Cookie
In breve
Qui non c'è quasi niente da dichiarare, ed è una buona notizia.
Nessun cookie di profilazione. Nessuna pubblicità. Nessuno strumento di analisi di terzi: niente Google Analytics, niente Hotjar, niente pixel di Meta, LinkedIn o TikTok. Le pagine pubbliche ne scrivono uno solo, tecnico, e solo se sei tu a premere il pulsante della lingua. Dentro il programma ce ne sono cinque, tutti tecnici: uno lo incontri a ogni accesso, gli altri quattro solo in situazioni precise. Li trovi elencati qui sotto, uno per uno, con nome e durata.
Per questo non ti compare un banner che ti chiede il consenso: tutto quello che finisce nel tuo dispositivo è tecnico e serve a far funzionare una cosa che hai chiesto tu. Per questa roba la legge chiede informazione, non consenso, e l'informazione è questa pagina, che fa parte della nostra informativa privacy: lì trovi i tuoi diritti e il resto del quadro.
Che cos'è un cookie
Un cookie è un pezzetto di testo che un sito salva nel tuo browser e si fa rimandare indietro a ogni pagina che apri. Serve a farsi riconoscere, per esempio a ricordare che hai già fatto l'accesso, così non ti chiede la password a ogni clic.
Ci sono i cookie tecnici, che servono a far funzionare le cose, e i cookie di profilazione, che servono a seguirti in giro per il web e venderti pubblicità. Noi usiamo solo i primi.
Un sito può salvare qualcosa nel tuo dispositivo anche senza cookie, per esempio nella memoria locale del browser, il localStorage. Cambia lo strumento, non la regola: l'art. 122, comma 1, del Codice privacy (D.Lgs. 196/2003) riguarda ogni forma di archiviazione di informazioni nel tuo apparecchio, non solo i cookie, e le linee guida del Garante privacy del 10 giugno 2021 lo dicono a chiare lettere. Quindi qui sotto ti raccontiamo tutto quello che salviamo, cookie o no.
Due cose diverse: le pagine e il programma
- Le pagine pubbliche. Sono le pagine che presentano Muffin Staff su muffin-suite.com/muffin-staff/, più turnipizzeria.it, turniristorante.com, turnibar.it e turnigelateria.it, con i rispettivi alias e le varianti www, che si limitano a rimandare qui. Il resto di muffin-suite.com ha una sua pagina cookie.
- Il programma. È muffin-staff.it. Lì non c'è nessuna vetrina: quel dominio è l'applicazione, dalla prima all'ultima pagina. Prima che tu faccia l'accesso non scrive nel tuo dispositivo né cookie né righe di memoria locale.
Le pagine pubbliche
Queste pagine impostano un cookie solo, nostro, tecnico, e solo se sei tu a chiederlo premendo IT o EN in cima alla pagina. Di terzi non ce n'è nessuno. L'altra cosa che resta nel tuo browser è la conferma di aver chiuso l'avviso in fondo alla pagina, salvata in localStorage con un nome diverso per ogni dominio.
| Cosa viene salvato | Dove | A cosa serve | Durata |
|---|---|---|---|
| lingua (è un cookie vero) | muffin-suite.com, comprese queste pagine di Muffin Staff | ricordare se hai scelto di leggere in italiano o in inglese. Contiene una parola sola, "it" oppure "en". Se non premi quel pulsante non viene scritto, e chi non lo preme non si porta dietro nessun cookie | un anno, oppure finché non cancelli i dati del sito dal browser |
| muffin_staff_cookie_note | le pagine di Muffin Staff su muffin-suite.com/muffin-staff/ | ricordare che hai già premuto "Ho capito" sull'avviso in fondo alla pagina, per non rimostrartelo | finché non cancelli i dati del sito dal browser |
| pizzeria_cookie_note | turnipizzeria.it | stessa cosa | finché non cancelli i dati del sito dal browser |
| ristorante_cookie_note | turniristorante.com | stessa cosa | finché non cancelli i dati del sito dal browser |
| bar_cookie_note | turnibar.it | stessa cosa | finché non cancelli i dati del sito dal browser |
| gelateria_cookie_note | turnigelateria.it | stessa cosa | finché non cancelli i dati del sito dal browser |
Il cookie lingua non contiene il tuo nome né un identificativo: contiene la lingua che hai scelto, e nient'altro. Arriva al nostro server a ogni pagina, ed è il suo scopo — è il server a decidere in che lingua risponderti. Il consenso non serve, perché è strettamente necessario a darti una cosa che hai chiesto tu premendo quel pulsante (art. 122, comma 1, Codice privacy, che esenta i cookie tecnici).
