MONGODI S.R.L.

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

Whistleblowing

Artt. 13 del Regolamento (UE) 2016/679 – GDPR

Mongodi S.r.l. (di seguito, il “Titolare”) – nel rispetto di quanto previsto dal Regolamento (UE) 2016/679 (“GDPR”) – intende fornirLe specifiche informazioni sul trattamento dei dati personali necessari con riferimento alle segnalazioni trasmesse tramite la piattaforma TrueSpeak (di seguito, la “Piattaforma”) o tramite altri canali di segnalazione messi a disposizione dal Titolare.

1. IDENTITÀ E DATI DI CONTATTO DEL TITOLARE

Titolare del trattamento è Mongodi S.r.l., P.IVA 04291340166, con sede legale in Via Mascherpinga, 1, Adrara San Martino (BG) – 24060. Per esercitare i diritti di cui al punto 9 o per qualsiasi informazione relativa al trattamento, è possibile contattare il Titolare al seguente indirizzo e-mail: [email protected]

2. INTERESSATI DEL TRATTAMENTO

La Piattaforma è resa disponibile per le seguenti categorie di interessati (“persona fisica identificata o identificabile”):

- lavoratori subordinati, con qualsivoglia tipologia di contratto;

- lavoratori autonomi;

- collaboratori, liberi professionisti e consulenti;

- volontari e tirocinanti, anche non retribuiti;

- azionisti (persone fisiche);

- persone con funzioni, anche di fatto, di amministrazione, direzione, controllo, vigilanza o rappresentanza;

(singolarmente l’“Interessato”, collettivamente gli “Interessati”).

Nei casi in cui la segnalazione è avanzata da un soggetto con rapporto di lavoro o collaborazione con la Società, la presente dovrà intendersi integrativa dell’informativa resa all’Interessato per la gestione del rapporto.

3. DATI OGGETTO DI TRATTAMENTO

I dati raccolti e trattati comprendono:

- dati anagrafici e i dati di contatto del segnalante qualora decida di comunicarli, dati relativi al rapporto di lavoro, la funzione svolta, ovvero gli elementi caratterizzanti la segnalazione (“Dati Comuni”);

- dati appartenenti a categorie particolari, vale a dire i dati idonei a rivelare, tra l’altro, l’origine razziale ed etnica, i dati relativi allo stato di salute e alla vita sessuale (“Dati Particolari”) solamente qualora Lei decidesse liberamente di fornirli quali elementi caratterizzanti della segnalazione;

- dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR (es. dati su procedimenti penali o reati eventualmente menzionati nelle segnalazioni o nei relativi atti allegati).

I Dati riportati nei precedenti punti verranno, di seguito, congiuntamente definiti “Dati Personali”.

I Dati Personali potrebbero altresì riguardare il segnalato, il facilitatore, persone del medesimo contesto lavorativo e colleghi di lavoro del segnalante.

I Dati Personali sono da Lei direttamente forniti tramite la compilazione degli appositi campi e/o ricavabili dalla segnalazione (sia essa scritta o orale) oppure, in seguito, nel caso in cui decidesse di inserire ulteriori elementi per circostanziare la segnalazione tramite il sistema di messaggistica (chat) del Portale che permette di instaurare un colloquio virtuale con l’organo deputato alla gestione della segnalazione.

4. FINALITÀ DEL TRATTAMENTO E BASE GIURIDICA

Ai sensi della normativa in materia di protezione dei dati personali, il trattamento deve essere fondato su un idoneo presupposto giuridico ai sensi degli artt. 6, 9 e 10 del GDPR. Di seguito sono indicate le finalità perseguite dal Titolare e le relative basi giuridiche:

- gestione del procedimento di Whistleblowing: i dati personali saranno trattati per assicurare la completa e corretta gestione del procedimento di Whistleblowing, comprese le attività istruttorie necessarie alla verifica dei fatti oggetto di segnalazione e l’adozione dei provvedimenti conseguenti, ivi incluse le comunicazioni alle autorità competenti ove previste dal D.lgs. 24/2023.

Base giuridica del trattamento: adempimento di un obbligo legale ai sensi dell’art. 6, par. 1, lett. c) GDPR, derivante dal D.lgs. 10 marzo 2023, n. 24 (attuativo della Direttiva UE 2019/1937) e, ove applicabile, dal D.lgs. 8 giugno 2001, n. 231. Per i dati appartenenti a categorie particolari eventualmente contenuti nella segnalazione (art. 9 GDPR), la base giuridica è altresì l’art. 9, par. 2, lett. b) e g) del GDPR. Per i dati relativi a condanne penali e reati (art. 10 GDPR), il trattamento è effettuato ai sensi dell’art. 10 GDPR, in combinato disposto con l’art. 2-octies del D.lgs. 196/2003 e il D.lgs. 24/2023;

- difesa in giudizio dei diritti del Titolare: laddove ne ricorra la necessità, i dati personali potranno essere trattati per accertare, esercitare o difendere in giudizio un diritto del Titolare, ovvero comunicati alle autorità giudiziarie o preposte all’applicazione della legge.

Base giuridica del trattamento: legittimo interesse del Titolare ai sensi dell’art. 6, par. 1, lett. f) GDPR, proporzionato all’obiettivo perseguito e nel rispetto dei diritti e delle libertà fondamentali degli interessati. Per i dati appartenenti a categorie particolari eventualmente contenuti nella segnalazione (art. 9 GDPR), la base giuridica è altresì l’art. 9, par. 2, lett. f) del GDPR. Per i dati relativi a condanne penali e reati (art. 10 GDPR), il trattamento è effettuato ai sensi dell’art. 10 GDPR, in combinato disposto con l’art. 2 octies del D.lgs. 196/2003 e il D.lgs. 24/2023.

