INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

ai sensi degli Artt. 13 e 14 del Regolamento UE 679/2016 (GDPR) “Regolamento Generale sulla Protezione dei Dati”

SEZIONE 1 - PREMESSA

ai sensi e nel rispetto della normativa vigente in materia di protezione dei Dati personali ed in particolare ai sensi degli artt. 13 e 14 del Regolamento UE 679/2016, rubricato “Regolamento Generale sulla Protezione dei Dati” (di seguito per brevità “GDPR”), EXACTA LABCENTER SPA, in qualità di titolare del trattamento (di seguito per brevità “Titolare”), Le fornisce le seguenti informazioni riguardo al trattamento dei Suoi Dati personali o di soggetti terzi da Lei forniti; dati che saranno trattati, anche con l'ausilio di strumenti elettronici, direttamente dal Titolare e/o tramite terzi, per le finalità riportate di seguito (di seguito “Dati personali”).

Con Dati personali si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile; si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale. La presente informativa privacy (di seguito “Informativa”) è relativa ai trattamenti di Dati personali effettuati dal Titolare per le finalità descritte alla successiva Sezione 5.

SEZIONE 2 - IDENTITÀ E DATI DI CONTATTO DEL TITOLARE DEL TRATTAMENTO

Il Titolare del trattamento per le finalità di seguito riportate è EXACTA LABCENTER SPA, con sede in via Bosco n. 21 San Prospero (MO). Per ulteriori informazioni può contattare il Titolare al seguente indirizzo e-mail: amministrazione@exactalabcenter.it, oppure inviando una richiesta scritta a EXACTA LABCENTER SPA, via Bosco n. 21 San Prospero (MO).

SEZIONE 3 - IDENTITÀ E DATI DI CONTATTO DEL RESPONSABILE DELLA PROTEZIONE DEI DATI (Questa sezione sarà visualizzata solo in caso di nomina del DPO)

SEZIONE 4 – TIPOLOGIA E FONTE DEI DATI PERSONALI OGGETTO DI TRATTAMENTO.

I dati personali trattati dal Titolare in qualita' di Titolare possono comprendere, a titolo esemplificativo e non esaustivo:

1. Dati personali comuni ai sensi dell'art. 4, punto 1, del GDPR, riferibili alle seguenti categorie di Interessati:

   a. Segnalante: la persona fisica che effettua una segnalazione ai sensi del D.Lgs. 24/2023, nel caso di segnalazioni non anonime. Possono essere Segnalanti, tra gli altri, lavoratori dipendenti, collaboratori, liberi professionisti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza dell'ente, anche qualora il rapporto giuridico non sia ancora iniziato o sia cessato;

   b. Facilitatore: la persona fisica che assiste il Segnalante nel processo di segnalazione, operante nel medesimo contesto lavorativo, la cui assistenza deve restare riservata (art. 2, par. 1, lett. d), D.Lgs. 24/2023);

   c. Persone coinvolte o menzionate nella segnalazione: soggetti terzi cui la segnalazione si riferisce o che vi vengono comunque citati.

   I dati comuni trattati possono includere: dati anagrafici (nome, cognome), dati di contatto (numero di telefono, indirizzo e-mail), dati relativi al ruolo professionale e al rapporto con l'ente.

2. Categorie particolari di dati ai sensi dell'art. 9 del GDPR, qualora presenti nel contenuto della segnalazione (ad esempio dati relativi alla salute, all'orientamento sessuale, alle opinioni politiche o alle convinzioni religiose).

3. Dati relativi a condanne penali e reati ai sensi dell'art. 10 del GDPR, qualora emergenti dalla segnalazione.

Il trattamento di tali dati avviene nei limiti strettamente necessari alla gestione della segnalazione e in conformità a quanto consentito dalla normativa applicabile.

SEZIONE 5 – FINALITÀ E BASI GIURIDICHE DEL TRATTAMENTO.

