Privacy Policy

1. Chi siamo (Titolare del trattamento)

QualeSpiaggia è un servizio di CAPITA S.R.L., con sede legale in Piazza Lodovico Cerva 43, 00143 Roma (RM), Italia, P.IVA 17385951003. Per domande sulla privacy scrivi a privacy@qualespiaggia.com.

Aggiornata: 14 ottobre 2026.

2. Dati che raccogliamo

Raccogliamo solo i dati strettamente necessari al servizio. Non creiamo profili pubblicitari: gli annunci li gestisce Google, e quelli personalizzati solo con il tuo consenso (sezione 3).

• Email. Quando ti iscrivi alla newsletter, accedi via magic link (es. per i preferiti nelle app) o, se in futuro attiveremo funzioni a pagamento, attivi una prova Pro. Salvata in DB Supabase (server EU).
• Identità Google (opzionale). Se accedi con "Continua con Google", riceviamo email + nome dal tuo account Google. Nessun altro dato.
• Dati di pagamento. Oggi il sito e le app non hanno funzioni a pagamento. Se in futuro le attiveremo, nome, email, indirizzo e Partita IVA (per fattura) saranno trattati direttamente da Stripe: non vedremo né archivieremo i dati della carta, ma solo l'ID cliente Stripe e lo stato dell'abbonamento.
• Posizione (opzionale). Se la autorizzi nel browser/app, per mostrarti le spiagge vicine. Resta sul tuo device, mai inviata ai nostri server.
• Preferiti spiagge. Salvati localmente sul tuo dispositivo (localStorage). Mai inviati ai nostri server.
• Statistiche di visita. Google Analytics 4 con Consent Mode v2: di default analytics_storage: denied, quindi niente cookie e niente ID utente. I cookie di analisi si attivano solo se acconsenti nel messaggio di consenso. Misuriamo solo metriche aggregate (pagine viste, durata).
• Conteggi anonimi viste spiagge. Per il badge "X persone l'hanno vista oggi" salviamo solo il numero aggregato di viste per slug per giorno. Nessun IP, nessun cookie, nessun identificatore.

3. Pubblicità (Google AdSense)

Per sostenere un servizio gratuito, alcune pagine (schede spiaggia, guide, pagine di regioni, province e aree, «mare oggi») mostrano annunci di Google AdSense, fornito da Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda). Home, pagine informative e legali non mostrano annunci.

Google e i suoi partner possono usare cookie e identificatori del dispositivo per mostrare gli annunci, misurarne i risultati e prevenire frodi. Gli annunci personalizzati e i cookie pubblicitari si attivano solo con il tuo consenso, che chiediamo con il messaggio di consenso di Google (piattaforma certificata IAB TCF) alla prima visita. Se non acconsenti puoi comunque usare tutto il sito: Google mostra al massimo annunci non personalizzati o limitati, scelti in base al contenuto della pagina.

Puoi cambiare o revocare le tue scelte in ogni momento dal link «Gestisci cookie» in fondo a ogni pagina. Come Google usa i dati raccolti sui siti partner: policies.google.com/technologies/partner-sites. Per gestire la personalizzazione degli annunci legata al tuo account Google: Impostazioni annunci di Google.

Per i dati che raccoglie con i propri cookie Google opera come titolare autonomo, secondo la propria informativa privacy; Google può trasferire dati negli Stati Uniti nell'ambito dell'EU-U.S. Data Privacy Framework. Noi non riceviamo da Google dati che ti identificano: solo report aggregati su annunci e guadagni.

4. Link affiliati (GetYourGuide)

Alcune pagine mostrano un riquadro «Cose da fare» con link affiliati a GetYourGuide: se prenoti un'esperienza riceviamo una commissione, senza costi aggiuntivi per te. Sono normali link, marcati come sponsorizzati: non caricano script o cookie di GetYourGuide sulle nostre pagine. Se li apri, sul sito di GetYourGuide vale la sua informativa privacy. Dettagli in Metodo e fonti.

