Informativa sulla privacy

in conformità con gli articoli 13 e 14 del regolamento (UE) 2016/679 (GDPR)

Versione 2.2 – in vigore dal 4 agosto 2026

Culturae Heritage Services srls (di seguito, anche il "Titolare"), con sede legale in Via dei Banchi 6, 50123 Firenze, Italia, Partita IVA IT07519170489, Codice Fiscale 07519170489, REA FI-709102.

Contatto per questioni relative alla privacy: legal@culturaeheritageservices.it

Il responsabile del trattamento dei dati non ha nominato un Responsabile della protezione dei dati (DPO), in quanto ciò non rientra nei casi obbligatori previsti dall'articolo 37 del GDPR (il responsabile non effettua trattamenti su larga scala di categorie particolari di dati, né un monitoraggio sistematico e su larga scala). Per qualsiasi richiesta relativa alla protezione dei dati personali, ti prego di scrivere all'indirizzo indicato sopra.

Questa informativa sulla privacy descrive come il Titolare del trattamento elabora i dati personali degli utenti (di seguito "Utente" o "Interessato") che visitano e interagiscono con il sito web pantheon.museum (di seguito "il Sito web") e con gli altri siti web di proprietà del Titolare.

Questo avviso si applica a tutte le attività di elaborazione dati effettuate tramite il sito web, inclusi i servizi di analisi statistica (analytics), l'iscrizione alla newsletter, i sistemi di sicurezza e di prevenzione degli abusi, e – qualora sia disponibile un modulo di contatto – la gestione delle richieste inviate tramite esso. Le tecnologie non essenziali vengono attivate esclusivamente con il tuo consenso preventivo, espresso tramite lo strumento di gestione del consenso integrato nel sito web.

Il sito web ha una natura editoriale e informativa. Il gestore del sito non è un tour operator, un'agenzia di viaggi o un intermediario turistico ai sensi della legge applicabile. Per maggiori dettagli sulla natura del servizio, consulta i Termini e le Condizioni d'uso.

Durante la normale navigazione, i sistemi informatici e le procedure software utilizzate per gestire il sito web acquisiscono automaticamente alcuni dati, la cui trasmissione è implicita nell'utilizzo dei protocolli di comunicazione internet. Questi dati includono: indirizzo IP, tipo e versione del browser, sistema operativo, lingua, URL richiesti, data e ora delle richieste, metodo HTTP, codice di risposta del server ed eventi di sicurezza.

I dati personali che l'utente fornisce volontariamente possono includere:

• indirizzo email (iscrizione alla newsletter);
• dove un modulo di contatto è disponibile sul sito web: nome, indirizzo email e il contenuto testuale del messaggio.
• qualsiasi altra informazione che l'utente sceglie volontariamente di fornire.

Il sito web non offre la registrazione degli utenti e non dispone di un'area riservata ai membri. Non vengono raccolte credenziali di accesso.

Il sito web utilizza un numero limitato di cookie e tecnologie equivalenti (inclusa la memoria locale del browser) per memorizzare le preferenze di consenso dell'utente e, previa acquisizione del consenso, per monitorare l'utilizzo del sito web. Per tutti i dettagli, consulta la politica sui cookie.

Quando l'utente esprime una scelta tramite lo strumento di gestione del consenso, il Titolare del trattamento registra una prova di tale scelta (prova del consenso) ai sensi dell'articolo 7(1) del GDPR. La registrazione contiene: un identificatore generato casualmente, memorizzato sul dispositivo dell'utente, le categorie accettate o rifiutate, la versione di questa informativa in vigore al momento, la pagina e la lingua dell'interazione, l'user agent del browser e un hash crittografico irreversibile (SHA-256 con un "salt" segreto) dell'indirizzo IP. L'indirizzo IP stesso non viene memorizzato.

Il sito web non vende tour o esperienze e non gestisce prenotazioni. Quando l'utente decide di prenotare, viene indirizzato al sito web di un partner commerciale indipendente, dove la transazione avviene interamente al di fuori dei sistemi del titolare del trattamento dei dati.

Il gestore non raccoglie, elabora né memorizza alcun tipo di dato relativo ai pagamenti (numeri di carta, dettagli bancari, codici di sicurezza). Il gestore riceve dai suoi partner solo dati aggregati e non personali relativi a clic e commissioni.

Quando l'utente segue un link verso un partner commerciale, il Titolare del Trattamento registra l'evento sui propri server, prima che l'utente abbandoni il sito web. La registrazione contiene: la pagina e la lingua da cui è partito il clic, il tour a cui si riferisce, l'agente utente del browser, un hash crittografico non reversibile (SHA-256 con un "salt" segreto) dell'indirizzo IP, l'identificatore di consenso generato casualmente, se presente, le categorie di consenso attive in quel momento e il canale attraverso il quale l'utente ha raggiunto per la prima volta il sito web. L'indirizzo IP stesso non viene memorizzato, e la registrazione non contiene dati che identificano la persona.

