Política de Whistleblowing

PARA LA GESTIÓN DE LAS DENUNCIAS DE DELITOS, ILÍCITOS O IRREGULARIDADES

Sitio web para realizar una denuncia

Descargar Política (PDF)

1. Introducción

Por “whistleblowing” se entiende la comunicación o denuncia de cualquier información relativa a conductas (activas u omisivas) y hechos que — incluso de forma potencial — no se ajusten a la ley, a los principios establecidos en el Código Ético de expert.ai S.p.A., al Modelo de Organización, Gestión y Control adoptado por expert.ai S.p.A. conforme al Decreto Legislativo 231/2001, a los procedimientos internos o a cualquier otra normativa externa aplicable al Grupo (como se define más adelante), así como las infracciones incluidas en el ámbito de aplicación de las normativas nacionales o europeas (en adelante, las “Denuncias”) que puedan afectar la integridad del Grupo y que hayan sido conocidas en el contexto laboral.

La presente Política (la “Política”), redactada en cumplimiento de la Directiva (UE) 2019/1937 y del Decreto Legislativo italiano n.º 24/2023, tiene por objeto regular el proceso de envío, recepción, análisis y tratamiento de las Denuncias, realizadas — también de forma anónima — por el personal del Grupo (incluyendo la Alta Dirección y los miembros de los órganos societarios) y/o por colaboradores externos (en adelante, el “Denunciante”).

La Política está en vigor desde el 01/02/2021. Toda actualización posterior sustituye, a partir de su fecha de emisión, a todas las versiones anteriores. La actualización corresponde al equipo interno de Compliance o a los consultores designados.

La Política, así como sus actualizaciones, deberán ser aprobadas por el órgano de administración del Grupo. El Consejo de Administración será informado de la adopción y de las actualizaciones posteriores.La Política está disponible en la intranet corporativa, en la sección Compliance – Whistleblowing, así como en el sitio web institucional de expert.ai, en la sección Gobernanza Corporativa – expert.ai | expert.ai, y en la Plataforma (según se define más adelante).

2. Canales de denuncia

De conformidad con el artículo 4 del Decreto Legislativo 24/2023, el Grupo ha establecido un canal interno específico de denuncia destinado a comunicar presuntas infracciones, capaz de garantizar — como se detalla más adelante — la eficacia de la Denuncia y, al mismo tiempo, la protección de la identidad del Denunciante, mediante una plataforma web seleccionada por el Grupo y conforme con la normativa vigente (en adelante, la “Plataforma”). La Plataforma será fácilmente accesible a través de un enlace enviado individualmente por correo electrónico y publicado en el sitio: https://www.expert.ai.

---

La Denuncia será recibida por los sujetos designados para su gestión y responsables del proceso de análisis y tratamiento, como el Chief People Officer (en adelante, los “Receptores”).

El proceso de evaluación de la Denuncia será realizado por los Receptores en pleno respeto de los principios establecidos en la normativa aplicable, conforme a las modalidades descritas en el apartado 6 (“El Proceso”).

3.  Ámbito subjetivo de aplicación

Son destinatarios de la presente Política:

• La Alta Dirección y los miembros de los órganos sociales del Grupo;
• Todos los empleados del Grupo;
• Las personas que, aun sin formar parte del personal, actúan en nombre del Grupo y bajo su dirección o control (por ejemplo: trabajadores cedidos, colaboradores continuos, becarios o practicantes) (denominados junto con la Alta Dirección, el “Personal”);
• Socios, clientes, proveedores, consultores, colaboradores externos y, en general, cualquier persona con una relación de interés con el Grupo (los “Terceros”);
• El Personal y los Terceros de las siguientes sociedades: expert.ai S.p.A., Expert System Iberia SLU, Expert System France SA, Expert System Deutschland GmbH (denominadas conjuntamente el “Grupo”).

Todas las personas antes mencionadas pueden efectuar Denuncias cuando la relación jurídica:

• Está vigente;
• Aún no ha comenzado, si la información fue obtenida durante un proceso de selección o fases precontractuales;
• Ha finalizado, si la información sobre infracciones fue adquirida durante el desempeño laboral o el período de prueba.

Además, las medidas de protección descritas en el capítulo 5 se extienden a:

• Facilitadores, es decir, personas que asisten al Denunciante en el proceso de denuncia prestándole asesoramiento o apoyo, actuando dentro del mismo entorno laboral (“Facilitador(es)”);
• Personas del mismo entorno laboral vinculadas al Denunciante por lazos familiares o afectivos estables hasta el cuarto grado;
• Compañeros de trabajo con relación habitual y continua;
• Entidades de propiedad del Denunciante (de las cuales sea titular único o mayoritario);
• Entidades para las que el Denunciante trabaje (por ejemplo, empleado de una empresa proveedora del Grupo);
• Entidades que operen en el mismo entorno laboral (por ejemplo, socios comerciales).

