Cookie Policy
A-ESP S.R.L.
Riferimenti normativi: Direttiva 2002/58/CE (ePrivacy) come modificata; Regolamento (UE) 2016/679 (GDPR); art. 122 D.Lgs. 196/2003 (Codice Privacy); Linee guida del Garante per la protezione dei dati personali in materia di cookie e altri strumenti di tracciamento del 10/06/2021.
1. Titolare e ambito
Titolare del trattamento è A-ESP S.R.L., Viale Rimembranza 19/B, 20871 Vimercate (MB), C.F./P.IVA 14874150965, PEC a-esp@pec.it.
La presente Cookie Policy riguarda l'applicazione web del Servizio A-ESP (https://a-esp.io/ e relative interfacce di programmazione). Per le applicazioni native iOS e Android e per i dati che esse conservano sul dispositivo si rinvia all'Informativa sul trattamento dei dati personali (sezione 6.3), pubblicata su https://a-esp.io/legal/privacy.
2. Che cosa sono i cookie e gli strumenti analoghi
I cookie sono piccoli file di testo che il sito invia al dispositivo dell'utente, dove sono memorizzati per essere ritrasmessi al sito nelle visite successive. Sono assimilati ai cookie gli altri strumenti che memorizzano o leggono informazioni sul dispositivo, come la memoria locale del browser (localStorage e sessionStorage).
3. Strumenti utilizzati da A-ESP
A-ESP utilizza esclusivamente cookie e strumenti tecnici, necessari all'erogazione del Servizio richiesto dall'utente, per i quali non è richiesto il consenso (art. 122, comma 1, Codice Privacy). A-ESP non utilizza cookie di profilazione, pubblicitari, di social network, né strumenti di analisi statistica (analytics) propri o di terze parti. Non sono presenti cookie di terze parti. I caratteri tipografici (font) sono serviti direttamente da A-ESP: il Servizio non effettua chiamate a servizi di font o di tracciamento di terzi.
3.1 Cookie tecnici di prima parte
| Nome | Finalità | Durata | Caratteristiche |
|---|---|---|---|
aesp_session | Mantiene la sessione dell'utente autenticato | 30 giorni, rinnovati con l'uso (sessione al massimo di 90 giorni); cancellato al logout | HttpOnly (non accessibile agli script), Secure, SameSite=Lax, valido sul dominio .a-esp.io |
aesp_oauth_pkce | Protegge la procedura di autorizzazione con un fornitore esterno (ad esempio il collegamento di una casella Gmail o Outlook) mediante un codice di verifica | Durata della sola procedura (massimo 10 minuti) | HttpOnly, Secure, SameSite=Lax, limitato al solo percorso di ritorno dal fornitore |
aesp_apple_tx | Impostato solo durante la procedura di accesso con Apple, quando questa è attiva: correla la relativa procedura di autenticazione | Durata della sola procedura | HttpOnly, Secure, SameSite=None, limitato al solo percorso di ritorno |
La protezione dalle richieste contraffatte (CSRF) è realizzata mediante verifica dell'origine delle richieste e non richiede cookie aggiuntivi.
3.2 Memoria locale del browser
Il Servizio usa la memoria locale (localStorage) e la memoria di sessione (sessionStorage) del browser solo per funzioni tecniche, raggruppate per finalità. I nomi delle chiavi iniziano con il prefisso aesp; alcune contengono l'identificativo interno dell'utente, che non è un dato leggibile da terzi.
| Finalità | Esempi di chiavi | Durata |
|---|---|---|
| Preferenze dell'interfaccia: tema chiaro/scuro, disposizione e larghezza dei pannelli | aesp-dark, aesp-chrome-theme, aesp-docdrawer-width | Fino a modifica o cancellazione da parte dell'utente |
| Contesto attivo (Personale, Azienda o Studio), clienti dello Studio consultati di recente | aesp-company-context, aesp-studio-context, aesp.recentClients | Contesto: fino alla chiusura della scheda del browser; clienti recenti: fino a cancellazione |
| Avanzamento dei percorsi di benvenuto e delle guide | aesp:onboarding:*, aesp:dlrem-seen:* | Fino a cancellazione |
| Notifiche, avvisi e inviti già chiusi dall'utente | aesp-dismissed-notifs, aesp-push-prompt-dismissed, aesp-promo-consent-banner-dismissed:* | Fino a cancellazione |
| Stato delle attività giornaliere della dashboard | aesp-daily-tasks-* | Fino a cancellazione |
| Blocco tecnico anti-doppio invio: impedisce di inviare una seconda volta la stessa risposta; contiene l'identificativo dell'utente e del documento e la data del blocco, non il contenuto del messaggio | aesp.replySendLatch.* | 30 giorni; non cancellato al logout, per non riaprire il rischio di doppio invio |
| Funzionamento della procedura di accesso e dell'applicazione: ritorno alla pagina corretta dopo il collegamento di una casella, schermata iniziale mostrata una sola volta, ripristino dopo un errore di caricamento | aesp:oauth:returnTo, aesp_splash_seen, aesp:preload-recovery (memoria di sessione) | Chiusura della scheda del browser |
I dati memorizzati nella memoria locale restano sul dispositivo e non sono trasmessi a terzi. La cache dei dati dell'interfaccia è mantenuta solo in memoria durante l'uso e non è memorizzata in modo persistente. Su dispositivi condivisi il blocco anti-doppio invio, che contiene l'identificativo dell'utente, resta presente dopo il logout fino alla scadenza o alla cancellazione dei dati del sito dalle impostazioni del browser.
