Politique de confidentialité

conformément aux articles 13 et 14 du règlement (UE) 2016/679 (RGPD)

Version 2.2 — en vigueur depuis le 4 août 2026

Culturae Heritage Services srls (ci-après, également dénommée "Responsable"), dont le siège social est situé à Via dei Banchi 6, 50123 Florence, Italie, numéro d'identification fiscale/TVA IT07519170489, code fiscal 07519170489, REA FI-709102.

Contactez-nous concernant la confidentialité : [email protected]

Le responsable n'a pas désigné de délégué à la protection des données (DPO), car il ne relève d'aucun des cas obligatoires prévus à l'article 37 du RGPD (le responsable ne traite pas à grande échelle des catégories spéciales de données, ni effectue une surveillance régulière et systématique à grande échelle). Pour toute demande relative à la protection des données personnelles, tu peux écrire à l'adresse indiquée ci-dessus.

Voici comment le responsable du site traite les données personnelles des utilisateurs (ci-après, "Utilisateur" ou "Personne concernée") qui visitent le site web gaudi.museum (ci-après, le "Site Web") et les autres sites web appartenant au responsable, et qui interagissent avec eux.

Ces informations s'appliquent à tous les traitements effectués via le site web, y compris les services d'analyse statistique, l'abonnement à la newsletter, les systèmes de sécurité et de prévention des abus, et – lorsque cela est disponible – la gestion des demandes envoyées via le formulaire de contact. Les technologies non essentielles ne sont activées que sur le consentement préalable de l'utilisateur, donné grâce à l'outil de gestion du consentement intégré au site web.

Le site web a une nature éditoriale et informative. Le responsable n'est ni un opérateur touristique, ni une agence de voyages, ni un intermédiaire de voyages, au sens de la réglementation applicable. Pour plus de détails sur la nature du service, consulte les conditions générales d'utilisation.

Pendant une navigation normale, les systèmes informatiques et les procédures logicielles qui font fonctionner le site web collectent automatiquement certaines données dont la transmission est inhérente à l'utilisation des protocoles de communication d'Internet. Parmi ces données, on trouve : l'adresse IP, le type et la version du navigateur, le système d'exploitation, la langue, les URL demandées, la date et l'heure des requêtes, la méthode HTTP, le code de réponse du serveur et les événements de sécurité.

Les données personnelles que l'utilisateur fournit volontairement peuvent inclure :

• adresse e-mail (pour vous abonner à la newsletter) ;
• quand le site web met à disposition un formulaire de contact : nom, adresse e-mail et le contenu libre du message ;
• toute autre information que l'utilisateur choisira de fournir volontairement.

Le site web ne propose pas d'inscription pour les utilisateurs et ne dispose pas de zone privée. Aucune information d'identification n'est collectée.

Le site web utilise un nombre limité de cookies et de technologies équivalentes (y compris le stockage local du navigateur) pour conserver les préférences de consentement de l'utilisateur et, avec votre consentement, pour mesurer l'utilisation du site web. Pour plus de détails, consulte la politique des cookies.

Lorsque l'Utilisateur exprime un choix via l'outil de gestion du consentement, le Responsable conserve une preuve de ce choix (preuve du consentement) conformément à l'article 7.1 du RGPD. L'enregistrement contient : un identifiant généré aléatoirement et conservé sur l'appareil de l'Utilisateur, les catégories acceptées ou refusées, la version de ces informations en vigueur à ce moment, la page et la langue de l'interaction, l'agent utilisateur du navigateur et un hachage cryptographique non réversible (SHA-256 avec sel secret) de l'adresse IP. L'adresse IP elle-même n'est pas conservée.

Le site web ne vend pas de circuits ni d'expériences, et ne gère pas de réservations. Lorsque l'utilisateur décide de réserver, il est redirigé vers le site web d'un partenaire commercial indépendant, où la transaction est effectuée entièrement en dehors des systèmes du responsable.

Le Responsable ne collecte, ne traite ni ne conserve aucune donnée de paiement (numéros de carte, données bancaires, codes de sécurité). Le Responsable reçoit de ses partenaires uniquement des données agrégées et non personnelles concernant les clics et les commissions.

Lorsque l'Utilisateur suit un lien vers un partenaire commercial, le Responsable enregistre l'événement sur ses propres serveurs, avant que l'Utilisateur ne quitte le Site Web. L'enregistrement contient : la page et la langue d'origine du clic, le tour en question, l'agent utilisateur du navigateur, un hachage cryptographique irréversible (SHA-256 avec sel secret) de l'adresse IP, l'identifiant de consentement généré aléatoirement, le cas échéant, les catégories de consentement en vigueur à ce moment-là, et le canal par lequel l'Utilisateur a accédé pour la première fois au Site Web. L'adresse IP elle-même n'est pas conservée, et l'enregistrement ne contient pas de données permettant d'identifier la personne.

