Privacy policy
Ocean Yachting - Informativa sul trattamento dei dati personali / Privacy notice
Informativa sul trattamento dei dati personali
Ocean Yachting Srl
Ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679
Ultimo aggiornamento: 29/10/2026
Ocean Yachting Srl informa clienti, partecipanti ai viaggi, persone che richiedono informazioni, referenti professionali e utenti dei propri siti sulle modalità di trattamento dei dati personali nell’attività di intermediazione nautica, organizzazione di vacanze in barca, gestione delle richieste e comunicazione commerciale.
La presente informativa riguarda il sito www.ocy.it e gli altri siti di Ocean Yachting che la richiamano, i contatti online e offline e le newsletter. Si applicano il Regolamento UE 2016/679 (GDPR), applicabile dal 25 maggio 2018, il D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018 e successive modifiche, e i provvedimenti applicabili del Garante, comprese le Linee guida sui tracking pixel nelle e-mail, provvedimento n. 284 del 17 aprile 2026.
1. Titolare del trattamento e contatti
Il titolare del trattamento è Ocean Yachting Srl, Via Saragozza 24, 40123 Bologna, Italia, partita IVA IT02491421208. Per informazioni sulla privacy e per esercitare i propri diritti è possibile scrivere a info@oceanyachting.com o a info@ocy.it, oppure all’indirizzo postale sopra indicato, all’attenzione del referente privacy. Telefono: +39 051 6440196.
2. Dati trattati e loro provenienza
Raccogliamo i dati pertinenti al servizio richiesto: nome e cognome, recapiti, indirizzo e dati di fatturazione; richieste e corrispondenza; destinazioni, periodi, imbarcazioni e servizi di interesse; dati necessari alla prenotazione, ai contratti, ai pagamenti e all’assistenza. I dati di documenti di identità, nazionalità, nascita o patente nautica sono richiesti soltanto quando necessari alla specifica prestazione o agli adempimenti applicabili.
Per la navigazione sui siti possono essere trattati indirizzi IP, dati tecnici del browser e del dispositivo, richieste ai server, data e ora degli accessi e informazioni necessarie alla sicurezza e al funzionamento. Cookie e strumenti di tracciamento sono descritti al punto 5. Le interazioni con le newsletter sono descritte al punto 4.
I dati provengono di norma direttamente dall’interessato. Possono essere comunicati anche dalla persona che organizza una prenotazione di gruppo, da un’agenzia o broker incaricato, dal datore di lavoro per viaggi aziendali, da armatori o altri fornitori coinvolti nel servizio. Si tratta, secondo il caso, di dati identificativi, di contatto, di prenotazione e delle esigenze di viaggio. Ocean Yachting indica, su richiesta, la provenienza specifica dei dati.
Chi comunica dati di altre persone deve limitarsi alle informazioni necessarie ed essere legittimato a farlo. Ocean Yachting assicura l’informazione degli interessati nei termini dell’art. 14 GDPR: entro un mese dalla raccolta e, se precedente, alla prima comunicazione con l’interessato o alla prima comunicazione dei dati ad altri destinatari, salvo le eccezioni previste dalla norma. La comunicazione dei dati da parte del referente della prenotazione non costituisce consenso al marketing per gli altri partecipanti.
3. Finalità e basi giuridiche
Richieste di informazioni e gestione dei servizi
Utilizziamo i dati per rispondere a richieste, predisporre preventivi, proporre soluzioni coerenti con il viaggio richiesto, gestire prenotazioni, contratti, pagamenti, comunicazioni operative e assistenza. La base giuridica è l’esecuzione di misure precontrattuali richieste dall’interessato o del contratto di cui è parte, ai sensi dell’art. 6, par. 1, lett. b), GDPR. Non occorre un consenso privacy generico per queste attività.
