Cookie Policy

Versione 1.0 — In vigore dal 26/04/2026

PREMESSA

La presente Cookie Policy (di seguito la «Cookie Policy» o l'«Informativa») descrive le tipologie di cookie e di altri strumenti di tracciamento utilizzati da Inmedia S.r.l. (di seguito «Stravagando» o la «Piattaforma»), titolare della piattaforma digitale Stravagando accessibile all'indirizzo principale stravagando.com e relativi sottodomini, sull'app mobile per iOS e Android (di seguito l'«App»), nonché sui canali email transazionali e marketing che utilizzano tecnologie analoghe (di seguito, congiuntamente, gli «Strumenti di Tracciamento»).

L'utilizzo di Strumenti di Tracciamento da parte di Stravagando avviene nel rispetto:

• (a) del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (di seguito «GDPR»);

• (b) del Decreto Legislativo 30 giugno 2003 n. 196 italiano («Codice Privacy»), come modificato dal Decreto Legislativo 10 agosto 2018 n. 101;

• (c) della Direttiva 2002/58/CE del Parlamento europeo e del Consiglio (Direttiva ePrivacy), come modificata dalla Direttiva 2009/136/CE;

• (d) delle Linee guida del Garante per la protezione dei dati personali italiano, ed in particolare del Provvedimento del 10 giugno 2021 «Linee guida cookie e altri strumenti di tracciamento» (Reg. provv. n. 231/2021);

• (e) delle Linee guida 03/2022 dell'European Data Protection Board (EDPB) sui dark patterns e dei pareri del Comitato europeo per la protezione dei dati;

• (f) per residenti negli Stati Uniti d'America, del California Consumer Privacy Act (CCPA) come modificato dal California Privacy Rights Act (CPRA) e delle altre normative statali statunitensi applicabili (Virginia CDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA).

La presente Cookie Policy integra — e non sostituisce — l'Informativa Privacy generale della Piattaforma, alla quale si fa rinvio per tutte le informazioni relative al trattamento dei dati personali svolto da Stravagando che esula dall'utilizzo di Strumenti di Tracciamento. In caso di difformità, prevalgono le disposizioni dell'Informativa Privacy in materia di principi generali di trattamento, base giuridica e diritti dell'Interessato.

ART. 1 — DEFINIZIONI

Ai fini della presente Cookie Policy, i seguenti termini hanno il significato di seguito indicato.

1.1 «Cookie»: piccoli file di testo che i siti web visitati dall'Utente o le applicazioni utilizzate inviano e registrano sul dispositivo dell'Utente (computer, tablet, smartphone, smart-TV o altro dispositivo connesso), per essere poi ritrasmessi agli stessi siti o applicazioni alla successiva visita. I Cookie sono utilizzati per eseguire autenticazioni informatiche, monitoraggio di sessioni, memorizzazione di informazioni su preferenze degli Utenti, tracciamento di comportamenti di navigazione, profilazione e altre finalità descritte nella presente Informativa.

1.2 «Strumenti di Tracciamento»: qualsiasi tecnologia — diversa o ulteriore rispetto ai Cookie — che consenta di tracciare l'Utente, di accedere a informazioni memorizzate sul dispositivo dell'Utente o di archiviare informazioni sul dispositivo medesimo, ivi inclusi a titolo esemplificativo: identificativi univoci, web beacons, pixel tag, clear GIF, script integrati, e-tag, fingerprinting del dispositivo, Software Development Kit (SDK) integrati nelle App, Local Storage e Session Storage del browser, IndexedDB, Cache API, identificativi pubblicitari mobili (Google Advertiser ID per dispositivi Android, Identifier for Advertisers — IDFA — per dispositivi iOS), pixel di tracciamento email.

1.3 «Cookie di Prima Parte»: Cookie e Strumenti di Tracciamento installati e gestiti direttamente da Stravagando per finalità connesse al funzionamento della Piattaforma e ai servizi offerti.

1.4 «Cookie di Terza Parte»: Cookie e Strumenti di Tracciamento installati e gestiti da soggetti terzi rispetto a Stravagando (di seguito le «Terze Parti»), che operano in qualità di autonomi titolari del trattamento o di responsabili del trattamento ex art. 28 GDPR a seconda della relazione contrattuale specifica e delle finalità perseguite.

1.5 «Cookie di Sessione»: Cookie temporanei che vengono memorizzati per la sola durata della sessione di navigazione e cancellati automaticamente alla chiusura del browser.

1.6 «Cookie Persistenti»: Cookie che vengono memorizzati sul dispositivo dell'Utente per un periodo predeterminato (espresso in giorni, mesi o anni) e ritrasmessi alla successiva visita, fino al raggiungimento della scadenza o alla cancellazione manuale da parte dell'Utente.

1.7 «Strumenti di Tracciamento Tecnici»: Cookie e Strumenti di Tracciamento la cui installazione non richiede il preventivo consenso dell'Utente in quanto strettamente necessari per fornire un servizio richiesto esplicitamente dall'Utente o per consentire la trasmissione di una comunicazione su una rete elettronica (cd. strictly necessary cookies), nonché Cookie di natura tecnica utilizzati esclusivamente per ottenere informazioni statistiche aggregate, ove ricorrano i requisiti di cui al paragrafo 4.2 del Provvedimento del Garante 10 giugno 2021 (anonimizzazione, mancato incrocio con altre fonti, opt-out documentato del fornitore terzo).

1.8 «Strumenti di Tracciamento Funzionali»: Cookie e Strumenti di Tracciamento utilizzati per ricordare scelte e preferenze dell'Utente al fine di migliorare l'esperienza di navigazione e fornire funzionalità avanzate non strettamente indispensabili. Per gli Strumenti di Tracciamento Funzionali è richiesto il consenso preventivo, salvo che siano qualificabili come Strumenti di Tracciamento Tecnici ai sensi del precedente punto.

1.9 «Strumenti di Tracciamento Analitici»: Cookie e Strumenti di Tracciamento utilizzati per raccogliere informazioni in forma aggregata o disaggregata sul numero di visitatori e sulle modalità di utilizzo della Piattaforma, al fine di analizzare le statistiche di utilizzo, misurare le performance e migliorare i servizi.

