Privacy Policy

Informativa sul trattamento dei dati personali ai sensi degli articoli 13 e 14 del Regolamento UE 2016 679

Versione del 23 settembre 2026

Titolare del trattamento  C.M. Viaggi S.r.l.

Sito interessato  https://www.cmviaggi.it

La presente informativa descrive come C.M. Viaggi S.r.l. tratta i dati personali delle persone che visitano il sito, richiedono informazioni, chiedono un preventivo o manifestano interesse per viaggi e servizi turistici, si iscrivono alle comunicazioni commerciali o interagiscono con le funzionalità disponibili. L’informativa riguarda il sito e i contatti digitali collegati; non sostituisce eventuali informative specifiche rese al momento della prenotazione, della conclusione di un contratto di viaggio o della raccolta di dati ulteriori.

Il testo è predisposto sulla base delle funzionalità risultanti dal progetto del sito. Prima della pubblicazione devono essere verificati i servizi tecnici effettivamente attivi e completati i dati contrassegnati come da confermare.

Il sito non è configurato come e commerce: non consente checkout, pagamento online o conclusione automatica dell’acquisto. Le proposte di viaggio possono essere consultate e l’utente può inviare una richiesta di informazioni o di contatto; l’eventuale prenotazione viene gestita successivamente attraverso i canali dell’agenzia e con le informative applicabili al servizio richiesto.

1 Titolare del trattamento

Il Titolare del trattamento è C.M. Viaggi S.r.l., con sede in Piazza Nazario Sauro, 41, 62100 Macerata MC, Italia, P. IVA e C.F. 00661560433.

Contatti per questioni relative alla protezione dei dati: cmviaggi@cmviaggi.it. Telefono: +39 0733 232711.

Qualora sia stato nominato un Responsabile della protezione dei dati, i relativi dati di contatto saranno pubblicati in questa sezione. In assenza di nomina, le richieste possono essere rivolte direttamente al Titolare.

2 Ambito e categorie di dati trattati

2.1 Dati di navigazione e sicurezza

I sistemi informatici e le procedure utilizzate per il funzionamento del sito acquisiscono, nel normale esercizio, dati la cui trasmissione è implicita nell’uso dei protocolli Internet. Possono rientrare in questa categoria indirizzi IP, identificativi del dispositivo e del browser, URI o URL richiesti, data e ora della richiesta, metodo utilizzato, codice di risposta, dimensione dei file trasmessi, dati tecnici sulla sessione e informazioni necessarie a prevenire abusi e garantire la sicurezza del sito.

2.2 Dati forniti volontariamente

Quando l’utente compila un modulo, invia un messaggio, telefona o usa un canale di contatto, possono essere trattati nome e cognome, recapiti, località, contenuto della richiesta, viaggio o servizio di interesse, numero e caratteristiche dei partecipanti, periodo desiderato, preferenze dichiarate e ogni altra informazione inserita spontaneamente.

L’utente è invitato a non trasmettere tramite moduli generici dati particolari ai sensi dell’articolo 9 GDPR, quali informazioni sulla salute, disabilità, esigenze alimentari riconducibili a condizioni sanitarie o convinzioni religiose. Se tali dati diventano necessari per predisporre o gestire un servizio turistico, saranno richiesti attraverso un canale e un’informativa adeguati, limitandoli a quanto strettamente necessario.

2.3 Dati relativi alle comunicazioni commerciali

In caso di iscrizione alla newsletter o di consenso a ricevere offerte, attraverso la piattaforma Brevo possono essere trattati indirizzo e mail, nome, preferenze, origine dell’iscrizione, data e prova del consenso, stato dell’iscrizione, invii, consegne, errori, disiscrizioni e interazioni con i messaggi. Brevo consente di misurare aperture e clic; CM Viaggi deve scegliere e documentare se usare il tracciamento individuale oppure la modalità anonima. La presente bozza assume, come configurazione raccomandata, il tracciamento anonimo di aperture e clic.

2.4 Dati provenienti da terzi

Il Titolare può ricevere dati da accompagnatori, agenzie partner, altri partecipanti o soggetti che richiedono informazioni per un gruppo. Chi comunica dati di altre persone deve essere autorizzato a farlo e deve informarle della trasmissione. Se i dati non sono raccolti direttamente presso l’interessato, il Titolare fornisce le informazioni previste dall’articolo 14 GDPR nei tempi applicabili, salvo le eccezioni previste dalla legge.

