Política de cookies

Versión 1.0 — En vigor desde 26/04/2026

PREÁMBULO

La presente Política de Cookies (en adelante la «Política de Cookies» o el «Aviso») describe los tipos de cookies y otras herramientas de rastreo utilizadas por Inmedia S.r.l. (en adelante «Stravagando» o la «Plataforma»), responsable de la plataforma digital Stravagando accesible en la dirección principal stravagando.com y subdominios relacionados, en la app móvil para iOS y Android (en adelante la «App»), así como en los canales de email transaccional y de marketing que utilizan tecnologías análogas (en adelante, conjuntamente, las «Herramientas de Rastreo»).

El uso de Herramientas de Rastreo por parte de Stravagando se realiza en cumplimiento de:

• (a) el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante el «RGPD»);

• (b) el italiano Decreto Legislativo de 30 de junio de 2003 n.º 196 («Código Privacy italiano»), modificado por el italiano Decreto Legislativo de 10 de agosto de 2018 n.º 101;

• (c) la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (Directiva ePrivacy), modificada por la Directiva 2009/136/CE;

• (d) las Directrices de la Garante italiana para la Protección de los Datos Personales (en adelante el «Garante»), y en particular la Disposición de 10 de junio de 2021 «Directrices sobre cookies y otras herramientas de rastreo» (Reg. provv. n.º 231/2021);

• (e) las Directrices 03/2022 del Comité Europeo de Protección de Datos (CEPD) sobre dark patterns y los dictámenes del Comité Europeo de Protección de Datos;

• (f) para residentes en los Estados Unidos de América, el California Consumer Privacy Act (CCPA) modificado por el California Privacy Rights Act (CPRA) y las demás normativas estatales estadounidenses aplicables (Virginia CDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA).

La presente Política de Cookies integra —y no sustituye— la Política de Privacidad general de la Plataforma, a la cual se hace remisión para toda información relativa al tratamiento de datos personales realizado por Stravagando que excede del uso de Herramientas de Rastreo. En caso de divergencia, prevalecen las disposiciones de la Política de Privacidad en materia de principios generales de tratamiento, base jurídica y derechos del Interesado.

ART. 1 — DEFINICIONES

A los efectos de la presente Política de Cookies, los siguientes términos tienen el significado aquí indicado.

1.1 «Cookies»: pequeños archivos de texto que los sitios web visitados por el Usuario o las aplicaciones utilizadas envían y registran en el dispositivo del Usuario (ordenador, tablet, smartphone, smart-TV u otro dispositivo conectado), para ser luego retransmitidos a los mismos sitios o aplicaciones en la siguiente visita. Las Cookies se utilizan para realizar autenticaciones informáticas, monitorización de sesiones, almacenamiento de información sobre preferencias de los Usuarios, rastreo de comportamientos de navegación, perfilado y otras finalidades descritas en el presente Aviso.

1.2 «Herramientas de Rastreo»: cualquier tecnología — distinta o adicional respecto a las Cookies — que permita rastrear al Usuario, acceder a información memorizada en el dispositivo del Usuario o archivar información en el dispositivo mismo, incluidos a título ejemplificativo: identificadores únicos, web beacons, pixel tag, clear GIF, script integrados, e-tag, fingerprinting del dispositivo, Software Development Kit (SDK) integrados en las App, Local Storage y Session Storage del navegador, IndexedDB, Cache API, identificadores publicitarios móviles (Google Advertiser ID para dispositivos Android, Identifier for Advertisers — IDFA — para dispositivos iOS), pixel de rastreo email.

1.3 «Cookies de Primera Parte»: Cookies y Herramientas de Rastreo instaladas y gestionadas directamente por Stravagando para finalidades conectadas al funcionamiento de la Plataforma y a los servicios ofrecidos.

1.4 «Cookies de Tercera Parte»: Cookies y Herramientas de Rastreo instaladas y gestionadas por sujetos terceros respecto a Stravagando (en adelante las «Terceras Partes»), que operan en calidad de responsables autónomos del tratamiento o de encargados del tratamiento ex art. 28 RGPD según la relación contractual específica y las finalidades perseguidas.

1.5 «Cookies de Sesión»: Cookies temporales que son memorizadas solo durante la duración de la sesión de navegación y canceladas automáticamente al cierre del navegador.

1.6 «Cookies Persistentes»: Cookies que son memorizadas en el dispositivo del Usuario por un periodo predeterminado (expresado en días, meses o años) y retransmitidas en la siguiente visita, hasta el alcance del vencimiento o la cancelación manual por parte del Usuario.

1.7 «Herramientas de Rastreo Estrictamente Necesarias»: Cookies y Herramientas de Rastreo cuya instalación no requiere el previo consentimiento del Usuario en cuanto estrictamente necesarias para suministrar un servicio explícitamente solicitado por el Usuario o para permitir la transmisión de una comunicación sobre una red electrónica (cd. strictly necessary cookies), así como Cookies de naturaleza técnica utilizadas exclusivamente para obtener informaciones estadísticas agregadas, donde concurran los requisitos del párrafo 4.2 de la Disposición del Garante de 10 de junio de 2021 (anonimización, no cruce con otras fuentes, opt-out documentado del proveedor tercero).

1.8 «Herramientas de Rastreo Funcionales»: Cookies y Herramientas de Rastreo utilizadas para recordar elecciones y preferencias del Usuario al fin de mejorar la experiencia de navegación y suministrar funcionalidades avanzadas no estrictamente indispensables. Para las Herramientas de Rastreo Funcionales se requiere el consentimiento previo, salvo que sean cualificables como Herramientas de Rastreo Estrictamente Necesarias en el sentido del precedente punto.

1.9 «Herramientas de Rastreo Analíticas»: Cookies y Herramientas de Rastreo utilizadas para recoger informaciones en forma agregada o desagregada sobre el número de visitantes y las modalidades de uso de la Plataforma, al fin de analizar las estadísticas de uso, medir las performance y mejorar los servicios.

