Política de privacidad

de acuerdo con los artículos 13 y 14 del Reglamento (UE) 2016/679 (RGPD)

Versión 2.2 — vigente desde el 4 de agosto de 2026

Culturae Heritage Services srls (en adelante, también "el Responsable"), con domicilio social en Via dei Banchi 6, 50123 Florencia, Italia, NIF IT07519170489, Código Fiscal 07519170489, REA FI-709102.

Contacto sobre privacidad: legal@culturaeheritageservices.it

El responsable del tratamiento no ha designado un Delegado de Protección de Datos (DPO) porque no se encuentra dentro de los casos obligatorios establecidos en el artículo 37 del RGPD (el responsable del tratamiento no realiza un tratamiento a gran escala de categorías especiales de datos, ni una supervisión sistemática y a gran escala). Para cualquier consulta relacionada con la protección de datos personales, por favor, escribe a la dirección indicada anteriormente.

Esta notificación de privacidad describe cómo el responsable del tratamiento procesa los datos personales de los usuarios (en adelante, "Usuario" o "Interesado") que visitan e interactúan con el sitio web pantheon.museum (en adelante, "el Sitio web") y con los demás sitios web propiedad del responsable del tratamiento.

Este aviso se aplica a todos los procesos que se realizan a través del sitio web, incluyendo los servicios de análisis estadístico (analítica), la suscripción al boletín informativo, los sistemas de seguridad y prevención de abusos, y, en caso de que se ofrezca un formulario de contacto, el tratamiento de las solicitudes enviadas a través de él. Las tecnologías no esenciales se activan exclusivamente con el consentimiento previo del usuario, expresado a través de la herramienta de gestión de consentimientos integrada en el sitio web.

El sitio web tiene un carácter editorial e informativo. El responsable no es un operador turístico, una agencia de viajes ni un intermediario de viajes según la legislación vigente. Para obtener más detalles sobre la naturaleza del servicio, consulta los Términos y Condiciones de Uso.

Durante la navegación normal, los sistemas informáticos y los procedimientos de software utilizados para operar el sitio web adquieren automáticamente ciertos datos, cuya transmisión es inherente al uso de los protocolos de comunicación de Internet. Estos datos incluyen: la dirección IP, el tipo y la versión del navegador, el sistema operativo, el idioma, las URL solicitadas, la fecha y la hora de las solicitudes, el método HTTP, el código de respuesta del servidor y los eventos de seguridad.

Los datos personales que el usuario proporciona voluntariamente pueden incluir:

• dirección de correo electrónico (suscripción al boletín).
• donde se pone a tu disposición un formulario de contacto en el sitio web: nombre, dirección de correo electrónico y el contenido del mensaje que puedas escribir libremente.
• cualquier otra información que el usuario decida proporcionar voluntariamente.

El sitio web no ofrece registro de usuarios ni cuenta con un área de miembros. No se recopilan datos de acceso a cuentas.

El sitio web utiliza un número limitado de cookies y tecnologías similares (incluyendo el almacenamiento local del navegador) para guardar las preferencias de consentimiento del usuario y, siempre que se haya dado el consentimiento, para medir el uso del sitio web. Para obtener más detalles, consulta la política de cookies.

Cuando el Usuario expresa una elección a través de la herramienta de gestión del consentimiento, el Responsable registra evidencia de esa elección (prueba del consentimiento) de acuerdo con el Artículo 7(1) del RGPD. El registro contiene: un identificador generado aleatoriamente almacenado en el dispositivo del Usuario, las categorías aceptadas o rechazadas, la versión de este aviso vigente en ese momento, la página y el idioma de la interacción, el agente de usuario del navegador, y un hash criptográfico irreversible (SHA-256 con una sal secreta) de la dirección IP. La dirección IP en sí misma no se almacena.

El sitio web no vende tours ni experiencias, y tampoco gestiona reservas. Cuando el usuario decide reservar, se le redirige al sitio web de un socio comercial independiente, donde la transacción se realiza completamente fuera de los sistemas del responsable del sitio.

El controlador no recopila, procesa ni almacena ningún tipo de dato de pago (números de tarjeta, detalles bancarios, códigos de seguridad). El controlador recibe de sus socios únicamente datos agregados y no personales sobre clics y comisiones.

Cuando el Usuario sigue un enlace a un socio comercial, el Controlador registra el evento en sus propios servidores, antes de que el Usuario abandone el sitio web. El registro contiene: la página y el idioma desde los cuales se originó el clic, el recorrido al que se refiere, el agente de usuario del navegador, un hash criptográfico no reversible (SHA-256 con una sal secreta) de la dirección IP, el identificador de consentimiento generado aleatoriamente, si existe, las categorías de consentimiento vigentes en ese momento, y el canal a través del cual el Usuario accedió por primera vez al sitio web. La dirección IP en sí misma no se almacena, y el registro no contiene datos que identifiquen a la persona.

