Il Titolare del trattamento è Manuela Mattia, persona fisica, codice fiscale MTTMNL88C53F262D, con sede in Rua do Cabo da Boa Esperanca 6, 3D, 2805-106, Almada, Setubal, Portogallo. Contatti del Titolare: - Email: contacts.manuelamattia@gmail.com - Telefono: +351910421105 Per qualsiasi questione relativa al trattamento dei dati personali e per l'esercizio dei tuoi diritti puoi scrivere all'indirizzo email sopra indicato. Il sito è realizzato e ospitato sulla piattaforma SaaS "WebVoyage", che agisce come Responsabile del trattamento (art. 28 GDPR) per conto del Titolare, limitatamente all'hosting tecnico e alla gestione dell'infrastruttura. L'infrastruttura (server, CDN e backup) è fornita da OVHcloud presso un data center situato in Canada. WebVoyage non utilizza i dati per finalità proprie e li tratta soltanto secondo le istruzioni del Titolare.

In base alle funzioni effettivamente presenti sul sito, il Titolare tratta le seguenti categorie di dati. 1) Dati forniti volontariamente tramite il modulo di candidatura a consulente di viaggio: - nome e cognome; - indirizzo email; - numero di telefono o WhatsApp; - paese di residenza; - il testo con cui descrivi perché ti piacerebbe diventare consulente di viaggio, che può contenere ulteriori informazioni personali da te liberamente inserite. 2) Dati forniti volontariamente tramite il modulo di richiesta di preventivo di viaggio: - nome e cognome, indirizzo email e numero di telefono; - destinazione, aeroporto di partenza, date e durata del viaggio (notti), trattamento richiesto e budget a persona; - numero di ospiti adulti, numero di bambini e relativa età; - eventuali informazioni aggiuntive che scegli di indicare. I dati relativi all'età dei minori devono essere forniti esclusivamente da chi esercita la responsabilità genitoriale o ha l'autorizzazione a farlo. Eventuali ulteriori dati necessari per la prenotazione effettiva del viaggio (ad esempio i dati dei documenti dei viaggiatori) non sono raccolti tramite i moduli del sito e saranno richiesti separatamente, con le informazioni del caso, solo se si procederà alla prenotazione. 3) Dati forniti tramite il modulo di recensione: - nome, titolo (facoltativo), voto e testo della recensione, che vengono pubblicati sul sito; - indirizzo email, che non viene pubblicato e resta visibile solo al Titolare. 4) Dati di navigazione e cookie: indirizzo IP, data e ora della richiesta, pagine visitate, tipo di browser e di dispositivo, sistema operativo e altri dati tecnici registrati nei log dell'infrastruttura di hosting. Il sito utilizza cookie tecnici necessari al suo funzionamento e per memorizzare le tue scelte sul banner cookie. Eventuali cookie diversi da quelli tecnici sono installati solo previo tuo consenso. 5) Dati tecnici relativi all'invio delle email di servizio (ad esempio notifiche e conferme dei moduli): indirizzo email del destinatario, contenuto del messaggio ed esito della consegna. Quando la pagina carica contenuti da servizi di terze parti (video, caratteri tipografici, immagini e file), il tuo indirizzo IP e i dati tecnici del browser sono trasmessi al relativo fornitore, come spiegato nelle sezioni seguenti. I campi contrassegnati come obbligatori nei moduli sono necessari per poter dare seguito alla tua richiesta: in loro assenza non sarà possibile rispondere. Il conferimento degli altri dati è facoltativo. Ti chiediamo di non inserire nei campi di testo libero categorie particolari di dati (ad esempio dati sulla salute o su convinzioni religiose) se non strettamente necessario. Il sito non adotta processi decisionali automatizzati né attività di profilazione.

