INFORMATIVA UNICA WHISTLEBLOWING

AI SENSI DEGLI ARTT. 13 E 14 

DEL REGOLAMENTO UE 2016/679 (GDPR)

relativa al trattamento dei dati personali dei soggetti

che inoltrano segnalazioni tramite la Procedura Whistleblowing

Gestione del Canale di Segnalazione Interno delle Violazioni ai sensi del D.Lgs. n. 24/2023

La presente informativa si rivolge in modo unificato a tutti i soggetti interessati cui si applica la tutela e la disciplina del D.Lgs. 24/2023 (segnalante, facilitatore, persone del medesimo contesto lavorativo, colleghi di lavoro del segnalante) nonché al soggetto segnalato e alle persone terze menzionate. 

L'adozione di un'Informativa Unica, in conformità a quanto raccomandato dalle Linee Guida dell'ANAC e dal Garante Privacy, è specificamente finalizzata ad evitare elevati ed eterogenei flussi informativi interni dai quali sia possibile dedurre, anche indirettamente, il coinvolgimento di una specifica persona in una segnalazione, vanificando le tutele di riservatezza approntate dalla legge. 

1. TITOLARE DEL TRATTAMENTO

Il Titolare del Trattamento è General Fruit S.r.l. con sede legale in via Torquato Tasso n. 8/10, 24060 Credaro (Bergamo) Italia, nella persona del suo legale rappresentante pro tempore. Per questioni relative alla protezione dei dati personali, il Titolare può essere contattato all'indirizzo e-mail aziendale. 

2. SOGGETTI AUTORIZZATI E DESTINATARI (IL GESTORE ESTERNO)

In conformità al D.Lgs. 24/2023, General Fruit S.r.l. ha affidato in outsourcing la gestione del canale di segnalazione interno a un professionista esterno, autonomo, indipendente e specificamente formato: 

Gestore delle Segnalazioni: Avv. Massimo Maria Mantegari, del Foro di Reggio Emilia (E-mail dedicata: m.mantegari@mantegaribologna.com). 

Ruolo Privacy: Il Gestore Esterno è stato formalmente nominato quale Responsabile del Trattamento ai sensi dell'art. 28 del GDPR. Egli agisce come unico soggetto deputato alla ricezione e all'istruttoria, vincolato al più rigido segreto professionale. 

3. SOGGETTI INTERESSATI E ORIGINE DEI DATI

Il trattamento riguarda i dati personali delle seguenti categorie di persone fisiche, raccolti direttamente presso l'interessato (Art. 13 GDPR) o tramite fonti terze, nello specifico dalla segnalazione stessa (Art. 14 GDPR): 

A) Il Segnalante (Whistleblower): Il soggetto legittimato che presenta la segnalazione. Può trattarsi di Soggetti Interni (dipendenti subordinati, dirigenti, amministratori, soci, tirocinanti o volontari) o di Soggetti Esterni (lavoratori autonomi, liberi professionisti, consulenti, appaltatori, subappaltatori, fornitori o clienti). 

B) I Facilitatori e i Terzi tutelati: Persone fisiche che assistono il Segnalante nel processo di segnalazione all'interno del contesto lavorativo, o soggetti legati da un solido e stabile legame affettivo/lavorativo operanti nella medesima organizzazione, a cui la legge estende le medesime tutele ritorsive. 

C) Il Segnalato (Soggetto Coinvolto): La persona fisica a cui viene attribuita la violazione o la condotta illecita oggetto di segnalazione. Per questa categoria, i dati sono raccolti per effetto della segnalazione altrui (Art. 14 GDPR). 

D) Persone menzionate: Qualsiasi altra persona fisica indicata nella segnalazione o nei relativi allegati come testimone o persona informata sui fatti. 

4. CATEGORIE DI DATI TRATTATI

Il trattamento ha ad oggetto le seguenti tipologie di informazioni: 

• Dati anagrafici e di contatto (laddove la segnalazione non sia anonima): nome, cognome, codice fiscale, qualifica aziendale, e-mail, telefono. 

• Dati ricavabili dalla segnalazione: elementi identificativi, data, luogo, modalità e descrizione dettagliata del fatto illecito percepito, inclusi i file o i documenti multimediali allegati. 

