1. Riferimenti e titolare
1.1 Art. 122 D.Lgs. 196/2003 (Codice privacy, come modificato dal D.Lgs. 101/2018); Garante per la protezione dei dati personali, «Linee guida cookie e altri strumenti di tracciamento» del 10 giugno 2021 [DA VERIFICARE CON IL LEGALE: numero del provvedimento e testo vigente sul sito del Garante]; artt. 4.11, 6.1.a e 7 GDPR per il consenso.
1.2 Titolare: [DA COMPILARE: ragione sociale — L-24], contatti come in informativa-privacy.md § 1.
2. Le quattro categorie (come nella pagina «Le tue preferenze»)
La pagina /preferenze-cookie mostra quattro interruttori, con le stesse etichette della tavola FE-62 (apps/web/lib/consenso.ts, CATEGORIE):
| Categoria | Stato iniziale | Serve il consenso? | Che cosa comprende | Oggi sul sito |
|---|---|---|---|---|
| Necessari | «Sempre attivi» (interruttore bloccato) | no: strumenti strettamente necessari al servizio che chiedi (art. 122 c. 1) | memorizzare la scelta sui cookie, il carrello, l'accesso all'account, la sessione dello staff | sì (§ 3) |
| Statistiche | «Disattivati» | sì | misura dell'uso del sito (Google Analytics 4) | nessuno strumento caricato |
| Marketing | «Disattivati» | sì | pixel e conversioni pubblicitarie (Meta, TikTok, Google Ads), solo se il club li sceglie (L-41) | nessuno strumento caricato |
| Video esterni | «Disattivati» | sì | lettori di piattaforme video terze in Imolese TV | nessun lettore caricato |
2.1 Nessun consenso presunto. Le categorie facoltative restano spente finché non le accendi; un cookie mancante, illeggibile o di una versione precedente dell'informativa vale «tutto spento» (leggiConsenso). Scorrere la pagina o continuare a navigare non vale come consenso.
2.2 Due pulsanti di pari evidenza. «Salva preferenze» salva gli interruttori accesi; «Rifiuta facoltativi» spegne tutte le categorie facoltative. Entrambi funzionano anche senza JavaScript (modulo con azione sul server, apps/web/app/preferenze-cookie/azione.ts). Dopo il salvataggio la pagina conferma l'esito e mostra data e ora dell'ultima scelta e la versione dell'informativa.
2.3 Statistiche [DA VERIFICARE CON IL LEGALE: le Linee guida ammettono come tecnici gli analytics di prima parte che riducono l'identificabilità e non incrociano i dati; il progetto li tratta comunque come facoltativi, con consenso].
3. Cookie presenti nel sito (inventario letto nel codice)
3.1 Per tutti i visitatori
| Nome | Categoria | Parte | A che cosa serve | Durata | Caratteristiche | Fonte nel codice |
|---|---|---|---|---|---|---|
imo_consenso | Necessari | prima | memorizza le tue scelte: versione dell'informativa, data della scelta, sì/no per Statistiche, Marketing, Video esterni | 180 giorni; decade prima se cambia la versione dell'informativa | leggibile dagli script (servirà a caricare i servizi facoltativi solo se consentiti), SameSite=Lax, Secure sul sito pubblico | apps/web/lib/consenso.ts, apps/web/app/preferenze-cookie/azione.ts; D-87 |
imo_carrello | Necessari | prima | identificativo del carrello, per ritrovarlo tra una pagina e l'altra | 30 giorni | non leggibile dagli script (HttpOnly), SameSite=Lax, Secure con indirizzo https | apps/web/lib/carrello.ts; EC04, D-154 |
imo_prezzi_visti | Necessari | prima | prezzi unitari delle righe del carrello visti all'ultima modifica, per avvisarti se un prezzo cambia prima del pagamento | 30 giorni | come sopra; contiene solo identificativi di riga e prezzi | apps/web/lib/carrello.ts, apps/web/lib/carrello-regole.ts; EC04 |
imo_cliente | Necessari | prima | sessione dell'account My Imolese dopo l'accesso o la registrazione | 24 ore (cancellato all'uscita) | come sopra | apps/web/app/account/azioni/route.ts; AC01 |
