Policy, procedure e allegati operativi per I.G.C. S.R.L. Impresa Sociale

1. Finalità del sistema privacy

1. Il presente sistema definisce regole, ruoli, procedure e allegati operativi per il trattamento dei dati personali da parte di I.G.C. s.r.l. impresa sociale, in conformità al Regolamento UE 2016/679, al Codice Privacy italiano e ai provvedimenti e orientamenti del Garante e dell'EDPB.

2. Il documento ha funzione di presidio di accountability: consente di dimostrare che I.G.C. s.r.l. impresa sociale conosce i trattamenti effettuati, li governa, applica misure proporzionate e aggiorna la documentazione in base ai rischi.

3. Il sistema integra Codice Etico, Modello 231, Sistema Whistleblowing, Regolamento di coinvolgimento, statuto, contratti, informative e liberatorie.

 

2. Ruoli privacy

1. I.G.C. s.r.l. impresa sociale opera di regola come titolare del trattamento quando determina finalità e mezzi del trattamento di dati relativi a soci, utenti, coristi, artisti, affiliati, partecipanti, fornitori, partner, newsletter, eventi, immagini e attività istituzionali.

2. Fornitori che trattano dati per conto di I.G.C. s.r.l. impresa sociale, quali consulente contabile, piattaforme email, cloud, software gestionali, piattaforme whistleblowing, fotografi/videomaker incaricati, service IT o consulenti, devono essere nominati responsabili del trattamento ai sensi dell'art. 28 GDPR, quando ne ricorrono i presupposti.

3. Quando I.G.C. s.r.l. impresa sociale e un partner determinano insieme finalità e mezzi, occorre valutare la contitolarità e disciplinare in modo trasparente le rispettive responsabilità.

4. La nomina del DPO/RPD non appare automaticamente obbligatoria sulla base dell'assetto attuale; deve essere rivalutata se I.G.C. s.r.l. impresa sociale effettua monitoraggio sistematico su larga scala, trattamenti su larga scala di categorie particolari o attività che rendano opportuna la nomina.

 

3. Principi applicabili

1. Ogni trattamento deve rispettare liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione.

2. I.G.C. s.r.l. impresa sociale raccoglie solo dati necessari rispetto alle finalità dichiarate, evita dati eccedenti, aggiorna dati inesatti e conserva le informazioni per tempi proporzionati.

3. Le informative devono essere chiare, accessibili, separate dalle liberatorie quando necessario e fornite prima della raccolta dei dati.

 

4. Basi giuridiche principali

1. Contratto o misure precontrattuali: iscrizioni a corsi, eventi, affiliazioni, rapporti con artisti, coristi, fornitori, partner e utenti.

2. Obbligo legale: contabilità, fiscalità, adempimenti societari, bilancio sociale, sicurezza, obblighi verso autorità.

3. Legittimo interesse: gestione organizzativa, tutela legale, sicurezza IT, prevenzione frodi, comunicazioni istituzionali non promozionali, gestione eventi e prove, salvo prevalenza dei diritti degli interessati.

4. Consenso: newsletter promozionali, marketing, pubblicazione non necessaria di immagini/video, uso promozionale di contenuti, dati particolari quando non sussiste altra base giuridica.

5. Categorie particolari di dati: eventuali dati su salute, disabilità, esigenze specifiche, appartenenze o condizioni di fragilità richiedono base giuridica rafforzata, minimizzazione e misure adeguate.

 

5. Trattamenti specifici attivita’ artistiche

1. Eventi, corsi, concerti, masterclass e workshop: I.G.C. s.r.l. impresa sociale tratta dati identificativi, contatti, presenze, pagamenti, eventuali preferenze organizzative e dati necessari alla sicurezza e alla gestione dell'attività.

2. Coristi, artisti, docenti e affiliati: possono essere trattati dati professionali, biografici, immagini, voce, performance, contratti, compensi, licenze e liberatorie.

3. Attività musicali: l'uso di immagini, audio, video e performance deve essere disciplinato con informative e liberatorie adeguate, distinte dai profili di diritto d'autore e diritto all'immagine.

4. Minori e soggetti vulnerabili: sono richieste informative comprensibili, autorizzazioni di chi esercita la responsabilità genitoriale, minimizzazione dei dati e particolare cautela nella pubblicazione online di immagini o video.

5. Whistleblowing: le segnalazioni sono gestite con canali riservati, accessi limitati, conservazione separata e rispetto del D.lgs. 24/2023.

 

6. Informative e consensi

1. Le informative devono indicare titolare, contatti, finalità, basi giuridiche, categorie dati, destinatari, trasferimenti extra UE, tempi di conservazione, diritti, reclamo al Garante e natura obbligatoria o facoltativa del conferimento.

2. Il consenso deve essere libero, specifico, informato, inequivocabile, documentabile e revocabile. Non devono essere usate formule generiche o consensi cumulativi per finalità diverse.

