Source: http://docplayer.it/8017276-Ve-s-t-a-srl-policy-aziendale-in-materia-di-protezione-dei-dati-personali.html
Timestamp: 2018-03-19 03:51:22+00:00

Document:
Ve.S.T.A. SRL: policy aziendale in materia di protezione dei dati personali - PDF
Download "Ve.S.T.A. SRL: policy aziendale in materia di protezione dei dati personali"
1 Ve.S.T.A. SRL: policy aziendale in materia di protezione dei dati personali 1. Finalità del documento Il presente documento descrive la politica, l organizzazione e le procedure interne della società Ve.S.T.A. srl (o anche VeSTA) adottate affinché la stessa, i suoi dipendenti e/o i suoi collaboratori si adoperino in modo da garantire che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato, con particolare riferimento alla riservatezza, all identità personale e al diritto alla protezione dei dati personali, in conformità a quanto previsto dal D.Lgs del 30 giugno 2003, n 196 e ss.mm.ii.. 2. Riferimenti normativi D.Lgs del 30 giugno 2003, n 196 Codice in materia di protezione dei dati personali, e ss.mm.ii. e le ss.mm.ii. (indicati complessivamente anche come Decreto ), come indicate nella tabella di frontespizio del testo dello stesso, depositato in forma cartacea e consultabile presso l ufficio amministrativo della società sito ad Ancona, via Tiraboschi 36/G. 3. Definizioni Valgono le definizioni di cui all Art. 4 del Decreto. In particolare: a) "trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; b) "dato personale", qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; c) "dati identificativi", i dati personali che permettono l'identificazione diretta dell'interessato; d) "dati sensibili", i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; e) "dati giudiziari", i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale; f) "titolare", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le CS: i.v. CF e P.IVA: pag. 1 di 12
2 decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; g) "responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali; h) "incaricati", le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; i) "interessato", la persona fisica cui si riferiscono i dati personali; j) "misure minime", il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell'articolo 31 del Decreto; k) "strumenti elettronici", gli elaboratori, i programmi per elaboratori e qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento; l) "autenticazione informatica", l'insieme degli strumenti elettronici e delle procedure per la verifica anche indiretta dell'identità; m) "credenziali di autenticazione", i dati ed i dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l'autenticazione informatica; n) "parola chiave", componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica; o) "profilo di autorizzazione", l'insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti; p) "sistema di autorizzazione", l'insieme degli strumenti e delle procedure che abilitano l'accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente; q) g-bis) "violazione di dati personali": violazione della sicurezza che comporta anche accidentalmente la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione accessibile al pubblico. 4. Politica aziendale in materia di protezione dei dati personali VeSTA riconosce il diritto di chiunque alla protezione dei dati personali che lo riguardano. Per tale ragione, adotta una struttura organizzativa dedicata che definisce i compiti e le responsabilità per il trattamento dei dati personali nelle modalità corrette e conformi alle leggi vigenti. Per lo svolgimento delle sue attività economiche e professionali, VeSTA ha necessità di operare con l eventuale trattamento di dati personali e di dati identificativi relativi ai suoi dipendenti, e/o collaboratori, e/o clienti effettivi e potenziali, e/o fornitori, e/o partner, mentre non ha necessità e vieta la raccolta ed il trattamento di dati sensibili e/o giudiziari e/o di altra natura. CS: i.v. CF e P.IVA: pag. 2 di 12