Este registro se mantiene independientemente de la opción que elijas en las estadísticas: no sirve para medir el comportamiento del usuario, sino para verificar las propias cifras del controlador en comparación con los informes de los socios que pagan las comisiones, y para detectar tráfico anómalo o fraudulento. Si el usuario ha rechazado las estadísticas, el canal de origen se registra como un valor genérico que indica precisamente ese rechazo, y no se lee ni se escribe ninguna cookie con este fin.

Si el usuario se suscribe al boletín informativo, el responsable del tratamiento recopila la dirección de correo electrónico del usuario, el sitio web y el idioma de la suscripción, así como la fecha de la suscripción. La suscripción es opcional y solo se realiza con el consentimiento explícito y previo del usuario.

Confirmación de la dirección (doble opt-in). Cuando este procedimiento está activo, la suscripción no se activa de inmediato: el Responsable del tratamiento envía un único mensaje de servicio a la dirección proporcionada, solicitando que se confirme que la dirección pertenece a la persona que solicita la suscripción. Solo después de esa confirmación se añade la dirección a la lista y se inicia cualquier envío. El Responsable del tratamiento registra la fecha, la dirección IP y el navegador de la confirmación, con el único propósito de demostrar que el consentimiento proviene del titular de la dirección (Art. 7(1) RGPD). Una suscripción que nunca se confirma se elimina, junto con todos los datos recopilados en el momento de la solicitud, después de 90 días, y no se envía ninguna comunicación a ella durante ese tiempo.

Junto con estos datos, y únicamente con el fin de demostrar que el consentimiento se obtuvo de manera válida (artículo 7.1 del RGPD), el responsable del tratamiento registra la página desde la que se realizó la suscripción, la dirección IP de la solicitud y el texto del aviso de consentimiento que se mostraba en ese momento. Las direcciones IP se eliminan después de 24 meses, mientras que el resto de la información se conserva durante el mismo período que la suscripción.

Cancelación: Tú puedes cancelar tu consentimiento para recibir el boletín informativo en cualquier momento, con la misma facilidad con la que lo diste, a través del enlace de cancelación incluido en cada mensaje que recibas —un enlace que permanece válido indefinidamente, incluso en mensajes recibidos hace mucho tiempo— o escribiendo al Responsable en la dirección indicada en la sección 1. La cancelación resulta en la eliminación de la dirección de correo electrónico de la lista y no afecta a la legalidad del procesamiento realizado antes de ella. El control "Gestionar preferencias de cookies" regula las cookies y tecnologías similares, y no afecta a una suscripción al boletín informativo: son dos consentimientos separados.

La recopilación de datos de navegación es necesaria para el funcionamiento técnico del sitio web. La inclusión de una dirección de correo electrónico para la suscripción al boletín informativo o para realizar una solicitud de contacto es opcional; si no la proporcionas, el responsable no podrá enviarte el boletín informativo ni responder a tu solicitud.

El consentimiento para el uso de las tecnologías de análisis es completamente opcional, y negarlo no afecta en absoluto la navegación por el sitio web ni el acceso a su contenido.

El responsable del tratamiento procesa datos personales con los fines que se describen a continuación. Cuando se indica, el procesamiento se realiza únicamente con el consentimiento expreso y previo del usuario.

Los plazos de conservación indicados son máximos razonables y pueden reducirse en aplicación del principio de limitación de la conservación (Artículo 5(1)(e) del RGPD).

Cuando el tratamiento de datos se basa en el interés legítimo del responsable (artículo 6.1.f del RGPD), el responsable ha realizado una evaluación de ponderación (Evaluación del Interés Legítimo) para garantizar que su interés legítimo no prevalezca sobre los derechos y las libertades fundamentales de los interesados. Puedes solicitar una copia de dicha evaluación escribiendo a los contactos indicados en la Sección 1.

El sitio web no utiliza publicidad, remarketing ni tecnologías de perfilado. Si en el futuro se introdujeran estas herramientas, se actualizará este aviso y la política de cookies con antelación, y se te pedirá tu consentimiento de forma separada.

El sitio web utiliza una herramienta de gestión de consentimiento propia, compatible con Google Consent Mode v2, que permite al usuario:

• aceptar, rechazar o seleccionar categorías individuales de tecnologías no esenciales;
• puedes cambiar tus preferencias en cualquier momento a través del control "Gestionar preferencias de cookies" que se encuentra en el pie de página de cada página;
• Te informamos de que las tecnologías de análisis solo se activan una vez que se ha obtenido el consentimiento válido.

