Informativa sulla privacy

In vigore dal 4 ottobre 2026. Questa informativa spiega come Magus Group Albania tratta i dati personali su magusgroup.al e sulle piattaforme del gruppo: Magus ID, Magus Hub (con il suo portale clienti), Magus Pay e Magus Social, il nostro strumento per pubblicare sui social network. È redatta secondo la Legge albanese n. 124/2024 “Sulla protezione dei dati personali” e, per i cookie, secondo l’articolo 158 della Legge n. 54/2024 “Sulle comunicazioni elettroniche nella Repubblica d’Albania”. Per le persone che si trovano nell’Unione europea applichiamo gli stessi principi, in conformità al Regolamento (UE) 2016/679 (GDPR).

• Non vendiamo né affittiamo dati personali e non li usiamo per pubblicità o profilazione.
• I nostri server si trovano nell’Unione europea (netcup, Germania).
• Tramite i social network gestiamo solo le pagine e gli account del gruppo: non leggiamo i messaggi privati e non raccogliamo dati dei follower.
• Potete chiederci in qualsiasi momento di cancellare i vostri dati: vedete Cancellazione dei dati. Interveniamo entro 30 giorni.

• Magus Group Albania shpk, NIPT (codice fiscale) L92228018L
• Linzë, Nd. 30, H. 31, Ap. 52, Dajti, 1040, Tirana, Albania
• Email: per@magusgroup.al · Telefono: +355 45 30 13 88

Magus Group Albania è nata nel 2024 dalla fusione di Albmania Group (sul mercato dal 2011) e autobus.al shpk (fondata nel 2019). Siamo il titolare del trattamento dei dati descritti in questa informativa. Per qualsiasi domanda o richiesta sui vostri dati scriveteci con oggetto “Dati personali”.

Questa informativa riguarda magusgroup.al e le piattaforme sopra indicate. I siti dei marchi del gruppo, come autobus.al e busmagus.com, hanno le proprie informative sulla privacy, che si applicano quando utilizzate i loro servizi (vedete i marchi).

Modulo di contatto. Nome, email e messaggio, la lingua e la pagina da cui ci avete scritto e, se li indicate, telefono e azienda. Per proteggere il modulo dagli abusi conserviamo anche l’indirizzo IP e i dati del browser. Finalità: rispondervi. Base giuridica: misure che richiedete prima di un possibile contratto (articolo 7, comma 1, lettera “b”, della Legge 124/2024) o il nostro legittimo interesse a rispondervi (articolo 7, comma 1, lettera “dh”). Conservazione: cancellati automaticamente dopo 24 mesi, salvo che la legge ci imponga di conservarli o che riguardino un contratto con voi. Le richieste di cancellazione inviate tramite il modulo in Cancellazione dei dati seguono le stesse regole.

Candidature di lavoro. Quando vi candidate dalla pagina delle offerte di lavoro: nome, email, telefono, messaggio e CV. Sono usati solo per la selezione del personale, sulla base delle misure che richiedete prima di un contratto di lavoro e del vostro consenso. Vengono cancellati automaticamente dopo 12 mesi (la pagina delle offerte di lavoro indica il periodo esatto), o prima se lo chiedete.

Visite. Il server registra indirizzo IP, data e ora, pagina richiesta e browser, per mantenere il sito sicuro (legittimo interesse), per non più di 30 giorni. Gli errori tecnici sono segnalati a Sentry, con dati conservati nell’Unione europea e senza ciò che scrivete nei moduli (fino a 90 giorni).

Cookie. Solo cookie necessari; quelli di statistica solo se li accettate. I dettagli sono nella Cookie policy. I video negli articoli sono caricati da youtube-nocookie.com o da Vimeo; i rispettivi fornitori ricevono il vostro indirizzo IP quando riproducete un video.

Magus ID è l’accesso unico a tutte le nostre piattaforme. Gli account vengono creati solo su invito, per il nostro personale e per le persone di contatto dei clienti.

