BOZZA — da sottoporre a revisione di un legale qualificato prima della pubblicazione.

Documento redatto in ottica protettiva per il Titolare e conforme al Regolamento (UE) 2016/679 (GDPR), al D.lgs. 196/2003 (Codice Privacy, come modificato dal D.lgs. 101/2018), alla Direttiva 2002/58/CE (ePrivacy) e al Provvedimento del Garante per la protezione dei dati personali in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021 (n. 231). I segnaposto tra [[...]] indicano dati o scelte da confermare prima della pubblicazione, in particolare l'esito dell'audit tecnico dei cookie effettivamente rilasciati.

Cookie Policy — QBNB

Ultimo aggiornamento: [[data ultimo aggiornamento]] — Versione: [[n. versione]] — In vigore dal: [[data di entrata in vigore]]

La presente Cookie Policy descrive le modalità di utilizzo dei cookie e di altri strumenti di tracciamento equivalenti (di seguito, complessivamente, "cookie" o "strumenti") sulle proprietà web del servizio QBNB, in particolare:

• il sito vetrina (landing) raggiungibile all'indirizzo qbnb.it (e relativi sottodomini);
• la dashboard di gestione riservata ai gestori delle strutture ricettive (di seguito "Cliente" o "Struttura", termini usati come sinonimi).

Il documento è redatto ai sensi della Direttiva 2002/58/CE ("Direttiva ePrivacy"), del Regolamento (UE) 2016/679 ("GDPR"), dell'art. 122 del D.lgs. 196/2003 ("Codice Privacy") e in conformità alle "Linee guida cookie e altri strumenti di tracciamento" del Garante per la protezione dei dati personali del 10 giugno 2021 (provvedimento n. 231).

La presente Cookie Policy costituisce parte integrante e sostanziale della Privacy Policy di QBNB, alla quale si rinvia per ogni informazione ulteriore sul trattamento dei dati personali, sulle categorie di interessati, sui diritti dell'interessato, sui sub-responsabili e sui contatti del Titolare.

Ambito. La presente policy riguarda esclusivamente i cookie rilasciati sulle proprietà web sopra indicate (qbnb.it e dashboard). Essa non disciplina il trattamento dei dati degli Ospiti delle Strutture tramite WhatsApp (per cui Shakadabra agisce quale Responsabile ex art. 28 GDPR per conto della Struttura — v. Privacy Policy e Accordo sul trattamento dei dati / DPA), né il rapporto separato con il marketplace shop.shakadabra.com, che è governato da proprie condizioni e informativa.

1. Titolare del trattamento

Il Titolare del trattamento dei dati raccolti tramite i cookie presenti sulle proprietà web QBNB è:

Shakadabra S.r.l. ("Shakadabra", "noi") Sede legale: Via Velasquez 19, 90141 Palermo (PA), Italia C.F. / P.IVA: 07262490829 PEC: shakadabra@pec.it Contatto per privacy e materia legale: legal@qbnb.it

QBNB è un marchio e un prodotto SaaS di Shakadabra S.r.l. Non è stato nominato un Responsabile della protezione dei dati (DPO); il punto di contatto in materia di protezione dei dati è legal@qbnb.it.

Per i cookie e gli strumenti di terze parti elencati nella tabella alla Sezione 7, il relativo fornitore opera in qualità di titolare autonomo o di responsabile del trattamento secondo quanto indicato nelle rispettive informative, alle quali si rinvia.

2. Che cosa sono i cookie

I cookie sono piccoli file di testo che i siti web visitati inviano al terminale dell'utente (computer, tablet, smartphone), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla visita successiva. I cookie consentono, ad esempio, di mantenere attiva una sessione di autenticazione, di memorizzare preferenze o di raccogliere informazioni statistiche sulla navigazione.

Oltre ai cookie in senso stretto, esistono altri strumenti di tracciamento che svolgono funzioni analoghe — quali, a titolo esemplificativo, identificatori memorizzati nel local storage o nel session storage del browser, pixel/web beacon, fingerprinting, SDK e tecnologie similari. Quando nel presente documento si parla di "cookie", il riferimento si intende esteso, ove tecnicamente pertinente, anche a tali strumenti, ai sensi delle Linee guida del Garante del 10 giugno 2021.

