Privacy policy

Ultimo aggiornamento: 29 settembre 2026

Questa informativa spiega come OnlineOra tratta i dati personali, ai sensi del Regolamento (UE) 2016/679 (“GDPR”) e del D.Lgs. 196/2003. Riguarda chi visita onlineora.it, chi ci contatta, le attività che usano la piattaforma OnlineOra dal sito o dall’app e i loro collaboratori, e i dati che riceviamo dalle piattaforme esterne che il cliente decide di collegare, come Facebook, Instagram, LinkedIn, TikTok e Google.

1. Titolare del trattamento e contatti

Il titolare è OnlineOra, con sede in Bovisio Masciago (MB), P.IVA 14778190968. Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti scrivi a amministrazione@onlineora.it.

2. Quando siamo titolari e quando responsabili

OnlineOra è titolare dei dati dei propri clienti e dei loro utenti, dei visitatori di onlineora.it, di chi ci scrive e delle attività che contattiamo per proporre i nostri servizi.
OnlineOra è responsabile del trattamento, ai sensi dell’art. 28 GDPR, per i dati che tratta per conto dei propri clienti: ad esempio i dati dei clienti dei loro negozi online, le prenotazioni, le chiamate gestite dalla segretaria virtuale e i commenti ricevuti sui loro profili social. Per questi dati il titolare è l’attività cliente, che fornisce la propria informativa ai suoi clienti. L’accordo sul trattamento dei dati è contenuto nelle Condizioni generali di servizio.
Le piattaforme esterne, come Meta, Google, LinkedIn, TikTok, Stripe, PayPal, Scalapay o Packlink, trattano i dati anche come titolari autonomi, secondo le proprie informative.

3. Quali dati trattiamo

Account e profilo: nome, email, telefono, ruolo nell’attività e credenziali di accesso. La password è gestita in forma cifrata dal nostro fornitore di autenticazione. Se accedi con Google, Facebook o Apple riceviamo nome, email e identificativo dell’account.
Dati di fatturazione: ragione sociale, partita IVA, codice fiscale, indirizzo, PEC o codice destinatario e le fatture emesse.
Pagamenti: gestiti da Stripe, anche per Satispay, e, se il cliente li attiva, da PayPal e Scalapay. Non conserviamo i dati completi delle carte né le credenziali PayPal o Satispay di chi acquista: riceviamo solo l’esito e i riferimenti del pagamento e degli eventuali rimborsi.
Contenuti dell’attività: testi, immagini, video, prodotti, prezzi, eventi, orari, recapiti e ogni altro materiale che il cliente carica per il sito, il negozio online o i social.
Comunicazioni: messaggi in chat, ticket di assistenza, videochiamate organizzate tramite la piattaforma ed email scambiate con noi.
Dati dei clienti delle attività, trattati per conto del cliente: nome, email, telefono, indirizzo di consegna, ordini, resi, prenotazioni e account creati sui negozi online.
Statistiche dei siti dei clienti, trattate per conto del cliente: sui siti che realizziamo contiamo visite, pagine viste, prodotti visti, avvii di acquisto e clic su telefono e WhatsApp. Non usiamo cookie né memorie sul dispositivo del visitatore. L’indirizzo IP non viene salvato: serve solo, insieme al tipo di browser, a calcolare un codice anonimo che cambia ogni giorno. Del sito di provenienza conserviamo solo il dominio.
Segretaria virtuale: se il cliente attiva il servizio, numero di chi chiama, durata, trascrizione e riepilogo della chiamata e dati lasciati da chi chiama. L’assistente si presenta sempre come assistente virtuale.
Spedizioni: nome, indirizzo e telefono del destinatario, trasmessi a Packlink per creare l’etichetta.
App e notifiche: identificativo del dispositivo per le notifiche push, sistema operativo e versione dell’app.
Dati tecnici: indirizzo IP, tipo di browser e dispositivo, registri di accesso e di errore, usati per sicurezza e prevenzione degli abusi.
Accettazione del contratto: quando il cliente accetta le condizioni nell’area riservata registriamo data, ora, versione accettata, indirizzo IP e browser, come prova dell’accettazione.
Dati da fonti pubbliche: per proporre i nostri servizi raccogliamo dati pubblicati dalle attività su Google Maps, come nome dell’attività, indirizzo, telefono, sito web e valutazioni. Non raccogliamo dati di persone fisiche diversi da quelli che l’attività pubblica come propri recapiti.

