Informativa sul trattamento dei dati personali

Canale interno di segnalazione (whistleblowing)

La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito "GDPR"), del D.Lgs. 30 giugno 2003, n. 196 ("Codice Privacy") e dell'art. 13 del D.Lgs. 10 marzo 2023, n. 24, a chiunque utilizzi questo canale per effettuare una segnalazione, nonché alle persone coinvolte e a quelle comunque menzionate nella segnalazione.

Prima di trasmettere una segnalazione ti invitiamo a leggere con attenzione quanto segue.

1. Titolare del trattamento

Titolare del trattamento dei dati personali è AFAI SRL TEST — P.IVA/C.F. 000000000 — Milano (di seguito anche "l'Organizzazione"), che riceve e gestisce le segnalazioni attraverso il proprio canale interno ai sensi dell'art. 4 e dell'art. 13, c. 4, D.Lgs. 24/2023, nel rispetto dei principi di cui agli artt. 5 e 25 GDPR.

Per ogni questione relativa al presente trattamento, anche per l'esercizio dei diritti, puoi rivolgerti al gestore del canale di segnalazione: tecnico@afai.it.

Ove l'Organizzazione abbia designato un Responsabile della protezione dei dati (RPD/DPO) ai sensi degli artt. 37-39 GDPR, è possibile contattarlo ai seguenti recapiti: test@test.it.

2. Finalità del trattamento

I dati personali sono trattati per le seguenti finalità:

• gestione della segnalazione: ricezione, istruttoria, verifica della fondatezza e trattazione della segnalazione, comprese le interlocuzioni con la persona segnalante e la richiesta di eventuali integrazioni (art. 5, c. 1, lett. a-d, D.Lgs. 24/2023);
• riscontro alla persona segnalante e comunicazione dell'esito finale del procedimento;
• adozione delle misure di tutela della persona segnalante e degli altri soggetti protetti, ivi compresa la protezione contro le ritorsioni (artt. 16-17 D.Lgs. 24/2023);
• adempimento degli obblighi di legge connessi alla gestione del canale, alla riservatezza e alla conservazione della documentazione (artt. 12-14 D.Lgs. 24/2023);
• difesa di un diritto in sede giudiziaria, disciplinare o stragiudiziale, nei limiti e con le garanzie di riservatezza previsti dall'art. 12 D.Lgs. 24/2023.

I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente (art. 13, c. 2, D.Lgs. 24/2023).

3. Base giuridica

Il trattamento si fonda sulle seguenti basi giuridiche:

• l'adempimento di un obbligo legale al quale è soggetto il Titolare (art. 6, par. 1, lett. c, GDPR), costituito dalla disciplina del D.Lgs. 24/2023 in attuazione della Direttiva (UE) 2019/1937;
• l'esecuzione di un compito di interesse pubblico connesso all'esercizio di pubblici poteri, ove applicabile (art. 6, par. 1, lett. e, GDPR).

Qualora la segnalazione contenga categorie particolari di dati personali (art. 9 GDPR) o dati relativi a condanne penali e reati (art. 10 GDPR), il trattamento è consentito in quanto necessario per motivi di interesse pubblico rilevante e per l'accertamento di un diritto in sede giudiziaria, sulla base del D.Lgs. 24/2023 e dell'art. 2-sexies Codice Privacy. Si raccomanda di non inserire dati eccedenti o non pertinenti rispetto all'oggetto della segnalazione.

4. Dati trattati

In funzione della scelta di chi segnala, possono essere trattati:

• i dati identificativi e di contatto della persona segnalante, se questa decide di identificarsi;
• il contenuto della segnalazione e la relativa documentazione, compresi gli eventuali allegati;
• i dati delle persone coinvolte (cioè delle persone fisiche o giuridiche menzionate come responsabili della violazione) e di ogni altra persona comunque menzionata, ivi compresi colleghi, facilitatori e terzi (artt. 3 e 12, c. 7, D.Lgs. 24/2023).