I cookie possono essere classificati in base a diversi criteri:

• Per soggetto che li installa: cookie di prima parte (installati direttamente dal gestore del sito, cioè Shakadabra) e cookie di terza parte (installati da soggetti diversi, ad esempio fornitori di servizi tecnologici o di analisi).
• Per durata: cookie di sessione (cancellati alla chiusura del browser) e cookie persistenti (che permangono fino alla scadenza impostata o alla loro rimozione manuale).
• Per finalità: cookie tecnici e cookie di profilazione, secondo la distinzione adottata dal Garante e illustrata di seguito.

3. Categorie di cookie utilizzati

Conformemente al provvedimento del Garante del 10 giugno 2021, i cookie e gli strumenti utilizzati sulle proprietà web QBNB si suddividono nelle seguenti categorie.

3.1 Cookie tecnici / strettamente necessari

Sono i cookie indispensabili per consentire la corretta erogazione e fruizione del sito e dei servizi richiesti dall'utente. Senza questi cookie il sito — e in particolare la dashboard riservata — non potrebbe funzionare correttamente.

Rientrano in questa categoria, a titolo esemplificativo:

• cookie di autenticazione e gestione della sessione (per riconoscere l'utente che ha effettuato l'accesso alla dashboard e mantenere attiva la sua sessione in modo sicuro);
• cookie di sicurezza (ad esempio per la protezione da attacchi CSRF, per il bilanciamento del carico, per la gestione delle richieste di rete);
• cookie che memorizzano le scelte di consenso espresse dall'utente tramite il banner (necessari per dare seguito alle preferenze e non riproporre il banner a ogni pagina);
• cookie che memorizzano preferenze tecniche essenziali (ad esempio la lingua selezionata, ove necessario per l'erogazione del servizio);
• il cookie tecnico di prima parte qbnb_ab, utilizzato per assegnare in modo stabile l'utente a una variante di un test A/B interno sul sito vetrina (v. Sezione 3.5 e tabella alla Sezione 7).

Base giuridica: tali cookie non richiedono il consenso dell'utente. Per i cookie tecnici la liceità si fonda sull'art. 122, comma 1, del Codice Privacy (operazione "strettamente necessaria" alla fornitura del servizio richiesto dall'utente) e, sul piano del GDPR, sull'esecuzione del contratto o di misure precontrattuali (art. 6, par. 1, lett. b) e/o sul legittimo interesse del Titolare a erogare un servizio funzionante e sicuro (art. 6, par. 1, lett. f).

3.2 Cookie funzionali / di preferenza

Sono cookie che consentono di migliorare l'esperienza d'uso memorizzando scelte non strettamente indispensabili (ad esempio preferenze di visualizzazione, impostazioni dell'interfaccia, ultime opzioni utilizzate).

Base giuridica: ove tali cookie non siano strettamente necessari all'erogazione del servizio espressamente richiesto, sono assimilati ai cookie soggetti a consenso e richiedono pertanto il consenso dell'utente (art. 122 Codice Privacy; art. 6, par. 1, lett. a) GDPR). Qualora un determinato cookie funzionale sia attivato direttamente e unicamente a seguito di una scelta dell'utente (es. selezione esplicita della lingua), potrà essere ricondotto ai cookie tecnici. [[da confermare con audit reale dei cookie quali funzionali siano tecnici e quali soggetti a consenso]]

3.3 Cookie analitici

Sono cookie e strumenti utilizzati per raccogliere informazioni, in forma aggregata o individuale, sul numero degli utenti e su come questi visitano il sito (pagine visitate, tempo di permanenza, provenienza del traffico, performance di caricamento), allo scopo di misurarne l'utilizzo e migliorarne il funzionamento.

Il Garante distingue tra:

• cookie analitici equiparabili ai cookie tecnici — utilizzabili senza consenso — solo se ricorrono cumulativamente determinate condizioni: utilizzo per finalità esclusivamente statistiche; adozione di strumenti che riducono la capacità identificativa (ad esempio anonimizzazione / mascheramento di porzioni significative dell'indirizzo IP e assenza di identificatori persistenti univoci); assenza di incrocio con altre elaborazioni o di trasmissione a terzi per finalità ulteriori; impiego da parte del gestore del sito di prima parte o, per i servizi di terza parte, adozione di garanzie equivalenti;
• cookie analitici non equiparabili ai cookie tecnici — che richiedono il consenso dell'utente.