4. Integrazioni con piattaforme esterne

Il cliente può collegare volontariamente i propri account a OnlineOra, dall’area riservata sul sito o dall’app, nella sezione Social o nelle impostazioni, tramite la procedura di autorizzazione della piattaforma. OnlineOra accede solo ai dati necessari alle funzioni che il cliente usa e agisce solo su sua istruzione.

Su richiesta del cliente, il collegamento può essere fatto anche dal nostro personale, se il cliente lo ha aggiunto come amministratore della Pagina o dell’account. L’accesso resta sempre revocabile dal cliente, come descritto più sotto.

Facebook e Instagram (Meta)

Dati: nome, identificativo e immagine delle Pagine Facebook e degli account Instagram professionali che il cliente sceglie di collegare, l’elenco delle Pagine che amministra, il token di accesso, i contenuti pubblicati tramite OnlineOra, i commenti ricevuti su quei contenuti con nome o username dell’autore, le statistiche dei post (visualizzazioni, persone raggiunte, clic, reazioni, commenti, condivisioni e salvataggi) e il numero di follower.
Portfolio Business: se il cliente gestisce le sue Pagine tramite un Portfolio Business di Meta (Business Suite), leggiamo il nome e l’identificativo dei portfolio e l’elenco delle loro Pagine, solo per mostrargli quali Pagine può collegare. Non modifichiamo il portfolio, le sue impostazioni o i ruoli delle persone.
Uso: pubblicare e programmare i contenuti scelti dal cliente, eliminarli su sua richiesta, mostrargli i commenti per rispondere o nasconderli, e mostrargli le statistiche. Riceviamo notifiche automatiche da Meta quando arrivano nuovi commenti.

Dati: nome, immagine e identificativo del profilo, le pagine aziendali che il cliente amministra se autorizza l’accesso, il token di accesso, i contenuti pubblicati tramite OnlineOra, i relativi commenti e le statistiche.
Uso: pubblicare i contenuti scelti dal cliente, eliminarli su sua richiesta, mostrargli commenti e statistiche e permettergli di rispondere.

TikTok

Dati: nome visualizzato, username, immagine del profilo, identificativo dell’account, numero di follower, il token di accesso e l’elenco dei video con visualizzazioni, like, commenti e condivisioni.
Uso: pubblicare i video scelti dal cliente con le impostazioni di privacy e interazione che lui seleziona, e mostrargli le statistiche dei suoi video.

Google Business Profile

Dati: gli account e le sedi dell’attività che il cliente autorizza, informazioni dell’attività come nome, indirizzo, orari, recapiti, categorie e foto, i post, le recensioni con nome dell’autore e le risposte, le metriche di rendimento e il token di accesso.
Uso: aiutare il cliente a creare e verificare il profilo, tenere allineate le informazioni con il suo sito, pubblicare post, mostrargli le recensioni per rispondere e mostrargli le statistiche.

Pagamenti e spedizioni: Stripe, PayPal, Satispay, Scalapay e Packlink

Stripe, PayPal, Scalapay e Packlink sono servizi che il cliente usa con un proprio account. OnlineOra conserva solo gli identificativi e, dove necessario, le chiavi di accesso, sempre in forma cifrata, per incassare i pagamenti, emettere i rimborsi, gestire i pagamenti a rate, creare le spedizioni e seguirne la consegna per conto del cliente. Satispay è offerto tramite il conto Stripe del cliente, senza un conto Satispay separato.

