1. Premessa, contitolari e dati di contatto

Ai sensi degli art. 13 e 14 Regolamento UE n. 2016/679, Regolamento Generale sulla Protezione dei Dati (“Regolamento”) e del D.lgs. 196/2003, come modificato dal d. lgs 101/2018, si informa che i dati personali raccolti tramite il sito https://www.pittarossopinkparade.it, tramite i moduli di iscrizione online, tramite i corner presso i punti vendita PittaRosso, tramite i flussi di iscrizione aziendale, nonché quelli acquisiti nel corso dell’evento (per esempio l’immagine) e attraverso i canali social dell’Iniziativa, sono trattati da due soggetti che determinano congiuntamente finalità e mezzi di alcuni trattamenti. Il GDPR li qualifica come “Contitolari” e sono, con i relativi dati di contatto:

• PittaRosso S.p.A., sede legale in Legnaro (PD), via dell’Industria 16 - 35020, P. IVA03846980286 (di seguito denominata “Pittarosso”), email: privacy@pittarosso.com, email Responsabile della Protezione dei Dati (RPD, o DPO): dpo@pittarosso.com, e
• Fondazione Umberto Veronesi  ETS, sede legale in Via Solferino 19, 20121 - Milano (MI), C.F. 97298700150, email: privacy@fondazioneveronesi.it ((di seguito denominata “FUV” o “Fondazione”).

Ai sensi dell’art. 26 GDPR i Contitolari hanno stipulato nel 2026 un accordo di contitolarità (“Accordo”) che sostituisce integralmente ogni precedente accordo in merito. Il contenuto essenziale dell’Accordo è riportato al successivo punto 11, gli interessati possono chiedere ulteriori informazioni ai contatti sopra indicati. Le iscrizioni raccolte presso i punti vendita PittaRosso sono accompagnate dall’informativa resa direttamente da PittaRosso in quel contesto, ferma restando l’applicabilità del presente documento.

La presente informativa riguarda l’edizione 2026 dell’Iniziativa e, salva diversa indicazione, anche le eventuali edizioni successive organizzate congiuntamente dai Contitolari, purché i trattamenti descritti al punto 2 restino sostanzialmente invariati - in caso contrario i Contitolari aggiorneranno il documento o forniranno un’informativa dedicata prima della raccolta dei dati.

2. Per quali finalità i contitolari trattano i dati personali, con quali basi giuridiche, per quanto tempo e tramite quali terzi?

I trattamenti di dati personali che i Contitolari attuano sono comunque talvolta suddivisi tra di essi, secondo la seguente ripartizione di compiti, oltre ai trattamenti comuni indicati come tali:

A) Gestione tecnica e sicurezza del sito web

• Interessati: visitatori del sito.
• Dati: indirizzo IP, log di accesso e altre informazioni tecniche necessarie alla connessione; preferenze e consensi espressi sull’uso di cookie e altri strumenti di tracciamento.
• Finalità e basi giuridiche: (i) garantire la connettività e la connessione sicura al sito, anche mediante cookie tecnici: esecuzione del contratto con l’interessato e riscontro alla sua richiesta di connessione (art. 6.1 lett. b GDPR), nonché trasmissione di una comunicazione su rete di comunicazione elettronica ed erogazione di un servizio della società dell’informazione esplicitamente richiesto (art. 122 Codice Privacy); (ii) sicurezza informatica del sito e conservazione dei log di accesso: legittimo interesse dei Contitolari alla protezione dei propri sistemi (art. 6.1 lett. f GDPR);  (iii) analisi di utilizzo e funzionamento del sito tramite tracciatori “minimizzati”, nonché ulteriori finalità di marketing e profilazione: consenso dell’interessato (art. 6.1 lett. a GDPR e art. 122 Codice Privacy), nei termini della cookie policy [LINK].
• Conservazione: per i cookie e i tracciatori, le durate indicate nella cookie policy; per i log di sicurezza, massimo 6 mesi, salvo esigenze di indagine o accertamento e ordini dell’autorità.
• Destinatari: Eventuali terzi fornitori dei cookie e dei tracciatori (vedi la citata cookie policy); consulenti e fornitori di servizi informatici, di sicurezza informatica e di comunicazione elettronica; fornitori di piattaforme di marketing automation; eventuali autorità in caso di eventi rilevanti per la sicurezza.
• Ruoli: PittaRosso per la gestione tecnica dei cookie e per la sicurezza informatica; entrambi i Contitolari per le altre attività.