Questi dati vengono conservati indipendentemente dalla scelta che esprimi in merito alle statistiche: non servono a misurare il comportamento dell'utente, ma a verificare i dati del gestore rispetto ai report dei partner che pagano le commissioni, e a rilevare traffico anomalo o fraudolento. Quando l'utente ha rifiutato la raccolta di statistiche, il canale di provenienza viene registrato come un valore generico che indica proprio quel rifiuto, e nessun cookie viene letto o scritto a questo scopo.

Se l'utente si iscrive alla newsletter, il titolare del trattamento raccoglie l'indirizzo email dell'utente, il sito web e la lingua di iscrizione, nonché la data di iscrizione. L'iscrizione è facoltativa e avviene esclusivamente con il consenso esplicito e preventivo dell'utente.

Conferma dell'indirizzo (double opt-in). Quando questa procedura è attiva, l'iscrizione non è valida immediatamente: il Titolare del trattamento invia un singolo messaggio di servizio all'indirizzo fornito, chiedendo di confermare che l'indirizzo appartiene alla persona che richiede l'iscrizione. Solo dopo tale conferma, l'indirizzo viene aggiunto alla lista e iniziano le comunicazioni. Il Titolare del trattamento registra la data, l'indirizzo IP e il browser utilizzati per la conferma, unicamente al fine di dimostrare che il consenso proviene dal titolare dell'indirizzo (Art. 7(1) GDPR). Un'iscrizione che non viene mai confermata viene eliminata, insieme a tutti i dati raccolti al momento della richiesta, dopo 90 giorni, e non vengono inviate comunicazioni a tale indirizzo nel frattempo.

Oltre a questi dati, e unicamente al fine di dimostrare che il consenso è stato ottenuto in modo valido (Art. 7(1) GDPR), il responsabile del trattamento registra la pagina da cui è stata effettuata l'iscrizione, l'indirizzo IP della richiesta e il testo dell'avviso di consenso visualizzato in quel momento. Gli indirizzi IP vengono cancellati dopo 24 mesi, mentre il resto delle informazioni viene conservato per lo stesso periodo della durata dell'iscrizione.

Revoca: l'Utente può revocare il consenso alla newsletter in qualsiasi momento, con la stessa facilità con cui è stato prestato, tramite il link di annullamento iscrizione presente in ogni messaggio ricevuto — un link che resta valido indefinitamente, anche nei messaggi ricevuti molto tempo prima — oppure scrivendo al Titolare all'indirizzo indicato nella sezione 1. La revoca comporta la cancellazione dell'indirizzo email dall'elenco e non pregiudica la liceità del trattamento effettuato prima di essa. Il comando «Gestisci le preferenze sui cookie» governa i cookie e le tecnologie analoghe e non incide sull'iscrizione alla newsletter: sono due consensi distinti.

La trasmissione dei dati di navigazione è necessaria per il corretto funzionamento del sito web. La fornitura di un indirizzo email per la newsletter o per una richiesta di contatto è facoltativa; senza di essa, il titolare del trattamento non può inviare la newsletter né rispondere alla richiesta.

L'accettazione delle tecnologie di analisi è completamente facoltativa, e rifiutarla non influisce in alcun modo sulla navigazione del sito web o sull'accesso ai suoi contenuti.

Il titolare del trattamento elabora i dati personali per le finalità descritte di seguito. Laddove indicato, l'elaborazione avviene esclusivamente con il consenso esplicito e preventivo dell'utente.

I periodi di conservazione indicati rappresentano massimali ragionevoli e possono essere ridotti in applicazione del principio di limitazione della conservazione dei dati (articolo 5, comma 1, lettera e) del GDPR).

Quando il trattamento dei dati si basa sull'interesse legittimo del Titolare (art. 6(1)(f) GDPR), il Titolare ha effettuato una valutazione di bilanciamento (Valutazione dell'Interesse Legittimo – LIA) per garantire che il proprio interesse legittimo non prevalga sui diritti e sulle libertà fondamentali degli interessati. Puoi richiedere una copia di tale valutazione scrivendo ai contatti indicati nella sezione 1.

Il sito web non utilizza pubblicità, tecniche di remarketing o sistemi di profilazione. Qualora in futuro venissero introdotti strumenti di questo tipo, questa nota e l'informativa sui cookie verranno aggiornate preventivamente e ti verrà richiesto un consenso specifico.

Il sito web utilizza uno strumento di gestione del consenso di prima parte, compatibile con Google Consent Mode v2, che permette all'utente di:

• accetta, rifiuta o seleziona singole categorie di tecnologie non essenziali;
• puoi modificare le tue preferenze in qualsiasi momento tramite il controllo "Gestisci le preferenze sui cookie" disponibile nel piè di pagina di ogni pagina.
• Ti informiamo che le tecnologie di analisi vengono attivate solo dopo aver ottenuto il tuo consenso esplicito.

