Cookies e consenso (CMP)

CMP (Consent Management Platform) è un banner per il consenso ai cookies più una meccanica che blocca realmente gli script di terze parti prima che il visitatore abbia premuto «Accetta». Un semplice «avviso in fondo allo schermo» non basta per il GDPR: prima del consenso, l'analisi e i pixel pubblicitari non devono essere eseguiti affatto.

Il nostro CMP funziona sia sulla nostra Vetrina sia sul Suo sito — con lo stesso codice.

Dove si configura:

Marketing → «Il mio sito» → scheda «Cookies e consenso» (per il sito esterno);
oppure Sito → «Configura sito» → sezione «Cookies e consenso (CMP)» (per la nostra Vetrina).

Come attivarlo#

Inserisca sul sito il codice di installazione dalla sezione «Il mio sito» — il banner dei cookie si carica per primo tra tutti i Widget, così gli altri script vedono la decisione già presa.
Attivi l'interruttore del Widget.
Avvii lo Scanner — raccoglierà l'elenco dei cookies del Suo sito.
Pubblichi la pagina «Politica cookies» o indichi un link alla Sua.

Il banner rileva da solo la lingua della pagina e viene mostrato in quella lingua — le traduzioni in 45 lingue sono già pronte.

Per WordPress esiste un plugin dedicato Cenaly Consent: lo installa nella Sua area di amministrazione WP, preme «Connetti», sceglie la Sede nella finestra che si apre — il tag e le impostazioni arrivano da soli, non serve inserire il codice a mano.

Quanto costa#

Il banner stesso e il blocco dei tracker sono gratuiti su qualsiasi Piano — sia sulla nostra Vetrina sia sul Suo sito. La conformità alla legge non si vende a pezzi: 45 lingue, blocco automatico, Consent Mode v2, centro delle preferenze e pagina «Politica cookies» hosted sono inclusi nella piattaforma.

Si vende separatamente il livello «Cookies Pro» — scheda «Cookies e consenso» nell'App Store, 9 $ al mese o 90 $ all'anno per Sede. Non è l'accesso alla sezione, ma la scala del servizio: scansione del sito più approfondita e frequente (comprese le sezioni riservate), registro dei consensi lungo con esportazione come prova, regole proprie per Paese, personalizzazione completa del design e testi sostitutivi per lingua, rimozione del badge «Funziona su Cenaly». La composizione attuale del livello e il prezzo sono sulla scheda stessa nello store.

La marcatura IA dei cookies non riconosciuti non è inclusa nel livello e non si vende separatamente: è disponibile su qualsiasi livello, e ogni chiamata si paga dal saldo IA dell'Account. Sui brand nel Cloud Yandex (cenaly.ru) non c'è lo Scanner automatico del sito (vedi sotto), quindi la sua parte del livello lì non funziona; il registro dei consensi e l'esportazione lì ci sono.

Categorie e cosa viene bloccato prima del consenso#

Quattro categorie standard:

Categoria	Cosa vi rientra	Per impostazione predefinita
Necessari	Carrello, sessione, sicurezza	Sempre attivi, non disattivabili
Preferenze	Lingua, valuta, Sede scelta in precedenza	A scelta dell'ospite
Statistiche	Google Analytics, Яндекс.Метрика, Matomo, Clarity	A scelta dell'ospite
Marketing	Facebook Pixel, VK, TikTok, pixel pubblicitari e remarketing	A scelta dell'ospite

Finché non c'è il consenso, gli script e gli iframe di queste categorie non vengono caricati: i loro indirizzi vengono confrontati con il registro dei tracker integrato, e Lei può aggiungere i Suoi pattern. Un iframe bloccato (ad esempio, un video da YouTube) mostra un segnaposto con il link «consenti».

Inoltre vengono trasmessi i segnali di consenso ai sistemi pubblicitari: Google Consent Mode v2 (prima del consenso — modalità senza cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Vengono considerati i segnali del browser GPC e Do Not Track.