4. Ámbito objetivo de aplicación

La Política se aplica, en particular, a las Denuncias relativas a:

• Ilícitos administrativos, contables, civiles o penales;
• Conductas ilícitas relevantes según el D. Lgs. 231/2001 o infracciones del Modelo de Organización y Control, del Código Ético o de los procedimientos internos del Grupo (por ejemplo: incumplimiento contractual, difamación, amenazas, violación de la privacidad o de acuerdos de confidencialidad, fraude, uso indebido de bienes corporativos);
• Comportamientos que impliquen riesgo de comisión de un ilícito o delito, incluso si no están incluidos entre los delitos presupuestos del D. Lgs. 231/2001;
• Supuestas violaciones, incitaciones o inducciones a infringir normas legales o reglamentarias, o procedimientos internos del Grupo;
• Infracciones que entren dentro del ámbito de aplicación de actos de la Unión Europea o nacionales, relativos a los siguientes sectores:
  • Contratación pública;
  • servicios, productos y mercados financieros y prevención del blanqueo de capitales y de la financiación del terrorismo;
  • seguridad y conformidad de los productos;
  • seguridad del transporte; o protección del medio ambiente;
  • radioprotección y seguridad nuclear;
  • seguridad de los alimentos y los piensos y salud y bienestar de los animales;
  • salud pública;
  • protección de los consumidores;
  • protección de la vida privada y de los datos personales y seguridad de las redes y sistemas de información
• Actos u omisiones que perjudiquen los intereses financieros de la Unión Europea, según lo dispuesto en el artículo 325 del Tratado de Funcionamiento de la Unión Europea, especificados en el derecho derivado pertinente de la Unión Europea;
• actos u omisiones relacionados con el mercado interior, contemplado en el artículo 26, apartado 2, del Tratado de Funcionamiento de la Unión Europea, incluidas las infracciones de las normas de la Unión Europea en materia de competencia y ayudas estatales, así como las infracciones relacionadas con el mercado interior vinculadas a actos que vulneren las normas sobre el impuesto de sociedades o mecanismos cuyo objetivo sea obtener una ventaja fiscal que contravenga el objeto o la finalidad de la normativa aplicable en materia de impuesto de sociedades;
• actos o conductas que contravengan el objeto o la finalidad de las disposiciones establecidas en los actos de la Unión Europea en los sectores mencionados anteriormente;
• sospechas relativas a infracciones cometidas o que, sobre la base de elementos concretos, pudieran cometerse dentro de la organización empresarial, o relacionadas con conductas destinadas a ocultar dichas infracciones;
• denuncias procedentes de terceros relativas a presuntas observaciones, irregularidades y hechos censurables;
• quejas (exposiciones) relacionadas con cuestiones de contabilidad y controles.

Con el fin de concretar el alcance de aplicación del presente documento, se presentan algunos ejemplos de hechos susceptibles de Comunicación:

✓ infracciones de normas, internas y externas, que regulan la actividad del Grupo, incluidas las contenidas en el Modelo de Organización, Gestión y Control de expert.ai S.p.A., así como los principios y reglas de conducta establecidos en el Código Ético;

✓ conductas ilícitas o fraudulentas, cometidas por empleados, miembros de los Órganos sociales o terceros (proveedores, consultores, colaboradores) que puedan ocasionar, de manera directa o indirecta, un perjuicio económico-patrimonial y/o de imagen para el Grupo;

✓ la eventual comisión de delitos por parte de empleados, miembros de los Órganos sociales o terceros (proveedores, consultores, colaboradores) cometidos en perjuicio del Grupo o que puedan generar posibles responsabilidades para el Grupo.

Las Denuncias pueden también referirse a solicitudes de aclaración sobre la corrección de conductas propias o ajenas respecto del Código Ético.

No se consideran objeto de denuncia las reclamaciones personales o conflictos individuales. Tampoco pueden utilizarse los canales de whistleblowing con fines personales o de represalia. Asimismo, quedan excluidas las denuncias de carácter comercial o sindical, salvo que se basen en la infracción de una norma legal o interna.

La Denuncia deberá contener todos los elementos útiles para verificar los hechos comunicados y permitir a los Receptores efectuar las comprobaciones necesarias (véase apartado 6, “El Proceso”).

5. Principios generales

La Política se basa en los siguientes principios:

a) Protección del Denunciante

En conformidad con la normativa aplicable, el Grupo garantiza la protección del Denunciante frente a cualquier acción de represalia o comportamiento, directo o indirecto, adoptado como consecuencia de la Denuncia (con independencia de que resulte fundada o no). Estas acciones pueden incluir, a modo enunciativo: despido, suspensión, degradación profesional, pérdida de beneficios, traslado injustificado, acoso, mobbing, hostilidad en el lugar de trabajo o cualquier otra medida que genere condiciones laborales desfavorables o intolerables.