- utilizzo della segnalazione ai fini di difesa nell’ambito di un procedimento disciplinare: I Dati Personali potranno essere rivelati a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, nell’ambito di un procedimento disciplinare ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. I Dati Personali potranno essere comunicatiqualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante sia indispensabile per la difesa dell’incolpato.

Base giuridica del trattamento: consenso specifico dell’interessato (segnalante) ai sensi dell’art. 6, par. 1, lett. a) e dell’art. 9, par. 2, lett. a) GDPR, da manifestarsi prima dell’avvio del procedimento. In assenza di consenso, la segnalazione non potrà essere utilizzata ai fini disciplinari, salvo ricorrano le condizioni di cui all’art. 12, co. 5, del D.lgs. 24/2023. Per i dati relativi a condanne penali e reati (art. 10 GDPR), il trattamento è effettuato ai sensi dell’art. 10 GDPR, in combinato disposto con l’art. 2-octies del D.lgs. 196/2003 e il D.lgs. 24/2023.

5. PERIODO DI CONSERVAZIONE

I dati personali raccolti nell’ambito della gestione delle segnalazioni sono conservati per un periodo non superiore a cinque anni dalla data della comunicazione dell’esito finale della procedura di segnalazione, in conformità a quanto previsto dall’art. 14 del D.lgs. 24/2023. La Piattaforma esegue la cancellazione automatica e sicura delle segnalazioni e dei relativi dati allo scadere del termine. È fatta salva la conservazione per un periodo superiore ove necessario in relazione a richieste della pubblica autorità o per l’esercizio del diritto di difesa del Titolare.

6. CATEGORIE DI DESTINATARI DEI DATI PERSONALI

I dati personali potranno essere comunicati alle seguenti categorie di soggetti:

- Gestore delle segnalazioni, che opera in qualità di soggetto autorizzato al trattamento ai sensi dell’art. 29 del GDPR;

- il fornitore della Piattaforma TrueSpeak – True Solutions S.r.l., con sede in Foro Buonaparte 59, 20121 Milano (MI) – nominato Responsabile del trattamento ai sensi dell’art. 28 del GDPR;

- il fornitore di infrastruttura cloud Amazon Web Services (AWS), con datacenter a Milano, utilizzato quale sub-responsabile per hosting e archiviazione sicura delle segnalazioni;

- personale interno del Titolare, nei soli casi in cui ciò si renda strettamente necessario ai fini della verifica della fondatezza della segnalazione;

- autorità giudiziarie o amministrative, ove richiesto dalla legge o nell’ambito di procedimenti giudiziari.

In linea con il principio di riservatezza del segnalante di cui al D.lgs. 24/2023, la condivisione dei dati personali sarà limitata allo stretto necessario. I dati personali non saranno in alcun modo oggetto di diffusione.

7. TRASFERIMENTO DATI IN PAESI EXTRA-UE

I trattamenti connessi alle segnalazioni hanno luogo in Italia. La Piattaforma è ospitata su infrastruttura AWS (Amazon Web Services) presso il datacenter di Milano, all’interno dell’Unione Europea. I dati personali non sono trasferiti in Paesi non appartenenti all’Unione Europea. Il sistema di crittografia end-to-end adottato impedisce l’accesso ai dati da parte di soggetti terzi non autorizzati, inclusi enti governativi extra-UE, in conformità al GDPR.

8. DIRITTI DELL’INTERESSATO Ai sensi degli artt. 15-22 del GDPR, l’Interessato potrà esercitare i seguenti diritti:

a. accesso: possibilità di ottenere dal Titolare la conferma che sia o meno in corso un trattamento di Dati Personali e, in tal caso, di ottenere l’accesso ai dati stessi;

b. rettifica: correggere/ottenere la correzione dei Dati Personali se errati o obsoleti e di completarli, se incompleti;

c. cancellazione/oblio: ottenere la cancellazione dei Dati Personali forniti, ad eccezione dei casi in cui il Titolare abbia motivi legittimi o legali per conservarli;

d. limitazione: i dati saranno conservati dal Titolare, ma non saranno né trattati, né ulteriormente elaborati, nei casi previsti dalla normativa;

e. portabilità: possibilità di ottenere copia dei propri dati per trasferirli ad altro Titolare, per i soli dati forniti dall’interessato e nei casi in cui il trattamento sia basato sul consenso ed effettuato con mezzi automatizzati;

f. opposizione: possibilità di opporsi al trattamento dei propri dati, fatto salvo il diritto del Titolare di dimostrare l’esistenza di motivi legittimi per procedere comunque;

g. revoca del consenso in qualsiasi momento, qualora il trattamento si basi sul consenso, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca.

h. proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), nonché ricorrere all’autorità giudiziaria ai sensi dell’art. 79 GDPR. Si avverte che l’esercizio dei summenzionati diritti soggiace ad alcune limitazioni previste dalla normativa applicabile a tutela dell’interesse pubblico e per assicurare la riservatezza dell’identità del segnalante. In particolare, ai sensi dell’art. 2-undecies del D.lgs. 196/2003, l’esercizio dei diritti da parte della persona segnalata o di soggetti terzi coinvolti può essere differito o limitato per il tempo strettamente necessario a proteggere l’identità del segnalante.

Per esercitare i propri diritti, o per qualsiasi informazione sul trattamento, è possibile contattare il Titolare all’indirizzo e-mail indicato al punto 1. Le daremo riscontro, di regola, entro 30 giorni dalla ricezione della richiesta.

Sarnico, 29-07-2026

Mongodi S.r.l.