1.10 «Strumenti di Tracciamento di Marketing e Profilazione»: Cookie e Strumenti di Tracciamento utilizzati per ricondurre azioni dell'Utente a profili di interesse, per finalità promozionali, pubblicitarie, di retargeting e di personalizzazione dei contenuti commerciali offerti.

1.11 «Cookie di Attribuzione»: sottoinsieme degli Strumenti di Tracciamento di Marketing utilizzato per tracciare l'origine del traffico in entrata sulla Piattaforma e l'attribuzione delle conversioni a campagne specifiche, ivi inclusa l'attribuzione delle Azioni Qualificanti del Programma di Referidos di Stravagando ai relativi Referrer secondo il modello last-click attribution su finestra di 90 giorni.

1.12 «Pannello Preferenze» o «Cookie Manager»: l'interfaccia tecnica messa a disposizione da Stravagando sulla Piattaforma — accessibile mediante il banner di prima visita e mediante il link permanente «Le tue scelte sui cookie» o «Preferenze cookie e marketing» presente nel piè di pagina ed in altre posizioni accessibili — attraverso la quale l'Utente può prestare, modificare o revocare il proprio consenso all'installazione di Strumenti di Tracciamento non tecnici, in modo granulare per categoria.

1.13 «Utente»: il soggetto al quale si riferisce la presente Cookie Policy, che accede e/o utilizza la Piattaforma in qualità di visitatore non registrato, Ospite/Cliente, Host o Referrer, secondo le definizioni contenute nei rispettivi Termini e Condizioni applicabili.

1.14 «Interessato»: la persona fisica identificata o identificabile alla quale si riferiscono i dati personali trattati ex art. 4, paragrafo 1, n. 1) del GDPR.

1.15 «Dati di Utilizzo»: i dati personali raccolti automaticamente dalla Piattaforma o dagli Strumenti di Tracciamento e dei terzi servizi utilizzati, comprendenti — a titolo esemplificativo — gli indirizzi IP o i nomi a dominio dei dispositivi utilizzati dagli Utenti, gli indirizzi URI/URL delle risorse richieste, l'orario delle richieste, il metodo utilizzato per inoltrare le richieste al server, la dimensione del file ricevuto in risposta, il codice numerico indicante lo stato della risposta, il Paese di provenienza, le caratteristiche del browser e del sistema operativo utilizzati, le varie connotazioni temporali della visita (ad esempio il tempo di permanenza su ciascuna pagina), il dettaglio del percorso seguito e altri parametri relativi al sistema operativo o all'ambiente informatico dell'Utente.

1.16 «Garante»: il Garante per la protezione dei dati personali italiano, autorità di controllo italiana ai sensi del GDPR, con sede in Roma, Piazza Venezia n. 11.

ART. 2 — TITOLARE DEL TRATTAMENTO E ROLI

2.A — Titolare del trattamento

2.1 Titolare. Il Titolare del trattamento dei dati personali raccolti mediante gli Strumenti di Tracciamento di Prima Parte è Inmedia S.r.l., con sede legale in Via L'Aquila, 22, codice fiscale e partita IVA 02017520681, contattabile agli indirizzi {company_email} e {company_pec}.

2.2 Responsabile della protezione dei dati (DPO). Ove nominato, il Responsabile della protezione dei dati (Data Protection Officer) è contattabile all'indirizzo support@stravagando.com. La nomina del DPO è pubblicata, ove applicabile, nell'Informativa Privacy generale della Piattaforma.

2.B — Ruolo di Stravagando e delle Terze Parti

2.3 Cookie di Prima Parte. Per gli Strumenti di Tracciamento di Prima Parte Stravagando agisce in qualità di Titolare autonomo del trattamento.

2.4 Cookie di Terza Parte. Per gli Strumenti di Tracciamento di Terza Parte, ciascuna Terza Parte agisce, a seconda dei casi:

• (a) in qualità di Titolare autonomo del trattamento, ove la Terza Parte determini autonomamente le finalità ed i mezzi del trattamento (caso tipico per fornitori di servizi pubblicitari, retargeting, Identity provider di single sign-on, processori di pagamento beneficianti di proprio framework regolatorio);

• (b) in qualità di Responsabile del trattamento ex art. 28 GDPR, ove la Terza Parte tratti i dati su istruzione documentata di Stravagando (caso tipico per fornitori di cloud hosting, di analytics configurati in modalità anonimizzata e di servizi di customer support).

L'elenco analitico delle Terze Parti utilizzate da Stravagando, con indicazione del relativo ruolo, finalità, base giuridica e politica privacy, è riportato all'Art. 5 della presente Informativa ed aggiornato periodicamente all'interno del Pannello Preferenze.

ART. 3 — CATEGORIE DI STRUMENTI DI TRACCIAMENTO UTILIZZATI

Stravagando utilizza gli Strumenti di Tracciamento classificati nelle quattro categorie di seguito descritte, conformi alla classificazione del Provvedimento del Garante 10 giugno 2021 e al Cookie consent framework del Comitato europeo per la protezione dei dati.

3.A — Strumenti di Tracciamento Tecnici

3.1 Definizione. Sono gli Strumenti di Tracciamento la cui installazione non richiede il preventivo consenso dell'Utente in quanto strettamente necessari per fornire un servizio richiesto esplicitamente dall'Utente, per consentire la trasmissione di una comunicazione, per garantire la sicurezza della Piattaforma o per ottemperare ad obblighi normativi.

