30 LUGLIO 2026 INTEGRAZIONE ACCORDO 29 SETTEMBRE 2014 (AGGIORNAMENTO PRIVACY FACTORIT) SPLUNK
Verbale di integrazione
Verbale di integrazione al Verbale di Accordo di Gruppo del 29 settembre 2014 relativo alla definizione dei principi e delle linee guida valevoli per tutte le società del Gruppo rientranti nell’ambito di applicazione del Provvedimento del Garante per la protezione dei dati personali del 12 maggio 2011, n. 192
Indice
- Premesse
- Art. 1 – Premessa
- Art. 2 – Elenco di Banche e Società di cui all’All. 1 dell’Accordo di Gruppo del 29 settembre 2014
- Allegato n. 1 – Elenco Banche e Società
- Allegato n. 2 – Scheda esplicativa dati tecnici
- Allegato n. 4 – Scheda esplicativa dati tecnici e descrizione processo di gestione degli alert Sardaleasing
Il giorno 30/07/2026, in Modena,
tra
l’Azienda BPER Banca S.p.A. in veste di azienda Capogruppo, di seguito, per brevità, “BPER”, e in nome e per conto delle aziende coinvolte
e
le Delegazioni di Gruppo delle Organizzazioni Sindacali:
FABI
nelle persone di Antonella Sboro, Alessandro Mutini, Marcello Cuttitta, Emanuele Cabboi, Adriano Di Martino, Alessandro Frontini, Luca Panfietti, Andrea Faldarini, Alfio Catania, Stefano Del Soldato Scavino, Pierluigi Baldini, Giuseppe De Felice, Giuseppe Imperio, Alberto Loda, Antonio Giovanni Vavassori, Alfredo Villa, Rossella Penserini, Lanfranco Nanetti, Rossella Orlando, Antonella Favoino, Stefano Rossi Mel, Federica Padovani, Laura Querzè, Mauro Bertolino, Massimo Morelli, Antonio Patera, Fabio Maravalli, Giuseppe Galleri, Franca Di Gaetano, Antonino Geraci, Alfredo Billeci, Paolo Guarcello, Andrea Riganello, Bruno Sabato, Giovanni Zavattari.
FIRST/CISL
nelle persone di Broggi Alberto, Fiscarelli Michele, Franca Fancellu, Schieri Sabrina, Antonio Polcaro, Efisio Paulis, Francesco Melis, Gianpietro Spigone, Gabriele Rossi, Marco Piccolo, Salvatore Porcu, Stefano Flematti, Mario Raimondi, Andrea Anguissola, Cinzia Bonsetti, Massimiliano Perona, Luca Mellano, Patrizia Severi, Bruna Massa, Valeria Siniscalchi, Andrea Pisu, Alberto Staffa, Antonella Manca, Luca Salvoni, Marco Militerno, Manila Martinelli, Fulvio Velotto, Francesca Cozza, Vincenzo Capezzuto, Emilio Verrengia.
FISAC/CGIL
nelle persone di Nicola Cavallini, Pasquale Bruno Lorenzo, Carlo Gallinotti, Eleonora Orlandi, Piergiorgio Carta, Sandro Moretti, Maria Agueci, Nunzia Colantonio, Marco Del Brocco, Rita D’Inzeo, Alessandro Lobina, Paola Palmieri, Alfredo Pellone, Michele Sciotto, Gianni Gaudenzi, Grazia Carla Maria Scarpa, Pierfrancesco Tatozzi, Alberto Arioli, Mauro Crescini, Paolo Riga.