I dati personali sono trattati dal Titolare per le seguenti finalità:

1. Gestione della segnalazione effettuata ai sensi del D.Lgs. 24/2023, attuativo della Direttiva (UE) 2019/1937, nonché' in conformità alle Linee Guida ANAC (Delibera n. 311 del 12 luglio 2023 per le segnalazioni esterne, come modificata con Delibera n. 479 del 26 novembre 2025; Linee Guida n. 1/2025 sui canali interni, adottate con Delibera n. 478 del 26 novembre 2025) e al Parere del Garante per la protezione dei dati personali n. 581 del 9 ottobre 2025. Base giuridica: adempimento di un obbligo legale ai sensi dell'art. 6, par. 1, lett. c), del GDPR. Per le segnalazioni registrate raccolte telefonicamente o tramite sistemi di messaggistica vocale, la base giuridica e' il consenso dell'interessato ai sensi dell'art. 6, par. 1, lett. a), del GDPR.

2. Gestione altre segnalazioni (ad es. in materia di certificazioni). Base giudica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f), del GDPR.

3. Adempimento di obblighi di legge previsti dalla normativa nazionale e dell'Unione Europea. Base giuridica: adempimento di un obbligo legale ai sensi dell'art. 6, par. 1, lett. c), del GDPR.

4. Accertamento, esercizio o difesa di un diritto in contenziosi civili, amministrativi o penali. Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f), del GDPR, consistente nell'esigenza di tutelare i propri diritti in sede giudiziaria o stragiudiziale. Gli interessi del Titolare sono stati valutati e ritenuti prevalenti rispetto agli interessi degli Interessati in ragione della finalità strettamente difensiva del trattamento. L'Interessato ha il diritto di opporsi a questo trattamento ai sensi dell'art. 21 del GDPR, fermo restando che potrebbero sussistere motivi legittimi cogenti che ne giustificano il proseguimento.

5. L'eventuale trattamento di categorie particolari di dati personali è basato sulla necessità di assolvere gli obblighi in materia di diritto del lavoro (Art. 9, par. 2, lett. b del GDPR), nonché per motivi di interesse pubblico rilevante (Art. 9, par. 2, lett. g del GDPR), in combinato disposto con l'art. 2-sexies del D.Lgs. 196/2003.

6. L'eventuale trattamento di dati personali relativi a condanne penali e reati avviene in conformità all'Art. 10 del GDPR, in quanto autorizzato da specifiche disposizioni di legge nazionali (ad es. D.Lgs. 24/2023) per le finalità di gestione delle segnalazioni di illeciti, nel rispetto delle garanzie previste dall'art. 2-octies del D.Lgs. 196/2003.

Il conferimento dei dati è necessario per il conseguimento delle finalità di cui sopra. Il mancato, parziale o inesatto conferimento potrebbe rendere impossibile la gestione della segnalazione.

SEZIONE 6 - MODALITÀ DI TRATTAMENTO

Il trattamento dei dati personali avviene con modalità sia automatizzate (su supporto elettronico o magnetico) sia non automatizzate (su supporto cartaceo), con logiche strettamente collegate alle finalità indicate, in modo da garantire sicurezza, protezione e riservatezza dei dati, nel rispetto del GDPR e della normativa applicabile.

Le segnalazioni vengono gestite tramite questa piattaforma informatica.

La piattaforma è idonea a garantire, ai sensi dell'art. 4 del D.Lgs. 24/2023 e in conformità al Parere Garante n. 581/2025, la riservatezza dell’identità del Segnalante mediante misure tecniche avanzate, tra cui la cifratura end-to-end dei dati. Il fornitore della piattaforma opera in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR, in base ad apposito contratto scritto che disciplina compiti, obblighi e misure di sicurezza applicabili.

Il sistema garantisce, in ogni fase del processo, la riservatezza dell’identità del Segnalante, dei Facilitatori, delle Persone coinvolte o menzionate nella segnalazione, del contenuto della segnalazione e della relativa documentazione, fatto salvo quanto previsto dall'art. 12 del D.Lgs. 24/2023 in materia di divulgazione dell’identità in sede penale, disciplinare o per la tutela in giudizio della persona segnalata per le segnalazioni whistleblowing.