2.5 Dati raccolti mediante strumenti di misurazione e marketing

Previo consenso dell’utente, il sito utilizza Google Analytics 4, gestito tramite Google Tag Manager, per misurare visite e interazioni, e Meta Pixel per misurare le campagne pubblicitarie, creare pubblici e proporre comunicazioni promozionali più pertinenti sulle piattaforme Meta. Possono essere trattati identificativi online e cookie, dati sul dispositivo e sul browser, pagine visitate, eventi e interazioni, provenienza della visita, data e ora, informazioni tecniche e dati di campagna. Google dichiara che Google Analytics non registra né conserva gli indirizzi IP individuali degli utenti dell’Unione europea; l’indirizzo IP può essere utilizzato temporaneamente per ricavare dati geografici approssimativi e poi eliminato.

Google Tag Manager è lo strumento utilizzato per gestire l’attivazione dei tag. La sua configurazione deve rispettare le preferenze espresse nel banner: i tag Analytics e Meta Pixel non devono essere attivati prima del consenso relativo alla categoria interessata.

Google Consent Mode è implementata tramite Google Tag Manager. Lo stato iniziale deve essere configurato come negato per analytics e pubblicità; dopo la scelta dell’utente, Tag Manager aggiorna i segnali di consenso e consente l’attivazione dei soli tag autorizzati. Per rispettare il blocco preventivo descritto in questa informativa, la configurazione deve essere di tipo Basic Consent Mode: prima del consenso i tag Google non vengono caricati e non vengono inviati dati a Google.

3 Finalità basi giuridiche e conservazione

I dati sono trattati soltanto per finalità determinate e sulla base di una delle condizioni di liceità previste dal GDPR. Per rendere l’informativa facilmente consultabile anche da smartphone, ciascun trattamento è descritto separatamente.

3.1 Richieste di informazioni disponibilità e preventivi

Finalità. Rispondere alle richieste inviate tramite moduli, e mail, telefono o altri canali di contatto e predisporre le informazioni relative ai viaggi o ai servizi richiesti.

Base giuridica. Esecuzione di misure precontrattuali richieste dall’interessato, ai sensi dell’articolo 6 paragrafo 1 lettera b GDPR.

Conservazione. I dati di contatto e il contenuto della richiesta sono conservati, di regola, fino a 12 mesi dalla chiusura della richiesta, salvo che segua un rapporto contrattuale o sia necessario conservarli per tutelare un diritto.

3.2 Prenotazioni e rapporti contrattuali

Finalità. Gestire le attività precontrattuali e i rapporti relativi ai servizi turistici avviati dopo il contatto tramite il sito.

Base giuridica. Esecuzione del contratto o di misure precontrattuali, articolo 6 paragrafo 1 lettera b GDPR, e adempimento degli obblighi legali, lettera c.

Conservazione. Per la durata del rapporto e, successivamente, per i termini previsti dalla normativa civile, fiscale e contabile e per la tutela dei diritti del Titolare.

3.3 Newsletter offerte e comunicazioni promozionali

Finalità. Inviare newsletter, offerte e aggiornamenti commerciali tramite Brevo.

Base giuridica. Consenso dell’interessato, articolo 6 paragrafo 1 lettera a GDPR. Per comunicazioni relative a servizi analoghi rivolte a clienti già acquisiti può trovare applicazione l’articolo 130 comma 4 del Codice Privacy, nei limiti previsti dalla legge e fermo il diritto di opposizione.

Conservazione. Fino alla revoca del consenso o all’opposizione e, in mancanza di interazioni, per il periodo definito dal Titolare e sottoposto a verifica periodica. Le informazioni minime necessarie a documentare il consenso o l’opposizione possono essere conservate più a lungo.

3.4 Misurazione del sito con Google Analytics 4

Finalità. Elaborare statistiche sulle visite e sulle interazioni per comprendere l’utilizzo del sito e migliorarne contenuti e prestazioni.

Base giuridica. Consenso dell’interessato, articolo 6 paragrafo 1 lettera a GDPR, per l’impiego di cookie e identificativi non strettamente necessari.

Conservazione. Per il periodo configurato nella proprietà Google Analytics e indicato nella Cookie Policy, fatta salva l’eventuale conservazione di statistiche aggregate non riconducibili direttamente all’utente.

