Questa politica spiega come Polish Travel Quo Vadis Sp. z o.o. tratta i dati personali in relazione ai propri siti web, in particolare polishtravel.com.pl e visitpoland.com, alle comunicazioni, alle proposte, alle prenotazioni, ai viaggi d’affari e di piacere e agli eventi. VisitPoland è un marchio della stessa società, non un titolare del trattamento distinto.
La politica riguarda i visitatori dei siti web, le persone che inviano richieste, i clienti, i viaggiatori, i partecipanti agli eventi e i contatti professionali. Si applica quando PTQV agisce in qualità di titolare del trattamento. Quando, per un determinato servizio, agiamo esclusivamente in qualità di responsabile del trattamento su istruzioni di un cliente, l’informativa sulla privacy pertinente è fornita da quel cliente; questa politica non modifica la ripartizione dei ruoli.
Forniamo queste informazioni ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati, «GDPR»). Questa politica costituisce l’informativa sulla privacy principale per i siti web, le pagine di destinazione delle campagne, i moduli e la corrispondenza di PTQV che vi fanno riferimento, nell’ambito dei servizi qui descritti. Le informative relative a specifiche prenotazioni, eventi o moduli la integrano, soprattutto quando sono coinvolte ulteriori finalità o ulteriori destinatari. Non sostituisce le informative separate relative al rapporto di lavoro, alla selezione del personale o al trattamento effettuato da un altro titolare.
Gli strumenti utilizzati sui siti web possono variare da un dominio all’altro. La sezione X e il registro alla fine descrivono le regole comuni; il pannello del consenso e la dichiarazione sui cookie pertinenti identificano gli strumenti effettivamente attivati su un determinato sito web. Descrivere uno strumento in questa politica non significa, di per sé, che sia attivo o che l’utente abbia prestato il consenso.
I. Titolare del trattamento e recapiti
Il titolare del trattamento è Polish Travel Quo Vadis Sp. z o.o., ul. Ptasia 2, 00-138 Varsavia, Polonia, numero di iscrizione al Registro giudiziario nazionale (KRS) 0000148731, numero di identificazione fiscale (NIP) 5260211386 («PTQV», «Titolare del trattamento» o «noi»).
Per domande sulla privacy, revoche del consenso e richieste di esercizio dei tuoi diritti, contatta il Titolare del trattamento tramite il nostro modulo di contatto o per posta all’indirizzo indicato sopra. Puoi iniziare il messaggio con «Protezione dei dati personali» per aiutarci a indirizzare la richiesta all’ufficio competente, ma non è obbligatorio. Il modulo può essere utilizzato per questioni riguardanti sia Polish Travel sia VisitPoland.
II. Finalità e basi giuridiche
Trattiamo soltanto i dati necessari per una finalità specifica, utilizzando la base giuridica appropriata:
1. Richieste, proposte e contratti
Preparare una proposta su tua richiesta, stipulare ed eseguire un contratto, gestire le prenotazioni e organizzare biglietti, alloggi, trasporti, noleggio di veicoli, assicurazioni di viaggio, viaggi individuali e d’affari, servizi DMC, conferenze, riunioni, viaggi incentive ed eventi: articolo 6(1)(b) del GDPR, quando sei parte del contratto o richiedi misure precedenti alla sua conclusione.
2. Contatti professionali e viaggi prenotati da altri
Comunicare con rappresentanti di aziende e partner e organizzare servizi per persone indicate da un datore di lavoro, da un organizzatore di eventi o da chi effettua una prenotazione: articolo 6(1)(f) del GDPR. Il legittimo interesse consiste nel coordinare l’organizzazione, eseguire l’ordine e assistere le persone incluse nel servizio. Non applichiamo automaticamente la base contrattuale del paragrafo 1 a ogni viaggiatore che non sia parte di un contratto con noi.
3. Obblighi di legge
Regolazioni contabili, documentazione contabile e fiscale, fatturazione e obblighi applicabili al servizio specifico: articolo 6(1)(c) del GDPR, anche ai sensi della normativa contabile, fiscale e turistica applicabile.
4. Corrispondenza, qualità del servizio e tutela dei diritti in sede giudiziaria
Rispondere a domande non direttamente collegate a un contratto proposto, gestire i riscontri, conservare la documentazione necessaria di quanto concordato, valutare la qualità del servizio e accertare, esercitare o difendere diritti in sede giudiziaria: articolo 6(1)(f) del GDPR. I legittimi interessi sono la comunicazione, il miglioramento del servizio e la tutela dei diritti. Quando la gestione di una questione adempie a uno specifico obbligo di legge, l’articolo 6(1)(c) del GDPR si applica a quella parte del trattamento.
5. Promozione dei nostri servizi
La promozione dei nostri servizi può basarsi sull’articolo 6(1)(f) del GDPR quando le circostanze, il bilanciamento degli interessi e le regole del canale interessato lo consentono. Tale interesse non sostituisce il consenso richiesto per le comunicazioni di marketing o le tecnologie di tracciamento.