3 In ottemperanza agli obblighi di legge, VeSTA tramite il Disciplinare Tecnico garantisce che le modalità del trattamento dei dati avvengano secondo il principio di liceità e secondo correttezza: i dati vengono pertanto raccolti e registrati per scopi determinati, espliciti e legittimi, in modo esatto, per le sole informazioni pertinenti e non eccedenti rispetto alle finalità economiche e professionali della società. La conservazione dei dati consente l identificazione dell interessato per un periodo non superiore a quello necessario agli scopi. VeSTA riconosce a ciascun soggetto interessato il diritto ad avere, nelle modalità consentite dalle legge e quindi in forma orale o al più con visione mediante strumenti elettronici, l indicazione delle finalità e delle modalità del trattamento, della logica applicata dagli strumenti elettronici di trattamento dei dati, e degli estremi aziendali del titolare e dei responsabili del trattamento. VeSTA riconosce ed informa a riguardo ciascun soggetto interessato circa il diritto ad ottenere la cancellazione o trasformazione in forma anonima dei dati e/o di opporsi al trattamento dei dati per l invio di materiale pubblicitario o di vendita diretta o di comunicazione commerciale. VeSTA si obbliga ad informare preventivamente l interessato, oralmente o per iscritto, circa le finalità e le modalità del trattamento dei dati, la natura obbligatoria o facoltativa del conferimento dei dati, le conseguenze di eventuale rifiuto di conferimento, i soggetti e/o i responsabili e/o incaricati ai quali i dati possono essere comunicati, i diritti dell interessato, gli estremi aziendali del titolare e dei responsabili del trattamento. VeSTA raccoglie il consenso al trattamento dei dati personali da parte dell interessato, liberamente espresso in forma scritta e specificatamente in riferimento ad un trattamento chiaramente individuato. VeSTA, come previsto dal Decreto all Art. 24, non richiede il consenso dell interessato nei seguenti casi: a) quando il trattamento è necessario per adempiere ad un obbligo previsto dalla legge; b) quando il trattamento è necessario per eseguire gli obblighi derivanti da un contratto del quale l interessato è parte o per adempiere, prima della conclusione di un contratto, a specifiche richieste dell interessato; c) quando i dati provengono da pubblici registri, elenchi, atti o documenti conoscibili da chiunque; d) quando i dati sono relativi allo svolgimento di attività economiche e vengono trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale. Nei casi sopra descritti per i quali non sussiste l obbligo alla manifestazione del consenso dell interessato circa il trattamento dei dati personali, con particolare riferimento all invio di comunicazioni commerciali e allo svolgimento di attività di marketing diretto, VeSTA si impegna di volta in volta a manifestare all interessato e rendergli meglio conoscibile l eventuale dichiarazione di non volere ricevere determinate comunicazioni, ai sensi dell Art. 140 del Decreto. VeSTA adotta le Linee guida in materia di attività promozionale e contrasto allo spam pubblicate dal Garante in data 4 luglio 2013, con particolare riferimento agli obblighi circa l informativa chiara e completa e il consenso preventivo per le finalità di marketing, e afferma e accetta il mancato esonero del consenso per le comunicazioni di cui all art. 130, commi 1 e 2 del Decreto per le cause indicate all art. 24 dello stesso. CS: i.v. CF e P.IVA: pag. 3 di 12
4 VeSTA adotta le Linee guida del Garante per posta elettronica e internet pubblicate sulla GU del 10 marzo 2007, con particolare riferimento alle prescrizioni del Garante ai datori di lavoro circa l onere di prefigurare e pubblicizzare una policy interna rispetto al corretto uso dei mezzi e agli eventuali controlli dei mezzi di lavoro aziendali dati in uso ai dipendenti e collaboratori. Inoltre, VeSTA adotta e rispetta quanto previsto dal Decreto agli Artt. 114 e 115 circa il controllo a distanza, il telelavoro ed il lavoro domiciliare, per le attività e le prestazioni svolte dai suoi dipendenti e/o collaboratori. VeSTA, con sede legale a Ornago (MB), Italia, in via Burago n 6 e sedi operative a Ancona, via Tiraboschi 36/G e Bellusco (MB), via per Ornago n 24, è il titolare del trattamento dei dati personali e identifica quali responsabili e/o incaricati del trattamento i soggetti indicati nell Allegato A al presente documento. VeSTA dispone degli strumenti elettronici necessari alla custodia e al controllo dei dati personali oggetto di trattamento, che consentono l adozione di misure preventive di sicurezza e di minimizzazione dei rischi di distruzione e/o perdita e/o di accesso non autorizzato o per fini non autorizzati. Per tale ragione il trattamento dei dati con strumenti elettronici viene effettuato mediante una procedura ed un sistema di autorizzazione codificato con tecniche di cifratura e di codici identificativi, che consente il trattamento dei dati in modo periodicamente aggiornato e protetto da accessi non consentiti, e custodito con copie di sicurezza periodicamente prodotte. VeSTA ricorda ai suoi dipendenti e/o collaboratori diretti che il mancato rispetto delle normativa vigente, della politica aziendale e del Disciplinare tecnico di cui al paragrafo 6 che segue, espone il titolare del trattamento ed i responsabili a sanzioni amministrative e illeciti penali, come previsti nei seguenti Articoli del Decreto: a) Art. 161, violazioni inerenti l Art. 13 (informativa): sanzioni amministrative da 6 a 36 k ; b) Art. 162, comma 2-bis, violazioni inerenti l Art. 33 (misure minime di sicurezza) e l art. 167 (trattamento illecito per mancata espressione del consenso da parte dell interessato) del Decreto: sanzioni amministrative da 10 a 120 k ; c) Art. 167, violazioni inerenti l Art. 23 (espressione libera del consenso scritto dell interessato): illecito penale punito con la reclusione da 6 a 24 mesi; d) Art. 169, violazioni inerenti l Art. 33 ((misure minime di sicurezza): illecito penale punito con l arresto sino a 2 anni. 5. Elenco dei trattamenti dei dati personali Nessun elenco di dati personali trattato da VeSTA è soggetto a comunicazione o diffusione a terzi, ad esclusione dei dipendenti e dei collaboratori diretti di VeSTA che sono informati circa gli obblighi alla riservatezza e ad attenersi alle procedure aziendali di accesso e modalità di trattamento dei dati; nessun elenco di dati viene trattato per finalità diverse dalle seguenti: a) adempimento di un obbligo previsto dalla legge; b) adempimento di obblighi derivanti dall esecuzione di un contratto o di un incarico; c) richiesta di specifiche informazioni tecniche o commerciali da parte di un soggetto interessato; d) svolgimento di attività economiche (emissione fatture, pagamenti, etc); CS: i.v. CF e P.IVA: pag. 4 di 12
5 e) invio di comunicazioni, anche commerciali/promozionali/di marketing, di potenziale interesse per le attività svolte dall interessato; f) comunicazioni tecniche finalizzate allo svolgimento delle attività professionali; g) identificazione elettronica di potenziali clienti tramite cookies o form di raccolta dati per i quali sia richiesto il consenso. La seguente tabella elenca le tipologie di trattamento dei dati. # Tipo di insieme di dati Folder Strumento elettronico Finalità trattamento (I) Dati personali di dipendenti o collaboratori Server aziendale; Raccoglitore Contratti Collaboratori File XLS; scansioni PDF e originali cartacei (a); (b); (f) (II) e/o di dipendenti/collaboratori di persone giuridiche Server aziendale; Sistema Gestionale; Raccoglitori: Contratti Collaboratori; Contratti Clienti; Contratti fornitori. File XLS; DB e Report del sist. gestionale; scansioni PDF e originali cartacei (a); (b); (c); (d); (f) (III) e/o di dipendenti/collaboratori di persone giuridiche Server aziendale; Sistema Gestionale File XLS; DB e Report del sist. gestionale; (c); (e) (IV) e/o di dipendenti/collaboratori di persone giuridiche Server aziendale; Sistema Gestionale File XLS; DB e Report del sist. gestionale; (g) 6. Disciplinare tecnico in materia di misure minime di sicurezza e policy interna In coerenza con la politica aziendale in materia di protezione dei dati personali e in ottemperanza a quanto previsto nel Decreto, agli Artt. da 33 a 36 e nell Allegato B allo stesso, VeSTA adotta per sé, per i suoi dipendenti ed i suoi collaboratori diretti, che ne sono tenuti al rispetto, il seguente Disciplinare tecnico in materia di misure minime di sicurezza e policy interna per il trattamento dei dati personali. 