• Dati: nome, email, lingua, password (conservata solo come hash irreversibile), data e indirizzo IP dell’ultimo accesso; per la verifica in due passaggi, la chiave dell’app di autenticazione e i codici di recupero (cifrati) o, se li scegliete, i codici via email o Telegram (ID della chat e nome utente Telegram); le sessioni attive (indirizzo IP, browser, ultima attività); i dispositivi che avete contrassegnato come attendibili; il registro delle attività (accessi, tentativi falliti, accessi alle applicazioni, modifiche di sicurezza); le applicazioni a cui avete accesso e il vostro ruolo in esse.
• Finalità: identificarvi, proteggere il vostro account e darvi accesso alle piattaforme. Potete vedere sessioni, dispositivi e attività nel vostro account.
• Base giuridica: il contratto o il rapporto per cui è stato creato l’account (articolo 7, comma 1, lettera “b”) e il nostro legittimo interesse alla sicurezza (articolo 7, comma 1, lettera “dh”).
• Conservazione: finché l’account esiste; le sessioni terminano dopo 2 ore di inattività; i dispositivi attendibili scadono dopo 30 giorni; il registro delle attività è conservato per 24 mesi.

Magus Hub è lo strumento con cui gestiamo i nostri clienti aziendali: servizi e licenze, fatture, pagamenti e assistenza.

• Dati: dati dell’azienda cliente (nome, ragione sociale, NIPT, indirizzo, email di fatturazione, telefono); persone di contatto (nome, email, telefono, ruolo) che accedono al portale con codici monouso via email o Telegram; licenze, domini e dati tecnici delle installazioni a cui forniamo assistenza (indirizzo del sito, server, controlli periodici dello stato); fatture, pagamenti e dati dei bonifici (ordinante, conto); ticket di assistenza e le email scambiate; credenziali di accesso ai servizi che gestiamo per conto del cliente, conservate cifrate; un registro delle email inviate e delle operazioni nel sistema.
• Finalità: fornire i servizi concordati con il cliente, fatturare e incassare i pagamenti, prestare assistenza e adempiere agli obblighi di legge.
• Base giuridica: il contratto con il cliente (articolo 7, comma 1, lettera “b”), i nostri obblighi di legge in materia contabile e fiscale (articolo 7, comma 1, lettera “c”) e il nostro legittimo interesse a gestire il rapporto con il personale del cliente (articolo 7, comma 1, lettera “dh”).
• Conservazione: per tutta la durata del rapporto commerciale e fino a 5 anni dalla sua conclusione; fatture e scritture contabili per 10 anni, come richiesto dalla normativa contabile e fiscale albanese; controlli dello stato delle installazioni 90 giorni; registro delle email inviate circa 13 mesi; registro delle operazioni 12 mesi.

Magus Pay elabora i pagamenti con carta per i siti del gruppo tramite il servizio RaiAccept di Raiffeisen Bank.

• Dati: l’ordine (importo, ciò che si paga e i nomi dei viaggiatori o clienti a cui si riferisce), i dati di chi paga (nome, email, telefono, azienda, indirizzo, paese, indirizzo IP), l’esito del pagamento e il riferimento della transazione restituito dalla banca.
• Dati della carta: li inserite nella pagina di pagamento sicura della banca. Non riceviamo né conserviamo mai il numero completo della carta né il codice di sicurezza (CVV). I nostri registri tecnici eliminano qualsiasi dato della carta e chiave.
• Finalità e base giuridica: eseguire il pagamento (contratto, articolo 7, comma 1, lettera “b”), adempiere agli obblighi contabili (articolo 7, comma 1, lettera “c”) e prevenire le frodi (legittimo interesse).
• Conservazione: ordini e pagamenti per 10 anni (normativa contabile); registri tecnici dei pagamenti fino a 400 giorni.

La banca tratta i dati della carta come titolare autonomo del trattamento, secondo la propria informativa sulla privacy. Il sito da cui acquistate (ad esempio autobus.al) è responsabile della prenotazione stessa.

Il nostro personale accede all’amministrazione di magusgroup.al tramite Magus ID; le sue operazioni vengono registrate e conservate per 12 mesi. L’amministrazione dispone di strumenti di IA che traducono i testi, suggeriscono titoli e descrizioni e descrivono le immagini: ricevono solo i contenuti scritti per la pubblicazione (testi e immagini del sito), mai messaggi di contatto, candidature di lavoro o dati dei visitatori. Maggiori dettagli nella sezione 4.