En particular, se establece que:

• El Denunciante podrá — personalmente o a través de su organización sindical — comunicar cualquier conducta discriminatoria al Inspectorado Nacional de Trabajo, para los fines de su competencia;
• Será nulo el despido retaliatorio o discriminatorio del Denunciante;
• Serán nulas las medidas de cambio de funciones conforme al art. 2103 del Código Civil italiano, así como cualquier otra medida retaliatoria o discriminatoria adoptada contra el Denunciante.

Asimismo, en caso de controversias relacionadas con sanciones disciplinarias, cambios de funciones, despido, traslado u otras medidas con efectos negativos — directos o indirectos — sobre las condiciones laborales posteriores a una Denuncia, el Decreto Legislativo 24/2023 establece que será responsabilidad del empleador demostrar que dichas medidas no están vinculadas a la Denuncia.

b) Protección de la confidencialidad

Toda información recibida en el marco de una Denuncia será tratada de forma confidencial y conforme a la normativa de protección de datos, con el fin de impedir que personas no autorizadas tengan acceso a ella.

La Plataforma utilizada por el Grupo garantiza el respeto de la confidencialidad de la identidad del Denunciante durante todas las fases del proceso.
Para más información sobre el tratamiento de datos, consulte la Información de Privacidad incluida al final de esta Política y publicada en la Plataforma.

Los Receptores han recibido formación específica y autorización según el art. 2-quaterdecies del Decreto Legislativo 196/2003 que les obliga a respetar estrictamente la confidencialidad.

Los Receptores solo podrán compartir información cuando sea estrictamente necesario para las investigaciones. Esto aplica también a cualquier persona que, por cualquier motivo o necesidad, tenga conocimiento del contenido de la Denuncia o de los datos del Denunciante o de la persona implicada.

En el marco de un procedimiento disciplinario, la identidad del Denunciante podrá revelarse únicamente si concurren las siguientes condiciones:

1. exista consentimiento expreso del Denunciante;
2. la contestación disciplinaria se base total o parcialmente en la Denuncia y conocer la identidad del Denunciante sea indispensable para la defensa de la persona denunciada, siempre que ésta lo solicite y motive durante su alegación o defensa.

Fuera de estas excepciones, no se podrá compartir la identidad del Denunciante ni información que permita identificarlo, sin su consentimiento.

En el ámbito de un procedimiento penal, la identidad del Denunciante estará protegida por el secreto oficial hasta el cierre de la investigación preliminar.

Si la Autoridad Judicial lo exigiera por motivos de investigación, el Grupo comunicará la identidad del Denunciante a dicha autoridad.

c) Prevención del abuso del sistema de denuncia

El Grupo garantiza protección frente a usos abusivos del sistema, tales como:

• Denuncias infundadas realizadas con dolo o culpa grave;
• Denuncias oportunistas o con fines retaliatorios;
• Uso instrumental o malintencionado de la Política.

La presentación de Denuncias falsas y malintencionadas podrá dar lugar a responsabilidad disciplinaria para el Denunciante.Si se verifica la mala fe, la protección de la confidencialidad cesará y la identidad del Denunciante podrá comunicarse a la persona denunciada, con el fin de permitir el ejercicio de acciones legales por calumnia o difamación.

d) Medidas de apoyo

El Denunciante puede solicitar apoyo gratuito a entidades del Tercer Sector habilitadas por la Autoridad Nacional Anticorrupción (ANAC). Estas entidades pueden ayudar con:

✓ modalidades de presentación de la Denuncia;

✓ protección frente a represalias prevista por la normativa de la UE y nacional;

✓ derechos de la persona implicada;

✓ acceso al patrocinio jurídico gratuito cuando corresponda.

e) Limitations of liability

El Denunciante no incurrirá en responsabilidad civil, penal, administrativa o disciplinaria cuando comunique información sujeta a secreto profesional o confidencial si dicha comunicación era necesaria para revelar la infracción, incluyendo:

✓ secreto oficial (art. 326 Código Penal italiano);

✓ secreto profesional (art. 622 c.p.);

✓ secretos científicos o industriales (art. 623 c.p.);

✓ violación del deber de lealtad (art. 2105 c.c.);

✓ derechos de autor;

✓ protección de datos;

✓ revelación de información que pueda dañar la reputación de la persona implicada.

Esta exención solo aplica si:

✓ la obtención de la información fue lícita;

✓ el Denunciante tenía motivos razonables para creer que la información era necesaria para revelar la infracción;

✓ existía convicción razonable de veracidad y pertinencia de la información revelada;

✓ la Denuncia se presentó conforme a esta Política.