SEZIONE 7 - COMUNICAZIONE DEI DATI

All'interno del Titolare, possono venire a conoscenza dei dati personali esclusivamente i soggetti formalmente autorizzati al trattamento, adeguatamente istruiti e formati, che agiscono sotto la diretta autorità del Titolare. Tali soggetti sono tenuti al segreto su quanto appreso nell'esercizio delle proprie mansioni.

Il Gestore delle Segnalazioni designato dal Titolare è l'unico soggetto in grado di associare la segnalazione all’identità del Segnalante, nei casi in cui questa sia stata comunicata. Qualora esigenze istruttorie richiedano il coinvolgimento di altri soggetti interni, il contenuto della segnalazione potrà essere loro comunicato esclusivamente nei limiti necessari e senza mai rivelare l’identità del Segnalante ne' elementi che, anche indirettamente, possano consentirne l'identificazione.

Il fornitore della piattaforma informatica e' nominato Responsabile del trattamento ai sensi dell'art. 28 del GDPR, con apposito atto contrattuale, e tratta i dati esclusivamente su istruzione del Titolare.

Possono altresì venire a conoscenza dei dati, nella misura strettamente necessaria e per i rispettivi fini istituzionali, i seguenti soggetti che agiscono come Titolari autonomi del trattamento:

• ANAC (Autorità Nazionale Anticorruzione), esclusivamente nell'ambito del canale esterno di segnalazione di cui agli artt. 7 e seguenti del D.Lgs. 24/2023. Nel caso in cui l'Interessato scelga di effettuare una segnalazione esterna tramite ANAC, il trattamento dei dati da parte di quest'ultima e' disciplinato dalla propria informativa privacy, indipendente dalla presente;
• Autorità giudiziaria e altri enti o organismi competenti in relazione alla fattispecie segnalata, nei casi previsti dalla legge.

In nessun caso i dati personali saranno oggetto di diffusione indiscriminata.

SEZIONE 8 - TRASFERIMENTO DEI DATI ALL’ESTERO

La gestione e la conservazione dei dati avvengono su server ubicati in Italia e comunque all'interno del territorio dell'Unione Europea. I dati personali non sono trasferiti verso paesi terzi né verso organizzazioni internazionali.

Qualora in futuro si rendesse necessario un trasferimento di dati al di fuori dello Spazio Economico Europeo, esso avverrà nel rispetto delle garanzie previste dagli artt. 44 e seguenti del GDPR, con preventiva informativa agli Interessati.

SEZIONE 9 – TEMPI DI CONSERVAZIONE DEI DATI

Il Titolare conserva i dati personali per il tempo necessario alla gestione della segnalazione e per un periodo non superiore a cinque anni decorrenti dalla data di comunicazione dell'esito finale della procedura da parte del Gestore delle Segnalazioni.

I dati personali che si rivelino manifestamente non pertinenti o non utili alla gestione della specifica segnalazione non vengono raccolti. Qualora siano stati acquisiti accidentalmente, vengono cancellati tempestivamente, previa annotazione delle ragioni che ne giustificano la cancellazione ai fini di accountability.

Alla scadenza del termine di conservazione, i dati sono cancellati o resi anonimi in modo irreversibile, salvo obblighi di conservazione superiori derivanti da prescrizioni normative o provvedimenti giudiziari.

SEZIONE 10 – DIRITTI DELL’INTERESSATO

L’interessato potrà in ogni momento esercitare nei confronti del Titolare i diritti previsti dalla Legge di seguito elencati, che gli sono riconosciuti dalla normativa in materia di protezione dei Dati personali, inviando un’apposita richiesta per iscritto al Titolare ai contatti di cui alle Sezione 2.