La durata del consenso è configurabile (per impostazione predefinita 365 giorni, ammesso 30–730), dopodiché il banner chiederà di nuovo. Il rifiuto dell'ospite viene memorizzato — non chiederemo di nuovo a ogni visita. Si può attivare il consenso generale per tutti i sottodomini e indicare il link all'elenco dei siti che copre.

Modalità per paese#

La modalità è il comportamento del banner prima che il visitatore clicchi qualcosa. Si sceglie così:

la vostra regola per il paese del visitatore (se impostata),
la vostra modalità predefinita,
la mappa dei paesi integrata,
l'euristica basata sul fuso orario del browser.

Il paese del visitatore viene determinato tramite IP. ⚠️ Si tratta della scelta di un comportamento configurato da voi, non di una conclusione su quale legge vi sia applicabile.

Cinque modalità#

Modalità	Cosa succede prima della decisione del visitatore	Cosa vede il visitatore
opt-in	tutto bloccato tranne i cookie necessari	banner «Accetta / Rifiuta / Personalizza»
opt-out	tutto consentito fino a un rifiuto esplicito	banner + «Do Not Sell or Share»; il segnale del browser GPC o Do Not Track vale come rifiuto automatico del marketing
soft	tutto consentito, nulla viene bloccato	banner informativo
avviso	tutto consentito	una riga di messaggio, il consenso non viene richiesto
nascosta	tutto consentito	nessun banner; le impostazioni si aprono con il link `#cenaly-consent` sul vostro sito

A parte rispetto alle modalità esiste l'opzione «avviso invece della richiesta di consenso»: la abilitate e, se il report dello scanner ha dimostrato che sul sito non c'è nulla al di fuori della categoria «necessari», il primo livello informa invece di chiedere. Non rimuove il blocco: se compare un nuovo tracker, verrà comunque bloccato fino al consenso del visitatore.

Mappa dei paesi integrata#

Si applica quando non avete impostato né una regola per paese né una modalità predefinita:

opt-in — 32 paesi: 27 paesi dell'Unione europea più Islanda, Liechtenstein e Norvegia (insieme — SEE), Regno Unito e Svizzera;
opt-out — Stati Uniti;
tutti gli altri paesi — nessuna regola: si applica la vostra modalità predefinita e, se non è impostata nemmeno quella, l'euristica basata sul fuso orario del browser (Europe/* → opt-in, America/* → opt-out, in tutti gli altri casi opt-in). Il default sicuro è opt-in.

⚠️ La mappa è una nostra impostazione predefinita, non una classificazione giuridica dei paesi. I paesi in cui è prassi chiedere il consenso ma che non figurano nella mappa (Turchia, Russia, Brasile e decine di altri) ricadranno nel vostro default o nell'euristica. Se serve una modalità specifica in un paese specifico, impostatela con una regola invece di affidarvi alla mappa.

⚠️ La determinazione del paese tramite IP non è disponibile ovunque. Sui brand nel cloud Yandex (cenaly.ru) non esiste un endpoint di geolocalizzazione e il widget ricade subito sull'euristica basata sul fuso orario, che è più grossolana: un visitatore dell'UE in viaggio negli Stati Uniti otterrà America/* → opt-out. Se per voi è importante, impostate esplicitamente la modalità predefinita. Il paese viene comunque riconosciuto in sette fusi orari (Mosca → RU, Istanbul → TR, Tbilisi → GE, Kiev → UA, Londra → GB, Erevan → AM, Tirana → AL): la vostra regola per quel paese si applicherà anche con una modalità predefinita impostata.

Dove si configura: scheda «Cookies e consenso» → ingranaggio → «Modalità di consenso predefinita» e «Regole per paese» (paese in formato ISO-2 → modalità).

Cosa la modalità NON fa#

non sceglie la giurisdizione al posto vostro — quale modalità attivare in ciascun paese lo decidete voi (e il vostro legale);
non modifica i testi dei documenti: l'insieme delle pagine legali e le loro formulazioni sono uno strumento separato con i propri paesi, vedi Documenti legali;
non copre le app mobile — è uno script per pagine web;
non emette la stringa TCF di IAB Europe: se un partner pubblicitario richiede specificamente un CMP certificato dal framework TCF, il nostro banner non è adatto. Trasmettiamo i segnali di consenso direttamente — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

Da dove nascono le aspettative abituali del mercato#

⚖️ Questi sono riferimenti informativi, non una consulenza legale né un'affermazione che una determinata norma vi sia applicabile. Indichiamo le fonti primarie su cui ci basiamo noi stessi; attualità e applicabilità al vostro business vanno verificate con un legale.