• Categorie particolari di dati (Art. 9 GDPR): dati idonei a rivelare l'origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati relativi alla salute o all'orientamento sessuale, qualora inseriti spontaneamente poiché inevitabili e necessari ai fini dell'esposizione della violazione. 

5. FINALITÀ E BASI GIURIDICHE DEL TRATTAMENTO

I dati personali saranno trattati esclusivamente per le seguenti finalità:

• Finalità 1. Esecuzione e gestione del procedimento di Whistleblowing
• Descrizione. Ricezione, esame e svolgimento delle attività istruttorie volte ad accertare la fondatezza del fatto segnalato nell'interesse dell'integrità della Società. Per gli interessati diversi dal segnalante, i dati sono raccolti tramite terzi (la segnalazione stessa). 
• Base giuridica. Adempimento di un obbligo legale al quale è soggetto il Titolare (Art. 6, par. 1, lett. c) del GDPR in combinato disposto con il D.Lgs. 24/2023). Nel caso di categorie particolari di dati, la base risiede nell'assolvimento di obblighi specifici in materia di diritto del lavoro (Art. 9, par. 2, lett. b) del GDPR) o sul consenso esplicito manifestato all'atto dell'invio (Art. 9, par. 2, lett. a) del GDPR). 
• Natura del conferimento. Il conferimento dei dati identificativi da parte del segnalante è facoltativo (essendo ammesse le segnalazioni anonime nei limiti procedurali). Il mancato rilascio dei dati identificativi non comporta effetti negativi sullo svolgimento delle attività di accertamento della Società, purché la segnalazione sia adeguatamente circostanziata. 
• Finalità 2. Comunicazione a terzi e tutela dei diritti
• Descrizione. Condivisione dei dati con soggetti esterni nei soli casi previsti dalla legge o laddove necessario per dare seguito agli esiti dell'istruttoria (es. provvedimenti disciplinari, denunce penali). 
• Base giuridica. Adempimento di obblighi di legge (comunicazioni ad Autorità Giudiziarie o ANAC) e perseguimento del legittimo interesse del Titolare 

all'accertamento, esercizio o difesa di un proprio diritto in sede giudiziaria o disciplinare (Art. 6, par. 1, lett. f) del GDPR). 

• Finalità 3. Sicurezza informatica e gestione degli eventi di Data Breach
• Descrizione. Implementazione e monitoraggio delle procedure informatiche di rilevazione e notificazione di eventuali violazioni di dati personali a tutela dei canali di whistleblowing. 
• Base giuridica. Adempimento di obblighi di legge (Art. 33 e 34 GDPR) e interesse legittimo del Titolare volto a preservare l'integrità e l'autenticità dei sistemi applicativi (Art. 6, par. 1, lett. f) del GDPR). 

6. MODALITÀ DI TRATTAMENTO E MISURE DI SICUREZZA

Il trattamento avviene con strumenti informatici, telematici e, ove necessario, cartacei, da parte di soggetti operanti sotto l'autorità del Titolare e del Responsabile, opportunamente autorizzati e formati. L'accesso è consentito nei soli limiti in cui sia strettamente necessario all'istruttoria. A tutela della riservatezza e dell'anonimato sono previste le seguenti misure: 

• Crittografia dei dati: I canali telematici dedicati (piattaforma web ed e-mail) utilizzano tecniche di cifratura sia per il trasporto sia per l'archiviazione delle informazioni, impedendo il tracciamento degli indirizzi IP. 

• Separazione e Pseudonimizzazione: Qualora la segnalazione sia nominativa, il Gestore Esterno applica una rigorosa separazione tecnica ed organizzativa. L'identità del segnalante viene oscurata e rimossa (pseudonimizzazione) prima di trasmettere qualsiasi relazione di sintesi al Consiglio di Amministrazione. 

7. PERIODO DI CONSERVAZIONE DEI DATI

I dati personali sono conservati in archivi situati all'interno dello Spazio Economico Europeo (SEE). Nel rispetto dei limiti temporali di legge: 

• I dati sono mantenuti per il tempo necessario agli adempimenti conseguenti all'accertamento e comunque non oltre 24 mesi dalla data di ricezione della segnalazione, in caso di archiviazione per inammissibilità o infondatezza. 

• In conformità all'art. 14, co. 1 del D.Lgs. 24/2023, la documentazione amministrativo-procedurale correlata a segnalazioni fondate può essere conservata fino a un massimo di 5 anni decorrenti dalla data di comunicazione dell'esito finale della procedura. 