3.5 Meta Pixel misurazione campagne e remarketing

Finalità. Misurare l’efficacia delle campagne, creare pubblici personalizzati e proporre annunci più pertinenti sulle piattaforme Meta.

Base giuridica. Consenso dell’interessato, articolo 6 paragrafo 1 lettera a GDPR.

Conservazione. Secondo le impostazioni dell’account Meta, gli eventi configurati e i periodi specificati nella Cookie Policy.

3.6 Funzionamento sicurezza e prevenzione degli abusi

Finalità. Garantire il funzionamento tecnico del sito, proteggere sistemi e dati e prevenire accessi abusivi, frodi o attività dannose.

Base giuridica. Legittimo interesse del Titolare, articolo 6 paragrafo 1 lettera f GDPR, bilanciato con i diritti e le libertà degli utenti.

Conservazione. I log tecnici e di sicurezza sono conservati per un periodo breve e proporzionato, salvo la necessità di approfondire un incidente o rispondere a una richiesta dell’autorità.

3.7 Tutela dei diritti

Finalità. Accertare, esercitare o difendere un diritto del Titolare in sede stragiudiziale o giudiziaria.

Base giuridica. Legittimo interesse, articolo 6 paragrafo 1 lettera f GDPR, e adempimento di obblighi legali quando applicabili.

Conservazione. Per il tempo necessario alla gestione della contestazione e fino alla scadenza dei termini di prescrizione applicabili.

3.8 Obblighi amministrativi fiscali e richieste delle autorità

Finalità. Adempiere agli obblighi previsti dalla legge e rispondere alle richieste delle autorità competenti.

Base giuridica. Adempimento di un obbligo legale, articolo 6 paragrafo 1 lettera c GDPR.

Conservazione. Per i periodi imposti dalla normativa applicabile.

Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato prima della revoca. La mancata prestazione del consenso commerciale non impedisce di richiedere informazioni o acquistare servizi.

4 Natura del conferimento

Il conferimento dei dati contrassegnati come necessari nei moduli di contatto è indispensabile per gestire la richiesta. Il mancato conferimento può impedire al Titolare di rispondere o predisporre il servizio richiesto. I dati facoltativi aiutano a personalizzare la risposta ma possono essere omessi. L’iscrizione alla newsletter e il consenso per finalità promozionali sono facoltativi e separati dalle richieste di servizio.

5 Modalità del trattamento e misure di sicurezza

Il trattamento avviene con strumenti elettronici e, quando necessario, cartacei, secondo principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. Il Titolare adotta misure tecniche e organizzative commisurate ai rischi, tra cui gestione degli accessi, credenziali personali, aggiornamenti, protezione dei sistemi, copie di sicurezza ove previste, registrazione degli eventi rilevanti e procedure per la gestione degli incidenti. Nessun sistema può tuttavia essere considerato privo di rischio assoluto.

6 Destinatari responsabili e persone autorizzate

I dati possono essere trattati da dipendenti e collaboratori autorizzati, nei limiti delle rispettive mansioni, e comunicati a soggetti esterni quando necessario. Possono rientrare tra i destinatari:

• fornitori di hosting, manutenzione, sicurezza, posta elettronica e infrastruttura informatica;
• fornitori del sito, dei moduli, della gestione contatti, della newsletter e dei servizi di assistenza digitale;
• consulenti amministrativi, fiscali, legali e assicurativi;
• operatori turistici, strutture, vettori e partner soltanto quando la comunicazione è necessaria a gestire la richiesta o il servizio e sulla base di un’idonea informativa;
• autorità pubbliche e soggetti legittimati a ricevere i dati in forza di legge o provvedimento.

I fornitori che trattano dati per conto di C.M. Viaggi sono nominati responsabili del trattamento ai sensi dell’articolo 28 GDPR quando ricorrono i presupposti. Per l’invio delle newsletter e la gestione dei contatti è utilizzata Brevo, piattaforma fornita da Sendinblue SAS, che opera quale responsabile del trattamento sulla base del proprio Data Processing Agreement. Blip di Carlini Carlo opera come responsabile del trattamento soltanto per le attività svolte per conto di C.M. Viaggi e disciplinate da un apposito accordo; non è il Titolare dei dati raccolti tramite cmviaggi.it. L’elenco aggiornato dei responsabili può essere richiesto al Titolare.

