PwC Services Srl | Informativa GDPR

Informativa ai sensi degli articoli 13 e 14 del GDPR riguardante il trattamento dei dati personali raccolti nell'ambito dell'esecuzione di incarichi professionali

Tutela dei Dati Personali

Ai sensi dell’articolo 26 del Regolamento Europeo n. 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (in breve “GDPR”), PwC Services ha concluso un accordo di contitolarità con la Servizi Aziendali PricewaterhouseCoopers Srl (di seguito “SAPwC”), con sede in Milano,Piazza Tre Torri, n. 2, società che fornisce servizi amministrativi, contabili ed organizzativi a tutte le entità giuridiche italiane del Network PwC di cui PwC Services e SAPwC (“Contitolari”) fanno parte. Il contenuto essenziale di tale accordo è a disposizione presso le sedi dei Contitolari.
Ne consegue che tutti i dati personali forniti dal Cliente a PwC Services saranno automaticamente in contitolarità di SAPwC.
Tenuto conto di quanto poc’anzi evidenziato, i Contitolari forniscono al Cliente la presente informativa ai sensi degli articoli 13 e 14, GDPR (in breve, “Informativa”), riguardante il trattamento dei dati personali nell’ambito dell’esecuzione dei Servizi richiesti dal Cliente.

Per lo svolgimento dell’incarico conferito dal Cliente (“Incarico” o “Servizi”), PwC Services non necessita di trattare dati personali ai sensi del GDPR, se non quelli dei legali rappresentanti e delle persone di contatto del Cliente.
In conformità al principio di minimizzazione previsto dall’articolo 5, comma 1, lettera (c), GDPR, il Cliente si impegna pertanto ad astenersi dall’invio a PwC Services di dati personali di qualsiasi tipo, salvo che gli stessi non siano strettamente necessari per lo svolgimento dell’Incarico. In quest’ultimo caso, i dati personali dovranno essere trasmessi a PwC Services in forma anonima ovvero tramite l’uso di pseudonimi, come espressamente previsto dal GDPR. Qualora, ai fini dell’esecuzione dell’Incarico, si rendesse indispensabile trattare dati personali ulteriori rispetto a quelli dei legali rappresentanti e/o delle persone di contatto del Cliente e gli stessi non potessero essere acquisiti in forma anonima o pseudonimizzata, PwC Services valuterà con il Cliente le modalità più opportune di trattamento.
In ogni caso, il Cliente dichiara e garantisce di trattare legittimamente ed in conformità al GDPR tutti i dati personali che dovesse comunicare a PwC Services nel corso dello svolgimento dei Servizi e, in particolare, di aver fornito agli interessati adeguata informativa nella quale viene espressamente menzionata la possibilità di fornire i dati personali a società terze incaricate dell’esecuzione di servizi professionali e di avere ottenuto i consensi eventualmente necessari.
Il Cliente si impegna altresì ad indicare ai propri dipendenti e/o collaboratori che l’informativa dei Contitolari è consultabile sul sito https://www.pwc.com/it/informative-privacy, in modo tale che la stessa possa essere fornita dai Contitolari ai soggetti interessati (come definiti dall’articolo 4, n. 1, GDPR) ai sensi degli articoli 13 e 14 del GDPR.

a) Identità e dati di contatto dei Contitolari

PricewaterhouseCoopers Services Srl
Piazza Tre Torri, n. 2 - 20145 Milano
C.F. e P.IVA: 05508970968
Tel. (02) 77851

Servizi Aziendali PricewaterhouseCoopers Srl
Piazza Tre Torri, n. 2 - 20145 Milano
C.F. e P.IVA: 12449670152
Tel. (02) 77851

b) Dati di contatto del responsabile della protezione dei dati

Ufficio del Responsabile della Protezione dei Dati / Data Protection Officer (“DPO”)

Piazza Tre Torri, n. 2 - 20145 Milano
Indirizzo PEC: dpo-services@pec-pwc.it
Tel. (02) 43516950
Fax (02) 43516951

c) Finalità del trattamento cui sono destinati i dati personali e base giuridica dei trattamenti

I dati personali sono trattati per le seguenti finalità:

(i) adempiere gli obblighi precontrattuali e contrattuali riguardanti i Servizi oggetto della Lettera di Incarico;

(ii) adempiere gli obblighi previsti da leggi e regolamenti nazionali e comunitari (es. normativa antiriciclaggio e antiterrorismo) o, per quanto applicabili, da normative vigenti presso paesi terzi;

(iii) eseguire un ordine di Autorità giudiziarie, enti o organismi al cui potere di vigilanza sono soggetti i Contitolari;

(iv) eseguire le disposizioni delle procedure del network PwC riguardanti processi e aspetti organizzativi, gestionali e operativi inerenti il conferimento e l’esecuzione degli incarichi (che in taluni casi potrebbe avvenire con il coinvolgimento di altre entità legali italiane ed estere del Network PwC) e i rapporti con la clientela (es. verifiche di indipendenza e di potenziali conflitti di interesse, procedure di gestione del rischio e di controllo della qualità);

(v) esercitare i diritti dei Contitolari, in particolare, il diritto di difesa in giudizio.

