Informativa privacy

01Chi tratta i tuoi dati

Il titolare del trattamento è:

Eratek S.r.l.
Via Ugo Bassi 26 — 98123 Messina (ME), Italia
P.IVA e C.F. 03185920836
PEC: eratek@pec.it
E-mail per le richieste privacy: info@cashbro.it
Referente per i contenuti del sito: Giovanni Arena — arena.giovanni@cashbro.it

Responsabile della protezione dei dati (RPD/DPO): non nominato. La nomina è obbligatoria solo nei casi dell’art. 37 GDPR: autorità o organismo pubblico; monitoraggio regolare e sistematico degli interessati su larga scala come attività principale; trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali. Nessuna di queste ipotesi ricorre. L’attività principale è la pubblicazione di contenuti, non il monitoraggio, e i dati trattati non appartengono alle categorie dell’art. 9. Per qualunque questione privacy scrivi agli indirizzi qui sopra.

02A cosa si applica questa informativa

Si applica al sito cashbro.it e ai suoi sottodomini, resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del d.lgs. 30 giugno 2003 n. 196 come modificato dal d.lgs. 101/2018 («Codice privacy»).

Non si applica ai siti di terzi raggiungibili dai link presenti nelle pagine: quelli hanno informative proprie, che non controllo (§ 15).

Il sito non richiede registrazione, non ha area riservata, non vende nulla e non ospita commenti o contenuti caricati dagli utenti.

03Cosa raccolgo, perché, con quale base giuridica e per quanto

3.1 Dati di navigazione e log del server

Dati: indirizzo IP, data e ora della richiesta, URL richiesto, codice di risposta HTTP, byte trasferiti, referrer, user agent (browser e sistema operativo).

Sono dati che i protocolli di comunicazione di Internet trasmettono per necessità tecnica. Non sono raccolti per essere associati a te: in astratto potrebbero permettere di identificarti attraverso elaborazioni e associazioni con dati detenuti da terzi, e per questo sono trattati come dati personali.

Finalità: consegnare le pagine richieste; ricavare informazioni statistiche anonime sull’uso del sito; accertare il corretto funzionamento; individuare anomalie e abusi (attacchi, scraping massivo, tentativi di intrusione).

Base giuridica: art. 6(1)(f) GDPR, legittimo interesse del titolare a erogare il servizio in sicurezza. Il bilanciamento tiene conto del fatto che i log non sono incrociati con altre banche dati, non alimentano profilazione e sono conservati per un tempo breve.

Conservazione: 7 giorni, salvo che sia necessario prolungarla per accertare un illecito o per ottemperare a una richiesta dell’autorità giudiziaria.

Destinatari: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francia, e Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, Stati Uniti, entrambi nominati responsabili del trattamento ex art. 28 GDPR. Il sito è servito attraverso la rete di Cloudflare: ogni richiesta passa dai suoi nodi prima di arrivare al server, che accetta connessioni soltanto da lì. Cloudflare vede quindi gli stessi dati elencati qui sopra. Sui trasferimenti fuori dall’Unione europea, § 6.

3.2 Cookie e strumenti di tracciamento

Il dettaglio completo — nomi dei cookie, domini, durate, finalità, come dare e revocare il consenso — è nella Cookie policy, che forma parte integrante di questa informativa.

In sintesi:

Il sito ospita annunci pubblicitari serviti da Google AdSense, e li ospita soltanto sulle pagine di contenuto: guide, notizie, strumenti, ebook e i loro elenchi. Le tre informative, i contatti, il registro delle rettifiche, le pagine di argomento e le pagine di servizio della newsletter ne restano fuori, e su quelle pagine lo script di Google non viene nemmeno caricato.

Su cosa succede prima che tu scelga, la risposta onesta è in due parti. Sulle pagine con annunci lo script adsbygoogle.js viene caricato dai server di Google, e questo — come ogni richiesta a un server terzo — comunica a Google il tuo indirizzo IP e l'indirizzo della pagina anche se non hai ancora toccato il banner: senza quel caricamento gli annunci non esisterebbero. Ciò che non avviene prima della tua scelta è la memorizzazione: il sito dichiara a Google, nella pagina stessa e prima che il suo script parta, uno stato di partenza in cui memorizzazione, uso dei dati e personalizzazione degli annunci sono tutti negati (Consent Mode v2). Finché non accetti, non viene installato alcun cookie pubblicitario e nessun dato viene usato per profilarti.