B) Iscrizione, pagamento e partecipazione all’Iniziativa

• Interessati: persone fisiche che si iscrivono in proprio (“Partecipanti Diretti”) e persone fisiche iscritte da altri che agiscono per loro conto (“Partecipanti Indiretti”), incluse le iscrizioni tramite team aziendali.
• Dati: nome e cognome, sesso, codice fiscale, indirizzo e-mail, numero di telefono, indirizzo fisico per l’invio del materiale di partecipazione, estremi di pagamento, preferenze di consenso espresse. Per i Partecipanti Indiretti: i soli dati necessari all’identificazione e iscrizione.
• Finalità: tutte le attività necessarie all’iscrizione e alla partecipazione, e in particolare: raccolta e gestione delle richieste di iscrizione tramite il sito e tramite i canali fisici PittaRosso (corner presso i punti vendita), raccolta dei relativi consensi, raccolta delle quote di partecipazione e gestione dei pagamenti e della biglietteria elettronica, gestione delle donazioni, gestione del flusso delle iscrizioni aziendali e dei partecipanti dei team aziendali, comunicazioni organizzative e logistiche, assegnazione dei pettorali e invio postale del pacchetto di partecipazione o del voucher di ritiro, predisposizione dell’elenco dei partecipanti, delle classifiche e dell’eventuale assegnazione di premi o riconoscimenti, organizzazione dell’evento di Milano e delle attività promozionali connesse alla sua organizzazione.
• Base giuridica: esecuzione del contratto o di misure precontrattuali e riscontro alla richiesta di iscrizione e partecipazione (art. 6.1 lett. b GDPR).
• Conservazione: per tutta la durata della partecipazione all’Iniziativa. Successivamente, ciascun Contitolare può conservare i dati necessari in qualità di titolare autonomo per adempimenti contabili, fiscali e di legge e per la tutela di un proprio diritto (vedi punto 10 seguente).
• Destinatari (responsabili ex art. 28 GDPR): consulenti e fornitori di servizi annessi alla gestione dell’Iniziativa, tra i quali: sviluppo software e piattaforma web; hosting e infrastruttura cloud; automazione e integrazione dei flussi; logistica e spedizioni; assistenza clienti e invio di comunicazioni; servizi di pagamento e biglietteria elettronica; gestione CRM e donazioni; organizzazione di eventi e servizi di organizzazione sportiva.
• Ruoli: PittaRosso per sviluppo e manutenzione del sito e della piattaforma di iscrizione, hosting, gestione degli ordini e dei pagamenti delle quote, assistenza clienti, invio delle comunicazioni, automazione logistica e servizi di organizzazione sportiva. Fondazione per CRM e gestione donazioni, personalizzazione del sito di fund-raising, piattaforma di ticketing per iscrizioni e donazioni, integrazione e automazione dei flussi, organizzazione dell’evento e servizi di organizzazione sportiva.