I dati sono trattati per le seguenti finalità, ciascuna con la relativa base giuridica: - Gestione della candidatura a consulente di viaggio: valutare la richiesta inviata tramite il relativo modulo e ricontattarti. Base giuridica: esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b GDPR). - Gestione delle richieste di preventivo e progettazione del viaggio: elaborare la proposta di viaggio richiesta, ricontattarti e, in caso di accettazione, dare esecuzione al contratto. Base giuridica: misure precontrattuali su tua richiesta ed esecuzione del contratto (art. 6, par. 1, lett. b GDPR). - Pubblicazione delle recensioni: mostrare sul sito nome, voto e testo della recensione che hai deciso di inviare. Base giuridica: il tuo consenso, espresso con l'invio volontario del modulo (art. 6, par. 1, lett. a GDPR), revocabile in qualsiasi momento chiedendo la rimozione della recensione. - Verifica e prevenzione di abusi sulle recensioni: l'email, che non viene pubblicata, serve a verificare l'autenticità della recensione e, se necessario, a contattarti. Base giuridica: legittimo interesse del Titolare a garantire recensioni genuine e a prevenire usi abusivi del modulo (art. 6, par. 1, lett. f GDPR). - Invio di email di servizio: notifica al Titolare di ogni modulo inviato e messaggi di conferma o di risposta a te destinati, collegati alla tua richiesta. Base giuridica: art. 6, par. 1, lett. b GDPR (richiesta dell'interessato) e, per le notifiche interne, legittimo interesse del Titolare a gestire le richieste ricevute (art. 6, par. 1, lett. f GDPR). Il sito non invia comunicazioni promozionali né newsletter. - Funzionamento e sicurezza del sito: erogazione delle pagine, gestione dei log tecnici, prevenzione di frodi e di accessi non autorizzati, backup. Base giuridica: legittimo interesse del Titolare alla sicurezza e al corretto funzionamento del sito (art. 6, par. 1, lett. f GDPR). - Visualizzazione di contenuti di terze parti (video, caratteri tipografici, immagini e file caricati dai relativi servizi): rendere le pagine complete, coerenti e fruibili. Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR). Puoi opporti in ogni momento secondo le modalità indicate più avanti. - Cookie tecnici e gestione delle scelte sul banner cookie: i cookie tecnici non richiedono consenso (art. 122 D.lgs. 196/2003) e sono trattati per consentire la navigazione e memorizzare le tue preferenze. Qualsiasi cookie non tecnico è attivato solo con il tuo consenso (art. 6, par. 1, lett. a GDPR), che puoi modificare o revocare in qualsiasi momento dal banner cookie. - Adempimento di obblighi di legge: obblighi fiscali, contabili e di risposta a richieste di autorità competenti. Base giuridica: art. 6, par. 1, lett. c GDPR. - Tutela dei diritti in sede giudiziale e stragiudiziale. Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR).

Il trattamento avviene con strumenti informatici ed elettronici, con logiche strettamente correlate alle finalità indicate, da parte di persone autorizzate dal Titolare. I dati inviati tramite i moduli sono conservati sull'infrastruttura di WebVoyage (hosting OVHcloud, Canada) e il Titolare li consulta dal proprio pannello di gestione riservato. In conformità all'art. 32 GDPR sono adottate misure tecniche e organizzative adeguate a proteggere i dati da accessi non autorizzati, perdita, distruzione o divulgazione illecita, tra cui comunicazioni cifrate (HTTPS), controllo degli accessi al pannello di gestione, backup periodici e vincoli contrattuali di riservatezza e sicurezza nei confronti dei fornitori. Nessun sistema è completamente esente da rischi: in caso di violazione dei dati personali, il Titolare adotterà le misure e le notifiche previste dagli artt. 33 e 34 GDPR. I dati non sono diffusi né venduti a terzi, con l'unica eccezione dei dati che scegli di pubblicare con una recensione (nome, voto, titolo e testo), che saranno visibili a chiunque visiti il sito.