1.10 «Herramientas de Rastreo de Marketing y Perfilado»: Cookies y Herramientas de Rastreo utilizadas para reconducir acciones del Usuario a perfiles de interés, para finalidades promocionales, publicitarias, de retargeting y de personalización de los contenidos comerciales ofrecidos.

1.11 «Cookies de Atribución»: subconjunto de las Herramientas de Rastreo de Marketing utilizado para rastrear el origen del tráfico entrante en la Plataforma y la atribución de las conversiones a campañas específicas, incluida la atribución de las Acciones Cualificantes del Programa de Referidos de Stravagando a los relativos Referidores según el modelo last-click attribution sobre ventana de 90 días.

1.12 «Panel de Preferencias» o «Cookie Manager»: la interfaz técnica puesta a disposición por Stravagando en la Plataforma — accesible mediante el banner de primera visita y mediante el enlace permanente «Tus elecciones sobre las cookies» o «Preferencias cookies y marketing» presente en el pie de página y en otras posiciones accesibles — a través de la cual el Usuario puede prestar, modificar o revocar el propio consentimiento a la instalación de Herramientas de Rastreo no técnicas, de modo granular por categoría.

1.13 «Usuario»: el sujeto al cual se refiere la presente Política de Cookies, que accede y/o utiliza la Plataforma en calidad de visitante no registrado, Huésped/Cliente, Anfitrión o Referidor, según las definiciones contenidas en los respectivos Términos y Condiciones aplicables.

1.14 «Interesado»: la persona física identificada o identificable a la cual se refieren los datos personales tratados ex art. 4, párrafo 1, n.º 1) del RGPD.

1.15 «Datos de Uso»: los datos personales recogidos automáticamente por la Plataforma o por las Herramientas de Rastreo y por los servicios terceros utilizados, comprensivos —a título ejemplificativo— de las direcciones IP o los nombres de dominio de los dispositivos utilizados por los Usuarios, las direcciones URI/URL de los recursos solicitados, el horario de las solicitudes, el método utilizado para enviar las solicitudes al servidor, la dimensión del archivo recibido en respuesta, el código numérico que indica el estado de la respuesta, el País de procedencia, las características del navegador y del sistema operativo utilizados, las varias connotaciones temporales de la visita (por ejemplo el tiempo de permanencia en cada página), el detalle del recorrido seguido y otros parámetros relativos al sistema operativo o al ambiente informático del Usuario.

1.16 «Garante»: la Garante italiana para la Protección de los Datos Personales, autoridad de control italiana en el sentido del RGPD, con sede en Roma, Piazza Venezia n.º 11.

ART. 2 — RESPONSABLE DEL TRATAMIENTO Y ROLES

2.A — Responsable del tratamiento

2.1 Responsable. El Responsable del tratamiento de los datos personales recogidos mediante las Herramientas de Rastreo de Primera Parte es Inmedia S.r.l., con sede legal en Via L'Aquila, 22, código fiscal y número de IVA 02017520681, contactable en las direcciones {company_email} y {company_pec}.

2.2 Delegado de Protección de Datos (DPO). En el caso en que sea nombrado, el Delegado de Protección de Datos (Data Protection Officer) es contactable en la dirección support@stravagando.com. El nombramiento del DPO se publica, donde aplicable, en la Política de Privacidad general de la Plataforma.

2.B — Rol de Stravagando y de las Terceras Partes

2.3 Cookies de Primera Parte. Para las Herramientas de Rastreo de Primera Parte Stravagando actúa como Responsable autónomo del tratamiento.

2.4 Cookies de Tercera Parte. Para las Herramientas de Rastreo de Tercera Parte, cada Tercera Parte actúa, según los casos:

• (a) como Responsable autónomo del tratamiento, cuando la Tercera Parte determina autónomamente las finalidades y los medios del tratamiento (caso típico para proveedores de servicios publicitarios, retargeting, Identity provider de single sign-on, procesadores de pagos beneficiarios de propio marco regulatorio);

• (b) como Encargado del tratamiento ex art. 28 RGPD, cuando la Tercera Parte trata los datos sobre instrucción documentada de Stravagando (caso típico para proveedores de cloud hosting, de analytics configurados en modalidad anonimizada y de servicios de customer support).

El elenco analítico de las Terceras Partes utilizadas por Stravagando, con indicación del relativo rol, finalidad, base jurídica y política privacy, se reporta en el Art. 5 del presente Aviso y se actualiza periódicamente dentro del Panel de Preferencias.

ART. 3 — CATEGORÍAS DE HERRAMIENTAS DE RASTREO UTILIZADAS

Stravagando utiliza las Herramientas de Rastreo clasificadas en las cuatro categorías de seguida descritas, conformes a la clasificación de la Disposición del Garante de 10 de junio de 2021 y al Cookie consent framework del Comité Europeo de Protección de Datos.

3.A — Herramientas de Rastreo Estrictamente Necesarias

3.1 Definición. Son las Herramientas de Rastreo cuya instalación no requiere el previo consentimiento del Usuario en cuanto estrictamente necesarias para suministrar un servicio explícitamente solicitado por el Usuario, para permitir la transmisión de una comunicación, para garantizar la seguridad de la Plataforma o para cumplir con obligaciones normativas.

3.2 Finalidades.

• (a) Funcionamiento del sitio y de la App: gestión de las sesiones de navegación, reconocimiento del Usuario dentro de la misma sesión, mantenimiento del estado de autenticación (login), persistencia del carrito de reserva, gestión del checkout;

• (b) Seguridad y prevención fraudes: identificación de intentos de intrusión, brute force, credential stuffing, bot automatizados, device fingerprinting a fines antifraude integrado con los sistemas de Stripe Connect;

• (c) Conservación de las configuraciones de accesibilidad elegidas por el Usuario (dimensión de los caracteres, contraste, idioma de interfaz), donde configurables sin perfilado;

• (d) Equilibrio de carga y optimización de las prestaciones de los servidores (load balancing);

• (e) Memorización de las elecciones del Usuario en materia de consentimiento a las Cookies (cd. consent log), para cumplir con la obligación de documentación de la prestación del consentimiento ex art. 7 RGPD y de la Disposición del Garante de 10 de junio de 2021;

• (f) Cumplimiento de obligaciones normativas, incluida la conservación de los log de transacción a fines fiscales y antiblanqueo (italiano Decreto Legislativo 231/2007) y de los audit log DAC7 (italiano Decreto Legislativo 32/2023).