Inviamo le newsletter richieste e altre email di marketing, oppure effettuiamo telefonate di marketing, sulla base dell’appropriato consenso volontario: articolo 6(1)(a) del GDPR e articolo 398 della Legge polacca sulle comunicazioni elettroniche del 12 luglio 2024 («PKE»). Il consenso identifica la finalità e il canale di comunicazione. Rispondere a una richiesta specifica non comporta la tua iscrizione a successive campagne di marketing.
6. Funzionamento e sicurezza dei siti web
Mettere a disposizione i siti web, effettuare la manutenzione tecnica, rilevare errori e usi impropri e proteggere i sistemi: articolo 6(1)(f) del GDPR. Il legittimo interesse consiste nel mantenere la disponibilità e la sicurezza del servizio. Le regole relative alla memorizzazione di informazioni sul tuo dispositivo sono trattate separatamente nella sezione X.
7. Richieste di esercizio dei diritti e registrazioni del consenso
Adempiere agli obblighi del GDPR, inclusa la gestione delle richieste e la dimostrazione della conformità: articolo 6(1)(c) del GDPR. Può essere necessario conservare una registrazione limitata di un’opposizione o di una richiesta di disiscrizione per evitare di riprendere comunicazioni di marketing indesiderate. La base è l’adempimento degli obblighi di legge e, nella misura necessaria alla tutela dei diritti in sede giudiziaria, l’articolo 6(1)(f) del GDPR.
8. Categorie particolari di dati
Se il servizio che richiedi necessita di informazioni su salute, disabilità, allergie o altre esigenze specifiche che rivelano dati compresi nell’articolo 9 del GDPR, trattiamo le informazioni necessarie sulla base del consenso esplicito: articoli 6(1)(a) e 9(2)(a) del GDPR. Una preferenza alimentare non costituisce necessariamente un dato relativo alla salute o un’altra categoria particolare di dati.
Quando sono a rischio interessi vitali, possono applicarsi gli articoli 6(1)(d) e 9(2)(c) del GDPR; per le categorie particolari, ciò richiede che la persona sia fisicamente o giuridicamente incapace di prestare il consenso. Tali dati possono inoltre essere trattati quando necessario per accertare, esercitare o difendere diritti in sede giudiziaria ai sensi degli articoli 6(1)(f) e 9(2)(f) del GDPR. Non inviare documentazione medica o copie di documenti d’identità non necessarie insieme a richieste generali.
9. Analisi e usabilità dei siti web
Misurare il traffico, le fonti di provenienza, il rendimento dei contenuti e delle campagne, le azioni che portano a richieste di servizi e l’usabilità dei siti web mediante gli strumenti descritti nella sezione X: sulla base del consenso, articolo 6(1)(a) del GDPR, tenendo conto dell’articolo 399 PKE. Ciò comprende anche il collegamento di eventi a un identificativo pseudonimo, ove utilizzato. Non consideriamo l’analisi necessaria al solo scopo di mostrare un’offerta.
10. Materiali informativi e seguito delle richieste
Fornire una guida, un itinerario, una presentazione o altro materiale che richiedi e rispondere a un’esigenza che comunichi espressamente: articolo 6(1)(b) del GDPR quando forniamo il servizio richiesto o adottiamo misure precontrattuali; negli altri casi, articolo 6(1)(f), ossia il nostro legittimo interesse a rispondere a una richiesta di informazioni. L’aggiunta dei tuoi dati a una newsletter o a successive campagne non collegate alla richiesta necessita di una base separata e di un consenso appropriato per il canale di comunicazione.
III. Necessità di fornire i dati
Non devi fornire il tuo nome per consultare i contenuti accessibili al pubblico. Quando ci contatti, abbiamo bisogno dei recapiti che ci permettono di rispondere; quando effettui una prenotazione, abbiamo bisogno dei dati richiesti per quel servizio specifico. Senza le informazioni necessarie, potremmo non essere in grado di rispondere, stipulare un contratto o dare esecuzione alla prenotazione. I dati di fatturazione possono essere richiesti dalla legge.
Le informazioni aggiuntive e il consenso al marketing sono facoltativi. Rifiutare il marketing non ci impedisce di gestire una richiesta, fornire un servizio acquistato o consegnare il materiale che hai richiesto. I moduli distinguono i campi obbligatori da quelli facoltativi. La revoca del consenso relativo ai dati necessari per un’assistenza specifica può impedirci di fornire tale assistenza, ma non giustifica la raccolta di ulteriori dati non necessari.