Soluzione attualmente adottata. Il sito QBNB utilizza, per la misurazione del traffico e delle performance, strumenti di analisi senza cookie (cookieless) forniti da Vercel — Vercel Web Analytics e Vercel Speed Insights — che raccolgono dati di utilizzo in forma aggregata senza memorizzare cookie di tracciamento sul terminale dell'utente né impiegare identificatori persistenti univoci a fini di profilazione. È in valutazione l'adozione, in alternativa o in aggiunta, di una soluzione di analisi cookieless di tipo Plausible/Umami. [[da confermare con audit reale lo strumento di analytics effettivamente attivo e la relativa configurazione cookieless/anonimizzata]]

Base giuridica: poiché la soluzione adottata è di tipo cookieless e non installa cookie sul terminale, per essa non è richiesto il consenso. Qualora venisse adottato un diverso strumento analitico basato su cookie, varrà quanto segue: consenso (art. 122 Codice Privacy; art. 6, par. 1, lett. a) GDPR), salvo che lo specifico strumento sia configurato in modo da soddisfare integralmente le condizioni di equiparazione ai cookie tecnici indicate dal Garante, nel qual caso non è richiesto il consenso. [[da confermare con audit reale]]

3.4 Cookie di profilazione / marketing

Sono cookie volti a creare profili relativi all'utente e utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell'ambito della navigazione, ovvero a misurare l'efficacia di campagne pubblicitarie e di marketing, anche su siti e piattaforme di terze parti (ad esempio retargeting, conversion tracking, social plugin con finalità pubblicitarie).

Nessuna profilazione lato QBNB. Allo stato, sulle proprietà web qui descritte (qbnb.it e dashboard) non vengono installati cookie di profilazione o marketing. In particolare, QBNB non effettua profilazione degli Ospiti: i suggerimenti contestuali di esperienze e attività locali eventualmente proposti in chat dall'AI sono contenuti commerciali generali, pertinenti al periodo di soggiorno e alla zona, non basati su profilazione automatizzata dei dati dell'Ospite, e non comportano l'uso di cookie di profilazione sui siti web qui descritti. La prenotazione/acquisto di tali esperienze avviene sul marketplace shop.shakadabra.com, che costituisce un rapporto separato con proprie condizioni e propria informativa: un'eventuale profilazione si verifica solo se e quando l'Ospite si iscrive autonomamente a shop.shakadabra.com, ipotesi in cui Shakadabra è Titolare per quel distinto rapporto, governato dalle policy del marketplace e non dalla presente Cookie Policy.

Base giuridica (eventuale, ove in futuro attivati): ove in futuro venissero introdotti cookie di profilazione/marketing sulle proprietà web QBNB, essi sarebbero rilasciati esclusivamente previo consenso dell'utente, libero, specifico, informato e inequivocabile (art. 122 Codice Privacy; art. 6, par. 1, lett. a), e art. 7 GDPR), e la presente policy verrebbe aggiornata di conseguenza. Tali cookie non vengono installati in assenza di consenso.

3.5 Nota sul cookie qbnb_ab (test A/B)

Il sito vetrina qbnb.it rilascia un cookie di prima parte denominato qbnb_ab, impostato lato server al primo accesso, con le seguenti caratteristiche tecniche: durata 180 giorni, attributo SameSite=Lax, percorso /. La sua funzione è assegnare in modo stabile il visitatore a una delle due varianti (A/B) di un test interno sui contenuti del sito (ad esempio titolo, call to action, struttura del modulo di contatto), così da misurarne in forma statistica e aggregata l'efficacia e migliorare il sito.

Il cookie qbnb_ab:

• è di prima parte (impostato dal solo dominio QBNB), non è di terza parte;
• contiene unicamente l'identificativo della variante assegnata (es. "A" oppure "B"), non un identificativo pubblicitario, e non consente di per sé l'identificazione dell'utente;
• non viene incrociato con dati di terze parti, non alimenta attività di profilazione o di marketing e non trasmette dati a soggetti terzi per finalità pubblicitarie.

In ragione di tali caratteristiche — split test puramente interno, di prima parte, senza tracciamento di terzi e a finalità esclusivamente tecnico-statistiche — il cookie qbnb_ab è classificato come cookie tecnico e, come tale, non è subordinato a consenso. [[classificazione da confermare in sede di audit: ove l'analisi tecnica rilevasse incroci con strumenti di terze parti o finalità ulteriori, il cookie andrebbe riclassificato come soggetto a consenso e subordinato al banner]]

4. Riepilogo basi giuridiche e consenso

I cookie diversi da quelli tecnici/necessari vengono rilasciati esclusivamente previo consenso dell'utente, raccolto tramite il banner di cui alla Sezione 5. Fino all'acquisizione del consenso, nessun cookie non necessario viene installato sul terminale dell'utente; sono ammessi soltanto i cookie tecnici (compreso qbnb_ab).

