Informativa Fornitori

Il Responsabile della protezione dei dati di Invitalia può essere contattato all’indirizzo e-mail dpoinvitalia@invitalia.it

Nell’ambito della negoziazione, instaurazione e gestione della relazione contrattuale (“Contratto”), Invitalia potrà raccogliere le seguenti categorie di dati:

• dati anagrafici, identificativi e di contatto quali nome, cognome, indirizzo, codice fiscale, dati presenti nei curriculum vitae tra cui esperienze lavorative, ruolo aziendale, qualifiche ed eventuale iscrizione ad ordini o albi, indirizzi e-mail, numeri di telefono, PEC;
• informazioni su affidabilità commerciale e reputazionale, i cui dati sono reperibili tramite informazioni provenienti da fonti aperte e pubbliche e/o interrogazione di banche dati ad accesso pubblico o riservato (es. registro delle imprese, portale INPS o INAIL per la verifica del DURC, ecc.);
• dati giudiziari, tra cui dati relativi a condanne penali o reati e alle connesse misure di sicurezza (es. i dati relativi alle iscrizioni presso il casellario giudiziale e ai carichi pendenti); 
• dati contabili, fiscali e di pagamento, tra cui IBAN, coordinate bancarie, dati di fatturazione e pagamento.

In caso di contratti di appalto, e ove applicabile:

• copia del tesserino di identificazione;
• eventuali ulteriori dati personali in adempimento di obblighi di legge (a titolo esemplificativo, certificato DURC, DURF, copia delle polizze assicurative sottoscritte);

dati personali contenuti: (i) nelle buste paga relative ai dipendenti dell’appaltatore che lavorano presso le sedi del Titolare, (ii) negli F24 attestanti anche il regolare versamento delle ritenute fiscali sui redditi da lavoro, dei contributi previdenziali ed assistenziali, (iii) nelle copie delle quietanze di pagamento/bonifici relativi al pagamento delle retribuzioni dei dipendenti dell’appaltatore, (iv) nelle comunicazioni UNILAV di assunzione/cessazione del personale impiegato nel servizio e copia delle denunce retributive mensili UNIEMENS.

Oltre ai dati personali forniti direttamente nell’ambito della negoziazione e gestione del Contratto, Invitalia potrà acquisire altre informazioni mediante consultazione di fonti esterne, anche tramite interrogazione a banche dati ad accesso riservato.

I dati personali saranno trattati per le seguenti finalità:

• Gestione delle fasi precontrattuali: valutazione delle offerte, verifiche dei requisiti di partecipazione e negoziazione con il fornitore, svolgimento di due diligence preliminari. Il trattamento si basa sull’art. 6, par.1, lett. b) GDPR. I dati personali saranno conservati per 10 anni dall’aggiudicazione. I dati inseriti nell’Albo Fornitori di Invitalia saranno conservati per tutto il periodo in cui il fornitore resterà censito nei sistemi e anche oltre, secondo quanto disposto dalla normativa applicabile.
• Stipula ed esecuzione del Contratto: gestione amministrativa, contabile, logistica e operativa del rapporto contrattuale. Il trattamento si basa sull’art. 6, par.1, lett. b) GDPR. I dati saranno conservati per 10 anni dalla cessazione del Contratto.
• Adempimento di obblighi di legge: fatturazione, tenuta delle scritture contabili, adempimenti fiscali, obblighi in materia di trasparenza e anticorruzione, accertamento dei requisiti di onorabilità, obblighi di comunicazione, monitoraggio e reporting verso Ministeri vigilanti (incluso quanto previsto in materia di sicurezza nei luoghi di lavoro e verifica dell’adempimento da parte del fornitore della normativa applicabile in materia di appalti). Il trattamento si basa sull’art. 6, par. 1, lett. c) GDPR. I dati saranno conservati per 10 anni dalla cessazione del Contratto o per il periodo maggiore individuato da specifiche disposizioni di legge o regolamento applicabili ad Invitalia.
• Esecuzione di un compito di interesse pubblico: gestione di procedure ad evidenza pubblica e relativi controlli. Il trattamento si basa sull’art. 6, par. 1, lett. e) GDPR. I dati saranno conservati per 10 anni dalla cessazione del Contratto o per il periodo maggiore individuato da specifiche disposizioni di legge o regolamento applicabili ad Invitalia.
• Tutela dei diritti in sede giudiziaria: accertare, esercitare o difendere un diritto dell'Agenzia in sede giudiziaria. Il trattamento si basa sull’art. 6, par. 1, lett. f) GDPR. I dati saranno conservati per tutto il tempo necessario a tutelare gli interessi di Invitalia.
• Valutazione delle performance e analisi di processo: sarà analizzato l’andamento delle attività contrattuali per monitorarne l’efficienza, anche in comparazione con attività similari. I dati potranno anche essere utilizzati in forma aggregata per fini statistici relativi al monitoraggio dell’andamento delle attività della funzione Procurement. Il trattamento si basa sull’art. 6, par. 1, lett. e) GDPR. 

Il trattamento dei dati giudiziari, come definiti dall’art. 10 del GDPR, tra cui i dati riportati sul certificato generale del casellario giudiziale e dei carichi pendenti, viene effettuato in considerazione della natura pubblicistica e della finalità istituzionale di Invitalia ed è previsto, a livello normativo, dalla L. 190/2012 e ss.mm.ii. (Legge anticorruzione).

Taluni dati potranno poi essere trattati nell’ambito di controlli, attività di Internal auditing, per verificare la correttezza delle procedure di acquisto di beni o servizi e, in tal caso, il trattamento di dati per la presente finalità si basa sull’art. 6, par.1, lett. e) GDPR.

I dati personali saranno oggetto di pubblicazione nei casi previsti dalle norme in materia di trasparenza (D.Lgs. 33/2013 s.m.i.) e di contratti pubblici (D.Lgs. 36/2023).

Inoltre, i dati acquisiti potranno essere condivisi con le seguenti categorie di soggetti:

• Soggetti pubblici, Enti pubblici e privati (tra cui INPS, INAIL, ecc.);
• consulenti, revisori contabili e certificatori di bilancio;
• liberi professionisti o studi professionali incaricati di assumere la difesa di Invitalia in procedimenti contenziosi e/o amministrativi;
• soggetti che erogano, per conto di Invitalia, servizi di sviluppo, assistenza e manutenzione informatica, fornitura di prodotti hardware e software, provider di servizi cloud, servizi di formazione, servizi amministrativi connessi alla gestione del rapporto contrattuale;
• banche o altri istituti di credito per il pagamento dei corrispettivi;
• autorità di vigilanza e di controllo (es. ANAC, ecc.) per lo svolgimento degli accertamenti ispettivi previsti dalle disposizioni vigenti;
• autorità di Pubblica Sicurezza, Autorità giudiziaria o Guardia di finanza specializzata in indagini di attività finanziaria e alle altre forze di polizia quando ciò sia necessario per accertare o perseguire ipotesi di reato.

In qualunque momento è possibile esercitare, ove ne ricorrano i presupposti, i diritti di cui agli articoli 15 e seguenti del GDPR tramite l’apposito form pubblicato sul sito istituzionale di Invitalia oppure contattando il DPO all’indirizzo sopra indicato. Inoltre, ove ritenga che il trattamento dei dati violi i suoi diritti, può presentare in qualunque momento un reclamo all’Autorità Garante per la protezione dei dati personali, ai sensi dell’art. 77 del GDPR.