6. El Proceso

6.1 Presentación de la Denuncia

El Personal y los Terceros podrán presentar Denuncias accediendo a la Plataforma a través del enlace publicado en la página web de expert.ai, siguiendo las instrucciones indicadas, en cuanto tengan conocimiento de hechos relevantes a los fines de la presente Política.

Si un miembro del Personal recibe una Denuncia por canales distintos (por ejemplo, de otro empleado o un tercero), deberá — con absoluta confidencialidad — transmitirla a través de la Plataforma, adjuntando toda la documentación recibida, sin conservar copias y absteniéndose de realizar análisis o valoraciones autónomas.

La no comunicación de una Denuncia constituye una violación de esta Política y, si se realiza con mala fe, podrá conllevar sanciones disciplinarias.

6.2 Canales de transmisión de la Denuncia

La Denuncia debe presentarse mediante la Plataforma, completando el formulario correspondiente. El Denunciante podrá optar entre revelar su identidad o presentar una Denuncia anónima.

También es posible presentar la Denuncia por correo postal (utilizando el formulario incluido en el Anexo), introduciendo:

• una primera sobre con la Denuncia;
• una segunda sobre con los datos del Denunciante (solo si no desea permanecer en el anonimato).

Ambas sobres deberán colocarse dentro de un tercer sobre con la indicación externa: “Reservado – whistleblowing”, y enviarse a:

A la atención de:
Francesca Petronio
Viale Virgilio 48/H
41123 Modena – Italia

Una vez recibida, los Receptores deberán enviar un acuse de recibo al Denunciante — a través de la Plataforma — en un plazo máximo de 7 días.

También podrá solicitar una reunión directa con los Receptores. La entrevista podrá registrarse con el consentimiento del Denunciante o documentarse mediante acta, que el Denunciante podrá revisar, corregir y firmar.

El Denunciante podrá estar asistido por un Facilitador durante toda la tramitación.

La Denuncia también puede presentarse de forma oral a través de la Plataforma.

6.3 Contenido de la Denuncia

La Denuncia deberá contener información suficiente para permitir la verificación de los hechos.
Aunque se evaluarán también Denuncias incompletas, se recomienda incluir:

1. descripción clara y detallada de los hechos denunciados;
2. fechas y lugares en los que ocurrieron los hechos (si se conocen);
3. identidad o elementos identificativos de los presuntos autores (si se conocen);
4. datos de posibles testigos o personas conocedoras de los hechos;
5. documentos o pruebas que acrediten los hechos;
6. cualquier otra información relevante para la verificación.

6.4 Verificación preliminar

Todas las Denuncias serán sometidas a una evaluación preliminar por los Receptores para verificar si contienen elementos suficientes que permitan una primera valoración, así como identificar la normativa aplicable (p. ej., D. Lgs. 231/2001, anticorrupción, blanqueo de capitales, etc.).

Los Receptores podrán solicitar aclaraciones o información adicional al Denunciante, siempre mediante la Plataforma.

En un plazo máximo de 3 meses desde la emisión del acuse de recibo — o, si no lo hubiera, desde los 7 días posteriores a la Denuncia — los Receptores:

• Archivarán la Denuncia cuando no existan elementos suficientes o sea manifiestamente infundada, comunicando la decisión al Denunciante;
• Remitirán el caso a las áreas competentes si la Denuncia se refiere a materias no cubiertas por esta Política;
• Continuarán con la investigación si se necesitan más verificaciones.

La Plataforma garantiza que, si la Denuncia implicara a uno de los Receptores, ésta se asignará automáticamente a un Receptor alternativo no afectado por conflicto de interés.

6.5 Evaluación e investigación

Si tras la evaluación preliminar existen elementos suficientes:

Los Receptores podrán:

1. realizar análisis e investigaciones específicas — con apoyo de unidades internas o externas — incluyendo entrevistas y auditorías;
2. recopilar documentación interna relevante;
3. entrevistar a la persona denunciada, cuando no comprometa la investigación ni la protección del Denunciante;
4. cerrar la investigación si se demuestra la infundada de la Denuncia;
5. implicar expertos externos si es necesario;
6. acordar con la dirección acciones correctivas para subsanar debilidades detectadas;
7. implementar medidas para proteger los intereses del Grupo (p. ej., acciones legales, suspensión o baja de proveedores);
8. pedir el inicio de un procedimiento disciplinario contra el Denunciante si actúa con mala fe;
9. solicitar medidas disciplinarias contra quienes violen la confidencialidad;
10. aplicar medidas disciplinarias si la Denuncia resulta fundada;
11. elevar el caso al Consejo de Administración o al Colegio de Auditores si afecta a sus miembros;
12. informar a las áreas responsables en caso de terceros implicados para la adopción de las medidas oportunas (p. ej., rescisión de contrato).

Para cada audiencia deberá redactarse un acta específica firmada por todos los participantes en la audiencia (incluido el declarante).