1. Diritto di accesso

   Lei potrà ottenere dal Titolare la conferma che sia o meno in corso un trattamento dei Suoi Dati Personali e, in tal caso, ottenere l’accesso ai propri Dati Personali ed alle informazioni previste dall’Art. 15 del GDPR ottenendo evidenza, a titolo esemplificativo, delle finalità perseguite da parte del Titolare, delle categorie di dati coinvolti, dei destinatari a cui gli stessi possono essere trasmessi, del periodo di conservazione applicabile e dell’esistenza di processi decisionali automatizzati. Nel contesto del whistleblowing, l'esercizio del diritto di accesso da parte delle Persone coinvolte o menzionate nella segnalazione può essere differito o limitato, per il tempo e nella misura necessari, qualora ciò possa pregiudicare la riservatezza dell’identità del Segnalante o il regolare svolgimento dell'istruttoria, ai sensi dell'art. 2-undecies del D.Lgs. 196/2003 e dell'art. 12, comma 5, del D.Lgs. 24/2023.

2. Diritto di rettifica

   Lei potrà ottenere dal Titolare, senza ritardo, la rettifica dei Suoi Dati Personali che risultano inesatti come pure, tenuto conto delle finalità del trattamento, l’integrazione degli stessi, qualora risultino incompleti, fornendo una dichiarazione integrativa.

3. Diritto alla cancellazione

   Lei potrà chiedere al Titolare la cancellazione dei Suoi Dati Personali, se sussiste uno dei motivi previsti dall’Art. 17 del GDPR, tra cui, a titolo esemplificativo, qualora i Dati Personali non siano più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati o qualora il consenso su cui si basa il trattamento dei Suoi Dati Personali sia stato da Lei revocato e non sussiste altro fondamento giuridico per il trattamento. Resta inteso che la revoca del consenso non pregiudicherà la liceità dei trattamenti effettuati fino a quel momento. La informiamo che il Titolare non potrà procedere alla cancellazione dei Suoi Dati Personali: qualora il loro trattamento sia necessario, ad esempio, per l'adempimento di un obbligo di legge, per motivi di interesse pubblico, per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

4. Diritto di limitazione di trattamento

   Lei potrà ottenere la limitazione del trattamento dei Suoi Dati Personali qualora ricorra una delle ipotesi previste dall’Art. 18 del GDPR, tra le quali, ad esempio: a fronte di una Sua contestazione circa l'esattezza dei Suoi Dati Personali oggetto di trattamento o qualora i Suoi Dati Personali le siano necessari per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria, benché Titolare non ne abbia più bisogno ai fini del trattamento.

5. Diritto di opposizione

   Lei potrà opporsi in qualsiasi momento al trattamento dei Suoi Dati Personali qualora il trattamento venga effettuato per l’esecuzione di un’attività di interesse pubblico o per il perseguimento di un interesse legittimo del Titolare (compresa l’attività di profilazione), nei limiti di cui all’art. 21 del GDPR. Qualora Lei decidesse di esercitare il diritto di opposizione qui descritto, il Titolare si asterrà dal trattare ulteriormente i Suoi Dati Personali, a meno che non vi siano motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

6. Diritto alla portabilità dei dati

   Il diritto alla portabilità si applica esclusivamente ai trattamenti basati sul consenso o sull'esecuzione di un contratto e effettuati con mezzi automatizzati. Nel contesto della presente Informativa, tale diritto è applicabile in modo limitato, poiché' la base giuridica prevalente è l'adempimento di un obbligo legale, per il quale la portabilità non è esercitabile.

   Nei soli casi in cui il consenso sia la base giuridica applicabile (segnalazioni registrate in forma orale), l'Interessato può richiedere di ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico, ovvero richiederne la trasmissione diretta a un altro Titolare, ove tecnicamente fattibile.

7. Diritto di proporre un reclamo all’Autorità Garante per la protezione dei Dati Personali

   Fatto salvo il Suo diritto di ricorrere in ogni altra sede amministrativa o giurisdizionale, qualora ritenesse che il trattamento dei Suoi Dati Personali da parte del Titolare avvenga in violazione della Legge e/o della normativa applicabile potrà proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali competente.