Come Google usa questi cookie, detto con le sue parole. Fornitori terzi, fra cui Google, utilizzano cookie per pubblicare annunci in base alle precedenti visite che hai fatto a questo sito o ad altri siti web. L'utilizzo dei cookie per la pubblicità consente a Google e ai suoi partner di mostrarti annunci in base alla tua visita a questo e/o ad altri siti Internet.

Puoi disattivare la pubblicità personalizzata, e sono strade diverse per raggi d'azione diversi: su questo sito, revocando la categoria «Pubblicità» dal link «Gestisci cookie» in fondo a ogni pagina; su tutti i siti che ospitano annunci Google, da myadcenter.google.com; su tutti i fornitori pubblicitari terzi insieme, da optout.aboutads.info, da youronlinechoices.eu e da optout.networkadvertising.org. In nessuno di questi casi gli annunci spariscono: diventano non personalizzati.

Il dettaglio dei cookie, dei nomi e delle durate è al § 4.4 della Cookie policy.

Non sono presenti cookie di social network né di piattaforme video.

Nessun cookie statistico viene installato prima che tu abbia espresso una scelta. Puoi cambiare idea in qualsiasi momento dal link «Gestisci cookie» presente nel footer di ogni pagina.

3.3 Statistiche di traffico — Google Analytics 4

Servizio: Google Analytics 4, fornito da Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda.

Dati: identificatore pseudonimo assegnato al browser (client ID, conservato nel cookie _ga), pagine viste, durata delle sessioni, sorgente di provenienza, tipo di dispositivo e browser, lingua, dati di localizzazione approssimativa derivati dall’indirizzo IP.

Sull’indirizzo IP. In Google Analytics 4 l’indirizzo IP viene usato per derivare la localizzazione approssimativa e non viene registrato né conservato: la mascheratura non è un’opzione attivabile, è il comportamento predefinito e non disattivabile della proprietà. Per il traffico proveniente dal SEE, Google dichiara che gli IP vengono raccolti su domini e server situati nell’Unione europea prima dell’inoltro ai server Analytics.

Finalità: capire quali contenuti vengono letti, da quanti dispositivi e con quale profondità, per decidere cosa scrivere e cosa correggere. Le statistiche non hanno finalità pubblicitarie: non alimentano la scelta degli annunci, non costruiscono profili individuali e non servono a remarketing. Gli annunci sono un trattamento separato, con un titolare diverso, e stanno al § 8.

Base giuridica: consenso, art. 6(1)(a) GDPR e art. 122 c. 1 d.lgs. 196/2003. Non mi avvalgo dell’esenzione prevista per i cookie analytics assimilabili ai tecnici: le Linee guida del Garante (provv. n. 231 del 10 giugno 2021, § 7.2) la subordinano a condizioni cumulative — fra cui l’impossibilità per la terza parte di incrociare le informazioni con altre di cui dispone e la mancata trasmissione dei dati a terzi — che una configurazione standard di Google Analytics non soddisfa. Il servizio è quindi trattato a tutti gli effetti come soggetto a consenso preventivo.

Ruolo di Google: responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base dei Google Ads Data Processing Terms accettati nella console Analytics. Google può avvalersi di sub-responsabili, il cui elenco è pubblicato da Google e consultabile su https://business.safety.google/subprocessors/.

Configurazione adottata:

• conservazione dei dati a livello utente ed evento: 2 mesi (valore minimo disponibile);
• Google Signals: disattivato (nessuna associazione dei dati di navigazione agli account Google degli utenti, nessun reporting cross-device);
• condivisione dei dati con altri prodotti e servizi Google: disattivata;
• nessun collegamento della proprietà Analytics a Google Ads o ad altri prodotti pubblicitari;
• nessun caricamento di dati identificativi (user ID, e-mail, dati di misurazione avanzata riconducibili a una persona).

Conservazione: 2 mesi per i dati a livello di utente e di evento; i report aggregati restano disponibili senza limiti di tempo perché non contengono dati personali.