IV. Categorie e fonti dei dati personali
In funzione della comunicazione e del servizio, trattiamo:
- dati identificativi e di contatto: nome, indirizzo, email e numero di telefono e, per i contatti professionali, organizzazione, posizione o ruolo;
- informazioni sulla prenotazione: date, itinerari, partecipanti, servizi richiesti, preferenze, riferimenti della prenotazione e dati necessari dei documenti di viaggio; data di nascita, età o nazionalità soltanto se richieste dal servizio o dalla legge;
- informazioni di fatturazione e documentazione di quanto concordato: dati della fattura, stato del pagamento, corrispondenza, reclami e registrazioni della prestazione del servizio;
- informazioni su esigenze specifiche, come descritto nella sezione II, paragrafo 8;
- dati tecnici di connessione: indirizzo IP, ora della richiesta, indirizzo della pagina, informazioni sul browser e sul dispositivo e informazioni sugli errori, nella misura in cui sono registrati dall’infrastruttura del sito web;
- il contenuto e la data dei consensi, delle revoche e delle opposizioni, ove pertinenti al processo.
Riceviamo i dati direttamente da te o da una persona che prenota per tuo conto, da un datore di lavoro, da un organizzatore di gruppi o eventi o da un partner che gestisce la prenotazione. I dati di contatto professionale possono anche provenire da informazioni professionali che hai reso disponibili. Riceviamo soltanto le categorie necessarie per la comunicazione o il servizio richiesto.
Quando i dati non provengono direttamente da te, forniamo le informazioni richieste dall’articolo 14 del GDPR, normalmente entro un mese. Se ti contattiamo o comunichiamo i dati a un altro destinatario prima di tale termine, forniamo le informazioni alla prima comunicazione con te o alla prima comunicazione dei dati, a seconda del caso, salvo che si applichi un’eccezione di legge. Pubblicare una politica su un sito web non sostituisce, di per sé, l’obbligo di fornire tali informazioni.
Le analisi possono includere identificativi pseudonimi del browser e della sessione, fonti di provenienza, pagine visitate, clic, scorrimenti, durata dell’attività, tipo di dispositivo, lingua e posizione approssimativa. Tali informazioni non sono anonime per definizione. Misurare l’invio di un modulo richiede soltanto la registrazione dell’evento; i contenuti dei messaggi, i nomi, le email, i numeri di telefono e i dettagli di viaggio non dovrebbero essere inviati agli strumenti di analisi né inclusi negli URL utilizzati per la misurazione.
Otteniamo i dati necessari relativi ai minori che viaggiano con una famiglia o un gruppo da un genitore, tutore o organizzatore autorizzato, ad esempio per i biglietti o l’alloggio. La descrizione di viaggi per famiglie non invita i minori a inviare autonomamente informazioni né autorizza la profilazione pubblicitaria dei minori.
V. Destinatari dei dati personali
Quando necessario per la finalità pertinente, i dati possono essere condivisi con:
- hotel e altri fornitori di alloggi; vettori aerei, ferroviari, di traghetti e di pullman; aziende di trasporto e di noleggio di veicoli; assicuratori;
- fornitori di sistemi di prenotazione e di distribuzione globale (GDS) e organizzazioni che supportano l’emissione e la regolazione contabile dei biglietti;
- guide, accompagnatori turistici, partner locali, sedi di conferenze e altri fornitori che realizzano un programma di viaggio o di evento;
- il datore di lavoro o l’organizzatore che finanzia il servizio, nella misura necessaria per la prenotazione e la regolazione contabile concordate, senza accesso automatico a tutte le informazioni aggiuntive del viaggiatore;
- fornitori di hosting, assistenza informatica e strumenti di comunicazione, contabili, consulenti legali, banche e fornitori di servizi di pagamento;
- autorità pubbliche competenti e, per i servizi di visto richiesti, uffici consolari pertinenti, soltanto sulla base appropriata e nella misura necessaria.
Non tutti i destinatari ricevono dati per ogni servizio. Condividiamo soltanto quanto necessario per un compito specifico. I fornitori che agiscono su nostre istruzioni sono responsabili del trattamento, mentre vettori, hotel, assicuratori o altri fornitori di servizi possono essere titolari autonomi del trattamento per i propri servizi e obblighi. Forniamo le informazioni pertinenti sui singoli fornitori durante l’assistenza alla prenotazione.
Utilizziamo Microsoft 365 per le comunicazioni e il lavoro sui documenti. Le prenotazioni e le regolazioni contabili utilizzano anche sistemi del settore dei viaggi, di gestione dei servizi e di contabilità. Il nome di un prodotto software non significa che il suo sviluppatore riceva tutti i dati trattati al suo interno. I destinatari sono le entità che forniscono effettivamente servizi di hosting, manutenzione, assistenza o trattamento dei dati. Google Analytics 4, Cookiebot e Microsoft Clarity sono trattati nella sezione X e nel registro degli strumenti.
Per Clarity, Microsoft agisce come titolare autonomo del trattamento nella misura descritta dal fornitore, e non soltanto come responsabile del trattamento che agisce su nostre istruzioni. Distinguiamo le condizioni di Clarity da quelle dei servizi Microsoft 365. I dettagli sono riportati nella sezione X.4.
Non vendiamo banche dati di clienti. Per le attività promozionali cofinanziate dall’Organizzazione polacca del turismo (POT), la rendicontazione utilizza risultati aggregati e anonimizzati; l’invio di una richiesta tramite VisitPoland non comporta, di per sé, la trasmissione a POT dei recapiti del potenziale cliente.