3.3 Base jurídica. El uso de Herramientas de Rastreo Estrictamente Necesarias se funda en el art. 122, párrafo 1, primer periodo del Código Privacy italiano, en el art. 6, párrafo 1, letra b) RGPD (ejecución de un contrato del cual el Interesado es parte o ejecución de medidas precontractuales a solicitud del Interesado), en el art. 6, párrafo 1, letra c) RGPD (cumplimiento de obligaciones de ley) y en el art. 6, párrafo 1, letra f) RGPD (legítimo interés del Responsable a la seguridad, prevención fraudes y funcionalidad de la Plataforma), según la finalidad específica.

3.4 Consentimiento. Para las Herramientas de Rastreo Estrictamente Necesarias no se requiere el consentimiento previo del Usuario. La desactivación de tales Herramientas mediante las configuraciones del navegador puede comportar la total o parcial imposibilidad de utilizar la Plataforma y de disfrutar de los servicios.

3.B — Herramientas de Rastreo Funcionales

3.5 Definición. Son las Herramientas de Rastreo utilizadas para recordar elecciones y preferencias del Usuario al fin de mejorar la experiencia de navegación y suministrar funcionalidades avanzadas no estrictamente indispensables.

3.6 Finalidades.

• (a) memorización del idioma seleccionado en la interfaz (cuando distinto del idioma del navegador);

• (b) memorización de la divisa seleccionada para la visualización de los precios;

• (c) memorización de la ciudad de destino o de filtros de búsqueda seleccionados para poblar de modo coherente las visitas sucesivas;

• (d) memorización de wishlist y Experiencias marcadas como favoritas para Usuarios no autenticados;

• (e) integración con player video (p. ej. YouTube, Vimeo) y mapas (p. ej. Google Maps) embebidos en las páginas de detalle de las Experiencias, donde la Tercera Parte requiera Herramientas de Rastreo para el funcionamiento del player/del mapa;

• (f) chat en tiempo real con el servicio clientes (donde activado por proveedor tercero), para el mantenimiento del histórico de la conversación y la identificación del Usuario dentro de la sesión de chat;

• (g) single sign-on mediante cuenta Google, Apple, Facebook, donde el Usuario elija tal modalidad de autenticación.

3.7 Base jurídica. El uso de Herramientas de Rastreo Funcionales se funda en el art. 6, párrafo 1, letra a) RGPD — consentimiento previo del Usuario expresado de modo libre, específico, informado e inequívoco mediante el Panel de Preferencias.

3.C — Herramientas de Rastreo Analíticas

3.8 Definición. Son las Herramientas de Rastreo utilizadas para recoger informaciones sobre el número de visitantes y las modalidades de uso de la Plataforma.

3.9 Distinción entre analíticos agregados y analíticos desagregados.

• (a) Los analíticos agregados asimilables a técnicos son Herramientas de Rastreo utilizadas exclusivamente para obtener informaciones estadísticas agregadas, cuando concurran acumulativamente las condiciones del párrafo 4.2 de la Disposición del Garante de 10 de junio de 2021: (i) anonimización de la dirección IP mediante masking de al menos la cuarta porción (p. ej. 192.168.1.XXX); (ii) ausencia de cruce de los datos con otras fuentes de Primera o Tercera Parte; (iii) ausencia de transferencia a Terceras Partes para autónomas finalidades del proveedor; (iv) configuración del proveedor en modalidad que no permita reconciliación con otras identidades (p. ej. desactivación de la signal sharing con servicios publicitarios del mismo proveedor). Para tales analíticos no se requiere el consentimiento previo, pero el Aviso permanece igualmente publicado.

• (b) Los analíticos desagregados o no asimilables a técnicos son Herramientas de Rastreo que no respetan íntegramente las condiciones del precedente punto (a) (p. ej. rastreo individual del recorrido cross-page, session replay, heatmap identificativas, funnel analysis personalizada). Para tales analíticos se requiere el consentimiento previo.

3.10 Finalidades. Medición del tráfico y de las performance de la Plataforma; análisis del comportamiento de navegación sobre páginas, secciones y funcionalidades; identificación de errores y problemas técnicos; optimización del funnel de conversión; A/B testing de interfaces; producción de report estadísticos a uso interno.

3.11 Base jurídica.

• (a) Para los analíticos agregados asimilables a técnicos: art. 122, párrafo 1 del Código Privacy italiano y art. 6, párrafo 1, letra f) RGPD (legítimo interés del Responsable a la mejora de la Plataforma).

• (b) Para los analíticos desagregados: art. 6, párrafo 1, letra a) RGPD — consentimiento previo del Usuario.

3.D — Herramientas de Rastreo de Marketing y Perfilado

3.12 Definición. Son las Herramientas de Rastreo utilizadas para actividades de perfilado, publicidad dirigida y personalización de los contenidos comerciales ofrecidos al Usuario en la Plataforma y en sitios, app, redes sociales terceros.

