Informativa privacy fornitori

Versione: 1.0 – Ultimo aggiornamento: 28 ottobre 2026

Trattamento dei dati personali dei fornitori e dei loro referenti, ai sensi degli artt. 13 e 14 Reg. (UE) 2016/679.

La presente informativa descrive come CheckSig S.r.l. Società Benefit tratta i dati personali dei fornitori persone fisiche e dei referenti dei fornitori: finalità, basi giuridiche, tempi di conservazione, destinatari, trasferimenti e diritti degli interessati.

Tipo documento: Informativa privacy (artt. 13-14 GDPR)
Destinatari: Fornitori persone fisiche e referenti dei fornitori
Titolare: CheckSig S.r.l. Società Benefit
Contatto privacy: [email protected]
Owner: Compliance & Complaints
Riesame: Annuale e ad ogni modifica dei trattamenti

Riferimenti: Reg. (UE) 2016/679 (GDPR) artt. 6, 12-22, 28, 44-46, 77, 79 · D.Lgs. 196/2003 · Reg. (UE) 2022/2554 (DORA) artt. 28-30 · Reg. (UE) 2023/1114 (MiCAR) art. 73 · D.Lgs. 109/2007 · ISO/IEC 27701 · POL Politica del sistema privacy · PRO Procedura di redazione e gestione delle informative privacy · PRO Procedura di gestione degli acquisti e delle terze parti.

1. Premessa e destinatari

CheckSig S.r.l. Società Benefit (di seguito, la «Società» o il «Titolare»), ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito, «GDPR»), informa le persone fisiche i cui dati personali sono trattati nell’ambito della selezione, qualifica e gestione dei fornitori in merito alle modalità e alle finalità del trattamento.

La presente informativa si rivolge a:

fornitori persone fisiche, professionisti e titolari di ditte individuali, anche in fase di selezione o di richiesta di offerta;
legali rappresentanti, referenti, dipendenti e collaboratori di fornitori persone giuridiche i cui dati sono comunicati alla Società nell’ambito del rapporto di fornitura (di seguito, insieme, gli «Interessati»).

2. Titolare del trattamento e contatti

Il Titolare del trattamento è CheckSig S.r.l. Società Benefit, C.F. e P.IVA 11028330964, con sede legale in Piazza del Liberty 8, 20121 Milano (MI), in persona del legale rappresentante pro tempore.

Per qualsiasi questione relativa al trattamento dei dati personali e per l’esercizio dei diritti è possibile scrivere a [email protected] oppure, via PEC, a [email protected].

La Società non ha designato un Responsabile della protezione dei dati (DPO); le richieste sono gestite dalla funzione Compliance & Complaints ai recapiti sopra indicati.

3. Fonte dei dati personali

I dati personali sono raccolti direttamente presso l’Interessato oppure, quando l’Interessato opera per conto di un fornitore persona giuridica, presso il fornitore stesso (ad esempio nei contratti, negli ordini, nella corrispondenza o nei questionari di qualifica). Ove necessario per la verifica del fornitore, alcuni dati possono essere acquisiti da registri pubblici, come il Registro delle imprese, e da liste pubbliche delle misure restrittive dell’Unione europea.

4. Categorie di dati personali trattati

La Società tratta esclusivamente dati personali comuni, in particolare:

Dati identificativi e professionali: nome, cognome, ruolo, organizzazione di appartenenza;
Dati di contatto: indirizzo e-mail, numero di telefono, recapiti aziendali;
Per fornitori persone fisiche e ditte individuali, dati fiscali e di pagamento: codice fiscale, partita IVA, coordinate bancarie e dati di fatturazione;
Dati da registri pubblici: dati anagrafici (compresi data e luogo di nascita), codice fiscale e carica dei legali rappresentanti ed esponenti del fornitore, quando acquisiti da registri pubblici per la verifica del fornitore;
Dati relativi alle verifiche sulle misure restrittive: esito del controllo del nominativo del fornitore e dei suoi legali rappresentanti ed esponenti nelle liste delle sanzioni finanziarie internazionali;
Dati relativi agli accessi: credenziali nominative, autorizzazioni e registrazioni degli accessi (log), quando l’Interessato accede ai sistemi informativi o ai locali della Società per l’esecuzione della fornitura.

La Società non richiede né tratta categorie particolari di dati personali (art. 9 GDPR) né dati relativi a condanne penali e reati (art. 10 GDPR).