VI. Periodi di trattamento e conservazione
La conservazione dipende dalla finalità e dalla categoria dei dati. Adottiamo le regole riportate di seguito; una conservazione più lunga richiede la specifica motivazione descritta, non la semplice possibilità che i dati possano risultare utili in seguito:
- Richieste e proposte senza contratto: durante le interlocuzioni attive e per un massimo di 12 mesi dall’ultimo contatto sostanziale, per consentire di riprendere gli accordi sul viaggio o sull’evento. I dati non necessari vengono eliminati prima. Successivamente, vengono conservati soltanto i dati necessari per un obbligo di legge o una specifica pretesa giuridica.
- Contratti e prenotazioni: durante la preparazione, l’erogazione e la regolazione contabile del servizio. Conserviamo poi la documentazione necessaria per gli obblighi di legge e per la tutela dei diritti in sede giudiziaria; ciò non comprende automaticamente tutti i dati dei documenti di viaggio, le informazioni sulle esigenze specifiche o i profili completi dei viaggiatori.
- Contatti professionali: per la durata della relazione professionale e finché la persona svolge il ruolo di referente, fino a quando veniamo a conoscenza di un cambiamento o riceviamo un’opposizione efficace, fatta salva la conservazione della documentazione necessaria relativa ai contratti e alla tutela dei diritti in sede giudiziaria.
- Tutela dei diritti in sede giudiziaria: per il termine di prescrizione applicabile e, in caso di controversia, fino alla sua definizione definitiva e all’esecuzione. Il termine generale previsto dall’articolo 118 del Codice civile polacco è di 6 anni, oppure di 3 anni per le obbligazioni periodiche e le pretese collegate all’attività d’impresa, salvo che si applichi una norma speciale. L’inizio, la scadenza, la sospensione o l’interruzione del termine vengono valutati per il singolo caso.
- Documentazione contabile e fiscale: per il periodo richiesto dalla legge applicabile. Di norma, i libri contabili e molti documenti giustificativi sono conservati per 5 anni, calcolati ai sensi dell’articolo 74 della Legge polacca sulla contabilità. La documentazione fiscale è conservata fino alla prescrizione dell’obbligazione; il termine generale è di 5 anni dalla fine dell’anno solare in cui il pagamento era dovuto, fatte salve le eccezioni di legge. Le fatture rientranti nell’articolo 112aa della Legge polacca sull’IVA sono conservate in KSeF per 10 anni dalla fine dell’anno di emissione. Il periodo previsto per KSeF non si applica automaticamente agli altri dati dei clienti.
- Marketing basato sul consenso: fino alla revoca del consenso o alla cessazione anticipata della finalità. Per il marketing basato sul legittimo interesse, fino a un’opposizione efficace o alla cessazione dell’interesse. Conserviamo una registrazione minima della disiscrizione o dell’opposizione per il tempo necessario a rispettare tale scelta, senza utilizzarla per ulteriore marketing.
- Registrazioni del consenso e delle richieste di esercizio dei diritti: finché ci basiamo sul consenso o gestiamo la questione e, successivamente, per il tempo necessario a dimostrare la conformità o a difenderci rispetto a una specifica pretesa; conserviamo le prove necessarie, non l’intera cronologia delle attività. I dati del consenso gestiti da Cookiebot seguono il ciclo separato del fornitore descritto nella sezione X.
- Dati sulla salute e sulle esigenze specifiche: fino alla conclusione del servizio pertinente e delle eventuali questioni sollevate al riguardo, oppure fino a una precedente revoca del consenso. L’ulteriore conservazione richiede una base separata, ad esempio l’articolo 9(2)(f) del GDPR per una specifica pretesa giuridica.
- Log dei siti web pubblici: i normali log di accesso e di errore sono conservati per un massimo di 30 giorni dall’evento; i log di sicurezza separati, per un massimo di 90 giorni. Le registrazioni relative a incidenti possono essere isolate durante le indagini, la gestione delle conseguenze e la tutela dei diritti in sede giudiziaria nella misura necessaria. Questi periodi non si applicano alla documentazione contabile o alle registrazioni delle prenotazioni.
- Analisi e ricerca sull’usabilità: secondo le regole di GA4 e Microsoft Clarity riportate nella sezione X. I risultati anonimizzati in modo irreversibile, che non consentono di reidentificare una persona, possono essere conservati più a lungo come statistiche.
- Cookie e memoria del browser: per i periodi indicati per i singoli meccanismi nella dichiarazione del dominio pertinente. La scadenza di un cookie non coincide con il periodo di conservazione di tutti i dati detenuti dal fornitore.