Il valore salvato dall'avviso è la parola "seen", cioè "visto". Non contiene il tuo nome, non contiene un identificativo. Non arriva mai a noi: a leggerlo è soltanto lo script della pagina, sul tuo dispositivo, e solo per decidere se rimostrarti l'avviso. Al nostro server non viene inviato in nessun momento. Il consenso qui non serve perché quella riga è strettamente necessaria a darti una cosa che hai chiesto tu, cioè non rivederti un avviso che hai già chiuso; la base giuridica è il nostro legittimo interesse a non ripetertelo a ogni pagina (art. 6, par. 1, lett. f) GDPR).
La regola di sicurezza sulle pagine
I caratteri e le immagini del sito sono ospitati sul nostro dominio, non presi da server esterni. Sulle pagine c'è anche una regola di sicurezza, la Content-Security-Policy, che parte da default-src 'self', cioè solo il nostro dominio, e prevede una sola eccezione: un nostro indirizzo su api.muffin-suite.com, oggi non usato.
Attenzione a cosa vuol dire davvero: la regola consente quella connessione, è il codice delle pagine a non farla partire. Il fatto verificabile è questo: aprendo una pagina il tuo browser scarica soltanto file di questo dominio, e da solo non contatta nessun altro.
La regola di sicurezza del programma su muffin-staff.it non autorizza nessuna destinazione esterna. L'unica porta verso l'esterno è il pulsante "Scrivici su WhatsApp" nella pagina Assistenza, ed è un collegamento, non una chiamata automatica: non parte niente finché non lo premi tu. Se lo premi si apre WhatsApp con un messaggio già scritto, con il tuo nome e il nome del locale, e da quel momento vale anche l'informativa di WhatsApp, che è di Meta Platforms Ireland.
I registri del server
Come qualsiasi sito, il nostro server annota in un file di registro l'indirizzo IP da cui arriva la richiesta, la data e l'ora, la pagina chiesta e il tipo di browser. Non è un cookie e non c'entra con il tuo dispositivo, ma succede a ogni visita, quindi te lo diciamo. Servono a far funzionare il servizio e a difenderlo dagli abusi: la base giuridica è il legittimo interesse (art. 6, par. 1, lett. f) GDPR). Non li usiamo per profilarti e non li incrociamo con altro. Li conserviamo 90 giorni, poi vengono cancellati: è lo stesso termine per i registri del server web, per quelli del programma e per il registro delle attività.
Il sito e il programma sono ospitati su server di OVH SAS, in Francia, quindi dentro l'Unione Europea. OVH tratta i dati come responsabile del trattamento per nostro conto e mette a disposizione dei clienti un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR, allegato al contratto e disponibile su richiesta, che comprende le clausole contrattuali standard della Decisione di esecuzione (UE) 2021/914 per gli eventuali trasferimenti. È l'unico fornitore che tratta dati personali per nostro conto: nessun dato esce dall'Unione Europea.
Come ci scrivi
Sulle pagine non c'è nessun modulo da compilare. Per parlarci ci sono i contatti diretti: WhatsApp, il telefono 352 012 5997 e l'email info@muffin-suite.com. Sono collegamenti: finché non li premi tu non parte niente, e nel tuo dispositivo non resta niente.