Bloqueo previo: Ninguna tecnología no esencial se activa en el dispositivo del usuario antes de que este haya dado su consentimiento. En ausencia de consentimiento, solo las tecnologías estrictamente necesarias están activas.

Retirada del consentimiento: Puedes retirar el consentimiento en cualquier momento con la misma facilidad con la que lo diste, a través del control "Gestionar preferencias de cookies", sin que esto afecte a la legalidad del tratamiento de datos basado en el consentimiento otorgado antes de la retirada (Art. 7(3) RGPD).

Duración del consentimiento: Una elección expresada por el Usuario permanece válida durante 6 meses, después de lo cual se le vuelve a solicitar su opinión. Este período sigue la recomendación más prudente de las autoridades supervisoras europeas.

Los datos personales pueden ser revelados a las siguientes partes, que actúan como encargados del tratamiento de datos (artículo 28 del RGPD), como responsables independientes, o como personas autorizadas.

Proveedores de infraestructura y alojamiento

• Hetzner Online GmbH — servidores dedicados y alojamiento de aplicaciones, centro de datos en Alemania (UE). Procesador de datos de acuerdo con el artículo 28 del RGPD.
• Cloudflare, Inc. / Cloudflare Germany GmbH — red de entrega de contenido, DNS, protección contra ataques y abusos, alojamiento de sitios web estáticos y almacenamiento de objetos. Procesador de datos de acuerdo con el artículo 28 del RGPD.

Proveedores de comunicación

• Amazon Web Services EMEA SARL — Amazon SES y SNS para boletines informativos y correos electrónicos de servicios, en la región eu-west-1 (Irlanda, EEE). Procesador de datos de acuerdo con el artículo 28 del RGPD.

Proveedores de análisis (activados solo con tu consentimiento)

• Google Ireland Ltd / Google LLC — Google Tag Manager y Google Analytics 4.

Socios comerciales (controladores independientes)

Dependiendo del contenido publicado en cada sitio web, el sitio web puede incluir enlaces a los siguientes socios para la reserva de tours y experiencias: Viator Inc. (Grupo Tripadvisor), GetYourGuide Deutschland GmbH, Tiqets International B.V., Civitatis, Headout Inc.

Cuando tú sigues un enlace de este tipo y abandonas el sitio web, el tratamiento de tus datos personales estará regido exclusivamente por la política de privacidad del socio correspondiente. El responsable del tratamiento no tiene acceso a los datos que tú proporcionas en el sitio web del socio.

Otros destinatarios

• Asesores legales, fiscales y comerciales, ya sea como representantes o como personas autorizadas.
• Las autoridades competentes, cuando lo exija la ley.

El controlador no vende los datos personales de los usuarios.

Algunos proveedores, especialmente aquellos con sede en Estados Unidos, pueden implicar la transferencia de datos personales a países fuera del Espacio Económico Europeo (EEE). En tales casos, el responsable del tratamiento adopta las medidas de seguridad adecuadas, de acuerdo con los artículos 44 y siguientes del RGPD, que incluyen:

• Cláusulas contractuales estándar (SCC) de la Comisión Europea (artículo 46(2)(c) del RGPD) y, cuando sea necesario, evaluaciones del impacto de las transferencias (TIA) y medidas complementarias de acuerdo con las recomendaciones 01/2020 del EDPB;
• las decisiones de adecuación de la Comisión Europea, cuando estén disponibles, incluyendo el Marco de Protección de Datos entre la UE y Estados Unidos para las entidades certificadas;
• medidas técnicas y organizativas adicionales (minimización de datos, seudonimización, cifrado durante la transmisión y en reposo, segregación de accesos).

Los proveedores que podrían estar sujetos a transferencias fuera del Espacio Económico Europeo (EEE) son: Google LLC, Cloudflare, Inc. y Amazon Web Services, Inc. El alojamiento de la aplicación y del servicio de boletín informativo se realiza dentro del EEE.

El usuario puede solicitar información sobre las medidas de seguridad específicas adoptadas y una copia de las cláusulas contractuales estándar aplicables, escribiendo a los contactos indicados en la Sección 1.

El usuario puede ejercer en cualquier momento los derechos que se le otorgan en los artículos 15 a 22 del RGPD:

• derecho de acceso a los datos personales (artículo 15);
• derecho a la rectificación y actualización (artículo 16);
• el derecho al borrado, o "derecho al olvido", cuando corresponda (artículo 17);
• derecho a la limitación del tratamiento de los datos (artículo 18);
• el derecho a la portabilidad de los datos, cuando corresponda (artículo 20);
• el derecho a oponerte, en particular al tratamiento de datos basado en un interés legítimo (artículo 21); en caso de objeción, el responsable del tratamiento deberá abstenerse de seguir procesando los datos, a menos que demuestre motivos legítimos imperiosos;
• el derecho a no estar sujeto a decisiones basadas únicamente en el procesamiento automatizado, incluyendo la elaboración de perfiles (Artículo 22);
• tienes derecho a retirar tu consentimiento en cualquier momento, con la misma facilidad con la que lo diste, sin que esto afecte a la legalidad del procesamiento de datos que se haya realizado antes de la retirada (artículo 7, párrafo 3).