UILCA
nelle persone di Tassi Paolo, Aversa Marco, Cremonini Luca, D’Alessio Pierre, Negro Giacomo, Tramuto Calogero, Abate Giuseppe, Arienti Barbara, Assandri Beatrice, Azzaro Mario Rosario, Baldisserri Luca, Basili Marco, Battaglia Francesco, Biondo Antonio, Bortolani Gabriele, Brambilla Guido, Dabbene Claudia, Fastiggi Giulia, Ferrari Francesca, Forlai Alberto, Fusari Maurizio, Fusco Cesira, La Rosa Antonino, Losenno Antonella, Marchese Sandro, Micheli Davide, Migliorini Claudio, Negro Giacomo, Petrei Massimiliano, Piccoli Alessandra, Serina Maria Luisa, Tomain Michela, Tognoli Dario.
UNISIN
nelle persone di Andrea Bonvicini, Ezio Sala Tenna, Claudio Febbraro, Alessia Ronchetti, Raffaello Andalò, Manuel Mari, Luca Troilo, Fortunato Bruno, Marco Pegolo, Nicola Scognamiglio, Alessandro Pellicoro, Simone Menichini, Mirko Menicacci, Roberto Venturelli, Alberto Carloni, Paolo Bellotti, Sara Brancolini, Marco Farfanelli, Federico Soliani Raschini, Fabio Massini, Simone Gizzi, Gianluigi Budriesi, Luca Ghimenti, Valeria Cossu, Riccardo Angelo Marchelli, Nicola Bossi, Luca Morozzo Della Rocca, Matteo Fuggiaschi, Omar Zanella, Michele Verlingieri, Gianluca Dagnino, Giovanni Di Cola.
premesso che
- In data 30 settembre 2014 è entrato in vigore il Provvedimento n. 192 del Garante per la protezione dei dati personali, avente ad oggetto “Prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie”.
- In data 15 aprile 2014 è stato sottoscritto tra ABI e le OO.SS. l’Accordo Quadro nazionale che qui si richiama, e che ha definito lo schema generale di accordo da utilizzare per la sottoscrizione di intese ex art. 4, comma 2, L. n. 300/1970 in specifica attuazione del Provvedimento di cui all’alinea precedente.
- In data 29 settembre 2014 le Parti hanno sottoscritto il Verbale di Accordo di Gruppo BPER, che qui si richiama integralmente, relativo alla definizione dei principi e delle linee guida valevoli per tutte le società del Gruppo rientranti nell’ambito di applicazione del suddetto Provvedimento del Garante per la protezione dei dati personali del 12 maggio 2011, n. 192.
- Il 25 maggio 2018 è entrato in vigore il Regolamento UE 2016/679 per il Trattamento dei Dati Personali.
- Il Verbale di Accordo di cui al punto 2 si applica alle Banche e Società del Gruppo BPER elencate nell’Allegato 1 dello stesso Accordo.
- Il Verbale di Accordo 29 settembre 2014, all’art. 4, prevede inoltre che “eventuali future modifiche, se significative, formeranno oggetto di specifica informativa alla Delegazione Sindacale di Gruppo nel corso di un apposito incontro, nell’ambito del quale le parti valuteranno se modificare o integrare l’accordo stesso; successivamente saranno oggetto di illustrazione in sede aziendale”.
- Successivamente alla sottoscrizione del suddetto Verbale di Accordo 29 settembre 2014 il Gruppo BPER è stato interessato da svariate operazioni societarie che hanno nel tempo comportato variazioni delle Legal Entity oggetto dei tracciamenti attivati dal Gruppo a presidio del Provvedimento del Garante 192/2011, e quindi destinatarie dell’inerente Accordo 29 settembre 2014.
- L’evoluzione che negli anni ha interessato il Gruppo BPER ha comportato riflessi anche sull’assetto delle Unità Organizzative aziendali coinvolte nella gestione dei suddetti processi di tracciamento.
- Le Parti, a fronte delle evoluzioni sopra richiamate, ed in considerazione della recente integrazione nel Gruppo BPER delle società già appartenenti al Gruppo Banca Popolare di Sondrio, hanno concordato sull’opportunità di aggiornare l’Accordo di Gruppo 29 settembre 2014 alla complessiva situazione attualmente in essere, e di recepire con l’occasione quanto tempo per tempo condiviso con le OO.SS. all’atto delle modifiche richiamate ai punti precedenti.
si è convenuto quanto segue
Art. 1 – Premessa
La premessa costituisce parte integrante e sostanziale del presente accordo.
