Titolare del trattamento è User Test, codice fiscale JFISKWBAUDOWJQN, con sede in Hdiskw, 36100 Vicnene (Vi), Portogallo (di seguito il «Titolare»). Contatti del Titolare: - Email: webvoyage0@gmail.com - Telefono: +393477249997 Lo stesso indirizzo email può essere usato per qualsiasi richiesta relativa alla protezione dei dati personali. Il sito è realizzato e ospitato sulla piattaforma «WebVoyage». WebVoyage agisce come Responsabile del trattamento (art. 28 GDPR) per conto del Titolare, limitatamente all'hosting tecnico e alla gestione dell'infrastruttura (server, CDN e backup forniti da OVHcloud presso un data center situato in Canada). WebVoyage non utilizza i dati per finalità proprie e li tratta solo secondo le istruzioni del Titolare. I pagamenti degli acquisti online sono gestiti da Stripe (Stripe Payments Europe, Ltd.) tramite Stripe Connect. I dati della carta o degli altri strumenti di pagamento sono inseriti direttamente nell'ambiente di Stripe: non transitano dal sito né sono conservati dal Titolare.

In base alle funzioni effettivamente presenti sul sito, il Titolare tratta le seguenti categorie di dati. - Prenotazione appuntamenti (calendario prenotazioni): nome e cognome, email, numero di telefono, messaggio facoltativo e dati dell'appuntamento scelto. L'appuntamento viene memorizzato e viene inviata una email di conferma. - Modulo di prenotazione: data, orario, nome e cognome, email, telefono e note. - Commenti agli articoli del blog: nome, email, sito web (facoltativo) e testo del commento. Il nome e il testo del commento sono pubblicati e visibili a chiunque; l'email non viene pubblicata. - Iscrizione alla newsletter: indirizzo email, registrazione del consenso e dati di interazione con le email (apertura del messaggio e disiscrizione). - Acquisti online (e-commerce, prodotti fisici con spedizione): nome e cognome, indirizzo di spedizione e di fatturazione, email, telefono, dettaglio dell'ordine, importo e stato del pagamento. Gli estremi dello strumento di pagamento sono trattati esclusivamente da Stripe. - Dati di navigazione: indirizzo IP, data e ora della richiesta, pagine visitate, tipo di browser e dispositivo. Sono registrati dall'infrastruttura di hosting per il funzionamento e la sicurezza del sito. - Dati inseriti volontariamente: nei campi liberi (messaggio, note, commento) l'utente può scrivere informazioni ulteriori. Il Titolare non richiede dati relativi alla salute né altre categorie particolari di dati (art. 9 GDPR). Per un appuntamento di tatuaggio può tuttavia essere utile segnalare allergie o condizioni di salute rilevanti. Chi sceglie di farlo con i campi liberi acconsente espressamente al loro trattamento. Si invita a indicare solo ciò che è necessario. Cookie e archiviazione locale: il sito usa un banner di consenso gestito dalla piattaforma, con due categorie: «Necessari» (sempre attivi) e «Contenuti esterni» (mappe, video e documenti incorporati da altri servizi, bloccati finché il visitatore non li accetta). La scelta è memorizzata nel browser (archiviazione locale, chiave «wv.cookie.consent») per 180 giorni (6 mesi), poi il banner viene riproposto. È uno strumento tecnico, necessario a ricordare la preferenza. Si può modificare in ogni momento dal link «Preferenze cookie» in fondo a ogni pagina. Il sito non utilizza cookie di profilazione pubblicitaria né strumenti di analisi statistica di terze parti.