3.2 Finalità.

• (a) Funzionamento del sito e dell'App: gestione delle sessioni di navigazione, riconoscimento dell'Utente all'interno della medesima sessione, mantenimento dello stato di autenticazione (login), persistenza del carrello prenotazione, gestione del checkout;

• (b) Sicurezza e prevenzione frodi: identificazione di tentativi di intrusione, brute force, credential stuffing, bot automatizzati, device fingerprinting a fini di anti-frode integrato con i sistemi di Stripe Connect;

• (c) Conservazione delle impostazioni di accessibilità scelte dall'Utente (dimensione caratteri, contrasto, lingua di interfaccia), ove configurabili senza profilazione;

• (d) Bilanciamento di carico e ottimizzazione delle prestazioni dei server (load balancing);

• (e) Memorizzazione delle scelte dell'Utente in materia di consenso ai Cookie (cd. consent log), per assolvere all'obbligo di documentazione della prestazione del consenso ex art. 7 GDPR e del Provvedimento del Garante 10 giugno 2021;

• (f) Esecuzione di obblighi normativi, ivi inclusa la conservazione dei log di transazione a fini fiscali e antiriciclaggio (D.Lgs. 231/2007) e degli audit log DAC7 (D.Lgs. 32/2023).

3.3 Base giuridica. L'utilizzo di Strumenti di Tracciamento Tecnici si fonda sull'art. 122, comma 1, primo periodo del Codice Privacy italiano, sull'art. 6, comma 1, lettera b) GDPR (esecuzione di un contratto di cui l'Interessato è parte o esecuzione di misure precontrattuali su richiesta dell'Interessato), sull'art. 6, comma 1, lettera c) GDPR (adempimento di obblighi di legge) e sull'art. 6, comma 1, lettera f) GDPR (legittimo interesse del Titolare alla sicurezza, prevenzione frodi e funzionalità della Piattaforma), a seconda della specifica finalità.

3.4 Consenso. Per gli Strumenti di Tracciamento Tecnici non è richiesto il consenso preventivo dell'Utente. La disattivazione di tali Strumenti tramite le impostazioni del browser può comportare la totale o parziale impossibilità di utilizzare la Piattaforma e di fruire dei servizi.

3.B — Strumenti di Tracciamento Funzionali

3.5 Definizione. Sono gli Strumenti di Tracciamento utilizzati per ricordare scelte e preferenze dell'Utente al fine di migliorare l'esperienza di navigazione e fornire funzionalità avanzate non strettamente indispensabili.

3.6 Finalità.

• (a) memorizzazione della lingua selezionata sull'interfaccia (qualora distinta dalla lingua del browser);

• (b) memorizzazione della valuta selezionata per la visualizzazione dei prezzi;

• (c) memorizzazione della città di destinazione o di filtri di ricerca selezionati per popolare in modo coerente le visite successive;

• (d) memorizzazione di wishlist ed Esperienze marcate come preferite per Utenti non autenticati;

• (e) integrazione con player video (es. YouTube, Vimeo) e mappe (es. Google Maps) embeddati sulle pagine di dettaglio delle Esperienze, ove la Terza Parte richieda Strumenti di Tracciamento per il funzionamento del player/della mappa;

• (f) chat in tempo reale con il servizio clienti (ove attivata da fornitore terzo), per il mantenimento dello storico della conversazione e l'identificazione dell'Utente all'interno della sessione di chat;

• (g) single sign-on mediante account Google, Apple, Facebook, ove l'Utente scelga tale modalità di autenticazione.

3.7 Base giuridica. L'utilizzo di Strumenti di Tracciamento Funzionali si fonda sull'art. 6, comma 1, lettera a) GDPR — consenso preventivo dell'Utente espresso in modo libero, specifico, informato ed inequivocabile mediante il Pannello Preferenze.

3.C — Strumenti di Tracciamento Analitici

3.8 Definizione. Sono gli Strumenti di Tracciamento utilizzati per raccogliere informazioni sul numero di visitatori e sulle modalità di utilizzo della Piattaforma.

3.9 Distinzione tra analitici aggregati e analitici disaggregati.

• (a) Gli analitici aggregati assimilabili a tecnici sono Strumenti di Tracciamento utilizzati esclusivamente per ottenere informazioni statistiche aggregate, qualora ricorrano cumulativamente le condizioni del paragrafo 4.2 del Provvedimento del Garante 10 giugno 2021: (i) anonimizzazione dell'indirizzo IP mediante masking di almeno la quarta porzione (es. 192.168.1.XXX); (ii) assenza di incrocio dei dati con altre fonti di Prima o Terza Parte; (iii) assenza di trasferimento a Terze Parti per autonome finalità del fornitore; (iv) configurazione del fornitore in modalità che non consenta riconciliazione con altre identità (es. disabilitazione della signal sharing con servizi pubblicitari del medesimo fornitore). Per tali analitici non è richiesto il consenso preventivo, ma l'Informativa rimane comunque pubblicata.

• (b) Gli analitici disaggregati o non assimilabili a tecnici sono Strumenti di Tracciamento che non rispettano integralmente le condizioni del precedente punto (a) (es. tracciamento individuale del percorso cross-page, session replay, heatmap identificative, funnel analysis personalizzata). Per tali analitici è richiesto il consenso preventivo.

3.10 Finalità. Misurazione del traffico e delle performance della Piattaforma; analisi del comportamento di navigazione su pagine, sezioni e funzionalità; identificazione di errori e problemi tecnici; ottimizzazione del funnel di conversione; A/B testing di interfacce; produzione di report statistici a uso interno.

3.11 Base giuridica.

• (a) Per gli analitici aggregati assimilabili a tecnici: art. 122, comma 1 del Codice Privacy italiano e art. 6, comma 1, lettera f) GDPR (legittimo interesse del Titolare al miglioramento della Piattaforma).

• (b) Per gli analitici disaggregati: art. 6, comma 1, lettera a) GDPR — consenso preventivo dell'Utente.

3.D — Strumenti di Tracciamento di Marketing e Profilazione

3.12 Definizione. Sono gli Strumenti di Tracciamento utilizzati per attività di profilazione, pubblicità mirata e personalizzazione dei contenuti commerciali offerti all'Utente sulla Piattaforma e su siti, app, social network terzi.