C) Notizia e promozione dell’Iniziativa e di future edizioni mediante immagini e contenuti dell’evento

• Interessati: partecipanti ripresi o fotografati nel contesto dell’Iniziativa.
• Dati: immagine, inclusa la voce (fotografie e riprese audiovisive); nome e cognome ove associati ai contenuti pubblicati.
• Finalità: divulgazione di comunicazioni, immagini e contenuti tramite i siti dei Contitolari, i social media, siti di terzi e la stampa, per finalità di notizia e promozione dell’Iniziativa e di future iniziative analoghe gestite congiuntamente dai Contitolari.
• Base giuridica: legittimo interesse dei Contitolari a un’adeguata diffusione dell’evento, di rilevante portata mediatica, e del messaggio di sensibilizzazione sulle tematiche sociali sottese (art. 6.1 lett. f GDPR). Il trattamento è rispettoso dell’onore, del decoro e della reputazione dei soggetti ritratti, è circoscritto al contesto dell’evento e l’interessato può opporsi in qualsiasi momento (vedi punto 7 seguente). Su richiesta è disponibile una sintesi della valutazione di bilanciamento degli interessi.
• Conservazione: per tutta la durata di utilizzo dell’immagine ritenuta adeguata dai Contitolari per la promozione dell’Iniziativa e di future edizioni, salva opposizione dell’interessato. In caso di opposizione accolta, i Contitolari cessano ogni ulteriore diffusione e rimuovono i contenuti dai canali sotto il proprio controllo.
• Destinatari: consulenti e fornitori di servizi annessi alla realizzazione e gestione delle immagini per i fini di notizia e promozione, tra i quali: servizi fotografici e di ripresa audiovisiva; agenzie di comunicazione e pubblicità; nonché social media, siti web terzi e stampa in generale per la diffusione dell’immagine.
• Ruoli: entrambi i Contitolari.

D) Comunicazioni promozionali congiunte sull’Iniziativa e su future edizioni

• Interessati: partecipanti e altri soggetti che rilasciano il relativo consenso.
• Dati: nome e cognome, indirizzo e-mail.
• Finalità: invio, in modo coordinato tra i Contitolari e anche mediante comunicazioni separate inviate da ciascuno di essi, di comunicazioni promozionali relative all’Iniziativa e a future iniziative analoghe gestite congiuntamente.
• Base giuridica: consenso espresso, libero e revocabile in ogni momento (art. 6.1 lett. a GDPR). Il consenso è distinto e indipendente dai consensi eventualmente richiesti da ciascun Contitolare per le proprie autonome finalità di marketing (vedi punto 10 seguente).
• Conservazione: fino a 24 mesi dalla raccolta del consenso, salva revoca anteriore.
• Destinatari: consulenti e fornitori di servizi di invio e gestione delle comunicazioni elettroniche e di e-mail marketing; fornitori di servizi di gestione dei database di contatto.
• Alla data della presente informativa questa attività non è avviata; sarà attivata solo nei confronti di chi abbia prestato il consenso.

E) Moderazione dei canali social dell’Iniziativa e di PittaRosso

• Interessati: partecipanti e terzi utenti di social media che interagiscono con i canali dell’Iniziativa e di PittaRosso.
• Dati: contatti e comunicazioni ricevute tramite i canali social (per esempio nome utente, messaggi, commenti).
• Finalità: moderazione dei contatti e delle comunicazioni ricevute, nelle modalità illustrate nel regolamento di partecipazione.
• Base giuridica: legittimo interesse dei Contitolari a una gestione corretta e sicura dei propri canali e alla diffusione del messaggio dell’Iniziativa (art. 6.1 lett. f GDPR), con diritto di opposizione sempre esercitabile.
• Conservazione: per la durata ritenuta adeguata ai fini di comunicazione, notizia e visibilità dell’Iniziativa e delle future edizioni, salva opposizione dell’interessato.
• Destinatari: consulenti e fornitori di servizi di gestione, presidio e moderazione dei canali social. Le piattaforme social operano come titolari autonomi per i trattamenti effettuati per proprie finalità, disciplinati dalle rispettive informative.
• Ruoli: entrambi i Contitolari. Le piattaforme social operano come titolari autonomi per i trattamenti effettuati per proprie finalità, disciplinati dalle rispettive informative.

L’elenco completo e aggiornato dei responsabili (designati ex art. 28 GDPR) è disponibile su richiesta ai contatti dei Contitolari.

