Kebijakan Privasi

sesuai dengan Pasal 13 dan 14 Peraturan (UE) 2016/679 (GDPR)

Diperbarui terakhir: 07/02/2026

1. Pengendali Data

Culturae Heritage Services srls (selanjutnya disebut juga “Pengendali”), dengan kantor terdaftar di Via dei Banchi 6, 50123 Florence (FI), Italia, Nomor PPN IT07519170489, Kode Pajak 07519170489, REA FI-709102.

Kontak privasi: legal@vatican.museum

Pengendali belum menunjuk Petugas Perlindungan Data (DPO) karena tidak termasuk dalam kasus wajib yang diatur dalam Pasal 37 GDPR (Pengendali tidak melakukan pemrosesan skala besar terhadap kategori data khusus, maupun pemantauan skala besar yang teratur dan sistematis). Untuk permintaan apa pun terkait perlindungan data pribadi, silakan kirim surat ke alamat yang disebutkan di atas.

2. Ruang Lingkup Penerapan

Pernyataan privasi ini menjelaskan cara Pengendali memproses data pribadi pengguna (selanjutnya disebut “Pengguna” atau “Subjek Data”) yang mengunjungi dan berinteraksi dengan situs web vatican.museum (selanjutnya disebut “Situs Web”) serta situs web lain yang dimiliki oleh Pengendali.

Pernyataan ini berlaku untuk semua pemrosesan yang dilakukan melalui Situs Web, termasuk formulir kontak, sistem pendaftaran, layanan analisis statistik (analytics), alat pengukuran iklan dan konversi, sistem anti-spam dan keamanan, serta layanan komunikasi (buletin, email transaksional), yang diaktifkan secara eksklusif dengan persetujuan sebelumnya dari Pengguna jika diwajibkan oleh hukum, melalui Platform Manajemen Persetujuan (CMP) yang terintegrasi ke dalam Situs Web.

Situs Web ini bersifat editorial dan informasional. Pengendali bukanlah operator tur, agen perjalanan, atau perantara perjalanan berdasarkan hukum yang berlaku. Untuk detail lebih lanjut mengenai sifat layanan ini, silakan merujuk ke Pernyataan Penolakan dan Syarat dan Ketentuan Penggunaan.

3. Jenis Data yang Diproses

3.1 Data penelusuran dan teknis

Selama penjelajahan normal, sistem komputer dan prosedur perangkat lunak yang digunakan untuk mengoperasikan Situs Web secara otomatis memperoleh data tertentu, yang transmisinya tersirat dalam penggunaan protokol komunikasi Internet. Data tersebut meliputi: alamat IP, jenis dan versi browser, sistem operasi, bahasa, URL yang diminta, tanggal dan waktu permintaan, metode HTTP, kode respons server, pengenal sesi teknis, peristiwa keamanan.

3.2 Data yang diberikan secara sukarela oleh Pengguna

Data pribadi yang disediakan secara sukarela oleh Pengguna melalui formulir kontak, formulir pendaftaran, atau email langsung dapat mencakup:

• nama depan dan nama belakang;
• alamat email;
• nomor telepon;
• negara asal;
• isi pesan teks bebas;
• kredensial login (email dan kata sandi) jika melakukan pendaftaran;
• informasi lain apa pun yang secara sukarela dipilih oleh Pengguna untuk diberikan.

3.3 Data yang dikumpulkan melalui cookie dan teknologi serupa

Situs Web ini menggunakan cookie dan teknologi serupa (penyimpanan lokal, piksel, tag) untuk mengumpulkan pengenal daring dan informasi tentang penggunaan Situs Web, sesuai dengan preferensi yang dinyatakan oleh Pengguna melalui CMP. Untuk detail selengkapnya, silakan lihat Kebijakan Cookie.

3.4 Data terkait kampanye iklan dan afiliasi

Dalam konteks kegiatan pemasaran digital, parameter pelacakan kampanye (misalnya parameter gclid, fbclid, msclkid, ttclid, utm_*) dan pengukuran konversi agregat dapat dikumpulkan, selalu sesuai dengan persetujuan yang dinyatakan oleh Pengguna.