3.13 Finalità.

• (a) Profilazione dei comportamenti di navigazione dell'Utente al fine di proporre contenuti commerciali coerenti con i suoi interessi (es. categorie di Esperienze visualizzate, città di destinazione, fasce di prezzo);

• (b) Remarketing e retargeting verso Utenti che hanno visitato la Piattaforma senza concludere una prenotazione, mediante campagne pubblicitarie su siti, app e social network terzi (Google Display, Meta, TikTok, X);

• (c) Lookalike audience: creazione di pubblici simili a quelli degli Utenti di Stravagando per estendere la portata delle campagne pubblicitarie, mediante invio a Terze Parti di identificativi hashed o pseudonimizzati;

• (d) Misurazione delle conversioni generate da campagne pubblicitarie (conversion tracking) e attribuzione del traffico in entrata;

• (e) Cookie di Attribuzione del Programma di Referidos: tracciamento dell'origine del traffico generato dai Referrer mediante Link di Referidor e attribuzione delle Azioni Qualificanti su finestra mobile di 90 giorni secondo modello last-click attribution, per le finalità descritte nei Termini e Condizioni del Programma Referidos;

• (f) Personalizzazione delle email transazionali e di marketing (newsletter, suggerimenti di Esperienze, comunicazioni post-prenotazione) mediante pixel di tracciamento e identificativi univoci, ove l'Utente abbia prestato consenso al ricevimento di comunicazioni di marketing;

• (g) Affiliazione: tracciamento del traffico proveniente da publisher aderenti a programmi di affiliazione di Stravagando.

3.14 Base giuridica. L'utilizzo di Strumenti di Tracciamento di Marketing e Profilazione si fonda sull'art. 6, comma 1, lettera a) GDPR — consenso preventivo dell'Utente espresso in modo libero, specifico, informato ed inequivocabile mediante il Pannello Preferenze, in modo granulare per categoria e — ove richiesto — per singola Terza Parte.

3.15 Profilazione automatizzata. Salvo quanto specificamente indicato per singole Terze Parti, l'utilizzo degli Strumenti di Tracciamento di Marketing e Profilazione non comporta processi decisionali interamente automatizzati che producano effetti giuridici sull'Utente o incidano significativamente sulla sua persona ex art. 22 GDPR. Eventuali decisioni rilevanti — quali la sospensione dell'account o l'esito di verifiche antifraude — sono soggette a riesame umano nei termini descritti nei Termini e Condizioni Generali e nei Termini Host/Referidor applicabili.

ART. 4 — PRESTAZIONE, MODIFICA E REVOCA DEL CONSENSO

4.A — Banner di prima visita

4.1 Caratteristiche del banner. All'accesso alla Piattaforma da parte di un Utente che non ha ancora espresso le proprie preferenze, oppure ai sensi del paragrafo 4.4, viene mostrato un banner di informativa breve («Cookie Banner») che riporta:

• (a) l'indicazione della presenza di Strumenti di Tracciamento e delle finalità degli stessi;

• (b) il rinvio alla presente Cookie Policy;

• (c) i tre comandi di scelta, equivalenti per dimensione, posizione, colore di sfondo e contrasto: «Accetta tutti», «Rifiuta tutti» e «Personalizza».

In conformità al Provvedimento del Garante 10 giugno 2021 e alle Linee guida 03/2022 EDPB sui dark patterns, il comando «Rifiuta tutti» ha pari evidenza e immediatezza rispetto al comando «Accetta tutti». La chiusura del banner mediante la sola «X» di chiusura non costituisce prestazione del consenso: in tal caso solo gli Strumenti di Tracciamento Tecnici saranno utilizzati e il banner sarà nuovamente proposto alle visite successive nei termini di cui al paragrafo 4.4.

4.2 Granularità. Cliccando «Personalizza», l'Utente accede al Pannello Preferenze e può prestare il consenso in modo granulare per ciascuna delle categorie di cui all'Art. 3, ed eventualmente per singola Terza Parte ove la Piattaforma offra tale livello di granularità.

4.B — Pannello Preferenze

4.3 Accesso permanente. Il Pannello Preferenze è accessibile in qualsiasi momento mediante:

• (a) il link «Le tue scelte sui cookie» o «Preferenze cookie e marketing» presente nel piè di pagina di tutte le pagine della Piattaforma;

• (b) la sezione «Privacy» del Pannello dell'Utente registrato;

• (c) le impostazioni dell'App mobile;

• (d) link diretto incluso in ogni email di marketing;

• (e) richiesta diretta al Servizio Clienti via email a support@stravagando.com.

Le scelte effettuate dall'Utente sono memorizzate in un log di consenso conservato a cura di Stravagando per dieci anni ai fini probatori e di accountability ex art. 5, paragrafo 2 GDPR.

4.C — Riproposizione del banner e durata della scelta

4.4 Riproposizione. Il banner è riproposto all'Utente:

• (a) decorsi sei mesi dall'ultima espressione delle preferenze, salvo che l'Utente abbia espressamente accettato tutti gli Strumenti di Tracciamento e che le finalità non siano state successivamente modificate;

• (b) in occasione di modifiche significative alle finalità di trattamento, all'elenco delle Terze Parti o alle categorie di Strumenti di Tracciamento utilizzati;

• (c) qualora l'Utente acceda da un dispositivo o browser differente o cancelli i Cookie tecnici di consent log;

• (d) alla scadenza naturale del Cookie tecnico di consent log.

4.D — Revoca

4.5 Revoca semplice come la prestazione. L'Utente può revocare in qualsiasi momento il consenso prestato, in modo agevole e con la medesima facilità con cui lo ha prestato, mediante il Pannello Preferenze. La revoca non incide sulla legittimità del trattamento eseguito sulla base del consenso prima della revoca.

4.6 Effetti della revoca. A seguito della revoca, gli Strumenti di Tracciamento per i quali il consenso è stato revocato non saranno più utilizzati per nuove operazioni di trattamento. I dati eventualmente già raccolti restano oggetto di trattamento sino al raggiungimento delle finalità per cui sono stati legittimamente raccolti, secondo i tempi di conservazione di cui al successivo Art. 7. L'Utente può richiedere la cancellazione dei dati pregressi mediante esercizio dei diritti GDPR ex Art. 8 della presente Informativa.

4.E — Cross-device e cross-platform

4.7 Sincronizzazione delle preferenze. Le preferenze espresse dall'Utente registrato sono — ove tecnicamente possibile e ove l'Utente acceda al proprio account — sincronizzate tra tutti i dispositivi e tutte le piattaforme (sito web, App iOS, App Android, email) sui quali utilizza i servizi di Stravagando, mediante associazione delle preferenze al proprio identificativo univoco di account.