Alla fine del periodo applicabile, eliminiamo i dati o li rendiamo anonimi in modo irreversibile. I dati di cui è prevista l’eliminazione possono rimanere in copie di backup operative isolate dei siti web pubblici fino alla conclusione del ciclo di sovrascrittura dei backup, per un massimo di 90 giorni; non vengono utilizzati nel normale svolgimento del servizio né per il marketing. Il ripristino di un backup non ripristina una base per utilizzare dati precedentemente eliminati. Le copie dei documenti soggetti a conservazione obbligatoria per legge vengono conservate in conformità agli obblighi applicabili a quei documenti.
VII. Profilazione e decisioni automatizzate
La misurazione dei nostri siti web valuta la visibilità, le fonti di traffico, l’usabilità dei contenuti e l’efficacia nel generare richieste. Non svolgiamo campagne di remarketing che si rivolgono nuovamente alle persone in ragione di precedenti visite ai nostri siti web. Non utilizziamo valutazioni automatizzate dell’attività sui siti web per stabilire un prezzo individuale, rifiutare un servizio o valutare la situazione economica o la salute di un utente.
L’assenza di remarketing da parte di PTQV non significa che il fornitore di Clarity agisca soltanto su nostre istruzioni o non abbia finalità proprie. La sezione X.4 illustra il ruolo autonomo di Microsoft, le sue finalità e le scelte relative alla privacy.
Gli strumenti di analisi possono distinguere le sessioni e collegare le interazioni a un identificativo pseudonimo. Nella misura in cui l’analisi automatizzata valuta il comportamento di una persona, può costituire profilazione ai sensi dell’articolo 4(4) del GDPR. Nell’ambito descritto, la sua finalità è comprendere l’uso del sito web ed eliminare gli ostacoli all’usabilità, non prendere decisioni sui diritti di una persona. Tale analisi è limitata al consenso prestato per lo strumento e la finalità specifici. Puoi rifiutare o revocare tale consenso senza perdere la possibilità di inviare una richiesta.
Non prendiamo decisioni che ti riguardano basate esclusivamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sulla tua persona ai sensi dell’articolo 22 del GDPR. Il nostro team gestisce e qualifica le richieste. Le conferme automatiche di ricezione, l’inoltro delle richieste all’ufficio competente o la ricerca di servizi in base ai parametri forniti non costituiscono, di per sé, decisioni di questo tipo.
VIII. I tuoi diritti
Alle condizioni previste dal GDPR, hai diritto all’accesso e a una copia dei tuoi dati, alla rettifica, alla cancellazione e alla limitazione del trattamento. La cancellazione non prevale sugli obblighi legali di conservazione né sulla necessità di conservare dati pertinenti per la tutela dei diritti in sede giudiziaria.
Portabilità dei dati: quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati, puoi ricevere i dati che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico e, ove tecnicamente possibile, richiederne la trasmissione a un altro titolare del trattamento.
Opposizione: puoi opporti al trattamento ai sensi dell’articolo 6(1)(f) per motivi connessi alla tua situazione particolare. Puoi opporti in qualsiasi momento, senza dover fornire una motivazione, al marketing diretto, inclusa la profilazione a esso connessa. In tal caso interromperemo tale marketing.
Revoca del consenso: puoi revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento precedente. Utilizza il meccanismo di disiscrizione disponibile oppure contattaci secondo la sezione I. La revoca non elimina i tuoi diritti né cancella automaticamente i dati conservati su un’altra base valida.
Rispondiamo senza ingiustificato ritardo, normalmente entro un mese. Nei casi consentiti dal GDPR, tale periodo può essere prorogato di altri due mesi; ne spieghiamo il motivo entro il primo mese. In caso di ragionevoli dubbi, possiamo richiedere le informazioni necessarie per confermare la tua identità. Le richieste di esercizio dei diritti vengono normalmente gestite gratuitamente, fatte salve le eccezioni previste dal GDPR.
Puoi proporre reclamo al Presidente dell’Ufficio polacco per la protezione dei dati personali (UODO): informazioni su uodo.gov.pl/en; oppure a un’altra autorità di controllo competente, in particolare nello Stato membro dell’UE in cui risiedi abitualmente, lavori o si è verificata la presunta violazione. Non devi prima presentare un reclamo a noi.
IX. Trasferimenti al di fuori dello Spazio economico europeo
I dati relativi ai servizi cloud, alle analisi o alle prenotazioni internazionali possono essere trasferiti al di fuori dello Spazio economico europeo («SEE»), anche tramite accesso remoto da parte del personale di un fornitore. Ospitare un server principale nell’UE non esclude tale accesso.
L’uso di Microsoft 365 e Google Analytics 4 può comportare trasferimenti a entità dei gruppi Microsoft e Google, in particolare negli Stati Uniti, nell’ambito della fornitura e della protezione dei servizi. Le condizioni dei fornitori includono meccanismi di trasferimento, tra cui le clausole contrattuali tipo della Commissione europea, ove applicabili. Documentazione: Addendum Microsoft sulla protezione dei dati e Termini di Google sul trattamento dei dati.