• In caso di attivazione di procedimenti disciplinari interni, contenziosi o indagini dell'Autorità Giudiziaria, i dati saranno conservati per tutto il tempo necessario alla conclusione definitiva dei procedimenti e allo spirare dei termini per le impugnazioni. 

• I dati manifestamente non utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, vengono cancellati immediatamente. Al termine dei periodi di conservazione, le informazioni vengono irreversibilmente eliminate o anonimizzate. 

8. AMBITO DI COMUNICAZIONE DEI DATI

I dati non saranno in alcun modo diffusi o divulgati verso soggetti indeterminati. Potranno essere comunicati, esclusivamente per le finalità connesse all'istruttoria o per obbligo normativo, a: 

• Membri del Consiglio di Amministrazione di General Fruit S.r.l. (esclusi eventuali soggetti segnalati e sempre in forma anonima/pseudonimizzata). 

• Autorità Giudiziaria, Autorità contabili/amministrative o ANAC. 

• Avvocati e consulenti legali della Società incaricati del contenzioso. 

• Provider e manutentori dei servizi informatici (nominati sub-responsabili del trattamento). 

9. DIRITTI DEGLI INTERESSATI E LIMITAZIONI RIGIDE

Gli interessati (ad esclusione delle limitazioni sotto riportate) possono esercitare in ogni momento i diritti previsti dagli artt. 15 e ss. del GDPR: accesso, rettifica, cancellazione (ove non obbligatoria per legge), limitazione e opposizione, inviando una richiesta all'indirizzo e-mail del Gestore o del Titolare. 

⚠️ LIMITAZIONE TASSATIVA PER IL SOGGETTO SEGNALATO (Art. 2-undecies del D.Lgs. 196/2003). 

Si informa specificamente il Segnalato (la persona oggetto della segnalazione) e i soggetti terzi coinvolti che l'esercizio dei diritti di cui sopra è precluso e fortemente limitato per legge. Poiché dall'esercizio di tali diritti (quali l'accesso all'origine dei dati non raccolti presso l'interessato o la cancellazione) potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell'identità del segnalante e degli altri soggetti protetti, in nessuna circostanza è permesso al Segnalato di avvalersi dei propri diritti privacy per ottenere informazioni sull'identità del Segnalante o sugli atti istruttori. 

10. DIRITTO DI PROPORRE RECLAMO

Fatta salva ogni altra azione in sede amministrativa o giudiziaria, l'interessato che ravvisi violazioni derivanti dal trattamento può presentare un formale reclamo all'Autorità Garante per la protezione dei dati personali (Piazza Venezia n. 11, 00187, Roma - www.garanteprivacy.it). 

Si specifica che, ai sensi dell'art. 2-undecies del D.Lgs. 196/2003, al soggetto segnalato è preclusa la possibilità di promuovere una richiesta o un reclamo al Garante della Privacy qualora tale azione sia finalizzata a aggirare la riservatezza dell'identità del segnalante o a ostacolare l'istruttoria in corso. 

Ogni eventuale aggiornamento della presente informativa, reso necessario da modifiche normative o organizzative di General Fruit S.r.l., sarà tempestivamente comunicato agli interessati mediante mezzi congrui (pubblicazione sul sito internet o canali di comunicazione interna).

Credaro, 12 marzo 2026

Il titolare del trattamento dei dati

SINGLE WHISTLEBLOWING PRIVACY NOTICE

PURSUANT TO ARTICLES 13 AND 14

OF REGULATION (EU) 2016/679 (GDPR)

concerning the processing of the personal data of individuals

who submit reports through the Whistleblowing Procedure

Management of the Internal Reporting Channel for Breaches pursuant to Legislative Decree No. 24/2023

This privacy notice is addressed, on a single and unified basis, to all data subjects to whom the safeguards and provisions of Legislative Decree No. 24/2023 apply (the reporting person, the facilitator, persons within the same work context, and the reporting person’s colleagues), as well as to the reported person and to any third parties mentioned.

The adoption of a Single Privacy Notice, in accordance with the recommendations set out in the Guidelines of ANAC and of the Italian Data Protection Authority (Garante per la protezione dei dati personali), is specifically intended to avoid substantial and heterogeneous internal information flows from which it might be possible to infer, even indirectly, the involvement of a specific individual in a report, thereby frustrating the confidentiality safeguards established by law.