Il canale consente la segnalazione anonima: in tal caso non sono richiesti dati identificativi e la piattaforma non raccoglie informazioni idonee a risalire all'identità di chi segnala. L'anonimato è ulteriormente tutelato dalle misure tecniche descritte al successivo punto 7.

5. Destinatari e soggetti autorizzati

L'accesso al contenuto della segnalazione e all'identità della persona segnalante è riservato esclusivamente al personale specificamente formato e autorizzato alla gestione del canale (art. 4, c. 2, D.Lgs. 24/2023), individuato e istruito dal Titolare ai sensi degli artt. 29 e 32, par. 4, GDPR e dell'art. 2-quaterdecies Codice Privacy.

L'identità della persona segnalante e ogni informazione da cui essa possa desumersi, direttamente o indirettamente, non possono essere rivelate senza il suo consenso espresso a soggetti diversi da quelli competenti a ricevere o dare seguito alle segnalazioni (art. 12, c. 2, D.Lgs. 24/2023). Gli stessi obblighi di riservatezza si applicano a tutela delle persone coinvolte e menzionate (art. 12, c. 7, D.Lgs. 24/2023).

I dati possono essere comunicati, nei soli casi e nei limiti previsti dalla legge:

• all'Autorità Giudiziaria e alla Corte dei conti, con le garanzie di segretezza di cui all'art. 12, cc. 3 e 4, D.Lgs. 24/2023;
• all'ANAC, nei casi di sua competenza;
• nell'ambito del procedimento disciplinare, alle sole condizioni di cui all'art. 12, c. 5, D.Lgs. 24/2023.

La segnalazione è sottratta al diritto di accesso di cui agli artt. 22 e ss. della L. 241/1990 e all'accesso civico di cui agli artt. 5 e ss. del D.Lgs. 33/2013 (art. 12, c. 8, D.Lgs. 24/2023).

Il fornitore della piattaforma tecnologica che eroga il servizio di canale opera in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito contratto e di documentate istruzioni del Titolare. Grazie all'architettura di sicurezza descritta al punto 7, il fornitore non ha accesso al contenuto in chiaro delle segnalazioni.

I dati non sono trasferiti verso Paesi terzi né soggetti a processi decisionali automatizzati che producano effetti giuridici sull'interessato.

6. Periodo di conservazione

Le segnalazioni e la relativa documentazione sono conservate per il tempo necessario alla loro trattazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura, nel rispetto degli obblighi di riservatezza di cui all'art. 12 e del principio di limitazione della conservazione di cui all'art. 5, par. 1, lett. e, GDPR (art. 14, c. 1, D.Lgs. 24/2023).

Decorso tale termine, i dati sono cancellati o resi anonimi in via definitiva, salvo che la loro ulteriore conservazione sia richiesta per la difesa di un diritto in sede giudiziaria o per l'adempimento di un obbligo di legge.

7. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi del trattamento, sulla base di una valutazione d'impatto sulla protezione dei dati (DPIA), ai sensi degli artt. 13, c. 6, D.Lgs. 24/2023 e 32 e 35 GDPR. In particolare:

• cifratura end-to-end: il contenuto della segnalazione e gli eventuali allegati sono cifrati direttamente nel tuo browser, prima dell'invio, e restano cifrati durante la trasmissione e l'archiviazione (crittografia in transito e a riposo), in conformità all'art. 4, c. 1, D.Lgs. 24/2023, che impone il ricorso a strumenti di crittografia;
• architettura zero-knowledge: i dati sono protetti con cifratura asimmetrica (curva X25519) e cifratura simmetrica autenticata (XChaCha20-Poly1305). Le chiavi private dei gestori non lasciano mai i loro dispositivi in chiaro: né l'infrastruttura del fornitore né altri soggetti non autorizzati possono leggere il contenuto delle segnalazioni;
• codice di ricevuta: al termine dell'invio ti viene mostrato, una sola volta, un codice segreto che ti consente di consultare lo stato della segnalazione e di dialogare in forma riservata con il gestore. Il codice non è memorizzato in chiaro dalla piattaforma e, se smarrito, non è recuperabile: conservalo con cura;
• nessun tracciamento dell'identità: la piattaforma non registra l'indirizzo IP, non utilizza cookie di profilazione né strumenti di tracciamento o di analisi del comportamento idonei a identificare la persona segnalante. Non sono raccolti metadati che consentano di risalire alla tua identità;
• controllo degli accessi: l'accesso degli operatori avviene senza password (collegamento di accesso monouso via e-mail) con secondo fattore TOTP obbligatorio, ed è limitato alle sole persone autorizzate.