5. Finalità, basi giuridiche e periodo di conservazione

a) Selezione del fornitore, gestione delle richieste di offerta, stipula ed esecuzione del contratto con il fornitore persona fisica.

Base giuridica: esecuzione di un contratto o di misure precontrattuali (art. 6, par. 1, lett. b) GDPR).
Periodo di conservazione: durata del rapporto contrattuale e 10 anni dalla sua cessazione (art. 2946 c.c.); per le offerte non seguite da contratto, 2 anni dalla richiesta.

b) Gestione dei rapporti operativi con i referenti dei fornitori persone giuridiche (comunicazioni, ordini, coordinamento delle attività).

Base giuridica: legittimo interesse del Titolare alla corretta gestione del rapporto con il fornitore (art. 6, par. 1, lett. f) GDPR).
Periodo di conservazione: durata del rapporto con il fornitore; i dati del referente sono aggiornati o cancellati quando il fornitore ne comunica la sostituzione, salvo quelli contenuti in documenti da conservare per le finalità c) ed e).

c) Adempimento di obblighi di legge: contabili e fiscali, nonché obblighi di gestione dei rischi derivanti da fornitori terzi di servizi TIC ed esternalizzazioni previsti dalla normativa di settore (Reg. (UE) 2022/2554 «DORA» e Reg. (UE) 2023/1114 «MiCAR»), verifica della lista delle misure restrittive dell’Unione europea (D. Lgs. 109/2007) e riscontro a richieste delle autorità.

Base giuridica: obbligo di legge cui è soggetto il Titolare (art. 6, par. 1, lett. c) GDPR).
Periodo di conservazione: scritture contabili e documenti fiscali: 10 anni dalla data dell’ultima registrazione (art. 2220 c.c.); documentazione relativa alla gestione dei fornitori terzi di servizi TIC ed esternalizzazioni e alle verifiche sulle misure restrittive: durata del rapporto e 10 anni dalla sua cessazione.

d) Qualifica, valutazione e monitoraggio del fornitore, sicurezza delle informazioni e controllo degli accessi ai sistemi e ai locali.

Base giuridica: legittimo interesse del Titolare alla sicurezza delle informazioni e alla gestione dei rischi della catena di fornitura (art. 6, par. 1, lett. f) GDPR); gli adempimenti obbligatori per i fornitori di servizi TIC rientrano nella finalità c).
Periodo di conservazione: durata del rapporto con il fornitore e 10 anni dalla sua cessazione per la documentazione di qualifica e valutazione; registrazioni degli accessi (log): 12 mesi dalla registrazione, salvo conservazione ulteriore necessaria per l’accertamento di incidenti di sicurezza.

e) Accertamento, esercizio o difesa di un diritto del Titolare in sede giudiziale o stragiudiziale.

Base giuridica: legittimo interesse del Titolare alla tutela dei propri diritti in sede giudiziale e stragiudiziale (art. 6, par. 1, lett. f) GDPR).
Periodo di conservazione: dati contenuti in contratti, ordini e corrispondenza: 10 anni dalla cessazione del rapporto con il fornitore (art. 2946 c.c.); in caso di contenzioso, fino alla sua definizione e alla scadenza dei termini di impugnazione.

Decorsi i termini di conservazione sopra indicati, i dati sono cancellati o resi anonimi in modo irreversibile.

6. Natura del conferimento

Il conferimento dei dati per le finalità a) e c) è necessario: il mancato conferimento non consente alla Società di instaurare o eseguire il rapporto di fornitura né di adempiere agli obblighi di legge. Il conferimento dei dati dei referenti per le finalità b) e d) è necessario per la gestione operativa e la verifica del fornitore: in sua mancanza non è possibile gestire correttamente il rapporto. Per la finalità e) i dati sono trattati solo se e in quanto già acquisiti per le altre finalità.

7. Modalità di trattamento e sicurezza

I dati sono trattati prevalentemente con strumenti elettronici e, in misura residuale, su supporto cartaceo, da personale autorizzato e istruito, con misure tecniche e organizzative adeguate al rischio adottate nell’ambito del sistema di gestione della sicurezza delle informazioni e della privacy della Società (ISO/IEC 27001 e ISO/IEC 27701), tra cui controllo degli accessi in base al principio del minimo privilegio, autenticazione a più fattori, cifratura e registrazione degli accessi.

