Tell Me Privacy

2. Titolare(i) del trattamento

Se il caso o l’incidente segnalato riguarda soltanto Kia Europe GmbH ("Kia EU" ), allora Kia EU è l’unico ed indipendente titolare dei dati personali trattati in correlazione alla ricezione, all’analisi e all’elaborazione delle segnalazioni effettuate sulla piattaforma Tell Me (i "Dati personali pertinenti" ).

Se la segnalazione riguarda una faccenda pertinente ad un’altra entità del Gruppo Kia Europa ("Entità Kia competente" ), Kia EU e l’entità Kia competente collaboreranno strettamente, valutando ed indagando sul caso segnalato (i dettagli relativi alla procedura di gestione dei casi vengono forniti nell’informativa Kia Compliance: Tell Me Policy ). Pertanto, in tal caso, Kia EU e l’entità Kia competente determineranno assieme gli scopi e le modalità di trattamento dei dati personali pertinenti, in qualità di cosiddetti contitolari del trattamento. A tal fine, hanno stabilito le rispettive responsabilità in materia di compliance agli obblighi derivanti dal GDPR come segue:

(a) Qualora esercitiate i vostri diritti legali ai sensi del paragrafo 9 della presente informativa sulla privacy, sarà l’entità Kia competente ad avere la responsabilità di tenere conto di tali diritti. Tuttavia, Kia EU fornirà tempestivamente l’adeguata e necessaria assistenza all’entità Kia competente, affinché quest’ultima possa ottemperare alla vostra richiesta in conformità al GDPR;

(b) L’entità Kia competente e Kia EU rispetteranno il loro obbligo di fornirvi le informazioni riguardanti il trattamento dei dati personali pertinenti ai sensi dell’art. 13 e dell’art. 14 del GDPR come segue: (i) entrambe pubblicheranno la presente informativa sulla privacy sui loro sistemi intranet; (ii) Kia EU si assicurerà che la presente informativa sulla privacy venga riportata sulla piattaforma Tell Me; e (iii) se e nella misura in cui sia applicabile, l’entità Kia competente vi fornirà le informazioni pertinenti ai sensi dell’art. 14 del GDPR.

(c) Indipendentemente dai paragrafi 2(a) e 2(b) sopra riportati, l’entità Kia competente e Kia EU riconoscono che avete la facoltà di esercitare i vostri diritti ai sensi del GDPR contro una qualsiasi di esse nella loro qualità di contitolari del trattamento. Tuttavia, siete pregati di notare che normalmente sarà l’entità Kia competente a rispondere alla vostra richiesta.

Le informazioni di contatto di ciascuna entità del Gruppo Kia Europa sono riportate nell'allegato 1.

3. Responsabile della Protezione dei Dati

Per qualsiasi domanda riguardante o legata alla presente informativa sulla privacy, potete contattare o il responsabile della protezione dei dati di Kia EU all’indirizzo dpo@kia-europe.com o il responsabile della protezione dei dati ("RPD") dell’entità Kia competente. Le informazioni di contatto del RPD di ciascuna entità del Gruppo Kia Europa sono riportate nell'allegato 1.

4. Categorie di Dati Personali

Il funzionamento di una piattaforma per la segnalazione di comportamenti illeciti e l’indagine dei casi segnalati sulla piattaforma richiederanno inevitabilmente il trattamento dei dati personali. Tuttavia, in primo luogo, è il segnalatore ad avere il completo controllo di cosa viene segnalato, perché la piattaforma Tell Me è un sistema a forma libera, vale a dire che il segnalatore non è tenuto ad effettuare alcuna categorizzazione prima di presentare la sua segnalazione. Ciò vale anche per l’identità del segnalatore, della persona accusata, di un testimone o di qualsiasi altra persona menzionata nella segnalazione in questione (chiamati insieme gli "interessati" e ognuno singolarmente un "interessato" ).