I dati personali possono essere conosciuti o comunicati esclusivamente ai seguenti soggetti: - WebVoyage, piattaforma italiana di website builder, Responsabile del trattamento per l'hosting e la gestione tecnica del sito e dei dati inviati tramite i moduli. WebVoyage si avvale di OVHcloud come sub-responsabile per l'infrastruttura di hosting (server, CDN e backup) situata in Canada. - Postmark, servizio di ActiveCampaign, LLC (Stati Uniti), sub-responsabile di WebVoyage, che gestisce l'invio delle email generate dal sito (notifiche dei moduli al Titolare e conferme o messaggi destinati agli utenti). - Fornitori di servizi di terze parti caricati dalle pagine del sito, che ricevono almeno il tuo indirizzo IP e i dati tecnici del browser quando la pagina carica una loro risorsa: - Bunny Stream (BunnyWay d.o.o., Slovenia): riproduzione dei video incorporati; - Google Fonts (Google LLC): caratteri tipografici scaricati dai server di Google; - Pexels: immagini; - Unsplash: immagini; - pixabay.com: immagini e file; - www.thetrainline.com: immagini e file. Questi fornitori trattano i dati tecnici per erogare la risorsa richiesta, secondo le rispettive informative privacy. - Persone fisiche autorizzate dal Titolare al trattamento, vincolate da obblighi di riservatezza. - Autorità pubbliche, giudiziarie o amministrative, ove richiesto dalla legge. Il sito non prevede pagamenti online né spedizioni di prodotti e non vi sono pertanto ulteriori destinatari collegati a queste attività. I dati non sono comunicati ad altri soggetti. L'elenco aggiornato dei responsabili può essere richiesto al Titolare scrivendo all'indirizzo contacts.manuelamattia@gmail.com.

Il trattamento comporta il trasferimento di dati personali verso Paesi esterni all'Unione europea e allo Spazio economico europeo. Di seguito spieghiamo quali sono e su quali garanzie si fondano. Canada (hosting). I server, la CDN e i backup del sito sono forniti da OVHcloud presso un data center situato in Canada. I dati inviati tramite i moduli e i dati di navigazione sono quindi conservati su server canadesi. Il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa al Canada (Decisione 2002/2/CE, art. 45 GDPR), con cui la Commissione ha riconosciuto che il Canada garantisce un livello di protezione dei dati personali adeguato, sostanzialmente equivalente a quello dell'Unione europea. Pertanto non è necessaria una specifica autorizzazione per il trasferimento. Ove applicabile, sono inoltre previste adeguate garanzie contrattuali, in particolare le Clausole Contrattuali Standard approvate dalla Commissione europea. Stati Uniti (invio delle email). Le email generate dal sito sono inviate tramite Postmark, servizio di ActiveCampaign, LLC, con sede negli Stati Uniti. Il trasferimento si fonda sull'adesione di ActiveCampaign, LLC all'EU-U.S. Data Privacy Framework, riconosciuto dalla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (art. 45 GDPR) e, in via sussidiaria, sulle Clausole Contrattuali Standard. Altri servizi di terze parti. Google Fonts è fornito da Google LLC (Stati Uniti): il trasferimento, limitato a indirizzo IP e dati tecnici del browser, si fonda sull'adesione di Google LLC all'EU-U.S. Data Privacy Framework (decisione di adeguatezza del 10 luglio 2023) e, in via sussidiaria, sulle Clausole Contrattuali Standard. Bunny Stream è fornito da BunnyWay d.o.o., società con sede in Slovenia, quindi all'interno dell'Unione europea. Il servizio www.thetrainline.com fa capo a una società con sede nel Regno Unito, Paese oggetto di una decisione di adeguatezza della Commissione europea. Per i servizi di immagini e file (Pexels, Unsplash e pixabay.com), i cui gestori possono avere sede o infrastrutture anche fuori dall'UE/SEE, eventuali trasferimenti si fondano sulla decisione di adeguatezza applicabile (in particolare l'EU-U.S. Data Privacy Framework per i fornitori che vi aderiscono) o, in difetto, sulle Clausole Contrattuali Standard e sulle altre garanzie previste dal Capo V del GDPR. In tutti i casi il livello di protezione dei tuoi dati è ritenuto adeguato o è presidiato da garanzie contrattuali riconosciute dall'Unione europea. Puoi ottenere informazioni sulle garanzie adottate scrivendo a contacts.manuelamattia@gmail.com.

