Documento 3 di 4
Cookie e strumenti di tracciamento
Prima che tu esprima una scelta, su questo sito non viene installato nulla che non sia strettamente necessario a farlo funzionare. Nessuna misurazione di terze parti, nessun pixel pubblicitario, nessun carattere tipografico caricato da un dominio esterno, nessun video incorporato, nessuna chat.
Il documento che regola la materia
«Linee guida cookie e altri strumenti di tracciamento», provvedimento del Garante n. 231 del 10 giugno 2021 (doc. web 9677876), pubblicato il 9 luglio 2021 e vincolante dal 10 gennaio 2022. Tutto ciò che segue è la sua applicazione.
1. Le regole che applichiamo
La materia è regolata dall’art. 5, paragrafo 3, della Direttiva 2002/58/CE (ePrivacy), dall’art. 122 del Codice Privacy (D.Lgs. 196/2003), dagli artt. 4, punto 11, 6, 7 e 25 del GDPR e, per l’Italia, dalle linee guida del Garante citate qui sopra.
La regola di fondo è semplice: i cookie tecnici possono essere installati senza consenso; tutto il resto richiede un consenso libero, specifico, informato e inequivocabile, prestato con un’azione positiva. Il silenzio, la prosecuzione della navigazione e le caselle preselezionate non sono consenso.
Le stesse regole valgono per gli strumenti di tracciamento diversi dai cookie: pixel, web beacon, fingerprinting, identificatori memorizzati nel local storage. Il nome della tecnologia non cambia l’obbligo.
2. Le tre categorie
- Cookie tecnici e strettamente necessari
- Servono a erogare il servizio che hai richiesto: mantenere la sessione, ricordare la lingua, proteggere i moduli, memorizzare la tua scelta sui cookie. Non richiedono consenso ai sensi dell’art. 122 del Codice Privacy e non possono essere disattivati senza compromettere il funzionamento del sito.
- Cookie analitici
- Misurano l’uso del sito. Possono essere assimilati ai cookie tecnici, e quindi usati senza consenso, soltanto se ricorrono tutte e quattro le condizioni indicate al punto 4. In caso contrario richiedono il consenso come qualsiasi altro strumento di tracciamento.
- Cookie di profilazione e marketing
- Servono a costruire profili e a mostrare pubblicità personalizzata, anche su altri siti. Richiedono sempre il consenso, sono preimpostati su «negato» e oggi non ne utilizziamo alcuno.
3. Che cosa viene installato prima del consenso
Soltanto i cookie tecnici elencati nella tabella al punto 5. In particolare, prima che tu abbia scelto non viene effettuata alcuna connessione a domini di terze parti per finalità di misurazione o di pubblicità. Sono impegni architetturali, non promesse editoriali:
- i caratteri tipografici sono ospitati sui nostri server: nessuna richiesta a fonts.gstatic.com, che sarebbe insieme una connessione a terzi e un trasferimento verso gli Stati Uniti;
- nessun video incorporato da piattaforme esterne nelle pagine pubbliche;
- nessun widget di chat, di recensioni o di social network caricato automaticamente;
- lo stato del consenso è memorizzato in un cookie leggibile lato server, non nel local storage, perché altrimenti l’HTML iniziale verrebbe generato senza sapere che cosa hai scelto;
- gli script di terze parti, se un giorno ce ne saranno, vengono caricati soltanto all’interno di un componente subordinato al consenso, mai nel layout dell’applicazione.
I cookie di Stripe elencati nella tabella vengono installati soltanto sulle pagine di pagamento, dove sono strettamente necessari alla prevenzione delle frodi, e non sulle pagine informative del sito.
4. Analisi di traffico senza consenso: le quattro condizioni
Il Garante ammette che gli strumenti di misurazione siano trattati come cookie tecnici, e quindi utilizzati senza consenso, soltanto se ricorrono tutte le condizioni seguenti.
- 1L’indirizzo IP è mascherato: almeno il quarto ottetto di un indirizzo IPv4, o l’equivalente per IPv6. Le linee guida osservano che questo lascia un margine di incertezza intorno allo 0,4%.
- 2La misurazione è di prima parte: un solo sito o applicazione, oppure più domini riferibili allo stesso titolare o allo stesso gruppo.
- 3Il terzo che fornisce lo strumento non combina i dati minimizzati con propri archivi di clienti né con statistiche raccolte su altri siti.
- 4I risultati sono statistiche aggregate e non alimentano decisioni commerciali individuali.