Magus Social (social.magusgroup.al) è una nostra installazione dello strumento open source Postiz, sui nostri server nell’Unione europea. È uno strumento interno: la registrazione pubblica è chiusa e lo usa solo il personale di Magus Group Albania, per preparare, programmare e pubblicare i post dei marchi del gruppo e per vedere le statistiche di base di quei post. Gli account collegati sono le pagine e i canali dei marchi del gruppo e, se un membro del personale lo sceglie, il suo profilo professionale (ad esempio su LinkedIn), sempre con la sua autorizzazione.

Quando un account viene collegato, la rete chiede alla persona che lo collega di approvare le autorizzazioni indicate di seguito. Le usiamo solo per queste finalità:

• Facebook (Meta): l’elenco delle Pagine che gestite, con nome, ID e immagine; la pubblicazione di post, foto e video sulle nostre Pagine; la lettura dei commenti ai post delle nostre Pagine e le risposte a essi; le statistiche delle Pagine e dei post.
• Instagram (Meta): ID, nome utente e immagine dell’account professionale; la pubblicazione di post, reel e storie; la lettura dei commenti ai nostri post e le risposte a essi; le statistiche dell’account e dei post.
• Threads (Meta): ID, nome utente e immagine del profilo; la pubblicazione di post; la gestione delle risposte ai nostri post; le statistiche.
• LinkedIn: nome, ID e immagine della persona che collega l’account; la pubblicazione a nome di tale persona o delle pagine aziendali che amministra; la lettura dei post e delle statistiche di tali pagine.
• X: ID, nome, nome utente e immagine dell’account; la pubblicazione di post; le statistiche dei nostri post.
• TikTok: il profilo di base (ID, nome, nome utente, immagine) e i suoi contatori pubblici (follower, Mi piace); l’elenco dei nostri video; il caricamento e la pubblicazione di video; le statistiche.
• Pinterest: i dati dell’account; la lettura e la creazione di bacheche e pin; le statistiche.
• YouTube (Google): nome, email e immagine dell’account Google che effettua il collegamento e i dati del canale; il caricamento e la gestione di video e playlist sul nostro canale; la lettura dei dati del canale e dei video e delle statistiche di YouTube Analytics.
• Reddit: il nome utente; la pubblicazione di post e la scelta del relativo flair nelle community.
• Mastodon: il profilo; la pubblicazione di post e contenuti multimediali.
• Discord e Slack: il nostro bot aggiunto ai nostri server e workspace; l’elenco dei canali (e, in Slack, i nomi dei membri del workspace, usati per menzionarli); la pubblicazione di messaggi nei canali che scegliamo.
• Dribbble: il profilo pubblico; il caricamento di shot.
• Medium: il profilo (ID, nome, immagine) dell’account di cui abbiamo inserito il token di integrazione; la pubblicazione di articoli.

Il personale può anche accedere a Magus Social con GitHub: in tal caso GitHub ci fornisce nome utente, nome ed email. GitHub non viene usato per pubblicare.

• Per ogni account collegato: il suo ID sulla rete, nome, nome utente, immagine del profilo (una copia) e le chiavi di accesso (token OAuth) che la rete ci fornisce, con la relativa scadenza.
• I post che prepariamo e pubblichiamo, i relativi file multimediali, la data e il link di pubblicazione ed eventuali errori di pubblicazione.
• Le note interne che il nostro team scrive sui post.
• Quando cerchiamo un account per menzionarlo in un post: il nome pubblico, il nome utente e l’immagine restituiti dalla rete.
• Le statistiche non vengono salvate nel nostro database: vengono recuperate dalla rete quando qualcuno le apre e mantenute in memoria per al massimo un’ora.

Tutto ciò resta sui nostri server nell’Unione europea. Le chiavi di accesso sono usate solo da Magus Social per operare sull’account, e solo il personale con accesso a Magus Social può utilizzarlo.