3. Per newsletter e comunicazioni promozionali è necessario consenso specifico, salvo ipotesi di soft spam/soft opt-in valutata caso per caso. Ogni comunicazione deve permettere opposizione o disiscrizione semplice.

4. Per foto, video e audio occorre distinguere riprese meramente documentali dell'evento, riprese promozionali, pubblicazione online, uso editoriale, uso commerciale e trattamento di minori.

 

7. Diritti degli interessati

1. I.G.C. s.r.l. impresa sociale garantisce accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e diritto di non essere sottoposto a decisioni automatizzate, nei casi previsti dal GDPR.

2. Le richieste sono gestite entro un mese dalla ricezione, prorogabile fino a tre mesi nei casi complessi, informando l'interessato.

3. Il riscontro deve essere chiaro, gratuito salvo richieste manifestamente infondate o eccessive, e documentato nel registro interno delle richieste.

 

8. Sicurezza, accessi e fornitori

1. I.G.C. s.r.l. impresa sociale adotta misure tecniche e organizzative proporzionate: password robuste, accessi nominativi, backup, archivi separati, limitazione dei privilegi, cifratura ove opportuno, aggiornamenti software, formazione e riservatezza.

2. I fornitori che trattano dati devono offrire garanzie adeguate e sottoscrivere accordi privacy; prima dell'uso di piattaforme cloud, newsletter, ticketing, moduli online o archivi foto/video occorre verificare localizzazione dati, sub-responsabili e trasferimenti extra UE.

3. I dati non devono essere condivisi via canali non sicuri quando contengono informazioni riservate, dati di minori, segnalazioni o categorie particolari.

 

9. Data breach

1. Ogni violazione di sicurezza che comporti accidentalmente o illecitamente distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali deve essere segnalata subito all'organo amministrativo o al referente privacy.

2. I.G.C. s.r.l. impresa sociale valuta il rischio per i diritti e le libertà degli interessati e, se necessario, notifica il Garante entro 72 ore dalla conoscenza della violazione.

3. Se il rischio è elevato, I.G.C. s.r.l. impresa sociale comunica la violazione anche agli interessati senza ingiustificato ritardo.

4. Ogni data breach, anche non notificato, e' documentato in un registro interno.

 

10. Trasferimenti extra UE

1. Prima di usare fornitori o piattaforme che trasferiscono dati fuori dallo Spazio Economico Europeo, I.G.C. s.r.l. impresa sociale verifica la base di trasferimento: decisione di adeguatezza, clausole contrattuali standard, misure supplementari o altra garanzia prevista dal GDPR.

2. Particolare attenzione è richiesta per piattaforme email marketing, cloud, social network, strumenti video, archivi multimediali e servizi di ticketing o form online.

 

11. Impresa sociale, bilancio sociale e stakeholder

1. La qualifica di impresa sociale non riduce le tutele privacy: anche finalità sociali, culturali e solidaristiche devono essere perseguite con minimizzazione, trasparenza e sicurezza.

2. Nel bilancio sociale e nelle comunicazioni istituzionali I.G.C. s.r.l. impresa sociale deve preferire dati aggregati o anonimizzati. L'uso di nomi, immagini, storie personali, dati di fragilità o beneficiari richiede base giuridica adeguata e valutazione del rischio.

3. Nel coinvolgimento di utenti e stakeholder devono essere raccolti solo i dati necessari alla consultazione, evitando profilazioni non dichiarate o raccolte eccedenti.

 

12. Aggiornamento e responsabilità

1. L'Amministratore Unico assicura l'attuazione del sistema privacy, con supporto di consulenti e responsabili esterni ove necessario.

2. Il sistema è riesaminato almeno annualmente e comunque in caso di nuove attività, lavoratori o volontari, nuove piattaforme, trattamenti di minori, data breach, segnalazioni, eventi complessi o modifiche normative.

3. Ogni aggiornamento deve essere datato, documentato e comunicato ai soggetti interessati.

 

I dati, facoltativamente inviati tramite posta elettronica o form, sono inseriti nelle banche dati C.S.E.N. Comitato Provinciale di Piacenza nel rispetto del D.L. 196/03 sulla tutela dei dati personali, esclusivamente per gli adempimenti contabili, fiscali, amministrativi e commerciali. I dati sono trattati, con mezzi automatizzati e non, da C.S.E.N. Comitato Provinciale di Piacenza, titolare del trattamento, e da altri soggetti di cui C.S.E.N. Comitato provinciale di Piacenza si avvale per il conseguimento delle finalità descritte. Essi non sono soggetti ad alcuna diffusione. Titolare del trattamento è: C.S.E.N. Comitato Provinciale di Piacenza Viale Dante Alighieri, 32 - 29122 Piacenza (PC) - www.csenpiacenza.it al quale rivolgersi per richiedere in qualunque momento l'aggiornamento o la cancellazione dei dati, secondo quanto previsto dal Decreto Legislativo.