3.13 Finalidades.

• (a) Perfilado de los comportamientos de navegación del Usuario al fin de proponer contenidos comerciales coherentes con sus intereses (p. ej. categorías de Experiencias visualizadas, ciudades de destino, franjas de precio);

• (b) Remarketing y retargeting hacia Usuarios que han visitado la Plataforma sin concluir una reserva, mediante campañas publicitarias en sitios, app y redes sociales terceros (Google Display, Meta, TikTok, X);

• (c) Lookalike audience: creación de públicos similares a aquellos de los Usuarios de Stravagando para extender el alcance de las campañas publicitarias, mediante envío a Terceras Partes de identificadores hashed o seudonimizados;

• (d) Medición de las conversiones generadas por campañas publicitarias (conversion tracking) y atribución del tráfico entrante;

• (e) Cookies de Atribución del Programa de Referidos: rastreo del origen del tráfico generado por los Referidores mediante Enlaces de Referidor y atribución de las Acciones Cualificantes sobre ventana móvil de 90 días según el modelo last-click attribution, para las finalidades descritas en los Términos y Condiciones del Programa de Referidos;

• (f) Personalización de los email transaccionales y de marketing (newsletter, sugerencias de Experiencias, comunicaciones post-reserva) mediante pixel de rastreo e identificadores únicos, donde el Usuario haya prestado consentimiento a la recepción de comunicaciones de marketing;

• (g) Afiliación: rastreo del tráfico proveniente de publisher adherentes a programas de afiliación de Stravagando.

3.14 Base jurídica. El uso de Herramientas de Rastreo de Marketing y Perfilado se funda en el art. 6, párrafo 1, letra a) RGPD — consentimiento previo del Usuario expresado de modo libre, específico, informado e inequívoco mediante el Panel de Preferencias, de modo granular por categoría y — donde requerido — por singular Tercera Parte.

3.15 Perfilado automatizado. Salvo cuanto específicamente indicado para singulares Terceras Partes, el uso de las Herramientas de Rastreo de Marketing y Perfilado no comporta procesos decisionales íntegramente automatizados que produzcan efectos jurídicos sobre el Usuario o incidan significativamente sobre su persona ex art. 22 RGPD. Eventuales decisiones relevantes — como la suspensión de la cuenta o el resultado de verificaciones antifraude — son sujetas a reexamen humano en los términos descritos en los Términos y Condiciones Generales y en los Términos Anfitrión/Referidor aplicables.

ART. 4 — PRESTACIÓN, MODIFICACIÓN Y REVOCACIÓN DEL CONSENTIMIENTO

4.A — Banner de primera visita

4.1 Características del banner. Al acceso a la Plataforma por parte de un Usuario que no ha aún expresado las propias preferencias, o en el sentido del párrafo 4.4, se muestra un banner de información breve («Cookie Banner») que reporta:

• (a) la indicación de la presencia de Herramientas de Rastreo y de las finalidades de las mismas;

• (b) la remisión a la presente Política de Cookies;

• (c) los tres comandos de elección, equivalentes por dimensión, posición, color de fondo y contraste: «Aceptar todo», «Rechazar todo» y «Personalizar».

En cumplimiento de la Disposición del Garante de 10 de junio de 2021 y de las Directrices 03/2022 CEPD sobre dark patterns, el comando «Rechazar todo» tiene paritaria evidencia e inmediatez respecto al comando «Aceptar todo». El cierre del banner mediante la sola «X» de cierre no constituye prestación del consentimiento: en tal caso solo las Herramientas de Rastreo Estrictamente Necesarias serán utilizadas y el banner será nuevamente propuesto a las visitas sucesivas en los términos del párrafo 4.4.

4.2 Granularidad. Haciendo clic en «Personalizar», el Usuario accede al Panel de Preferencias y puede prestar el consentimiento de modo granular para cada una de las categorías del Art. 3, y eventualmente por singular Tercera Parte donde la Plataforma ofrezca tal nivel de granularidad.

4.B — Panel de Preferencias

4.3 Acceso permanente. El Panel de Preferencias es accesible en cualquier momento mediante:

• (a) el enlace «Tus elecciones sobre las cookies» o «Preferencias cookies y marketing» presente en el pie de página de todas las páginas de la Plataforma;

• (b) la sección «Privacy» del Panel del Usuario registrado;

• (c) las configuraciones de la App móvil;

• (d) enlace directo incluido en cada email de marketing;

• (e) solicitud directa al Servicio Clientes vía email a support@stravagando.com.

Las elecciones efectuadas por el Usuario son memorizadas en un log de consentimiento conservado a cura de Stravagando por diez años a fines probatorios y de accountability ex art. 5, párrafo 2 RGPD.

4.C — Reproposición del banner y duración de la elección

4.4 Reproposición. El banner es reproposto al Usuario:

• (a) transcurridos seis meses desde la última expresión de las preferencias, salvo que el Usuario haya expresamente aceptado todas las Herramientas de Rastreo y que las finalidades no hayan sido sucesivamente modificadas;

• (b) en ocasión de modificaciones significativas a las finalidades de tratamiento, al elenco de las Terceras Partes o a las categorías de Herramientas de Rastreo utilizadas;

• (c) cuando el Usuario acceda desde un dispositivo o navegador diferente o cancele las Cookies técnicas de consent log;

• (d) al vencimiento natural del Cookie técnico de consent log.

4.D — Revocación

4.5 Revocación simple como la prestación. El Usuario puede revocar en cualquier momento el consentimiento prestado, de modo ágil y con la misma facilidad con la que lo ha prestado, mediante el Panel de Preferencias. La revocación no incide sobre la legitimidad del tratamiento ejecutado sobre la base del consentimiento antes de la revocación.

4.6 Efectos de la revocación. A continuación de la revocación, las Herramientas de Rastreo para las cuales el consentimiento ha sido revocado no serán más utilizadas para nuevas operaciones de tratamiento. Los datos eventualmente ya recogidos permanecen objeto de tratamiento hasta el alcance de las finalidades por las cuales han sido legítimamente recogidos, según los tiempos de conservación del sucesivo Art. 7. El Usuario puede solicitar la cancelación de los datos pasados mediante ejercicio de los derechos RGPD ex Art. 8 del presente Aviso.

4.E — Cross-device y cross-platform

4.7 Sincronización de las preferencias. Las preferencias expresadas por el Usuario registrado son — donde técnicamente posible y donde el Usuario acceda a la propia cuenta — sincronizadas entre todos los dispositivos y todas las plataformas (sitio web, App iOS, App Android, email) sobre los cuales utiliza los servicios de Stravagando, mediante asociación de las preferencias al propio identificador único de cuenta.

