Ultimo aggiornamento: 01 agosto 2026
Panoramica
Il Regolamento Generale sulla Protezione dei Dati (GDPR — Regolamento UE 2016/679) è in vigore dal 25 maggio 2018 e disciplina il trattamento dei dati personali in tutta l'Unione Europea.
Se gestisci un e-commerce o vendi sui marketplace, i dati dei tuoi acquirenti (nome, indirizzo, contatti, storico ordini) sono dati personali, e sei tu il primo responsabile della loro protezione. Opsboard è lo strumento con cui li gestisci operativamente: per questo abbiamo scelto di essere trasparenti su come li trattiamo, dove risiedono e con quali misure li proteggiamo.
Questa pagina spiega tre cose: quali ruoli assumiamo rispetto ai tuoi dati, come rispettiamo il GDPR, e come la piattaforma ti aiuta a rispettarlo a tua volta.
Avvertenza. Questo documento ha finalità informativa e non costituisce consulenza legale. Per valutare come il GDPR si applica alla tua specifica organizzazione, rivolgiti al tuo consulente.
I concetti che contano
Titolare e responsabile del trattamento
Il GDPR distingue due figure, e capire quale sei è il punto di partenza di tutto:
- Titolare del trattamento: chi decide perché e come i dati personali vengono trattati.
- Responsabile del trattamento: chi tratta i dati per conto del titolare, seguendone le istruzioni.
Applicato al nostro caso: quando vendi sui marketplace e usi Opsboard per gestire ordini e spedizioni, il titolare sei tu. Sei tu a decidere quali prodotti vendere, su quali canali, e a quali finalità servono i dati dei tuoi acquirenti. OPS Srls è responsabile del trattamento: tratta quei dati esclusivamente per erogarti il servizio a cui ti sei abbonato, secondo le tue istruzioni, e non li utilizza per finalità proprie.
Questo significa, concretamente:
- I dati che entrano nella tua istanza Opsboard restano tuoi. Non li vendiamo, non li cediamo, non li usiamo per profilazione o marketing.
- Non li incrociamo con quelli di altri clienti.
- Interveniamo su di essi solo per erogare il servizio, per assistenza su tua richiesta, o quando obbligati dalla legge.
Dati personali
Il GDPR adotta una definizione ampia, è dato personale qualsiasi informazione riferita a una persona fisica identificata o identificabile. Rientrano quindi nome e cognome, indirizzo postale, email, numero di telefono, ma anche identificativi online come l'indirizzo IP o l'ID di un dispositivo.
Vale anche in contesto professionale: info@azienda.it non è un dato personale, mario.rossi@azienda.it sì.
I nostri ruoli GDPR
| Trattamento | Dati interessati | Ruolo di OPS Srls |
|---|---|---|
| Sito web opsboard.it, moduli di contatto, richieste di demo, gestione clienti e fatturazione | Nome, azienda, email, telefono, dati di fatturazione dei nostri clienti e potenziali clienti | Titolare |
| Dati presenti nelle istanze Opsboard dei clienti, inclusi i dati d'ordine importati dai marketplace | Dati degli acquirenti finali del cliente: anagrafica, indirizzi di spedizione e fatturazione, contatti, contenuto e importi degli ordini | Responsabile (il titolare è il cliente) |
| Gestione di dipendenti, collaboratori e candidature | Dati anagrafici e contrattuali del nostro personale | Titolare |
La piattaforma Opsboard è erogata esclusivamente in modalità cloud. Non esistono installazioni on-premise presso i clienti, quindi non si dà il caso di dati fuori dal nostro perimetro di responsabilità.
Le attività che svolgiamo come titolare sono descritte nella nostra Informativa sulla privacy. Le misure tecniche e organizzative che proteggono i dati sono descritte nella nostra Politica di sicurezza. Le attività che svolgiamo come responsabile sono disciplinate dall'Accordo sul trattamento dei dati (DPA), allegato al contratto di servizio.
