La presente Informativa descrive come MANAGEMENT FINANCE VALUE RESEARCH S.R.L. (di seguito anche "MFVR" o "Skinnalia") raccoglie, utilizza e protegge i dati personali degli utenti del sito www.skinnalia.com e della Telegram Mini App / Web App "Skinnalia". Il trattamento è effettuato in conformità al Regolamento (UE) 2016/679 ("GDPR") e al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
MANAGEMENT FINANCE VALUE RESEARCH S.R.L.
Sede legale: Via dei Mille 16, 80121 Napoli (NA), Italia
C.F. e P.IVA: 10651331216 — REA NA-1121664
PEC: mfvr@legalmail.it
Contatto privacy: corporate@skinnalia.com
2. Tipologie di dati raccolti
Trattiamo le seguenti categorie di dati, in funzione della relazione con l'utente:
- Dati identificativi e di contatto: nome, cognome, indirizzo email, numero di telefono, indirizzo di spedizione e fatturazione, lingua preferita.
- Identificatori di account: ID Telegram, username, ID utente Supabase Auth, sessione di accesso.
- Foto del viso caricate per la consulenza (analisi qualitativa e analisi avanzata) e i metadati derivati (osservazioni, score, età biologica stimata della pelle).
- Dati di utilizzo: pagine visitate, click, interazioni con la chatbot, durata sessione, IP, user-agent, referrer, evento di pagamento.
- Dati di pagamento: gestiti integralmente da Stripe (PCI DSS Level 1). Skinnalia riceve solo metadati (importo, ultime 4 cifre della carta, brand, ID transazione) mai il numero di carta completo.
- Dati di profilo skincare dichiarati dall'utente: tipo di pelle, fototipo, allergie, abitudini, obiettivi.
- Conversazioni con il consulente AI nel bot Telegram, con timestamp e contesto.
3. Finalità e basi giuridiche
- Erogazione del servizio (analisi della pelle, consulenza AI, abbonamenti, spedizione prodotti) — base giuridica: esecuzione di un contratto (art. 6.1.b GDPR). Senza questi dati il servizio non può essere fornito.
- Adempimenti fiscali, contabili e di legge(fatturazione, antiriciclaggio, registrazioni IVA) — base:obbligo legale (art. 6.1.c GDPR).
- Comunicazioni di servizio (conferma ordine, stato spedizione, scadenza pagamento, reset password) — base:esecuzione del contratto.
- Marketing diretto via email su prodotti analoghiai clienti già acquisiti — base: legittimo interesse(art. 6.1.f) con possibilità di opporsi in qualsiasi momento.
- Newsletter, promozioni, comunicazioni commercialia non clienti — base: consenso esplicito (art. 6.1.a) revocabile in qualsiasi momento.
- Analytics aggregate, miglioramento del servizio, prevenzione frodi — base: legittimo interesse.
4. Trattamento delle foto del viso
Le foto del viso che carichi sono trattate esclusivamente per elaborare la consulenza qualitativa (free) e l'analisi avanzata (Pro). Non costituiscono dati biometrici ai sensi dell'art. 9 GDPR — non identifichiamo l'utente dalla foto né eseguiamo riconoscimento facciale: l'immagine viene analizzata da modelli AI (OpenAI / Anthropic) per descrivere caratteristiche estetiche della pelle, e poi conservata in modo associato al tuo account per consentire confronti tra scansioni successive (tracking del ciclo di trattamento).
Puoi richiederne la cancellazione in qualsiasi momento via email a corporate@skinnalia.com.
5. Destinatari e responsabili esterni
I dati possono essere comunicati ai seguenti fornitori di servizi, tutti vincolati da accordo di trattamento (DPA) ai sensi dell'art. 28 GDPR:
- Vercel Inc. (USA) — hosting applicativo, SCC + DPF.
- Supabase Inc. (USA, regione EU) — database + autenticazione + storage immagini, SCC + DPF.
- Stripe Inc. (Irlanda / USA) — pagamenti, PCI DSS Level 1 + SCC.
- OpenAI / Anthropic — modelli AI per consulenza pelle. I dati inviati alle API non sono usati per training (zero data retention sui prompt).
- Resend — invio email transazionali e notifiche.
- Telegram Messenger Inc. — distribuzione bot + Mini App.
- Google LLC — analytics (GA4) con IP anonimizzato; Google Sign-In sui domini web.
- Sentry — error tracking applicativo.
- Corrieri logistici per spedizione prodotti (per chi acquista trattamenti fisici).
Alcuni fornitori sono extra-UE: i trasferimenti avvengono sulla base delle Standard Contractual Clausesapprovate dalla Commissione Europea e, ove applicabile, dell'EU-US Data Privacy Framework.
6. Periodo di conservazione
- Dati di account: per tutta la durata del rapporto + 12 mesi dopo l'eventuale cancellazione, salvo richieste specifiche.
- Foto e analisi: fino alla cancellazione richiesta dall'utente.
- Dati di fatturazione: 10 anni (art. 2220 c.c.).
- Log tecnici e di sicurezza: max 12 mesi.
- Cookie: vedi Cookie Policy.
7. Diritti dell'interessato
In qualsiasi momento puoi esercitare i seguenti diritti (artt. 15-22 GDPR), scrivendo acorporate@skinnalia.com:
- Accesso e copia dei dati
- Rettifica
- Cancellazione ("diritto all'oblio")
- Limitazione del trattamento
- Portabilità
- Opposizione al trattamento
- Revoca del consenso (senza pregiudicare la liceità del trattamento già effettuato)
Hai inoltre il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali(www.garanteprivacy.it).
8. Sicurezza
Adottiamo misure tecniche e organizzative adeguate al rischio: cifratura in transito (TLS 1.2+), cifratura at-rest sul database, controllo accessi role-based, autenticazione a due fattori per il personale, log degli accessi, backup regolari, DPA con tutti i fornitori.
9. Minori
Il servizio non è destinato a minori di 16 anni. Se vieni a conoscenza di trattamento di dati di un minore senza consenso del titolare della responsabilità genitoriale, contattaci e provvederemo immediatamente alla cancellazione.
10. Modifiche
Possiamo aggiornare questa Informativa per esigenze legali o funzionali. La data dell'ultimo aggiornamento è indicata in cima al documento. Ti notificheremo via email modifiche sostanziali.