Per i referenti di imprese e i partecipanti che non siano parti del contratto, il trattamento dei dati ordinari strettamente necessari all’organizzazione del servizio si fonda, ove applicabile, sul legittimo interesse di Ocean Yachting e del cliente a gestire la prenotazione e i rapporti professionali, ai sensi dell’art. 6, par. 1, lett. f), previa valutazione del bilanciamento con i diritti degli interessati. Per adempimenti imposti dalla normativa europea o italiana si applica la lett. c).
Obblighi di legge e tutela dei diritti
Trattiamo i dati per gli obblighi fiscali, contabili, amministrativi e per le richieste legittime delle autorità sulla base dell’art. 6, par. 1, lett. c), GDPR. Per prevenire abusi, proteggere sistemi e informazioni e accertare, esercitare o difendere un diritto, la base è il legittimo interesse di Ocean Yachting alla sicurezza e alla tutela dei propri diritti, nei limiti necessari e previo bilanciamento, ai sensi della lett. f).
Newsletter e comunicazioni commerciali
Con il Suo consenso inviamo via e-mail newsletter, disponibilità, offerte e aggiornamenti sui servizi di Ocean Yachting. La base giuridica è l’art. 6, par. 1, lett. a), GDPR, in relazione all’art. 130 del Codice Privacy. Il consenso è facoltativo, documentabile e revocabile; non è richiesto per ottenere un preventivo o prenotare. La pubblicazione di un recapito su Internet o lo scambio di un biglietto da visita non equivalgono a consenso.
Nei soli casi consentiti dall’art. 130, comma 4, del Codice Privacy, possiamo utilizzare l’e-mail fornita nel contesto di una vendita per proporre nostri servizi analoghi a quelli già acquistati, purché l’interessato sia stato informato e non si sia opposto, inizialmente o successivamente. Questo trattamento, denominato soft spam, si fonda sul legittimo interesse alla promozione di servizi analoghi, nel rispetto della disposizione citata e del necessario bilanciamento. È possibile opporsi gratuitamente a ogni invio. Una semplice richiesta di preventivo non soddisfa questa eccezione; l’eccezione non autorizza da sola il tracciamento individuale.
Esigenze particolari e dati relativi alla salute
Allergie, intolleranze, necessità di assistenza o altre informazioni comunicate per organizzare il soggiorno possono comprendere dati relativi alla salute o rivelare convinzioni religiose. Le chiediamo di fornire soltanto quanto indispensabile. Quando necessario, raccogliamo un consenso esplicito per il trattamento e la comunicazione di tali dati ai fornitori che devono predisporre il servizio, ai sensi dell’art. 9, par. 2, lett. a), GDPR, insieme alla pertinente base dell’art. 6. Altre eccezioni dell’art. 9 sono applicabili soltanto se ne ricorrono effettivamente i presupposti.
Il mancato conferimento o la revoca possono impedire di organizzare la specifica prestazione personalizzata, senza pregiudicare i servizi che possono essere resi senza tali dati. Queste informazioni non sono utilizzate per marketing o profilazione commerciale.
4. Tracciamento delle e-mail e gestione delle preferenze
Le newsletter possono contenere pixel di tracciamento: piccole immagini caricate da un server remoto quando il programma di posta scarica le immagini del messaggio. Possono inoltre contenere collegamenti personalizzati che registrano i clic. Tali strumenti possono associare al destinatario l’apertura, la data e l’ora, il numero di aperture e i link selezionati, oltre a informazioni tecniche quali IP, client di posta, dispositivo e località approssimativa ricavata dall’IP.
Le misurazioni individuali servono a valutare l’interesse per le comunicazioni e, se attivata, a personalizzare argomenti, offerte o frequenza degli invii. Questa personalizzazione può costituire profilazione: ad esempio, l’interesse per contenuti dedicati a una destinazione può determinare la proposta di offerte relative a quella destinazione.