4.8 Usuarios no registrados. Para los Usuarios no registrados, las preferencias son memorizadas localmente en el dispositivo/navegador específico utilizado y no son sincronizadas entre dispositivos diferentes. El Usuario que acceda desde un dispositivo diferente encontrará el banner de primera visita.

ART. 5 — ELENCO DE LAS HERRAMIENTAS DE RASTREO Y DE LAS TERCERAS PARTES

5.A — Disclaimer y enlace al Panel

5.1 Elenco actualizado dinámicamente. El elenco analítico y actualizado de las Herramientas de Rastreo utilizadas, incluidos nombre, finalidades, base jurídica, duración, proveedor tercero, País de tratamiento, enlace a la política privacy del proveedor tercero y mecanismo de opt-out, está disponible y actualizado en tiempo real dentro del Panel de Preferencias. El presente Art. 5 proporciona un cuadro descriptivo por categoría de las Terceras Partes utilizadas al momento de la última revisión del presente Aviso, sin pretensión de exhaustividad respecto a la versión del Panel de Preferencias, que da fe.

5.B — Herramientas de Rastreo Estrictamente Necesarias (Primera Parte)

5.2 Funcionalidades de sesión y autenticación.

• Cookies de sesión gestionadas por la infraestructura aplicativa de Stravagando para la autenticación y la persistencia de la sesión de navegación.

• Duración: de sesión (canceladas al cierre del navegador) o persistentes hasta 30 días en modalidad «Permanecer conectado».

• Base jurídica: art. 6, párrafo 1, letra b) RGPD.

5.3 Funcionalidades antifraude y seguridad.

• Cookies y fingerprinting para device identification, velocity check y análisis del riesgo en fase de reserva y pago, integrados con los sistemas antifraude de Stripe.

• Duración: variable, de sesión a 24 meses para identificadores seudonimizados de riesgo.

• Base jurídica: art. 6, párrafo 1, letra f) RGPD (legítimo interés a la prevención fraudes).

5.4 Consent log.

• Cookie técnico para la memorización de las elecciones del Usuario sobre las Cookies.

• Duración: 6 meses.

• Base jurídica: art. 6, párrafo 1, letras c) y f) RGPD (cumplimiento de obligaciones de ley ex art. 7, párrafo 1 RGPD y Disposición del Garante de 10 de junio de 2021).

5.C — Pagos y antifraude (Stripe)

5.5 Stripe Payments Europe Ltd.

• Servicio: elaboración pagos, escrow, Connect y antifraude (Radar).

• Herramientas de Rastreo: Cookies técnicas de Primera y Tercera Parte, device fingerprinting, identificadores únicos de sesión de pago.

• Categoría: Herramientas de Rastreo Estrictamente Necesarias (esenciales para ejecución del pago y prevención fraudes).

• Sede del tratamiento: Irlanda (sede del titular europeo) y Estados Unidos (sociedad madre Stripe Inc.). Para las transferencias extra-EEE, Stripe ha adoptado las Cláusulas Contractuales Estándar aprobadas por la Comisión UE ex art. 46, párrafo 2, letra c) RGPD.

• Política privacy: https://stripe.com/es/privacy

• Base jurídica: art. 6, párrafo 1, letra b) RGPD.

5.D — Analíticos agregados asimilables a técnicos

5.6 Herramientas analíticas internas y/o de Tercera Parte configuradas en modalidad anonimizada.

• Stravagando utiliza, donde técnicamente posible, herramientas de analítica configuradas en el respeto de las cuatro condiciones del párrafo 4.2 de la Disposición del Garante de 10 de junio de 2021.

• Proveedores típicos (en fase de evaluación e indicados a título ejemplificativo, sujetos a confirmación en Panel de Preferencias): Google Analytics 4 con anonimización IP y desactivación de signal sharing, Plausible Analytics, Matomo self-hosted, Cloudflare Web Analytics.

• Categoría: Herramientas de Rastreo Analíticas agregadas asimilables a técnicas (consentimiento no requerido, donde plenamente conformes).

5.E — Herramientas de Rastreo Funcionales (Terceras Partes)

5.7 Mapas.

• Google Maps, suministrado por Google Ireland Limited.

• Sede del tratamiento: Irlanda. Política privacy: https://policies.google.com/privacy

• Base jurídica: art. 6, párrafo 1, letra a) RGPD — consentimiento.

5.8 Player video.

• YouTube, suministrado por Google Ireland Limited; Vimeo, suministrado por Vimeo, Inc.

• Sede del tratamiento: Irlanda; Estados Unidos (con SCC).

• Base jurídica: art. 6, párrafo 1, letra a) RGPD — consentimiento.

5.9 Chat y soporte clientes.

• Indicados a título ejemplificativo, sujetos a confirmación en el Panel de Preferencias: Intercom, Zendesk, Freshdesk, HubSpot.

• Categoría: Herramientas de Rastreo Funcionales (consentimiento requerido si no estrictamente necesarios para el suministro del servicio solicitado por el Usuario al momento de la apertura del chat).

5.10 Single sign-on (SSO).

• Sign in with Google, Sign in with Apple, Login with Facebook (donde integrados como opciones de autenticación alternativa).

• Categoría: Herramientas de Rastreo Funcionales; el flow de autenticación es activado por el Usuario que elige tal modalidad.

5.F — Herramientas de Rastreo Analíticas desagregadas

5.11 Analítica avanzada.

• Eventuales herramientas de session replay, heatmap, funnel analysis personalizada, A/B testing identificativo (p. ej. Hotjar, Microsoft Clarity, Smartlook, Optimizely).

• Categoría: Herramientas de Rastreo Analíticas desagregadas (consentimiento requerido).

• La activación de tales herramientas está subordinada al consentimiento previo del Usuario en el Panel de Preferencias y — donde utilizadas — está documentada en tiempo real en el mismo Panel.

5.G — Herramientas de Rastreo de Marketing y Perfilado

5.12 Publicidad Google.

• Google Ads, Google Display Network, Google DV360, Doubleclick / Floodlight, suministrados por Google Ireland Limited.

