindi acquisiti dal Titolare presso terzi ai sensi dell’art. 14 del GDPR).

Segnalanti possono essere dipendenti e/o collaboratori, amministratori, consulenti e, in generale, tutti gli stakeholder del Titolare o qualsiasi soggetto portatore di un interesse legittimo. Le segnalazioni possono essere nominali oppure anonime. Per preservare le finalità investigative, nei casi previsti dalla legge, il segnalato, ai sensi dell’art. 14, co. 5, lett. d) del GDPR, può non essere immediatamente messo a conoscenza del trattamento dei propri dati effettuato da parte del Titolare, fintanto che sussista il rischio di compromettere la possibilità di verificare efficacemente la fondatezza della denuncia o di raccogliere le prove necessarie.

Finalità del trattamento e base giuridica

I dati personali degli Interessati al trattamento sono trattati per le finalità connesse all’applicazione della sopra citata Policy, preordinata alla gestione delle segnalazioni di condotte illecite ai sensi della L. n. 179 del 2017 e del D.Lgs n.24 del 10 marzo 2023.

L’adozione di tale Policy e il conseguente trattamento di dati personali avviene, pertanto, per l’adempimento di un obbligo di legge di cui alla Direttiva UE 2019/1937 come recepita dal D.lgs 24/2023, che impone al Titolare di prevedere appositi canali per presentare segnalazioni.

Le categorie particolari di dati personali e i dati giudiziari saranno trattati per tale finalità, rispettivamente, ai sensi dell’art. 9, co. 2, lett. b) e dell’art. 10 del GDPR.

Con riguardo ad un eventuale trattamento dei dati personali successivo alla chiusura del procedimento di analisi della segnalazione, la base giuridica è rappresentata dal legittimo interesse del Titolare all’esercizio dei propri diritti in tutti i casi in cui si renda necessario (e.g., riapertura di procedimenti giudiziari, richieste di risarcimento danni correlate alla segnalazione), ai sensi dell’art. 6, co. 1, lett. f).

Modalità, logica del trattamento e tempi di conservazione

I trattamenti dei dati sono effettuati manualmente (ad esempio, su supporto cartaceo) e/o attraverso la piattaforma Whistleblowing, con logiche correlate alle finalità sopraindicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati.

I Dati sono conservati per un periodo di 5 anni dalla chiusura di tutte le attività conseguenti all'accertamento dei fatti esposti nella segnalazione, qualora la stessa non comporti l'instaurazione di un contenzioso o un procedimento disciplinare nei confronti del segnalato o del segnalante. In quest’ultimo caso, i dati saranno conservati per tutta la durata del contenzioso o del procedimento stragiudiziale fino allo spirare dei termini di esperibilità delle azioni di impugnazione.

Titolare, DPO, Responsabili del trattamento e Soggetti autorizzati al trattamento

Titolare del trattamento è BGY INTERNATIONAL SERVICES SRL, con sede in via Orio al Serio 49/51 Grassobbio.

BGY INTERNATIONAL SERVICES ha nominato un Data Protection Officer, (di seguito, “DPO”) ai sensi degli articoli 37-39 del GDPR. Il DPO può essere contattato, mediante e-mail all’indirizzo: dpo.bis@bgyis.it, da qualsiasi Interessato al trattamento per ogni questione relativa ai propri dati personali e/o all’esercizio dei diritti previsti ai sensi degli artt. 15 e ss. del GDPR.

Responsabili del trattamento, ai sensi dell’art. 28 del GDPR, sono:

• la società SACBO Spa, con sede a Grassobbio (Bergamo), in via Orio al Serio 49/51(e-mail: privacy@sacbo.it) che gestisce le segnalazioni.
• la società Digital PA S.r.l., con sede in Cagliari, via San Tommaso d’Acquino, 18/a, (e-mail: privacy@digitalpa.it) che gestisce la piattaforma di Whistleblowing.

BGY INTERNATIONAL SERVICES fornisce al Responsabile del trattamento istruzioni operative per assicurare la riservatezza e la sicurezza del trattamento dei dati personali, garantire la conformità alla normativa applicabile e la tutela degli Interessati al trattamento. Soggetti autorizzati al trattamento dal Titolare sono: l’Organismo di Vigilanza ed eventuali altri componenti di organi o dipendenti aziendali, qualora strettamente necessario.

Natura del conferimento e conseguenze dell’eventuale rifiuto

Il conferimento dei dati del segnalante è obbligatorio per accedere alla piattaforma in “modalità riservata”. Un eventuale rifiuto al conferimento dei dati in questo caso rende impossibile seguire l’iter della procedura descritta nella Policy.

Il conferimento dei dati del segnalante è facoltativo per chi accede alla piattaforma in “modalità Anonima” tuttavia l’applicazione della procedura di segnalazione sarà possibile solo qualora le segnalazioni siano adeguatamente circostanziate e rese con dovizia di particolari, ove cioè siano in grado di far emergere fatti e situazioni relazionandoli a contesti determinati.

Categorie di soggetti terzi ai quali i dati potrebbero essere comunicati

Titolari autonomi a cui i dati trattati possono essere trasmessi sono: Autorità Giudiziaria, legali esterni a mandato, Società di investigazioni private.

Diritto di accesso ai dati personali ed altri diritti dell’Interessato

Gli Interessati al trattamento possono chiedere al Titolare, mediante richiesta e-mail all’indirizzo privacy@sacbo.it, l’accesso ai dati che li riguardano, la loro rettifica, l’integrazione o la loro cancellazione, nonché la limitazione del trattamento o qualsiasi altro diritto di cui agli articoli da 15 a 22 del GDPR, ricorrendone i presupposti da evidenziare nella richiesta; ciò, comunque, salvo l’esistenza di motivi legittimi prevalenti sugli interessi, diritti e libertà dell’interessato, l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria o altri obblighi di legge che il Titolare deve assolvere o diversa disposizione eventuale delle Autorità Pubbliche o dell’Autorità Giudiziaria o degli Organi di Polizia. Gli Interessati al trattamento hanno altresì diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali in caso di trattamento illegittimo od illecito dei propri dati da parte del Titolare. Ai sensi dell’art. 2 undecies del D.lgs. n. 196/2003, come aggiornato dal D.lgs. n. 101/2018, i diritti di cui agli articoli da 15 a 22 del GDPR non possono essere esercitati qualora da ciò possa derivare un pregiudizio effettivo e concreto alla riservatezza del dipendente che segnala una condotta illecita di cui sia venuto a conoscenza in ragione del proprio ufficio.

In tale ipotesi i diritti in questione possono essere esercitati per il tramite del Garante (con le modalità di cui all’art. 160 del Codice medesimo), il quale informa l’interessato di avere eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell’interessato di proporre ricorso giurisdizionale.