6.1 Sistema interno di autorizzazione Per ragioni operative legate alle diverse finalità di cui al paragrafo 5 che precede, lettere da (a) a (g), i dipendenti e/o i collaboratori tecnici, commerciali ed amministrativi di VeSTA hanno necessità di accedere ai medesimi elenchi (o DataBase o DB) di dati personali con trattamento diverso. Per tale ragione, non è necessario individuare profili di autorizzazione in ambiti diversi, ma sussiste un'unica classe omogenea di incaricati autorizzati all accesso ai vari DB per effettuare le operazioni di trattamento. Pertanto, non risulta necessario utilizzare un sistema di autorizzazione. 6.2 Sistema di autenticazione informatica per l uso di strumenti di lavoro personali Si intendono con strumenti di lavoro personali : aziendale, cartella personale su server, uso autorizzato di hardware aziendale per l accesso alla rete interna. Prima assegnazione CS: i.v. CF e P.IVA: pag. 5 di 12
6 Il Responsabile: registra il dipendente o collaboratore nell elenco (file XLS) degli incaricati/interessati; direttamente o tramite ausilio tecnico, attiva un utenza da assegnare all incaricato/interessato; assegna il codice per l identificazione (o user) e la parola chiave (password) iniziali; consegna all incaricato/interessato i riferimenti di user e password. L incaricato/interessato: accede all utenza e provvede a modificare la password; inserisce in una busta un foglio con indicato user e nuova password; chiude la busta e vi scrive sull esterno nome, cognome e user; sigla la busta e la consegna al Responsabile. Il Responsabile: archivia la busta nel faldone dedicato, sezione Utenti e credenziali, collocato in un archivio sottochiave. Successive assegnazioni, da effettuarsi il 31/3-30/6-30/9-31/12 di ogni anno o nel primo giorno lavorativo utile successivo (procedura valida anche in caso di rinnovo per dimenticanza delle credenziali) Il Responsabile: richiede oralmente o a mezzo a ciascun incaricato/interessato di modificare la password delle proprie utenze. L incaricato/interessato: accede all utenza e provvede a modificare la password; inserisce in una busta un foglio con indicato user e nuova password; chiude la busta e vi scrive sull esterno nome, cognome e user; sigla la busta e la consegna al Responsabile. Il Responsabile: archivia la busta nel faldone Utenti e credenziali, posto in un archivio sottochiave. E fatto divieto a ciascun dipendente o collaboratore diretto di comunicare ad altri le proprie credenziali. La password iniziale o quelle successive devono essere composta da almeno otto (8) caratteri alfanumerici e non devono contenere riferimenti agevolmente riconducibili al singolo dipendente o collaboratore diretto. E fatto divieto, sia in fase di assegnazione iniziale che di modifiche successive, di utilizzare password in precedenza utilizzate per altri o per lo stesso dipendente o collaboratore. Il mancato accesso all utenza assegnata per un periodo superiore a mesi sei (6) comporta la facoltà della società di procede con la sua disattivazione. E fatto obbligo a dipendenti o collaboratori, in caso di temporaneo abbandono di una postazione di accesso ad una o più utenze e qualora vi fosse attiva almeno un utenza, di disattivare le utenze attive fino al ritorno alla postazione. Ad esclusione della sola casella di posta elettronica assegnata, in caso di prolungata assenza o impedimento del dipendente o del collaboratore che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e/o di sicurezza del sistema, previa informazione al diretto interessato, il titolare del trattamento ha facoltà di accedere e rendere disponibili i dati e/o gli strumenti elettronici assegnati allo stesso. Quanto sopra vale anche in caso di cessata collaborazione con la società Sistema di autenticazione informatica per l accesso agli strumenti elettronici finalizzati al trattamento dei dati personali CS: i.v. CF e P.IVA: pag. 6 di 12