• Non vendiamo, non affittiamo e non condividiamo con nessuno i dati ottenuti dalle reti, tranne che con il fornitore di IA descritto nella sezione 4, e solo per il testo in fase di scrittura.
• Non li usiamo per pubblicità, profilazione o per creare pubblici o elenchi di persone.
• Non leggiamo i messaggi privati e non raccogliamo elenchi di follower né dati personali delle persone che seguono le nostre pagine: vediamo solo numeri aggregati e i commenti ai nostri post che la rete mostra.
• Non li usiamo per nessuna finalità diversa dalla pubblicazione e dalla misurazione dei post del gruppo.

• Chiavi di accesso e dati dell’account: finché l’account è collegato. Quando viene scollegato in Magus Social, o quando revocate l’accesso sulla rete, cancelliamo le chiavi e i dati dell’account entro 30 giorni.
• Post, contenuti multimediali e note: finché l’account è collegato, come traccia di ciò che abbiamo pubblicato; poi vengono cancellati entro 30 giorni dallo scollegamento, salvo che chiediate una cancellazione anticipata.
• Statistiche: non salvate (cache in memoria per al massimo un’ora).
• Backup cifrati: i dati cancellati scompaiono da essi con la loro rotazione, entro al massimo 12 mesi, e non vengono mai ripristinati.

Potete rimuovere in qualsiasi momento l’accesso di Magus Social a un account, direttamente dalla rete (i nomi dei menu possono variare leggermente tra le versioni delle app):

• Facebook: Settings & privacy → Settings → Business integrations (per le Pagine) o Apps and websites.
• Instagram: Settings → Website permissions → Apps and websites (o tramite Accounts Center).
• Threads: tramite le impostazioni Meta dell’account Instagram collegato (Apps and websites).
• LinkedIn: Me → Settings & Privacy → Data privacy → Other applications → Permitted services.
• X: Settings and privacy → Security and account access → Apps and sessions → Connected apps.
• TikTok: Settings and privacy → Security & permissions → Apps and services permissions.
• Pinterest: Settings → Security and logins → Apps.
• YouTube / Google: App e servizi di terze parti nel vostro account Google.
• Reddit: User settings → Safety and privacy → Apps (o reddit.com/prefs/apps).
• Mastodon: Preferences → Account → Authorized apps, sul vostro server.
• Discord: User settings → Authorized apps; il bot si rimuove da Server settings → Integrations.
• Slack: l’amministratore del workspace rimuove l’app da Manage apps.
• Dribbble: Account settings → Applications.
• Medium: Settings → Security and apps → Integration tokens (revocate il token).
• GitHub: Settings → Applications → Authorized OAuth apps.

La revoca dell’accesso impedisce qualsiasi ulteriore utilizzo. Per far cancellare anche i dati già in nostro possesso, seguite i passaggi in Cancellazione dei dati.

Magus Social utilizza gli YouTube API Services. L’uso e il trasferimento ad altre app, da parte di Magus Social, delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy, inclusi i requisiti di Limited Use (uso limitato). Collegando un canale YouTube accettate di essere vincolati dai Termini di servizio di YouTube; Google tratta i dati secondo le Norme sulla privacy di Google. Usiamo i dati di Google solo per pubblicare e misurare i video del nostro canale, mai per pubblicità, e non permettiamo a nessuno di leggerli, tranne al nostro personale che gestisce il canale o quando la legge lo impone. Li conserviamo in conformità alle YouTube API Services Developer Policies, compreso l’aggiornamento o la cancellazione dei dati conservati come da esse richiesto. Potete revocare l’accesso in qualsiasi momento dalle impostazioni di sicurezza di Google.

Utilizziamo i servizi di ciascuna rete secondo i rispettivi termini per sviluppatori: i Meta Platform Terms, i LinkedIn API Terms of Use, il X Developer Agreement and Policy, i TikTok Developer Terms, le Pinterest Developer Guidelines e i YouTube API Services Terms of Service. Ogni rete è titolare autonomo del trattamento dei dati sulla propria piattaforma, secondo la propria informativa sulla privacy.