Los Receptores informarán al Informado de los hechos que se le imputan para que pueda defenderse y ejercer sus derechos. El Informado será informado de manera confidencial y segura, y se le proporcionarán instrucciones sobre cómo ejercer sus derechos.

No obstante, los Receptores podrán decidir, cuando dispongan de elementos fiables y materialmente verificables, adoptar medidas cautelares, en particular para prevenir la destrucción de pruebas relacionadas con la Comunicación, antes de informar al Informado sobre el proceso de análisis de la Comunicación.

El Informado no tiene derecho a conocer la identidad del Informante.

En el marco del procedimiento disciplinario, la identidad del Informante no podrá ser revelada si la imputación disciplinaria se basa en comprobaciones distintas y adicionales a la Comunicación, incluso cuando deriven de la misma. En cambio, si la imputación disciplinaria se fundamenta, total o parcialmente, en la Comunicación y el conocimiento de la identidad del Informante resulta indispensable para la defensa del acusado, dicha identidad podrá ser revelada únicamente con el consentimiento expreso del Informante para su divulgación.

La solicitud de consentimiento se formulará al Informante por escrito e incluirá la indicación de las razones que justifican la revelación de los datos reservados.

En cualquier caso, no se iniciará ningún procedimiento disciplinario (ya sea previsto en el contrato de trabajo y/o en el sistema disciplinario conforme al D.Lgs. 231/2001) contra el Informado a causa de la Comunicación recibida, salvo que y mientras existan pruebas concretas relativas a su contenido.

Al término de la evaluación de las Comunicaciones, o en todo caso en el plazo máximo de tres (3) meses desde la fecha de emisión del acuse de recibo de la Comunicación o, en ausencia de dicho acuse, dentro de los tres (3) meses posteriores al vencimiento del plazo de siete (7) días desde la presentación de la Comunicación, los Receptores proporcionarán una respuesta sobre el resultado final de la Comunicación, que se comunicará al Informante a través de la Plataforma.

7. Reporte periódico

Los Receptores elaborarán, cada seis meses, un Informe que incluya:

1. Denuncias recibidas en el período de referencia;
2. Denuncias previas aún no archivadas;
3. Denuncias archivadas en el período.

En el Informe se indica el «estado» de cada Comunicación (p. ej., recibida, abierta, propuesta para archivo, archivada, en fase de verificación/auditoría, etc.) y las eventuales acciones emprendidas. Los Receptores proceden a transmitir el informe de las Comunicaciones a: (1) el Presidente del Consejo de Administración, (2) el Consejero Delegado, (3) el Colegio Sindical.

Cuando se considere necesario, los Receptores informarán con prontitud al Presidente del Consejo de Administración y al Consejero Delegado sobre eventos o información relacionada con Comunicaciones específicas, con el fin de compartir e implementar de inmediato las acciones más adecuadas para proteger el patrimonio empresarial, siempre en cumplimiento de las normativas externas e internas aplicables.

Las verificaciones realizadas conforme a la presente Política no modifican las prerrogativas ni la autonomía propias atribuidas al Colegio Sindical y al Chief People Officer por la ley y por las normativas internas de la empresa, quienes podrán evaluar el ejercicio de sus poderes autónomos de control al recibir la información dirigida a ellos en virtud de la presente Política y del informe de las Comunicaciones.

8. Conservación de la documentación

Con el fin de garantizar la gestión y la trazabilidad de las Comunicaciones y de la presente Política, los Receptores se encargan de la preparación y actualización de toda la información relativa a las Comunicaciones y aseguran el archivo de toda la documentación de soporte relacionada durante un período no superior a cinco (5) años desde la fecha de comunicación del resultado final de la Política, salvo en el caso de un procedimiento ante la autoridad judicial que requiera conservar la documentación más allá de dicho período.

9. Canal de denuncia externa

El Denunciante podrá optar por presentar una Denuncia externa a través de los canales habilitados por la Autoridad Nacional Anticorrupción (ANAC) cuando concurra al menos una de las siguientes condiciones:

• el canal interno no está operativo o, aún si lo está, no cumple los requisitos legales;
• el Denunciante ya presentó una Denuncia interna y no recibió respuesta o no se tomaron medidas;
• existen fundados motivos para creer que la Denuncia interna podría no ser tramitada de forma adecuada o podría conllevar un riesgo de represalias;
• existen razones fundadas para considerar que la supuesta violación podría constituir un peligro inminente o evidente para el interés público.

Las modalidades de acceso al canal externo y la normativa aplicable están definidas en el D. Lgs. 24/2023 y reguladas por ANAC a través de su página web y directrices específicas.

10. Divulgación pública

La divulgación pública consiste en hacer públicos los hechos objeto de la Denuncia.