Da questi servizi riceviamo, anche tramite notifiche automatiche, l’esito dei pagamenti e dei rimborsi e lo stato delle spedizioni. Per creare l’etichetta trasmettiamo a Packlink nome, indirizzo e telefono del destinatario.

Regole comuni a tutte le integrazioni

Usiamo i dati ricevuti dalle piattaforme solo per fornire al cliente le funzioni che vede nella sua area. Non li vendiamo, non li usiamo per pubblicità o profilazione e non li usiamo per addestrare modelli di intelligenza artificiale.
Token e chiavi di accesso sono cifrati con algoritmo AES-256, usati solo dai nostri server e mai mostrati nel browser o nell’app.
Il nostro personale accede a questi dati solo quando il cliente chiede assistenza, per ragioni di sicurezza o per obblighi di legge.
Quando il cliente scollega un account, cancelliamo subito token e chiavi e i commenti importati da quell’account. I post creati in OnlineOra e le relative statistiche restano nell’archivio del cliente finché non li elimina o chiude l’account.
I video caricati per la pubblicazione sui social vengono cancellati dai nostri server entro 7 giorni dalla pubblicazione, o entro 30 giorni se la pubblicazione non va a buon fine.
Il cliente può revocare l’accesso in ogni momento da OnlineOra, nella sezione Social, scheda Account, oppure dalle impostazioni della piattaforma: su Facebook da Integrazioni aziendali, su Instagram da Impostazioni, App e siti web, su Google da Account Google, App di terze parti, su LinkedIn da Servizi autorizzati e su TikTok dalla sezione delle app autorizzate nelle impostazioni di sicurezza. Quando riceviamo la notifica di revoca dalla piattaforma, disattiviamo il collegamento e cancelliamo i token.
Aggiorneremo questa informativa prima di attivare nuove integrazioni, come WhatsApp Business o la gestione delle campagne pubblicitarie.

Dati ricevuti dalle API di Google

L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di OnlineOra rispettano le Norme relative ai dati utente dei servizi API di Google, inclusi i requisiti di Uso limitato. In particolare, questi dati sono usati solo per fornire e migliorare le funzioni visibili al cliente, non sono trasferiti a terzi se non quando necessario per queste funzioni, per obblighi di legge o in caso di fusione o acquisizione, non sono usati per pubblicità e non sono letti da persone salvo consenso del cliente, esigenze di sicurezza od obblighi di legge.

5. Finalità e basi giuridiche

Creare e gestire l’account ed erogare il servizio, comprese le integrazioni richieste dal cliente: esecuzione del contratto.
Assistenza, comunicazioni di servizio via email e notifiche nell’app: esecuzione del contratto.
Rispondere alle richieste inviate dai moduli di contatto: misure precontrattuali.
Fatturazione e adempimenti fiscali e contabili: obbligo di legge.
Conservare la prova dell’accettazione del contratto e tutelare i nostri diritti in caso di contestazioni: legittimo interesse.
Sicurezza della piattaforma, prevenzione di frodi e abusi, limitazione delle richieste anomale: legittimo interesse.
Contattare attività che potrebbero essere interessate ai nostri servizi, usando i recapiti che hanno reso pubblici: legittimo interesse. Puoi opporti in ogni momento scrivendoci, e non ti contatteremo più.
Trattare i dati dei clienti delle attività per conto di queste: istruzioni del titolare, secondo l’accordo ex art. 28 GDPR.