Per i nuovi trattamenti il tracciamento individuale è attivato soltanto dopo un consenso preventivo, libero, informato e inequivocabile, ai sensi degli artt. 6, par. 1, lett. a), e 7 GDPR e dell’art. 122 del Codice Privacy, ove applicabile. La richiesta di consenso deve rendere riconoscibile questa attività; il semplice richiamo all’informativa o l’apertura di un’e-mail non costituiscono consenso. Per i trattamenti già in corso trovano applicazione, ove ne ricorrano i presupposti, le condizioni transitorie del paragrafo 6 del provvedimento n. 284/2026, con informativa aggiornata e possibilità di revoca anche del solo tracciamento.
In ogni newsletter sono disponibili i comandi per disiscriversi dalle comunicazioni promozionali e per gestire il tracciamento. È possibile disattivare soltanto il tracciamento individuale, continuando a ricevere le newsletter senza tale misurazione. La stessa scelta può essere comunicata a info@ocy.it. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca e non limita l’accesso ai servizi.
Gli eventuali conteggi statistici eseguiti senza consenso sono ammessi solo quando ricorrono le condizioni previste dalla normativa e dalle Linee guida, con tecniche che impediscano misurazioni personalizzate. La sola presentazione dei risultati in forma aggregata o la sostituzione dell’e-mail con un codice non rende anonimi i dati. In assenza di tali condizioni, per chi rifiuta il tracciamento non vengono raccolte statistiche individuali.
Le comunicazioni necessarie a gestire richieste, contratti e prenotazioni possono continuare anche dopo la disiscrizione dal marketing. La loro natura operativa non autorizza automaticamente il monitoraggio delle aperture: eventuali strumenti strettamente necessari sono valutati e descritti per la specifica finalità, senza estenderli a finalità promozionali.
5. Cookie e altri strumenti sui siti
I cookie tecnici e gli strumenti strettamente necessari consentono la navigazione, la sicurezza e le funzionalità richieste. I cookie di profilazione e gli altri strumenti non necessari sono attivati solo dopo il consenso, ove richiesto dall’art. 122 del Codice Privacy. Gli strumenti analitici sono assimilati ai tecnici soltanto quando rispettano le condizioni indicate dal Garante.
L’elenco aggiornato degli strumenti effettivamente utilizzati, dei fornitori, delle finalità e delle durate è disponibile nella Cookie Policy. Il pannello Impostazioni cookies, richiamabile dal link presente in fondo a ogni pagina del sito, permette di accettare, rifiutare o modificare le preferenze. Proseguire la navigazione o scorrere una pagina non equivale a prestare il consenso. Le preferenze per i cookie del sito e quelle per il tracciamento delle newsletter sono gestite nei rispettivi pannelli.
6. Destinatari dei dati
I dati sono accessibili al personale e ai collaboratori autorizzati, nei limiti delle loro mansioni. Possono essere comunicati, quando necessario, ad armatori, società di charter, comandanti o personale di bordo competente, agenzie e broker coinvolti nella prenotazione, operatori turistici, strutture ricettive, trasportatori, assicuratori e fornitori dei servizi richiesti; a istituti di pagamento, consulenti contabili o legali; alle autorità competenti, nei casi previsti.
Fornitori di hosting, manutenzione, gestione informatica, archiviazione, CRM e invio delle newsletter possono trattare dati per conto di Ocean Yachting quali responsabili ai sensi dell’art. 28 GDPR, sulla base di accordi e istruzioni. I soggetti che determinano autonomamente finalità e mezzi del trattamento operano invece come titolari autonomi e rendono le proprie informative. La qualifica dipende dal ruolo effettivo del soggetto, non dalla sua sola categoria commerciale.
La piattaforma utilizzata per invio e gestione delle newsletter è Mailup della Teamsystem Spa con sede legale in via Sandro Pertini, 88, 61122 Pesaro (PU). È possibile richiedere informazioni aggiornate sui destinatari e sui responsabili ai contatti del titolare. I dati non sono diffusi pubblicamente né gli elenchi di contatti venduti o concessi a terzi per marketing autonomo. Eventuali attività promozionali autonome di terzi richiedono una distinta informativa e il consenso ove previsto.