3. Con quali modalità i Contitolari trattano i dati?

I dati personali sono trattati dai Contitolari con modalità prevalentemente elettroniche e sono conservati all’interno dei loro sistemi gestionali. Idonee misure di sicurezza sono osservate per prevenire la perdita o alterazione dei dati – anche accidentale – usi illeciti o non corretti ed accessi non autorizzati.

Come illustrato nel regolamento dell’evento, le immagini raccolte (fotografie, riprese audiovisive, ecc.) potranno essere utilizzate come testimonianza della manifestazione nonché per la promozione dell’evento stesso, anche in futuro sia tramite mezzi di stampa che attraverso piattaforme digitali (es. siti web dei Contitolari) e social network (es. Facebook, Instagram) e altri media. Il trattamento sarà comunque rispettoso dell’onore, del decoro e della reputazione dei soggetti ritratti.

Non sono adottate decisioni interamente automatizzate ai sensi dell’art. 22 GDPR. Attività di profilazione sono svolte solo tramite cookie e strumenti di tracciamento previo consenso, nei termini della cookie policy [LINK].

4. Che cosa accade in caso di dati personali di terzi (ad es. minorenni, ecc.)?

Chi iscrive altre persone dichiara di essere a ciò autorizzato (per esempio coniuge, genitore, convivente, referente del team aziendale, ecc.) e si impegna a condividere con loro il presente documento e il regolamento della manifestazione. L’origine dei dati dei Partecipanti Indiretti è dunque il Partecipante Diretto che li ha iscritti. I Contitolari, ove dispongano di un contatto idoneo, forniscono ai Partecipanti Indiretti l’informativa ex art. 14 GDPR entro i termini di legge.

I dati dei minori sono conferiti da chi esercita la responsabilità genitoriale o la tutela e sono trattati esclusivamente per consentirne la partecipazione all’evento. Nei limiti in cui minori siano ripresi o fotografati nel contesto dell’evento si applica quanto previsto al punto 2 (finalità lett. C), ferma la possibilità per chi esercita la responsabilità genitoriale di opporsi in qualsiasi momento all’uso dell’immagine ai contatti indicati al punto 1.

5. Criteri della raccolta dei dati

Il conferimento dei dati indicati al punto 2 (finalità lett. B) è necessario per consentire l’iscrizione, in mancanza non è possibile partecipare all’Iniziativa.

Le riprese fotografiche e audiovisive realizzate durante l’evento si basano sul legittimo interesse dei Contitolari e non richiedono un consenso, così come non richiedono un conferimento di dati da parte dell’interessato. Chi non desidera che la propria immagine sia utilizzata può opporsi in qualsiasi momento ai contatti indicati al punto 1, anche in occasione dell’evento.

Il conferimento dei dati per le comunicazioni promozionali congiunte di cui al punto 2 (finalità lett. D) è del tutto facoltativo e il consenso è revocabile in ogni momento, senza conseguenze sulla partecipazione all’Iniziativa.

6. Luogo del trattamento e trasferimento dei dati in Paesi extra-UE

Il trattamento avviene su server di proprietà del Titolare e/o di società terze incaricate e debitamente nominate quali responsabili del trattamento, ubicati in genere all’interno dell’Unione Europea. Resta in ogni caso inteso che il Titolare, ove si rendesse necessario, avrà facoltà di trasferire il trattamento in Paesi extra-UE (in particolare, quanto a fornitori di servizi e attività con sede negli USA). In questo caso, il titolare assicura sin d’ora che il trasferimento dei dati avverrà in conformità alle disposizioni di legge applicabili (artt. 45, 46, 47 e 49, GDPR), in particolare su decisioni di adeguatezza ex art. 45 GDPR (come nell’accordo UE – USA definito “Data Privacy Framework”) e clausole contrattuali standard della Commissione Europea ex art. 46 GDPR.