5. Gestione del consenso: banner, prima scelta e revoca

Stato di implementazione. Allo stato attuale, sulle proprietà web QBNB sono presenti soltanto cookie tecnici/necessari (compreso qbnb_ab) e strumenti di analisi cookieless che non richiedono consenso; di conseguenza il banner di seguito descritto rappresenta la configurazione di riferimento da attivare contestualmente all'eventuale introduzione di cookie soggetti a consenso. [[da confermare l'attivazione del Consent Management Platform / banner descritto, oggi non ancora implementato nel codice]]

5.1 Banner all'accesso

In occasione del primo accesso alle proprietà web QBNB viene presentato all'utente un banner (cookie banner) conforme alle prescrizioni del Garante del 10 giugno 2021, contenente:

• l'informativa breve sull'uso dei cookie e il rinvio alla presente Cookie Policy estesa;
• un comando per accettare tutti i cookie;
• un comando per rifiutare / continuare con i soli cookie tecnici, di pari evidenza grafica e funzionale rispetto al comando di accettazione;
• un comando per personalizzare le scelte per categoria (es. funzionali, analitici, profilazione/marketing);
• il richiamo che la prosecuzione della navigazione tramite chiusura del banner con l'apposito comando di rifiuto (o tramite la "X"), ovvero il semplice scroll della pagina, non equivale a prestazione del consenso.

In assenza di una scelta dell'utente, vengono mantenuti attivi soltanto i cookie tecnici e gli strumenti di analisi cookieless, ed è attuato un blocco preventivo dei cookie non necessari. Il banner non viene riproposto a ogni accesso una volta registrata una scelta, salvo che: (i) l'utente non revochi il consenso; (ii) siano mutate in modo significativo le condizioni di trattamento; oppure (iii) sia trascorso un congruo periodo di tempo dalla precedente registrazione della scelta — periodo che, in conformità all'orientamento del Garante, non è di norma inferiore a 6 mesi. [[da confermare la durata di ri-proposizione impostata nella Consent Management Platform]]

5.2 Modifica e revoca del consenso

L'utente può modificare o revocare in qualsiasi momento il consenso prestato, con la stessa facilità con cui lo ha concesso, tramite:

• il link / pulsante "Preferenze cookie" sempre disponibile nel footer delle proprietà web QBNB, che riapre il pannello di gestione delle preferenze e consente di abilitare/disabilitare ciascuna categoria di cookie non necessari; [[da confermare la presenza e la denominazione esatta del comando nel footer]]
• le impostazioni del proprio browser (v. Sezione 8).

La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prestato prima della revoca. La disattivazione dei cookie tecnici/necessari potrebbe compromettere la corretta fruizione del sito e, in particolare, l'accesso alla dashboard.

5.3 Strumento di gestione e registro dei consensi

La raccolta, la conservazione e la documentazione delle scelte di consenso avvengono tramite una Consent Management Platform (CMP) che assicura il blocco preventivo dei cookie non necessari prima dell'acquisizione del consenso, la granularità della scelta per categoria, la parità grafica tra accettazione e rifiuto e la tenuta di un registro dei consensi. Le scelte espresse vengono registrate al fine di darvi seguito e di documentarne l'acquisizione ai sensi dell'art. 7 GDPR. [[indicare la CMP / soluzione di consent management adottata, es. soluzione self-hosted o provider terzo; oggi non ancora implementata nel codice]]

6. Conservazione dei dati e durata dei cookie

La durata di ciascun cookie è indicata nella tabella della Sezione 7. In linea generale:

• i cookie di sessione sono cancellati alla chiusura del browser;
• i cookie persistenti permangono per il periodo indicato (o fino a rimozione manuale da parte dell'utente); il cookie qbnb_ab ha durata 180 giorni;
• il consenso registrato e l'evidenza della scelta sono conservati per il tempo necessario a documentarne l'acquisizione e comunque per un periodo non superiore a quanto previsto dalla normativa applicabile. [[da definire il periodo di conservazione dell'evidenza del consenso]]

Le durate indicate nella tabella sono indicative e devono essere verificate tramite un audit tecnico effettivo dei cookie effettivamente rilasciati.