Ce registre est conservé indépendamment du choix que tu exprimes concernant les statistiques : il ne sert pas à mesurer le comportement de l'utilisateur, mais à comparer les chiffres propres au responsable avec les rapports des partenaires qui paient les commissions, et à détecter un trafic anormal ou frauduleux. Lorsque tu as refusé les statistiques, le canal d'origine est enregistré avec une valeur générique qui indique précisément ce refus, et aucun cookie n'est ni lu ni écrit à cette fin.

Si tu t'abonnes à la newsletter, le responsable collecte ton adresse e-mail, le site web, la langue de ton abonnement, ainsi que la date de cet abonnement. L'abonnement est facultatif et se fait uniquement avec ton consentement préalable et explicite.

Confirmation de l'adresse (double opt-in). Lorsque cette procédure est active, l'inscription ne prend pas effet immédiatement : le Responsable envoie un seul message de service à l'adresse fournie, demandant de confirmer que cette adresse appartient à la personne qui demande l'inscription. Seule cette confirmation permet d'ajouter l'adresse à la liste et de commencer tout envoi. Le Responsable enregistre la date, l'adresse IP et le navigateur de la confirmation, dans le seul but de prouver que le consentement provient du titulaire de l'adresse (art. 7.1 du RGPD). Une inscription qui n'est jamais confirmée est supprimée, ainsi que toutes les données collectées au moment de la demande, 90 jours après, et tant qu'aucune communication ne lui est envoyée.

En plus de ces données, et uniquement dans le but de prouver que le consentement a été obtenu de manière valide (article 7.1 du RGPD), le responsable du traitement enregistre la page à partir de laquelle l'abonnement a été effectué, l'adresse IP de la demande et le texte de la clause d'information affichée à ce moment-là. Les adresses IP sont supprimées après 24 mois, tandis que le reste des informations est conservé pendant la même durée que l'abonnement.

Retrait : Tu peux retirer à tout moment ton consentement pour la newsletter, aussi facilement que tu l'as donné, en utilisant le lien de désinscription inclus dans chaque message reçu — un lien qui reste valide indéfiniment, même dans les messages reçus il y a longtemps — ou en écrivant au Responsable à l'adresse indiquée au paragraphe 1. Le retrait entraîne la suppression de ton adresse e-mail de la liste et n'affecte pas la légalité du traitement effectué antérieurement. Le contrôle "Gérer les préférences des cookies" concerne les cookies et les technologies similaires, et n'affecte pas l'abonnement à la newsletter : il s'agit de deux consentements distincts.

La transmission des données de navigation est nécessaire au bon fonctionnement du site web. La communication d'une adresse e-mail pour la newsletter ou pour une demande de contact est facultative ; sans elle, le responsable ne peut ni envoyer la newsletter ni répondre à la demande.

L'acceptation des technologies d'analyse est entièrement facultative, et son refus n'affecte en aucun cas la navigation sur le site web ni l'accès à son contenu.

Le responsable traite les données personnelles aux fins qui sont décrites ci-dessous. Lorsque cela est indiqué, le traitement est effectué uniquement avec le consentement préalable et explicite de l'utilisateur.

Les délais de conservation indiqués sont des durées maximales raisonnables et peuvent être réduits en application du principe de limitation de la durée de conservation (article 5.1.e du RGPD).

Lorsque le traitement est basé sur l'intérêt légitime du responsable (article 6.1.f du RGPD), ce dernier a réalisé une évaluation de l'équilibre des intérêts (Legitimate Interest Assessment — LIA) afin de garantir que son intérêt légitime ne prévale pas sur les droits et libertés fondamentales des personnes concernées. Tu peux demander une copie de cette évaluation en écrivant aux contacts indiqués dans la section 1.

Le site web n'utilise pas de technologies de publicité, de remarketing ni de création de profils. Si de telles fonctionnalités étaient introduites à l'avenir, ces informations et la politique relative aux cookies seraient mises à jour au préalable, et ton consentement serait demandé séparément.

Le site web utilise un outil de gestion du consentement développé en interne, compatible avec Google Consent Mode v2, qui permet à l'utilisateur de :

• accepter, rejeter ou sélectionner des catégories spécifiques de technologies non essentielles ;
• Tu peux modifier tes préférences à tout moment grâce au contrôle "Gérer les préférences des cookies" disponible en bas de toutes les pages.
• savoir que les technologies d'analyse ne sont activées qu'après avoir obtenu un consentement valide.