7. Quali sono i diritti che, come interessato a cui si riferiscono i dati personali, posso esercitare ai sensi del GDPR? Quale è il punto di contatto preferibile per ogni richiesta ai contitolari?

Le ricordiamo che ai sensi degli artt. 15-22 GDPR Lei ha i seguenti diritti:

• accedere ai dati (ivi incluso allo scopo di conoscere l’origine dei dati, le finalità e modalità di trattamento e la logica allo stesso applicata, nonché gli estremi identificativi di titolare, responsabile e categorie di soggetti cui i dati possono essere comunicati), e di chiederne copia salvo nel caso in cui l’esercizio del diritto leda i diritti e le libertà di altre persone fisiche;
• aggiornare e rettificare i dati;
• cancellare i dati salve le esclusioni o limitazioni stabilite dalla normativa;
• chiedere la limitazione del trattamento;
• chiedere la portabilità dei suoi dati e di trasmetterli ad altro titolare del trattamento, nei limiti del trattamento basato sul consenso o sulla necessità di esecuzione di un contratto, ove tecnicamente possibile e salvo nel caso in cui l’esercizio del diritto leda i diritti e le libertà di altre persone fisiche
• opporsi al trattamento basato sul legittimo interesse, per motivi connessi alla propria situazione particolare (es. pregiudizio all’onore, alla reputazione, al decoro), salva la dimostrazione da parte dei Contitolari di un interesse legittimo cogente e prevalente a norma dell’art. 21.1 GDPR, e salvo che il trattamento sia necessario per accertamento, esercizio o difesa di un diritto in sede giudiziaria;
• revocare, in qualsiasi momento, il consenso prestato. L’eventuale successiva revoca del consenso non pregiudica la liceità del trattamento dei dati svolto nel periodo antecedente tale revoca.

È inoltre Suo diritto proporre reclamo al Garante per la Protezione dei Dati Personali (in Italia, www.garanteprivacy.it), o all’Autorità Garante dello Stato dell’UE in cui risiede abitualmente o lavora, oppure del luogo ove si è verificata la presunta violazione. L’esercizio dei diritti di cui sopra può essere inoltre ritardato, limitato o escluso nei casi previsti dall’art. 2-undecies d.lgs. 196/2003.

I diritti di cui sopra potranno essere esercitati con richiesta rivolta senza formalità a ognuno dei Contitolari, ai contatti suindicati. Tuttavia, i Contitolari hanno stabilito tra loro un punto di contatto preferibile, per ogni richiesta relativa ai trattamenti in comune, presso: PittaRosso S.p.A., Legnaro (PD), via dell’Industria 16 – 35020, e-mail: privacy@pittarosso.com. Resta fermo il diritto dell’interessato di rivolgersi indifferentemente a ciascun Contitolare, che informerà l’altro senza ritardo, ai contatti di cui al punto 1.

 8. Reclamo all’Autorità di Controllo

L’interessato ha il diritto di proporre reclamo presso l’Autorità di Controllo, che in Italia è il Garante per la Protezione dei Dati Personali – Piazza Venezia 11, 00187 Roma (RM) – www.garanteprivacy.it, e-mail: protocollo@pec.gpdp.it, utilizzando il modello reperibile all’indirizzo https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4535524&zx=e0yn0riezmmw.

9. Data Protection Officer

Il Data Protection Officer di PittaRosso è contattabile all’e-mail dpo@pittarosso.com per informazioni sul trattamento dei dati.

Per contattare FUV, è possibile scrivere all’indirizzo privacy@fondazioneveronesi-it

10. Quali ulteriori finalità perseguono i suindicati Contitolari in maniera autonoma e non condivisa?

Oltre alle menzionate finalità e trattamenti in comune di cui al precedente punto 2, ogni titolare può attuare anche trattamenti del tutto autonomi, in proprio (ad es. per finalità di marketing, adempimenti normativi, tutela di un diritto, ecc.), per i quali – in sede di raccolta dei dati e di eventuali consensi – saranno erogate previamente le informazioni sul trattamento dei dati con chiara indicazione del riferimento allo specifico titolare e al fatto che non si tratta di uno dei trattamenti in contitolarità. Pertanto, per tali trattamenti ogni singolo titolare è da considerarsi responsabile esclusivamente in proprio e i trattamenti disciplinati da separate informative.