3.5 Data terkait pemesanan

Ketika Pengguna memesan tur atau pengalaman melalui Situs Web, data terkait transaksi (status pemesanan, referensi voucher) dapat diproses oleh Pengendali Data semata-mata untuk mengirimkan komunikasi transaksional (misalnya konfirmasi pemesanan, perubahan status, ketersediaan voucher). Data pembayaran (kartu kredit, detail bank, kode keamanan) tidak pernah dikumpulkan, diproses, atau disimpan oleh Pengontrol, karena data tersebut dikelola secara eksklusif oleh mitra pihak ketiga yang bertanggung jawab atas pemrosesan pembayaran (lihat Bagian 7).

3.6 Data terkait buletin dan komunikasi komersial

Jika Pengguna berlangganan buletin, Pengontrol mengumpulkan alamat email Pengguna dan preferensi tematik apa pun. Berlangganan bersifat opsional dan dilakukan secara eksklusif dengan persetujuan eksplisit sebelumnya dari Pengguna.

3.7 Sifat wajib atau opsional dari penyediaan data

Penyediaan data penelusuran diperlukan untuk operasi teknis Situs Web. Penyediaan data dalam formulir kontak dan pendaftaran bersifat opsional; namun, kegagalan dalam menyediakan data yang ditandai sebagai wajib (misalnya nama, email) dapat membuat Pengendali tidak dapat menanggapi permintaan Pengguna, membuat akun, atau menyediakan layanan yang diminta.

Persetujuan terhadap cookie dan teknologi analitik, pemasaran, serta profilasi sepenuhnya bersifat opsional, dan penolakan untuk memberikan persetujuan tersebut tidak akan memengaruhi penjelajahan Situs Web atau akses ke kontennya.

4. Tujuan, Dasar Hukum, dan Jangka Waktu Penyimpanan

Pengontrol memproses data pribadi untuk tujuan yang dijelaskan dalam tabel di bawah ini. Jika disebutkan, pemrosesan dilakukan secara eksklusif dengan persetujuan tertulis sebelumnya dari Pengguna.

Jangka waktu penyimpanan yang disebutkan adalah batas maksimum yang wajar dan dapat dikurangi dengan menerapkan prinsip pembatasan penyimpanan (Pasal 5(1)(e) GDPR).

Jika pemrosesan didasarkan pada kepentingan sah Pengontrol (Pasal 6(1)(f) GDPR), Pengontrol telah melakukan penilaian keseimbangan (Penilaian Kepentingan Sah — LIA) untuk memastikan bahwa kepentingan sahnya tidak mengesampingkan hak dan kebebasan mendasar Subjek Data. Pengguna dapat meminta salinan penilaian tersebut dengan mengirimkan surat ke kontak yang tercantum dalam Bagian 1.

5. Cookie dan Platform Manajemen Persetujuan (CMP)

Situs Web ini menggunakan Platform Manajemen Persetujuan (CMP) yang sesuai dengan Google Consent Mode v2 (wajib sejak Maret 2024 bagi pengiklan Eropa), yang memungkinkan Pengguna untuk:

• menerima, menolak, atau menyesuaikan kategori cookie dan alat non-teknis;
• mengubah preferensi mereka kapan saja melalui alat “Kelola preferensi cookie” yang tersedia di Situs Web;
• mendapatkan informasi bahwa cookie dan teknologi analitik, pemasaran, dan profil hanya diaktifkan setelah persetujuan yang sah diperoleh.

Pemblokiran preventif: tidak ada cookie atau teknologi yang tidak mutlak diperlukan yang diinstal pada perangkat Pengguna sebelum Pengguna memberikan persetujuannya melalui CMP. Jika tidak ada persetujuan, hanya cookie teknis/yang diperlukan yang aktif.

Penarikan persetujuan: Pengguna dapat menarik persetujuannya kapan saja dengan kemudahan yang sama seperti saat memberikan persetujuan, melalui alat “Kelola preferensi cookie” yang tersedia di Situs Web, tanpa mempengaruhi keabsahan pemrosesan berdasarkan persetujuan yang diberikan sebelum penarikan (Pasal 7(3) GDPR).

