Ai sensi del vigente Regolamento (UE) 2016/679 (GDPR), la Fondazione Istituto Tecnico Superiore del Turismo e dell’Ospitalità IATH (“nel seguito IATH Academy” o “la Fondazione“), con sede legale in via Regina n. 5 – 22012 Cernobbio (Como) (tel: 031341873; e-mail: info@iath.it) in qualità di Titolare del trattamento dei dati personali, informa gli interessati che i dati personali acquisiti saranno trattati nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza, secondo quanto previsto dal Regolamento UE 2016/679 (GDPR).

La presente Informativa descrive, in termini generali, le finalità e le modalità dei trattamenti eseguiti da IATH Academy.

1. FINALITÀ DEL TRATTAMENTO DEI DATI PERSONALI E BASE GIURIDICA

Il trattamento dei dati personali degli interessati, in relazione alla natura del loro rapporto intercorrente con la Fondazione è effettuato per il perseguimento delle finalità connesse alla gestione del rapporto stesso e, in particolare:

• allo svolgimento delle specifiche mansioni, degli incarichi e dei ruoli affidati ai dipendenti, collaboratori e agli altri soggetti che operano all’interno di IATH Academy
• alla gestione dei rapporti con i partecipanti ai percorsi di formazione di IATH Academy
• alla gestione dei servizi forniti attraverso il sito web “www.iath.it”, incluso l’invio di newsletters e la gestione delle donazioni
• all’adempimento degli obblighi previsti dalla legge, dai regolamenti e dalla normativa europea applicabile;
• all’adempimento degli obblighi fiscali, contabili ed erariali;
• all’adempimento degli obblighi nei confronti della Pubblica Amministrazione;
• alla gestione dei rapporti contrattuali e precontrattuali con fornitori, consulenti, collaboratori e altri soggetti che intrattengono rapporti con la Fondazione;
• alla gestione delle procedure di affidamento di contratti pubblici e agli adempimenti connessi;
• alla prevenzione, individuazione e gestione di eventuali situazioni di conflitto di interessi nell’ambito delle procedure di affidamento, anche attraverso l’acquisizione di dati personali non direttamente forniti dall’interessato, nei limiti previsti dalla normativa applicabile.

La base giuridica del trattamento è individuata, in relazione alla specifica finalità perseguita, nell’art. 6 del GDPR e può consistere, in particolare:

• nell’adempimento di un obbligo legale al quale è soggetto il Titolare del trattamento, ai sensi dell’art. 6, par. 1, lett. c) del GDPR;
• nell’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. e) del GDPR, ove applicabile in relazione alla natura e alle funzioni della Fondazione;
• nell’esecuzione di un contratto o di misure precontrattuali adottate su richiesta dell’interessato, ai sensi dell’art. 6, par. 1, lett. b) del GDPR;
• Nel perseguimento del legittimo interesse del Titolare del trattamento di IATH Academy ai sensi dell’art. 6, par. 1, lett. f) del GDPR, nel caso di fornitura di servizi attraverso il sito web;
• Nell’acquisizione del consenso dell’interessato, ai sensi dell’art. 6, par. 1, lett. a) del GDPR, esclusivamente nei casi in cui tale base giuridica sia effettivamente richiesta o appropriata per la specifica attività di trattamento.

Con particolare riferimento alle procedure di affidamento di contratti pubblici, il trattamento dei dati personali può essere effettuato per adempiere agli obblighi previsti dalla normativa vigente in materia di prevenzione della corruzione e gestione delle situazioni di conflitto di interessi, ivi comprese le verifiche relative a rapporti di parentela, nei limiti e secondo le modalità previste dalla normativa applicabile e dalle indicazioni delle competenti Autorità.

2. ACQUISIZIONE DEI DATI E TIPOLOGIA DEI DATI TRATTATI

2.1 – Dati personali acquisiti direttamente dall’interessato – art. 13 GDPR

La Fondazione, attraverso una sezione riservata del sito web www.iath.it, acquisisce direttamente i dati personali dei soggetti interessati ai corsi proposti dalla Academy. Le categorie di dati acquisiti e trattati comprendono:

• dati anagrafici, quali nome e cognome;
• dati di contatto, quali e-mail, numero di telefono e indirizzo di residenza;
• dati relativi al percorso scolastico dell’interessato e agli interessi formativi dello stesso
• dati raccolti attraverso il sito web, compresi i dati relativi ai cookie, secondo quanto previsto dalla specifica informativa cookie;
• ogni altro dato personale necessario per il perseguimento delle specifiche finalità sopra indicate.

La Fondazione ha inoltre predisposto Informative specifiche sul trattamento dei dati personali in relazione alle diverse categorie di interessati e agli specifici rapporti intercorrenti con la Fondazione.