7 Si intendono con strumenti elettronici finalizzati al trattamento dei dati personali : server aziendale e sue cartelle e sottocartelle, hardware aziendale, sistema gestionale aziendale. Prima assegnazione Il Responsabile: registra il dipendente o collaboratore nell elenco (file XLS) degli incaricati/interessati; direttamente o tramite ausilio tecnico, attiva un utenza da assegnare all incaricato/interessato; assegna il codice per l identificazione (o user) e la parola chiave (password) iniziali; consegna all incaricato/interessato i riferimenti di user e password. L incaricato/interessato: accede all utenza e provvede a modificare la password; inserisce in una busta un foglio con indicato user e nuova password; chiude la busta e vi scrive sull esterno nome, cognome e user; sigla la busta e la consegna al Responsabile. Il Responsabile: archivia la busta nel faldone Utenti e credenziali, posto in un archivio sottochiave. Successive assegnazioni, da effettuarsi il 31/3-30/6-30/9-31/12 di ogni anno o nel primo giorno lavorativo utile successivo (procedura valida anche in caso di rinnovo per dimenticanza delle credenziali) Il Responsabile: richiede oralmente o a mezzo a ciascun incaricato/interessato di modificare la password delle proprie utenze. L incaricato/interessato: accede all utenza e provvede a modificare la password; inserisce in una busta un foglio con indicato user e nuova password; chiude la busta e vi scrive sull esterno nome, cognome e user; sigla la busta e la consegna al Responsabile. Il Responsabile: archivia la busta nel faldone Utenti e credenziali, posto in un archivio sottochiave. E fatto divieto a ciascun incaricato di comunicare ad altri le proprie credenziali. La password iniziale o quelle successive devono essere composta da almeno otto (8) caratteri alfanumerici e non devono contenere riferimenti agevolmente riconducibili al singolo dipendente o collaboratore diretto. E fatto divieto, sia in fase di assegnazione iniziale che di modifiche successive, di utilizzare password in precedenza utilizzate per altri o per lo stesso incaricato. Il mancato accesso all utenza assegnata per un periodo superiore a mesi sei (6) comporta la facoltà della società di procede con la sua disattivazione. E fatto obbligo agli incaricati, in caso di temporaneo abbandono di una postazione di accesso ad una o più utenze e qualora vi fosse attiva almeno un utenza, di disattivare le utenze attive fino al ritorno alla postazione. In caso di prolungata assenza o impedimento di un incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e/o di sicurezza del sistema, previa informazione al diretto interessato, il titolare del trattamento ha facoltà di accedere e rendere disponibili i dati e/o gli strumenti elettronici assegnati allo stesso. Quanto sopra vale anche in caso di cessata collaborazione dell incaricato con la società. CS: i.v. CF e P.IVA: pag. 7 di 12
8 6.4 Altre misure di sicurezza Con cadenza annuale e nel periodo intercorrente tra il 15/12 ed il 31/12 di ogni anno, il titolare ed il responsabile aggiornano o confermano la Tabella della distribuzione dei compiti e delle responsabilità di cui all Allegato A al presente documento e, qualora lo ritengano opportuno o in caso di necessario adeguamento a novella normativa, il presente documento. La società e l incaricato preposto, nel periodo delle due settimane in cui siano mediani i giorni 30/06 e 31/12, o laddove si renda di volta in volta necessario per scadenze contrattuali di licenze e/o eventi che evidenziano rischi, aggiornano l hardware ed i software aziendali che consentono il controllo degli accessi esterni al server ed alla rete aziendali e a prevenirne la vulnerabilità. L incaricato preposto ha il compito di effettuare le operazioni di back-up e salvataggio dei dati, personali e non, ogni settimana. 