PRIVACY NOTICE ON THE PROCESSING OF PERSONAL DATA

pursuant to Articles 13 and 14 of EU Regulation 679/2016 (GDPR) “General Data Protection Regulation”

SECTION 1 - INTRODUCTION

pursuant to and in compliance with the applicable legislation on the protection of Personal Data and, in particular, pursuant to Articles 13 and 14 of EU Regulation 679/2016, entitled “General Data Protection Regulation” (hereinafter, for brevity, “GDPR”), EXACTA LABCENTER SPA, in its capacity as data controller (hereinafter, for brevity, the “Controller”), provides you with the following information regarding the processing of your Personal Data or the Personal Data of third parties provided by you; such data will be processed, including with the aid of electronic tools, directly by the Controller and/or through third parties, for the purposes set out below (hereinafter “Personal Data”).

Personal Data means any information relating to an identified or identifiable natural person; an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to his or her physical, physiological, genetic, mental, economic, cultural or social identity. This privacy notice (hereinafter the “Notice”) concerns the processing of Personal Data carried out by the Controller for the purposes described in Section 5 below.

SECTION 2 - IDENTITY AND CONTACT DETAILS OF THE DATA CONTROLLER

The Data Controller for the purposes set out below is EXACTA LABCENTER SPA, with registered office at via Bosco n. 21 San Prospero (MO). For further information, you may contact the Controller at the following e-mail address: amministrazione@exactalabcenter.it, or by sending a written request to EXACTA LABCENTER SPA, via Bosco n. 21 San Prospero (MO).

SECTION 3 - IDENTITY AND CONTACT DETAILS OF THE DATA PROTECTION OFFICER (This section will only be displayed if a DPO has been appointed)

SECTION 4 – TYPE AND SOURCE OF PERSONAL DATA SUBJECT TO PROCESSING.

The Personal Data processed by the Controller in its capacity as Controller may include, by way of example and without limitation:

1. Common Personal Data pursuant to Article 4, point 1, of the GDPR, relating to the following categories of Data Subjects:

   a. Reporting Person: the natural person who makes a report pursuant to Legislative Decree 24/2023, in the case of non-anonymous reports. Reporting Persons may include, among others, employees, collaborators, self-employed professionals, volunteers, trainees, shareholders and persons with administrative, management, control, supervisory or representative functions within the entity, even where the legal relationship has not yet begun or has ended;

   b. Facilitator: the natural person who assists the Reporting Person in the reporting process, operating within the same work-related context, whose assistance must remain confidential (Article 2, para. 1, letter d), Legislative Decree 24/2023);

   c. Persons involved or mentioned in the report: third parties to whom the report relates or who are otherwise mentioned therein.

   The common data processed may include: personal identification data (first name, surname), contact details (telephone number, e-mail address), data relating to professional role and the relationship with the entity.

2. Special categories of data pursuant to Article 9 of the GDPR, where present in the content of the report (for example, data concerning health, sexual orientation, political opinions or religious beliefs).

3. Data relating to criminal convictions and offences pursuant to Article 10 of the GDPR, where arising from the report.

The processing of such data takes place within the limits strictly necessary for handling the report and in accordance with what is permitted by the applicable legislation.

SECTION 5 – PURPOSES AND LEGAL BASES OF PROCESSING.

Personal Data are processed by the Controller for the following purposes:

1. Handling of the report made pursuant to Legislative Decree 24/2023, implementing Directive (EU) 2019/1937, as well as in accordance with the ANAC Guidelines (Resolution No. 311 of 12 July 2023 on external reports, as amended by Resolution No. 479 of 26 November 2025; Guidelines No. 1/2025 on internal channels, adopted by Resolution No. 478 of 26 November 2025) and Opinion No. 581 of 9 October 2025 of the Italian Data Protection Authority. Legal basis: compliance with a legal obligation pursuant to Article 6, para. 1, letter c), of the GDPR. For recorded reports collected by telephone or through voice messaging systems, the legal basis is the consent of the Data Subject pursuant to Article 6, para. 1, letter a), of the GDPR.

2. Handling of other reports (e.g. concerning certifications). Legal basis: legitimate interest of the Controller pursuant to Article 6, para. 1, letter f), of the GDPR.

3. Compliance with legal obligations laid down by national and European Union legislation. Legal basis: compliance with a legal obligation pursuant to Article 6, para. 1, letter c), of the GDPR.