I dati sono conservati per il tempo strettamente necessario alle finalità per cui sono raccolti, come segue: - Candidatura a consulente di viaggio (modulo di contatto): fino a 12 mesi dall'ultima comunicazione, salvo l'instaurarsi di una collaborazione; in tal caso i dati sono conservati per la durata del rapporto e, successivamente, per il periodo previsto dalla normativa applicabile. - Richieste di preventivo di viaggio: fino a 12 mesi dall'ultimo contatto se non segue una prenotazione. Se il contratto viene concluso, i dati sono conservati per la durata del rapporto e, successivamente, per il periodo previsto dagli obblighi fiscali e contabili applicabili (di regola 10 anni) e, ove necessario, per la tutela dei diritti del Titolare fino al termine di prescrizione. - Recensioni: nome, voto, titolo e testo restano pubblicati fino alla tua richiesta di rimozione o fino a decisione del Titolare di eliminare la recensione. L'indirizzo email è conservato finché la recensione è pubblicata e cancellato entro 30 giorni dalla rimozione. - Dati di navigazione e log tecnici dell'hosting: per il tempo necessario alla sicurezza e al funzionamento del sito, di regola non oltre 12 mesi, salvo esigenze di accertamento di illeciti. - Dati tecnici relativi all'invio delle email: per un limitato periodo tecnico stabilito dal fornitore del servizio di invio. - Cookie tecnici e scelte sul banner cookie: per la durata indicata nel banner cookie, di regola non superiore a 12 mesi. - Backup: i dati cancellati dal sistema di produzione possono permanere nei backup per un breve periodo, fino alla loro sovrascrittura periodica. Al termine dei periodi indicati i dati sono cancellati o resi anonimi, salvo obblighi di conservazione previsti dalla legge.

In qualità di interessato hai diritto di: - accedere ai tuoi dati personali e ottenerne copia (art. 15 GDPR); - ottenere la rettifica dei dati inesatti e l'integrazione di quelli incompleti (art. 16); - ottenere la cancellazione dei dati, nei casi previsti (art. 17); - ottenere la limitazione del trattamento, nei casi previsti (art. 18); - ricevere i dati che hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico e trasmetterli a un altro titolare, quando il trattamento si basa sul consenso o sul contratto ed è effettuato con mezzi automatizzati (art. 20); - opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, ai trattamenti fondati sul legittimo interesse (art. 21); - revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca (art. 7, par. 3). Per le recensioni pubblicate la revoca si esercita chiedendo la rimozione; per i cookie puoi modificare le scelte dal banner cookie. Per esercitare i tuoi diritti scrivi al Titolare all'indirizzo email contacts.manuelamattia@gmail.com, indicando nome e cognome, l'indirizzo email usato nel modulo e il diritto che intendi esercitare. Per tutelare i tuoi dati, il Titolare potrà chiederti di verificare la tua identità. La risposta è fornita senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di due mesi in caso di particolare complessità o numero di richieste, dandotene comunicazione. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive. Il trattamento non comporta decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici nei tuoi confronti.

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di proporre reclamo a un'Autorità di controllo (art. 77 GDPR), senza pregiudizio di ogni altro ricorso amministrativo o giurisdizionale. Puoi rivolgerti: - al Garante per la protezione dei dati personali italiano (www.garanteprivacy.it), se risiedi o lavori in Italia o se la presunta violazione è avvenuta in Italia; - alla Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt), Autorità di controllo del Portogallo, Stato in cui ha sede il Titolare; - all'Autorità di controllo dello Stato membro dell'UE/SEE in cui risiedi abitualmente o lavori. Prima di presentare un reclamo ti invitiamo a contattare il Titolare all'indirizzo contacts.manuelamattia@gmail.com, per provare a risolvere la questione in modo rapido.

Il Titolare può aggiornare la presente informativa, ad esempio in caso di modifiche normative o di nuove funzionalità del sito. La versione in vigore è sempre quella pubblicata su questa pagina, con indicazione della data di efficacia in alto. In caso di modifiche sostanziali che incidano sul trattamento dei tuoi dati, ti informeremo con mezzi adeguati e, ove richiesto dalla legge, raccoglieremo nuovamente il tuo consenso. Ti invitiamo a consultare periodicamente questa pagina. Ultimo aggiornamento: 02/11/2026.