Opposizione: oltre alla revoca del consenso dal banner, puoi installare il componente aggiuntivo del browser fornito da Google: https://tools.google.com/dlpage/gaoptout. Informazioni di Google sull’uso dei dati Analytics: https://support.google.com/analytics/answer/6004245. Modalità di utilizzo da parte di Google delle informazioni provenienti da siti che ne usano i servizi: https://policies.google.com/technologies/partner-sites.

3.4 Newsletter

Dati: indirizzo e-mail; data e ora dell’iscrizione; data e ora della conferma; data e ora dell’eventuale disiscrizione. L’indirizzo IP non viene registrato, né al momento dell’iscrizione né a quello della conferma. Nessun altro dato è richiesto: non chiedo nome, età, reddito, professione.

Come funziona. L’iscrizione è a doppia conferma (double opt-in): dopo aver inserito l’indirizzo ricevi una e-mail con un link di conferma, e finché non lo clicchi non ricevi nulla. Serve a evitare che qualcuno iscriva un indirizzo altrui.

Finalità: inviarti una e-mail quando esce una guida nuova, non più di due al mese. Nessuna promozione, nessun prodotto da comprare, nessuna comunicazione commerciale di terzi.

Base giuridica: consenso, art. 6(1)(a) GDPR, prestato in modo specifico, libero e non preselezionato, e documentato con la registrazione della conferma.

Conservazione: finché resti iscritto. Dopo la disiscrizione conservo per 24 mesi il solo indirizzo in una lista di soppressione e la prova del consenso e della sua revoca, per poter dimostrare la liceità del trattamento (art. 5(2) e art. 7(1) GDPR) e per non riscriverti per errore. Trascorso quel termine, cancello.

Fornitori: la piattaforma di invio è installata sul mio server, non su un servizio esterno. L’indirizzo e-mail non viene comunicato a terzi, non viene ceduto, non viene venduto e non entra in nessuna lista condivisa. La consegna dei messaggi passa dal server di posta di Aruba S.p.A., Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia, nominato responsabile del trattamento ex art. 28 GDPR: è l’unico terzo che vede il tuo indirizzo, e solo per recapitare l’e-mail.

Tracciamento delle aperture: Le e-mail non contengono pixel di tracciamento: non rilevo se e quando apri un messaggio.

Disiscrizione: dal link presente in fondo a ogni e-mail, oppure scrivendo agli indirizzi del § 1. È immediata e non richiede motivazione.

3.5 Richieste via e-mail

Dati: l’indirizzo del mittente, il contenuto del messaggio e gli eventuali allegati.

Finalità: rispondere. Se la richiesta riguarda una rettifica o una segnalazione di errore su un contenuto, conservare traccia della segnalazione e della correzione pubblicata.

Base giuridica: art. 6(1)(f) GDPR, legittimo interesse a dare seguito a una richiesta che mi hai inviato tu; art. 6(1)(c) GDPR quando la richiesta è l’esercizio di un diritto previsto dagli artt. 15-22 GDPR.

Conservazione: 24 mesi dall’ultimo scambio, salvo che il messaggio debba essere conservato più a lungo per un obbligo di legge o per la difesa di un diritto in giudizio. Le richieste di esercizio dei diritti privacy e i relativi riscontri sono conservati 5 anni, per dimostrare di avervi dato seguito.

Ti chiedo una cosa. Non inviarmi dati che non servono: non scrivermi la tua situazione economica, importi, numeri di conto, IBAN, dati di documenti, informazioni sulla tua salute o sulla tua famiglia. Non rispondo a domande su situazioni personali e su scelte individuali (vedi i Termini d’uso), quindi quei dati non mi servono e preferisco non riceverli.

3.6 Sicurezza dei moduli

Il modulo di iscrizione alla newsletter contiene un campo nascosto («honeypot») che i browser non mostrano e che i sistemi automatici tendono a compilare. Serve a scartare le iscrizioni generate da bot. Non raccoglie dati tuoi. Base giuridica: art. 6(1)(f) GDPR, legittimo interesse alla sicurezza del servizio.

04Natura del conferimento

Nessun dato è obbligatorio per leggere il sito.