Il conferimento dei dati per le finalità poc’anzi indicate è obbligatorio e, pertanto, non richiede il consenso degli interessati. Un eventuale rifiuto di fornire tali dati e/o l’opposizione al loro trattamento comporterebbe l'impossibilità per PwC Services di svolgere l’Incarico e per SAPwC di eseguire le attività ancillari di propria competenza come precedentemente descritte.
Inoltre, i dati personali potrebbero essere trattati per perseguire il legittimo interesse dei Contitolari e/o delle altre entità legali (italiane ed estere) aderenti al Network PwC di instaurare e intrattenere proficue e ottimali relazioni professionali con i propri clienti, attuali e potenziali. A tale scopo i dati potranno essere utilizzati per svolgere attività di “customer relationship management”, consistenti principalmente nel tracciare e gestire i rapporti e le interazioni intrattenuti dalle entità giuridiche (italiane ed estere) del Network PwC, tramite i professionisti che ne fanno parte, con le “persone di contatto” di clienti, attuali e potenziali, al fine di comprenderne al meglio le esigenze e aspettative, migliorare i propri servizi, svilupparne di nuovi sulla base delle richieste del mercato, nonché incrementare il proprio business. Per il raggiungimento di questi scopi i dati personali delle “persone di contatto” saranno inseriti in appositi data base in titolarità e/o nella disponibilità dei Contitolari e quindi resi visibili anche alle altre entità giuridiche, italiane ed estere, del Network PwC aventi sede nei Paesi indicati all’indirizzo web: https://www.pwc.com/gx/en/about/office-locations.html.

Qualora dovessero ricorrere specifici obblighi di riservatezza, confidenzialità o segreto professionale, come pure in presenza di particolari ragioni di opportunità, i dati personali saranno resi accessibili, a seconda delle circostanze, unicamente ai professionisti delle entità legali italiane del Network PwC (con esclusione di quelle estere), oppure dei soli Contitolari del trattamento, ovvero soltanto ai membri del team di lavoro assegnato allo svolgimento dell’incarico professionale. In ogni caso, per le finalità di “customer relationship management” poc’anzi indicate, gli interessati potranno essere contattati, ove necessario, soltanto per il tramite dei professionisti che operano nell’ambito dell’entità legale italiana con cui gli stessi hanno instaurato la relazione principale.

d) Categorie di dati personali trattati

In conformità all’articolo 4, n. 1, GDPR per "dato personale" (di seguito anche “Dati”) si intende qualsiasi informazione riguardante una persona fisica, identificata o identificabile, direttamente o indirettamente, per mezzo di qualsiasi identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online oppure uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale, che sia stata acquisita dai Contitolari tramite il Cliente oppure presso banche dati private e/o pubblici registri.
Ai fini dell’esecuzione dell’Incarico, fermo restando l’obbligo di rispettare il principio della minimizzazione come sopra indicato, tenuto conto della tipologia dei Servizi svolti dai professionisti incaricati, in taluni casi potrebbe rendersi necessario anche il trattamento di particolari categorie di Dati quali, a titolo esemplificativo ma non esaustivo, quelli di cui all’art. 9, GDPR (ad esempio, dati idonei a rivelare lo stato di salute), ovvero Dati relativi a condanne penali e reati o connessi a misure di sicurezza, come definiti dall’art. 10, GDPR.

e) Categorie di destinatari dei Dati

I Dati potranno essere resi accessibili a:

(i) dipendenti e collaboratori dei Contitolari, nella loro qualità di addetti autorizzati al trattamento dei Dati (o c.d. “Incaricati al trattamento”),

(ii) terzi soggetti che svolgono attività in outsourcing per conto dei Contitolari, anche ai fini della conservazione dei Dati, nella loro qualità di responsabili del trattamento,

(iii) Autorità giudiziarie o di vigilanza, amministrazioni, enti ed organismi pubblici (nazionali ed esteri),

(iv) altre entità giuridiche italiane ed estere del Network PwC, di cui i Contitolari fanno parte, per le finalità previste al precedente punto c), inclusa l’esecuzione delle attività di “customer relationship management” precedentemente indicate tramite inserimento dei dati in appositi data base di proprietà e/o in disponibilità dei Contitolari.

L’elenco aggiornato dei responsabili e degli addetti autorizzati al trattamento è custodito presso le sedi dei Contitolari.

f) Trasferimento di Dati all’estero

Poiché i Contitolari operano nell’ambito di una Rete composta da entità giuridiche indipendenti aventi sede in diversi paesi del mondo, i Dati potrebbero essere trasferiti e conservati anche fuori dall'Unione Europea, inclusi i paesi che non garantiscono un livello di protezione adeguato. In ogni caso, tali trasferimenti avverranno sempre e comunque nel rispetto delle condizioni previste dagli articoli 45 e 46, GDPR.