2.2 – Dati personali acquisiti da soggetti diversi dall’interessato – art. 14 GDPR

Nell’ambito delle attività istituzionali e organizzative della Fondazione e, in particolare, nello svolgimento delle procedure di affidamento di contratti pubblici, la Fondazione può acquisire e trattare dati personali riferiti a persone fisiche i cui dati non siano stati raccolti direttamente presso le medesime.

Tale trattamento può riguardare anche persone fisiche che non intrattengono direttamente rapporti con la Fondazione e può rendersi necessario per lo svolgimento delle verifiche previste dalla normativa applicabile in materia di prevenzione della corruzione e di conflitto di interessi.

In particolare, nell’ambito delle verifiche relative alla possibile sussistenza di situazioni di conflitto di interessi derivanti da rapporti di parentela, la Fondazione può acquisire dati personali comuni riferiti a soggetti legati da rapporti di parentela con persone coinvolte nelle procedure di affidamento, nei limiti in cui tali dati siano necessari e pertinenti per lo svolgimento delle verifiche previste dalla normativa applicabile.

Le categorie di dati personali acquisiti indirettamente possono comprendere, nei limiti di quanto necessario:

• dati identificativi e anagrafici, quali nome e cognome;
• informazioni relative all’esistenza di un rapporto di parentela;
• informazioni relative al grado di parentela, ove necessarie per la verifica;
• ulteriori dati personali comuni strettamente necessari a identificare il soggetto e a verificare la sussistenza o l’assenza di situazioni rilevanti ai fini della disciplina sul conflitto di interessi.

La Fondazione non procede, in via generale e indiscriminata, alla raccolta dei dati relativi a tutti i possibili parenti dei soggetti interessati, ma acquisisce esclusivamente i dati che risultino necessari e pertinenti rispetto alla specifica verifica da effettuare, nel rispetto del principio di minimizzazione di cui all’art. 5 del GDPR.

I dati personali possono essere acquisiti da:

• soggetti coinvolti nelle procedure di affidamento;
• dichiarazioni, autodichiarazioni, comunicazioni e documentazione presentate o acquisite nell’ambito delle procedure;
• registri, elenchi e banche dati legittimamente consultabili;
• fonti accessibili al pubblico, ove consentito dalla normativa applicabile;
• altra documentazione o altra fonte legittimamente utilizzabile per le finalità sopra indicate.

La Fondazione può pertanto trattare dati personali di soggetti che non abbiano fornito direttamente i propri dati alla Fondazione e che potrebbero non avere instaurato con essa alcun rapporto contrattuale o istituzionale. Per tali trattamenti la Fondazione fornisce agli interessati, con il presente documento pubblicato sul proprio sito, le informazioni previste dall’art. 14 del GDPR, salvo che ricorrano le condizioni di esclusione o di esenzione previste dal GDPR o dalla normativa applicabile.

3. NECESSITÀ DEL CONFERIMENTO DEI DATI PERSONALI

Il conferimento dei dati personali richiesti direttamente all’interessato è obbligatorio nei casi in cui sia necessario per adempiere obblighi di legge, per dare esecuzione a un contratto o a misure precontrattuali, ovvero per consentire alla Fondazione di svolgere le attività istituzionali e organizzative per le quali il trattamento costituisce un requisito necessario.

Il mancato conferimento dei dati personali necessari può comportare l’impossibilità di instaurare o proseguire il rapporto con la Fondazione, ovvero di adempiere agli obblighi connessi al rapporto medesimo.

Qualora i dati personali siano acquisiti dalla Fondazione da soggetti diversi dall’interessato, ai sensi dell’art. 14 GDPR. In tali casi, la raccolta dei dati avviene nell’ambito delle attività di verifica descritte al precedente paragrafo 2.2 e sulla base della relativa disciplina normativa.

4. PERIODO DI CONSERVAZIONE DEI DATI PERSONALI

I dati personali sono conservati per il periodo necessario al perseguimento delle finalità per le quali sono stati raccolti o acquisiti e, successivamente, per il periodo previsto dalla normativa applicabile in materia di conservazione degli atti e dei documenti, nonché per il tempo necessario all’eventuale accertamento, esercizio o difesa di un diritto in sede giudiziaria.

Nel caso specifico dei dati di soggetti interessati ai corsi proposti dalla Academy, essi verranno trattati per la durata della selezione e poi cancellati a meno che l’interessato non esprima il consenso esplicito alla conservazione del proprio c.v. per essere informato su eventuali futuri posti vacanti nelle classi (al massimo per cinque anni).

Nel caso di dati personali acquisiti nell’ambito delle procedure di affidamento e delle verifiche relative al conflitto di interessi, i dati sono conservati per il periodo previsto dalla normativa applicabile in materia di contratti pubblici, trasparenza, prevenzione della corruzione e conservazione degli atti amministrativi e, comunque, per il tempo necessario al perseguimento delle finalità per le quali sono stati acquisiti.