In qualità di segnalatore, dovete sempre considerare con attenzione se rivelare o meno la vostra identità. Sebbene l'identità del segnalatore e di qualsiasi persona terza menzionata nella segnalazione venga trattata con la massima riservatezza, in determinate circostanze, Kia EU o l'entità Kia competente potrebbero dover rivelare l'identità del segnalatore o della persona terza in questione. Ecco perché il Gruppo Kia Europa ha adottato la piattaforma Kia Compliance: Tell Me, uno strumento specifico che consente ai segnalatori di effettuare una segnalazione in forma anonima. Siete pregati di consultare l’informativa Kia Compliance: Tell Me Policy per gli ulteriori canali di comunicazione, se decidete di rivelare la vostra identità in qualità di informatore.

I tipi di dati personali, che Kia EU e l’entità Kia competente (ove applicabile) trattano in relazione alla piattaforma Tell Me e alla gestione delle segnalazioni pertinenti, possono includere qualsiasi delle seguenti informazioni relative all’interessato (sempre a seconda del contenuto e delle informazioni fornite dal segnalatore nella segnalazione): nome e genere; nazionalità; indirizzo e città; numero di telefono (cellulare); indirizzo e-mail; (funzione) titolo; ruolo e posizione aziendale; dipartimento; numeri dell’amministrazione/numeri del dipendente; dettagli e circostanze dell’incidente; misure adottate; rapporti investigativi; altri dati relativi all’incidente (ad es. data, ora e luogo); codice d’accesso; file audio, indirizzo IP e altri dati tecnici; registri dei consensi (ovvero registri dei consensi dati dal segnalatore).

Come stabilito nell'informativa Kia Compliance: Tell Me Policy , il Gruppo Kia Europa offre un elevato livello di protezione dell'anonimato del segnalatore, qualora quest'ultimo decida di rimanere anonimo, nella misura possibile e ove proporzionato. A tal fine, il Gruppo Kia Europa non avrà accesso ad alcun dato tecnico che consenta di identificare un segnalatore anonimo (ad es. indirizzo IP, registrazioni vocali e dati della chiamata).

In qualità di segnalatori, siete pregati di astenervi dal divulgare speciali categorie di dati personali, quali razza od origine etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza a sindacati e dati riguardanti la salute o la vita sessuale che non sono pertinenti al caso. Se in una segnalazione vengono riportati tali dati non pertinenti, Kia EU e l’entità Kia competente li cancelleranno dalla segnalazione e dai set di dati pertinenti. Lo stesso vale per quei dati personali che non sono strettamente e oggettivamente necessari a verificare le accuse mosse in una segnalazione.

5. Finalità e Base Giuridica del Trattamento

Kia EU e l’entità Kia competente trattano i dati personali pertinenti ai fini della segnalazione iniziale, della successiva analisi della segnalazione e dell’indagine del caso segnalato.

Le basi giuridiche per tali attività di trattamento sono le seguenti:

• Consenso (art. 6(1)(a) GDPR): la base giuridica per determinati tipi di trattamento dei dati personali pertinenti da parte dell'entità competente del Gruppo Kia Europa è il previo consenso del segnalatore (ad es. laddove un incontro tra l'entità competente del Gruppo Kia Europa e il segnalatore avvenga tramite videochiamata, su richiesta del segnalatore).

• Adempimento di un obbligo legale (art. 6(1)(c) GDPR): l’adozione e la fornitura di sistemi per la segnalazione di comportamenti illeciti sono obbligatorie in alcune giurisdizioni. Laddove un'entità del Gruppo Kia Europa sia obbligata per legge ad adottare e fornire tale sistema per la segnalazione di comportamenti illeciti e nella misura in cui tali adozione e fornitura richiedano il trattamento di dati personali pertinenti, la base giuridica per il trattamento è l'adempimento all'obbligo legale applicabile.

• Esecuzione di un compito svolto nell'interesse pubblico (art. 6(1)(e) GDPR): sebbene l’adozione e la fornitura di sistemi per la segnalazione di comportamenti illeciti possano essere obbligatorie in alcune giurisdizioni, l'entità competente del Gruppo Kia Europa non è obbligata ad adottare un canale che consenta la segnalazione in forma anonima o ad esaminare le segnalazioni effettuate in forma anonima. In tal caso, la base giuridica per il trattamento dei dati personali pertinenti è l'esecuzione di un compito svolto nell'interesse pubblico.