I dati sono trattati per le seguenti finalità, ciascuna con la propria base giuridica. - Gestione di prenotazioni e appuntamenti, compreso l'invio della email di conferma e delle comunicazioni organizzative: esecuzione di misure precontrattuali adottate su richiesta dell'interessato e del contratto di cui è parte (art. 6.1.b GDPR). - Risposta a messaggi e richieste inviati tramite i moduli: art. 6.1.b GDPR se la richiesta riguarda un servizio o una prenotazione, altrimenti legittimo interesse a rispondere (art. 6.1.f GDPR). - Eventuali dati sulla salute inseriti volontariamente nei campi liberi, solo per gestire l'appuntamento: consenso esplicito (art. 9.2.a GDPR), revocabile in ogni momento. - Pubblicazione dei commenti agli articoli del blog: consenso dell'interessato, espresso con l'invio del commento (art. 6.1.a GDPR). Il Titolare può inoltre moderare i commenti e contrastare spam e abusi in base al legittimo interesse (art. 6.1.f GDPR). - Invio della newsletter (campagne email, con rilevazione dell'apertura dei messaggi e gestione della disiscrizione): consenso espresso all'iscrizione (art. 6.1.a GDPR). L'iscrizione è facoltativa e il consenso è revocabile in ogni momento con il link di disiscrizione presente in ogni email. - Gestione degli ordini online, pagamento, spedizione, assistenza post-vendita ed esercizio dei diritti del consumatore: esecuzione del contratto di vendita (art. 6.1.b GDPR). - Adempimento di obblighi di legge, in particolare fiscali, contabili e di tutela del consumatore: obbligo legale (art. 6.1.c GDPR). - Sicurezza del sito, prevenzione di frodi e abusi, diagnosi tecnica e difesa di un diritto in sede giudiziaria o stragiudiziale: legittimo interesse del Titolare (art. 6.1.f GDPR). - Caricamento dei contenuti di terze parti richiesti dalle pagine (vedi sezione 5): legittimo interesse a mostrare correttamente i contenuti del sito (art. 6.1.f GDPR). - Memorizzazione della preferenza sui cookie: strumento tecnico necessario, che non richiede il consenso (art. 122 D.lgs. 196/2003 e art. 6.1.f GDPR). Il conferimento dei dati contrassegnati come obbligatori nei moduli è necessario per fornire il servizio richiesto. Senza di essi non è possibile completare la prenotazione, l'ordine o l'iscrizione. I campi facoltativi possono essere lasciati vuoti. Non è svolta alcuna attività di profilazione né sono adottate decisioni basate unicamente su trattamenti automatizzati (art. 22 GDPR).

I dati sono trattati con strumenti elettronici, secondo principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione. I dati inviati tramite i moduli sono conservati sull'infrastruttura di WebVoyage (OVHcloud, Canada) e il Titolare li consulta dal proprio pannello di gestione, con accesso riservato. Il Titolare e i suoi fornitori adottano misure tecniche e organizzative adeguate a proteggere i dati da accessi non autorizzati, perdita, distruzione o divulgazione illecita (art. 32 GDPR). Tra queste figurano il controllo degli accessi, la protezione dell'infrastruttura di hosting e la gestione di backup. Nessuna misura può garantire un rischio pari a zero. In caso di violazione dei dati personali che presenti un rischio per gli interessati, il Titolare adempirà agli obblighi di notifica e comunicazione previsti dagli artt. 33 e 34 GDPR.