Blocco preventivo: nessuna tecnologia non essenziale viene attivata sul dispositivo dell'utente prima che l'utente abbia espresso il suo consenso. In assenza di consenso, sono attive solo le tecnologie strettamente necessarie.

Revoca del consenso: l'Utente può revocare il consenso in qualsiasi momento con la stessa facilità con cui lo ha fornito, tramite il controllo "Gestisci le preferenze sui cookie", senza pregiudicare la legittimità del trattamento basato sul consenso fornito prima della revoca (Art. 7(3) GDPR).

Durata del consenso: una scelta espressa dall'utente rimane valida per 6 mesi, dopodiché l'utente viene nuovamente invitato a esprimere il proprio consenso. Questo intervallo segue la raccomandazione più prudente delle autorità di controllo europee.

I tuoi dati personali potrebbero essere comunicati alle seguenti parti, che agiscono come responsabili del trattamento (art. 28 del GDPR), come titolari indipendenti, o a persone autorizzate.

Fornitori di infrastrutture e hosting

• Hetzner Online GmbH — server dedicati e hosting di applicazioni, data center in Germania (SEE). Titolare del trattamento dei dati ai sensi dell'art. 28 del GDPR.
• Cloudflare, Inc. / Cloudflare Germany GmbH — rete di distribuzione dei contenuti, DNS, protezione contro attacchi e abusi, hosting di siti statici e archiviazione di oggetti. Titolare del trattamento dei dati ai sensi dell'art. 28 del GDPR.

Fornitori di servizi di comunicazione

• Amazon Web Services EMEA SARL — Amazon SES e SNS per newsletter ed email di servizio, regione eu-west-1 (Irlanda, SEE). Titolare del trattamento dei dati ai sensi dell'art. 28 del GDPR.

Fornitori di servizi di analisi (attivati solo con il tuo consenso)

• Google Ireland Ltd / Google LLC — Google Tag Manager e Google Analytics 4.

Partner commerciali (controllori indipendenti)

A seconda dei contenuti pubblicati su ciascun sito web, il sito potrebbe fornire link ai seguenti partner per la prenotazione di tour ed esperienze: Viator Inc. (Tripadvisor Group), GetYourGuide Deutschland GmbH, Tiqets International B.V., Civitatis, Headout Inc.

Quando l'utente clicca su un link di questo tipo e lascia il sito web, l'elaborazione dei suoi dati personali è regolata esclusivamente dalla politica sulla privacy del partner interessato. Il titolare del trattamento non ha accesso ai dati che l'utente fornisce sul sito web del partner.

Altri destinatari

• Consulenti legali, fiscali e commerciali, in qualità di responsabili del procedimento o di persone autorizzate.
• Le autorità competenti, quando previsto dalla legge.

Il gestore non vende i dati personali degli utenti.

Alcuni fornitori, in particolare quelli con sede negli Stati Uniti, potrebbero prevedere il trasferimento di dati personali verso paesi al di fuori dello Spazio Economico Europeo (SEE). In tali casi, il Titolare del trattamento adotta misure di sicurezza adeguate, conformemente agli articoli 44 e successivi del GDPR, che includono:

• Clausole contrattuali standard (CCS) della Commissione europea (art. 46(2)(c) GDPR) e, se necessario, valutazioni dell'impatto del trasferimento (TIA) e misure supplementari conformi alle raccomandazioni EDPB 01/2020;
• le decisioni di adeguatezza della Commissione europea, quando disponibili, inclusi il quadro per la protezione dei dati UE-USA per le entità certificate;
• misure tecniche e organizzative aggiuntive (minimizzazione dei dati, pseudonimizzazione, crittografia durante la trasmissione e durante l'archiviazione, separazione degli accessi).

I fornitori che potrebbero essere soggetti a trasferimenti al di fuori dello Spazio Economico Europeo (SEE) sono: Google LLC, Cloudflare, Inc. e Amazon Web Services, Inc. L'hosting dell'applicazione e del servizio di newsletter avviene all'interno del SEE.

L'utente può richiedere informazioni sulle specifiche misure di sicurezza adottate e una copia delle clausole contrattuali standard applicabili, scrivendo ai contatti indicati nella sezione 1.

