1. Premessa
La protezione dei dati personali rappresenta per Fondazione Evidence ETS (di seguito anche “la Fondazione”) un impegno etico, scientifico e giuridico. In qualità di Ente del Terzo Settore impegnato nella ricerca in ambito medico-scientifico, la Fondazione riconosce l’importanza di tutelare i diritti e le libertà fondamentali delle persone fisiche, garantendo che ogni trattamento di dati personali avvenga in conformità al Regolamento UE 2016/679 e alla normativa nazionale applicabile.
La presente policy ha lo scopo di illustrare in modo chiaro i principi, le misure e gli obblighi assunti dalla Fondazione per garantire un trattamento dei dati personali lecito, corretto e trasparente, tanto nel contesto delle proprie attività istituzionali quanto nella gestione delle relazioni con soggetti esterni.
2. Ambito di applicazione e destinatari
La presente policy si applica a:
• Tutti i trattamenti di dati personali effettuati dalla Fondazione nell’ambito delle proprie attività;
• Tutti i dipendenti, collaboratori, consulenti e partner della Fondazione, a prescindere dalla natura del rapporto (temporaneo, permanente o volontario);
• Tutti i sistemi e le tecnologie utilizzati per il trattamento dei dati personali.
La Fondazione adotta un modello organizzativo improntato alla responsabilizzazione (accountability) e alla prevenzione del rischio privacy.
3. Riferimenti normativi
• Regolamento (UE) 2016/679 – Regolamento generale sulla protezione dei dati (GDPR);
• D.lgs. 196/2003, come modificato dal D.lgs. 101/2018;
• Linee guida del Comitato europeo per la protezione dei dati (EDPB);
• Provvedimenti e pareri del Garante per la protezione dei dati personali;
• Codici di condotta e standard di settore, ove applicabili.
4. Titolare e DPO
Titolare del trattamento
Fondazione Evidence ETS
Sede legale: Viale Fulvio Testi n° 128, 20092 Cinisello Balsamo (MI)
E-mail: info@fondevidence.org
Data Protection Officer (DPO)
La Fondazione ha designato un Responsabile della Protezione dei Dati personali (DPO), ai sensi dell’art. 37 del Regolamento UE 2016/679, quale figura di garanzia e supervisione sul rispetto delle norme in materia di protezione dei dati personali.
Il DPO:
• fornisce consulenza sulle norme applicabili;
• vigila sull’osservanza della normativa da parte della Fondazione;
• è punto di contatto con l’Autorità Garante e con gli interessati.
Contatti DPO: dpo@fondevidence.org
5. Principi generali del trattamento
La Fondazione garantisce che ogni trattamento di dati personali avvenga nel rispetto dei seguenti principi (art. 5 GDPR):
1. Liceità, correttezza e trasparenza
2. Limitazione delle finalità
3. Minimizzazione dei dati
4. Esattezza e aggiornamento
5. Limitazione della conservazione
6. Integrità e riservatezza
7. Responsabilizzazione del Titolare (accountability)
6. Categorie di dati trattati
La Fondazione può trattare:
• Dati identificativi e di contatto (nome, cognome, email, telefono);
• Dati relativi alla posizione professionale o accademica;
• Dati di navigazione raccolti tramite il sito;
• Dati sanitari e appartenenti a categorie particolari, nell’ambito di specifici progetti di ricerca, trattati solo se strettamente necessari e con garanzie rafforzate.
7. Finalità del trattamento
I dati personali sono trattati per:
• rispondere a richieste di informazioni o contatti;
• gestire rapporti di collaborazione scientifica o amministrativa;
• organizzare eventi, seminari, attività divulgative;
• sviluppare progetti di ricerca medica, clinica ed epidemiologica;
• adempiere obblighi normativi, fiscali, amministrativi o di rendicontazione;
• garantire la sicurezza dei sistemi informatici e la protezione dei dati.
8. Basi giuridiche del trattamento
I trattamenti di dati personali si fondano su almeno una delle seguenti basi giuridiche:
• Consenso esplicito dell’interessato (art. 6.1.a – 9.2.a GDPR);
• Necessità contrattuale o precontrattuale;
• Obbligo legale;
• Interesse legittimo del titolare (bilanciato con i diritti degli interessati);
• Finalità di ricerca scientifica nel rispetto dell’art. 9.2.j e delle misure di garanzia previste dal Garante.
9. Modalità del trattamento e sicurezza
Il trattamento dei dati avviene sia con strumenti informatici che cartacei, con modalità idonee a garantire la sicurezza, l’integrità e la riservatezza delle informazioni.
La Fondazione adotta misure tecniche e organizzative adeguate, tra cui:
• autenticazione e controllo degli accessi;
• pseudonimizzazione e, ove possibile, anonimizzazione;
• policy di backup e continuità operativa;
• formazione continua del personale autorizzato.
10. Comunicazione e trasferimento dei dati
I dati personali possono essere comunicati a:
• enti e organismi pubblici per obblighi normativi o istituzionali;
• partner di ricerca scientifica nel rispetto di accordi di contitolarità o co-responsabilità;
• fornitori di servizi informatici e consulenti, in qualità di responsabili del trattamento formalmente designati.
Eventuali trasferimenti di dati personali verso Paesi terzi avverranno solo in presenza di garanzie adeguate, conformemente al Capo V del GDPR (es. decisioni di adeguatezza, SCC, BCR).
11. Conservazione dei dati
I dati saranno conservati solo per il tempo strettamente necessario alle finalità indicate, o per il periodo previsto da obblighi normativi o regolamentari. Al termine, i dati saranno cancellati o resi anonimi.
12. Diritti degli interessati
Gli interessati possono esercitare i propri diritti ai sensi degli artt. 15-22 del GDPR, tra cui:
• diritto di accesso;
• rettifica e aggiornamento;
• cancellazione (diritto all’oblio);
• limitazione e opposizione;
• portabilità;
• revoca del consenso (senza pregiudicare la liceità del trattamento svolto prima della revoca).
Per l’esercizio dei diritti:
Email: fondevidence@gmail.com
Oppure tramite il DPO ai contatti sopra indicati.
13. Violazioni dei dati personali (data breach)
La Fondazione ha adottato una procedura interna per la gestione degli incidenti e delle violazioni di dati personali. In caso di rischi per i diritti degli interessati, ne verrà data tempestiva comunicazione all’Autorità di controllo e, se necessario, anche agli interessati stessi entro i termini previsti dal Regolamento.
14. Aggiornamento della policy
La presente policy è aggiornata con cadenza almeno annuale od ogniqualvolta vi siano modifiche normative od organizzative rilevanti.
Ultimo aggiornamento: 23/10/2025