1. Titolare del Trattamento dei Dati
Il Titolare del trattamento dei dati personali è:
- Ragione sociale: Pagnotta Shipping Tourism
- Sede legale: Via Firenze 21 — 86039 Termoli (CB), Italia
- Partita IVA: 01863770705
- Email di contatto: info@costantinotour.it
Per qualsiasi richiesta relativa alla protezione dei dati personali è possibile scrivere all'indirizzo email sopra indicato.
2. Normativa di Riferimento
La presente informativa è resa ai sensi del Regolamento (UE) 2016/679 (GDPR — General Data Protection Regulation) e del D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali), come modificato dal D.Lgs. 101/2018, nonché delle Linee Guida del Garante per la Protezione dei Dati Personali.
3. Tipologie di Dati Raccolti
3.1. Dati forniti volontariamente dall'utente
Attraverso il modulo di contatto presente nella homepage, l'utente può fornire volontariamente:
| Dato |
Obbligatorio |
Finalità |
| Nome e cognome |
Sì |
Identificazione dell'interlocutore |
| Indirizzo e-mail |
Sì |
Risposta alla richiesta |
| Numero di telefono |
No |
Contatto telefonico su richiesta |
| Messaggio testuale |
Sì |
Descrizione della richiesta/prenotazione |
Il modulo è protetto da un sistema di verifica anti-spam (captcha testuale "Tremiti") e richiede l'accettazione esplicita della presente informativa (checkbox) prima dell'invio.
3.2. Dati raccolti tramite il Chatbot AI ("Skipper AI")
Il sito integra un assistente virtuale alimentato da intelligenza artificiale (modello linguistico tramite API OpenRouter). Quando l'utente interagisce con il chatbot:
- I messaggi di testo inviati vengono elaborati in tempo reale per generare una risposta contestuale e non vengono salvati in modo persistente sul server del Titolare.
- L'indirizzo IP dell'utente viene sottoposto a hashing unidirezionale (MD5 con salt) esclusivamente per il sistema di rate limiting (limite di messaggi orari) e non viene mai memorizzato in chiaro.
- Un contatore di utilizzo giornaliero è memorizzato nella tabella
chatbot_usage per finalità statistiche aggregate (numero totale di messaggi al giorno).
- I messaggi vengono inviati a un servizio API di terze parti (OpenRouter — openrouter.ai) per l'elaborazione linguistica.
IMPORTANTE: Il chatbot viene attivato solo dopo che l'utente ha espresso il proprio consenso tramite il banner dei cookie.
3.3. Dati di navigazione (log tecnici)
Il sistema di logging interno del sito registra le seguenti informazioni per finalità statistiche:
| Dato |
Dettaglio |
Conservazione |
| Indirizzo IP |
Non registrato — sostituito con 0.0.0.0 (anonimizzazione completa) |
— |
| User-Agent del browser |
Tipo di browser e sistema operativo (troncato a 250 caratteri) |
90 giorni |
| URL della pagina visitata |
Percorso della pagina (troncato a 250 caratteri) |
90 giorni |
| Referrer |
Pagina di provenienza (troncato a 250 caratteri) |
90 giorni |
| Session ID |
Identificatore tecnico di sessione PHP |
90 giorni |
Nota: il sistema anti-refresh impedisce registrazioni duplicate della stessa pagina nella stessa sessione entro 5 minuti.
4. Finalità e Base Giuridica del Trattamento
| Finalità |
Base giuridica (Art. GDPR) |
Descrizione |
| Risposta alle richieste di contatto |
Art. 6(1)(b) — Esecuzione di misure precontrattuali |
I dati forniti tramite il modulo di contatto sono necessari per rispondere alle richieste dell'utente relative a preventivi ed escursioni. |
| Funzionamento tecnico del sito |
Art. 6(1)(f) — Legittimo interesse del Titolare |
Cookie di sessione, preferenze di lingua, token CSRF per la sicurezza del sito. |
| Assistente virtuale (Chatbot AI) |
Art. 6(1)(a) — Consenso dell'interessato |
L'utente esprime il proprio consenso tramite il banner cookie prima di poter interagire con il chatbot. |
| Statistiche anonimizzate di traffico |
Art. 6(1)(f) — Legittimo interesse |
Analisi aggregate e anonime delle pagine visitate per migliorare il sito. L'IP non è mai registrato. |
| Analisi statistica avanzata (Google Analytics / GTM) |
Art. 6(1)(a) — Consenso dell'interessato |
Attivate solo previo consenso esplicito dell'utente nella categoria "Cookie Statistici". |
| Marketing e profilazione (Meta Pixel) |
Art. 6(1)(a) — Consenso dell'interessato |
Attivate solo previo consenso esplicito dell'utente nella categoria "Cookie di Marketing". |
| Visualizzazione della mappa |
Art. 6(1)(f) — Legittimo interesse |
Integrazione di Google Maps per mostrare la posizione del punto d'imbarco. |
| Sicurezza e prevenzione abusi |
Art. 6(1)(f) — Legittimo interesse |
Protezione CSRF, rate limiting, Content Security Policy, HSTS, anti prompt-injection nel chatbot. |
5. Modalità del Trattamento
I dati personali sono trattati con strumenti informatici automatizzati, adottando misure di sicurezza tecniche e organizzative adeguate a garantire un livello di protezione appropriato, tra cui:
- Cifratura in transito: connessione HTTPS obbligatoria con HSTS (max-age 1 anno).
- Prepared Statements (PDO): tutte le query al database utilizzano query parametrizzate per prevenire SQL Injection.
- Hashing delle password: algoritmo bcrypt con cost factor 12.
- Token CSRF: protezione contro attacchi Cross-Site Request Forgery su ogni form.