6. Fornitori che trattano dati per nostro conto

Ci avvaliamo di questi fornitori, nominati responsabili o sub-responsabili del trattamento quando trattano dati per nostro conto:

Supabase: database, autenticazione e archiviazione dei file.
Render: server applicativi della piattaforma.
Cloudflare: hosting dei siti, rete di distribuzione dei contenuti, DNS e sicurezza.
GitHub: archivio del codice dei siti realizzati.
Stripe: pagamenti dei canoni e degli ordini dei negozi online, compreso Satispay.
Resend, Brevo e ZeptoMail: invio delle email di servizio.
Web3Forms: inoltro dei moduli di contatto del sito.
Whereby: videochiamate con l’assistenza.
Expo: invio delle notifiche push dell’app.
OVH: registrazione dei domini.
Fatture in Cloud: emissione delle fatture elettroniche.
ElevenLabs e Twilio: segretaria virtuale telefonica, se attivata.
Google: accesso con Google, ricerca di attività su Google Maps e integrazione Business Profile.
Meta, LinkedIn e TikTok: integrazioni social, se collegate dal cliente.
PayPal, Scalapay e Packlink: pagamenti, pagamenti a rate e spedizioni, se attivati dal cliente.

7. Trasferimenti fuori dall’Unione europea

Alcuni fornitori hanno sede o server fuori dallo Spazio economico europeo, in particolare negli Stati Uniti. In questi casi il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea, come il EU-U.S. Data Privacy Framework, oppure delle clausole contrattuali standard approvate dalla Commissione.

8. Per quanto tempo conserviamo i dati

Account, contenuti e dati dei clienti delle attività: per tutta la durata del contratto. Alla cessazione li rendiamo esportabili su richiesta per 30 giorni, poi li cancelliamo. Le copie di backup vengono sovrascritte nei cicli successivi.
Fatture e documenti contabili: 10 anni, come previsto dalla legge.
Prova dell’accettazione del contratto: per la durata del contratto e per i 10 anni successivi, pari al termine di prescrizione.
Token e chiavi delle integrazioni: fino alla disconnessione o alla revoca.
Video per i social: 7 giorni dalla pubblicazione, 30 in caso di errore.
Statistiche dei siti: i singoli eventi di visita per 7 giorni; i riepiloghi giornalieri, che non contengono dati sui singoli visitatori, per la durata del contratto.
Richieste di contatto senza seguito contrattuale: fino a 24 mesi.
Dati di attività raccolti da fonti pubbliche: finché non ci chiedi di non essere contattato e comunque non oltre 24 mesi dall’ultimo contatto.
Registri tecnici: per il tempo necessario alla sicurezza, di norma non oltre 12 mesi.

9. Sicurezza

Tutte le comunicazioni avvengono su connessioni cifrate. Token e chiavi di accesso sono cifrati nel database. I dati di ogni cliente sono separati da quelli degli altri e l’accesso è limitato in base al ruolo. Eventuali violazioni dei dati vengono gestite e notificate secondo quanto previsto dal GDPR.

10. I tuoi diritti

Puoi chiedere l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e puoi opporti ai trattamenti basati sul legittimo interesse. Se il trattamento si basa sul consenso, puoi revocarlo in ogni momento. Per esercitare i diritti scrivi a amministrazione@onlineora.it oppure usa la pagina Eliminazione dati. Rispondiamo entro 30 giorni.

Se sei cliente di un’attività che usa OnlineOra, rivolgiti prima all’attività, che è titolare dei tuoi dati: la aiuteremo a rispondere. Hai sempre il diritto di proporre reclamo al Garante per la protezione dei dati personali.

11. Cookie

Su onlineora.it e nell’area riservata usiamo solo cookie e memorie locali tecniche, necessari per mantenere l’accesso e ricordare le tue scelte, compresa quella sul banner dei cookie. Non usiamo cookie di profilazione. Le statistiche di visita dei siti dei nostri clienti funzionano senza cookie. I siti realizzati per i nostri clienti hanno una propria informativa, a cura dell’attività.

12. Minori

La piattaforma è destinata a imprese, professionisti ed enti e non è rivolta a minori di 18 anni.

13. Modifiche

Possiamo aggiornare questa informativa, in particolare quando aggiungiamo nuove funzioni o integrazioni. Pubblichiamo sempre la versione aggiornata su questa pagina con la data di aggiornamento, e informiamo i clienti delle modifiche rilevanti via email o nell’area riservata.