Art. 2 – Elenco di Banche e Società di cui all’All. 1 dell’Accordo di Gruppo del 29 settembre 2014
Le Parti concordano di aggiornare l’elenco di Banche e Società di cui all’all. 1, come in allegato al presente Verbale di Accordo.
(anche in qualità di Capogruppo in nome e per conto delle Società interessate)
Le Organizzazioni Sindacali
FABI FIRST/CISL FISAC/CGIL UILCA UNISIN
Allegato 1 – Elenco Banche e Società
- BPER BANCA
- BANCO DI SARDEGNA
- BANCA CESARE PONTI
- BIBANCA
- SARDALEASING (Allegato n. 3)
- BPER FACTOR
- FACTORIT
- BPER TRUST COMPANY
Scheda esplicativa dati tecnici
Allegato n. 2 – accordo 29 settembre 2014
come da ultimo aggiornato in data
xx/xx/XXXX
Caratteristiche tecniche: Base dati host, collocata in infrastruttura standard. Previsti salvataggi di backup secondo i processi standard.
Ubicazione: server farm BPER Banca.
Termine di conservazione: come previsto dall’articolo 3 del presente accordo.
Modalità di accesso: con riconoscimento ruoli e profili sistemistici secondo processi standard.
Dettagli tecnici log e flussi:
Caratteristiche tecniche: Flussi di dati dipartimentali e host, spediti e ricevuti mediante processi e strumenti di trasferimento file standard.
Ubicazione: server farm BPER Banca.
Termine di conservazione: come previsto dall’articolo 3 del presente accordo.
Modalità di accesso: con riconoscimento ruoli e profili sistemistici secondo processi standard.
Come richiesto dal provvedimento emesso dal Garante per la protezione dei dati personali, verranno tracciate tutte le operazioni bancarie che trattino dati di clienti soggetti alla normativa privacy vigente, persone fisiche come classificate in anagrafe di gruppo.
Le informazioni da tracciare sono registrate dalle singole procedure informatiche sulla base dati host centralizzata e sono:
- il codice identificativo del soggetto incaricato che ha posto in essere l’operazione di accesso, matricola di chi ha eseguito l’operazione;
- la data e l’ora di esecuzione;
- il terminale della postazione di lavoro utilizzata e l’identificativo ufficio dal quale è avvenuta, filiale/ufficio/sezione;
- l’identificativo del cliente interessato dall’operazione di accesso ai dati bancari o l’identificativo del rapporto interessato dall’operazione di accesso;
- la tipologia di rapporto contrattuale del cliente a cui si riferisce l’operazione effettuata.
Gli ulteriori dati memorizzati sulla base dati host centralizzata sono:
- il codice della banca/società in cui è eseguita l’operazione;
- ulteriori dati atti ad identificare la tipologia di transazione utilizzata ed il tracciato informatico usato, codice procedura;
- ulteriori dati descrittivi atti ad identificare l’operazione posta in essere, valorizzati da ciascun servizio alimentante, codice transazione.
Tali informazioni vengono inviate giornalmente tramite un file transfer automatico ad una base dati dipartimentale che raccoglie le informazioni per i tempi di conservazione previsti all’art. 3 del presente accordo. Tutta l’attività di estrazione, invio e ricezione è automatizzata.
Le strutture tecnologiche utilizzate sono standard e di mercato.