DATA CONTROLLER

The Data Controller is General Fruit S.r.l., with registered office at Via Torquato Tasso no. 8/10, 24060 Credaro (Bergamo), Italy, in the person of its legal representative pro tempore. For matters concerning the protection of personal data, the Data Controller may be contacted at the Company’s e-mail address.

AUTHORISED PERSONS AND RECIPIENTS (THE EXTERNAL MANAGER)

In accordance with Legislative Decree No. 24/2023, General Fruit S.r.l. has outsourced the management of the internal reporting channel to an external professional who is autonomous, independent and specifically trained:

Reporting Channel Manager: Avv. Massimo Maria Mantegari, admitted to the Reggio Emilia Bar (Dedicated e-mail address: m.mantegari@mantegaribologna.com).

Privacy role: the External Manager has been formally appointed as Data Processor pursuant to Article 28 of the GDPR. He acts as the sole party entrusted with receiving and handling the preliminary investigation, and is bound by the strictest professional secrecy.

DATA SUBJECTS AND SOURCE OF THE DATA

The processing concerns the personal data of the following categories of natural persons, collected either directly from the data subject (Article 13 GDPR) or from third-party sources, specifically from the report itself (Article 14 GDPR):

• The Reporting Person (Whistleblower): the authorised individual who submits the report. This may be an Internal Subject (employees, executives, directors, shareholders, trainees or 

volunteers) or an External Subject (self-employed workers, independent professionals, consultants, contractors, subcontractors, suppliers or customers).

B) Facilitators and other protected third parties: natural persons who assist the Reporting Person in the reporting process within the work context, or individuals linked by a strong and stable personal/work relationship operating within the same organisation, to whom the law extends the same protection against retaliation.

C) The Reported Person (Person Concerned): the natural person to whom the breach or unlawful conduct reported is attributed. For this category, the data are collected as a result of a report made by another person (Article 14 GDPR).

D) Persons mentioned: any other natural person indicated in the report or in the related attachments as a witness or a person informed of the facts.

CATEGORIES OF DATA PROCESSED

The processing concerns the following types of information:

• Personal and contact data (where the report is not anonymous): first name, surname, tax code, corporate role/title, e-mail address, telephone number.

• Data deriving from the report: identifying elements, date, place, manner and detailed description of the perceived unlawful act, including any attached files or multimedia documents.

• Special categories of personal data (Article 9 GDPR): data capable of revealing racial or ethnic origin, political opinions, religious beliefs, trade-union membership, data concerning health or sexual orientation, where voluntarily included because unavoidable and necessary for the purposes of describing the breach.

PURPOSES AND LEGAL BASES FOR THE PROCESSING

Personal data will be processed exclusively for the following purposes:

Purpose 1. Performance and management of the Whistleblowing procedure

Description. Receipt, assessment and performance of the preliminary investigative activities aimed at ascertaining whether the reported facts are well-founded, in the interest of the Company’s integrity. For data subjects other than the Reporting Person, the data are collected from third parties (the report itself).

Legal basis. Compliance with a legal obligation to which the Data Controller is subject (Article 6(1)(c) GDPR, in conjunction with Legislative Decree No. 24/2023). In the case of special categories of data, the legal basis lies in the performance of specific obligations in the field of employment law (Article 9(2)(b) GDPR) or in the explicit consent given at the time of submission (Article 9(2)(a) GDPR).

Nature of provision. The provision of identifying data by the Reporting Person is optional (as anonymous reports are permitted within the procedural limits). Failure to provide identifying data does not entail adverse effects on the Company’s fact-finding activities, provided that the report is sufficiently detailed.

Purpose 2. Disclosure to third parties and protection of rights

Description. Sharing of data with external parties only in the cases provided for by law, or where necessary to follow up the outcome of the investigation (e.g. disciplinary measures, criminal complaints).

Legal basis. Compliance with statutory obligations (communications to the Judicial Authorities or to ANAC) and pursuit of the Data Controller’s legitimate interest in the establishment, exercise or defence of its rights in judicial or disciplinary proceedings (Article 6(1)(f) GDPR).

Purpose 3. Cybersecurity and management of Data Breach events

Description. Implementation and monitoring of IT procedures for detecting and notifying any personal data breaches, in order to safeguard the whistleblowing channels.