Para ejercer tus derechos, por favor escribe a: legal@culturaeheritageservices.it

El responsable de protección de datos responderá, como norma general, en un plazo de 1 mes a partir de la solicitud. Este plazo puede extenderse hasta 3 meses en casos de especial complejidad o un gran volumen de solicitudes (artículo 12 del RGPD). En caso de que se extienda el plazo, se informará al usuario en un plazo de 1 mes. El ejercicio de los derechos es gratuito, salvo que las solicitudes sean manifiestamente infundadas o excesivas (artículo 12(5) del RGPD).

El responsable del tratamiento no lleva a cabo ningún proceso de toma de decisiones totalmente automatizado, incluyendo la elaboración de perfiles, que produzca efectos jurídicos con respecto al Usuario o que, de manera similar, lo afecte significativamente (Art. 22 RGPD). Las herramientas de análisis utilizadas por el sitio web tienen únicamente fines estadísticos agregados y no dan lugar a decisiones individuales automatizadas.

El usuario tiene derecho a presentar una reclamación ante la autoridad de supervisión competente. Para Italia:

Garante para la Protección de los Datos Personales Piazza Venezia, 11 — 00187 Roma (RM), Italia. Sitio web: www.gpdp.it. Correo electrónico certificado: protocollo@pec.gpdp.it. Teléfono: (+39) 06 696771

Los usuarios que residen en otro Estado miembro pueden presentar una queja ante la autoridad de supervisión nacional correspondiente.

El Controlador utiliza servicios de traducción automática y herramientas de inteligencia artificial generativa en la producción del contenido editorial del sitio web (descripciones de tours, guías, artículos). Estas herramientas procesan únicamente textos editoriales: no se transmiten datos personales de los Usuarios a ellas, y no participan en el procesamiento descrito en este aviso.

El sitio web no está destinado a personas menores de 16 años. Este límite de edad se ha establecido por precaución por parte del responsable del sitio: coincide con el valor predeterminado establecido en el artículo 8(1) del RGPD y es superior a los catorce años establecidos para Italia en el artículo 2-quinquies del Decreto Legislativo 196/2003. El responsable del sitio no tiene la intención de recopilar datos personales de menores de manera intencionada. Si un padre o tutor considera que se han recopilado datos de un menor sin el consentimiento necesario, puede ponerse en contacto con el responsable del sitio a través de los datos indicados en la sección 1 para solicitar la eliminación inmediata de dichos datos.

El responsable del tratamiento adopta las medidas técnicas y organizativas adecuadas para proteger los datos personales contra el acceso no autorizado, la pérdida, la destrucción o la alteración (artículo 32 del RGPD), que incluyen: comunicaciones encriptadas (HTTPS/TLS), acceso autenticado con el mínimo privilegio necesario, protección de las interfaces administrativas mediante una capa de autenticación adicional, hash unidireccional de las direcciones IP en los registros de consentimiento, copias de seguridad periódicas, actualizaciones de seguridad, monitorización del acceso y procedimientos de gestión de incidentes de seguridad.

El responsable de la protección de datos se reserva el derecho de actualizar esta política de privacidad en cualquier momento. Cada versión lleva un número de versión y una fecha de entrada en vigor, que se muestran en la parte superior de esta página. Los cambios importantes se comunicarán mediante un aviso en el sitio web y, en caso de que el cambio afecte a las categorías de tecnologías sujetas a consentimiento, se te pedirá nuevamente tu consentimiento.

Las versiones anteriores de este aviso se conservan y pueden ser solicitadas escribiendo a los contactos indicados en la Sección 1.

Esta política de privacidad se rige por el Reglamento (UE) 2016/679 (RGPD), la Directiva 2002/58/CE (ePrivacy), la legislación italiana sobre protección de datos personales (Decreto Legislativo 196/2003, modificado por el Decreto Legislativo 101/2018), así como por las disposiciones y directrices aplicables del Garante para la Protección de Datos Personales y del EDPB.

Para cualquier disputa relacionada con la interpretación o aplicación de esta política, los tribunales de Florencia tendrán jurisdicción, a menos que se establezca lo contrario por disposiciones obligatorias de protección al consumidor.