Politica cookie

Inventario aggiornato TASK137B. Nessun cookie analitico o marketing di terze parti. Cookie di sessione, preferenze admin, bozza locale, preferenza statistiche (up101_stats_consent) ed eventi first-party solo dopo consenso.

1. Cosa sono cookie e tecnologie simili

Cookie HTTP, sessionStorage/localStorage ed eventi server-side possono memorizzare o elaborare dati sul dispositivo o nel backend. Qui elenchiamo ciò che TravelOS usa realmente.

2. Inventario attivo

Versione inventario 3.0.0-TASK137B (revisione 2026-09-09). • up101_session (http_cookie) — Authenticated admin session Dati: Session token (HttpOnly); hash in DB Durata: SESSION_TTL_HOURS or logout Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STRICTLY_NECESSARY • up101_csrf (http_cookie) — CSRF protection for admin mutations Dati: CSRF token Durata: Aligned with session Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STRICTLY_NECESSARY • up101_client_session (http_cookie) — Authenticated client portal session Dati: Client session token (HttpOnly) Durata: Portal session TTL or logout Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STRICTLY_NECESSARY • up101_client_csrf (http_cookie) — CSRF protection for portal mutations Dati: CSRF token Durata: Aligned with portal session Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STRICTLY_NECESSARY • up101_client_impersonation (http_cookie) — Read-only admin preview of client portal Dati: Impersonation marker Durata: Preview session Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STRICTLY_NECESSARY • up101_mfa_pending (http_cookie) — MFA challenge state for Super Admin Dati: Pending MFA challenge id Durata: Short-lived challenge window Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STRICTLY_NECESSARY • up101_admin_market (http_cookie) — Admin UI market filter preference Dati: Market code Durata: Browser session / preference TTL Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: FUNCTIONAL_PREFERENCE • up101_admin_territory (http_cookie) — Admin UI territory filter preference Dati: Territory code Durata: Browser session / preference TTL Destinatari: UP101 application only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: FUNCTIONAL_PREFERENCE • up101_audit_form_draft (session_storage) — Restore unfinished public audit form fields after accidental refresh Dati: companyName, website, email only — never consent checkboxes Durata: Max 2 hours from last edit; cleared on successful submit Destinatari: Local browser only (not sent to analytics) Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STORAGE_DRAFT • up101_first_landing_path (session_storage) — First public path in the visit for inbound attribution Dati: Path string (no email/message) Durata: Browser tab session Destinatari: Sent with audit/contact submit as firstLandingPath Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: STORAGE_DRAFT • up101-admin-sidebar-collapsed (local_storage) — Admin sidebar collapsed preference Dati: boolean UI flag Durata: Until cleared by user Destinatari: Local browser only Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: FUNCTIONAL_PREFERENCE • up101_stats_consent (http_cookie) — Stores optional first-party statistics preference (version + choice). Not a visitor analytics id. Dati: JSON: version, stats boolean, choice, timestamp Durata: 180 days or until cleared Destinatari: UP101 application only (first-party) Consenso: non richiesto (necessario / bozza locale / decisione titolare per stats) Categoria: FIRST_PARTY_STATS • InboundEvent (first-party optional) (server_event) — Optional navigation/funnel measurement (page/CTA/audit start) — gated by prior stats consent; no third-party pixels Dati: kind, path, src/campaign, truncated user-agent, visitClass, statsConsent=true; no IP on events; no form bodies Durata: Operational retention per ROPA / inbound events policy Destinatari: UP101 hosting (Hostinger VPS Frankfurt) as controller infrastructure Consenso: richiesto prima dell'attivazione Categoria: FIRST_PARTY_STATS

3. Cosa non usiamo

Nessun Google Analytics, GTM, Meta Pixel, Hotjar, Matomo, Plausible o remarketing. Nessun Google Fonts da CDN. Nessun IndexedDB/service worker che memorizzi dati personali del visitatore pubblico.

4. Statistiche first-party

Gli eventi di navigazione/funnel (viste pagina, CTA, avvio audit) sono facoltativi e restano disattivati finché non accetti le statistiche nel banner Preferenze. Dopo il consenso registriamo solo eventi successivi, senza IP sull'evento e senza pixel di terzi. Il rifiuto o la chiusura del banner equivalgono ai soli necessari. Accettare le statistiche non iscrive al marketing email. Le richieste audit, login, assistenza e pagamenti funzionano senza consenso statistico.

5. Base giuridica e banner

Cookie e storage strettamente necessari al servizio o alla sicurezza: Art. 6.1.b / 6.1.f GDPR (sempre attivi). Statistiche first-party facoltative: consenso preventivo (ePrivacy / Art. 6.1.a). Banner con Accetta / Solo necessarie / Personalizza; link Preferenze cookie nel footer. Nessun buffer di eventi prima del consenso.

6. Gestione

Puoi eliminare cookie e storage dal browser. Bloccare cookie essenziali può impedire login admin/portale. La bozza audit (sessionStorage) scade dopo poche ore ed è cancellata dopo invio riuscito; non ripristina i checkbox di consenso.

7. Titolare

Titolare del trattamento: UP 101 DI PIZZO MATTEO MARIO Nome commerciale: UP101 Prodotto: UP101 TravelOS P.IVA: 02815530064 (IT02815530064) Sede fiscale: Corso Crimea 35 15121 Alessandria (AL) Italia Contatto privacy: info@up101.dev PEC: matteomariopizzo@pec.it UP101 TravelOS è un prodotto di UP 101 DI PIZZO MATTEO MARIO (nome commerciale UP101). UP101 Tenerife è un nome operativo storico legato a Tenerife e non indica una società spagnola separata.

Inventario tecnico: docs/legal/COOKIE_INVENTORY.md · codice: tracking-inventory.ts