7. Trasferimenti fuori dallo Spazio economico europeo
L’organizzazione di viaggi fuori dallo Spazio economico europeo e l’impiego di alcuni fornitori tecnologici possono comportare trasferimenti o accessi ai dati da Paesi terzi. Il trasferimento deve fondarsi su una decisione di adeguatezza applicabile oppure su garanzie adeguate ai sensi dell’art. 46 GDPR, come le clausole contrattuali standard, con le valutazioni e misure supplementari necessarie.
Solo nei casi specifici e nei limiti dell’art. 49 GDPR possono trovare applicazione deroghe, ad esempio per un trasferimento occasionale strettamente necessario al contratto di viaggio o a un contratto concluso nell’interesse del viaggiatore. Tali deroghe non costituiscono una base generale per trasferimenti sistematici o per l’impiego ordinario di una piattaforma di marketing.
Informazioni sulle garanzie applicate e una loro copia, con eventuali oscuramenti necessari a proteggere dati di terzi, possono essere richieste ai contatti del titolare. Per i trasferimenti legati alla destinazione, le informazioni specifiche sono fornite prima del trasferimento, nella documentazione relativa al servizio.
8. Tempi di conservazione
I dati sono conservati per un periodo proporzionato alle finalità. Alla scadenza sono cancellati o resi anonimi, salvo obblighi di legge o necessità documentate di tutela dei diritti, limitate ai dati pertinenti. Si applicano i seguenti termini:
| Categoria | Periodo o criterio |
|---|---|
| Richieste senza prenotazione | 12 mesi dall’ultimo scambio relativo alla richiesta. |
| Contratti e documenti contabili | Per la durata del rapporto; successivamente per i termini legali applicabili. Le scritture contabili sono conservate per 10 anni dall’ultima registrazione, salvi maggiori termini previsti dalla legge. |
| Dati operativi dei partecipanti e copie dei documenti | Fino alla conclusione del servizio e degli adempimenti collegati; cancellazione entro 30 giorni dalla chiusura della pratica, salvo obblighi specifici. I dati non necessari non vengono conservati con la documentazione contabile. |
| Esigenze particolari e dati di salute | Per organizzare e prestare il servizio; cancellazione entro 30 giorni dalla conclusione del servizio, salvo una distinta e documentata ragione di conservazione consentita dalla legge. |
| Marketing su consenso | Fino alla revoca. |
| Soft spam | Fino all’opposizione. |
| Tracciamento individuale delle newsletter | Fino alla revoca e comunque non oltre 6 mesi dalla raccolta di ciascun evento. Alla revoca cessano le misurazioni e i dati sono cancellati o anonimizzati, salve le sole evidenze necessarie a documentare le scelte. |
| Log tecnici e cookie | Log ordinari: 30 giorni dalla registrazione, salvo esigenze documentate di sicurezza. Cookie: durate specificate nella Cookie Policy. |
Le evidenze dei consensi e delle revoche sono conservate separatamente dal software di gestione mailing per documentare il rispetto degli obblighi e tutelare i diritti. Una lista di esclusione contenente il minimo indispensabile consente di rispettare l’opposizione e impedire reinserimenti nelle liste promozionali, per il tempo in cui tale rischio permane, con verifica periodica della necessità. I dati così conservati non sono riutilizzati per marketing.
9. Conferimento dei dati e modalità del trattamento
Il conferimento dei dati necessari a rispondere alle richieste, concludere ed eseguire il contratto o adempiere obblighi legali è richiesto per tali finalità: in loro assenza potrebbe non essere possibile fornire il servizio. I campi facoltativi e i consensi per marketing e tracciamento sono distinti da quelli necessari. Il rifiuto di tali consensi non condiziona la prenotazione o l’assistenza.