Aunque constituye un instrumento distinto respecto a la Denuncia interna o externa, el Denunciante mantiene el derecho a su protección si, en el momento de la divulgación pública, se da al menos una de las siguientes condiciones:

• el Denunciante presentó previamente una Denuncia interna y una externa, o directamente una externa, de acuerdo con la normativa, y no recibió respuesta dentro de los plazos establecidos;
• existen fundados motivos para creer que la violación representa un peligro grave e inminente para el interés público;
• existen fundados motivos para creer que la Denuncia externa puede comportar el riesgo de represalias o puede no tener un seguimiento eficaz, especialmente en casos donde podrían ocultarse pruebas o cuando existe sospecha de colusión o interés del destinatario de la Denuncia.

11. Sistema sancionador

Se aplicarán sanciones en caso de incumplimiento de la presente Política. En particular:

✓ Sanciones disciplinarias al Denunciante que presente Denuncias falsas, con mala fe, manifiestamente infundadas o realizadas con dolo o culpa grave, incluyendo los casos en que se determine su responsabilidad penal (calumnias o difamación) o responsabilidad civil por haber proporcionado información falsa;

✓ Sanciones para los Receptores o personal involucrado en la instrucción que vulneren el deber de confidencialidad sobre la identidad del Denunciante o sobre el contenido de la Denuncia;

✓ Sanción disciplinaria para la persona denunciada cuando, al finalizar la investigación, la Denuncia resulte fundada y se proceda a abrir un procedimiento disciplinario interno. También constituyen fuente de responsabilidad, tanto en el ámbito disciplinario como en otras instancias competentes, las posibles formas de abuso, tales como las Comunicaciones oportunistas y/o realizadas con el único propósito de perjudicar al denunciado u otros sujetos, así como cualquier otro supuesto de uso indebido o de instrumentalización intencionada del mecanismo de whistleblowing.

INFORMACIÓN PARA EL TRATAMIENTO DE LOS DATOS PERSONALES CONFORME A LOS ART. 13 Y 14 DEL REGLAMENTO (UE) 2016/679 PARA LAS COMUNICACIONES DE WHISTLEBLOWING

Le informamos que, de conformidad con los artículos 13 y 14 del Reglamento (UE) 2016/679 (en adelante, el “Reglamento” o “GDPR”), Expert.ai S.p.A., con sede legal en Rovereto (38068 – Trento, Italia), Via Fortunato Zeni, n.º 8, CIF 02608970360 (en adelante, “expert.ai”), Expert System Iberia SLU, con sede en Calle Poeta Joan Maragall, 3-5 Escalera Izquierda, Planta 1, Derecha 28020 Madrid (España), CIF ES B66425513 (en adelante, “Expert System Iberia”), Expert System France SA, con sede en 15 – 17, rue Traversière, 75012 Paris (Francia), CIF FR81432265585 (en adelante, “Expert System France”), y Expert System Deutschland GMBH, con sede en Theodor-Stern-Kai, 60596 Frankfurt am Main (Alemania), CIF DE813075265 (en adelante, “Expert System Deutschland”), actúan como Corresponsables del Tratamiento (en adelante, los “Corresponsables”) de los datos personales recogidos en el contexto de las comunicaciones de violaciones de disposiciones normativas nacionales o de la Unión Europea que afecten al interés público o a la integridad de los Corresponsables (en adelante, “Comunicación de Whistleblowing”).

Los Corresponsables han regulado sus respectivos roles y responsabilidades mediante un acuerdo suscrito de conformidad con el art. 26 del Reglamento, cuyo contenido esencial está disponible previa solicitud por escrito a: [email protected].

El presente documento no sustituye, sino que complementa la información ya facilitada anteriormente en otras notas informativas (por ejemplo, a empleados, proveedores, etc.), por lo que no se repetirán los contenidos ya proporcionados.

1. Corresponsables del Tratamiento

Los Corresponsables del tratamiento de sus datos personales, es decir, los sujetos que determinan los fines y los medios del tratamiento, son expert.ai, Expert System Iberia, Expert System France y Expert System Deutschland, según lo definido anteriormente.Para cualquier información relativa al tratamiento de datos personales por parte de los Corresponsables, puede escribir a: [email protected]. Asimismo, los Corresponsables han designado un Delegado de Protección de Datos (DPO) al que podrá dirigirse para cualquier cuestión relacionada con el tratamiento de sus datos personales en: [email protected]

2. Categorías y Tipos de Datos Personales Tratados

Los datos personales objeto de tratamiento podrán incluir, únicamente si decide revelar su identidad, sus datos identificativos (por ejemplo, nombre, apellidos, dirección de correo electrónico, etc.), así como los datos identificativos de la persona denunciada y los nombres de otras personas que puedan aportar información relativa a los hechos objeto de la Comunicación de Whistleblowing, así como cualquier dato relacionado con su Comunicación.