Se ci scrivi lo fai con i tuoi strumenti, il tuo telefono o il tuo programma di posta, e quello che scrivi arriva direttamente nella nostra casella o sul nostro telefono. Se premi il pulsante di WhatsApp entri dentro WhatsApp, e da lì vale anche l'informativa di Meta.
Il programma, dopo l'accesso
Dentro Muffin Staff ci sono cinque cookie, tutti tecnici. Nessuno serve a profilarti o a misurare quanto usi il programma.
Quello che incontri a ogni accesso
| Nome | A cosa serve | Durata | Attributi |
|---|---|---|---|
| sessione_muffin | tenerti collegato dopo che hai messo email e password, così non te le richiede a ogni pagina | 12 ore, cioè un turno intero. Diventano 30 giorni se spunti "Ricordami su questo dispositivo" | firmato, HttpOnly, SameSite=Lax, Secure quando sei in HTTPS |
Gli altri quattro, solo in situazioni precise
| Nome | Quando compare e a cosa serve | Durata | Attributi |
|---|---|---|---|
| azienda_gestita | quando l'amministratore di Muffin Suite entra nella gestione di un locale: ricorda quale locale sta guardando. A titolari e dipendenti non arriva mai, e per chiunque non sia amministratore viene comunque ignorato | 30 giorni | firmato, HttpOnly, SameSite=Lax, Secure quando sei in HTTPS |
| schermo_timbrature | quando il titolare abilita un tablet o un monitor appeso al muro a mostrare i codici QR della timbratura senza tenere aperta la propria sessione. Dentro non c'è nessun utente: solo il locale e il nome della postazione. È fatto apposta così, perché chi prende in mano quel tablet non deve poter arrivare a stipendi e anagrafiche | 6 mesi. Non si toglie con "Esci": si toglie con "Spegni schermo", dallo stesso dispositivo | firmato, HttpOnly, SameSite=Lax, Secure quando sei in HTTPS |
| muffin_password_iniziale | mostrare una volta sola, a chi sta creando l'account di una persona, la password iniziale appena generata. Sta in un cookie e non nell'indirizzo della pagina perché nell'indirizzo finirebbe nei registri del server e nella cronologia del browser. Contiene quella password in chiaro, e per questo dura pochissimo: viene cancellato appena la schermata te l'ha mostrata. Il dipendente non lo vede mai | 120 secondi, cioè due minuti, poi scade da solo | HttpOnly, SameSite=Lax, Secure quando sei in HTTPS, valido solo dentro la sezione Anagrafiche |
| muffin_password_titolare | stessa cosa, per la password iniziale di un titolare creata dall'amministratore di Muffin Suite | 120 secondi, cioè due minuti, poi scade da solo | HttpOnly, SameSite=Lax, Secure quando sei in HTTPS, valido solo dentro la sezione Amministrazione |
Sull'assistenza vale la pena essere precisi: l'amministratore entra nella gestione di un locale quando serve per l'assistenza o per un intervento tecnico, è personale autorizzato e vincolato alla riservatezza, e ogni ingresso resta scritto nel registro delle attività del locale, con data, ora e nome di chi è entrato. Il cookie serve solo a ricordare quale locale sta guardando.
Cosa vogliono dire quelle parole
Firmato: il contenuto porta la firma di una chiave nostra, quindi nessuno può modificarlo senza che il server se ne accorga e lo butti. Non vuol dire cifrato: a tenerlo illeggibile agli script della pagina è HttpOnly, qui sotto. HttpOnly: nessuno script della pagina può leggerlo, lo maneggia solo il server. SameSite=Lax: se un altro sito prova a far partire un'operazione sul tuo account a tua insaputa, il cookie non viene allegato; continua invece a valere se sei tu a seguire un collegamento e arrivare sulla pagina. È la difesa contro gli attacchi in cui un sito terzo agisce al posto tuo. Secure: viaggia solo su connessione cifrata.
Se esci con "Esci", il cookie di sessione viene cancellato e la sessione viene invalidata anche dal lato server: una copia del cookie finita altrove smette comunque di funzionare. Lo stesso succede quando cambi la password.