Il sito e i relativi database sono ospitati sui servizi di hosting forniti da Register S.p.A., con sede in Viale della Giovine Italia 17, 50122 Firenze, P. IVA e C.F. 04628270482. Per i dati contenuti nello spazio hosting, Register.it opera quale responsabile del trattamento per conto di C.M. Viaggi ai sensi dell’articolo 28 GDPR, limitatamente all’erogazione dell’infrastruttura, dello spazio di memorizzazione e dell’assistenza tecnica prevista dal servizio.

Per la misurazione del sito è utilizzato Google Analytics 4 e i relativi tag sono gestiti tramite Google Tag Manager. Google Ireland Limited tratta i dati secondo i termini applicabili ai servizi di misurazione e alle impostazioni dell’account. Per Meta Pixel, Meta Platforms Ireland Limited riceve dati relativi agli eventi e può operare, per determinate attività previste dai propri termini, anche in regime di contitolarità con CM Viaggi. I dettagli aggiornati sui rispettivi ruoli e sulle modalità per esercitare i diritti sono disponibili nelle informative e nei termini di Google e Meta.

7 Trasferimenti fuori dallo Spazio economico europeo

Brevo dichiara che i server sui quali elabora e conserva i database sono situati nell’Unione europea, con infrastrutture in Francia, Germania e Belgio. Il Titolare deve comunque verificare periodicamente il Data Processing Agreement e l’elenco dei sub responsabili di Brevo, perché singoli servizi di supporto o fornitori possono comportare ulteriori trattamenti o trasferimenti.

L’hosting del sito è fornito da Register.it. La collocazione del centro dati e gli eventuali subfornitori dipendono dal piano hosting effettivamente acquistato e devono essere verificati nella relativa documentazione contrattuale. Register.it opera come responsabile del trattamento per la fornitura del servizio tecnologico; eventuali cambiamenti del piano o dell’infrastruttura devono essere riesaminati ai fini dei trasferimenti internazionali.

Altri fornitori tecnologici potrebbero trattare dati in Paesi esterni allo Spazio economico europeo. Prima della pubblicazione deve essere verificata la localizzazione effettiva dei servizi di hosting, posta, analytics, mappe, video, font e sistemi antispam. Se avvengono trasferimenti, il Titolare applica gli strumenti previsti dagli articoli 44 e seguenti GDPR, quali decisioni di adeguatezza, clausole contrattuali standard e, quando necessario, misure supplementari. Informazioni sulle garanzie utilizzate possono essere richieste al Titolare.

Google e Meta fanno parte di gruppi internazionali e i dati raccolti tramite Google Analytics, Google Tag Manager e Meta Pixel possono essere trattati anche fuori dallo Spazio economico europeo, inclusi gli Stati Uniti. I trasferimenti devono avvenire sulla base degli strumenti previsti dal Capo V GDPR, comprese decisioni di adeguatezza applicabili, eventuale adesione al Data Privacy Framework e clausole contrattuali standard, oltre alle misure supplementari necessarie. Le garanzie concretamente applicate devono essere verificate periodicamente nei termini dei fornitori.

8 Cookie strumenti di tracciamento e contenuti esterni

Il sito può usare cookie tecnici o strumenti equivalenti necessari al funzionamento, alla sicurezza, alla gestione delle preferenze e alla corretta erogazione delle pagine. Questi strumenti non richiedono consenso quando sono strettamente necessari.

Google Analytics 4, i tag gestiti tramite Google Tag Manager e Meta Pixel devono essere configurati in modo da rispettare le scelte dell’utente. Google Analytics e Meta Pixel, in quanto strumenti di misurazione e marketing non strettamente necessari, devono rimanere bloccati fino al consenso. Google Consent Mode è gestita tramite Google Tag Manager in modalità Basic: prima della scelta dell’utente i tag Google restano bloccati; dopo la scelta, Tag Manager aggiorna lo stato del consenso e attiva soltanto i tag autorizzati.

Il banner deve consentire di accettare o rifiutare con pari immediatezza, personalizzare le scelte e revocarle in ogni momento. Il semplice proseguimento della navigazione non equivale a consenso. La revoca deve essere possibile mediante un comando sempre accessibile sul sito.

L’elenco puntuale dei cookie e degli strumenti, con fornitore, finalità, categoria e durata, deve essere riportato in una Cookie Policy separata e aggiornato mediante una scansione del sito in produzione dopo l’installazione definitiva di Google Analytics, Google Tag Manager e Meta Pixel.