The Data Controller is Manuela Mattia, a natural person, tax code MTTMNL88C53F262D, with address at Rua do Cabo da Boa Esperanca 6, 3D, 2805-106, Almada, Setubal, Portugal. Contact details of the Data Controller: - Email: contacts.manuelamattia@gmail.com - Telephone: +351910421105 For any matter relating to the processing of personal data and to exercise your rights, you can write to the email address above. The website is built and hosted on the SaaS platform "WebVoyage", which acts as Data Processor (Art. 28 GDPR) on behalf of the Data Controller, limited to technical hosting and infrastructure management. The infrastructure (servers, CDN and backups) is provided by OVHcloud at a data center located in Canada. WebVoyage does not use the data for its own purposes and processes it only on the Data Controller's instructions.

Based on the features actually available on the website, the Data Controller processes the following categories of data. 1) Data you voluntarily provide through the travel consultant application form: - full name; - email address; - telephone or WhatsApp number; - country of residence; - the text in which you explain why you would like to become a travel consultant, which may contain other personal information you freely choose to include. 2) Data you voluntarily provide through the travel quote request form: - full name, email address and telephone number; - destination, departure airport, travel dates and trip length (nights), requested board/meal plan and budget per person; - number of adult guests, number of children and their ages; - any additional information you choose to provide. Data relating to the ages of minors must be provided only by a person holding parental responsibility or otherwise authorised to do so. Any further data needed to actually book a trip (for example travellers' identity document details) is not collected through the website forms and will be requested separately, with appropriate information, only if you proceed with a booking. 3) Data provided through the review form: - name, title (optional), rating and review text, which are published on the website; - email address, which is not published and is visible only to the Data Controller. 4) Browsing data and cookies: IP address, date and time of the request, pages visited, browser and device type, operating system and other technical data recorded in the hosting infrastructure logs. The website uses technical cookies needed for its operation and to store your choices on the cookie banner. Any cookies other than technical ones are installed only with your consent. 5) Technical data relating to service emails (for example form notifications and confirmations): recipient email address, message content and delivery status. When a page loads content from third-party services (videos, fonts, images and files), your IP address and the technical data of your browser are transmitted to the relevant provider, as explained in the following sections. Fields marked as mandatory in the forms are necessary to follow up on your request: without them we cannot reply. Providing other data is optional. Please do not enter special categories of data (for example data concerning health or religious beliefs) in free-text fields unless strictly necessary. The website does not use automated decision-making or profiling.

Data is processed for the following purposes, each with its legal basis: - Handling travel consultant applications: assessing the request sent through the relevant form and contacting you. Legal basis: taking steps at your request prior to entering into a contract (Art. 6(1)(b) GDPR). - Handling travel quote requests and trip planning: preparing the requested travel proposal, contacting you and, if you accept, performing the contract. Legal basis: pre-contractual steps at your request and performance of a contract (Art. 6(1)(b) GDPR). - Publishing reviews: displaying on the website the name, rating and text of the review you chose to submit. Legal basis: your consent, given by voluntarily submitting the form (Art. 6(1)(a) GDPR), which you may withdraw at any time by requesting removal of the review. - Verifying and preventing abuse of reviews: the email address, which is not published, is used to verify the authenticity of a review and, if necessary, to contact you. Legal basis: the Data Controller's legitimate interest in ensuring genuine reviews and preventing misuse of the form (Art. 6(1)(f) GDPR). - Sending service emails: notifying the Data Controller of each form submitted and sending you confirmation or reply messages linked to your request. Legal basis: Art. 6(1)(b) GDPR (your request) and, for internal notifications, the Data Controller's legitimate interest in handling the requests received (Art. 6(1)(f) GDPR). The website does not send promotional messages or newsletters. - Website operation and security: serving pages, managing technical logs, preventing fraud and unauthorised access, backups. Legal basis: the Data Controller's legitimate interest in the security and proper functioning of the website (Art. 6(1)(f) GDPR). - Displaying third-party content (videos, fonts, images and files loaded from the relevant services): making pages complete, consistent and usable. Legal basis: the Data Controller's legitimate interest (Art. 6(1)(f) GDPR). You may object at any time as described below. - Technical cookies and management of your cookie banner choices: technical cookies do not require consent (Art. 122 of Italian Legislative Decree 196/2003) and are processed to enable browsing and store your preferences. Any non-technical cookie is activated only with your consent (Art. 6(1)(a) GDPR), which you can change or withdraw at any time from the cookie banner. - Compliance with legal obligations: tax and accounting obligations and responding to requests from competent authorities. Legal basis: Art. 6(1)(c) GDPR. - Establishment, exercise or defence of legal claims. Legal basis: the Data Controller's legitimate interest (Art. 6(1)(f) GDPR).