4.8 Utenti non registrati. Per gli Utenti non registrati, le preferenze sono memorizzate localmente sul dispositivo/browser specifico utilizzato e non sono sincronizzate tra dispositivi differenti. L'Utente che acceda da un dispositivo diverso troverà il banner di prima visita.

ART. 5 — ELENCO DEGLI STRUMENTI DI TRACCIAMENTO E DELLE TERZE PARTI

5.A — Disclaimer e link al Pannello

5.1 Elenco aggiornato dinamicamente. L'elenco analitico ed aggiornato degli Strumenti di Tracciamento utilizzati, ivi compresi nome, finalità, base giuridica, durata, fornitore terzo, Paese di trattamento, link alla privacy policy del fornitore terzo e meccanismo di opt-out, è disponibile e aggiornato in tempo reale all'interno del Pannello Preferenze. Il presente Art. 5 fornisce un quadro descrittivo per categoria delle Terze Parti utilizzate al momento dell'ultima revisione della presente Informativa, senza pretesa di esaustività rispetto alla versione del Pannello Preferenze, che fa fede.

5.B — Strumenti di Tracciamento Tecnici (Prima Parte)

5.2 Funzionalità di sessione e autenticazione.

• Cookie di sessione gestiti dall'infrastruttura applicativa di Stravagando per l'autenticazione e la persistenza della sessione di navigazione.

• Durata: di sessione (cancellati alla chiusura del browser) o persistenti fino a 30 giorni in modalità «Resta connesso».

• Base giuridica: art. 6, paragrafo 1, lettera b) GDPR.

5.3 Funzionalità antifraude e sicurezza.

• Cookie e fingerprinting per device identification, velocity check e analisi del rischio in fase di prenotazione e pagamento, integrati con i sistemi antifraude di Stripe.

• Durata: variabile, da sessione a 24 mesi per identificativi pseudonimizzati di rischio.

• Base giuridica: art. 6, paragrafo 1, lettera f) GDPR (legittimo interesse alla prevenzione frodi).

5.4 Consent log.

• Cookie tecnico per la memorizzazione delle scelte dell'Utente sui Cookie.

• Durata: 6 mesi.

• Base giuridica: art. 6, paragrafo 1, lettere c) e f) GDPR (adempimento di obblighi di legge ex art. 7, paragrafo 1 GDPR e Provvedimento del Garante 10 giugno 2021).

5.C — Pagamenti e antifraude (Stripe)

5.5 Stripe Payments Europe Ltd.

• Servizio: elaborazione pagamenti, escrow, Connect e antifraude (Radar).

• Strumenti di Tracciamento: Cookie tecnici di Prima e Terza Parte, device fingerprinting, identificativi univoci di sessione di pagamento.

• Categoria: Strumenti di Tracciamento Tecnici (essenziali per esecuzione del pagamento e prevenzione frodi).

• Sede del trattamento: Irlanda (sede del titolare europeo) e Stati Uniti (società madre Stripe Inc.). Per i trasferimenti extra-SEE, Stripe ha adottato le Clausole Contrattuali Standard approvate dalla Commissione UE ex art. 46, paragrafo 2, lettera c) GDPR.

• Privacy policy: https://stripe.com/it/privacy

• Base giuridica: art. 6, paragrafo 1, lettera b) GDPR.

5.D — Analitici aggregati assimilabili a tecnici

5.6 Strumenti analitici interni e/o di Terza Parte configurati in modalità anonimizzata.

• Stravagando utilizza, ove tecnicamente possibile, strumenti di analitica configurati nel rispetto delle quattro condizioni del paragrafo 4.2 del Provvedimento del Garante 10 giugno 2021.

• Tipici fornitori (in fase di valutazione e indicati a titolo esemplificativo, soggetti a conferma in Pannello Preferenze): Google Analytics 4 con anonimizzazione IP e disabilitazione di signal sharing, Plausible Analytics, Matomo self-hosted, Cloudflare Web Analytics.

• Categoria: Strumenti di Tracciamento Analitici aggregati assimilabili a tecnici (consenso non richiesto, ove pienamente conformi).

5.E — Strumenti di Tracciamento Funzionali (Terze Parti)

5.7 Mappe.

• Google Maps, fornito da Google Ireland Limited.

• Sede del trattamento: Irlanda. Privacy policy: https://policies.google.com/privacy

• Base giuridica: art. 6, paragrafo 1, lettera a) GDPR — consenso.

5.8 Player video.

• YouTube, fornito da Google Ireland Limited; Vimeo, fornito da Vimeo, Inc.

• Sede del trattamento: Irlanda; Stati Uniti (con SCC).

• Base giuridica: art. 6, paragrafo 1, lettera a) GDPR — consenso.

5.9 Chat e supporto clienti.

• Indicati a titolo esemplificativo, soggetti a conferma nel Pannello Preferenze: Intercom, Zendesk, Freshdesk, HubSpot.

• Categoria: Strumenti di Tracciamento Funzionali (consenso richiesto se non strettamente necessari per la fornitura del servizio richiesto dall'Utente al momento dell'apertura della chat).

5.10 Single sign-on (SSO).

• Sign in with Google, Sign in with Apple, Login with Facebook (ove integrati come opzioni di autenticazione alternativa).

• Categoria: Strumenti di Tracciamento Funzionali; il flow di autenticazione è attivato dall'Utente che sceglie tale modalità.

5.F — Strumenti di Tracciamento Analitici disaggregati

5.11 Analitica avanzata.

• Eventuali strumenti di session replay, heatmap, funnel analysis personalizzata, A/B testing identificativo (es. Hotjar, Microsoft Clarity, Smartlook, Optimizely).

• Categoria: Strumenti di Tracciamento Analitici disaggregati (consenso richiesto).

• L'attivazione di tali strumenti è subordinata al consenso preventivo dell'Utente nel Pannello Preferenze e — ove utilizzati — è documentata in tempo reale nello stesso Pannello.