Dove	Norma	Cosa dice sui cookies	Fonte primaria
UE / SEE	Direttiva 2002/58/EC (ePrivacy), art. 5(3), più le implementazioni nazionali	l'accesso al dispositivo dell'utente per cookies non strettamente necessari richiede il consenso preventivo; quelli strettamente necessari — senza consenso	eur-lex.europa.eu/eli/dir/2002/58
Francia	raccomandazioni CNIL su cookies e tracker	i pulsanti «Accetta» e «Rifiuta» devono avere pari evidenza; la prosecuzione della navigazione non vale come consenso	cnil.fr
Regno Unito	PECR 2003 (con le modifiche del Data (Use and Access) Act 2025)	cookies non essenziali e tecnologie analoghe — solo con consenso esplicito e attivo; le caselle preselezionate non sono ammesse	legislation.gov.uk/uksi/2003/2426
Stati Uniti, California	CCPA/CPRA e regolamenti CPPA	modello di opt-out: opt-out dalla «vendita/condivisione» e riconoscimento obbligatorio del segnale Global Privacy Control. Si applica al di sopra di determinate soglie (in particolare di fatturato) — una piccola impresa tipica può non rientrarvi	cppa.ca.gov
Turchia	guida KVKK sui cookies (2022) e decisione del Kurulu n. 2022/1358	cookies non essenziali — consenso esplicito; la prosecuzione della visita al sito non vale come consenso	kvkk.gov.tr
Russia	non esiste una legge specifica sui cookies — norme generali della 152-ФЗ, art. 9	il consenso al trattamento dei dati personali è esplicito, separato, revocabile	consultant.ru, 152-ФЗ
Georgia	non esiste una legge specifica sui cookies — Legge sulla protezione dei dati personali	base del trattamento è il consenso; per i cookies tecnici — informativa	matsne.gov.ge

Nel mondo ci sono più paesi che righe in questa tabella: l'elenco è volutamente incompleto — indichiamo solo ciò che utilizziamo noi stessi nella configurazione del prodotto.

Aspetto e testi#

Layout: barra, scheda, finestra modale; la posizione può essere una qualsiasi delle sei varianti di bordo/angolo.
Schermata delle impostazioni: apertura nella scheda o pannello laterale a scomparsa.
Palette per elemento separatamente per tema chiaro e scuro, logo proprio, CSS proprio (fino a 10 KB).
Interruttori dei pulsanti: crocetta, «Rifiuta tutto», «Configura». Il pulsante «Accetta» non può essere nascosto, e in modalità opt-in l'area di amministrazione avviserà dei rischi se si rimuove «Rifiuta».
Le categorie possono essere portate come caselle di spunta direttamente sul primo livello del banner.
Qualsiasi testo del banner si modifica per lingua sopra le nostre traduzioni.
L'anteprima nell'area di amministrazione si alterna tra desktop, tablet e mobile.
Si configurano separatamente il pulsante flottante «Impostazioni cookies» (a sinistra/a destra/disattivato) e l'elenco delle pagine in cui il banner non viene mostrato.

Scanner cookies e dichiarazione#

⚠️ Lo Scanner non è disponibile sui brand nel Cloud Yandex (cenaly.ru). Lì l'elenco dei cookies per la dichiarazione si gestisce manualmente nella stessa tabella riportata sotto — la pagina della politica resta attiva —, mentre le notifiche al posto della richiesta di Consenso e la marcatura IA, che si basano sul report della scansione, non ci sono.