5. Responsabili esterni del trattamento

Per fornire il servizio ci avvaliamo di questi processor (tutti GDPR-compliant):

• Hetzner Online GmbH — hosting del sito (Germania, UE), dal 13 ottobre 2026.
• Vercel Inc. — API del sito (preferiti, iscrizione alla newsletter), raggiunte tramite il nostro server (USA, copertura GDPR via SCC).
• Supabase Inc. — database email subscriber (server EU Francoforte).
• Resend Inc. — invio email transazionali (USA, copertura GDPR).
• Stripe, Inc. / Stripe Payments Europe Ltd. — pagamenti, solo se in futuro attiveremo funzioni a pagamento (Irlanda, GDPR diretto).
• Google Ireland Limited — Analytics 4 (cookie di analisi solo con consenso) e login OAuth opzionale. Per gli annunci AdSense Google è fornitore e titolare autonomo dei dati che raccoglie con i propri cookie (sezione 3).
• OpenStreetMap Foundation — tile della mappa (UK).

6. Cookie e storage

Nome	Scopo	Durata
qs_session	Sessione autenticata (JWT firmato)	30 giorni
FCCDCF, FCNEC	Memoria delle tue scelte nel messaggio di consenso di Google	fino a 13 mesi
__gads, __gpi, IDE e altri cookie di Google	Annunci AdSense: erogazione, misurazione, prevenzione frodi (personalizzazione solo con consenso)	fino a 13 mesi
_ga, _ga_*	Statistiche di visita Google Analytics (solo con consenso)	fino a 2 anni
qs_oauth_state	CSRF token Google OAuth	10 minuti
salento_lang	Lingua preferita	1 anno (localStorage)
salento_favorites	Preferiti spiagge	persistente (localStorage)

7. Base giuridica e finalità

• Esecuzione del contratto (art. 6.1.b GDPR) — per gestire l'iscrizione e, se in futuro attiveremo funzioni a pagamento, prove e abbonamenti Pro.
• Consenso (art. 6.1.a GDPR) — per la newsletter (single/double opt-in con conferma email), per le statistiche di visita e per gli annunci personalizzati e i cookie pubblicitari di Google. Puoi revocarlo in ogni momento, senza conseguenze sull'uso del sito.
• Legittimo interesse e necessità tecnica (art. 6.1.f GDPR) — per i cookie tecnici necessari al funzionamento del sito e alla memoria delle tue scelte, per misure aggregate anonime (conteggi viste spiagge) e per la prevenzione di abusi e frodi.

8. Conservazione dei dati

• Email subscribers: fino alla disiscrizione (link in ogni email) o richiesta di cancellazione.
• Eventi Stripe (idempotency), se attiveremo funzioni a pagamento: 12 mesi.
• Conteggi viste anonimi: 30 giorni (eliminati automaticamente).
• Magic link tokens: 15 minuti (eliminati dopo l'uso o lo scadere).

9. I tuoi diritti (GDPR)

Hai diritto a: accesso, rettifica, cancellazione, portabilità, opposizione, limitazione del trattamento. Per esercitarli scrivi a privacy@qualespiaggia.com — rispondiamo entro 30 giorni. Hai diritto a reclamare al Garante Privacy italiano (www.garanteprivacy.it).

Self-service cancellazione (diritto all'oblio): ogni email di QualeSpiaggia contiene un link "Cancella i miei dati" che porta a /api/v1/erase — anonimizza immediatamente l'account senza necessità di scriverci. Per richieste più complesse (portabilità dati, rettifica, opposizione), continua a scrivere a privacy@qualespiaggia.com.

Se in futuro attiveremo abbonamenti Pro, potrai cancellarli dallo Stripe Customer Portal raggiungibile dalle email di Stripe oppure scrivendoci a privacy@qualespiaggia.com.

10. Modifiche

Se cambiamo qualcosa di rilevante, te lo comunichiamo con un banner in home per 30 giorni e via email a chi è iscritto alla newsletter.