I dati non sono diffusi, salvo il nome e il testo dei commenti, che sono pubblicati sul blog per scelta dell'interessato. Possono venirne a conoscenza solo i seguenti soggetti, nei limiti delle rispettive funzioni. - WebVoyage (Responsabile del trattamento): fornitore della piattaforma e dell'hosting. L'infrastruttura (server, CDN e backup) è erogata da OVHcloud presso un data center in Canada (vedi sezione 6). - Postmark, servizio di ActiveCampaign, LLC (Stati Uniti), sub-responsabile di WebVoyage: invia le email generate dal sito, cioè le notifiche al Titolare per ogni modulo compilato, le conferme di prenotazione, le email relative agli ordini e la newsletter. Tratta indirizzo email, contenuto del messaggio e dati tecnici di consegna. - Stripe (Stripe Payments Europe, Ltd.), tramite Stripe Connect: gestisce i pagamenti degli ordini. Per i propri obblighi di legge, ad esempio antiriciclaggio e prevenzione delle frodi, Stripe può trattare alcuni dati anche come titolare autonomo, secondo la propria informativa privacy. - Corrieri e vettori incaricati della spedizione dei prodotti fisici: ricevono nome, indirizzo di consegna e, se necessario, recapito telefonico ed email per effettuare la consegna. - Consulenti e professionisti del Titolare (ad esempio per aspetti fiscali, contabili o legali) e autorità pubbliche, quando previsto dalla legge. - Servizi di terze parti caricati dalle pagine del sito. Quando una pagina carica una loro risorsa, ciascuno riceve almeno l'indirizzo IP del visitatore e i dati tecnici della richiesta (ad esempio browser e pagina di provenienza). Diversamente dai contenuti della categoria «Contenuti esterni», che restano bloccati in attesa della scelta del visitatore, i servizi seguenti sono caricati all'apertura della pagina, senza attendere il consenso: - YouTube (Google LLC, Stati Uniti; per gli utenti nello SEE opera anche Google Ireland Limited): video incorporati. Finalità: riproduzione dei video nella pagina. Base giuridica: legittimo interesse (art. 6.1.f GDPR). Google può trattare i dati secondo la propria informativa privacy. Il trasferimento verso gli Stati Uniti si fonda sull'adesione di Google LLC all'EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023, art. 45 GDPR) e, in via sussidiaria, sulle Clausole Contrattuali Standard. - picsum.photos: servizio che fornisce immagini e file mostrati nelle pagine. Finalità: visualizzazione delle immagini. Base giuridica: legittimo interesse (art. 6.1.f GDPR). Se l'infrastruttura del servizio si trova fuori dallo SEE, il trasferimento si fonda sulle garanzie di cui agli artt. 45 o 46 GDPR adottate dal gestore. Il Titolare non utilizza altri servizi di terze parti, né strumenti di analisi statistica o di pubblicità comportamentale.

Il sito è ospitato su server di OVHcloud situati in Canada, che è un Paese al di fuori dell'Unione europea e dello Spazio economico europeo. I dati personali raccolti tramite il sito (compresi quelli inviati con i moduli, i backup e i dati tecnici) sono quindi trasferiti verso il Canada. Il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa al Canada (Decisione 2002/2/CE, art. 45 GDPR). Con tale decisione la Commissione ha riconosciuto che il Canada garantisce un livello di protezione dei dati personali sostanzialmente equivalente a quello europeo. I dati possono quindi circolare verso tale Paese senza ulteriori autorizzazioni, con tutele comparabili a quelle previste nell'Unione. Ove applicabile, sono inoltre previste adeguate garanzie contrattuali (Clausole Contrattuali Standard). Altri trasferimenti: - Stati Uniti, per l'invio delle email tramite Postmark (ActiveCampaign, LLC): il trasferimento si fonda sull'adesione di ActiveCampaign, LLC all'EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023, art. 45 GDPR) e, in via sussidiaria, sulle Clausole Contrattuali Standard. - Stati Uniti, per i video YouTube (Google LLC) e per gli eventuali ulteriori trasferimenti legati a picsum.photos: si applicano le garanzie indicate nella sezione 5. - Stripe può trasferire dati verso altri Paesi nell'ambito del proprio gruppo, sulla base delle garanzie previste dalla propria documentazione contrattuale e dalla propria informativa privacy. L'interessato può chiedere al Titolare, scrivendo all'indirizzo email indicato nella sezione 1, informazioni sulle garanzie adottate.