8. Destinatari dei dati

I dati possono essere comunicati, nei limiti strettamente necessari, alle seguenti categorie di destinatari:

fornitori di servizi informatici, cloud e di comunicazione utilizzati dalla Società, che agiscono come responsabili del trattamento (art. 28 GDPR);
consulenti contabili, fiscali, legali e del lavoro, società di revisione, collegio sindacale e società incaricata della funzione di internal audit esternalizzata, che agiscono come titolari autonomi o responsabili del trattamento;
istituti bancari e di pagamento, per l’esecuzione dei pagamenti;
enti di certificazione dei sistemi di gestione, nell’ambito delle verifiche di audit;
autorità di vigilanza (tra cui CONSOB e Banca d’Italia), autorità giudiziarie e altre pubbliche autorità, quando previsto dalla legge.

I dati non sono diffusi. L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta ai recapiti indicati al capitolo 2.

9. Trasferimento dei dati al di fuori dello Spazio Economico Europeo

I dati sono trattati prevalentemente all’interno dello Spazio Economico Europeo (SEE). Alcuni fornitori di servizi tecnologici della Società (ad esempio servizi cloud di posta elettronica, collaborazione e gestione delle relazioni) possono trattare dati anche al di fuori del SEE, in particolare negli Stati Uniti. In tali casi il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea (art. 45 GDPR), incluso l’EU-US Data Privacy Framework per i destinatari certificati, oppure di clausole contrattuali tipo approvate dalla Commissione (art. 46, par. 2, lett. c) GDPR). Copia delle garanzie adottate può essere richiesta ai recapiti indicati al capitolo 2.

10. Processi decisionali automatizzati

I dati non sono oggetto di processi decisionali basati unicamente su un trattamento automatizzato, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sull’Interessato (art. 22 GDPR).

11. Diritti dell’Interessato

L’Interessato può esercitare in qualsiasi momento i seguenti diritti:

Accesso (art. 15 GDPR): ottenere conferma che sia o meno in corso un trattamento di dati che lo riguardano e riceverne copia;
Rettifica (art. 16 GDPR): ottenere la correzione dei dati inesatti e l’integrazione di quelli incompleti;
Cancellazione (art. 17 GDPR): ottenere la cancellazione dei dati, nei casi previsti e fatti salvi gli obblighi di conservazione di legge;
Limitazione (art. 18 GDPR): ottenere la limitazione del trattamento, ad esempio in caso di contestazione dell’esattezza dei dati;
Portabilità (art. 20 GDPR): ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati forniti e trasmetterli a un altro titolare, limitatamente ai trattamenti basati sul contratto ed effettuati con mezzi automatizzati (finalità a);
Opposizione (art. 21 GDPR): opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, ai trattamenti basati sul legittimo interesse del Titolare (finalità b, d ed e). Il Titolare si astiene dal trattamento salvo che dimostri l’esistenza di motivi legittimi cogenti prevalenti o la necessità per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Le richieste possono essere inviate a [email protected]. La Società risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento; tale termine può essere prorogato di due mesi in caso di richieste complesse o numerose, informandone l’Interessato entro il primo mese. Il riscontro è gratuito, salvo il caso di richieste manifestamente infondate o eccessive (art. 12, par. 5 GDPR). La Società comunica le eventuali rettifiche, cancellazioni o limitazioni ai destinatari cui i dati sono stati trasmessi, salvo che ciò risulti impossibile o implichi uno sforzo sproporzionato (art. 19 GDPR).

12. Diritto di proporre reclamo

L’Interessato che ritenga che il trattamento dei propri dati violi il GDPR ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR), secondo le modalità indicate su www.garanteprivacy.it, o di adire le opportune sedi giudiziarie (art. 79 GDPR).

13. Comunicazione dell’informativa da parte del fornitore

Il fornitore persona giuridica che comunica alla Società dati personali di propri legali rappresentanti, dipendenti o collaboratori si impegna a portare la presente informativa a conoscenza degli stessi.

14. Modifiche e aggiornamenti

La Società può modificare o aggiornare la presente informativa, anche a seguito di variazioni normative o dei trattamenti. La versione vigente è pubblicata sul sito www.checksig.com, è richiamata nei contratti e negli ordini ai fornitori e viene comunicata ai fornitori attivi in caso di modifiche sostanziali.

Ultimo aggiornamento: 28/10/2026.

15. Registro delle revisioni

1.0 – 28/10/2026 – Compliance & Complaints: Prima emissione.