Per Microsoft Clarity, il fornitore identifica Microsoft Ireland Operations Limited (Irlanda) come entità contraente per i clienti dell’UE e descrive trasferimenti a Microsoft Corporation (Stati Uniti) ai sensi delle clausole contrattuali tipo tra tali entità. I dati sono trattati utilizzando l’infrastruttura Microsoft Azure. Non affermiamo che tutti i dati di Clarity siano conservati esclusivamente nel SEE. Si applicano le condizioni specifiche del servizio e l’Informativa sulla privacy di Microsoft; l’utilizzo di Microsoft 365 non determina le condizioni di Clarity.
Valutiamo la base appropriata per ogni trasferimento: una decisione di adeguatezza della Commissione europea nel relativo ambito di applicazione, oppure garanzie ai sensi dell’articolo 46 del GDPR, in particolare clausole contrattuali tipo, insieme a una valutazione del trasferimento e a misure supplementari ove necessarie. Non presumiamo che ogni entità estera di un gruppo aziendale noto sia automaticamente coperta da una decisione di adeguatezza.
Per uno specifico viaggio, i dati vengono inviati a destinatari nei Paesi collegati all’itinerario, ad esempio un vettore o un hotel. Quando non sono disponibili né una decisione di adeguatezza né garanzie appropriate, le deroghe dell’articolo 49 del GDPR possono essere utilizzate soltanto se ne ricorrono le condizioni, ad esempio quando un trasferimento è necessario per uno specifico contratto di viaggio con te o per un contratto concluso nel tuo interesse. Questa non è una base generale per l’uso abituale di strumenti cloud o di marketing all’estero.
Puoi richiedere informazioni su uno specifico destinatario, Paese, base del trasferimento e su come ottenere una copia delle garanzie tramite il nostro modulo di contatto. Forniamo le garanzie tutelando adeguatamente i diritti altrui e la legittima riservatezza. La sezione X e il registro aggiornato degli strumenti forniscono ulteriori informazioni sugli strumenti dei siti web.
X. Cookie, tecnologie simili e consenso
1. Finalità e regole delle tecnologie
Cookie, memoria locale del browser, pixel e tecnologie simili possono supportare il funzionamento del sito web, salvare le scelte relative alla privacy, misurare il traffico e valutare l’usabilità. I dati tecnici necessari per gestire una connessione al server si distinguono dal tracciamento aggiuntivo dell’attività.
Ai sensi dell’articolo 399 PKE, memorizzare informazioni su un dispositivo o accedervi richiede il consenso preventivo, salvo che sia strettamente necessario per la trasmissione o per un servizio espressamente richiesto dall’utente. L’articolo 6(1)(a) del GDPR si applica ai dati personali analizzati in questo contesto. Il consenso alla newsletter, una richiesta o il proseguimento della navigazione non sostituiscono il consenso a queste tecnologie.
2. Scegliere e modificare il consenso: Cookiebot
Cookiebot by Usercentrics è la soluzione designata per gestire le scelte relative alla privacy sui nostri siti web. Su un dominio in cui è stato implementato il suo pannello, puoi accettare determinate finalità, rifiutare le tecnologie facoltative e riaprire le impostazioni tramite il pulsante della privacy o il link «Ustawienia cookies» / «Cookie settings». Il rifiuto del consenso non disabilita i contenuti di base né la comunicazione con noi. Non attiviamo strumenti facoltativi che richiedono il consenso finché il pannello del dominio non è disponibile e verificato.
Cookiebot tratta i dati necessari per ricordare e documentare le scelte, inclusi un identificativo del consenso, la scelta, la data e le informazioni tecniche pertinenti. La dimostrazione del consenso si basa sull’articolo 6(1)(c) in combinato disposto con l’articolo 7(1) del GDPR; i meccanismi necessari per salvare la scelta dell’utente non sono pubblicità. Il fornitore, Usercentrics A/S, Danimarca, descrive la cancellazione dei dati degli utenti finali secondo un ciclo di 12 mesi dalla registrazione. Una registrazione minima separata conservata da PTQV segue la sezione VI. Maggiori informazioni: Politica sulla privacy di Cookiebot.
La revoca del consenso interrompe l’ulteriore utilizzo degli strumenti facoltativi interessati, ma non pregiudica la liceità del trattamento precedente alla revoca. La cancellazione dei dati già inviati a un fornitore richiede i meccanismi appropriati o una richiesta di cancellazione. Le impostazioni del browser sono un’opzione aggiuntiva, non un sostituto delle scelte offerte dal sito web.
3. Google Analytics 4
Utilizziamo Google Analytics 4 (GA4), un servizio di Google Ireland Limited, Irlanda, per misurare il traffico, le fonti di provenienza, la popolarità dei contenuti e le azioni che portano a richieste. L’analisi può includere identificativi del browser e della sessione, informazioni sul dispositivo, lingua, posizione approssimativa, pagine visitate ed eventi come il clic su un pulsante o l’invio di un modulo. Il clic su un indirizzo email o un numero di telefono non significa, di per sé, che sia stato inviato un messaggio o si sia svolta una conversazione.