Per quanto riguarda i trattamenti svolti in autonomia da PittaRosso, salvo diversa specifica vale quanto precisato nelle informazioni online [https://www.pittarosso.com/it/informativa-online] circa le finalità al punto 2 della stessa, quanto a: fini di marketing (effettuare comunicazioni a fini promozionali di prodotti o iniziative di PittaRosso), adempimenti normativi e tutela di un diritto (adempiere ad obblighi previsti dalla legge, da un’autorità, da un regolamento o dalla normativa europea , oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria), sicurezza delle comunicazioni e informatica (garantire la sicurezza delle reti e dell’informazione pertinenti e le comunicazioni telematiche).

Per quanto riguarda i trattamenti svolti in autonomia da FUV, salvo diversa specifica vale quanto precisato nelle informazioni online [https://www.fondazioneveronesi.it/privacy-policy] circa le finalità al punto “Finalità del trattamento e basi giuridiche” della stessa, quanto a: (a) corretta gestione delle sue richieste, (b) fini di promozione e diffusione delle attività istituzionali di FUV (invio di materiale promozionale e di comunicazioni aventi contenuto informativo in relazione ai progetti, alle iniziative e alle attività istituzionali di Fondazione, (c) adempimenti normativi (adempiere a norme di legge, regolamento e normativa comunitaria) e tutela di un diritto (l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria).

11. Contenuto essenziale dell’accordo di contitolarità (art. 26.2 GDPR)

I Contitolari hanno definito per iscritto le rispettive responsabilità. In sintesi:

- sono svolti congiuntamente: il rispetto dei principi degli artt. 5 e 25 GDPR; il rilascio dell’informativa ex artt. 12-14 GDPR, fermo restando che PittaRosso vi provvede singolarmente per le iscrizioni raccolte presso i propri locali; la valutazione preventiva di eventuali nuove finalità; la gestione delle violazioni di dati personali ex artt. 33 e 34 GDPR; l’eventuale valutazione d’impatto ex art. 35 GDPR e la consultazione dell’Autorità ex art. 36 GDPR;
- sono svolti da ciascun Contitolare autonomamente, per quanto di rispettiva competenza: la verifica della base giuridica e la raccolta dei consensi; la cancellazione o anonimizzazione allo scadere dei termini di conservazione; la selezione e la nomina dei responsabili e sub-responsabili ex art. 28 GDPR; le istruzioni ai propri autorizzati ex art. 29 GDPR; il registro dei trattamenti ex art. 30 GDPR; le misure di sicurezza ex art. 32 GDPR; le garanzie per i trasferimenti extra-SEE ex Capo V GDPR; la comunicazione all’altro Contitolare, senza ritardo, delle richieste ricevute dagli interessati e dalle Autorità;

- punto di contatto preferibile per gli interessati: PittaRosso, che coordina e gestisce centralmente le richieste con il supporto di Fondazione, fermo il diritto dell’interessato di rivolgersi a ciascun Contitolare;

- responsabilità verso gli interessati: i Contitolari rispondono in solido e l’interessato può agire indistintamente nei confronti di ciascuno di essi;

- durata: l’Accordo è efficace dalla sottoscrizione e cessa insieme al contratto che regola l’Iniziativa, con possibilità di proroga per future edizioni analoghe.

Il testo integrale dell’estratto è disponibile su richiesta ai contatti indicati al punto 1.

12. Aggiornamenti

I Contitolari possono aggiornare la presente informativa. La versione vigente è sempre pubblicata su https://www.pittarossopinkparade.it, con indicazione della data di ultimo aggiornamento.