6.5 Trattamenti senza l ausilio di strumenti elettronici Il solo Responsabile ha la responsabilità di archiviare in appositi faldoni, ciascuno adibito a scopo/ambito diverso, tutta la documentazione cartacea inerente anche solo in parte il trattamento di dati personali, la cui gestione avvenga senza il supporto di strumenti elettronici. Detti faldoni sono controllati e custoditi in un armadio sottochiave, le cui chiavi siano nelle disponibilità del solo responsabile e del titolare. 6.6 Modalità di raccolta, gestione e archiviazione del consenso espresso dall interessato Il consenso dell interessato viene espresso, a seconda della finalità del trattamento e dello strumento adottato per la raccolta dei dati, con le modalità elencate nella seguente tabella # Tipo di insieme di dati Finalità trattamento Modalità di espressione scritta del consenso al trattamento dei dati (i) (a) Cartacea o scansione elettronica di documenti (con o senza firma digitale) (ii) (b) Cartacea o scansione elettronica di documenti (con o senza firma digitale) (iii) (c) A mezzo o tramite automatica generata a seguito di compilazione di form sul sito web con autorizzazione al trattamento (iv) (d) Cartacea o scansione elettronica di documenti (con o senza firma digitale) all origine del rapporto economico (v) (e) Se cliente acquisito, una delle modalità precedenti; se prospect, il consenso è non richiesta in quanto i dati dell interessato sono stati estratti da un elenco pubblico e leggibile da tutti (vi) (f) Cartacea o scansione elettronica di documenti (con o senza firma digitale) all origine del rapporto economico CS: i.v. CF e P.IVA: pag. 8 di 12
9 (vii) (g) A mezzo o tramite automatica generata a seguito di compilazione di form sul sito web con autorizzazione al trattamento rapporto economico; autorizzazione automatica all uso di cookies tramite navigazione del sito web Le modalità di archiviazione del consenso sono descritte nella seguente tabella: # Modalità di espressione scritta del consenso al trattamento dei dati Modalità di archiviazione (i) Cartacea o scansione elettronica di documenti (con o senza firma digitale) Inserimento inviata nel Faldone fisico dedicato della copia cartacea o della stampa della copia elettronica e della con cui è stata inviata (ii) Cartacea o scansione elettronica di documenti (con o senza firma digitale) Inserimento inviata nel Faldone fisico dedicato della copia cartacea o della stampa della copia elettronica e della con cui è stata inviata (iii) A mezzo o tramite automatica generata a seguito di compilazione di form sul sito web con autorizzazione al trattamento Inserimento inviata nel Faldone fisico dedicato della stampa della di notificazione (iv) Cartacea o scansione elettronica di documenti (con o senza firma digitale) all origine del rapporto economico Inserimento inviata nel Faldone fisico dedicato della copia cartacea o della stampa della copia elettronica e della con cui è stata inviata (v) Se cliente acquisito, una delle modalità precedenti; se prospect, il consenso è non richiesta in quanto i dati dell interessato sono stati estratti da un elenco pubblico e leggibile da tutti Inserimento inviata nel Faldone fisico dedicato di: copia cartacea o stampa della copia elettronica e della con cui è stata; stampa della di notificazione (vi) Cartacea o scansione elettronica di documenti (con o senza firma digitale) all origine del rapporto economico Inserimento inviata nel Faldone fisico dedicato della copia cartacea o della stampa della copia elettronica e della con cui è stata inviata (vii) A mezzo o tramite automatica generata a seguito di compilazione di form sul sito web con autorizzazione al trattamento rapporto economico; autorizzazione automatica all uso di cookies tramite navigazione del sito web Inserimento inviata nel Faldone fisico dedicato della stampa della di notificazione I Faldoni elencati nella precedente tabella sono sotto la responsabilità e di esclusiva gestione del Responsabile e tenuti sottochiave; le chiavi sono nelle disponibilità del titolare e del responsabile. 