I dati sono trattati con strumenti informatici e, quando necessario, cartacei, con misure tecniche e organizzative commisurate ai rischi: accessi limitati alle persone autorizzate, istruzioni al personale, protezione dei sistemi e gestione della conservazione. Sono applicati i principi di minimizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita.
L’eventuale personalizzazione delle newsletter è descritta al punto 4.
10. Dati dei minori
Nell’organizzazione di viaggi con minori, i dati necessari sono raccolti tramite il genitore, tutore o altro soggetto legittimato e utilizzati per la prenotazione, i servizi richiesti e gli adempimenti applicabili. Per eventuali dati particolari si applicano le garanzie del punto 3. I dati dei minori raccolti per il viaggio non vengono utilizzati per marketing o profilazione commerciale.
11. Diritti degli interessati
Nei casi e nei limiti previsti dagli artt. 15–22 GDPR, Lei può ottenere accesso ai Suoi dati e una copia, rettificarli o integrarli, chiederne la cancellazione o la limitazione del trattamento. Può ottenere la portabilità dei dati forniti quando il trattamento si basa sul consenso o sul contratto ed è effettuato con mezzi automatizzati.
Può opporsi, per motivi connessi alla Sua situazione particolare, ai trattamenti basati sul legittimo interesse. Può opporsi in qualsiasi momento al marketing diretto, compresa la profilazione ad esso collegata, senza dover fornire motivazioni. Può revocare il consenso con la stessa facilità con cui lo ha prestato; per le newsletter può anche revocare il solo tracciamento, come indicato al punto 4.
Le richieste possono essere inviate a info@oceanyachting.com o a info@ocy.it. Rispondiamo senza ingiustificato ritardo e comunque entro un mese dal ricevimento; in caso di particolare complessità o numero di richieste, il termine può essere prorogato di ulteriori due mesi, informando l’interessato entro il primo mese e spiegandone i motivi. In caso di ragionevoli dubbi sull’identità, possono essere richieste solo le informazioni necessarie alla verifica.
È possibile presentare reclamo al Garante per la protezione dei dati personali, secondo le modalità disponibili su www.garanteprivacy.it, oppure all’autorità di controllo competente nel Paese europeo di residenza abituale, di lavoro o della presunta violazione. Resta ferma la possibilità di ricorrere all’autorità giudiziaria.
12. Aggiornamenti
L’informativa può essere aggiornata per modifiche dei servizi, dei trattamenti o della normativa. La versione aggiornata riporta la data di pubblicazione. Per nuove finalità sono fornite preventivamente le informazioni necessarie e, quando richiesto, è acquisito un nuovo consenso. La pubblicazione di una nuova informativa non sostituisce il consenso e non sana automaticamente trattamenti precedenti.
Privacy notice on the processing of personal data
Ocean Yachting Srl
Pursuant to Articles 13 and 14 of Regulation EU 2016/679
Last updated: 29 October 2026
Ocean Yachting Srl informs customers, travel participants, people requesting information, business contacts and users of its websites about how personal data are processed in connection with yacht brokerage, the organisation of boating holidays, the handling of enquiries and commercial communications.
This notice covers www.ocy.it and other Ocean Yachting websites that refer to it, online and offline contacts, and newsletters. The applicable rules include Regulation EU 2016/679 (GDPR), applicable since 25 May 2018, Italian Legislative Decree 196/2003, as amended by Legislative Decree 101/2018 and subsequent amendments, and the applicable decisions of the Italian Data Protection Authority, including the Guidelines on tracking pixels in emails, Decision No. 284 of 17 April 2026.
1. Data controller and contact details
The data controller is Ocean Yachting Srl, Via Saragozza 24, 40123 Bologna, Italy, VAT number IT02491421208. For privacy information and to exercise your rights, you may write to info@oceanyachting.com or info@ocy.it, or to the postal address above, marked for the attention of the privacy contact. Telephone: +39 051 6440196.