5.G — Strumenti di Tracciamento di Marketing e Profilazione

5.12 Pubblicità Google.

• Google Ads, Google Display Network, Google DV360, Doubleclick / Floodlight, forniti da Google Ireland Limited.

• Sede del trattamento: Irlanda; Stati Uniti (con SCC).

• Privacy policy: https://policies.google.com/privacy ; opt-out aggiuntivo: https://adssettings.google.com

• Base giuridica: art. 6, paragrafo 1, lettera a) GDPR — consenso.

5.13 Pubblicità Meta.

• Meta Pixel, Meta Conversion API, Meta Custom Audiences, Meta Lookalike, forniti da Meta Platforms Ireland Limited.

• Sede del trattamento: Irlanda; Stati Uniti (con SCC).

• Privacy policy: https://www.facebook.com/policy.php

• Base giuridica: art. 6, paragrafo 1, lettera a) GDPR — consenso.

5.14 Pubblicità TikTok.

• TikTok Pixel, TikTok Conversion API, TikTok Custom Audiences, forniti da TikTok Information Technologies UK Limited / TikTok Technology Limited.

• Sede del trattamento: Regno Unito, Irlanda; trasferimenti extra-SEE soggetti a SCC.

• Privacy policy: https://www.tiktok.com/legal/privacy-policy-eea

• Base giuridica: art. 6, paragrafo 1, lettera a) GDPR — consenso.

5.15 Pubblicità Microsoft / LinkedIn.

• Microsoft Advertising (Bing Ads) UET; LinkedIn Insight Tag, forniti da Microsoft Ireland Operations Limited e LinkedIn Ireland Unlimited Company.

• Privacy policy: https://privacy.microsoft.com ; https://www.linkedin.com/legal/privacy-policy

• Base giuridica: art. 6, paragrafo 1, lettera a) GDPR — consenso.

5.16 Pubblicità Pinterest, X, Reddit, Snapchat, ecc.

• Strumenti pubblicitari su altre piattaforme social, attivati a fronte di campagne specifiche di Stravagando.

• Tutti soggetti al medesimo regime di consenso e documentati nel Pannello Preferenze.

5.17 Retargeting dinamico.

• Criteo Dynamic Retargeting, RTB House, e altre reti di programmatic advertising.

• Categoria: Strumenti di Tracciamento di Marketing e Profilazione (consenso richiesto).

5.18 Affiliazione e tracciamento conversioni.

• Network di affiliazione per la promozione di Stravagando da parte di publisher terzi, con tracciamento delle conversioni mediante Cookie e/o postback.

• Categoria: Strumenti di Tracciamento di Marketing (consenso richiesto se non riconducibili al meccanismo di Cookie di Attribuzione del Programma di Referidos di Prima Parte).

5.19 Cookie di Attribuzione del Programma di Referidos.

• Cookie di Prima Parte di Stravagando (in alternativa, di Terza Parte ove la Piattaforma utilizzi un fornitore di affiliazione tecnologica).

• Finalità: tracciare la provenienza dei nuovi Utenti che si iscrivono mediante Link di Referidor di un Referrer aderente al Programma di Referidos di Stravagando, secondo modello last-click attribution su finestra mobile di 90 giorni.

• Durata: 90 giorni (estensibile mediante reinstallazione al successivo clic qualificante).

• Categoria: Strumenti di Tracciamento di Marketing (consenso richiesto). In assenza di consenso, l'attribuzione può avvenire esclusivamente tramite inserimento diretto del Codice di Referidor da parte del Filleul al momento della registrazione, secondo quanto previsto all'art. 6 dei Termini e Condizioni del Programma di Referidos.

5.H — Email marketing

5.20 Pixel di tracciamento email.

• Email transazionali e di marketing inviate da Stravagando contengono pixel di tracciamento di apertura e link tracking per la misurazione dei tassi di apertura, click-through e conversione.

• Fornitori indicati a titolo esemplificativo: SendGrid, Mailgun, Postmark, Brevo (Sendinblue), Klaviyo, HubSpot.

• Categoria: per le email transazionali, base giuridica art. 6, paragrafo 1, lettera b) GDPR (esecuzione del contratto). Per le email di marketing, base giuridica art. 6, paragrafo 1, lettera a) GDPR — consenso, revocabile in qualsiasi momento mediante il link di opt-out presente in ogni email.

ART. 6 — TRASFERIMENTI EXTRA-SEE

6.1 Principio. Alcuni degli Strumenti di Tracciamento utilizzati implicano il trasferimento di dati personali al di fuori dello Spazio Economico Europeo (SEE), in particolare negli Stati Uniti d'America, nel Regno Unito ed in altri Paesi terzi.

6.2 Garanzie adottate. Per i trasferimenti extra-SEE, Stravagando si avvale dei seguenti strumenti di tutela ai sensi del Capo V GDPR:

• (a) Decisioni di adeguatezza della Commissione UE ex art. 45 GDPR, ove applicabili (es. Regno Unito, Svizzera, Israele, Canada parziale, Andorra, Argentina, Giappone, Nuova Zelanda, Repubblica di Corea, Uruguay);

• (b) EU-US Data Privacy Framework: per i trasferimenti negli Stati Uniti, qualora il fornitore terzo sia certificato ai sensi del framework approvato dalla Commissione UE con Decisione di Adeguatezza del 10 luglio 2023;

• (c) Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE con Decisione di esecuzione 2021/914, ex art. 46, paragrafo 2, lettera c) GDPR, integrate da idonee misure supplementari tecniche e organizzative ove necessarie sulla base del Transfer Impact Assessment condotto da Stravagando;

• (d) Norme vincolanti d'impresa (Binding Corporate Rules) approvate ai sensi dell'art. 47 GDPR, ove applicabili al fornitore terzo;

• (e) Deroghe ex art. 49 GDPR, in casi specifici e residuali (es. consenso esplicito dell'Interessato, esecuzione di contratto su richiesta dell'Interessato, motivi di interesse pubblico).

6.3 Trasparenza. Per ogni Strumento di Tracciamento di Terza Parte, il Pannello Preferenze indica il Paese di trattamento e — ove extra-SEE — il meccanismo di tutela adottato.