4. Establishment, exercise or defence of a right in civil, administrative or criminal proceedings. Legal basis: legitimate interest of the Controller pursuant to Article 6, para. 1, letter f), of the GDPR, consisting in the need to protect its rights in judicial or extrajudicial proceedings. The Controller's interests have been assessed and deemed to prevail over the interests of the Data Subjects due to the strictly defensive purpose of the processing. The Data Subject has the right to object to this processing pursuant to Article 21 of the GDPR, without prejudice to the possibility that compelling legitimate grounds may exist which justify its continuation.

5. Any processing of special categories of Personal Data is based on the necessity of carrying out obligations in the field of employment law (Article 9, para. 2, letter b of the GDPR), as well as for reasons of substantial public interest (Article 9, para. 2, letter g of the GDPR), in conjunction with Article 2-sexies of Legislative Decree 196/2003.

6. Any processing of Personal Data relating to criminal convictions and offences is carried out in accordance with Article 10 of the GDPR, insofar as it is authorised by specific provisions of national law (e.g. Legislative Decree 24/2023) for the purposes of handling reports of unlawful conduct, in compliance with the safeguards provided for by Article 2-octies of Legislative Decree 196/2003.

The provision of data is necessary to achieve the purposes set out above. Failure to provide the data, or the partial or inaccurate provision thereof, may make it impossible to handle the report.

SECTION 6 - METHODS OF PROCESSING

Personal Data are processed using both automated methods (on electronic or magnetic media) and non- automated methods (on paper), according to procedures strictly related to the stated purposes, so as to ensure the security, protection and confidentiality of the data, in compliance with the GDPR and applicable legislation.

Reports are handled through this IT platform.

The platform is suitable for ensuring, pursuant to Article 4 of Legislative Decree 24/2023 and in accordance with Opinion No. 581/2025 of the Italian Data Protection Authority, the confidentiality of the Reporting Person's identity through advanced technical measures, including end-to-end encryption of data. The platform provider acts as Data Processor pursuant to Article 28 of the GDPR, on the basis of a specific written agreement governing the applicable tasks, obligations and security measures.

At every stage of the process, the system ensures the confidentiality of the identity of the Reporting Person, the Facilitators, the Persons involved or mentioned in the report, the content of the report and the related documentation, without prejudice to the provisions of Article 12 of Legislative Decree 24/2023 concerning disclosure of identity in criminal or disciplinary proceedings or for the protection in court of the reported person in relation to whistleblowing reports.

SECTION 7 - DISCLOSURE OF DATA

Within the Controller's organisation, Personal Data may be accessed exclusively by persons formally authorised to process them, who have been adequately instructed and trained and who act under the direct authority of the Controller. Such persons are bound to secrecy regarding information acquired in the performance of their duties.

The Reporting Manager designated by the Controller is the only person able to associate the report with the identity of the Reporting Person, where such identity has been disclosed. Where investigative requirements make it necessary to involve other internal persons, the content of the report may be disclosed to them exclusively to the extent necessary and without ever revealing the identity of the Reporting Person or elements which, even indirectly, may allow his or her identification.

The provider of the IT platform is appointed as Data Processor pursuant to Article 28 of the GDPR, by means of a specific contractual instrument, and processes the data exclusively on the Controller's instructions.

The following parties, acting as independent Data Controllers, may also become aware of the data, to the extent strictly necessary and for their respective institutional purposes:

• ANAC (Italian National Anti-Corruption Authority), exclusively within the framework of the external reporting channel referred to in Articles 7 et seq. of Legislative Decree 24/2023. If the Data Subject chooses to make an external report through ANAC, the processing of data by the latter is governed by its own privacy notice, which is independent of this Notice;
• Judicial authorities and other competent bodies or entities in relation to the matter reported, in the cases provided for by law.

Under no circumstances will Personal Data be subject to indiscriminate disclosure.

SECTION 8 - TRANSFER OF DATA ABROAD

Data are managed and stored on servers located in Italy and, in any event, within the territory of the European Union. Personal Data are not transferred to third countries or international organisations.

