1. Responsable du Traitement des Données
Le responsable du traitement des données personnelles est :
- Raison sociale : Pagnotta Shipping Tourism
- Siège social : Via Firenze 21 — 86039 Termoli (CB), Italie
- Numéro de TVA : 01863770705
- Email de contact : info@costantinotour.it
Pour toute demande relative à la protection des données personnelles, vous pouvez écrire à l'adresse email indiquée ci-dessus.
2. Règlementation de Référence
La présente information est fournie conformément au Règlement (UE) 2016/679 (RGPD — Règlement Général sur la Protection des Données) et au D.Lgs. 196/2003 (Code en matière de protection des données personnelles), tel que modifié par le D.Lgs. 101/2018, ainsi qu'aux Lignes Directrices de l'Autorité de Protection des Données Personnelles.
3. Types de Données Collectées
3.1. Données fournies volontairement par l'utilisateur
Grâce au formulaire de contact présent sur la page d'accueil, l'utilisateur peut fournir volontairement :
| Donnée |
Obligatoire |
Finalité |
| Nom et prénom |
Oui |
Identification de l'interlocuteur |
| Adresse e-mail |
Oui |
Réponse à la demande |
| Numéro de téléphone |
Non |
Contact téléphonique sur demande |
| Message texte |
Oui |
Description de la demande/réservation |
Le formulaire est protégé par un système de vérification anti-spam (test captcha "Tremiti") et nécessite l'acceptation explicite de la présente information (case à cocher) avant l'envoi.
3.2. Données collectées via le Chatbot AI ("Skipper AI")
Le site intègre un assistant virtuel alimenté par intelligence artificielle (modèle linguistique via API OpenRouter). Lorsque l'utilisateur interagit avec le chatbot :
- Les messages texte envoyés sont traités en temps réel pour générer une réponse contextuelle et ne sont pas sauvegardés de manière persistante sur le serveur du Responsable.
- L'adresse IP de l'utilisateur est soumise à un hachage unidirectionnel (MD5 avec salt) exclusivement pour le système de limitation de taux (limite de messages horaires) et n'est jamais stockée en clair.
- Un compteur d'utilisation quotidienne est stocké dans la table
chatbot_usage à des fins statistiques agrégées (nombre total de messages par jour).
- Les messages sont envoyés à un service API tiers (OpenRouter — openrouter.ai) pour le traitement linguistique.
IMPORTANT : Le chatbot est activé uniquement après que l'utilisateur a donné son consentement via la bannière des cookies.
3.3. Données de navigation (logs techniques)
Le système de logging interne du site enregistre les informations suivantes à des fins statistiques :
| Donnée |
Détail |
Conservation |
| Adresse IP |
Non enregistrée — remplacée par 0.0.0.0 (anonymisation complète) |
— |
| User-Agent du navigateur |
Type de navigateur et système d'exploitation (tronqué à 250 caractères) |
90 jours |
| URL de la page visitée |
Chemin de la page (tronqué à 250 caractères) |
90 jours |
| Referrer |
Page d'origine (tronqué à 250 caractères) |
90 jours |
| ID de session |
Identifiant technique de session PHP |
90 jours |
Note : le système anti-refresh empêche les enregistrements en double de la même page dans la même session dans un délai de 5 minutes.
4. Finalités et Base Juridique du Traitement
| Finalité |
Base juridique (Art. RGPD) |
Description |
| Réponse aux demandes de contact |
Art. 6(1)(b) — Exécution de mesures précontractuelles |
Les données fournies via le formulaire de contact sont nécessaires pour répondre aux demandes de l'utilisateur concernant des devis et des excursions. |
| Fonctionnement technique du site |
Art. 6(1)(f) — Intérêt légitime du Responsable |
Cookies de session, préférences de langue, token CSRF pour la sécurité du site. |
| Assistant virtuel (Chatbot AI) |
Art. 6(1)(a) — Consentement de la personne concernée |
L'utilisateur exprime son consentement via la bannière des cookies avant de pouvoir interagir avec le chatbot. |
| Statistiques anonymisées de trafic |
Art. 6(1)(f) — Intérêt légitime |
Analyse agrégée et anonyme des pages visitées pour améliorer le site. L'IP n'est jamais enregistrée. |
| Analyse statistique avancée (Google Analytics / GTM) |
Art. 6(1)(a) — Consentement de la personne concernée |
Activées uniquement avec le consentement explicite de l'utilisateur dans la catégorie "Cookies Statistiques". |
| Marketing et profilage (Meta Pixel) |
Art. 6(1)(a) — Consentement de la personne concernée |
Activées uniquement avec le consentement explicite de l'utilisateur dans la catégorie "Cookies de Marketing". |
| Affichage de la carte |
Art. 6(1)(f) — Intérêt légitime |
Intégration de Google Maps pour montrer la position du point d'embarquement. |
| Sécurité et prévention des abus |
Art. 6(1)(f) — Intérêt légitime |
Protection CSRF, limitation de taux, Content Security Policy, HSTS, anti prompt-injection dans le chatbot. |
5. Modalités du Traitement
Les données personnelles sont traitées avec des outils informatiques automatisés, en adoptant des mesures de sécurité techniques et organisationnelles appropriées pour garantir un niveau de protection adéquat, notamment :
- Chiffrement en transit : connexion HTTPS obligatoire avec HSTS (max-age 1 an).
- Prepared Statements (PDO) : toutes les requêtes à la base de données utilisent des requêtes paramétrées pour prévenir les injections SQL.
- Hachage des mots de passe : algorithme bcrypt avec facteur de coût 12.
- Token CSRF : protection contre les attaques Cross-Site Request Forgery sur chaque formulaire.
- Content Security Policy (CSP) : en-tête HTTP qui limite les origines des scripts exécutables.