9 Newsletter e comunicazioni promozionali

Le comunicazioni promozionali sono gestite tramite Brevo e inviate soltanto nei casi consentiti dalla normativa. Quando la base giuridica è il consenso, l’utente può revocarlo in ogni momento tramite il collegamento di disiscrizione presente in ciascun messaggio o contattando il Titolare. La revoca non impedisce l’invio di comunicazioni operative relative a richieste o contratti in corso. Il Titolare conserva le informazioni minime necessarie a documentare il consenso o l’opposizione e a evitare ulteriori invii indesiderati.

Il modulo di iscrizione deve contenere un’informativa breve, un collegamento a questa policy e una casella non preselezionata. È raccomandato il double opt in, cioè l’invio di un messaggio di conferma all’indirizzo indicato. Eventuali segmentazioni basate sulle preferenze dichiarate devono restare proporzionate e trasparenti.

Brevo prevede per impostazione standard il tracciamento delle aperture e dei clic associato al singolo destinatario e offre anche il tracciamento anonimo. Per ridurre l’impatto sugli interessati, CM Viaggi dovrebbe attivare il tracciamento anonimo, che mantiene statistiche aggregate senza collegare aperture e clic allo specifico contatto. Se CM Viaggi sceglie il tracciamento individuale per ottimizzare campagne, personalizzare contenuti o frequenza di invio, dovrà valutarne specificamente la base giuridica, informare con chiarezza gli iscritti e acquisire il consenso quando richiesto.

10 Collegamenti social e siti di terzi

Il sito può contenere collegamenti a social network, piattaforme di messaggistica o siti di terzi. L’apertura del collegamento conduce a servizi autonomi, disciplinati dalle rispettive informative. Se sul sito vengono incorporati componenti che trasmettono dati prima dell’interazione dell’utente, tali componenti devono essere censiti e, quando necessario, subordinati al consenso.

11 Decisioni automatizzate e profilazione

Il sito non adotta decisioni unicamente automatizzate che producano effetti giuridici o incidano in modo analogo significativamente sull’interessato ai sensi dell’articolo 22 GDPR. Previo consenso, Meta Pixel può tuttavia essere utilizzato per creare pubblici, misurare conversioni e mostrare annunci più pertinenti sulle piattaforme Meta; Google Analytics può contribuire all’analisi aggregata dei comportamenti di navigazione. Tali attività non determinano automaticamente la conclusione o il rifiuto di un contratto di viaggio e possono essere disattivate revocando il consenso ai cookie di marketing o analisi.

12 Minori

I servizi del sito non sono rivolti direttamente a minori per l’iscrizione autonoma a servizi digitali. Le richieste relative a viaggi di minori devono essere presentate da chi esercita la responsabilità genitoriale o da un soggetto autorizzato. Se il Titolare viene a conoscenza di dati trasmessi senza un’adeguata autorizzazione, adotta le misure appropriate per limitarne o cessarne il trattamento.

13 Diritti dell’interessato

Nei casi previsti dalla normativa, l’interessato può chiedere al Titolare:

• l’accesso ai dati personali e alle informazioni sul trattamento;
• la rettifica dei dati inesatti e l’integrazione di quelli incompleti;
• la cancellazione dei dati, quando ne ricorrono i presupposti;
• la limitazione del trattamento;
• la portabilità dei dati forniti, nei casi previsti dall’articolo 20 GDPR;
• l’opposizione al trattamento fondato sul legittimo interesse e, in ogni momento, al marketing diretto;
• la revoca del consenso, senza effetti retroattivi;
• di non essere sottoposto a una decisione unicamente automatizzata nei casi disciplinati dall’articolo 22 GDPR.

Le richieste devono essere inviate ai contatti indicati nella sezione 1. Il Titolare può chiedere informazioni necessarie a verificare l’identità del richiedente e risponde, di regola, entro un mese, prorogabile nei casi previsti dal GDPR. L’interessato ha inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali, secondo le modalità pubblicate su www.garanteprivacy.it, o di rivolgersi all’autorità di controllo competente del proprio Stato membro.

14 Aggiornamenti della policy

Il Titolare può aggiornare questa informativa per modifiche normative, organizzative o tecniche. La versione corrente è pubblicata sul sito con la data di aggiornamento. Se le modifiche incidono in modo sostanziale sui trattamenti o sui diritti degli interessati, il Titolare adotta modalità adeguate per informare gli utenti e, quando necessario, acquisire un nuovo consenso.