Quali dati trattiamo per tuo conto
Quando colleghi un canale di vendita a Opsboard, riceviamo dai marketplace i dati necessari a evadere gli ordini. Tipicamente:
- Nome e cognome dell'acquirente
- Indirizzo di spedizione e, quando previsto, di fatturazione
- Recapito email, spesso in forma di alias anonimizzato fornito dal marketplace stesso
- Numero di telefono, quando il corriere lo richiede per la consegna
- Contenuto dell'ordine, quantità, importi e stato della spedizione
Non trattiamo dati di pagamento. Numeri di carta, coordinate bancarie e credenziali di pagamento non transitano né sono conservati sui nostri sistemi: restano presso il marketplace e i suoi provider di pagamento.
Ogni cliente dispone di un database dedicato. I dati di clienti diversi non sono mai mescolati nella stessa base dati.
Dove risiedono i dati
L'infrastruttura di Opsboard è ospitata presso Seeweb S.r.l. e Aruba S.p.A., entrambi provider italiani, con data center situati in Italia.
Questo significa che i dati che ci affidi attraverso la piattaforma:
- Non lasciano il territorio italiano;
- Non sono soggetti a trasferimenti verso paesi terzi che richiederebbero garanzie aggiuntive come le Clausole Contrattuali Standard;
- Sono trattati da fornitori soggetti al diritto italiano ed europeo.
Diverso è il caso degli strumenti che utilizziamo per la nostra amministrazione interna — gestionale e posta elettronica — che possono comportare trattamenti fuori dall'Italia. Non riguardano i dati operativi della piattaforma: il dettaglio è riportato nell'Informativa sulla privacy.
I marketplace e i corrieri con cui ti interfacci tramite Opsboard sono soggetti autonomi, con proprie policy e proprie collocazioni dei dati: la connessione avviene su tua istruzione, tramite le credenziali che autorizzi.
L'elenco aggiornato dei nostri sub-responsabili, con la relativa finalità e i dati condivisi, è riportato nell'Informativa sulla privacy.
Come proteggiamo i dati
Le misure sono descritte per esteso nella Politica di sicurezza. In sintesi:
- Isolamento: database dedicato per ciascun cliente, senza possibilità di accesso incrociato.
- Trasmissione cifrata: tutte le comunicazioni con la piattaforma avvengono su HTTPS con cifratura TLS.
- Autenticazione: l'accesso alla piattaforma è protetto da codice OAuth con rinnovo obbligatorio ogni 30 giorni. Le credenziali dei canali di vendita che autorizzi sono soggette allo stesso ciclo di rinnovo.
- Accessi interni limitati: solo il personale tecnico autorizzato può operare sui sistemi di produzione, e solo per la manutenzione del servizio o per l'assistenza che ci richiedi.
- Backup e continuità operativa: i dati sono sottoposti a copie di sicurezza periodiche presso l'infrastruttura dei nostri provider.
Come Opsboard ti aiuta a essere conforme
Usare Opsboard non ti rende automaticamente conforme al GDPR — la normativa riguarda l'intera organizzazione, e tratti dati personali anche fuori dalla piattaforma. Ma centralizzare la gestione degli ordini in un unico sistema riduce la dispersione dei dati, ed è già di per sé un vantaggio: meno copie sparse tra fogli di calcolo, caselle email e pannelli dei singoli marketplace significa meno superficie da proteggere e da mappare.
Ecco come la piattaforma supporta gli obblighi più ricorrenti.
Diritto di accesso e portabilità (artt. 15 e 20)
Se un acquirente ti chiede quali suoi dati tratti, puoi recuperare da Opsboard l'anagrafica e lo storico completo degli ordini che lo riguardano, ed esportarli in formato elettronico strutturato..
Diritto di rettifica (art. 16)
Anagrafiche e indirizzi sono modificabili direttamente dalla piattaforma. Tieni presente che i marketplace restano fonte autonoma del dato: una correzione fatta solo su Opsboard può essere sovrascritta al successivo aggiornamento dell'ordine.
Diritto alla cancellazione (art. 17)
Il "diritto all'oblio" non è assoluto. Prima di cancellare, verifica se hai obblighi che ti impongono di conservare il dato: le fatture e i documenti contabili vanno conservati per i termini previsti dalla normativa fiscale, e in quel caso la richiesta di cancellazione va legittimamente respinta, spiegandone il motivo.