2. Data processed and their sources
We collect data relevant to the service requested: first name and surname, contact details, address and billing details; enquiries and correspondence; destinations, dates, vessels and services of interest; and data needed for bookings, contracts, payments and assistance. Identity document details, nationality, birth details or boating licence details are requested only when necessary for the specific service or applicable requirements.
When you browse our websites, we may process IP addresses, technical browser and device data, server requests, access dates and times, and information required for security and operation. Cookies and tracking tools are described in section 5. Newsletter interactions are described in section 4.
Data are normally obtained directly from the data subject. They may also be provided by the person organising a group booking, an appointed agency or broker, an employer for business travel, yacht owners or other suppliers involved in the service. Depending on the circumstances, these may include identification, contact, booking and travel requirement data. Upon request, Ocean Yachting will specify the particular source of the data.
Anyone providing data about other people must supply only necessary information and be entitled to do so. Ocean Yachting ensures that data subjects are informed within the time limits set by Article 14 GDPR: within one month of collection and, if earlier, when first communicating with the data subject or first disclosing the data to other recipients, subject to the exceptions provided by that Article. The provision of data by the booking contact does not constitute marketing consent on behalf of other participants.
3. Purposes and legal bases
Information requests and service management
We use data to respond to enquiries, prepare quotations, suggest options consistent with the requested trip, and manage bookings, contracts, payments, operational communications and assistance. The legal basis is the taking of pre-contractual steps at the data subject’s request or the performance of a contract to which the data subject is a party, pursuant to Article 6(1)(b) GDPR. No general privacy consent is required for these activities.
For business contacts and participants who are not parties to the contract, the processing of ordinary personal data strictly necessary to organise the service is based, where applicable, on the legitimate interests of Ocean Yachting and the customer in managing the booking and business relationship, pursuant to Article 6(1)(f), following an assessment balancing those interests against the rights of the data subjects. Point (c) applies to obligations imposed by European Union or Italian law.
Legal obligations and protection of rights
We process data to comply with tax, accounting and administrative obligations and lawful requests from authorities, on the basis of Article 6(1)(c) GDPR. To prevent misuse, protect systems and information, and establish, exercise or defend legal claims, the basis is Ocean Yachting’s legitimate interest in security and protecting its rights, to the extent necessary and following a balancing assessment, pursuant to point (f).
Newsletters and commercial communications
With your consent, we send newsletters, availability information, offers and updates on Ocean Yachting’s services by email. The legal basis is Article 6(1)(a) GDPR, read in conjunction with Article 130 of the Italian Privacy Code. Consent is optional, capable of being documented and withdrawable; it is not required to obtain a quotation or make a booking. Publishing contact details online or exchanging a business card does not amount to consent.
Only in the circumstances permitted by Article 130(4) of the Italian Privacy Code may we use an email address provided in the context of a sale to offer our own services similar to those already purchased, provided that the data subject has been informed and has not objected, either initially or subsequently. This processing, known as soft spam, is based on the legitimate interest in promoting similar services, subject to the above provision and the necessary balancing assessment. You may object free of charge in every message. A simple request for a quotation does not qualify for this exception; the exception does not, by itself, authorise individual tracking.
Special requirements and health data
Allergies, intolerances, assistance needs or other information provided to organise your stay may include health data or reveal religious beliefs. Please provide only what is essential. Where necessary, we obtain explicit consent to process and disclose such data to the suppliers who need to arrange the service, pursuant to Article 9(2)(a) GDPR, together with the relevant basis under Article 6. Other exceptions under Article 9 apply only if their conditions are actually met.
Failure to provide these data or withdrawal of consent may prevent us from arranging the specific personalised service, without affecting services that can be provided without those data. This information is not used for marketing or commercial profiling.
4. Email tracking and preference management
Newsletters may contain tracking pixels: small images loaded from a remote server when the email program downloads images in the message. They may also contain personalised links that record clicks. These tools may associate opens, dates and times, the number of opens and selected links with the recipient, together with technical information such as IP address, email client, device and approximate location derived from the IP address.