• I dati di navigazione sono trasmessi automaticamente dal tuo browser: non conferirli significherebbe non poter caricare le pagine.
• Il consenso ai cookie statistici è libero: se rifiuti, il sito funziona esattamente allo stesso modo e tutti i contenuti restano leggibili. Non c’è alcun «muro» e nessuna funzione riservata a chi accetta.
• L’indirizzo e-mail per la newsletter è necessario solo se vuoi la newsletter.

05Destinatari dei dati

I tuoi dati possono essere trattati da:

I dati non sono diffusi, non sono venduti e non sono oggetto di scambio o arricchimento con altre banche dati da parte mia.

Su Google AdSense va detta una cosa in più, perché è l’unica voce della tabella che funziona diversamente. Gli altri fornitori trattano i dati per mio conto e secondo mie istruzioni: sono responsabili ex art. 28 GDPR. Google, quando serve gli annunci, agisce come titolare autonomo e li tratta anche per finalità proprie — selezionare gli annunci, misurarli, prevenire le frodi. Non è una cessione che decido io a fini commerciali miei: è il modo in cui funziona la pubblicità online, avviene solo se hai accettato, e le condizioni di Google sono consultabili su policies.google.com/technologies/ads.

06Trasferimenti verso Paesi terzi

Sono due, e per ragioni diverse: le statistiche e la rete che serve il sito.

Le statistiche. Google Ireland Limited fa parte di un gruppo con sede negli Stati Uniti, e i dati raccolti tramite Google Analytics possono essere trattati anche fuori dallo Spazio economico europeo.

Il trasferimento avviene sulla base di:

• la decisione di adeguatezza della Commissione europea (UE) 2023/1795 del 10 luglio 2023 relativa all’EU-U.S. Data Privacy Framework. Google LLC risulta certificata nell’elenco tenuto dal Dipartimento del Commercio degli Stati Uniti (https://www.dataprivacyframework.gov/list). La decisione è stata confermata dal Tribunale dell’Unione europea con sentenza del 3 settembre 2025 nella causa T-553/23, Latombe c. Commissione; la pronuncia è di primo grado e resta impugnabile davanti alla Corte di giustizia;
• in via ulteriore e cumulativa, le clausole contrattuali tipo adottate con decisione di esecuzione (UE) 2021/914 della Commissione, integrate da misure supplementari, qualora la decisione di adeguatezza venisse meno.

Gli annunci. Quando il sito ospita annunci di Google AdSense e tu li hai accettati, valgono le stesse garanzie descritte qui sopra: Google LLC è certificata nell’ambito dell’EU-U.S. Data Privacy Framework e si applicano in via cumulativa le clausole contrattuali tipo. Cambia il ruolo, non la garanzia — per gli annunci Google è titolare autonomo (§ 5) e non mio responsabile.

Puoi chiedermi copia delle garanzie applicate scrivendo agli indirizzi del § 1. Informazioni di Google sui trasferimenti: https://business.safety.google/adsdatatransfers/ e https://policies.google.com/privacy/frameworks.

La rete che serve il sito. Il sito è distribuito attraverso la rete di Cloudflare, Inc., società statunitense: la richiesta che fa il tuo browser arriva prima a uno dei suoi nodi, che possono trovarsi anche fuori dallo Spazio economico europeo, e solo da lì al server. Cloudflare tratta quindi l’indirizzo IP e i dati tecnici della richiesta descritti al § 3.1, come responsabile ex art. 28 GDPR. Garanzia per il trasferimento: le clausole contrattuali tipo di cui alla decisione di esecuzione (UE) 2021/914, previste dal Data Processing Addendum di Cloudflare.

Su questo sito Cloudflare non installa cookie: verificato l’8 agosto 2026 sulle pagine pubbliche e sull’invio del modulo di iscrizione, e riverificato il 30 agosto 2026. L’elenco del § 4 della Cookie policy resta quindi completo: gli unici cookie che non vengono da me sono quelli di Google elencati lì, compreso FCCDCF, che è la piattaforma di consenso di Google e ricorda la tua scelta sugli annunci.