I dati sono conservati per il tempo necessario alle finalità per cui sono stati raccolti, e poi cancellati o resi anonimi. - Richieste, messaggi e dati di prenotazione (calendario e modulo di prenotazione): per il tempo necessario a gestire la richiesta e l'appuntamento e, dopo l'ultima comunicazione o la data dell'appuntamento, per ulteriori 24 mesi per eventuali contestazioni e per l'assistenza successiva. Se dalla prenotazione deriva un rapporto contrattuale con documenti fiscali, questi sono conservati secondo quanto indicato di seguito per i dati contabili. - Dati sulla salute eventualmente inseriti volontariamente: per il tempo strettamente necessario a gestire l'appuntamento, e comunque non oltre il periodo previsto per i dati di prenotazione. - Commenti al blog: il nome e il testo restano pubblicati finché il commento non viene rimosso o l'interessato non ne chiede la cancellazione. L'email, non pubblicata, è conservata per lo stesso periodo. - Newsletter: fino alla revoca del consenso o alla disiscrizione. Dopo la disiscrizione si conserva solo la prova del consenso e della sua revoca per 24 mesi, per tutelare il Titolare in caso di contestazioni. - Dati di ordini e spedizioni: per la durata del rapporto contrattuale e della garanzia legale, e i documenti contabili e fiscali per 10 anni, in conformità agli obblighi di legge. - Dati di navigazione e log tecnici: per il tempo strettamente necessario a garantire la sicurezza e il funzionamento del sito, e comunque non oltre 12 mesi, salvo che servano ad accertare reati o a difendere un diritto. - Preferenze sui cookie: 180 giorni (6 mesi) nel browser del visitatore, poi il banner viene riproposto. - I backup sono sovrascritti secondo i cicli ordinari di rotazione dell'infrastruttura. Se i dati servono a far valere o difendere un diritto in sede giudiziaria, sono conservati fino alla conclusione del procedimento e dei relativi termini di impugnazione.

In base agli artt. 15-22 GDPR, l'interessato ha diritto di ottenere dal Titolare: - accesso ai propri dati personali e informazioni sul loro trattamento; - rettifica dei dati inesatti e integrazione di quelli incompleti; - cancellazione dei dati («diritto all'oblio»), quando ne ricorrono i presupposti; - limitazione del trattamento, nei casi previsti dalla legge; - portabilità dei dati forniti, in formato strutturato, di uso comune e leggibile da dispositivo automatico, quando il trattamento si basa sul consenso o sul contratto ed è effettuato con mezzi automatizzati; - opposizione, in qualsiasi momento, al trattamento fondato sul legittimo interesse, per motivi connessi alla sua situazione particolare; - revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca. Per la newsletter è sufficiente usare il link di disiscrizione presente in ogni email. Per esercitare i diritti è sufficiente scrivere a webvoyage0@gmail.com, indicando il proprio nome, l'indirizzo email usato sul sito e il diritto che si intende esercitare. Il Titolare risponde senza ingiustificato ritardo e comunque entro un mese dalla richiesta. Il termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il Titolare può chiedere informazioni per verificare l'identità del richiedente. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive. I commenti già pubblicati possono essere modificati o rimossi su richiesta. La preferenza sui cookie si modifica in ogni momento dal link «Preferenze cookie» in fondo a ogni pagina.

Se ritiene che il trattamento dei suoi dati personali violi il GDPR, l'interessato ha diritto di proporre reclamo a un'Autorità di controllo (art. 77 GDPR). In Italia è il Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma; www.garanteprivacy.it). In alternativa può rivolgersi all'Autorità del Paese UE in cui risiede o lavora abitualmente, o in cui si è verificata la presunta violazione. Poiché il Titolare ha sede in Portogallo, può rivolgersi anche alla Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt). Resta salvo il diritto di agire davanti all'autorità giudiziaria. Prima di presentare reclamo, l'interessato è invitato a contattare il Titolare, per cercare una soluzione rapida.

Il Titolare può aggiornare la presente informativa, ad esempio in seguito a modifiche normative o a nuove funzioni del sito. La versione aggiornata è pubblicata su questa pagina con l'indicazione della data di efficacia, che per la versione attuale è il 06/11/2026. Se le modifiche incidono in modo sostanziale sul trattamento, gli interessati saranno informati con mezzi adeguati. Si invita a consultare periodicamente questa pagina.