Su quale base giuridica
Il cookie di sessione tiene in piedi un accesso che hai chiesto tu: la base è l'esecuzione del contratto e del servizio richiesto, art. 6, par. 1, lett. b) GDPR. Quando a entrare è un dipendente, il titolare del trattamento è il locale che lo ha assunto e noi trattiamo quel dato come responsabili, sulle istruzioni documentate del titolare (art. 28, par. 3, lett. a) GDPR). Sulla stessa base stanno il cookie dello schermo delle timbrature, che il titolare accende quando vuole, e il cookie della password iniziale di una persona in anagrafica: servono a consegnare una credenziale che il titolare ha chiesto lui. Il cookie della password di un titolare, che genera l'amministratore di Muffin Suite, sta invece sul rapporto contrattuale fra te e noi (art. 6, par. 1, lett. b) GDPR). Il cookie dell'assistenza risponde al nostro legittimo interesse a poterti aiutare e a intervenire sul servizio (art. 6, par. 1, lett. f) GDPR), sempre dentro il perimetro dell'art. 28.
Se il programma è installato sul PC della tua azienda
Se non usi la versione in cloud, questi cookie ci sono lo stesso, ma li imposta il programma che gira sulla tua macchina, dentro la tua rete. Non passano da noi: non li vediamo, non li riceviamo e non abbiamo accesso a nulla di quello che c'è su quel computer.
Un avvertimento che ci teniamo a darti. Nelle installazioni locali l'attributo Secure si attiva solo se il programma viene raggiunto in HTTPS. Senza HTTPS il cookie di sessione, che è la credenziale con cui i tuoi dipendenti sono riconosciuti, viaggia in chiaro sulla rete aziendale e chi è collegato a quella rete può leggerlo. Ti consigliamo di attivare HTTPS anche in rete interna e in ogni caso di non esporre il programma su internet senza cifratura. La configurazione della rete è dell'azienda, che di quei dati è titolare: è una misura di sicurezza che spetta a te (art. 32 GDPR). Te lo diciamo qui perché è nostro dovere metterti in guardia sui rischi di una configurazione che ti mettiamo in mano.
Chi risponde di che cosa
Sono tre situazioni diverse e conviene non confonderle.
- Le pagine pubbliche e i siti dei turni: il titolare del trattamento è Antonio Fuccillo, ditta individuale, che pubblica il sito e i cui dati completi stanno nelle note legali. Qui stanno il localStorage dell'avviso e i registri del server.
- I cookie dentro il programma in cloud: li imposta il programma per conto della tua azienda, che è il titolare del trattamento in quanto datore di lavoro. Noi li trattiamo come responsabili ai sensi dell'art. 28 GDPR, secondo le istruzioni dell'accordo sul trattamento dei dati che sottoscrivi insieme al contratto, di cui parlano i termini.
- Il programma installato da te: il titolare sei tu e basta. Noi quei dati non li trattiamo, salvo un intervento di assistenza che ci chiedi tu, e in quel caso agiamo come responsabili.
Perché non c'è il banner
Il consenso serve per quello che non è indispensabile: cookie pubblicitari, strumenti di analisi di terzi, tutto ciò che ti segue da un sito all'altro. Noi non ne abbiamo nessuno.
Quello che salviamo è tecnico e serve a fornirti un servizio che hai chiesto tu: entrare nel tuo account, tenere acceso lo schermo delle timbrature, non rivederti un avviso già chiuso. Per questi casi l'art. 122, comma 1, del Codice privacy (D.Lgs. 196/2003, che attua l'art. 5 par. 3 della direttiva 2002/58/CE) non chiede il consenso, e le linee guida cookie del Garante privacy del 10 giugno 2021 lo confermano. Quello che la legge chiede è l'informazione: la stai leggendo, ed è il motivo per cui esiste questa pagina.
Il consenso, insomma, ha senso solo dove c'è qualcosa da consentire. Qui non c'è, e ci sembrava giusto spiegarti perché invece di metterti davanti un pulsante inutile.