Trasparenza su un punto controverso. Con provvedimento del 9 giugno 2022 il Garante ha dichiarato illecito l’uso di Google Analytics nella versione allora diffusa (Universal Analytics), in ragione del trasferimento negli Stati Uniti di dati identificativi in assenza, all’epoca, di una decisione di adeguatezza. Il quadro è cambiato con la decisione del 10 luglio 2023 e con il passaggio a Google Analytics 4, che non registra l’indirizzo IP. Resta il fatto che si tratta di materia in evoluzione: se la decisione di adeguatezza dovesse essere annullata, riesaminerò l’uso del servizio e aggiornerò questa pagina.

07Tempi di conservazione — riepilogo

Al termine i dati sono cancellati o resi anonimi in modo irreversibile.

08Processo decisionale automatizzato e profilazione

Non prendo decisioni automatizzate che producano effetti giuridici o incidano in modo analogamente significativo sulla tua persona, ai sensi dell’art. 22 GDPR.

Io non profilo nessuno. I dati statistici raccolti tramite Google Analytics sono usati in forma aggregata per capire quali contenuti funzionano. Non costruisco profili individuali, non ti attribuisco categorie di interesse, non ti seguo su altri siti e non mostro contenuti diversi a lettori diversi: le pagine che vedi sono le stesse per tutti.

Sulla pubblicità la risposta è diversa, ed è giusto scriverla per esteso invece di lasciarla intendere. Quando il sito ospita annunci di Google AdSense e tu hai accettato la categoria pubblicitaria, Google può usare cookie e identificatori per scegliere quali annunci mostrarti anche in base ai tuoi interessi e a quello che hai visitato su altri siti. Questa è profilazione a fini pubblicitari, e la fa Google come titolare autonomo (§ 5), non io: io non ricevo quei profili, non li vedo e non ci faccio niente.

Tre cose che vale la pena sapere, perché non sono ovvie:

• si rifiuta senza perdere niente del sito: le pagine restano identiche, e se non accetti gli annunci sono non personalizzati, non spariscono;
• si revoca in qualsiasi momento dal link «Gestisci cookie» in fondo a ogni pagina, e la revoca vale da subito;
• le impostazioni sugli annunci di Google, che valgono su tutti i siti e non solo su questo, sono su myadcenter.google.com.

09Minori

Il sito si rivolge a un pubblico adulto e i contenuti sono pensati per persone tra i 18 e i 30 anni. Non è indirizzato a bambini e non raccoglie consapevolmente dati di minori.

In Italia, ai sensi dell’art. 2-quinquies del d.lgs. 196/2003, il consenso al trattamento dei dati personali in relazione all’offerta diretta di servizi della società dell’informazione è valido se prestato da chi ha compiuto 14 anni; al di sotto occorre il consenso di chi esercita la responsabilità genitoriale. La newsletter è quindi riservata a chi ha almeno 14 anni.

Se ritieni che un minore abbia comunicato dati senza il necessario consenso, scrivimi agli indirizzi del § 1: verifico e cancello senza ritardo.

10Categorie particolari di dati e dati sulla situazione economica

Non raccolgo, non chiedo e non deduco:

• dati che rivelino origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici o biometrici, dati sulla salute, sulla vita sessuale o sull’orientamento sessuale (art. 9 GDPR);
• dati relativi a condanne penali e reati (art. 10 GDPR);
• dati sulla tua situazione economica: reddito, patrimonio, debiti, segnalazioni in banche dati creditizie, difficoltà di pagamento.

Non esistono sul sito moduli, sondaggi, quiz o funzioni che raccolgano o facciano dedurre dichiarazioni del tipo «sono in difficoltà economica». Gli strumenti di calcolo pubblicati funzionano interamente nel tuo browser: i numeri che digiti non vengono inviati al server, non vengono salvati e non li vedo.

11I tuoi diritti

Puoi esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR:

Come si esercitano. Basta una e-mail agli indirizzi del § 1, senza formalità e senza moduli. Non è necessario motivare la richiesta, salvo per il diritto di opposizione.

Tempi. Rispondo senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Il termine può essere prorogato di due mesi se la richiesta è complessa o se ne ricevo molte: in tal caso ti informo della proroga e del motivo entro il primo mese (art. 12(3) GDPR).

Costi. L’esercizio dei diritti è gratuito. Solo se le richieste sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, posso chiedere un contributo spese ragionevole o rifiutare, motivando (art. 12(5) GDPR).