Per questo usiamo una soluzione di analisi ospitata nell’Unione europea o sui nostri server, senza cookie e senza identificatori persistenti, configurata con anonimizzazione dell’indirizzo IP. La conseguenza pratica è che le nostre statistiche funzionano anche per chi rifiuta tutto, il che le rende più affidabili e non meno.
Non usiamo Google Analytics. Il Garante, con il provvedimento n. 224 del 9 giugno 2022 nei confronti di Caffeina Media S.r.l. (doc. web 9782890), ha ammonito il titolare per il trasferimento dei dati dei visitatori a Google LLC negli Stati Uniti senza adeguate garanzie e ha ordinato di conformare il trattamento entro 90 giorni, prospettando altrimenti la sospensione dei flussi.
5. I cookie che questo sito installa
Nessuno di questi cookie serve a profilarti. Tutti sono di prima parte, compresi i due di Stripe, che sono installati sul nostro dominio e compaiono soltanto durante il pagamento; l’unica eccezione è «m», l’unico cookie di terza parte del sito, impostato dal dominio m.stripe.com e anch’esso soltanto durante il pagamento.
| Nome | Titolare | Finalità | Durata | Categoria |
|---|---|---|---|---|
| vincode_consent | vincode (prima parte) | Registra la tua scelta per categoria, la data e l’ora in cui l’hai espressa, la versione di questa informativa, la versione dello strumento di raccolta e l’identificativo del consenso | 6 mesi | Tecnico |
| NEXT_LOCALE | vincode (prima parte) | Ricorda la lingua che hai selezionato, per non riproporre il rilevamento automatico. Non ha scadenza: si cancella alla chiusura del browser. Viene impostato soltanto al reindirizzamento dalla radice del sito o quando cambi lingua, non se apri direttamente un indirizzo che contiene già il prefisso di lingua | Sessione | Tecnico |
| authjs.csrf-token | vincode (prima parte) | Protegge i moduli di accesso da richieste contraffatte provenienti da altri siti. Impostato dalle rotte di autenticazione, non leggibile da JavaScript | Sessione | Tecnico |
| authjs.callback-url | vincode (prima parte) | Conserva l’indirizzo a cui riportarti al termine dell’accesso. Impostato dalle rotte di autenticazione, non leggibile da JavaScript | Sessione | Tecnico |
| authjs.session-token | vincode (prima parte) | Mantiene la sessione di chi ha effettuato l’accesso al proprio account. Presente soltanto dopo l’autenticazione, non leggibile da JavaScript | 30 giorni | Tecnico |
| __stripe_mid | Stripe (prima parte) | Prevenzione delle frodi sul pagamento. Impostato sul nostro dominio, soltanto nelle pagine di pagamento | 12 mesi | Tecnico |
Non utilizziamo cookie di profilazione. Se in futuro ne introdurremo, questa tabella verrà aggiornata prima dell’attivazione, la modifica sarà considerata un cambiamento significativo delle condizioni del trattamento e ti verrà richiesto un nuovo consenso.
7. Come cambiare le tue scelte
In fondo a ogni pagina trovi un collegamento permanente che riapre il pannello delle preferenze e mostra lo stato attuale del tuo consenso. Puoi modificarlo o revocarlo in qualsiasi momento, con la stessa facilità con cui lo hai prestato.
Puoi inoltre gestire i cookie dalle impostazioni del tuo browser, che nella sezione dedicata a privacy e sicurezza permettono di bloccarli o di cancellarli, in blocco o per singolo sito.
Attenzione a una conseguenza pratica: bloccare i cookie tecnici impedisce di completare l’acquisto, perché la sessione e lo stato del pagamento non possono essere mantenuti. Non è una limitazione che possiamo aggirare.
8. Rapporto con gli altri documenti
Questa pagina descrive gli strumenti di tracciamento e la loro durata. Il trattamento dei dati personali che ne deriva, i tuoi diritti e i tempi di conservazione sono descritti nell’informativa privacy.
Il trattamento dei dati contenuti nella banca dati veicoli è oggetto di un’informativa ulteriore e separata, richiesta dall’art. 14 del GDPR perché quei dati non sono raccolti presso l’interessato. Tre documenti distinti sono ciò che la prassi italiana si attende, e accorparli renderebbe ciascuno meno leggibile.
9. Contatti e aggiornamenti
Per qualsiasi domanda su questa pagina scrivi a [email protected].
Ogni versione di questa informativa è numerata e datata. Un cambiamento nell’elenco dei cookie, nella loro durata o nell’ingresso di un nuovo fornitore comporta l’aggiornamento della tabella e, dove il consenso è necessario, una nuova richiesta.