Durante il passaggio dei dati dall’infrastruttura host all’infrastruttura dipartimentale atta a generare gli alert previsti dal provvedimento i tracciati vengono transcodificati attraverso i seguenti dati:
- nome/cognome e codice fiscale dell’operatore che ha posto in essere l’operazione;
- l’eventuale codice azienda di distacco dell’operatore che ha posto in essere l’operazione;
- il codice filiale/ufficio/sezione di appartenenza del soggetto che ha posto in essere l’operazione;
- l’informazione se la posizione interrogata appartenga o meno ad un dipendente;
- ulteriori informazioni sulla posizione interrogata nei casi in cui siano reperibili dal sistema informativo di gruppo, codice fiscale del soggetto interessato dall’operazione/codice ndg/estremi del rapporto/stato di cointestato o meno;
- ulteriori dati descrittivi atti ad aiutare l’attività di generazione ed analisi degli alert, la descrizione della filiale/ufficio di appartenenza, la descrizione della filiale operante, la descrizione della transazione utilizzata, le mansioni dell’operatore divise tra filiale ed ufficio centrale.
Sulla base dati dipartimentale è prevista la creazione di alert giornalieri atti ad evidenziare le situazioni di attenzione.
Sistema degli alert
Attraverso strumenti di business intelligence all’uopo parametrizzati, come previsto dal provvedimento del Garante, sono impostati alert finalizzati a segnalare eventuali situazioni anomale emerse principalmente a seguito dell’analisi di:
- fasce orarie di operatività, compresi orari, giorni non lavorativi e/o assenze;
- accessi su rapporti non radicati o non gestiti presso/dalla struttura di appartenenza del dipendente;
- ruolo dell’operatore.
L’alert è generato automaticamente quando tali parametri e/o una combinazione di essi superano una soglia prestabilita rispetto frequenze e livelli di riferimento definiti ad una normale operatività. Nel rispetto del principio della segregazione dei compiti previsti dalla normativa, i profili autorizzativi ed i diritti di accesso ai dati bancari sono adeguatamente gestiti e controllati, di conseguenza non possono verificarsi transazioni al di fuori dei ruoli organizzativi autorizzati.
Le attività di accesso alle informazioni obbligatoriamente archiviate ed all’applicativo di generazione degli alert sarà consentito, per le varie Legal Entity interessate, alle Funzioni tempo per tempo individuate dalle normative interne e dai Funzionigramma di riferimento, tipicamente, le Funzioni Compliance, IT, Legal, nonché alle funzioni aziendali di controllo ed ai gestori informatici dell’applicativo competenti secondo ruoli e responsabilità. Eventuali modifiche nella struttura organizzativa di Gruppo potranno comportare variazioni delle denominazioni e/o del perimetro delle unità organizzative che accedono alle informazioni in parola: di tali modifiche si darà opportuna informativa.
In caso di generazione automatica di alert, le Strutture aziendali incaricate del presidio continuativo delle informazioni, qualora dovessero rilevare profili anomali, potranno segnalare alle funzioni aziendali di controllo ed alle funzioni HR delle rispettive aziende le situazioni di potenziale violazione della privacy e senza ritardo il dipendente verrà informato, senza che ciò costituisca avvio di procedura disciplinare ai sensi dell’art. 7 Legge 300, in merito alla verifica in corso e potrà essere sentito, anche su sua richiesta, con l’eventuale assistenza di un rappresentante sindacale dell’Organizzazione cui aderisce o conferisce mandato.
Gli accessi eseguiti da tali strutture sono a loro volta tracciati e conservati per i tempi di conservazione previsti all’art. 3 del presente accordo.
Allegato n. 4 accordo 29 settembre 2014, rinnovato in data xx/xx/xxxx
Scheda esplicativa dati tecnici e descrizione processo
di gestione degli alert Sardaleasing
Caratteristiche tecniche: Base dati host, collocata in infrastruttura aziendale su applicativo e modulo LOGOS, LEASINGMOD 400, e-LEASINGMOD, CREDEL.
Previsti salvataggi di backup secondo i processi standard.
Ubicazione: server farm BPER Services.
Termine di conservazione: come previsto dall’articolo 3 del presente accordo.