• Sede del tratamiento: Irlanda; Estados Unidos (con SCC).

• Política privacy: https://policies.google.com/privacy ; opt-out adicional: https://adssettings.google.com

• Base jurídica: art. 6, párrafo 1, letra a) RGPD — consentimiento.

5.13 Publicidad Meta.

• Meta Pixel, Meta Conversion API, Meta Custom Audiences, Meta Lookalike, suministrados por Meta Platforms Ireland Limited.

• Sede del tratamiento: Irlanda; Estados Unidos (con SCC).

• Política privacy: https://www.facebook.com/policy.php

• Base jurídica: art. 6, párrafo 1, letra a) RGPD — consentimiento.

5.14 Publicidad TikTok.

• TikTok Pixel, TikTok Conversion API, TikTok Custom Audiences, suministrados por TikTok Information Technologies UK Limited / TikTok Technology Limited.

• Sede del tratamiento: Reino Unido, Irlanda; transferencias extra-EEE sujetas a SCC.

• Política privacy: https://www.tiktok.com/legal/privacy-policy-eea

• Base jurídica: art. 6, párrafo 1, letra a) RGPD — consentimiento.

5.15 Publicidad Microsoft / LinkedIn.

• Microsoft Advertising (Bing Ads) UET; LinkedIn Insight Tag, suministrados por Microsoft Ireland Operations Limited y LinkedIn Ireland Unlimited Company.

• Política privacy: https://privacy.microsoft.com ; https://www.linkedin.com/legal/privacy-policy

• Base jurídica: art. 6, párrafo 1, letra a) RGPD — consentimiento.

5.16 Publicidad Pinterest, X, Reddit, Snapchat, etc.

• Herramientas publicitarias en otras plataformas sociales, activadas a frente de campañas específicas de Stravagando.

• Todas sujetas al mismo régimen de consentimiento y documentadas en el Panel de Preferencias.

5.17 Retargeting dinámico.

• Criteo Dynamic Retargeting, RTB House, y otras redes de programmatic advertising.

• Categoría: Herramientas de Rastreo de Marketing y Perfilado (consentimiento requerido).

5.18 Afiliación y rastreo conversiones.

• Network de afiliación para la promoción de Stravagando por parte de publisher terceros, con rastreo de las conversiones mediante Cookies y/o postback.

• Categoría: Herramientas de Rastreo de Marketing (consentimiento requerido si no reconducibles al mecanismo de Cookie de Atribución del Programa de Referidos de Primera Parte).

5.19 Cookies de Atribución del Programa de Referidos.

• Cookies de Primera Parte de Stravagando (en alternativa, de Tercera Parte donde la Plataforma utilice un proveedor de afiliación tecnológica).

• Finalidad: rastrear la procedencia de los nuevos Usuarios que se inscriben mediante Enlace de Referidor de un Referidor adherente al Programa de Referidos de Stravagando, según modelo last-click attribution sobre ventana móvil de 90 días.

• Duración: 90 días (extensible mediante reinstalación al sucesivo clic cualificante).

• Categoría: Herramientas de Rastreo de Marketing (consentimiento requerido). En ausencia de consentimiento, la atribución puede tener lugar exclusivamente mediante inserción directa del Código de Referidor por parte del Referido al momento de la registración, según cuanto previsto en el art. 6 de los Términos y Condiciones del Programa de Referidos.

5.H — Email marketing

5.20 Pixel de rastreo email.

• Email transaccionales y de marketing enviados por Stravagando contienen pixel de rastreo de apertura y link tracking para la medición de las tasas de apertura, click-through y conversión.

• Proveedores indicados a título ejemplificativo: SendGrid, Mailgun, Postmark, Brevo (Sendinblue), Klaviyo, HubSpot.

• Categoría: para los email transaccionales, base jurídica art. 6, párrafo 1, letra b) RGPD (ejecución del contrato). Para los email de marketing, base jurídica art. 6, párrafo 1, letra a) RGPD — consentimiento, revocable en cualquier momento mediante el enlace de opt-out presente en cada email.

ART. 6 — TRANSFERENCIAS EXTRA-EEE

6.1 Principio. Algunas de las Herramientas de Rastreo utilizadas implican la transferencia de datos personales fuera del Espacio Económico Europeo (EEE), en particular a los Estados Unidos de América, al Reino Unido y a otros Países terceros.

6.2 Garantías adoptadas. Para las transferencias extra-EEE, Stravagando se vale de los siguientes instrumentos de tutela en el sentido del Capítulo V RGPD:

• (a) Decisiones de adecuación de la Comisión UE ex art. 45 RGPD, donde aplicables (p. ej. Reino Unido, Suiza, Israel, Canadá parcial, Andorra, Argentina, Japón, Nueva Zelanda, República de Corea, Uruguay);

• (b) EU-US Data Privacy Framework: para las transferencias a Estados Unidos, cuando el proveedor tercero esté certificado a los efectos del framework aprobado por la Comisión UE con Decisión de Adecuación de 10 de julio de 2023;

• (c) Cláusulas Contractuales Estándar (SCC) aprobadas por la Comisión UE con Decisión de ejecución 2021/914, ex art. 46, párrafo 2, letra c) RGPD, integradas por idóneas medidas suplementarias técnicas y organizativas donde necesarias sobre la base del Transfer Impact Assessment conducido por Stravagando;

• (d) Normas vinculantes corporativas (Binding Corporate Rules) aprobadas a los efectos del art. 47 RGPD, donde aplicables al proveedor tercero;

• (e) Excepciones ex art. 49 RGPD, en casos específicos y residuales (p. ej. consentimiento explícito del Interesado, ejecución de contrato a solicitud del Interesado, motivos de interés público).

6.3 Transparencia. Para cada Herramienta de Rastreo de Tercera Parte, el Panel de Preferencias indica el País de tratamiento y — donde extra-EEE — el mecanismo de tutela adoptado.