Il QR della timbratura
Il token dentro il codice QR non è un cookie, quindi non è oggetto di questa pagina; lo spieghiamo qui perché ce lo chiedono spesso. Il dispositivo che quel codice lo mostra, invece, c'entra eccome: è il tablet o il monitor abilitato con il cookie schermo_timbrature descritto sopra.
Il codice cambia ogni 30 secondi (il server accetta anche quello dei 30 secondi precedenti, per darti il tempo di inquadrarlo). Dentro ci sono tre cose: la finestra di 30 secondi, il nome della postazione (per esempio "cassa" o "cucina") e la firma del server. Nessun nome, nessun identificativo della persona, nessuna posizione. Non rileva la posizione e non accende il GPS. Serve a dimostrare una cosa sola: che in quel momento eri davanti a quel codice, e che quel codice l'ha emesso il nostro server.
Le timbrature che ne derivano sono invece dati personali dei lavoratori, e il trattamento è descritto nell'informativa che l'azienda consegna ai propri dipendenti, di cui l'azienda è titolare.
Come gestire i cookie dal browser
Il comando è tuo, sempre. Ogni browser ti permette di vedere i cookie salvati, cancellarli e bloccarne di nuovi. Di solito la voce sta in Impostazioni, sotto "Privacy e sicurezza": su Chrome, Firefox, Safari ed Edge cambia il nome, non la sostanza. Nella stessa schermata puoi cancellare i dati dei siti, e con quelli sparisce anche la riga in localStorage di cui sopra: l'avviso in fondo alla pagina ricomparirà, tutto qui.
Un avvertimento pratico. Se blocchi i cookie tecnici o quelli di muffin-staff.it, il programma smette di funzionare: fai l'accesso, la pagina si ricarica e ti ritrovi di nuovo davanti alla richiesta di password, all'infinito. Non è un guasto ed è lo stesso per qualsiasi gestionale. Se ti succede, controlla anche le estensioni del browser che bloccano i cookie e la navigazione in incognito con le impostazioni più rigide.
I tuoi diritti
I diritti che puoi esercitare sui dati di cui siamo titolari, i loro limiti e il modo per rivolgerti al Garante sono descritti tutti nell'informativa privacy: è lì che li trovi, per non raccontarteli in due posti diversi. Per esercitarli basta scrivere a info@muffin-suite.com.
Se sei un dipendente e i dati riguardano il tuo lavoro dentro il programma, i diritti si esercitano verso il tuo datore di lavoro, che ne è il titolare; noi lo assistiamo a rispondere, ma non possiamo decidere al posto suo.
Chi puoi contattare
Titolare del trattamento per il sito, il contratto e la fatturazione: Antonio Fuccillo, ditta individuale, Via Molini 26, 36055 Nove (VI), Italia. P. IVA 04650850243. Email info@muffin-suite.com, PEC antonio.fuccillo@pec.it, telefono +39 352 012 5997, assistenza dal lunedì al venerdì dalle 9:00 alle 18:00. Gli altri dati di chi pubblica il sito stanno nelle note legali.
Non abbiamo nominato un responsabile della protezione dei dati: il perché, e i criteri con cui riesaminiamo la scelta, stanno nell'informativa privacy. Scrivi pure all'indirizzo qui sopra: risponde una persona.
Sui dati dei tuoi dipendenti dentro il programma il titolare sei tu, che sei il datore di lavoro, e noi siamo responsabili del trattamento per tuo conto ai sensi dell'art. 28 GDPR. Ne parliamo nella privacy e nell'accordo sul trattamento dei dati che sottoscrivi insieme al contratto, di cui parlano i termini.
Se cambiamo qualcosa
Se un giorno aggiungeremo un cookie, o qualunque altra cosa che si salva nel tuo dispositivo, aggiorneremo prima questa pagina e cambieremo la data qui sotto. Se mai dovessimo introdurre qualcosa che non sia tecnico, allora sì che ti chiederemo il consenso, prima e non dopo. Al momento non è previsto.
Ultimo aggiornamento: 4 agosto 2026