Processing is carried out by IT and electronic means, with logic strictly related to the stated purposes, by persons authorised by the Data Controller. Data submitted through the forms is stored on the WebVoyage infrastructure (OVHcloud hosting, Canada) and the Data Controller accesses it from a restricted management panel. In accordance with Art. 32 GDPR, appropriate technical and organisational measures are adopted to protect data against unauthorised access, loss, destruction or unlawful disclosure, including encrypted communications (HTTPS), access control to the management panel, periodic backups and contractual confidentiality and security obligations on providers. No system is entirely free of risk: in the event of a personal data breach, the Data Controller will take the measures and make the notifications required by Articles 33 and 34 GDPR. Data is neither disclosed nor sold to third parties, with the sole exception of the data you choose to publish with a review (name, rating, title and text), which will be visible to anyone visiting the website.

Personal data may be accessed by or disclosed only to the following parties: - WebVoyage, an Italian website builder platform, acting as Data Processor for the hosting and technical management of the website and of the data submitted through the forms. WebVoyage uses OVHcloud as sub-processor for the hosting infrastructure (servers, CDN and backups) located in Canada. - Postmark, a service of ActiveCampaign, LLC (United States), sub-processor of WebVoyage, which handles the sending of emails generated by the website (form notifications to the Data Controller and confirmations or messages addressed to users). - Providers of third-party services loaded by the website's pages, which receive at least your IP address and browser technical data when the page loads one of their resources: - Bunny Stream (BunnyWay d.o.o., Slovenia): playback of embedded videos; - Google Fonts (Google LLC): fonts downloaded from Google's servers; - Pexels: images; - Unsplash: images; - pixabay.com: images and files; - www.thetrainline.com: images and files. These providers process technical data to deliver the requested resource, in accordance with their respective privacy policies. - Natural persons authorised by the Data Controller to process data and bound by confidentiality obligations. - Public, judicial or administrative authorities, where required by law. The website does not offer online payments or product shipping, so there are no further recipients connected with those activities. Data is not disclosed to any other party. An up-to-date list of processors can be requested from the Data Controller by writing to contacts.manuelamattia@gmail.com.

The processing involves transfers of personal data to countries outside the European Union and the European Economic Area. Below we explain which ones and which safeguards they rely on. Canada (hosting). The website's servers, CDN and backups are provided by OVHcloud at a data center located in Canada. Data submitted through the forms and browsing data is therefore stored on servers in Canada. The transfer is based on the European Commission's adequacy decision for Canada (Decision 2002/2/EC, Art. 45 GDPR), by which the Commission recognised that Canada ensures an adequate level of protection of personal data, essentially equivalent to that of the European Union. No specific authorisation is therefore required for the transfer. Where applicable, appropriate contractual safeguards are also in place, in particular the Standard Contractual Clauses approved by the European Commission. United States (sending of emails). Emails generated by the website are sent through Postmark, a service of ActiveCampaign, LLC, based in the United States. The transfer relies on ActiveCampaign, LLC's participation in the EU-U.S. Data Privacy Framework, recognised by the European Commission's adequacy decision of 10 July 2023 (Art. 45 GDPR) and, on a subsidiary basis, on the Standard Contractual Clauses. Other third-party services. Google Fonts is provided by Google LLC (United States): the transfer, limited to IP address and browser technical data, relies on Google LLC's participation in the EU-U.S. Data Privacy Framework (adequacy decision of 10 July 2023) and, on a subsidiary basis, on the Standard Contractual Clauses. Bunny Stream is provided by BunnyWay d.o.o., a company based in Slovenia, i.e. within the European Union. The www.thetrainline.com service belongs to a company based in the United Kingdom, a country covered by a European Commission adequacy decision. For the image and file services (Pexels, Unsplash and pixabay.com), whose operators may be based or have infrastructure outside the EU/EEA, any transfers rely on the applicable adequacy decision (in particular the EU-U.S. Data Privacy Framework for providers that participate in it) or, failing that, on the Standard Contractual Clauses and the other safeguards provided for in Chapter V GDPR. In all cases, the level of protection of your data is deemed adequate by the European Commission or is secured by contractual safeguards recognised by the European Union. You can obtain information on the safeguards adopted by writing to contacts.manuelamattia@gmail.com.

