Come funziona la scelta
Al primo accesso, alla variazione sostanziale della policy o trascorsi sei mesi dalla scelta, il banner consente di accettare tutto, rifiutare gli strumenti non necessari o scegliere per categoria. I comandi hanno pari evidenza e nessuna casella facoltativa è preselezionata.
La prosecuzione della navigazione e lo scorrimento non valgono come consenso. Il rifiuto non impedisce l’accesso allo shop o l’acquisto.
Categorie e basi
| Categoria | Finalità | Regola |
|---|---|---|
| Necessari | Sicurezza, sessione, account, carrello, checkout e memorizzazione delle preferenze privacy. | Sempre attivi perché indispensabili al servizio richiesto. |
| Analytics | Statistiche first-party, funnel, heatmap aggregate, GA4 e controllo qualità. | Solo previo consenso. |
| Personalizzazione | Esperimenti controllati e adattamento non sensibile dell’esperienza. | Solo previo consenso. |
| Marketing | Meta Pixel, TikTok Pixel, TikTok Events API, OpenAI Ads Manager Pixel e misurazione campagne. | Solo previo consenso. |
Strumenti e durata
| Nome o servizio | Tipo | Durata massima / evento |
|---|---|---|
baba17_session | Cookie HttpOnly necessario per account cliente | 30 giorni o logout |
baba17-privacy-consent | Memoria locale necessaria alla preferenza | 6 mesi, revoca o cambio versione |
| Carrello, lingua e token checkout Babà17 | Memoria locale necessaria al servizio richiesto | Fino a completamento, cancellazione o pulizia del browser |
baba17-analytics-session | Memoria di sessione analytics | Sessione del browser, solo con consenso analytics |
baba17-anonymous-visitor | Identificativo pseudonimo analytics | Massimo 13 mesi, solo con consenso analytics |
baba17-openai-oppref | Riferimento attribuzione OpenAI Ads in memoria locale | Solo con consenso marketing; rimosso alla revoca |
baba17-ttclid e _ttp | Attribuzione TikTok in memoria locale e cookie TikTok | Solo con consenso marketing; il riferimento locale è rimosso alla revoca |
| Google Analytics 4 | Analytics di terza parte | Secondo configurazione GA4 e policy Google, solo con consenso |
| Meta, TikTok Pixel / Events API e OpenAI Ads | Marketing di terza parte | Secondo impostazioni del fornitore, solo con consenso marketing. Per OpenAI Ads, l’indirizzo email normalizzato può essere trasformato nel browser in hash SHA-256 per migliorare l’attribuzione: l’indirizzo in chiaro non viene trasmesso al pixel. In assenza del consenso alla personalizzazione, gli eventi consentiti sono inviati con il relativo segnale di esclusione. Per TikTok, gli eventi di prodotto, carrello, checkout, pagamento, acquisto, registrazione e contatto possono essere inviati anche dal server; URL, referrer, indirizzo IP, user agent, identificativi TikTok ed eventuali email o telefono trasformati in hash sono usati per misurazione e deduplicazione tra browser e server. |
I servizi di terza parte vengono caricati soltanto se il relativo identificativo è configurato nel backend e la categoria è stata accettata. Il titolare deve aggiornare questa tabella quando aggiunge o rimuove un fornitore.
Prova e revoca
Il server conserva una ricevuta pseudonima con versione della policy, categorie, fonte, azione e data. Non registra nel log del consenso i contenuti dei moduli. La revoca vale per il futuro; gli strumenti terzi già presenti possono essere eliminati anche dalle impostazioni del browser.
Global Privacy Control e anti-bot
Se il browser invia Global Privacy Control e non esiste una preferenza valida, il sito registra il rifiuto delle categorie non necessarie. I segnali anti-bot sono usati per sicurezza e qualità statistica, non per pubblicità o fingerprinting.
Normativa applicata
La gestione segue l’art. 122 del Codice Privacy, gli artt. 4, 6, 7, 12, 13 e 25 GDPR e le Linee guida del Garante su cookie e altri strumenti di tracciamento.