• Magus Social: quando un membro del personale chiede aiuto per scrivere un post (suggerire, migliorare o accorciare un testo, oppure creare un’immagine), il testo o l’istruzione vengono inviati a OpenAI. Non sono incluse chiavi di accesso né dati dei follower.
• Amministrazione di magusgroup.al: traduzioni, titoli, descrizioni e descrizioni delle immagini sono preparati con il fornitore scelto nell’amministrazione (ad esempio Anthropic, OpenAI o Google). Vengono inviati solo i contenuti scritti per la pubblicazione.
• Magus Hub: per riassumere un ticket di assistenza e preparare una bozza di risposta, il contenuto del ticket può essere inviato al fornitore di IA scelto in Hub. Un membro del personale verifica sempre la bozza prima che qualsiasi cosa venga inviata al cliente.

Usiamo questi fornitori tramite le loro API aziendali: secondo i loro termini, i dati inviati tramite API non vengono usati per addestrare i loro modelli e sono conservati da loro solo per un breve periodo per prevenire abusi (OpenAI: fino a 30 giorni). L’IA non viene mai usata per prendere decisioni sulle persone.

Condividiamo i dati solo con:

• i fornitori che lavorano per noi e trattano i dati solo secondo le nostre istruzioni: netcup GmbH (server, Germania); Cloudflare (archiviazione dei backup cifrati, giurisdizione UE) e, dove configurati, altri spazi di archiviazione per i backup cifrati (Amazon S3, Google Drive, Microsoft OneDrive); il nostro fornitore del servizio email; Sentry (rapporti di errore, regione dati UE); Telegram (solo se scegliete codici o notifiche via Telegram); i fornitori di IA della sezione 4;
• titolari autonomi del trattamento: Raiffeisen Bank per i pagamenti con carta; i social network per ciò che vi viene pubblicato; Google e Microsoft per le statistiche del sito, solo se accettate quei cookie;
• i marchi di Magus Group Albania, quando la vostra richiesta li riguarda;
• le autorità pubbliche, quando la legge lo impone.

I nostri server si trovano nell’Unione europea. Alcuni fornitori (ad esempio OpenAI, Anthropic, Google, Sentry, Telegram, i social network) hanno sede negli Stati Uniti o in altri paesi, o vi trattano anche dati. Trasferiamo i dati solo verso paesi che il Commissario riconosce come dotati di una protezione adeguata (articolo 40 della Legge 124/2024) o con le garanzie previste dall’articolo 41, come le clausole contrattuali tipo; per le persone nell’UE, in base all’EU–US Data Privacy Framework o alle clausole contrattuali tipo della Commissione europea. Potete chiedere una copia di queste garanzie a per@magusgroup.al.

Tutti i nostri servizi usano connessioni cifrate (HTTPS). Le password sono conservate solo come hash irreversibili; la verifica in due passaggi è obbligatoria per il personale; le chiavi di accesso e i dati riservati dei clienti sono conservati cifrati dove i nostri sistemi lo consentono e, in ogni caso, su server ad accesso limitato. Le operazioni nei nostri sistemi vengono registrate. I backup sono cifrati prima di lasciare i nostri server e vengono verificati regolarmente. Il personale accede solo ai dati necessari per il proprio lavoro.

Il nostro sito e le nostre piattaforme si rivolgono ad aziende e adulti. Non raccogliamo consapevolmente dati di minori di 16 anni (articolo 8 della Legge 124/2024). Se ritenete che un minore ci abbia inviato dati, scriveteci e li cancelleremo.

Ai sensi degli articoli 13–20 della Legge 124/2024 (e, nell’UE, degli articoli 15–22 del GDPR) avete il diritto di:

• essere informati e accedere ai vostri dati;
• ottenerne la rettifica o la cancellazione (il “diritto all’oblio”);
• limitarne il trattamento;
• riceverli in un formato strutturato e leggibile da dispositivo automatico (portabilità);
• opporvi al trattamento basato sul nostro legittimo interesse;
• revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente;
• non essere sottoposti a decisioni automatizzate. Non prendiamo decisioni di questo tipo e non effettuiamo profilazione.