Data is retained for no longer than strictly necessary for the purposes for which it is collected, as follows: - Travel consultant applications (contact form): up to 12 months from the last communication, unless a collaboration is established; in that case data is retained for the duration of the relationship and thereafter for the period required by applicable law. - Travel quote requests: up to 12 months from the last contact if no booking follows. If a contract is concluded, data is retained for the duration of the relationship and thereafter for the period required by applicable tax and accounting obligations (as a rule 10 years) and, where necessary, to protect the Data Controller's rights until the limitation period expires. - Reviews: name, rating, title and text remain published until you request removal or until the Data Controller decides to delete the review. The email address is retained while the review is published and deleted within 30 days of removal. - Browsing data and hosting technical logs: for the time needed for the security and operation of the website, as a rule no longer than 12 months, unless needed to establish unlawful acts. - Technical data relating to email sending: for a limited technical period set by the email delivery provider. - Technical cookies and cookie banner choices: for the duration indicated in the cookie banner, as a rule no longer than 12 months. - Backups: data deleted from the production system may remain in backups for a short period until they are periodically overwritten. At the end of these periods data is deleted or anonymised, unless retention is required by law.

As a data subject you have the right to: - access your personal data and obtain a copy of it (Art. 15 GDPR); - obtain rectification of inaccurate data and completion of incomplete data (Art. 16); - obtain erasure of your data, in the cases provided for (Art. 17); - obtain restriction of processing, in the cases provided for (Art. 18); - receive the data you have provided in a structured, commonly used and machine-readable format and transmit it to another controller, where processing is based on consent or contract and carried out by automated means (Art. 20); - object at any time, on grounds relating to your particular situation, to processing based on legitimate interest (Art. 21); - withdraw your consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal (Art. 7(3)). For published reviews, withdrawal is exercised by requesting removal; for cookies, you can change your choices from the cookie banner. To exercise your rights, write to the Data Controller at contacts.manuelamattia@gmail.com, stating your full name, the email address used in the form and the right you wish to exercise. To protect your data, the Data Controller may ask you to verify your identity. We will reply without undue delay and in any case within one month of the request, extendable by two further months in case of particular complexity or number of requests, in which case we will inform you. Exercising your rights is free of charge, except for manifestly unfounded or excessive requests. The processing does not involve decisions based solely on automated processing, including profiling, that produce legal effects concerning you.

If you believe that the processing of your data infringes the GDPR, you have the right to lodge a complaint with a supervisory authority (Art. 77 GDPR), without prejudice to any other administrative or judicial remedy. You may contact: - the Italian Data Protection Authority (Garante per la protezione dei dati personali, www.garanteprivacy.it), if you reside or work in Italy or if the alleged infringement took place in Italy; - the Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt), the supervisory authority of Portugal, the country where the Data Controller is established; - the supervisory authority of the EU/EEA Member State where you habitually reside or work. Before lodging a complaint, we invite you to contact the Data Controller at contacts.manuelamattia@gmail.com so that we can try to resolve the matter quickly.

The Data Controller may update this Privacy Policy, for example in case of legislative changes or new website features. The version in force is always the one published on this page, with the effective date shown at the top. In the event of material changes affecting the processing of your data, we will inform you by appropriate means and, where required by law, obtain your consent again. We invite you to check this page periodically. Last updated: 02/11/2026.