I dati personali eventualmente trattati sulla base del consenso saranno conservati per il periodo indicato nella specifica informativa o, in assenza di un termine predeterminato, fino alla revoca del consenso, fermo restando che la revoca non pregiudica la liceità del trattamento effettuato prima della stessa.

5. MODALITÀ DI TRATTAMENTO DEI DATI PERSONALI

Il trattamento dei dati personali acquisiti viene effettuato mediante strumenti cartacei e informatici, nella osservanza di tutte le misure tecniche e organizzative predisposte da IATH Academy per garantire la sicurezza, l’integrità e la riservatezza delle informazioni. Il trattamento è effettuato secondo principi di correttezza, liceità, trasparenza, esattezza e minimizzazione, mediante l’adozione di adeguate misure tecniche e organizzative volte a garantire un livello di sicurezza adeguato al rischio.

I dati personali non sono utilizzati per finalità incompatibili con quelle per le quali sono stati raccolti o acquisiti.

6. PERSONALE INTERNO AUTORIZZATO AL TRATTAMENTO DEI DATI PERSONALI

I dati personali acquisiti sono trattati dal personale interno all’organizzazione della Fondazione formati e autorizzati dal Titolare del trattamento, che saranno tenuti al segreto professionale ed alla massima riservatezza.

I dati personali possono essere inoltre trattati da consulenti e fornitori di servizi esterni alla organizzazione di IATH Academy, quali, a titolo esemplificativo, fornitori di servizi informatici, consulenti del lavoro, professionisti e altri soggetti che prestino servizi funzionali alle attività della Fondazione. Tali soggetti trattano i dati personali nel rispetto della disciplina in materia di protezione dei dati personali e sotto il controllo del Titolare del trattamento e, ove ne ricorrano i presupposti, sono nominati Responsabili ai sensi dell’art. 28 GDPR, sulla base di apposito atto o contratto.

7. COMUNICAZIONE DEI DATI PERSONALI

I dati personali potranno essere comunicati a terzi, esclusivamente per esigenze tecniche ed operative strettamente collegate alle finalità sopra enunciate ed in particolare alle seguenti categorie di soggetti:

• ai soggetti ospitanti per lo svolgimento di stage, tirocini, corsi di formazione, alternanza o per inserimenti lavorativi;
• a pubbliche autorità ed amministrazioni (es. Amministrazione Provinciale di Como, Regione Lombardia) per le finalità connesse all’adempimento di obblighi legali;
• ad enti nostri finanziatori (es. Unione Europea);
• a soggetti ai quali la facoltà di accedere ai dati personali sia riconosciuta da disposizione di legge o di normativa secondaria o comunitaria;
• a compagnie di assicurazione ed agli enti preposti, per gli adempimenti in caso di infortunio;
• a soggetti ai quali la comunicazione dei dati personali sia necessaria o sia comunque funzionale all’espletamento delle obbligazioni contrattuali in essere;
• a soggetti competenti nell’ambito delle procedure di affidamento e delle verifiche previste dalla normativa in materia di contratti pubblici e prevenzione della corruzione, nei limiti delle rispettive competenze e degli obblighi di legge.

I dati personali acquisiti non sono oggetto di diffusione, salvo che la diffusione sia prevista come obbligatoria da una disposizione di legge o regolamento.

8. TRASFERIMENTO DEI DATI PERSONALI VERSO PAESI TERZI

I dati personali sono, di regola, trattati all’interno dell’Unione Europea e dello Spazio Economico Europeo.

Qualora, per esigenze connesse all’erogazione di specifici servizi o allo svolgimento di attività formative (es. tirocinii formativi), si renda necessario trasferire dati personali verso Paesi terzi o organizzazioni internazionali, il trasferimento sarà effettuato nel rispetto delle condizioni previste dagli artt. 44 e seguenti del GDPR.

9. DIRITTI DELL’INTERESSATO

Ogni interessato potrà in qualsiasi momento chiedere al Titolare del Trattamento di accedere, rettificare, cancellare, limitare, trasferire (Artt. da 15 a 20 del GDPR) i dati personali.

Inoltre gli interessati hanno diritto di richiedere al Titolare del trattamento di non essere sottoposti a processi di decisionali automatizzati (Art. 22).

In qualsiasi momento, rivolgendosi al Titolare del trattamento, Lei ha inoltre il diritto di modificare o revocare il consenso al trattamento dei dati (Art. 21) senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca ed essendo comunque informato di quanto riportato al punto 3 della presente Informativa.

In aggiunta ai diritti sopra elencati, gli interessati potranno in ogni momento proporre reclamo all’Autorità di Controllo sul sito www.garanteprivacy.it.