Cookie teknis/yang diperlukan (termasuk cookie _GRECAPTCHA dari Google reCAPTCHA) tidak memerlukan persetujuan dan aktif secara default, karena sangat penting untuk pengoperasian dan keamanan Situs Web.

Untuk detail lengkap, termasuk daftar lengkap cookie yang digunakan, silakan merujuk ke Kebijakan Cookie.

6. Penerima Data

Data pribadi dapat diungkapkan kepada pihak-pihak berikut, yang bertindak sebagai Pengolah Data (Pasal 28 GDPR), Pengendali independen, atau orang yang berwenang:

Penyedia layanan TI dan hosting

• OVH SAS (OVHcloud): hosting, server khusus, infrastruktur — pusat data di Limburg, Jerman (EEA). Bertindak sebagai Pengolah Data sesuai dengan Pasal 28 GDPR.

Penyedia layanan analitik, periklanan, dan keamanan (diaktifkan berdasarkan persetujuan CMP)

• Google Ireland Ltd / Google LLC: Google Tag Manager, Google Analytics 4, Google Ads (konversi/pemasaran ulang), Google reCAPTCHA v3.
• Microsoft Corporation / Microsoft Ireland Operations Ltd: Bing Ads (UET), Microsoft Clarity.
• Meta Platforms Ireland Ltd / Meta Platforms Inc.: Facebook Pixel, Instagram Ads.
• TikTok Technology Ltd / ByteDance Ltd: TikTok Pixel.
• Hotjar Ltd: analisis perilaku dan peta panas.

Penyedia layanan komunikasi

• Amazon Web Services EMEA SARL (AWS): Amazon SES dan SNS untuk email transaksional dan buletin — wilayah eu-west-1 (Irlandia, EEA). Bertindak sebagai Pengolah Data sesuai dengan Pasal 28 GDPR.

Mitra komersial (Pengendali independen)

• Viator Inc. (Tripadvisor Group): mitra untuk pemesanan dan pembayaran tur serta pengalaman melalui integrasi iframe. Viator bertindak sebagai Pengendali Data independen untuk data pembayaran dan penyediaan layanan pariwisata.
• GetYourGuide Deutschland GmbH: mitra afiliasi untuk tur dan pengalaman.
• LivTours: mitra afiliasi untuk tur dan pengalaman.

Ketika Pengguna dialihkan ke situs web mitra pihak ketiga (pemasaran afiliasi), pemrosesan data pribadi Pengguna akan diatur oleh kebijakan privasi mitra yang bersangkutan.

Penerima lainnya

• Penasihat hukum, pajak, dan komersial, sebagai Pengolah atau pihak yang berwenang.
• Otoritas yang berwenang, jika diwajibkan oleh hukum.

Pengendali tidak menjual data pribadi Pengguna.

7. Pembayaran Melalui Mitra Pihak Ketiga (Viator)

Situs Web ini menawarkan kemungkinan untuk membeli tur dan pengalaman langsung dari halamannya. Proses pembayaran berlangsung sepenuhnya melalui modul terintegrasi (iframe) yang disediakan oleh Viator Inc. (Tripadvisor Group).

Pengontrol tidak mengumpulkan, memproses, atau menyimpan data pembayaran Pengguna dengan cara apa pun (nomor kartu kredit, detail bank, kode keamanan). Data tersebut diperoleh, diproses, dan disimpan secara eksklusif oleh Viator, yang bertindak sebagai Pengontrol Data independen untuk data pembayaran dan penyediaan layanan pariwisata.

Pengendali hanya menerima dari Viator:

• data agregat dan statistik mengenai konversi;
• informasi mengenai status pemesanan (untuk mengirimkan komunikasi transaksional kepada Pengguna);
• komisi komersial.

Faktur dan voucher untuk tur yang dibeli diterbitkan langsung oleh Viator.

Untuk pemrosesan data pembayaran, silakan merujuk ke Kebijakan Privasi Viator.