Además, en este contexto podrían revelarse categorías especiales de datos personales previstas en el art. 9 del GDPR (por ejemplo, datos que revelen origen racial o étnico, convicciones religiosas, filosóficas o de otro tipo, opiniones políticas, afiliación a partidos, sindicatos, asociaciones u organizaciones de carácter religioso, filosófico, político o sindical; así como datos relativos a la salud o a la vida sexual), y datos de naturaleza penal según el art. 10 del GDPR (datos relativos a condenas penales y delitos).

En general, le invitamos a no proporcionar este tipo de datos, ya sean propios o de terceros, salvo que resulten estrictamente necesarios para la Comunicación de Whistleblowing.

3. Finalidad y Base Jurídica del Tratamiento

Sus datos personales serán tratados, dentro de los límites anteriormente indicados, con el fin de recibir, analizar y gestionar la Comunicación de Whistleblowing.

La base jurídica que legitima este tratamiento es el cumplimiento de una obligación legal, concretamente la prevista por el Decreto Legislativo italiano 24/2023, conforme al art. 6(1)(c) del Reglamento.

El eventual tratamiento de categorías especiales de datos personales o datos penales se llevará a cabo por los Corresponsables en cumplimiento de obligaciones en materia de seguridad laboral y seguridad social, conforme al art. 9(2)(b) del Reglamento.

Una vez gestionada la Comunicación de Whistleblowing, su contenido podrá ser utilizado con finalidad de defensa judicial de los Corresponsables o para emprender las acciones necesarias de defensa. En ese caso, la base jurídica del tratamiento será el interés legítimo de los Corresponsables, conforme al art. 6(1)(f) del Reglamento.

La Comunicación de Whistleblowing podrá ser asimismo utilizada para iniciar acciones disciplinarias o sancionadoras cuando existan comportamientos fraudulentos, difamatorios, vejatorios o discriminatorios contra la persona denunciada o contra el denunciante. Dicho tratamiento se realiza conforme a la normativa aplicable (D. Lgs. 24/2023).

En caso de que la Comunicación de Whistleblowing se presente de forma oral, podrá ser grabada, únicamente con su consentimiento expreso, que podrá otorgar mediante el formulario habilitado. No es obligatorio otorgar dicho consentimiento. En caso de no proporcionarlo, la Comunicación será igualmente gestionada previa transcripción de su contenido. Podrá verificar, rectificar y confirmar la transcripción.

Los plazos de conservación serán los indicados en la sección correspondiente.

4. Anonimato en la Comunicación

Le recordamos que puede realizar una Comunicación de Whistleblowing de forma anónima, y que esta será igualmente tenida en cuenta y analizada.

En relación con la identidad del sujeto denunciado, la aportación de sus datos personales es igualmente facultativa; sin embargo, la Comunicación podría no ser evaluada si ello hace imposible su análisis.

Si usted decide revelar su identidad, sus datos serán tratados únicamente por personal autorizado, sujeto a obligaciones de confidencialidad.
No obstante, el contenido de la Comunicación podrá ser compartido con los sujetos previstos por la ley (véase apartado “Destinatarios”).

5. Destinatarios

Sus datos personales y, en general, todos los datos comunicados mediante la Comunicación de Whistleblowing, junto con la documentación de soporte, podrán ser comunicados —en la medida estrictamente necesaria— a los siguientes sujetos, obligados a la confidencialidad (los “Destinatarios”):

a) Órganos colegiados de los Corresponsables competentes y las personas estrictamente necesarias para gestionar la Comunicación, que estén sujetas a obligación de confidencialidad, incluido el facilitador, cuando corresponda;
b) Eventuales asesores legales externos y proveedores de la plataforma utilizada, con los cuales los Corresponsables hayan suscrito contratos de tratamiento de datos según el art. 28 del GDPR, actuando como encargados del tratamiento;
c) Sujetos, organismos o autoridades a los que sea obligatorio comunicar sus datos personales en virtud de disposiciones legales o por orden de una autoridad.

6. Transferencia de Datos

Los Corresponsables podrán transferir algunos de sus datos personales fuera del Espacio Económico Europeo.
En tales casos, los Corresponsables garantizan que dichas transferencias se realizarán mediante garantías adecuadas, tales como Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otras bases jurídicas reconocidas conforme a la normativa europea aplicable. Puede solicitar información adicional a los Corresponsables.

7. Conservación de los Datos

Las Comunicaciones de Whistleblowing serán gestionadas en un plazo máximo de tres meses desde la fecha del acuse de recibo o, en ausencia de este, en un plazo máximo de tres meses desde la expiración del plazo de siete días desde su presentación.Las Comunicaciones de Whistleblowing y su documentación asociada serán conservadas durante el tiempo necesario para su gestión y, en cualquier caso, no más de cinco años desde la comunicación del resultado final, en cumplimiento de las obligaciones de confidencialidad previstas en el art. 12 del D. Lgs. 24/2023 y del art. 5(1)(e) del Reglamento.