- Security Headers : X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy.
- Limitation de taux : limitation du nombre de requêtes au chatbot et aux formulaires de contact pour prévenir les abus.
- Anti prompt-injection : filtrage actif des messages du chatbot pour bloquer les tentatives de manipulation du modèle AI.
6. Périodes de Conservation des Données
| Type de donnée |
Période de conservation |
Mécanisme de suppression |
| Messages de contact |
24 mois à partir de la date d'envoi |
Suppression automatique quotidienne (GDPR Auto-Cleanup) |
| Logs de visites |
90 jours |
Suppression automatique quotidienne |
| Statistiques chatbot |
12 mois |
Suppression automatique quotidienne |
| Cookies de session |
Jusqu'à la fermeture du navigateur |
Suppression automatique |
| Cookies de préférences de langue |
Durée de la session |
Suppression automatique |
| Cookies de consentement |
12 mois (365 jours) |
Expiration naturelle du cookie |
Le système de suppression automatique (GDPR Auto-Cleanup) est exécuté une fois par jour de manière transparente et silencieuse.
7. Communication et Diffusion des Données
Les données personnelles ne sont pas vendues, cédées ou diffusées à des tiers à des fins de marketing direct du Responsable.
Les données peuvent être communiquées à :
- Fournisseurs de services technologiques : hébergeurs pour le fonctionnement de l'infrastructure serveur, liés par des accords contractuels de confidentialité.
- OpenRouter (openrouter.ai) : les messages envoyés au chatbot sont transmis à ce service d'API pour le traitement via des modèles d'intelligence artificielle. Les messages sont traités en temps réel et ne sont pas conservés par le Responsable après la session.
- Google LLC : si l'utilisateur a consenti aux cookies statistiques, les données de navigation sont transmises à Google Analytics et/ou Google Tag Manager.
- Meta Platforms Inc. : si l'utilisateur a consenti aux cookies de marketing, le Meta Pixel peut transmettre des données de navigation à Meta (Facebook).
- Open-Meteo (open-meteo.com) : API publique et gratuite pour les données météorologiques. Aucune donnée personnelle de l'utilisateur n'est transmise à ce service.
8. Services de Tiers Intégrés
| Service |
Fournisseur |
Finalité |
Conditionné au consentement |
| Google Fonts |
Google LLC |
Chargement des polices typographiques (Outfit, Inter) |
Non (uniquement demandes de fichiers statiques) |
| Bootstrap 5 |
jsDelivr CDN |
Framework CSS/JS pour la mise en page |
Non (fonctionnel) |
| Font Awesome 6 |
Cloudflare CDN |
Icônes vectorielles |
Non (fonctionnel) |
| Google Maps (iframe embed) |
Google LLC |
Carte interactive du point d'embarquement |
Non (fonctionnel) |
| Google Analytics |
Google LLC |
Analyse statistique du trafic |
Oui — Cookies Statistiques |
| Google Tag Manager |
Google LLC |
Gestion centralisée des tags |
Oui — Cookies Statistiques |
| Meta Pixel |
Meta Platforms Inc. |
Mesure des conversions publicitaires |
Oui — Cookies Marketing |
| WhatsApp (lien direct) |
Meta Platforms Inc. |
Contact rapide par message |
Non (lien externe, aucune donnée transmise) |
| OpenRouter API |
OpenRouter |
Chatbot AI (traitement du langage naturel) |
Oui — avec le consentement des cookies |
| Open-Meteo API |
Open-Meteo |
Widget météo en temps réel |
Non (aucune donnée personnelle transmise) |
9. Transfert des Données vers des Pays Tiers
Certains services de tiers (Google, Meta, OpenRouter) peuvent impliquer le transfert de données vers les États-Unis d'Amérique ou d'autres pays hors de l'UE.
Ces transferts se font sur la base de :
- Décision d'adéquation de la Commission Européenne (EU-U.S. Data Privacy Framework), le cas échéant.
- Clauses Contractuelles Standards (SCC) approuvées par la Commission Européenne, intégrées dans les contrats avec les fournisseurs.
- Mesures techniques supplémentaires : cryptage en transit (TLS/HTTPS), minimisation des données transmises, pseudonymisation (hachage IP).
10. Droits de la Personne Concernée
| Droit |
Article RGPD |
Description |
| Accès |
Art. 15 |
Obtenir confirmation de l'existence de données personnelles et y accéder. |
| Rectification |
Art. 16 |
Obtenir la correction de données inexactes ou incomplètes. |
| Suppression |
Art. 17 |
Obtenir la suppression de ses données ("droit à l'oubli"). |
| Limitation |
Art. 18 |
Obtenir la limitation du traitement dans certains cas. |
| Portabilité |
Art. 20 |
Recevoir ses données dans un format structuré et lisible par un dispositif automatique. |
| Opposition |
Art. 21 |
S'opposer à tout moment au traitement basé sur un intérêt légitime. |
| Révocation du consentement |
Art. 7(3) |
Révoquer le consentement à tout moment, sans préjudice de la légalité du traitement antérieur. |
Comment exercer ses droits : envoyer une demande écrite à : info@costantinotour.it. Le Responsable répondra dans un délai de 30 jours.
Droit de réclamation : La personne concernée a également le droit de déposer une réclamation auprès de l'Autorité de Protection des Données Personnelles (Site web : www.garanteprivacy.it).
11. Données des Mineurs
Le site n'est pas destiné aux mineurs de 16 ans. Le Responsable ne collecte pas sciemment de données personnelles de mineurs.
12. Modifications de la Politique de Confidentialité
Le Responsable se réserve le droit de modifier la présente information à tout moment. La version mise à jour sera toujours disponible sur le site web.