3.3 Service worker e notifiche push
L'applicazione web registra un componente tecnico del browser (service worker) che conserva nella cache del browser (aesp-shell-*) i soli file statici dell'interfaccia (codice, fogli di stile, immagini, caratteri tipografici, pagina iniziale) per velocizzarne l'apertura; i dati dell'utente e le risposte dei server di A-ESP non sono memorizzati in tale cache.
Se l'utente attiva le notifiche push (Web Push), il browser registra un'iscrizione presso il servizio di notifica del browser (Google, Mozilla o Apple, a seconda del browser), necessario alla consegna delle notifiche; il testo delle notifiche è minimizzato e non riporta il contenuto delle email. L'attivazione avviene solo previo consenso dato dall'utente tramite l'autorizzazione del browser ed è revocabile in ogni momento dalle impostazioni del browser o del Servizio.
3.4 Altre connessioni dal browser
- Cloudflare distribuisce l'interfaccia web del Servizio e può trattare dati tecnici di connessione (ad esempio l'indirizzo IP) per finalità di sicurezza e consegna dei contenuti; non vi sono cookie di Cloudflare impostati a fini di profilazione.
- Provider di posta (Google, Microsoft). Durante il collegamento di una casella l'utente è reindirizzato alle pagine del provider, che possono utilizzare cookie propri secondo le rispettive informative; A-ESP non ha accesso a tali cookie.
- Immagini esterne nelle email. Le immagini esterne contenute nelle email sono bloccate per impostazione predefinita; sono caricate solo se l'utente sceglie «Mostra immagini» per quel messaggio. In tal caso il browser contatta il server del mittente del messaggio, che può rilevare l'apertura e l'indirizzo IP dell'utente; si tratta di una richiesta effettuata su scelta dell'utente e non di uno strumento di A-ESP.
- Controllo delle password compromesse. Alla scelta di una password, il Servizio controlla se è compromessa tramite il servizio Have I Been Pwned con metodo k-anonymity: è trasmesso solo un prefisso di 5 caratteri dell'impronta della password, mai la password.
4. Consenso e banner
Poiché A-ESP utilizza esclusivamente strumenti tecnici, non è richiesto il consenso dell'utente né è mostrato un banner cookie (art. 122 Codice Privacy; Linee guida del Garante del 10/06/2021); per gli strumenti tecnici è sufficiente la presente informativa, accessibile da ogni pagina del Servizio e pubblicata insieme all'Informativa sul trattamento dei dati personali. Qualora in futuro fossero introdotti strumenti non tecnici (ad esempio analytics non anonimizzati), A-ESP li attiverà solo previo consenso raccolto mediante un banner conforme alle Linee guida del Garante (pulsanti «Accetta» e «Rifiuta» di pari evidenza, scelta granulare, nessuna preselezione) e aggiornerà la presente policy.
5. Gestione da parte dell'utente
L'utente può cancellare i cookie e la memoria locale dalle impostazioni del proprio browser (Chrome, Firefox, Safari, Edge). La disattivazione dei cookie tecnici impedisce l'accesso al Servizio; la cancellazione della memoria locale comporta la perdita delle preferenze di interfaccia.
6. Trasferimenti di dati
I cookie e la memoria locale di prima parte non comportano trasferimenti a terzi. Per i dati trattati dai fornitori dell'infrastruttura si rinvia all'Informativa sul trattamento dei dati personali (sezioni 8 e 9).
7. Modifiche
Le modifiche sostanziali sono comunicate nel Servizio; le modifiche minori sono pubblicate senza preavviso. La versione vigente è indicata in testa al documento.
8. Contatti
- PEC: a-esp@pec.it
- Email: info@a-esp.io
- Responsabile della protezione dei dati: non designato (si veda la sezione 1.2 dell'Informativa sul trattamento dei dati personali)
Registro delle modifiche
| Versione | Data | Descrizione |
|---|---|---|
| 1.0 | 16/10/2026 | Prima pubblicazione |