7. Elenco indicativo dei cookie e degli strumenti

Avvertenza importante: la tabella che segue è indicativa e provvisoria, basata sui componenti tecnologici impiegati dalle proprietà web QBNB. Deve essere verificata e completata con un audit reale dei cookie (scansione tecnica delle pagine pubblicate) prima della pubblicazione, integrando nomi esatti dei cookie, domini, durate e finalità effettive. L'unico cookie di cui sono già noti i parametri tecnici è qbnb_ab. [[da completare con audit reale dei cookie]]

Nota tecnica. Alcuni componenti dell'infrastruttura — ad esempio il backend in hosting su Fly.io (regione UE, Francoforte), il database/auth su Supabase ([[regione UE da confermare]]) o servizi quali Zoho (email) e Stripe (pagamenti, [[solo se attivo in produzione]]) — possono rilasciare cookie/strumenti solo in contesti specifici (ad esempio in fasi di pagamento o di assistenza). L'eventuale presenza di tali cookie sulle proprietà web qui descritte deve essere verificata in sede di audit. [[da completare con audit reale dei cookie]]

8. Disabilitazione dei cookie tramite il browser

Oltre che tramite il banner e il pannello "Preferenze cookie", l'utente può gestire e disabilitare i cookie agendo sulle impostazioni del proprio browser. Di seguito i riferimenti alle guide ufficiali dei browser più diffusi:

• Google Chrome: [[link guida Chrome]]
• Mozilla Firefox: [[link guida Firefox]]
• Microsoft Edge: [[link guida Edge]]
• Apple Safari: [[link guida Safari]]

Si avverte che la disabilitazione totale dei cookie tramite browser, inclusi quelli tecnici/necessari, può impedire il corretto funzionamento del sito e, in particolare, l'accesso e l'uso della dashboard.

9. Trasferimenti di dati verso Paesi terzi

Alcuni fornitori indicati nella tabella possono comportare un trasferimento di dati personali al di fuori dello Spazio Economico Europeo (SEE). Ove ciò avvenga, il trasferimento è effettuato sulla base di adeguate garanzie ai sensi del Capo V del GDPR, in particolare le Clausole Contrattuali Standard (SCC) adottate dalla Commissione europea ed eventuali misure supplementari, ovvero sulla base di una decisione di adeguatezza (incluso, ove applicabile, il EU–US Data Privacy Framework / DPF).

L'infrastruttura del servizio è prevalentemente collocata nell'Unione Europea (Supabase configurato in regione UE [[da confermare]]; backend su Fly.io in regione UE — Francoforte). Per i fornitori statunitensi (es. Vercel; eventuale provider AI; Stripe e Zoho ove pertinenti), il trasferimento è disciplinato dalle predette garanzie (SCC e/o DPF). L'elenco aggiornato dei sub-responsabili è disponibile alle Strutture secondo quanto previsto dall'Accordo sul trattamento dei dati (DPA). Per maggiori dettagli si rinvia alla Privacy Policy di QBNB e alle informative dei singoli fornitori.

10. Diritti dell'interessato

In relazione ai dati personali trattati anche tramite cookie, l'utente può esercitare i diritti previsti dagli artt. 15-22 del GDPR, tra cui: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione al trattamento e revoca del consenso. È inoltre riconosciuto il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per esercitare tali diritti è possibile scrivere a legal@qbnb.it. Per le modalità di dettaglio si rinvia alla Privacy Policy di QBNB.

11. Modifiche alla presente Cookie Policy

Shakadabra si riserva il diritto di modificare o aggiornare la presente Cookie Policy in qualsiasi momento, anche in conseguenza di mutamenti normativi, dell'introduzione di nuovi strumenti o di variazioni nell'infrastruttura. Le modifiche sono efficaci dalla pubblicazione sulle proprietà web QBNB. In caso di modifiche sostanziali relative al rilascio di cookie soggetti a consenso, sarà nuovamente richiesto il consenso dell'utente. Si invita a consultare periodicamente la presente pagina; la data dell'ultimo aggiornamento e la versione sono indicate in apertura.

La presente Cookie Policy è parte integrante della documentazione legale di QBNB / Shakadabra S.r.l. e va letta congiuntamente alla Privacy Policy, ai Termini e Condizioni, all'Accordo sul trattamento dei dati (DPA) e alla AI Policy.