GA4 opera nei limiti del consenso prestato per l’analisi. Non inviamo deliberatamente a GA4 corrispondenza, nomi, email, numeri di telefono, dati dei documenti d’identità o dati delle prenotazioni. Non utilizziamo i dati di GA4 per campagne di remarketing. Il fornitore dichiara che GA4 non registra né conserva i singoli indirizzi IP; ciò non rende anonimi tutti gli altri dati.
Per i dati degli utenti e degli eventi coperti dall’impostazione di conservazione di GA4, adottiamo un periodo di 14 mesi, senza reimpostare la conservazione degli identificativi a ogni nuova attività. I dati vengono rimossi nel ciclo mensile di eliminazione del fornitore dopo la scadenza del periodo. Questa impostazione non copre i report aggregati standard e non coincide con la durata dei cookie. I diritti individuali e la cancellazione anticipata si applicano indipendentemente dall’impostazione. Documentazione: Conservazione dei dati di GA4 e Politica sulla privacy di Google.
4. Ricerca sull’usabilità: Microsoft Clarity
Finalità e attivazione. Microsoft Clarity è lo strumento selezionato per la ricerca sull’usabilità dei siti web pubblici di PTQV. Dove è implementato, lo utilizziamo soltanto dopo un consenso preventivo che copra questa analisi e la comunicazione dei dati a Microsoft. Valutiamo quali contenuti sono chiari e dove gli utenti incontrano difficoltà. Lo scopo non è registrare conversazioni o valutare un singolo cliente.
Dati raccolti. L’analisi comprende clic, scorrimenti, movimenti del puntatore, navigazione tra le pagine, informazioni sul dispositivo e sul browser, dati temporali dell’attività, fonti di provenienza, posizione approssimativa e identificativi pseudonimi. Queste informazioni supportano mappe di calore e riproduzioni dell’utilizzo del sito web. La riproduzione di una sessione ricostruisce la visualizzazione della pagina e le interazioni; non è una registrazione dalla tua fotocamera o dal tuo microfono. I dati pseudonimi non sono automaticamente anonimi.
Limitazioni. Clarity non copre le aree che richiedono l’accesso, le aree di pagamento, i dettagli delle prenotazioni o le pagine destinate ai minori. I contenuti dei moduli e altri dati personali visualizzati su una pagina sono esclusi dalla cattura o mascherati prima della trasmissione. Non inviamo a Clarity nomi, email, numeri di telefono, contenuti dei messaggi, dati dei documenti di viaggio o informazioni sulla salute. Non colleghiamo le riproduzioni ai record CRM, ai nomi, alle cronologie di viaggio o ai punteggi individuali dei potenziali clienti. Queste restrizioni coprono anche gli URL, i parametri e i tag personalizzati inviati allo strumento.
Fornitore e ruolo. Per i clienti dell’UE, il fornitore indica Microsoft Ireland Operations Limited, con il coinvolgimento di Microsoft Corporation e di altre entità del gruppo nella fornitura del servizio. Microsoft tratta i dati di Clarity in qualità di titolare del trattamento ai sensi della propria informativa sulla privacy. Tale informativa descrive anche le finalità proprie di Microsoft, tra cui la sicurezza, lo sviluppo e il miglioramento dei servizi e la pubblicità, nel rispetto delle condizioni applicabili e delle scelte relative alla privacy. Non presentiamo Clarity come uno strumento che agisce esclusivamente su nostre istruzioni. Maggiori informazioni su finalità, destinatari e diritti: Informativa sulla privacy di Microsoft.
Conservazione. Secondo la documentazione di Clarity, i normali dati di riproduzione delle sessioni sono conservati per 30 giorni dalla registrazione. I dati sui clic, le mappe di calore e le sessioni etichettate o contrassegnate come preferite possono essere conservati per 9 mesi. Microsoft descrive inoltre la conservazione di un campione di registrazioni selezionato casualmente per un massimo di 9 mesi. Nell’ambito adottato, PTQV non contrassegna le sessioni come preferite né le etichetta per prolungarne la conservazione e non crea un proprio archivio delle riproduzioni. Ciò non impedisce una conservazione più lunga dei dati sui clic, delle mappe di calore o del campione conservato dal servizio. 30 giorni non sono un termine di cancellazione per tutti i dati di Clarity. I dati sui clic possono includere un identificativo dell’utente, quindi non li descriviamo tutti come anonimi. Dettagli: Conservazione dei dati di Clarity e FAQ di Clarity.
Consenso e rifiuto. Rifiutare o revocare il consenso a Clarity non ti impedisce di accedere alle nostre offerte o di contattarci. In base al modello adottato, non attiviamo la raccolta dei dati di Clarity senza tale consenso, compresa la sua modalità limitata senza cookie. Il consenso all’analisi non equivale al consenso per finalità pubblicitarie. Le scelte vengono effettuate nel pannello della privacy del dominio; inviamo allo strumento segnali che riflettono la scelta effettiva. Nell’ambito descritto, PTQV non attiva l’integrazione di Clarity con Microsoft Advertising né svolge campagne di remarketing.