L'utente può esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR:

• diritto di accesso ai dati personali (art. 15);
• diritto di rettifica e aggiornamento (art. 16);
• diritto alla cancellazione, o "diritto all'oblio", ove applicabile (Art. 17);
• diritto di limitazione del trattamento (art. 18);
• diritto alla portabilità dei dati, ove applicabile (art. 20);
• diritto di opporsi, in particolare al trattamento basato su un legittimo interesse (Art. 21); in caso di opposizione, il titolare del trattamento dovrà astenersi da ulteriori trattamenti dei dati, a meno che non dimostri motivi legittimi cogenti;
• il diritto di non essere soggetto a decisioni basate esclusivamente su trattamenti automatizzati, compresa la profilazione (Art. 22);
• hai il diritto di revocare il consenso in qualsiasi momento, con la stessa facilità con cui lo hai concesso, senza che ciò pregiudichi la legittimità delle operazioni di trattamento effettuate prima della revoca (Art. 7, comma 3).

Per esercitare i tuoi diritti, ti preghiamo di scrivere a: legal@culturaeheritageservices.it

Il responsabile della protezione dei dati risponderà, di norma, entro 1 mese dalla tua richiesta. Questo periodo può essere esteso fino a 3 mesi in caso di particolare complessità o di un elevato numero di richieste (Art. 12 del GDPR). Qualora si verifichi un'estensione, ti informeremo entro 1 mese. L'esercizio dei tuoi diritti è gratuito, a meno che le richieste siano manifestamente infondate o eccessive (Art. 12(5) del GDPR).

Il titolare del trattamento non effettua alcun processo di decisione completamente automatizzato, inclusa la profilazione, che produca effetti giuridici nei confronti dell'utente o che influenzi in modo significativo quest'ultimo (Art. 22 GDPR). Gli strumenti di analisi utilizzati dal sito web servono esclusivamente a fini statistici aggregati e non comportano decisioni individuali automatizzate.

L'utente ha il diritto di presentare un reclamo all'autorità di controllo competente. Per l'Italia:

Garante per la Protezione dei Dati Personali Piazza Venezia, 11 — 00187 Roma (RM), Italia Sito web: www.gpdp.it PEC: protocollo@pec.gpdp.it Telefono: (+39) 06 696771

Gli utenti residenti in un altro Stato membro possono presentare un reclamo all'autorità di controllo nazionale del loro paese.

Il Titolare del trattamento utilizza servizi di traduzione automatica e strumenti di intelligenza artificiale generativa nella produzione dei contenuti editoriali del sito web (descrizioni di tour, guide, articoli). Questi strumenti elaborano esclusivamente testi editoriali: nessun dato personale degli Utenti viene trasmesso a essi, e non partecipano in alcun modo alle attività di trattamento descritte in questa informativa.

Questo sito web non è destinato a persone di età inferiore ai 16 anni. Questo limite è stato scelto come misura precauzionale dal titolare del trattamento: corrisponde all'impostazione predefinita prevista dall'art. 8(1) del GDPR ed è superiore ai quattordici anni stabiliti per l'Italia dall'art. 2-quinquies del decreto legislativo 196/2003. Il titolare del trattamento non intende raccogliere consapevolmente dati personali di minori. Se un genitore o un tutore ritiene che siano stati raccolti dati relativi a un minore senza il consenso necessario, può contattare il titolare del trattamento utilizzando i dettagli indicati nella sezione 1 per richiedere la cancellazione immediata.

Il Titolare del trattamento adotta misure tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita, distruzione o alterazione (Art. 32 del GDPR), tra cui: comunicazioni crittografate (HTTPS/TLS), accesso autenticato con il principio del minimo privilegio, protezione delle interfacce amministrative tramite un ulteriore livello di autenticazione, hashing unidirezionale degli indirizzi IP nei registri di consenso, backup periodici, aggiornamenti di sicurezza, monitoraggio degli accessi e procedure di gestione degli incidenti di sicurezza.

Il responsabile della protezione dei dati si riserva il diritto di aggiornare questa informativa sulla privacy in qualsiasi momento. Ogni versione è identificata da un numero e da una data di entrata in vigore, indicata in cima a questa pagina. Le modifiche sostanziali saranno comunicate tramite un avviso sul sito web e, nel caso in cui la modifica riguardi le categorie di tecnologie per le quali è richiesto il consenso, verrà nuovamente richiesta la tua autorizzazione.

Le versioni precedenti di questo avviso sono conservate dal responsabile e possono essere richieste scrivendo ai contatti indicati nella sezione 1.

Questa informativa sulla privacy è regolata dal Regolamento (UE) 2016/679 (GDPR), dalla Direttiva 2002/58/CE (ePrivacy), dalla legislazione italiana sulla protezione dei dati personali (Decreto Legislativo 196/2003, come modificato dal Decreto Legislativo 101/2018), nonché dalle disposizioni e dalle linee guida applicabili del Garante per la Protezione dei Dati Personali e dell'EDPB.

Per qualsiasi controversia relativa all'interpretazione o all'applicazione di questa politica, sarà competente il tribunale di Firenze, salvo diversa disposizione prevista da norme imperative in materia di tutela dei consumatori.