The Data Controller is User Test, tax code JFISKWBAUDOWJQN, with registered address at Hdiskw, 36100 Vicnene (Vi), Portugal (the 'Controller'). Contact details of the Controller: - Email: webvoyage0@gmail.com - Telephone: +393477249997 The same email address can be used for any request concerning the protection of personal data. The website is built and hosted on the 'WebVoyage' platform. WebVoyage acts as Data Processor (Article 28 GDPR) on behalf of the Controller, limited to technical hosting and management of the infrastructure (servers, CDN and backups provided by OVHcloud at a data center located in Canada). WebVoyage does not use the data for its own purposes and processes it only on the Controller's instructions. Payments for online purchases are handled by Stripe (Stripe Payments Europe, Ltd.) through Stripe Connect. Card details and other payment credentials are entered directly in Stripe's environment. They do not pass through the website and are not stored by the Controller.

Based on the features actually available on the website, the Controller processes the following categories of data. - Appointment booking (booking calendar): first and last name, email, telephone number, optional message and details of the chosen appointment. The appointment is stored and a confirmation email is sent. - Booking form: date, time, first and last name, email, telephone and notes. - Blog comments: name, email, website (optional) and the text of the comment. The name and the comment text are published and visible to anyone; the email is not published. - Newsletter subscription: email address, record of consent, and data on interaction with the emails (message opens and unsubscription). - Online purchases (e-commerce, physical goods shipped to the buyer): first and last name, shipping and billing address, email, telephone, order details, amount and payment status. Payment instrument details are processed exclusively by Stripe. - Browsing data: IP address, date and time of the request, pages visited, browser and device type. They are logged by the hosting infrastructure for the operation and security of the website. - Data provided voluntarily: in free-text fields (message, notes, comment) users may write additional information. The Controller does not request health data or other special categories of data (Article 9 GDPR). For a tattoo appointment, however, it may be useful to mention allergies or relevant health conditions. Anyone who chooses to do so in the free-text fields expressly consents to their processing. Please provide only what is necessary. Cookies and local storage: the website uses a consent banner managed by the platform, with two categories: 'Necessary' (always active) and 'External content' (maps, videos and documents embedded from other services, blocked until the visitor accepts them). The choice is stored in the visitor's browser (local storage, key 'wv.cookie.consent') for 180 days (6 months), after which the banner is shown again. This is a technical tool needed to remember the preference. It can be changed at any time via the 'Cookie preferences' link at the bottom of every page. The website does not use advertising profiling cookies or third-party analytics tools.

Data is processed for the following purposes, each with its own legal basis. - Management of bookings and appointments, including the confirmation email and organizational communications: performance of pre-contractual measures taken at the data subject's request and of the contract to which the data subject is party (Article 6(1)(b) GDPR). - Replying to messages and requests sent through the forms: Article 6(1)(b) GDPR if the request concerns a service or booking, otherwise the legitimate interest in replying (Article 6(1)(f) GDPR). - Any health data voluntarily entered in free-text fields, solely to manage the appointment: explicit consent (Article 9(2)(a) GDPR), which may be withdrawn at any time. - Publication of blog comments: the data subject's consent, given by submitting the comment (Article 6(1)(a) GDPR). The Controller may also moderate comments and counter spam and abuse on the basis of legitimate interest (Article 6(1)(f) GDPR). - Sending the newsletter (email campaigns, with tracking of message opens and handling of unsubscriptions): consent given at subscription (Article 6(1)(a) GDPR). Subscription is optional and consent can be withdrawn at any time through the unsubscribe link in every email. - Handling online orders, payment, shipping, after-sales support and the exercise of consumer rights: performance of the sales contract (Article 6(1)(b) GDPR). - Compliance with legal obligations, in particular tax, accounting and consumer protection: legal obligation (Article 6(1)(c) GDPR). - Website security, prevention of fraud and abuse, technical diagnostics, and establishing, exercising or defending legal claims: the Controller's legitimate interest (Article 6(1)(f) GDPR). - Loading third-party content requested by the pages (see section 5): legitimate interest in displaying the website content correctly (Article 6(1)(f) GDPR). - Storing the cookie preference: strictly necessary technical tool, which does not require consent (Article 122 of Legislative Decree 196/2003 and Article 6(1)(f) GDPR). Providing the data marked as mandatory in the forms is necessary to deliver the requested service. Without it, the booking, order or subscription cannot be completed. Optional fields may be left blank. No profiling is carried out and no decisions are made based solely on automated processing (Article 22 GDPR).

