Informativa privacy — Portale approvazioni Dream Nails Gaia e Mini App Telegram

1. Chi tratta i tuoi dati

Titolare del trattamento: PHD SYSTEM, NUIS M27101203D, sede Njësia Bashkiake Nr. 5, Rruga Donika Kastrioti 3, Kisha Apostolike e Re, Hyrja 2, Kati 1, Apt. 1, Nr. 1, Tiranë, Shqipëri

Contatto per la privacy: privacy@pragmakreative.com (email o PEC)

Responsabile della protezione dei dati: PHD SYSTEM non ha nominato un responsabile della protezione dei dati (DPO). Per qualsiasi richiesta sulla privacy scrivi a privacy@pragmakreative.com.

2. Quali dati trattiamo

Dato	Quando	Dove
Email e/o numero di telefono (formato E.164) del tuo account	Per inviarti il codice di accesso (OTP) via email o WhatsApp	`utenti`; codici in `auth_otp`
Codice OTP monouso e sua scadenza	A ogni accesso	`auth_otp`
Indirizzo IP e tipo di tentativo (riuscito o no)	A ogni richiesta o verifica di codice	`auth_tentativi`
Indirizzo IP, browser (user agent), canale usato, orari di accesso e ultima attività	Per tutta la durata della sessione	`sessioni_attive`
Identificativo numerico Telegram (`telegram_id`) e data del collegamento	Solo se apri il piano dalla Mini App di Telegram e colleghi l'account	`utenti_telegram`
Cookie di sessione tecnico	Dal login	browser
Le tue decisioni sul piano (approvazioni, richieste di modifica, commenti)	Quando le invii	database del portale

Note sui dati:

Il portale non salva il nome né lo username Telegram: legge solo l'id numerico dai dati firmati che Telegram passa alla Mini App.
Non usiamo cookie di profilazione, analytics né pubblicità. Il cookie di sessione è tecnico (HttpOnly, Secure su HTTPS, SameSite=Lax; SameSite=None solo dentro la Mini App di Telegram, dove serve per funzionare in un iframe), di durata «sessione del browser» e valido lato server al massimo 1 giorno dal login. Per i soli cookie tecnici non serve il consenso (art. 122 Codice privacy / ePrivacy); resta l'obbligo di questa informativa.

3. Perché li trattiamo e su quale base giuridica

Finalità	Base giuridica proposta
Farti accedere al portale (OTP, sessione) e farti vedere e approvare il piano editoriale	Art. 6.1.b GDPR — esecuzione del servizio che hai richiesto / del contratto con l'agenzia
Collegare il tuo account Telegram per riaprire il piano dalla Mini App senza nuovo codice	Art. 6.1.b GDPR — stessa finalità di accesso, richiesta da te con l'apertura dal bot
Limitare i tentativi ripetuti di accesso (rate limit) e proteggere il portale da abusi, registrando l'IP	Art. 6.1.f GDPR — legittimo interesse alla sicurezza (art. 32).

Non prendiamo decisioni automatizzate che producono effetti su di te e non vendiamo i dati.

4. Per quanto tempo li conserviamo

Dato	Conservazione proposta
`auth_tentativi` (IP e tentativi)	30 giorni, poi cancellazione
`auth_otp` (codici)	30 giorni dalla creazione (già previsto dal job `Otp::pulisci`)
`sessioni_attive` (IP, user agent)	30 giorni dalla chiusura della sessione, poi cancellazione
Legame Telegram (`utenti_telegram`)	Fino a scollegamento o chiusura dell'account, poi cancellazione
Email/telefono dell'account	Finché l'account è attivo; alla chiusura, cancellazione salvo obblighi di legge
Decisioni sul piano	Per la durata del rapporto contrattuale e per i 12 mesi successivi, poi cancellazione o anonimizzazione `[DA VALIDARE DAL LEGALE: termini di prescrizione italiano e albanese]`

5. Con chi li condividiamo, e Telegram

Telegram. L'uso di Telegram è facoltativo: puoi accedere anche con il solo codice via email o WhatsApp. Telegram è un servizio autonomo: per gli utenti dello Spazio economico europeo il titolare del trattamento dei dati che Telegram raccoglie è Telegram stesso, che ha designato come rappresentante nell'UE EDPO (Avenue Huart Hamoir 71, 1030 Bruxelles). Telegram dichiara di poter condividere i dati con società del gruppo nelle Isole Vergini Britanniche e negli Emirati Arabi Uniti, con le clausole contrattuali tipo della Commissione europea come garanzia; per questi Paesi non esiste una decisione di adeguatezza. Informativa di Telegram: https://telegram.org/privacy. Quando apri il piano dalla Mini App, il tuo browser carica da Telegram lo script telegram-web-app.js e Telegram riceve il tuo indirizzo IP e i dati tecnici della richiesta. Il link al piano ti arriva tramite Telegram: l'invio passa da un Paese terzo senza decisione di adeguatezza. Il portale salva solo il tuo identificativo numerico Telegram e non il nome né lo username.
Fornitori che trattano i dati per nostro conto. Hosting, database e invio dei codici via email: Namecheap, Inc., con server negli Stati Uniti (Phoenix, Arizona); il trasferimento verso Namecheap è coperto dalle clausole contrattuali tipo della Commissione europea (Modulo 3). Invio dei codici via WhatsApp: il messaggio con il codice viaggia sulla rete WhatsApp (Meta Platforms), che può trattare i dati anche fuori dall'Unione europea secondo la propria informativa. Telegram: vedi il punto precedente.
Personale e collaboratori autorizzati dell'agenzia, vincolati alla riservatezza.

Il cliente può usare il portale senza Telegram, con il solo codice via email o WhatsApp.

6. I tuoi diritti

Puoi chiederci in ogni momento: accesso ai dati (art. 15), rettifica (16), cancellazione (17), limitazione (18), portabilità (20), opposizione al trattamento basato su legittimo interesse (21). Scrivi a privacy@pragmakreative.com. Rispondiamo entro un mese. Hai diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Come scollegare l'account Telegram

Lo scollegamento si richiede a privacy@pragmakreative.com indicando di voler scollegare Telegram: cancelliamo la riga corrispondente in utenti_telegram e il link del bot smette di funzionare.

L'accesso con email o WhatsApp resta attivo anche dopo lo scollegamento.

Torna all'accesso