8. Transfer Data ke Luar Wilayah EEA

Beberapa penyedia (terutama grup yang berkantor pusat di Amerika Serikat) mungkin melibatkan transfer data pribadi ke negara-negara di luar Wilayah Ekonomi Eropa (EEA). Dalam kasus tersebut, Pengontrol menerapkan pengamanan yang memadai sesuai dengan Pasal 44 dan seterusnya dari GDPR, termasuk:

• Klausul Kontrak Standar (SCC) Komisi Eropa (Pasal 46(2)(c) GDPR), dalam versi terbaru (Q2 2025), dan, jika diperlukan, Penilaian Dampak Transfer (TIA) serta langkah-langkah tambahan sesuai dengan Rekomendasi EDPB 01/2020;
• keputusan kesesuaian dari Komisi Eropa, jika tersedia (misalnya Kerangka Kerja Privasi Data UE-AS untuk entitas bersertifikat di AS);
• langkah-langkah teknis dan organisasi tambahan (minimisasi data, pseudonimisasi, enkripsi saat transit dan saat disimpan, pemisahan akses).

Penyedia utama yang tunduk pada transfer ekstra-EEA meliputi: Google LLC, Meta Platforms Inc., Microsoft Corporation, TikTok/ByteDance, Amazon Web Services Inc., Viator Inc.

Pengguna dapat meminta informasi mengenai langkah-langkah perlindungan spesifik yang diterapkan dan salinan SCC yang berlaku dengan mengirimkan surat ke kontak yang tercantum di Bagian 1.

9. Hak Subjek Data

Pengguna dapat kapan saja menggunakan hak-hak yang diatur dalam Pasal 15–22 GDPR:

• hak untuk mengakses data pribadi (Pasal 15);
• hak untuk memperbaiki dan memperbarui (Pasal 16);
• hak untuk penghapusan (“hak untuk dilupakan”), jika berlaku (Pasal 17);
• hak untuk membatasi pemrosesan (Pasal 18);
• hak atas portabilitas data, jika berlaku (Pasal 20);
• hak untuk mengajukan keberatan, khususnya terhadap pemrosesan yang didasarkan pada kepentingan sah (Pasal 21); dalam hal adanya keberatan, Pengendali Data wajib menghentikan pemrosesan data lebih lanjut, kecuali dapat membuktikan alasan sah yang mendesak;
• hak untuk tidak tunduk pada keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk profil (Pasal 22);
• hak untuk menarik persetujuan kapan saja, dengan kemudahan yang sama seperti saat persetujuan diberikan, tanpa mempengaruhi keabsahan pemrosesan yang dilakukan sebelum penarikan (Pasal 7(3)).

Untuk menggunakan hak Anda, silakan kirim email ke: legal@vatican.museum

Pengendali Data akan menanggapi permintaan tersebut dalam waktu 1 bulan sejak permintaan diajukan, periode yang dapat diperpanjang hingga 3 bulan dalam kasus kompleksitas khusus atau volume permintaan yang tinggi (Pasal 12 GDPR). Jika terjadi perpanjangan, Pengguna akan diberitahu dalam waktu 1 bulan. Pelaksanaan hak ini gratis, kecuali jika permintaan tersebut jelas-jelas tidak berdasar atau berlebihan (Pasal 12(5) GDPR).

9.1 Proses pengambilan keputusan otomatis

Pengontrol tidak melakukan proses pengambilan keputusan yang sepenuhnya otomatis, termasuk profil, yang menghasilkan dampak hukum terhadap Pengguna atau yang secara signifikan memengaruhi Pengguna (Pasal 22 GDPR). Alat analisis dan pemasaran yang digunakan oleh Situs Web ini secara eksklusif untuk tujuan statistik dan periklanan agregat dan tidak menghasilkan keputusan individu yang otomatis.

9.2 Pengaduan kepada Otoritas Pengawas

Pengguna berhak mengajukan pengaduan kepada otoritas pengawas yang berwenang.