6.6 Eventuali obblighi e gestione della raccolta del consenso per il sito web ed i cookies VeSTA utilizza per le sue attività due siti web: e per i quali fa ricorso alle statistiche aggregate fornite e messe a disposizione dai tool di Google, che è terza parte fornitrice. E possibile accedere alla policy di Google sul trattamento dei dati tramite il seguente link: https://www.google.it/intl/it/policies/privacy/?fg=1. I cookies utilizzati sono di tipo analytics e di funzionalità, quindi di tipo tecnico e non finalizzati alla profilazione dell utente. I dati forniti dalla terza parte non consentono l identificazione dell utente. CS: i.v. CF e P.IVA: pag. 9 di 12
10 Ai sensi degli Artt. 13 e 122 del Decreto, del Provvedimento del Garante per la protezione dei dati personali n dell 8 maggio 2014 intitolato Individuazione delle modalità semplificate per l informativa e l acquisizione del consenso per l uso dei cookie e del chiarimento dello stesso datato 5 giugno 2015 intitolato Chiarimenti in merito all attuazione della normativa in materia di cookie, VeSTA: (a) rende disponibile ai navigatori dei propri siti web, su ogni pagina del sito, un link per l accesso alle informazioni circa la policy aziendale all informativa estesa, che contiene tutti gli elementi di cui all Art. 13 del Decreto e descrive le caratteristiche e le finalità dei cookies installati dal sito; (b) inserisce nell informativa il link alle informative e ai moduli di consenso della terza parte con i quali sussistono accordi di installazione di cookies; (c) inserisce nell informativa le istruzioni generali che consentono all utente di manifestare le proprie opzioni in merito all uso dei cookies tramite le impostazioni del broswser; (d) fornisce indicazioni sull informativa estesa circa la possibilità di scegliere quali specifici cookies autorizzare, o quelli per cui negare il consenso, e che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento comporta la prestazione del consenso; (e) non è soggetta all obbligo di richiesta del consenso e di pubblicazione del banner sulla homepage con l informativa semplificata; (f) non è soggetta all obbligo di notificazione del trattamento dei dati personali al Garante competente. 6.7 Policy e disciplina interna VeSTA, nel rispetto dell art. 4, comma 2 dello Statuto dei lavoratori e del Decreto, esclude la possibilità di controllo informatico di dipendenti e/o collaboratori a loro insaputa. VeSTA richiede ai dipendenti e/o ai collaboratori il rispetto delle seguenti linee guida: (a) navigazione in internet: è ammesso l uso personale di hardware e software aziendale per l eventuale navigazione, il download e/o upload di file per i quali sia lecito o consentito l uso e la diffusione dalla legge vigente, nei limiti delle pause di lavoro e comunque per non più di 15 minuti giornalieri di operatività diretta, al di fuori delle pause di lavoro; la società ha facoltà, in via preventiva, di limitare gli accessi ai soli siti web correlati e/o coerenti con le attività operative e/ di configurare filtri che prevengano operazioni incoerenti con l attività lavorativa; (b) servizi di posta elettronica aziendale o di rete: non è ammesso l uso della casella di posta elettronica aziendale o per l invio o il ricevimento di comunicazioni/allegati ad uso personale; la firma e le dichiarazioni inerenti la privacy relative alla casella di posta elettronica aziendale vengono stabilite dalla società; si invita all uso preferenziale della casella aziendale che può essere condivisa con altri collaboratori della società, per l invio di comunicazioni a soggetti esterni all azienda; è ammesso l uso personale di software e della rete aziendale per navigare sui portali/siti web di accesso alla casella di posta personale; si raccomanda per tali circostanze di non memorizzare le credenziali private di accesso alla casella di posta elettronica personale e di limitare per quanto possibile il tempo dedicato alla gestione della CS: i.v. CF e P.IVA: pag. 10 di 12