ART. 7 — DURATA E CONSERVAZIONE

7.1 Durata dei Cookie. La durata di ciascun Cookie e Strumento di Tracciamento è indicata nel Pannello Preferenze. A titolo orientativo:

• (a) Cookie di sessione: cancellati alla chiusura del browser o dopo un periodo di inattività predeterminato;

• (b) Cookie funzionali persistenti: durata variabile da 7 giorni a 12 mesi;

• (c) Cookie analitici: durata massima di 14 mesi (Google Analytics 4 default) o di 24 mesi;

• (d) Cookie di marketing: durata variabile da 30 giorni a 24 mesi a seconda del fornitore;

• (e) Cookie di Attribuzione del Programma di Referidos: 90 giorni;

• (f) Cookie di consent log: 6 mesi.

7.2 Conservazione dei dati raccolti. I dati personali raccolti mediante Strumenti di Tracciamento sono conservati per il tempo strettamente necessario al perseguimento delle finalità per le quali sono stati raccolti, secondo i criteri indicati nell'Informativa Privacy generale della Piattaforma. In sintesi:

• (a) dati di sicurezza e antifraude: 24 mesi salvo necessità di conservazione superiore per esigenze investigative;

• (b) dati di analitica: fino a 26 mesi per Google Analytics 4 e analoghi (con cancellazione automatica dei record individuali e mantenimento di soli aggregati);

• (c) dati di profilazione e marketing: fino a 24 mesi dall'ultima interazione, ovvero fino alla revoca del consenso se anteriore;

• (d) dati di attribuzione referral: per la durata della relazione contrattuale Referrer + 24 mesi (gestione contenzioso);

• (e) consent log: 10 anni dalla raccolta del consenso o dalla revoca, ai fini probatori.

ART. 8 — DIRITTI DELL'INTERESSATO

8.1 Diritti riconosciuti. L'Interessato può esercitare in qualsiasi momento i seguenti diritti previsti agli artt. 15-22 GDPR:

• (a) diritto di accesso ai propri dati personali (art. 15) — ottenere conferma del trattamento e copia dei dati trattati;

• (b) diritto di rettifica (art. 16) — ottenere la correzione di dati inesatti o l'integrazione di dati incompleti;

• (c) diritto alla cancellazione o «diritto all'oblio» (art. 17) — ottenere la cancellazione dei dati nei casi previsti dalla norma;

• (d) diritto di limitazione del trattamento (art. 18);

• (e) diritto alla portabilità dei dati (art. 20) — ricevere in formato strutturato, di uso comune e leggibile da dispositivo automatico i dati che lo riguardano e trasmetterli ad altro titolare;

• (f) diritto di opposizione al trattamento (art. 21), incluso il diritto di opporsi in qualsiasi momento al trattamento dei propri dati a fini di marketing diretto;

• (g) diritto di non essere sottoposto a decisioni interamente automatizzate (art. 22), ferme restando le eccezioni di legge;

• (h) diritto di revocare il consenso in qualsiasi momento (art. 7, paragrafo 3 GDPR), senza pregiudizio della liceità del trattamento basato sul consenso prima della revoca;

• (i) diritto di proporre reclamo all'Autorità di controllo competente (art. 77), in particolare al Garante per la protezione dei dati personali italiano nel caso dell'Italia, secondo le modalità pubblicate sul sito www.garanteprivacy.it.

8.2 Modalità di esercizio. I diritti possono essere esercitati:

• (a) mediante il Pannello Preferenze della Piattaforma per la modifica/revoca del consenso ai Cookie e alle finalità di marketing;

• (b) mediante la sezione «Privacy» del Pannello dell'Utente registrato per le richieste di accesso, rettifica, cancellazione, portabilità;

• (c) mediante richiesta scritta inviata a support@stravagando.com ovvero a {company_pec} (per richieste formali), corredata di documento di identità per la verifica dell'identità dell'istante;

• (d) mediante posta cartacea all'indirizzo del Titolare indicato all'Art. 2.1.

8.3 Tempi di risposta. Stravagando fornisce risposta alle richieste di esercizio dei diritti entro 30 giorni dal ricevimento, prorogabili di ulteriori 60 giorni in casi di particolare complessità con preventiva comunicazione all'Interessato.

ART. 9 — IMPOSTAZIONI DEL BROWSER E DEL DISPOSITIVO

9.1 Controllo via browser. In aggiunta ai meccanismi messi a disposizione da Stravagando, l'Utente può configurare il proprio browser per visualizzare, eliminare e bloccare i Cookie. Ciascun browser dispone di proprie impostazioni; istruzioni operative aggiornate sono disponibili presso le pagine ufficiali dei principali browser:

• (a) Google Chrome: https://support.google.com/chrome/answer/95647

• (b) Mozilla Firefox: https://support.mozilla.org/it/kb/Gestione%20dei%20cookie

• (c) Apple Safari: https://support.apple.com/it-it/guide/safari/sfri11471/mac

• (d) Microsoft Edge: https://support.microsoft.com/it-it/microsoft-edge

• (e) Opera: https://help.opera.com/it/latest/web-preferences/

9.2 Limiti delle impostazioni del browser. Le impostazioni del browser non consentono un controllo granulare per categoria di Cookie pari a quello disponibile nel Pannello Preferenze della Piattaforma. La disattivazione integrale dei Cookie via browser può comportare la totale o parziale impossibilità di utilizzare la Piattaforma.

9.3 Identificativi pubblicitari mobili. Sui dispositivi mobili, l'Utente può limitare il tracciamento pubblicitario mediante le impostazioni del sistema operativo:

• (a) iOS: «Impostazioni > Privacy e sicurezza > Tracciamento» e disattivazione del consenso al tracciamento per le App, con conseguente trasmissione di un IDFA pari a stringa zeri da parte dell'App di Stravagando;

• (b) Android: «Impostazioni > Privacy > Annunci» e attivazione di «Elimina ID pubblicità» o «Disattiva personalizzazione annunci».