Individual measurements are used to assess interest in communications and, where enabled, to personalise topics, offers or mailing frequency. This personalisation may constitute profiling: for example, interest in content about a destination may result in offers relating to that destination.
For new processing activities, individual tracking is enabled only after prior, freely given, informed and unambiguous consent, pursuant to Articles 6(1)(a) and 7 GDPR and Article 122 of the Italian Privacy Code, where applicable. The consent request must make this activity identifiable; merely referring to the privacy notice or opening an email does not constitute consent. For processing already underway, the transitional conditions in paragraph 6 of Decision No. 284/2026 apply where their requirements are met, with an updated privacy notice and the option to withdraw consent to tracking alone.
Every newsletter includes controls to unsubscribe from promotional communications and manage tracking. You can disable individual tracking alone and continue receiving newsletters without such measurement. You may also communicate this choice to info@ocy.it. Withdrawal does not affect the lawfulness of processing carried out before withdrawal and does not restrict access to services.
Any statistical counts made without consent are permitted only where the conditions laid down by the legislation and Guidelines are met, using techniques that prevent personalised measurements. Merely presenting results in aggregate form or replacing an email address with a code does not make the data anonymous. Where those conditions are not met, no individual statistics are collected for people who refuse tracking.
Communications necessary to manage enquiries, contracts and bookings may continue after you unsubscribe from marketing. Their operational nature does not automatically authorise monitoring of opens: any strictly necessary tools are assessed and described for the specific purpose, without extending their use to promotional purposes.
5. Cookies and other tools on websites
Technical cookies and strictly necessary tools enable browsing, security and requested functionality. Profiling cookies and other non-essential tools are activated only after consent, where required by Article 122 of the Italian Privacy Code. Analytics tools are treated as technical tools only when they meet the conditions specified by the Italian Data Protection Authority.
An up-to-date list of the tools actually used, their providers, purposes and durations is available in the Cookie Policy. The Cookie settings panel, available from the link at the bottom of every page of the website, allows you to accept, reject or change your preferences. Continuing to browse or scrolling a page does not amount to consent. Website cookie preferences and newsletter tracking preferences are managed in their respective panels.
6. Recipients of the data
Data are accessible to authorised staff and associates within the scope of their duties. Where necessary, they may be disclosed to yacht owners, charter companies, captains or relevant crew members, agencies and brokers involved in the booking, tour operators, accommodation providers, carriers, insurers and suppliers of the requested services; payment institutions, accounting or legal advisers; and competent authorities in the cases provided for by law.
Hosting, maintenance, IT management, storage, CRM and newsletter service providers may process data on behalf of Ocean Yachting as processors pursuant to Article 28 GDPR, under agreements and instructions. Entities that independently determine the purposes and means of processing act as independent controllers and provide their own privacy notices. Their status depends on their actual role, rather than merely their business category.
The platform used to send and manage newsletters is Mailup by Teamsystem Spa, whose registered office is at Via Sandro Pertini, 88, 61122 Pesaro (PU), Italy. Up-to-date information about recipients and processors may be requested using the controller’s contact details. Data are not publicly disseminated, and contact lists are not sold or made available to third parties for their own marketing purposes. Any independent promotional activities by third parties require a separate privacy notice and consent where required.
7. Transfers outside the European Economic Area
Organising trips outside the European Economic Area and using certain technology providers may involve transfers of data to, or access from, third countries. Transfers must be based on an applicable adequacy decision or appropriate safeguards under Article 46 GDPR, such as standard contractual clauses, together with the necessary assessments and supplementary measures.
Derogations may apply only in the specific cases and within the limits of Article 49 GDPR, for example for an occasional transfer strictly necessary for the travel contract or for a contract concluded in the traveller’s interests. These derogations do not provide a general basis for systematic transfers or the routine use of a marketing platform.