11 stessa alle sole pause di lavoro, o al di fuori di queste per non più di 15 minuti per giornata, nel normale orario lavorativo; (c) informazioni memorizzate temporaneamente: la società registra ed elimina con frequenza settimanale i file di log; (d) uso oltre la tolleranza consentita: in caso di mancato rispetto di quanto descritto e prescritto al presente paragrafo, rilevato nelle modalità consentite per oltre tre circostanze, la società si riserva di inviare una comunicazione formale di richiamo al dipendente/collaboratore; in caso di persistente comportamento non conforme, la società si riserva di utilizzare tutti gli strumenti consentiti dalla normativa vigente per ripristinare la collaborazione negli ambiti di reciproca correttezza e rispetto; (e) uso illecito: è vietato ogni uso illecito degli strumenti aziendali descritti nel presente paragrafo; la società denuncia ogni abuso o comportamento illecito alle autorità competenti; (f) continuità operativa in caso di assenza prolungata: in caso di assenza programmata e/o prolungata del dipendente o collaboratore, salvo impossibilità, lo stesso ha l obbligo di preconfigurare un messaggio automatico di risposta della posta elettronica ove indichi il periodo di assenza ed i riferimenti ( e/o telefono) della/e persona/e da contattare per dare continuità alle attività operative; in caso di assenza non programmata/bile o malattia e improrogabile necessità, è data facoltà alla società, limitatamente al necessario per la continuità delle attività operative, di accedere alla casella di posta elettronica aziendale tramite o in presenza del responsabile e/o dell incaricato individuato precedentemente dall azienda; (g) pagamenti a carico personale effettuati con mezzi di pagamento o fatturazione aziendali: è fatto divieto di uso dei mezzi di pagamento o fatturazione aziendali per effettuare pagamenti personali, anche se a carico del dipendente o collaboratore; (h) prescrizioni interne sulla sicurezza dei dati e dei sistemi: vale quanto disciplinato nel presente documento; (i) (j) controlli diretti ed indiretti: la società, in ottemperanza alle norme vigenti, non effettua controlli diretti o indiretti a distanza dei lavoratori o collaboratori; non procede con la lettura o la registrazione sistematica di telefonate o messaggi inviati via aziendale; non memorizza sistematicamente le pagine web visualizzate dai lavoratori o collaboratori con finalità di controllo; non utilizza sistemi di lettura/registrazione dei caratteri della tastiera; non effettua la lettura occulta di computer portatili o telefoni mobili e non, affidati in uso; dati sensibili: la società non effettua la raccolta di dati diversi da quelli personali, per le finalità sopra indicate. Data di ultimo aggiornamento: 27 agosto Ancona, li 27 agosto 2015 Per presa visione ed integrale accettazione CS: i.v. CF e P.IVA: pag. 11 di 12
12 Allegato A Tabella della distribuzione dei compiti e delle responsabilità La seguente tabella elenca i referenti individuati quali responsabili ed incaricati. Ruolo Responsabilità Nome e Cognome Responsabile Come da attività descritte ai paragrafi precedenti; accesso alle caselle di posta personali; accesso e trattamento dei dati personali relativi agli elenchi di cui alla tabella del paragrafo 5, n (I), (II), (III) e (IV) Francesca Perticarini Incaricato Accesso alle caselle di posta personali; accesso e trattamento dei dati personali relativi agli elenchi di cui alla tabella del paragrafo 5, n (I), (II), (III) e (IV) Lorenzo Baffi; Daniele Colombelli; Remo Diani; Simone Fedeli; Francesca Ottavio; Luigi Sesana; Paolo Marchini. Incaricato preposto agli aggiornamenti HW e SW Aggiornamento di hardware e software aziendali che consentono il controllo degli accessi esterni al server ed alla rete aziendali e a prevenirne la vulnerabilità Lorenzo Baffi; Luigi Sesana. Data di ultimo aggiornamento: 27 agosto Ancona, li 27 agosto 2015 Per presa visione ed integrale accettazione CS: i.v. CF e P.IVA: pag. 12 di 12

References: Art. 4
 Art. 24
 Art. 140
 art. 130
 art. 24
 Art. 161
 Art. 13
 Art. 162
 Art. 33
 art. 167
 Art. 167
 Art. 23
 Art. 169
 Art. 33
 Art. 13
 art. 4