ART. 7 — DURACIÓN Y CONSERVACIÓN

7.1 Duración de las Cookies. La duración de cada Cookie y Herramienta de Rastreo se indica en el Panel de Preferencias. A título orientativo:

• (a) Cookies de sesión: canceladas al cierre del navegador o tras un periodo de inactividad predeterminado;

• (b) Cookies funcionales persistentes: duración variable de 7 días a 12 meses;

• (c) Cookies analíticas: duración máxima de 14 meses (Google Analytics 4 default) o de 24 meses;

• (d) Cookies de marketing: duración variable de 30 días a 24 meses según el proveedor;

• (e) Cookies de Atribución del Programa de Referidos: 90 días;

• (f) Cookies de consent log: 6 meses.

7.2 Conservación de los datos recogidos. Los datos personales recogidos mediante Herramientas de Rastreo se conservan por el tiempo estrictamente necesario al perseguimiento de las finalidades por las cuales han sido recogidos, según los criterios indicados en la Política de Privacidad general de la Plataforma. En síntesis:

• (a) datos de seguridad y antifraude: 24 meses salvo necesidad de conservación superior por exigencias investigativas;

• (b) datos de analítica: hasta 26 meses para Google Analytics 4 y análogos (con cancelación automática de los registros individuales y mantenimiento de solos agregados);

• (c) datos de perfilado y marketing: hasta 24 meses desde la última interacción, o hasta la revocación del consentimiento si anterior;

• (d) datos de atribución referidos: por la duración de la relación contractual Referidor + 24 meses (gestión contencioso);

• (e) consent log: 10 años desde la recogida del consentimiento o desde la revocación, a fines probatorios.

ART. 8 — DERECHOS DEL INTERESADO

8.1 Derechos reconocidos. El Interesado puede ejercer en cualquier momento los siguientes derechos previstos en los arts. 15-22 RGPD:

• (a) derecho de acceso a los propios datos personales (art. 15) — obtener confirmación del tratamiento y copia de los datos tratados;

• (b) derecho de rectificación (art. 16) — obtener la corrección de datos inexactos o la integración de datos incompletos;

• (c) derecho a la cancelación o «derecho al olvido» (art. 17) — obtener la cancelación de los datos en los casos previstos por la norma;

• (d) derecho de limitación del tratamiento (art. 18);

• (e) derecho a la portabilidad de los datos (art. 20) — recibir en formato estructurado, de uso común y legible por dispositivo automático los datos que le conciernen y transmitirlos a otro responsable;

• (f) derecho de oposición al tratamiento (art. 21), incluido el derecho de oponerse en cualquier momento al tratamiento de los propios datos a fines de marketing directo;

• (g) derecho a no ser sometido a decisiones íntegramente automatizadas (art. 22), firmes las excepciones de ley;

• (h) derecho a revocar el consentimiento en cualquier momento (art. 7, párrafo 3 RGPD), sin perjuicio de la licitud del tratamiento basado sobre el consentimiento antes de la revocación;

• (i) derecho a presentar reclamación a la Autoridad de control competente (art. 77), en particular a la Garante italiana para la Protección de los Datos Personales en el caso de Italia, según las modalidades publicadas en el sitio www.garanteprivacy.it.

8.2 Modalidades de ejercicio. Los derechos pueden ser ejercidos:

• (a) mediante el Panel de Preferencias de la Plataforma para la modificación/revocación del consentimiento a las Cookies y a las finalidades de marketing;

• (b) mediante la sección «Privacy» del Panel del Usuario registrado para las solicitudes de acceso, rectificación, cancelación, portabilidad;

• (c) mediante solicitud escrita enviada a support@stravagando.com o bien a {company_pec} (para solicitudes formales), acompañada de documento de identidad para la verificación de la identidad del solicitante;

• (d) mediante correo postal a la dirección del Responsable indicada en el Art. 2.1.

8.3 Tiempos de respuesta. Stravagando suministra respuesta a las solicitudes de ejercicio de los derechos dentro de los 30 días desde la recepción, prorrogables de ulteriores 60 días en casos de particular complejidad con preventiva comunicación al Interesado.

ART. 9 — CONFIGURACIONES DEL NAVEGADOR Y DEL DISPOSITIVO

9.1 Control vía navegador. Adicionalmente a los mecanismos puestos a disposición por Stravagando, el Usuario puede configurar el propio navegador para visualizar, eliminar y bloquear las Cookies. Cada navegador dispone de propias configuraciones; instrucciones operativas actualizadas están disponibles en las páginas oficiales de los principales navegadores:

• (a) Google Chrome: https://support.google.com/chrome/answer/95647

• (b) Mozilla Firefox: https://support.mozilla.org/es/kb/Borrar%20cookies

• (c) Apple Safari: https://support.apple.com/es-es/guide/safari/sfri11471/mac

• (d) Microsoft Edge: https://support.microsoft.com/es-es/microsoft-edge

• (e) Opera: https://help.opera.com/es-es/latest/web-preferences/

9.2 Límites de las configuraciones del navegador. Las configuraciones del navegador no permiten un control granular por categoría de Cookies par a aquel disponible en el Panel de Preferencias de la Plataforma. La desactivación íntegra de las Cookies vía navegador puede comportar la total o parcial imposibilidad de utilizar la Plataforma.

9.3 Identificadores publicitarios móviles. En los dispositivos móviles, el Usuario puede limitar el rastreo publicitario mediante las configuraciones del sistema operativo:

• (a) iOS: «Ajustes > Privacidad y seguridad > Rastreo» y desactivación del consentimiento al rastreo para las App, con consiguiente transmisión de un IDFA igual a cadena ceros por parte de la App de Stravagando;

• (b) Android: «Ajustes > Privacidad > Anuncios» y activación de «Eliminar ID publicidad» o «Desactivar personalización anuncios».

9.4 Señales Do Not Track y Global Privacy Control. Stravagando reconoce la señal Global Privacy Control (GPC) como expresión automatizada de rechazo al tratamiento de los datos personales para finalidades de marketing para los residentes USA en el sentido del CCPA/CPRA. La señal Do Not Track (DNT) del navegador es considerada para los Usuarios UE como ulterior expresión de preferencia, aunque su interpretación técnica no esté hoy estandarizada.