• Legittimo interesse (art. 6(1)(f) GDPR): laddove il trattamento dei dati personali pertinenti non sia necessario all'adempimento di un obbligo legale, l'entità competente del Gruppo Kia Europa tratterà i dati personali pertinenti allo scopo di perseguire i propri legittimi interessi. Il legittimo interesse consiste nel monitoraggio della conformità alle leggi e agli statuti vigenti e ai regolamenti interni (ad es. il Codice di compliance & integrità di Kia EU), nonché nel rilevare e prevenire comportamenti disonesti e illeciti. L' entità competente del Gruppo Kia Europa determinerà sempre caso per caso se gli interessi o i diritti e le libertà fondamentali della persona interessata, a cui le informazioni si riferiscono, prevalgono o meno sui suoi interessi.

Come già menzionato in precedenza, speciali categorie di dati personali, che non sono pertinenti al caso, non devono essere incluse nelle segnalazioni effettuate tramite la piattaforma Tell Me e verranno cancellate di conseguenza. Tuttavia, se e nella misura in cui tali dati siano rilevanti per il caso, la base giuridica per il trattamento di tali informazioni è l'art. 9(2)(f) del GDPR (ovvero il trattamento è necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria) o l'art. 9(2)(g) del GDPR (ovvero il trattamento è necessario per motivi di sostanziale interesse pubblico, in base alla normativa nazionale o dell'Unione europea).

6. Divulgazione dei Dati Personali a Terzi

Kia EU e l'entità Kia competente tratteranno i dati personali pertinenti con la massima riservatezza. I dati verranno divulgati esclusivamente in relazione agli scopi del trattamento sopra illustrati e sempre in conformità alle leggi vigenti. Tra i possibili destinatari dei dati personali pertinenti vi sono le seguenti aziende, istituzioni o persone:

• Fornitori di servizi: include il fornitore People Intouch B.V. (e i suoi subincaricati approvati), in qualità di gestore della piattaforma Tell Me, con sede all’indirizzo Olympisch Stadion 6, 1076 DE Amsterdam, Paesi Bassi. People Intouch B.V. tratterà i dati personali pertinenti in qualità di incaricato del trattamento di Kia EU ed esclusivamente secondo le istruzioni di Kia EU. Kia EU e People Intouch B.V. hanno stipulato a tal proposito un accordo sul trattamento dei dati.

• Consulenti legali: in alcuni casi, Kia EU o l’entità Kia competente potranno comunicare i dati ai loro consulenti legali, allo scopo di tutelare i loro interessi o far valere i loro diritti. I consulenti legali tratteranno tali dati in qualità di titolari del trattamento indipendenti.

• Tribunali e altre autorità normative: Kia EU o l’entità Kia competente potranno comunicare i dati a tribunali o ad autorità normative, ove richiesto per legge o se necessario a ottemperare a procedure giudiziarie, ordinanze del tribunale, richieste delle autorità o per tutelare i loro interessi o far valere i loro diritti. I tribunali o le autorità normative in questione tratteranno tali dati in qualità di titolari del trattamento indipendenti.

• Altri: Kia EU o l’entità Kia competente potranno comunicare i dati ad altri soggetti terzi (ad es. la persona accusata o membri esterni di organi di controllo), ma solo se è richiesto dalla legge. Tali soggetti terzi tratteranno i dati pertinenti in qualità di titolari del trattamento indipendenti.

7. Trasferimento Internazionale dei Dati Personali

Allo scopo di trattare i dati personali pertinenti nella maniera illustrata in questa informativa sulla privacy, Kia EU o l’entità Kia competente potrebbero aver bisogno di trasmettere i dati personali pertinenti ad altri soggetti terzi, come riportato al paragrafo 6. Tuttavia, i dati personali pertinenti non verranno di norma trasmessi a un destinatario situato in un paese che non è membro dello Spazio economico europeo (SEE) o per il quale la Commissione europea non ha emanato una decisione sull’adeguatezza, secondo cui il paese in questione offre un adeguato livello di protezione dei dati personali. Qualora, in un qualsiasi momento, i dati personali pertinenti dovessero essere trasmessi a un destinatario situato in un paese che non appartiene alle categorie sopra menzionate, tale trasferimento sarà sempre soggetto ad appropriate misure di salvaguardia ai sensi del GDPR.