Identificazione. Se ho ragionevoli dubbi sulla tua identità posso chiedere informazioni aggiuntive necessarie a confermarla (art. 12(6) GDPR). Non chiederò mai copia di un documento se non è strettamente indispensabile.

12Reclamo all’autorità di controllo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR), oppure di ricorrere all’autorità giudiziaria (art. 79 GDPR).

Garante per la protezione dei dati personali
Piazza Venezia 11 — 00187 Roma
Centralino: (+39) 06 696771
E-mail: protocollo@gpdp.it
PEC: protocollo@pec.gpdp.it
Sito: https://www.garanteprivacy.it
Come proporre reclamo: https://www.garanteprivacy.it/home/diritti/come-agire-per-tutelare-i-tuoi-dati-personali

Puoi rivolgerti anche all’autorità di controllo dello Stato membro in cui risiedi abitualmente o lavori.

13Sicurezza

Adotto misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), fra cui: trasmissione cifrata con HTTPS su tutto il sito e reindirizzamento automatico da HTTP; intestazioni di sicurezza, inclusa una Content Security Policy restrittiva; pannello di amministrazione non esposto a Internet, perché un filtro di rete lo rende raggiungibile soltanto dalla rete privata virtuale del titolare, autenticata a chiave, o dall’indirizzo di rete da cui una sessione di quella VPN è in corso, e in ogni caso protetto da credenziali dedicate; aggiornamento regolare dei componenti software; backup cifrati; principio di minimizzazione dei dati raccolti.

Nessuna misura garantisce sicurezza assoluta. In caso di violazione dei dati personali che comporti un rischio elevato per i tuoi diritti e le tue libertà, ti informerò senza ingiustificato ritardo, come previsto dall’art. 34 GDPR, e notificherò la violazione al Garante entro 72 ore ai sensi dell’art. 33.

14Registro dei trattamenti

Il registro delle attività di trattamento è tenuto ed è a disposizione del Garante su richiesta. Pur ricorrendo la soglia dimensionale dell’art. 30(5) GDPR, il trattamento non è occasionale.

15Link a siti di terzi

Il sito contiene link a fonti esterne (Banca d’Italia, INPS, Agenzia delle Entrate, Consob, Gazzetta Ufficiale e altre).

Quando lasci cashbro.it, questa informativa smette di applicarsi. Non controllo i contenuti, le pratiche di raccolta dati né le informative dei siti di destinazione, e non rispondo di essi. Ti consiglio di leggerne le rispettive privacy policy.

I link sono inseriti esclusivamente per consentirti di verificare le fonti e non sono tracciati.

16Modifiche a questa informativa

Questa informativa può cambiare, per esempio se cambiano gli strumenti usati sul sito o il quadro normativo. La versione in vigore è sempre quella pubblicata a questo indirizzo, con la data di ultimo aggiornamento in cima.

Se le modifiche riguardano trattamenti fondati sul tuo consenso o incidono in modo sostanziale sui tuoi diritti, te lo segnalerò in modo evidente sul sito e, per gli iscritti alla newsletter, via e-mail, e raccoglierò nuovamente il consenso.

Le versioni precedenti sono conservate e disponibili su richiesta.

17Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR), in particolare artt. 5, 6, 7, 9, 12-22, 28, 30, 32-34, 44-49, 77, 79
• D.lgs. 30 giugno 2003 n. 196 (Codice privacy), in particolare artt. 2-quinquies e 122
• Direttiva 2002/58/CE (ePrivacy), come modificata dalla direttiva 2009/136/CE
• Garante privacy, «Linee guida cookie e altri strumenti di tracciamento», provv. n. 231 del 10 giugno 2021 (doc. web n. 9677876), in G.U. n. 163 del 9 luglio 2021
• Garante privacy, «Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica», provv. n. 284 del 17 aprile 2026, in G.U. n. 98 del 29 aprile 2026
• Garante privacy, provvedimento del 9 giugno 2022 in materia di Google Analytics
• Decisione di esecuzione (UE) 2023/1795 della Commissione del 10 luglio 2023 (EU-U.S. Data Privacy Framework)
• Decisione di esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021 (clausole contrattuali tipo)
• Tribunale UE, sentenza 3 settembre 2025, causa T-553/23, Latombe c. Commissione