ART. 10 — DISPOSICIONES PARA RESIDENTES EN LOS ESTADOS UNIDOS

10.1 Cuadro normativo. Para los residentes en los Estados Unidos de América se aplican en vía integrativa las siguientes normativas estatales, donde aplicables sobre la base del Estado de residencia del Usuario: California Consumer Privacy Act of 2018 (CCPA) modificado por el California Privacy Rights Act of 2020 (CPRA), Virginia Consumer Data Protection Act (VCDPA), Colorado Privacy Act (CPA), Connecticut Data Privacy Act (CTDPA), Utah Consumer Privacy Act (UCPA), y sucesivas normativas estatales en vigor.

10.2 Derechos de los residentes California. Los residentes en California tienen derecho, a los efectos del CCPA/CPRA, a: right to know (conocer las categorías de datos recogidos y compartidos), right to delete (cancelación), right to correct (rectificación), right to opt-out of sale and sharing (exclusión de la venta y compartición), right to limit use of sensitive personal information (limitación del uso de información sensible), right to non-discrimination (no discriminación en el ejercicio de los derechos), right to portability.

10.3 No sale/no share. Stravagando no vende la Personal Information de los residentes USA a terceros para finalidades comerciales en el sentido del CCPA/CPRA. La compartición (sharing) de Personal Information con Terceras Partes para finalidades de publicidad comportamental cross-context tiene lugar exclusivamente sobre la base del consentimiento prestado por el Usuario en el Panel de Preferencias y/o de la señal GPC, y está sujeta al derecho de opt-out mediante el enlace «Do Not Sell or Share My Personal Information» / «Your Privacy Choices» publicado en la Plataforma.

10.4 Ejercicio de los derechos. Los residentes USA pueden ejercer los propios derechos mediante el portal «Your Privacy Choices» de la Plataforma o mediante email a support@stravagando.com, con respuesta dentro de los 45 días prorrogables a 90 en casos de particular complejidad. Para los residentes USA no se aplica la autoridad de control de la Garante italiana; los órganos competentes son la Office of the Attorney General del Estado de residencia y — para residentes California — la California Privacy Protection Agency (CPPA).

ART. 11 — MENORES

11.1 Edad mínima. La Plataforma está destinada a sujetos mayores de edad. Stravagando no recoge conscientemente datos personales de menores de edad inferior a 14 años en Italia (umbral ex art. 2-quinquies del Código Privacy italiano para el consentimiento al tratamiento datos en el ámbito de los servicios de la sociedad de la información) ni, para los Usuarios residentes en otros Estados miembros UE, de edad inferior al umbral establecido por la normativa local. Para los residentes USA, Stravagando no recoge conscientemente datos personales de menores de edad inferior a 13 años, en cumplimiento del Children's Online Privacy Protection Act (COPPA, 15 U.S.C. §§ 6501-6506).

11.2 Modalidades de solicitud cancelación. En el caso en que un padre o tutor legal considere que el propio hijo menor haya proporcionado a Stravagando datos personales en violación de las limitaciones de edad, puede solicitar la cancelación mediante email a support@stravagando.com, con consiguiente remoción tempestiva de los datos y cancelación de eventuales cuentas.

ART. 12 — MODIFICACIONES A LA PRESENTE POLÍTICA DE COOKIES

12.1 Actualizaciones. Stravagando se reserva el derecho de modificar la presente Política de Cookies en cualquier momento, en particular para reflejar modificaciones normativas, evoluciones tecnológicas, la introducción de nuevas Herramientas de Rastreo o de nuevas Terceras Partes, la actualización de las finalidades de tratamiento.

12.2 Comunicación. Las modificaciones significativas — como la introducción de nuevas categorías de Herramientas de Rastreo, de nuevas finalidades o de nuevas Terceras Partes — son comunicadas al Usuario mediante:

• (a) aviso en plataforma con preaviso mínimo de 30 días antes de la eficacia;

• (b) email a la dirección registrada, donde el Usuario sea titular de cuenta;

• (c) reproposición del banner de primera visita para la nueva prestación del consentimiento, donde requerido.

12.3 Versiones precedentes. Las versiones precedentes de la Política de Cookies son archivadas y disponibles a solicitud del Interesado a fines de reconstrucción histórica del tratamiento.

12.4 Versión corriente. La versión corriente de la Política de Cookies lleva fecha de entrada en vigor en cabeza al documento y sustituye toda versión precedente.

ART. 13 — CONTACTOS Y RECLAMACIONES

13.1 Responsable del tratamiento.

Denominación comercial: Stravagando Razón social: Inmedia S.r.l. Sede legal: Via L'Aquila, 22, 65122 Pescara (PE), Italia Código Fiscal / N.I.F.: 02017520681 Email Soporte y Privacy: support@stravagando.com PEC: inmediasrl@pec.it

13.2 Delegado de Protección de Datos (DPO).

Email: support@stravagando.com

13.3 Reclamación a la Autoridad de control.

Garante italiana para la Protección de los Datos Personales (Garante per la protezione dei dati personali) Piazza Venezia n.º 11 — 00187 Roma (RM), Italia Sitio: https://www.garanteprivacy.it Email: protocollo@gpdp.it PEC: protocollo@pec.gpdp.it Modelo de reclamación disponible en la dirección: https://www.garanteprivacy.it/home/modulistica-e-servizi-online

Para los Usuarios residentes en otros Estados miembros UE queda firme la posibilidad de presentar reclamación ante la Autoridad de control del Estado de residencia, de trabajo o del lugar de la presunta violación, a los efectos del art. 77 RGPD.

Documento aprobado y adoptado por Inmedia S.r.l.

Versión: 1.0 Fecha de entrada en vigor: 26/04/2026 Documento de referencia: Disposición de la Garante italiana para la Protección de los Datos Personales de 10 de junio de 2021 — Directrices sobre cookies y otras herramientas de rastreo (Reg. provv. n.º 231/2021)