Should it become necessary in the future to transfer data outside the European Economic Area, such transfer will take place in compliance with the safeguards provided for by Articles 44 et seq. of the GDPR, with prior notice to the Data Subjects.

SECTION 9 – DATA RETENTION PERIODS

The Controller retains Personal Data for the time necessary to handle the report and for a period not exceeding five years from the date on which the final outcome of the procedure is communicated by the Reporting Manager.

Personal Data that prove to be manifestly irrelevant or unnecessary for handling the specific report are not collected. If they have been acquired accidentally, they are promptly deleted, after recording the reasons justifying their deletion for accountability purposes.

Upon expiry of the retention period, the data are deleted or irreversibly anonymised, unless longer retention obligations arise from statutory requirements or judicial orders.

SECTION 10 – RIGHTS OF THE DATA SUBJECT

The Data Subject may at any time exercise against the Controller the rights provided for by law and listed below, which are granted by the legislation on the protection of Personal Data, by sending a specific written request to the Controller using the contact details set out in Section 2.

1. Right of access

   You may obtain from the Controller confirmation as to whether or not your Personal Data are being processed and, where that is the case, obtain access to your Personal Data and to the information provided for by Article 15 of the GDPR, including, by way of example, evidence of the purposes pursued by the Controller, the categories of data involved, the recipients to whom they may be transmitted, the applicable retention period and the existence of automated decision-making processes. In the context of whistleblowing, the exercise of the right of access by Persons involved or mentioned in the report may be deferred or restricted, for such time and to such extent as necessary, where this could prejudice the confidentiality of the Reporting Person's identity or the proper conduct of the investigation, pursuant to Article 2-undecies of Legislative Decree 196/2003 and Article 12, paragraph 5, of Legislative Decree 24/2023.

2. Right to rectification

   You may obtain from the Controller, without undue delay, the rectification of your Personal Data that are inaccurate and, taking into account the purposes of the processing, the completion of incomplete Personal Data, including by providing a supplementary statement.

3. Right to erasure

   You may request the Controller to erase your Personal Data where one of the grounds provided for by Article 17 of the GDPR applies, including, by way of example, where the Personal Data are no longer necessary in relation to the purposes for which they were collected or otherwise processed, or where the consent on which the processing of your Personal Data is based has been withdrawn by you and there is no other legal ground for the processing. It is understood that the withdrawal of consent will not affect the lawfulness of processing carried out up to that time. We inform you that the Controller will not be able to erase your Personal Data where their processing is necessary, for example, for compliance with a legal obligation, for reasons of public interest, or for the establishment, exercise or defence of legal claims.

4. Right to restriction of processing

   You may obtain restriction of the processing of your Personal Data where one of the circumstances provided for by Article 18 of the GDPR applies, including, for example: where you contest the accuracy of your Personal Data being processed, or where you require your Personal Data for the establishment, exercise or defence of legal claims, although the Controller no longer needs them for the purposes of the processing.

5. Right to object

   You may object at any time to the processing of your Personal Data where the processing is carried out for the performance of a task carried out in the public interest or for the purposes of the legitimate interests pursued by the Controller (including profiling), within the limits of Article 21 of the GDPR. If you decide to exercise the right to object described herein, the Controller will refrain from further processing your Personal Data, unless there are compelling legitimate grounds for the processing which override the interests, rights and freedoms of the Data Subject, or for the establishment, exercise or defence of legal claims.

6. Right to data portability

   The right to data portability applies exclusively to processing based on consent or on the performance of a contract and carried out by automated means. In the context of this Notice, this right applies only to a limited extent, since the prevailing legal basis is compliance with a legal obligation, in respect of which portability cannot be exercised.

   Only where consent is the applicable legal basis (reports recorded orally), may the Data Subject request to receive his or her data in a structured, commonly used and machine-readable format, or request their direct transmission to another Controller, where technically feasible.

7. Right to lodge a complaint with the Data Protection Authority

   Without prejudice to your right to seek any other administrative or judicial remedy, if you consider that the processing of your Personal Data by the Controller is carried out in breach of the law and/or applicable legislation, you may lodge a complaint with the competent Data Protection Authority.

Video Tutorial