8. Conservazione dei Dati

Kia EU e l’entità Kia competente tratteranno i dati personali pertinenti solo fintanto che sarà necessario agli scopi illustrati nella presente informativa sulla privacy o se previsto dalla legge vigente.

Per determinare il periodo di conservazione, Kia EU e l’entità Kia competente prendono in considerazione gli scopi per cui i dati personali pertinenti vengono trattati, se tali scopi possono essere raggiunti anche senza i dati, le categorie dei dati pertinenti, i rischi in caso di violazione dei dati e gli obblighi legali secondo cui Kia EU o l’entità Kia competente sono tenute a conservare i dati. Di norma, ciò significa che i dati personali pertinenti verranno conservati come segue:

• I dati personali non pertinenti al caso verranno cancellati o resi anonimi senza indebito ritardo.

• I dati personali pertinenti, contenuti nella documentazione relativa alla questione considerata, verranno conservati per il periodo necessario a valutare la segnalazione e a svolgere l'indagine (ove applicabile) e verranno cancellati o resi anonimi al più tardi entro tre anni dalla fine della valutazione e/o dell'indagine (come applicabile), a meno che non vengano avviati procedimenti legali o adottate misure disciplinari, per cui è necessario continuare a conservare i dati personali pertinenti oppure se la normativa vigente richiede un periodo di conservazione diverso, sempre a patto che tale conservazione sia necessaria e adeguata.

9. I Tuoi Diritti Legali

Qualora Kia EU o l’entità Kia competente tratti i vostri dati personali sulla base del vostro consenso, avete il diritto di revocare in qualsiasi momento tale consenso (art. 7(3) del GDPR).

Se avete domande sulle modalità con cui Kia EU o l’entità Kia competente trattano i vostri dati personali, Kia EU o l’entità Kia competente (nella misura applicabile) saranno ovviamente liete di fornirvi informazioni sui vostri dati personali e sulle relative attività di trattamento (art. 15 del GDPR). Purché vengano soddisfatti i requisiti legali, avete anche diritto ad ottenere: (a) la rettifica dei vostri dati personali (art. 16 del GDPR); (b) la cancellazione dei vostri dati personali (art. 17 del GDPR); e (c) la limitazione del trattamento dei vostri dati personali (art. 18 del GDPR). Avete anche diritto alla portabilità dei dati (art. 20 del GDPR) e il diritto di presentare un reclamo presso un'autorità preposta alla protezione dei dati (art. 77 del GDPR).

Diritto di opposizione: qualora Kia EU o l’entità Kia competente tratti i vostri dati personali in base all’art. 6(1)(f) del GDPR, avete il diritto di opporvi in qualsiasi momento a tale trattamento per motivi connessi alla vostra situazione particolare (art. 21(1) del GDPR).

Qualora l’entità Kia competente e Kia EU trattino i vostri dati personali in qualità di contitolari del trattamento, siete pregati di consultare il paragrafo 2, lett. a-c per determinare quale entità risponderà alla vostra richiesta.

10. Definizioni

"Titolare del trattamento" : la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali.

Per "GDPR" si intende (i) per quanto riguarda Kia UK LTD come titolare del trattamento, il Regolamento sulla protezione dei dati del Regno Unito adattato con il Data Protection Act 2018 (GDPR del Regno Unito); e (ii) per quanto riguarda tutte le altre entità del Gruppo Kia Europa elencate nell'allegato 1, il Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati).

"Dati personali" : qualsiasi informazione riguardante una persona fisica identificata o identificabile.

Per “trattare” / “trattamento” si intende qualsiasi operazione o insieme di operazioni applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione.

"Incaricato del trattamento" : la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.

Allegato 1 – Dettagli dei Titolari del Trattamento

Allegato 2 – Modifiche alle Leggi Locali

Versione del 15 dicembre 2023