Lo Scanner apre il vostro sito nel browser e raccoglie cookies reali e servizi di terze parti. Ogni pagina viene analizzata due volte — senza Consenso (così si vedono le violazioni del prior consent) e con Consenso completo (così si raccoglie la dichiarazione completa):

esplorazione tramite robots.txt, sitemap.xml e link dalle pagine iniziali, con limite al numero di pagine;
pianificazione: mensile o settimanale, nell'area di amministrazione è visibile la data della prossima scansione;
cronologia delle scansioni — quante pagine sono state analizzate, quanti cookies sono stati trovati e quanti di essi sono nuovi rispetto alla volta precedente;
scansione con login — per le pagine dell'area personale;
classificatore IA: i cookies sconosciuti ricevono una categoria proposta con spiegazione, voi confermate o modificate. La chiamata è a pagamento — viene addebitata sul saldo IA dell'Account a qualsiasi livello.

Dichiarazione cookies — tabella di tutti i cookies per categoria: nome, fornitore, durata di conservazione, finalità. Si possono aggiungere Record propri, modificare descrizioni e traduzioni. Dalla stessa tabella si ricava l'elenco per il banner e per la pagina della politica.

Non confondete lo Scanner con la pagina pubblica «Verifica del sito»: è accessibile senza accesso all'area di amministrazione, ma legge solo l'HTML di una pagina — mostrerà i tracker nel codice, la presenza del banner di Consenso e il nostro tag, mentre i cookies reali e ciò che gli script caricano nel browser non li vedrà. È una vetrina-esca per «vedere cosa c'è sul mio sito»; la dichiarazione completa la raccoglie proprio lo Scanner qui sopra.

Pagina «Politica cookies»#

Il link nel banner porta o alla vostra pagina esistente, o a un documento che genereremo e pubblicheremo noi: viene composto dai risultati della scansione, pubblicato in 45 lingue e aggiornato insieme alla dichiarazione — la tabella dei cookies al suo interno è sempre attiva.

Se servono anche le altre pagine legali (informativa sulla privacy, condizioni, resi, consegna) — vedi Documenti legali.

Registro dei Consensi e report#

ℹ️ Sui brand nel Cloud Yandex (cenaly.ru) il registro si raccoglie diversamente, ma con la stessa completezza. Sull'infrastruttura principale della soluzione i dati vengono trasferiti nel registro di notte, mentre su cenaly.ru — nel momento in cui aprite il registro, i trend o l'esportazione: la prima apertura della giornata può richiedere un paio di secondi in più, ma le decisioni recenti sono visibili subito. Formato, deduplicazione e tempi di conservazione sono comuni, quindi l'esportazione-prova è identica in entrambi i Cloud.

Il registro è la prova del Consenso (proof of consent) in caso di verifica:

data, identificatore anonimo, categorie selezionate, versione della politica, paese e lingua;
esportazione CSV e del singolo Record;
trend: accettato / rifiutato / parzialmente per giorni e per paesi;
contatore delle visualizzazioni del banner.

Il pulsante «Richiedi di nuovo a tutti ora» alza la versione della politica — dopo modifiche sostanziali il banner chiederà di nuovo a tutti.

Limitazioni#

Il «prior consent» rigoroso richiede un tag separato. Tramite il caricatore unificato il banner dei cookies si attiva per primo tra i nostri Widget, ma non precederà analitiche di terze parti inserite in <head> sopra il nostro codice. Se serve che nessuno script di terze parti parta prima della risposta del visitatore, inserite il tag del banner come prima riga in <head>, prima di tutti gli altri.
Una configurazione rotta o non disponibile rimuove il blocco, non lo attiva. Widget disattivato, pagina nelle esclusioni, configurazione non letta — i tracker sul sito funzionano come al solito. Non si può tenere bloccato il sito di altri per un nostro guasto, quindi verificate che il banner venga effettivamente mostrato.
Viene bloccato ciò che è noto. Script e iframe vengono confrontati con il registro integrato dei tracker; un contatore non standard o scritto su misura va aggiunto con un proprio pattern — altrimenti si caricherà prima del Consenso.
Il gate di età 18+ è una sezione separata e con testi separati. È disattivato per impostazione predefinita, e le sue diciture esistono in inglese, russo, georgiano e turco con fallback in inglese, mentre il banner stesso parla in 45 lingue: la formulazione per il vostro mercato va definita con i vostri testi.
La copertura delle regioni è un'impostazione, non una certificazione. La mappa integrata conosce 32 paesi con opt-in e gli USA con opt-out, il resto lo definite voi con le regole; il banner non può e non cerca di verificare la conformità della vostra giurisdizione — dettagli e fonti primarie nella sezione «Modalità per paese».
Il framework TCF (IAB Europe) non è disponibile da noi. Se una rete pubblicitaria richiede un CMP certificato con stringa TCF, il nostro banner non è adatto: noi trasmettiamo il Consenso direttamente — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
Questo è un banner web. Non è destinato alle app mobile (SDK propri, richieste di tracciamento di sistema).
Il banner non sostituisce la politica. Il link alla pagina «Politica cookies» (la nostra pubblicata o la vostra) deve essere compilato — senza di esso il visitatore non ha dove vedere a cosa sta acconsentendo.