Data is processed by electronic means, in accordance with the principles of lawfulness, fairness, transparency, data minimization and storage limitation. Data submitted through the forms is stored on the WebVoyage infrastructure (OVHcloud, Canada), and the Controller accesses it from their own management panel, which is access-restricted. The Controller and its providers adopt appropriate technical and organizational measures to protect data against unauthorized access, loss, destruction or unlawful disclosure (Article 32 GDPR). These include access control, protection of the hosting infrastructure and backup management. No measure can guarantee zero risk. In the event of a personal data breach that presents a risk to data subjects, the Controller will comply with the notification and communication obligations of Articles 33 and 34 GDPR.

Data is not disseminated, except for the name and text of comments, which are published on the blog at the data subject's choice. Only the following parties may access it, within the limits of their respective roles. - WebVoyage (Data Processor): provider of the platform and hosting. The infrastructure (servers, CDN and backups) is provided by OVHcloud at a data center in Canada (see section 6). - Postmark, a service of ActiveCampaign, LLC (United States), sub-processor of WebVoyage: sends the emails generated by the website, namely notifications to the Controller for every submitted form, booking confirmations, order emails and the newsletter. It processes the email address, the message content and technical delivery data. - Stripe (Stripe Payments Europe, Ltd.), through Stripe Connect: handles payments for orders. For its own legal obligations, such as anti-money-laundering and fraud prevention, Stripe may also process certain data as an independent controller, in accordance with its own privacy notice. - Couriers and carriers appointed to ship physical goods: they receive name, delivery address and, if needed, telephone number and email to carry out the delivery. - The Controller's advisers and professionals (for example for tax, accounting or legal matters) and public authorities, where required by law. - Third-party services loaded by the website's pages. When a page loads one of their resources, each receives at least the visitor's IP address and the technical data of the request (for example browser and referring page). Unlike content in the 'External content' category, which stays blocked until the visitor makes a choice, the following services are loaded when the page opens, without waiting for consent: - YouTube (Google LLC, United States; for users in the EEA, Google Ireland Limited also operates): embedded videos. Purpose: playing the videos on the page. Legal basis: legitimate interest (Article 6(1)(f) GDPR). Google may process data in accordance with its own privacy notice. The transfer to the United States is based on Google LLC's participation in the EU-U.S. Data Privacy Framework (European Commission adequacy decision of 10 July 2023, Article 45 GDPR) and, subsidiarily, on the Standard Contractual Clauses. - picsum.photos: a service providing images and files displayed on the pages. Purpose: displaying the images. Legal basis: legitimate interest (Article 6(1)(f) GDPR). If the service's infrastructure is located outside the EEA, the transfer relies on the safeguards under Articles 45 or 46 GDPR adopted by its operator. The Controller does not use any other third-party services, nor statistical analytics or behavioral advertising tools.