8. Modalidades del Tratamiento

El tratamiento de los datos se realizará mediante soportes y herramientas informáticas, manuales y/o telemáticas, aplicando medidas y lógicas adecuadas a las finalidades descritas, garantizando siempre la confidencialidad y seguridad de los datos, conforme al Reglamento.

Esto se aplica especialmente a los datos del denunciante, que serán protegidos mediante técnicas de anonimización (salvo que este decida revelar su identidad).

9. Sus Derechos

Usted tiene derecho a solicitar a los Corresponsables, en cualquier momento:

✓ Acceso a sus datos personales: le proporcionaremos los datos que tengamos sobre usted, así como, cuando corresponda, su origen. Este derecho no podrá ser ejercido por la persona denunciada si esto afecta a la confidencialidad del denunciante.

✓ Portabilidad de los datos personales: cuando proceda, le proporcionaremos un archivo con sus datos personales.

✓ Rectificación de datos inexactos o a ser actualizados.o be updated;

✓ Limitación del tratamiento: por ejemplo, si considera que el tratamiento es ilícito o no adecuado.

✓ Supresión de los datos personales.

✓ Oposición al tratamiento de los datos personales.

El plazo de respuesta previsto por la normativa europea es 1 mes, prorrogable hasta 2 meses en casos complejos.

No obstante, según el art. 2-undecies del D. Lgs. 196/2003, los derechos anteriores no podrán ejercerse cuando su ejercicio pueda suponer un perjuicio concreto y efectivo para la confidencialidad de la identidad del denunciante. Si los Corresponsables aplican dicha limitación, se lo comunicarán por escrito sin demora.

En estos casos, los derechos podrán ejercerse mediante el Garante de Protección de Datos Personales, conforme al art. 160 del D. Lgs. 196/2003.

Puede ejercer sus derechos escribiendo a: [email protected] o a la sede legal indicada anteriormente.
También puede contactar al DPO en: [email protected].

Usted mantiene siempre el derecho a presentar una reclamación ante la autoridad de control competente (Garante per la Protezione dei Dati Personali) conforme al art. 77 del Reglamento, si considera que el tratamiento es contrario a la normativa vigente, así como el derecho a emprender acciones judiciales (art. 79 del Reglamento), con los límites previstos por el art. 2-undecies del D. Lgs. 196/2003.

***

Texto de Consentimiento:

El abajo firmante, habiendo leído y comprendido la información sobre privacidad anteriormente expuesta,
[ ] consiente / [ ] no consiente
la grabación de la Comunicación de Whistleblowing presentada mediante el canal oral.

ANEXO – FORMULARIO PARA LA DENUNCIA DE CONDUCTAS ILÍCITAS

La denuncia tiene por objeto la violación o el presunto incumplimiento del Código Ético o del Modelo de Organización, Gestión y Control conforme al Decreto Legislativo 231/2001 y/o del Derecho de la Unión Europea, así como de los procedimientos/políticas del Grupo, o cualquier otra conducta activa u omisiva, confirmada o sospechosa, que pueda constituir una infracción de las obligaciones derivadas del contrato de trabajo celebrado entre el Grupo y su personal empleado y/o asimilado o sus colaboradores.

Los autores de las denuncias están protegidos contra cualquier forma de represalia o discriminación en el ámbito profesional y se garantiza la confidencialidad de su identidad dentro de los límites previstos por la ley o determinados por la necesidad de proteger al Grupo.

Las denuncias recibidas y la eventual pertinencia de acciones posteriores serán evaluadas escuchando, si es necesario, al autor de la denuncia y/o al responsable del presunto incumplimiento.

Se sanciona el uso de la denuncia con un fin meramente retaliatorio o de emulación.

AUTOR DE LA CONDUCTA OBJETO DE LA DENUNCIA:

DESCRIPCIÓN DETALLADA DE LA CONDUCTA QUE ORIGINA LA DENUNCIA:

DATOS DEL DENUNCIANTE (EN CASO DE DENUNCIA NO ANÓNIMA):

Nombre y Apellidos:
Cargo / Función:
Contacto (teléfono o e-mail):

Fecha:
Firma:

EXPERT.AI S.P.A.
Sede legal: Via Fortunato Zeni, 8 – 38068 Rovereto (TN)
Oficinas administrativas: Via Virgilio 56/Q – 41123 Modena
Tel. +39 059 894011 – Fax +39 059 894099
NIF 02608970360 – Capital social € 689.017,58 i.v.
Inscrita en el Registro Mercantil de Trento, nº 02608970360
www.expert.ai – [email protected]

REVISIONES

VERSIÓN	FECHA DE EMISIÓN	COMENTARIO	FIRMA
V.01	01/02/2021	Primera emisión
V.02	15/12/2023	Segunda emisión
V.03		Tercera emisión