3.2 Solo per gli operatori del club (pannello di amministrazione)
| Nome | Categoria | A che cosa serve | Durata | Fonte nel codice |
|---|---|---|---|---|
imo_sessione_staff | Necessari | sessione dell'operatore nel pannello | 12 ore al massimo; la sessione scade sul server dopo 2 ore di inattività | packages/cms/src/auth/sessioni.ts; D-75 |
imo_attivazione_mfa | Necessari | passaggio di attivazione dell'autenticazione a due fattori | 10 minuti | apps/admin/lib/attivazione.ts, apps/admin/lib/azioni/accesso.ts |
payload-token | Necessari | sessione dell'amministratore tecnico nel pannello nativo /cms | 2 ore | nome predefinito di Payload; durata da packages/cms/src/collections/StaffUsers.ts (tokenExpiration) — da verificare in F13 sul pannello in esecuzione |
3.3 Strumenti di terze parti (non presenti oggi)
| Strumento | Categoria | Quando arriva | Condizione |
|---|---|---|---|
| Pagine di pagamento Stripe e PayPal | impostati sui domini dei fornitori, non sul sito | F07, solo con gli account del club (L-19, L-20) | [DA VERIFICARE CON IL LEGALE: se vanno elencati, dato che sono impostati sul dominio del fornitore durante il pagamento] |
| Google Analytics 4 | Statistiche | F12 (L-40) | solo dopo il consenso «Statistiche» |
| Pixel Meta e TikTok, tag Google Ads | Marketing | F12, solo se il club li sceglie (L-41) | solo dopo il consenso «Marketing»; mai il nome personalizzato della maglia (MERCH-T16) né dati personali negli indirizzi |
| Lettore video esterno [DA COMPILARE: piattaforma] | Video esterni | F12 | senza consenso resta visibile il poster con un'alternativa (FE06) |
3.4 Regola per chi sviluppa il sito. Nessun cookie o strumento compare sul sito se non è in questa tabella. Ogni voce nuova cambia la versione dell'informativa (VERSIONE_INFORMATIVA in apps/web/lib/consenso.ts, oggi «2026-10-06») e quindi fa decadere le scelte precedenti (D-87). Il feed di prodotto per Google e Meta non è un cookie e non contiene dati personali (informativa-privacy.md § 7.3).
4. Banner (secondo le Linee guida del 2021)
4.1
4.2 Requisiti proposti per il banner (testo da approvare: scelta S-08 del registro-scelte-legali.md):
- comparire alla prima visita e dopo ogni cambio di versione dell'informativa;
- dire in poche righe che il sito usa cookie necessari e, solo con consenso, cookie di statistica, marketing e video esterni, con il collegamento a questa policy;
- offrire con pari evidenza «Accetta tutti», «Rifiuta» (o la chiusura con la «X» che mantiene solo i necessari) e «Personalizza», che apre
/preferenze-cookie; - non usare colori o posizioni che spingono verso l'accettazione; non considerare consenso lo scorrimento;
- non riproporsi a chi ha scelto prima di sei mesi (il cookie
imo_consensodura 180 giorni), salvo cambi rilevanti dei servizi usati.
[DA VERIFICARE CON IL LEGALE: testo del banner e conformità puntuale al provvedimento del 10 giugno 2021.]
5. Come cambiare idea
5.1 Puoi cambiare le scelte in ogni momento da /preferenze-cookie. La revoca vale per il futuro (art. 7.3 GDPR).
5.2 Puoi anche cancellare o bloccare i cookie dalle impostazioni del browser; bloccando i necessari il carrello e l'accesso all'account non funzionano.
6. Prova del consenso
6.1 Oggi la scelta vive solo nel cookie imo_consenso sul tuo dispositivo, con data e versione. In F12 arriva il registro lato server degli eventi di consenso, in sola aggiunta (AD29; EMAIL-53). [DA VERIFICARE CON IL LEGALE: dati minimi del registro e durata di conservazione — scelta S-06.]