Modalità di accesso: con riconoscimento matricola e profili sistemistici, secondo modalità standard.
Dettagli tecnici log e flussi:
Caratteristiche tecniche: Flussi di dati dipartimentali.
Ubicazione: Società, Data Base aziendale.
Termine di conservazione: come previsto dall’articolo 3 del presente accordo.
Modalità di accesso: con riconoscimento matricola e profili sistemistici secondo modalità standard.
Come richiesto dal provvedimento emesso dal Garante per la protezione dei dati personali, verranno tracciate tutte le operazioni che trattino dati di clienti.
Le informazioni da tracciare sono registrate sulla base dati centralizzata, LOGOS, e sono:
- codice identificativo utente accedente;
- data e ora di accesso;
- codice postazione utente accedente;
- nome e numero del lavoro, job name, attribuito dalla macchina;
- nome e breve descrizione del programma richiamato;
- codice controparte interrogata;
- filiale ed area utente interrogante;
- filiale ed area controparte interrogata.
Tali informazioni vengono giornalmente salvate su una base dati che raccoglie le informazioni per i 24 mesi previsti dal provvedimento.
Tutta l’attività di estrazione, invio e ricezione è automatizzata.
Le strutture tecnologiche utilizzate sono standard e di mercato, Fornitore Logos SRL, Brescia.
Sulla base dati è prevista la creazione di alert giornalieri atti ad evidenziare le situazioni di attenzione.
Per la generazione degli alert previsti dal provvedimento i tracciati vengono transcodificati con i seguenti dati:
- nome/cognome/ragione sociale controparte interrogata;
- forma giuridica della controparte interrogata;
- tipo rapporto controparte interrogata:
- cliente;
- fornitore;
- brokers;
- garanti/fidejussori;
- coobbligati;
- dealers.
Sistema degli alert
Attraverso strumenti di business intelligence all’uopo parametrizzati, come previsto dal provvedimento del Garante, sono impostati alert finalizzati a segnalare eventuali situazioni anomale emerse principalmente a seguito dell’analisi di:
- fasce orarie di operatività, compresi orari, giorni non lavorativi e/o assenze;
- accessi su rapporti non radicati o non gestiti presso/dalla struttura di appartenenza del dipendente;
- ruolo dell’operatore.
L’alert è generato automaticamente quando tali parametri e/o una combinazione di essi superano una soglia prestabilita rispetto frequenze e livelli di riferimento definiti ad una normale operatività. Nel rispetto del principio della segregazione dei compiti previsti dalla normativa, i profili autorizzativi ed i diritti di accesso ai dati bancari sono adeguatamente gestiti e controllati, di conseguenza non possono verificarsi transazioni al di fuori dei ruoli organizzativi autorizzati.
L’accesso alle informazioni obbligatoriamente archiviate ed all’applicativo di generazione degli alert sarà consentito all’Ufficio Sistemi e Processi, nonché alle funzioni aziendali di controllo. Eventuali modifiche nella struttura organizzativa della Sardaleasing potranno comportare modifiche alle denominazioni e/o al perimetro delle unità organizzative che accedono alle informazioni in parola: di tali modifiche si darà opportuna informativa.
In caso di generazione automatica di alert, le Strutture aziendali incaricate del presidio continuativo delle informazioni, qualora dovessero rilevare profili anomali, potranno segnalare alle funzioni aziendali di controllo ed alla Direzione Risorse Umane di Gruppo le situazioni di potenziale violazione della privacy e senza ritardo il dipendente verrà informato, senza che ciò costituisca avvio di procedura disciplinare ai sensi dell’art. 7 Legge 300, in merito alla verifica in corso e potrà essere sentito, anche su sua richiesta, con l’eventuale assistenza di un rappresentante sindacale dell’Organizzazione cui aderisce o conferisce mandato.
Gli accessi eseguiti da tali strutture sono a loro volta tracciati e conservati per i tempi di conservazione previsti all’art. 3 del presente accordo.