9.4 Segnali Do Not Track e Global Privacy Control. Stravagando riconosce il segnale Global Privacy Control (GPC) quale espressione automatizzata di rifiuto al trattamento dei dati personali per finalità di marketing per i residenti USA ai sensi del CCPA/CPRA. Il segnale Do Not Track (DNT) del browser è considerato per gli Utenti UE quale ulteriore espressione di preferenza, sebbene la sua interpretazione tecnica non sia ad oggi standardizzata.

ART. 10 — DISPOSIZIONI PER RESIDENTI NEGLI STATI UNITI

10.1 Quadro normativo. Per i residenti negli Stati Uniti d'America si applicano in via integrativa le seguenti normative statali, ove applicabili in base allo Stato di residenza dell'Utente: California Consumer Privacy Act of 2018 (CCPA) come modificato dal California Privacy Rights Act of 2020 (CPRA), Virginia Consumer Data Protection Act (VCDPA), Colorado Privacy Act (CPA), Connecticut Data Privacy Act (CTDPA), Utah Consumer Privacy Act (UCPA), e successive normative statali in vigore.

10.2 Diritti dei residenti California. I residenti in California hanno diritto, ai sensi del CCPA/CPRA, a: right to know (conoscere le categorie di dati raccolti e condivisi), right to delete (cancellazione), right to correct (rettifica), right to opt-out of sale and sharing (esclusione dalla vendita e condivisione), right to limit use of sensitive personal information (limitazione dell'uso di informazioni sensibili), right to non-discrimination (non discriminazione nell'esercizio dei diritti), right to portability.

10.3 No sale/no share. Stravagando non vende la Personal Information dei residenti USA a terzi per finalità commerciali ai sensi del CCPA/CPRA. La condivisione (sharing) di Personal Information con Terze Parti per finalità di pubblicità comportamentale cross-context avviene esclusivamente sulla base del consenso prestato dall'Utente nel Pannello Preferenze e/o dal segnale GPC, ed è soggetta al diritto di opt-out mediante il link «Do Not Sell or Share My Personal Information» / «Your Privacy Choices» pubblicato sulla Piattaforma.

10.4 Esercizio dei diritti. I residenti USA possono esercitare i propri diritti mediante il portale «Your Privacy Choices» della Piattaforma o mediante email a support@stravagando.com, con risposta entro 45 giorni prorogabili a 90 in casi di particolare complessità. Per i residenti USA non si applica l'autorità di controllo del Garante italiano; gli organi competenti sono l'Office of the Attorney General dello Stato di residenza e — per residenti California — la California Privacy Protection Agency (CPPA).

ART. 11 — MINORI

11.1 Età minima. La Piattaforma è destinata a soggetti maggiorenni. Stravagando non raccoglie consapevolmente dati personali di minori di età inferiore a 14 anni in Italia (soglia ex art. 2-quinquies del Codice Privacy italiano per il consenso al trattamento dati nell'ambito dei servizi della società dell'informazione) né, per gli Utenti residenti in altri Stati membri UE, di età inferiore alla soglia stabilita dalla normativa locale. Per i residenti USA, Stravagando non raccoglie consapevolmente dati personali di minori di età inferiore a 13 anni, in conformità al Children's Online Privacy Protection Act (COPPA, 15 U.S.C. §§ 6501-6506).

11.2 Modalità di richiesta cancellazione. Qualora un genitore o tutore legale ritenga che il proprio figlio minore abbia fornito a Stravagando dati personali in violazione delle limitazioni di età, può richiederne la cancellazione mediante email a support@stravagando.com, con conseguente rimozione tempestiva dei dati e cancellazione di eventuali account.

ART. 12 — MODIFICHE ALLA PRESENTE COOKIE POLICY

12.1 Aggiornamenti. Stravagando si riserva il diritto di modificare la presente Cookie Policy in qualsiasi momento, in particolare per riflettere modifiche normative, evoluzioni tecnologiche, l'introduzione di nuovi Strumenti di Tracciamento o di nuove Terze Parti, l'aggiornamento delle finalità di trattamento.

12.2 Comunicazione. Le modifiche significative — quali l'introduzione di nuove categorie di Strumenti di Tracciamento, di nuove finalità o di nuove Terze Parti — sono comunicate all'Utente mediante:

• (a) avviso in piattaforma con preavviso minimo di 30 giorni prima dell'efficacia;

• (b) email all'indirizzo registrato, ove l'Utente sia titolare di account;

• (c) riproposizione del banner di prima visita per la nuova prestazione del consenso, ove richiesto.

12.3 Versioni precedenti. Le versioni precedenti della Cookie Policy sono archiviate e disponibili su richiesta dell'Interessato a fini di ricostruzione storica del trattamento.

12.4 Versione corrente. La versione corrente della Cookie Policy reca data di entrata in vigore in testa al documento e sostituisce ogni versione precedente.

ART. 13 — CONTATTI E RECLAMI

13.1 Titolare del trattamento.

Denominazione commerciale: Stravagando Ragione sociale: Inmedia S.r.l. Sede legale: Via L'Aquila, 22, 65122 Pescara (PE), Italia Codice Fiscale / P.IVA: 02017520681 Email privacy: support@stravagando.com PEC: inmediasrl@pec.it

13.2 Responsabile della protezione dei dati (DPO).

Email: support@stravagando.com

13.3 Reclamo all'Autorità di controllo.

Garante per la protezione dei dati personali italiano Piazza Venezia n. 11 — 00187 Roma (RM), Italia Sito: https://www.garanteprivacy.it Email: protocollo@gpdp.it PEC: protocollo@pec.gpdp.it Modello di reclamo disponibile all'indirizzo: https://www.garanteprivacy.it/home/modulistica-e-servizi-online

Per gli Utenti residenti in altri Stati membri UE è ferma la possibilità di proporre reclamo presso l'Autorità di controllo dello Stato di residenza, di lavoro o del luogo della presunta violazione, ai sensi dell'art. 77 GDPR.

Documento approvato e adottato da Inmedia S.r.l.

Versione: 1.0 Data di entrata in vigore: 26/04/2026 Documento di riferimento: Provvedimento del Garante per la protezione dei dati personali del 10 giugno 2021 — Linee guida cookie e altri strumenti di tracciamento (Reg. provv. n. 231/2021)