Untuk Italia:

Garante per la Protezione dei Dati Personali

Piazza Venezia, 11 — 00187 Roma (RM), Italia

Situs web: www.garanteprivacy.it

PEC: protocollo@pec.gpdp.it

Telepon: (+39) 06 696771

Perlu juga dicatat bahwa Peraturan (UE) 2025/2518, yang diterbitkan pada November 2025 dan berlaku 15 bulan setelah penerbitan, memperkenalkan aturan prosedural baru untuk meningkatkan kerja sama antara otoritas perlindungan data Eropa dalam kasus lintas batas, yang memberikan perlindungan lebih lanjut bagi hak-hak Subjek Data.

10. Google reCAPTCHA v3 — Pemberitahuan Khusus

Situs Web ini menggunakan Google reCAPTCHA v3, layanan perlindungan anti-spam dan anti-bot yang disediakan oleh Google Ireland Ltd / Google LLC, yang diaktifkan secara eksklusif pada halaman yang berisi formulir.

Mulai 2 April 2026, sesuai dengan pengumuman Google, reCAPTCHA beroperasi di bawah model di mana Google bertindak sebagai Pengolah Data dan Pengelola Situs Web adalah Pengendali Data untuk data yang dikumpulkan melalui reCAPTCHA.

Ini berarti bahwa:

• referensi terhadap Kebijakan Privasi dan Ketentuan Layanan Google terkait reCAPTCHA tidak lagi berlaku dan telah dihapus dari Situs Web;
• pemrosesan data yang dikumpulkan oleh reCAPTCHA diatur oleh Kebijakan Privasi ini dan oleh Adendum Pemrosesan Data Google Cloud;
• reCAPTCHA menetapkan cookie yang diperlukan (_GRECAPTCHA) untuk analisis risikonya, yang diklasifikasikan sebagai cookie teknis/yang diperlukan yang tidak memerlukan persetujuan.

Data yang dikumpulkan oleh reCAPTCHA dapat mencakup: alamat IP, data perilaku (pergerakan mouse, pola interaksi), informasi browser dan perangkat. Data tersebut digunakan secara eksklusif untuk tujuan keamanan dan pencegahan penipuan.

11. Anak-anak

Situs Web ini tidak ditujukan untuk individu di bawah usia 16 tahun (batas usia yang ditetapkan oleh Pasal 2-quinquies dari Dekret Legislatif 196/2003 untuk Italia). Pengendali Data tidak bermaksud untuk secara sengaja mengumpulkan data pribadi dari anak di bawah umur. Jika orang tua atau wali yakin bahwa data anak di bawah umur telah dikumpulkan tanpa persetujuan yang diperlukan, mereka dapat menghubungi Pengendali Data melalui detail yang tercantum di Bagian 1 untuk meminta penghapusan segera.

12. Langkah-langkah Keamanan

Pengendali menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk melindungi data pribadi dari akses yang tidak sah, kehilangan, penghancuran, atau perubahan (Pasal 32 GDPR), termasuk: komunikasi terenkripsi (HTTPS/TLS), akses terotentikasi dengan hak akses minimal, pencadangan berkala, pembaruan keamanan, pemantauan akses, dan prosedur pengelolaan insiden keamanan.

13. Perubahan pada Kebijakan Privasi Ini

Pengontrol berhak memperbarui Kebijakan Privasi ini kapan saja. Tanggal pembaruan terakhir tercantum di bagian atas. Perubahan penting akan dikomunikasikan melalui pemberitahuan di Situs Web dan, jika memungkinkan, melalui email kepada Pengguna terdaftar. Pengguna diimbau untuk memeriksa halaman ini secara berkala.

14. Hukum yang Berlaku dan Yurisdiksi

Kebijakan privasi ini diatur oleh Peraturan (UE) 2016/679 (GDPR), Direktif 2002/58/EC (ePrivacy), undang-undang perlindungan data pribadi Italia (Peraturan Pemerintah 196/2003, sebagaimana diubah oleh Peraturan Pemerintah 101/2018), serta ketentuan dan pedoman yang berlaku dari Garante per la Protezione dei Dati Personali dan EDPB.

Untuk setiap sengketa yang berkaitan dengan penafsiran atau penerapan kebijakan ini, Pengadilan Florence memiliki yurisdiksi, kecuali ditentukan lain oleh ketentuan perlindungan konsumen yang bersifat wajib.