Information about the safeguards applied and a copy of them, with any redactions needed to protect third-party data, may be requested using the controller’s contact details. For transfers related to the destination, specific information is provided before the transfer in the documentation relating to the service.
8. Retention periods
Data are retained for a period proportionate to the purposes. At the end of that period, they are deleted or anonymised, subject to legal obligations or documented needs to protect rights, limited to relevant data. The following periods apply:
| Category | Period or criterion |
|---|---|
| Enquiries without a booking | 12 months from the last exchange relating to the enquiry. |
| Contracts and accounting documents | For the duration of the relationship; thereafter for the applicable statutory periods. Accounting records are retained for 10 years from the last entry, subject to any longer periods required by law. |
| Operational participant data and copies of documents | Until the service and related requirements have been completed; deletion within 30 days of closing the file, subject to specific obligations. Unnecessary data are not retained with accounting documentation. |
| Special requirements and health data | To organise and provide the service; deletion within 30 days of completion of the service, unless there is a separate, documented reason for retention permitted by law. |
| Consent-based marketing | Until consent is withdrawn. |
| Soft spam | Until an objection is made. |
| Individual newsletter tracking | Until consent is withdrawn and in any event no longer than 6 months from the collection of each event. Upon withdrawal, measurements stop and the data are deleted or anonymised, except for the evidence needed to document choices. |
| Technical logs and cookies | Ordinary logs: 30 days from recording, subject to documented security needs. Cookies: durations specified in the Cookie Policy. |
Records of consents and withdrawals are retained separately from the mailing management software to document compliance with obligations and protect rights. A suppression list containing only the minimum necessary information enables us to honour objections and prevent contacts from being re-added to promotional lists for as long as that risk persists, with periodic reviews of necessity. Data retained for these purposes are not reused for marketing.
9. Provision of data and processing methods
The data needed to respond to enquiries, enter into and perform a contract, or comply with legal obligations must be provided for those purposes: without them, it may not be possible to deliver the service. Optional fields and consents for marketing and tracking are separate from those that are necessary. Refusing these consents does not affect bookings or assistance.
Data are processed using IT tools and, where necessary, paper records, with technical and organisational measures proportionate to the risks: access restricted to authorised persons, staff instructions, system protection and retention management. The principles of data minimisation and data protection by design and by default are applied.
Any personalisation of newsletters is described in section 4.
10. Children’s data
When organising trips involving children, necessary data are collected through a parent, guardian or other authorised person and used for the booking, the requested services and applicable requirements. The safeguards in section 3 apply to any special categories of data. Children’s data collected for travel are not used for marketing or commercial profiling.
11. Data subjects’ rights
In the cases and within the limits provided by Articles 15–22 GDPR, you may obtain access to your data and a copy of them, have them rectified or completed, and request their erasure or restriction of processing. You may obtain portability of the data you have provided where processing is based on consent or a contract and is carried out by automated means.
You may object, on grounds relating to your particular situation, to processing based on legitimate interests. You may object at any time to direct marketing, including related profiling, without giving reasons. You may withdraw consent as easily as you gave it; for newsletters, you may also withdraw consent to tracking alone, as described in section 4.
Requests may be sent to info@oceanyachting.com or info@ocy.it. We respond without undue delay and in any event within one month of receipt; where requests are particularly complex or numerous, this period may be extended by a further two months, informing the data subject within the first month and explaining the reasons. If there are reasonable doubts about identity, only information necessary for verification may be requested.
You may lodge a complaint with the Italian Data Protection Authority using the procedures available at www.garanteprivacy.it, or with the competent supervisory authority in the European country of your habitual residence, place of work or the alleged infringement. Your right to seek a judicial remedy remains unaffected.
12. Updates
This privacy notice may be updated to reflect changes in services, processing activities or legislation. The updated version states its publication date. For new purposes, the necessary information is provided in advance and, where required, fresh consent is obtained. Publishing a new privacy notice does not replace consent or automatically remedy past processing.
