Informativa sul trattamento dei dati nelle segnalazioni (whistleblowing)
Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 e dell'art. 13 del D.Lgs. 10 marzo 2023 n. 24, attuativo della Direttiva (UE) 2019/1937. Leggila prima di inviare una segnalazione.
Titolare e contatti
Gmed Srl, Strada di Selvamaggio, 19 - 53034 Colle di Val d'Elsa (SI) - P.IVA 01203470529.
DPO: [DA CONFERMARE] - dpo@gmed.it.
Gestore del canale di segnalazione: [DA CONFERMARE] (Organismo di Vigilanza / funzione incaricata) -
odv@gmed.it.
Quali dati trattiamo
- il contenuto della segnalazione e la documentazione allegata;
- il ruolo / qualifica nell'organizzazione del segnalante (dato sempre richiesto dal modulo, anche nelle segnalazioni anonime, perché determina l'ambito di applicazione delle tutele di legge);
- nelle segnalazioni nominative: nome, cognome, recapito telefonico e indirizzo email del segnalante;
- i dati delle persone coinvolte, dei facilitatori e degli eventuali testimoni indicati nella segnalazione;
- le dichiarazioni rese in fase di invio (dichiarazione di buona fede e presa visione delle informative), con la relativa data e ora;
- i dati tecnici minimi necessari alla sicurezza del canale.
Puoi inviare la segnalazione in forma anonima: in tal caso non raccogliamo alcun dato identificativo e il dialogo prosegue tramite il codice segnalazione che ti viene assegnato.
Nelle segnalazioni nominative i dati identificativi e di contatto sono cifrati a riposo con chiave dedicata e sono leggibili solo dal gestore del canale nel contesto di un accesso autorizzato: ogni consultazione dell'identità è registrata in un log di accesso. Tali dati non compaiono negli elenchi delle segnalazioni né nelle email di notifica.
Finalità e base giuridica
I dati sono trattati esclusivamente per ricevere, istruire e gestire la segnalazione, per le comunicazioni con il segnalante e per l'adozione delle conseguenti misure. La base giuridica è l'adempimento di un obbligo di legge (art. 6.1.c GDPR e D.Lgs. 24/2023); per eventuali categorie particolari di dati o dati giudiziari contenuti nella segnalazione, il trattamento è necessario per motivi di interesse pubblico rilevante (artt. 9.2.g e 10 GDPR, art. 13 D.Lgs. 24/2023). Il trattamento non si fonda sul tuo consenso: non puoi quindi revocarlo, ma restano fermi gli altri diritti indicati di seguito.
Chi accede alla segnalazione
Alla segnalazione accedono solo le persone espressamente autorizzate a gestire il canale (gestore delle segnalazioni / Organismo di Vigilanza e, per le segnalazioni che riguardano l'organismo stesso, l'amministratore designato), vincolate alla riservatezza e formate sul trattamento. L'accesso avviene tramite autenticazione con codice OTP inviato all'indirizzo email autorizzato. Gli allegati non sono pubblicamente accessibili e vengono scaricati solo tramite link temporanei. Non è consentito alcun accesso da parte della persona segnalata o di soggetti non autorizzati.
Riservatezza dell'identità
La tua identità e ogni informazione da cui possa desumersi, direttamente o indirettamente, sono coperte da obbligo di riservatezza e non possono essere rivelate senza il tuo consenso espresso, salvo i casi tassativi previsti dall'art. 12 del D.Lgs. 24/2023 (ad esempio nell'ambito di un procedimento penale, contabile o disciplinare, alle condizioni ivi previste). Nel procedimento disciplinare l'identità non può essere rivelata se la contestazione si fonda su accertamenti distinti e ulteriori rispetto alla segnalazione.
Garanzie anti-ritorsione
Il D.Lgs. 24/2023 vieta qualsiasi ritorsione nei confronti del segnalante, dei facilitatori, dei colleghi e dei parenti: sono nulli licenziamenti, sanzioni, demansionamenti, trasferimenti, mancate promozioni, mobbing e ogni altra misura pregiudizievole adottata a causa della segnalazione. Chi subisce ritorsioni può comunicarlo all'ANAC (www.anticorruzione.it), che può irrogare sanzioni amministrative; è prevista l'inversione dell'onere della prova a favore del segnalante e l'accesso alle misure di sostegno previste dalla legge. Le tutele si applicano anche alla segnalazione anonima successivamente identificata e alla divulgazione pubblica nei casi ammessi.
Conservazione
Le segnalazioni e la relativa documentazione sono conservate per il tempo necessario alla gestione e, comunque, non oltre 5 anni dalla comunicazione dell'esito finale della procedura (art. 14 D.Lgs. 24/2023). Alla scadenza il fascicolo viene cancellato integralmente: contenuto, allegati, messaggi, dati identificativi cifrati e relativo log di accesso all'identità; resta solo un record statistico privo di dati personali (categoria, data di apertura e di chiusura).
| Dato | Tempo di conservazione |
|---|---|
| Contenuto della segnalazione e allegati | Massimo 5 anni dalla comunicazione dell'esito finale |
| Nome, cognome, telefono ed email del segnalante (cifrati) | Stesso termine della segnalazione; cancellati insieme al fascicolo |
| Ruolo / qualifica dichiarata | Stesso termine della segnalazione |
| Dichiarazioni di buona fede e presa visione (con data e ora) | Stesso termine della segnalazione |
| Log degli accessi all'identità del segnalante | Stesso termine della segnalazione |
| Codici OTP di accesso del gestore | 10 minuti (validità), cancellati entro 24 ore |
Le segnalazioni manifestamente infondate o non rientranti nell'ambito di applicazione della norma sono archiviate con le medesime garanzie di riservatezza.
Destinatari
I dati possono essere comunicati alle autorità competenti (ANAC, autorità giudiziaria, autorità di vigilanza) quando previsto dalla legge, e sono trattati dai fornitori che ospitano la piattaforma in qualità di responsabili: Emergent Cloud Hosting (UE) per l'applicazione e il database, Amazon Web Services S3 (UE, Irlanda) per gli allegati. Non sono previsti trasferimenti verso Paesi terzi; eventuali trasferimenti avverrebbero solo sulla base di Clausole Contrattuali Standard.
Diritti dell'interessato e come esercitarli
In qualità di interessato puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 del GDPR:
- Accesso ai tuoi dati personali e alle informazioni sul trattamento;
- Rettifica dei dati inesatti o integrazione di quelli incompleti;
- Cancellazione ("diritto all'oblio") nei casi previsti dall'art. 17 GDPR;
- Limitazione del trattamento;
- Portabilità dei dati trattati sulla base del consenso o di un contratto;
- Opposizione al trattamento fondato sul legittimo interesse;
- Revoca del consenso in qualsiasi momento, senza pregiudicare la liceità dei trattamenti già effettuati;
- Reclamo al Garante per la protezione dei dati personali o ricorso all'autorità giudiziaria.
Per esercitare i tuoi diritti scrivi a dpo@gmed.it oppure utilizza il modulo di contatto dedicato al DPO. Risponderemo entro 30 giorni dalla richiesta (termine prorogabile di ulteriori 60 giorni in casi complessi, con informativa all'interessato).
Attenzione: l'esercizio dei diritti può essere limitato, ai sensi dell'art. 2-undecies del D.Lgs. 196/2003, quando possa pregiudicare la riservatezza dell'identità del segnalante o l'efficacia della procedura di accertamento.
Ultimo aggiornamento: giugno 2026.