Blocage préalable : aucune technologie non essentielle n'est activée sur l'appareil de l'Utilisateur avant que celui-ci n'ait exprimé son consentement. En l'absence de consentement, seules les technologies strictement nécessaires restent actives.

Retrait du consentement : Tu peux retirer ton consentement à tout moment avec la même facilité qu'auparavant, en utilisant le contrôle "Gérer les préférences des cookies", sans que cela n'affecte la légalité du traitement basé sur le consentement que tu as donné avant le retrait (article 7.3 du RGPD).

Durée du consentement : Le choix exprimé par l'Utilisateur reste valide pendant 6 mois, après quoi il lui sera redemandé. Cet intervalle suit la recommandation la plus prudente des autorités de contrôle européennes.

Les données personnelles peuvent être communiquées aux entités suivantes, qui agissent en tant que responsables du traitement (article 28 du RGPD), en tant que responsables indépendants ou en tant que personnes autorisées.

Fournisseurs d'infrastructure et d'hébergement

• Hetzner Online GmbH — serveurs dédiés et hébergement d'applications, centre de données en Allemagne (EEE). Responsable du traitement conformément à l'article 28 du RGPD.
• Cloudflare, Inc. / Cloudflare Germany GmbH — réseau de distribution de contenu, DNS, protection contre les attaques et les abus, hébergement de sites statiques et stockage d'objets. Responsable du traitement conformément à l'article 28 du RGPD.

Fournisseurs de communication

• Amazon Web Services EMEA SARL — Amazon SES et SNS pour la newsletter et les courriels de service, région eu-west-1 (Irlande, EEE). Responsable du traitement conformément à l'article 28 du RGPD.

Fournisseurs d'analyse (activés uniquement avec ton consentement)

• Google Ireland Ltd / Google LLC — Google Tag Manager et Google Analytics 4.

Partenaires commerciaux (représentants indépendants)

Selon les contenus publiés sur chaque site web, le site web peut renvoyer vers les partenaires suivants pour la réservation de circuits et d'expériences : Viator Inc. (groupe Tripadvisor), GetYourGuide Deutschland GmbH, Tiqets International B.V., Civitatis, Headout Inc.

Lorsque tu cliques sur l'un de ces liens et quittes le site web, le traitement de tes données personnelles est régi exclusivement par la politique de confidentialité du partenaire concerné. Le responsable n'a pas accès aux données que tu fournis sur le site web du partenaire.

Autres destinataires

• Conseillers juridiques, fiscaux et commerciaux, en tant que responsables ou personnes autorisées.
• Les autorités compétentes, lorsque la loi l'exige.

Le responsable ne vend pas les données personnelles des utilisateurs.

Certains fournisseurs, en particulier les groupes basés aux États-Unis, peuvent impliquer le transfert de données personnelles vers des pays situés en dehors de l'Espace économique européen (EEE). Dans ces cas, le responsable du traitement met en œuvre des garanties appropriées conformément aux articles 44 et suivants du RGPD, notamment :

• Clauses types de contrats (CTC) de la Commission européenne (article 46.2.c du RGPD) et, lorsque cela s'avère nécessaire, évaluations d'impact de la transmission (EIT) et mesures complémentaires conformément aux recommandations 01/2020 du CDE.
• les décisions d'ajustement de la Commission européenne, dès qu'elles seront disponibles, y compris le cadre de protection des données UE-États-Unis pour les entités certifiées ;
• des mesures techniques et organisationnelles supplémentaires (minimisation des données, pseudonymisation, chiffrement des données en transit et au repos, séparation des accès).

Les fournisseurs susceptibles d'être soumis à des transferts de données en dehors de l'EEE sont : Google LLC, Cloudflare, Inc. et Amazon Web Services, Inc. L'hébergement de l'application et du service de newsletter se fait au sein de l'EEE.

Tu peux demander des informations sur les garanties spécifiques mises en place et obtenir une copie des conditions générales de vente applicables en écrivant aux contacts indiqués dans la section 1.