Risoluzione dei problemi#

Il banner sul sito non c'è. Il tag non è inserito o non è presente su tutte le pagine del template (premere «Verifica installazione»); nel tag c'è un data-domain di un altro sito; l'interruttore del Widget è spento; le modifiche non sono ancora arrivate — i file dei Widget vengono distribuiti tramite CDN con una cache di 5 minuti. Il tag che Google Tag Manager inserisce già nel browser, la verifica di installazione non lo vedrà — non è un errore, guardate il sito con i vostri occhi; l'elenco completo di questi casi è in «Cosa non vede la verifica di installazione».

Il banner c'è, ma i tracker si caricano prima del Consenso. Probabilmente uno script di terze parti si trova nel <head> sopra il nostro tag — spostate il nostro tag al primo posto. Il secondo caso frequente è che il contatore non è nel registro integrato: aggiungete il suo indirizzo con un vostro pattern.

Il banner viene mostrato ancora e ancora. Verificate la durata del Consenso e se la politica non sia stata ripubblicata: la ripubblicazione aumenta la versione e il banner chiede di nuovo — è proprio come previsto.

Strumenti di diagnostica:

Verifica installazione — leggiamo l'HTML sorgente della vostra pagina e diciamo se il codice è stato trovato e se si trova dentro <head>.
Invia il codice allo sviluppatore — apre un'email già pronta con lo snippet nel vostro programma di posta.
Guida a Google Tag Manager — come installare il banner con un tag GTM.
Modalità di debug: aprite il sito con ?cenaly_consent_debug=1 — nella console arriveranno gli eventi di Consent Mode (default/update) e la modalità di regione determinata, così si vede cosa ricevono esattamente Google e gli altri sistemi.

Sezioni correlate#

Il mio sito — codice di installazione e gli altri Widget
Documenti legali — informativa sulla privacy, condizioni, rimborsi
Analisi — cosa si vede dopo il Consenso

Domande frequenti#

Il banner è obbligatorio? Questa è una domanda per il vostro avvocato, non per noi: l'obbligo dipende da dove operate, da dove arrivano i visitatori e quali script sono presenti sul sito. Dal punto di vista del prodotto la risposta è questa: il nostro banner supporta cinque modalità, per impostazione predefinita in 32 paesi del SEE, nel Regno Unito e in Svizzera si attiva il rigoroso opt-in, negli Stati Uniti l'opt-out con «Do Not Sell», negli altri paesi il comportamento lo definite voi. I riferimenti e le fonti primarie sono raccolti sopra, nella sezione «Modalità per paese».

Il CMP bloccherà la mia analisi? Prima del Consenso — sì, è il suo compito. L'analisi della piattaforma continua comunque a contare le visite in modalità cookieless di Consent Mode v2.

Cosa succederà ai vecchi Consensi dopo la modifica della politica? Nulla, finché non premete «Richiedi di nuovo a tutti ora» o non ripubblicate la politica — allora la versione aumenterà e il banner chiederà di nuovo.

Funziona se il sito non è sulla nostra piattaforma? Sì — è lo scenario principale. Un tag su qualsiasi sito, e per WordPress il plugin Cenaly Consent, che installa il tag al posto vostro.