La gestione e la conservazione dei dati personali avvengono in cloud e su server ubicati all'interno ed all'esterno dell'Unione Europea di proprietà e/o nella disponibilità dei Contitolari e/o di società terze incaricate, debitamente nominate quali responsabili del trattamento.

L'eventuale trasferimento all'estero dei dati nei paesi extra-UE avviene in conformità alle disposizioni normative vigenti, nonché nel rispetto delle disposizioni assunte dalla Corte di Giustizia europea e dalle Autorità nazionali ed estere in materia di protezione dei dati personali.

I Dati non saranno soggetti a diffusione al di fuori delle ipotesi previste in relazione alle attività di “customer relationship management” precedentemente descritte.

g) Periodo di conservazione dei Dati

I Dati saranno conservati per tutta la durata del rapporto professionale. A decorrere dalla data di cessazione di tale rapporto per qualsivoglia ragione o causa, i Dati saranno conservati per i termini prescrizionali applicabili ex lege, maggiorati di dodici mesi, anche ai fini dell’eventuale necessità di accertamento, esercizio o difesa dei diritti dei Contitolari derivanti dalla necessità di comprovare la regolare esecuzione della prestazione professionale. In relazione alle attività di “customer relationship management”i Dati saranno conservati per un periodo di tre anni.

h) Diritti dell’interessato

In conformità a quanto previsto nel Capo III, Sezione I, GDPR, l’interessato può esercitare i diritti ivi contenuti ed in particolare:

Diritto di accesso - Ottenere conferma che sia o meno in corso un trattamento di Dati riguardanti l’interessato e, in tal caso, ricevere informazioni relativamente a, tra le altre: finalità del trattamento, categorie di Dati trattati e periodo di conservazione, destinatari cui questi possono essere comunicati (articolo 15, GDPR),

Diritto di rettifica - Ottenere, senza ingiustificato ritardo, la rettifica dei Dati personali inesatti che riguardano l’interessato e l’integrazione dei dati personali incompleti (articolo 16, GDPR),

Diritto alla cancellazione - Ottenere, senza ingiustificato ritardo, la cancellazione dei Dati riguardanti l’interessato, nei casi previsti dal GPDR (articolo 17, GDPR),

Diritto di limitazione - Ottenere dai Contitolari la limitazione del trattamento, nei casi previsti dal GDPR (articolo 18 GDPR),

Diritto alla portabilità - Ricevere in un formato strutturato, di uso comune e leggibile da un dispositivo automatico, i Dati forniti ai Contitolari, e ottenere che gli stessi siano trasmessi ad altro titolare senza impedimenti, nei casi previsti dal GDPR (articolo 20 GDPR),

Diritto di opposizione - Opporsi al trattamento dei dati riguardanti l’interessato, salvo che sussistano motivi legittimi per i Contitolari di continuare il trattamento (articolo 21 GDPR),

Diritto di proporre reclamo all’autorità di controllo - Proporre reclamo all’Autorità Garante per la protezione dei dati personali (informazioni e dettagli di contatto al sito internet: www.garanteprivacy.it).
L’Interessato può inviare una richiesta di esercizio di tali diritti mediante comunicazione da trasmettere all’ufficio del Responsabile per la Protezione dei Dati tramite l’indirizzo PEC indicato in precedenza.

i) Modalità del trattamento

Il trattamento dei Dati da parte dei Contitolari è realizzato per mezzo delle operazioni indicate all’articolo 4, n. 2, GDPR, compiute con o senza l’ausilio di sistemi informatici e precisamente: raccolta, registrazione, organizzazione, strutturazione, aggiornamento, conservazione, adattamento o modifica, estrazione ed analisi, consultazione, uso, comunicazione mediante trasmissione, raffronto, interconnessione, limitazione, cancellazione o distruzione dei Dati.

I Contitolari si obbligano, sin da ora, a mantenere riservati i Dati e le informazioni ricevuti ai fini dello svolgimento dei Servizi e ad adottare le misure atte a garantire un’adeguata tutela degli stessi, assicurando la necessaria confidenzialità e riservatezza circa il loro contenuto.

Gli obblighi di riservatezza poc’anzi indicati avranno effetto anche oltre la data in cui lo svolgimento dei Servizi sarà ultimato.

In conformità a quanto previsto dall’articolo 32, GDPR, tenuto conto della natura, dell’oggetto, del contesto e delle finalità del trattamento, i Contitolari e il Cliente dichiarano reciprocamente di avere messo in atto misure tecniche ed organizzative adeguate, anche con riferimento alle particolari categorie di Dati di cui agli articoli 9 e 10, GDPR, per garantire un livello di sicurezza idoneo al rischio, che comprendono, in via esemplificativa e non esaustiva: (i) la pseudonimizzazione e la cifratura dei Dati; (ii) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; (iii) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei Dati in caso di incidente fisico o tecnico; (iv) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. I Contitolari e il Cliente saranno responsabili della protezione del proprio sistema informatico.