Scriveteci a per@magusgroup.al. Rispondiamo gratuitamente entro 30 giorni; per richieste complesse il termine può essere prorogato fino a ulteriori 60 giorni e ve ne comunichiamo il motivo. Potremmo chiedervi di confermare la vostra identità.

Potete chiederci in qualsiasi momento di cancellare i dati che conserviamo su di voi, in qualsiasi nostro servizio. Queste istruzioni valgono anche come istruzioni per la cancellazione dei dati per le app che usiamo su Facebook, Instagram, Threads, LinkedIn, X, TikTok, Pinterest, YouTube e sulle altre reti.

Se avete collegato un account social a Magus Social, rimuovete prima il nostro accesso sulla rete, come descritto in Come revocare l’accesso (ad esempio, su Facebook: Settings & privacy → Settings → Business integrations; su Google: App e servizi di terze parti). Da quel momento non possiamo più utilizzare l’account.

Usate il modulo qui sotto o scrivete a per@magusgroup.al con oggetto “Cancellazione dei dati”. Indicateci:

• il servizio interessato (account Magus ID, Hub o il portale clienti, Magus Pay, Magus Social, il modulo di contatto) e, per un account social, la rete e il nome della pagina o del profilo;
• l’indirizzo email che usate con noi; se possibile, scriveteci da quell’indirizzo, così possiamo confermare che la richiesta proviene da voi.

Per un account Magus ID, la cancellazione rimuove contemporaneamente il vostro accesso a tutte le piattaforme (Hub e il portale clienti, Magus Pay, Magus Social e l’amministrazione di questo sito). Chiudiamo l’account e ne terminiamo le sessioni non appena abbiamo confermato la richiesta.

• Cancelliamo: l’account Magus ID con le relative sessioni, i dispositivi, i dati della verifica in due passaggi e il registro delle attività; l’accesso al portale clienti; i messaggi di contatto e le candidature di lavoro; per un account social, le relative chiavi di accesso, i dati, l’immagine del profilo e i post, i contenuti multimediali e le note collegati; qualsiasi altro dato su di voi di cui non abbiamo più bisogno.
• Conserviamo solo ciò che la legge impone: fatture, scritture contabili e registrazioni dei pagamenti (10 anni, normativa contabile e fiscale albanese) e ciò che ci serve per accertare o difendere un diritto in sede giudiziaria. Questi dati sono conservati separatamente e usati solo per tale finalità.
• La richiesta stessa: conserviamo la vostra richiesta e la nostra risposta, come prova di averla gestita, per 24 mesi, come qualsiasi altro messaggio.
• Backup: i dati escono dai nostri sistemi entro 30 giorni; nei backup cifrati scompaiono con la loro rotazione, entro al massimo 12 mesi, e non vengono mai ripristinati.

1. Confermiamo di aver ricevuto la vostra richiesta via email, di solito entro 2 giorni lavorativi.
2. Completiamo la cancellazione entro 30 giorni dal ricevimento della richiesta (per richieste complesse fino a ulteriori 60 giorni, e ve ne comunichiamo il motivo).
3. Vi inviamo una conferma via email con il numero di riferimento della vostra richiesta e ciò che è stato cancellato o, per i dati che dobbiamo conservare, il motivo e per quanto tempo.

Domande sulla cancellazione: per@magusgroup.al · +355 45 30 13 88.

Se ritenete che i vostri dati siano trattati in violazione della legge, avete il diritto di presentare reclamo al Commissario per il diritto all’informazione e la protezione dei dati personali (Rr. “Abdi Toptani”, Nd. 5, 1001 Tirana · info@idp.al · idp.al), ai sensi dell’articolo 86 della Legge 124/2024, e di rivolgervi al tribunale. Nell’UE potete anche rivolgervi all’autorità per la protezione dei dati del vostro paese. Ci farebbe piacere poter risolvere prima la questione insieme a voi.

Quando modifichiamo questa informativa, la nuova versione viene pubblicata in questa pagina con la data di aggiornamento. Per le modifiche importanti vi avvisiamo anche sul sito e, se avete un account, via email. Consultate anche i nostri Termini di servizio e la Cookie policy.