Legal basis. Compliance with statutory obligations (Articles 33 and 34 GDPR) and the Data Controller’s legitimate interest in preserving the integrity and authenticity of the application systems (Article 6(1)(f) GDPR).

PROCESSING METHODS AND SECURITY MEASURES

Processing is carried out by means of IT and telematic tools and, where necessary, in paper format, by persons acting under the authority of the Data Controller and of the Data Processor, duly authorised and trained. Access is permitted only to the extent strictly necessary for the investigation. The following measures are implemented to safeguard confidentiality and anonymity:

• Data encryption: the dedicated telematic channels (web platform and e-mail) use encryption techniques both for transmission and for storage of the information, preventing the tracking of IP addresses.

• Segregation and pseudonymisation: where the report is not anonymous, the External Manager applies strict technical and organisational segregation. The Reporting Person’s identity is masked and removed (pseudonymisation) before any summary report is transmitted to the Board of Directors.

DATA RETENTION PERIOD

Personal data are stored in archives located within the European Economic Area (EEA). In compliance with the statutory time limits:

• Data are retained for the time necessary to fulfil the obligations arising from the fact-finding activities and, in any event, no longer than 24 months from the date of receipt of the report, in the event of filing due to inadmissibility or lack of grounds.

• In accordance with Article 14(1) of Legislative Decree No. 24/2023, the administrative/procedural documentation relating to well-founded reports may be retained for up to a maximum of 5 years from the date on which the final outcome of the procedure is communicated.

• In the event that internal disciplinary proceedings, litigation or investigations by the Judicial Authority are commenced, the data will be retained for the entire period necessary for the final conclusion of the proceedings and until expiry of the time limits for any appeals.

• Data manifestly not useful for the processing of a specific report are not collected, or, if collected accidentally, are deleted immediately. Upon expiry of the retention periods, the information is irreversibly deleted or anonymised.

SCOPE OF DISCLOSURE OF THE DATA

The data will not, in any way, be disseminated or disclosed to an indefinite number of recipients. They may be disclosed, exclusively for purposes connected with the investigation or in order to comply with statutory obligations, to:

• Members of the Board of Directors of General Fruit S.r.l. (excluding any reported persons and always in anonymous/pseudonymised form).

• Judicial Authorities, accounting/administrative authorities, or ANAC.

• The Company’s lawyers and legal advisers appointed to handle the litigation.

• Providers and maintainers of IT services (appointed as sub-processors).

DATA SUBJECTS’ RIGHTS AND STRICT LIMITATIONS

Data subjects (subject to the limitations set out below) may exercise at any time the rights provided for in Articles 15 et seq. of the GDPR: access, rectification, erasure (where not mandatory by law), restriction and objection, by sending a request to the e-mail address of the Manager or of the Data Controller.

⚠️ STATUTORY LIMITATION FOR THE REPORTED PERSON (Article 2-undecies of Legislative Decree No. 196/2003).

The Reported Person (i.e. the person concerned by the report) and the third parties involved are specifically informed that the exercise of the above rights is precluded and strictly limited by law. Since the exercise of such rights (such as access to the origin of data not collected from the data subject, or erasure) could cause actual and concrete prejudice to the protection of the confidentiality of the identity of the Reporting Person and of the other protected individuals, under no circumstances is the Reported Person permitted to exercise privacy rights in order to obtain information on the identity of the Reporting Person or on the investigative acts.

RIGHT TO LODGE A COMPLAINT

Without prejudice to any other administrative or judicial remedy, the data subject who identifies breaches arising from the processing may lodge a formal complaint with the Italian Data Protection Authority (Garante per la protezione dei dati personali) (Piazza Venezia no. 11, 00187 Rome – www.garanteprivacy.it).

It is specified that, pursuant to Article 2-undecies of Legislative Decree No. 196/2003, the Reported Person is precluded from submitting a request to, or lodging a complaint with, the Italian Data Protection Authority where such action is aimed at circumventing the confidentiality of the identity of the Reporting Person or at obstructing the ongoing investigation.

Any update to this privacy notice, made necessary by regulatory or organisational changes of General Fruit S.r.l., will be promptly communicated to the data subjects by appropriate means (publication on the website or internal communication channels).

Credaro, 12 March 2026

The Data Controller