- Content Security Policy (CSP): intestazione HTTP che limita le origini degli script eseguibili.
- Security Headers: X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy.
- Rate Limiting: limitazione del numero di richieste al chatbot e ai moduli di contatto per prevenire abusi.
- Anti prompt-injection: filtraggio attivo dei messaggi del chatbot per bloccare tentativi di manipolazione del modello AI.
6. Periodi di Conservazione dei Dati
| Tipologia di dato |
Periodo di conservazione |
Meccanismo di cancellazione |
| Messaggi di contatto |
24 mesi dalla data di invio |
Cancellazione automatica giornaliera (GDPR Auto-Cleanup) |
| Log visite |
90 giorni |
Cancellazione automatica giornaliera |
| Statistiche chatbot |
12 mesi |
Cancellazione automatica giornaliera |
| Cookie di sessione |
Fino alla chiusura del browser |
Eliminazione automatica |
| Cookie di preferenze lingua |
Durata della sessione |
Eliminazione automatica |
| Cookie di consenso |
12 mesi (365 giorni) |
Scadenza naturale del cookie |
Il sistema di cancellazione automatica (GDPR Auto-Cleanup) viene eseguito una volta al giorno in modo trasparente e silenzioso.
7. Comunicazione e Diffusione dei Dati
I dati personali non vengono venduti, ceduti o diffusi a terzi per finalità di marketing diretto del Titolare.
I dati possono essere comunicati a:
- Fornitori di servizi tecnologici: hosting provider per il funzionamento dell'infrastruttura server, vincolati da accordi contrattuali di riservatezza.
- OpenRouter (openrouter.ai): i messaggi inviati al chatbot vengono trasmessi a questo servizio di API per l'elaborazione tramite modelli di intelligenza artificiale. I messaggi vengono elaborati in tempo reale e non vengono conservati dal Titolare dopo la sessione.
- Google LLC: qualora l'utente abbia acconsentito ai cookie statistici, i dati di navigazione vengono trasmessi a Google Analytics e/o Google Tag Manager.
- Meta Platforms Inc.: qualora l'utente abbia acconsentito ai cookie di marketing, il Meta Pixel può trasmettere dati di navigazione a Meta (Facebook).
- Open-Meteo (open-meteo.com): API pubblica e gratuita per i dati meteorologici. Nessun dato personale dell'utente viene trasmesso a questo servizio.
8. Servizi di Terze Parti Integrati
| Servizio |
Fornitore |
Finalità |
Condizionato al consenso |
| Google Fonts |
Google LLC |
Caricamento dei font tipografici (Outfit, Inter) |
No (solo richieste di file statici) |
| Bootstrap 5 |
jsDelivr CDN |
Framework CSS/JS per il layout |
No (funzionale) |
| Font Awesome 6 |
Cloudflare CDN |
Icone vettoriali |
No (funzionale) |
| Google Maps (iframe embed) |
Google LLC |
Mappa interattiva del punto d'imbarco |
No (funzionale) |
| Google Analytics |
Google LLC |
Analisi statistica del traffico |
Sì — Cookie Statistici |
| Google Tag Manager |
Google LLC |
Gestione centralizzata dei tag |
Sì — Cookie Statistici |
| Meta Pixel |
Meta Platforms Inc. |
Misurazione conversioni pubblicitarie |
Sì — Cookie Marketing |
| WhatsApp (link diretto) |
Meta Platforms Inc. |
Contatto rapido via messaggio |
No (link esterno, nessun dato trasmesso) |
| OpenRouter API |
OpenRouter |
Chatbot AI (elaborazione linguaggio naturale) |
Sì — previo consenso cookie |
| Open-Meteo API |
Open-Meteo |
Widget meteo in tempo reale |
No (nessun dato personale trasmesso) |
9. Trasferimento dei Dati verso Paesi Terzi
Alcuni servizi di terze parti (Google, Meta, OpenRouter) possono comportare il trasferimento di dati verso gli Stati Uniti d'America o altri Paesi extra-UE.
Tali trasferimenti avvengono sulla base di:
- Decisione di adeguatezza della Commissione Europea (EU-U.S. Data Privacy Framework), ove applicabile.
- Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea, integrate nei contratti con i fornitori.
- Misure tecniche supplementari: crittografia in transito (TLS/HTTPS), minimizzazione dei dati trasmessi, pseudonimizzazione (hashing IP).
10. Diritti dell'Interessato
| Diritto |
Articolo GDPR |
Descrizione |
| Accesso |
Art. 15 |
Ottenere conferma dell'esistenza di dati personali e accederne. |
| Rettifica |
Art. 16 |
Ottenere la correzione di dati inesatti o incompleti. |
| Cancellazione |
Art. 17 |
Ottenere la cancellazione dei propri dati ("diritto all'oblio"). |
| Limitazione |
Art. 18 |
Ottenere la limitazione del trattamento in determinati casi. |
| Portabilità |
Art. 20 |
Ricevere i propri dati in formato strutturato e leggibile da dispositivo automatico. |
| Opposizione |
Art. 21 |
Opporsi in qualsiasi momento al trattamento basato su legittimo interesse. |
| Revoca del consenso |
Art. 7(3) |
Revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente. |
Come esercitare i propri diritti: inviare una richiesta scritta a: info@costantinotour.it. Il Titolare risponderà entro 30 giorni.
Diritto di reclamo: L'interessato ha inoltre il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (Sito web: www.garanteprivacy.it).
11. Dati dei Minori
Il sito non è destinato a minori di 16 anni. Il Titolare non raccoglie consapevolmente dati personali di minori.
12. Modifiche alla Privacy Policy
Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. La versione aggiornata sarà sempre disponibile sul sito web.