The website is hosted on OVHcloud servers located in Canada, a country outside the European Union and the European Economic Area. Personal data collected through the website (including data submitted via the forms, backups and technical data) is therefore transferred to Canada. The transfer is based on the European Commission's adequacy decision for Canada (Decision 2002/2/EC, Article 45 GDPR). With that decision the Commission recognized that Canada ensures a level of personal data protection essentially equivalent to the European one. Data can therefore flow to that country without further authorization, with protections comparable to those applying within the Union. Where applicable, appropriate contractual safeguards (Standard Contractual Clauses) are also in place. Other transfers: - United States, for sending emails through Postmark (ActiveCampaign, LLC): the transfer is based on ActiveCampaign, LLC's participation in the EU-U.S. Data Privacy Framework (European Commission adequacy decision of 10 July 2023, Article 45 GDPR) and, subsidiarily, on the Standard Contractual Clauses. - United States, for YouTube videos (Google LLC), and any further transfers related to picsum.photos: the safeguards described in section 5 apply. - Stripe may transfer data to other countries within its group, on the basis of the safeguards set out in its contractual documentation and its own privacy notice. Data subjects may request information on the safeguards adopted by writing to the Controller at the email address in section 1.

Data is kept for as long as necessary for the purposes for which it was collected, and then deleted or anonymized. - Requests, messages and booking data (booking calendar and booking form): for the time needed to handle the request and the appointment, and for a further 24 months after the last communication or the appointment date, for any disputes and follow-up support. If the booking leads to a contractual relationship with tax documents, those are kept as indicated below for accounting data. - Health data voluntarily provided: for the time strictly necessary to manage the appointment, and in any case no longer than the retention period for booking data. - Blog comments: the name and text remain published until the comment is removed or the data subject requests its deletion. The email, which is not published, is kept for the same period. - Newsletter: until consent is withdrawn or the subscriber unsubscribes. After unsubscription, only proof of consent and of its withdrawal is kept for 24 months, to protect the Controller in case of disputes. - Order and shipping data: for the duration of the contractual relationship and the legal warranty period, and accounting and tax documents for 10 years, in accordance with legal obligations. - Browsing data and technical logs: for the time strictly necessary to ensure the security and operation of the website, and in any case no longer than 12 months, unless needed to detect offences or defend a legal claim. - Cookie preferences: 180 days (6 months) in the visitor's browser, after which the banner is shown again. - Backups are overwritten according to the infrastructure's ordinary rotation cycles. If data is needed to establish or defend a legal claim, it is kept until the end of the proceedings and the related appeal periods.

Under Articles 15-22 GDPR, the data subject has the right to obtain from the Controller: - access to their personal data and information about its processing; - rectification of inaccurate data and completion of incomplete data; - erasure of data ('right to be forgotten'), where the conditions are met; - restriction of processing, in the cases provided by law; - portability of the data provided, in a structured, commonly used and machine-readable format, where processing is based on consent or contract and carried out by automated means; - objection, at any time, to processing based on legitimate interest, on grounds relating to their particular situation; - withdrawal of consent at any time, without affecting the lawfulness of processing carried out before withdrawal. For the newsletter, simply use the unsubscribe link in every email. To exercise these rights, write to webvoyage0@gmail.com, stating your name, the email address used on the website and the right you wish to exercise. The Controller replies without undue delay and in any case within one month of the request. This period may be extended by two further months where necessary, taking into account the complexity and number of requests. The Controller may ask for information to verify the requester's identity. Exercising your rights is free of charge, except for manifestly unfounded or excessive requests. Comments already published can be edited or removed on request. The cookie preference can be changed at any time through the 'Cookie preferences' link at the bottom of every page.

If you believe that the processing of your personal data infringes the GDPR, you have the right to lodge a complaint with a supervisory authority (Article 77 GDPR). In Italy this is the Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Rome; www.garanteprivacy.it). Alternatively, you may contact the authority of the EU country where you habitually reside or work, or where the alleged infringement took place. Since the Controller is established in Portugal, you may also contact the Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt). The right to bring proceedings before the courts is unaffected. Before lodging a complaint, you are invited to contact the Controller, so that a prompt solution can be sought.

The Controller may update this notice, for example following legislative changes or new features of the website. The updated version is published on this page with its effective date, which for the current version is 06/11/2026. If the changes materially affect the processing, data subjects will be informed by appropriate means. Please check this page periodically.