Cancellazione e contatti. La revoca interrompe la raccolta futura, ma non cancella automaticamente i dati già trasmessi. Invia le richieste sui dati trattati da PTQV tramite il nostro modulo di contatto. Microsoft mette a disposizione un canale separato per le richieste di esercizio dei diritti nella propria informativa sulla privacy. La documentazione di Clarity descrive limitazioni alla cancellazione di singole registrazioni e dei dati di una persona tramite la dashboard; può essere necessario intervenire sull’intero progetto o presentare una richiesta a Microsoft. Le limitazioni di uno strumento non eliminano i diritti previsti dal GDPR.
5. Ambito del consenso e dichiarazione attuale
Una scelta effettuata su un sito web non autorizza automaticamente tutti gli altri domini e tutte le altre finalità. La dichiarazione dettagliata sui cookie associata a ciascun pannello identifica i meccanismi effettivamente utilizzati su quel dominio, i relativi fornitori, le finalità e le durate. Il registro degli strumenti alla fine della politica costituisce un ulteriore livello informativo, non un sostituto di una dichiarazione tecnica accurata. Una nuova finalità, un nuovo strumento o un nuovo trasferimento richiede informazioni aggiornate e, quando il consenso esistente non lo copre, un consenso appropriato prima dell’attivazione.
XI. Sicurezza, altri siti web e modifiche alla politica
Applichiamo misure tecniche e organizzative adeguate ai rischi, incluse restrizioni di accesso, comunicazioni protette, misure di protezione dei sistemi e procedure per la gestione sicura dei dati. L’accesso è concesso alle persone e ai fornitori che ne hanno bisogno per i propri compiti. Non affermiamo che sia possibile eliminare ogni rischio.
I link a siti web esterni conducono ad ambienti con informative sulla privacy separate. Mappe, video e altri componenti esterni incorporati richiedono una valutazione separata dei flussi di dati e una base appropriata; il collegamento all’informativa di un fornitore non sostituisce le informazioni e il consenso richiesti da parte nostra.
Aggiorniamo la politica quando cambiano effettivamente i servizi, le finalità, le basi giuridiche o il trattamento. I dettagli degli strumenti dei siti web possono essere aggiornati nel registro e nella dichiarazione sui cookie senza riscrivere le altre sezioni. Comunichiamo le modifiche sostanziali prima del trattamento pertinente; un nuovo documento non costituisce il consenso dell’utente. Le versioni linguistiche descrivono le stesse regole e non limitano i diritti inderogabili previsti dalla legge applicabile.
Registro degli strumenti e ambito di implementazione
Registro degli strumenti: contenuto di origine datato 13 settembre 2026.
Il registro seguente identifica gli strumenti coperti da questa politica. La loro presenza e il loro funzionamento attuale su un determinato dominio sono indicati nel relativo pannello del consenso e nella dichiarazione sui cookie. Gli strumenti facoltativi rimangono inattivi fino alla corretta implementazione e all’ottenimento del consenso richiesto.
Google Analytics 4: misurazione del traffico e delle richieste. Fornitore: Google Ireland Limited, Irlanda, con il possibile coinvolgimento di Google LLC e di altre entità del gruppo, anche negli Stati Uniti. Analisi basata sul consenso, senza remarketing di PTQV. Dati coperti dall’impostazione di conservazione: 14 mesi, senza reimpostazione della conservazione degli identificativi a ogni nuova attività. Dettagli: X.3.
Microsoft Clarity: ricerca sull’usabilità. Selezionato per l’implementazione sulle pagine pubbliche dopo il soddisfacimento delle condizioni di X.4; questa descrizione non significa che sia attivo su ogni dominio. Per i clienti dell’UE: Microsoft Ireland Operations Limited; può essere coinvolta Microsoft Corporation negli Stati Uniti. Riproduzioni ordinarie: 30 giorni; dati sui clic, mappe di calore e determinate sessioni conservate: fino a 9 mesi. Microsoft agisce in qualità di titolare del trattamento nell’ambito che descrive. Non colleghiamo le riproduzioni ai record CRM o alle registrazioni delle prenotazioni.
Cookiebot: gestione del consenso. Fornitore: Usercentrics A/S, Danimarca. Il pannello implementato per ciascun dominio gestisce le scelte relative alla privacy e le dichiarazioni sui cookie. Il fornitore descrive la cancellazione dei dati degli utenti finali dopo 12 mesi dalla registrazione; una registrazione separata e necessaria del consenso conservata da PTQV è disciplinata dalla sezione VI. Dettagli: X.2.
Remarketing e attribuzione automatizzata di punteggi ai potenziali clienti in base alle visite: al di fuori dell’attuale ambito di PTQV. L’attivazione richiede un processo definito separatamente, informazioni e una base appropriata, non soltanto un tag aggiuntivo. Le finalità autonome di Microsoft in relazione a Clarity sono descritte in X.4.