Quando la conservazione non è dovuta ma il documento non può essere eliminato, valuta l'anonimizzazione: sostituendo i dati identificativi con valori generici, l'informazione cessa di essere un dato personale e il documento resta utilizzabile a fini statistici e gestionali.
Limitazione della conservazione (art. 5)
I dati vanno conservati solo per il tempo necessario alle finalità per cui sono stati raccolti. Definisci per iscritto i tuoi tempi di conservazione di ordini, anagrafiche, comunicazioni. Un archivio che cresce all'infinito non è mai conforme.
Sicurezza del trattamento (art. 32)
Sul lato piattaforma la sicurezza è a nostro carico. Sul tuo lato restano gli aspetti che dipendono dalla tua organizzazione: assegnare a ogni collaboratore un account personale invece di credenziali condivise, limitare i permessi a ciò che serve al ruolo, revocare gli accessi quando qualcuno lascia l'azienda, custodire le credenziali dei marketplace.
Come prepararti: una traccia operativa
Se stai mettendo ordine nella tua conformità, questo è un percorso ragionevole.
- Mappa i tuoi trattamenti. Redigi il registro delle attività di trattamento (art. 30): per ogni trattamento indica quali dati raccogli, per quale finalità, su quale base giuridica, per quanto tempo li conservi, con quali misure li proteggi e quali fornitori sono coinvolti. È il documento da cui discendono tutti gli altri, e va tenuto aggiornato.
- Verifica le basi giuridiche. Ogni trattamento deve poggiare su una delle basi previste dall'art. 6: consenso, esecuzione di un contratto, obbligo legale, interesse legittimo. L'evasione di un ordine si fonda sul contratto; l'invio di newsletter promozionali richiede di norma il consenso.
- Pubblica un'informativa chiara. Deve spiegare in linguaggio comprensibile quali dati tratti, perché, per quanto tempo, con chi li condividi e quali diritti ha l'interessato. Richiamala ovunque raccogli dati.
- Formalizza i rapporti con i fornitori. Chiunque tratti dati per tuo conto — piattaforme, agenzie, consulenti, provider — deve essere nominato responsabile con un accordo scritto ai sensi dell'art. 28.
- Definisci come gestisci le richieste degli interessati. Hai un mese di tempo per rispondere, a titolo gratuito. Stabilisci in anticipo chi le riceve, come verifica l'identità del richiedente e come traccia la risposta.
- Prepara una procedura per le violazioni dei dati. In caso di data breach hai 72 ore per notificare al Garante dal momento in cui ne vieni a conoscenza. Improvvisare in quelle ore è il modo migliore per sbagliare: definisci prima chi fa cosa.
- Valuta se ti serve un DPO. Non è obbligatorio per tutti, ma la valutazione va comunque documentata.
Il nostro DPA
Il rapporto tra te e OPS Srls in qualità di responsabile è disciplinato dall'Accordo sul trattamento dei dati, che costituisce parte integrante del contratto di servizio. L'accordo contiene gli elementi richiesti dall'art. 28 del GDPR: oggetto e durata del trattamento, categorie di dati e di interessati, istruzioni del titolare, obblighi di riservatezza, misure di sicurezza, disciplina dei sub-responsabili, assistenza nell'esercizio dei diritti degli interessati, gestione delle violazioni e destino dei dati alla cessazione del servizio.
Se non hai ancora sottoscritto il DPA, o desideri riceverne copia, scrivici.
Aggiornamenti di questo documento
Aggiorniamo periodicamente questa pagina per riflettere modifiche ai servizi, all'infrastruttura o al quadro normativo. La data di ultimo aggiornamento è indicata in cima al documento. Le modifiche sostanziali al DPA sono comunicate ai clienti con preavviso.
Contatti
OPS S.r.l.s. Via Fratelli Quinto, 2 — 74013 Ginosa (TA), Italia P.IVA IT03050620735
Per qualsiasi domanda su questo documento, per richieste relative ai tuoi dati personali o per ricevere copia del DPA: info@opsboard.it