L'utilisateur peut exercer à tout moment les droits prévus aux articles 15 à 22 du RGPD :

• droit d'accès aux données personnelles (article 15) ;
• droit de rectification et de mise à jour (article 16) ;
• droit à l'effacement, ou "droit à l'oubli", lorsque cela est approprié (article 17) ;
• droit à la limitation du traitement (article 18) ;
• droit à la portabilité des données, lorsque cela est pertinent (article 20) ;
• droit d'opposition, en particulier concernant le traitement basé sur un intérêt légitime (article 21) ; en cas d'opposition, le responsable du traitement cessera de traiter les données, sauf s'il peut justifier de motifs légitimes impérieux ;
• droit de ne pas être soumis à des décisions fondées uniquement sur un traitement automatisé, y compris l'élaboration de profils (article 22) ;
• Tu as le droit de retirer ton consentement à tout moment, avec la même facilité qu'il a été donné, et cela ne remet pas en question la légalité du traitement effectué avant le retrait de ce consentement (article 7.3).

Pour exercer vos droits, écrivez à : [email protected]

Le responsable répondra, en général, dans un délai d'un mois à compter de la demande, un délai qui peut être prolongé jusqu'à trois mois en cas de complexité particulière ou d'un volume élevé de demandes (article 12 du RGPD). En cas de prolongation, l'utilisateur sera informé dans un délai d'un mois. L'exercice de tes droits est gratuit, sauf si les demandes sont manifestement infondées ou excessives (article 12.5 du RGPD).

Le Responsable ne réalise aucun processus de décision exclusivement automatisé, y compris l'établissement de profils, qui produise des effets juridiques sur l'Utilisateur ou qui l'affecte de manière significative de la même façon (article 22 du RGPD). Les outils d'analyse utilisés par le Site Web servent uniquement à des fins statistiques globales et ne donnent pas lieu à des décisions individuelles automatisées.

L'utilisateur a le droit de déposer une réclamation auprès de l'autorité de contrôle compétente. Pour l'Italie :

Garante per la Protezione dei Dati Personali Piazza Venezia, 11 — 00187 Rome (RM), Italie Site web : www.gpdp.it PEC : [email protected] Téléphone : (+39) 06 696771

Les utilisateurs résidant dans un autre État membre peuvent présenter une réclamation auprès de leur propre autorité de contrôle nationale. En Espagne, l'autorité compétente est l'Agence espagnole de protection des données (AEPD), C/ Jorge Juan, 6 — 28001 Madrid, www.aepd.es.

Le responsable utilise des services de traduction automatique et des outils d'intelligence artificielle générative dans la production des contenus éditoriaux du Site Web (descriptions de circuits, guides, articles). Ces outils traitent uniquement des textes éditoriaux : aucune donnée personnelle des Utilisateurs ne leur est transmise, et ils ne sont impliqués dans aucun des traitements décrits dans ces informations.

Ce site web ne s'adresse pas aux personnes de moins de 16 ans. Il s'agit d'un seuil de protection choisi par le responsable : il correspond à celui prévu par défaut à l'article 8.1 du RGPD et est supérieur aux quatorze ans établis pour l'Italie par l'article 2-quinquies du décret législatif 196/2003. Le responsable ne cherche pas intentionnellement à collecter des données personnelles de mineurs. Si un parent ou un tuteur estime que des données ont été collectées auprès d'un mineur sans le consentement nécessaire, il peut contacter le responsable aux coordonnées indiquées au paragraphe 1 pour demander leur suppression immédiate.

Le responsable prend les mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre l'accès non autorisé, la perte, la destruction ou l'altération (article 32 du RGPD), notamment : les communications chiffrées (HTTPS/TLS), les accès authentifiés avec un privilège minimal, la protection des interfaces administratives par une couche d'authentification supplémentaire, le hachage unidirectionnel des adresses IP dans les journaux de consentement, les sauvegardes périodiques, les mises à jour de sécurité, la surveillance des accès et les procédures de gestion des incidents de sécurité.

Le responsable se réserve le droit de mettre à jour cette politique de confidentialité à tout moment. Chaque version comporte un numéro de version et une date d'entrée en vigueur, indiqués en haut de cette page. Les modifications importantes seront communiquées par le biais d'un avis sur le site web, et, lorsque la modification concerne les catégories de technologies soumises à consentement, un nouveau consentement vous sera demandé.

Les versions antérieures de ces informations sont conservées par le responsable et peuvent être demandées en écrivant aux contacts indiqués dans la section 1.

Cette politique de confidentialité est régie par le Règlement (UE) 2016/679 (RGPD), la Directive 2002/58/CE (ePrivacy), la législation italienne sur la protection des données personnelles (Décret législatif 196/2003, modifié par le Décret législatif 101/2018), ainsi que par les résolutions et directives applicables du Garante per la Protezione dei Dati Personali et du CEPD.

Pour tout litige relatif à l'interprétation ou à l'application de cette politique, le tribunal de Florence sera compétent, sauf si des dispositions impératives de protection des consommateurs en disposent autrement.