Queste misure operano in aggiunta agli obblighi di riservatezza imposti dalla legge e li rafforzano sul piano tecnico.

8. Diritti dell'interessato e relativi limiti

In qualità di interessato puoi esercitare i diritti di accesso, rettifica, cancellazione, limitazione e opposizione, nonché alla portabilità, di cui agli artt. 15-22 GDPR.

Tali diritti possono tuttavia essere esercitati nei limiti di quanto previsto dall'art. 13, c. 3, D.Lgs. 24/2023 e dall'art. 2-undecies del Codice Privacy (D.Lgs. 196/2003). Ciò significa che, quando dal loro esercizio possa derivare un pregiudizio effettivo e concreto alla riservatezza dell'identità della persona segnalante o alla efficace gestione e tutela della segnalazione, il Titolare può ritardare, limitare o escludere il riscontro per il tempo e nella misura strettamente necessari, dandone motivata comunicazione all'interessato (salvo che ciò possa a sua volta compromettere la finalità di tutela).

In tali casi i diritti possono comunque essere esercitati per il tramite del Garante per la protezione dei dati personali, con le modalità di cui all'art. 160 Codice Privacy.

9. Reclamo al Garante

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) qualora ritieni che il trattamento dei tuoi dati avvenga in violazione del GDPR (art. 77 GDPR).

10. Conferimento dei dati

Il conferimento dei dati identificativi è facoltativo: il canale consente di segnalare anche in forma anonima. Tuttavia, l'assenza dei dati di contatto può limitare la possibilità per il gestore di richiedere integrazioni, fornire riscontro e comunicare l'esito della procedura. Il conferimento del contenuto della segnalazione è necessario affinché questa possa essere presa in carico e trattata.

11. Informazione alle persone coinvolte e menzionate (art. 14 GDPR)

Quando i dati personali non sono raccolti presso l'interessato ma desunti dalla segnalazione, le persone coinvolte (cioè quelle indicate come responsabili della violazione) e le persone comunque menzionate ricevono l'informazione di cui all'art. 14 GDPR a cura del Titolare, di norma entro un mese dalla registrazione dei dati o, comunque, all'atto del primo contatto utile nell'ambito dell'istruttoria.

Tale informazione è resa fermo restando il divieto di rivelare, direttamente o indirettamente, l'identità della persona segnalante e ogni elemento da cui essa possa desumersi (art. 12, c. 7, D.Lgs. 24/2023). Per questa ragione, ai sensi dell'art. 14, par. 5, GDPR e dell'art. 2-undecies del Codice Privacy, la comunicazione alle persone coinvolte e menzionate può essere differita, limitata o esclusa per il tempo e nella misura strettamente necessari a non pregiudicare l'efficace istruttoria della segnalazione e la riservatezza dell'identità del segnalante, dei facilitatori e degli altri soggetti protetti.

Le persone coinvolte e menzionate possono esercitare i diritti di cui al punto 8, negli stessi limiti ivi indicati. In nessun caso, attraverso l'esercizio di tali diritti, può essere ottenuta la rivelazione dell'identità della persona segnalante.

---

Ultimo aggiornamento: 3 giugno 2026. Riferimenti normativi: D.Lgs. 10 marzo 2023, n. 24; Regolamento (UE) 2016/679 (GDPR); D.Lgs. 30 giugno 2003, n. 196; Linee Guida ANAC n. 1/2025 (Delibera n. 478 del 26 novembre 2025).