Informativa sul trattamento dei dati
Unposted pubblica sui social contenuti che riceve da altri sistemi. Questa pagina spiega quali dati passano dal servizio, perché, per quanto tempo restano e come farli cancellare. The full English version is at the bottom of the page.
Chi tratta i dati
Il titolare del trattamento è Untitled di Andrea Calegari, che sviluppa e gestisce Unposted. Per qualsiasi questione relativa ai dati, incluse le richieste di cancellazione, il riferimento è l'indirizzo qui sotto.
Untitled di Andrea Calegari
Via Esterna del Molino 3B, 24040 Stezzano (BG), Italia
P.IVA IT04928120163
info@andreacalegari.it · PEC
pec.andreacalegari@pec.it
Cosa fa Unposted
Unposted è un servizio di pubblicazione automatica su social, usato da aziende clienti. I contenuti non nascono qui: arrivano già pronti dal sistema del cliente (un gestionale, un CMS, un'app) attraverso un'API, e Unposted li pubblica sugli account che il cliente ha collegato: pagine Facebook, account Instagram Business, profili Threads, pagine LinkedIn, account TikTok, bacheche Pinterest, schede Google Business Profile, numeri WhatsApp Business.
Non c'è un editor, non c'è una redazione, non c'è un pubblico di utenti finali che si registra. Chi usa Unposted è l'azienda proprietaria degli account social, e i dati che passano dal servizio sono i suoi contenuti e le sue credenziali di pubblicazione.
Dati trattati
Questo è l'elenco completo di ciò che il servizio memorizza. Non ci sono altre raccolte: niente cookie di profilazione, niente analytics di terze parti, niente tracciamento.
| Dato | Perché serve | Quanto resta |
|---|---|---|
| Anagrafica del cliente | Nome dell'azienda, identificativo tecnico, nome del referente e note operative: servono a distinguere i clienti e a sapere chi contattare. | Finché il rapporto è attivo |
| Token di accesso alle piattaforme | Rilasciati dalla piattaforma quando il cliente collega un account. Sono l'autorizzazione a pubblicare per suo conto: senza, il servizio non può fare nulla. Dove la piattaforma lo prevede conserviamo anche il token che permette di rinnovarli prima della scadenza, insieme alla data di scadenza. | Finché il collegamento resta attivo |
| Identificativi degli account collegati | Id e nome della pagina, dell'account, della bacheca o della scheda su cui pubblicare (Facebook, Instagram, Threads, LinkedIn, TikTok, Pinterest, Google Business Profile) e l'id del numero WhatsApp Business: servono a sapere dove pubblicare. | Finché il collegamento resta attivo |
| Contenuti da pubblicare | Testo del post, indirizzo dell'immagine, del video o del documento (o degli indirizzi, per i caroselli), data di programmazione, eventuali opzioni valide per una sola piattaforma (per esempio la copertina di un reel), identificativo assegnato dal sistema che li invia. I file non vengono salvati: di norma la piattaforma li preleva direttamente dall'indirizzo indicato, e per LinkedIn il servizio li scarica e li inoltra senza conservarne copia. | Fino a cancellazione richiesta |
| Esiti della pubblicazione | Stato per ogni piattaforma, numero di tentativi, messaggio di errore, identificativo del post creato e cronologia delle operazioni sul post (ricevuto, modificato, pubblicato, fallito): è ciò che permette di capire cosa è andato storto e di riprovare. | Fino a cancellazione richiesta |
| Chiavi API | Autenticano il sistema del cliente. Sul database non c'è la chiave, ma solo la sua impronta crittografica: nemmeno noi possiamo rileggerla. | Finché la chiave non viene revocata |
| Utenze del pannello | Nome ed email di chi accede al pannello di supervisione. | Finché l'utenza è attiva |
| Destinatari WhatsApp | Solo se il cliente usa WhatsApp: i numeri di telefono a cui inviare i messaggi, forniti dal cliente. | Finché il collegamento resta attivo |
| Registro delle esecuzioni | Data dell'ultimo e del penultimo ciclo di pubblicazione e un riepilogo numerico, per verificare che il servizio stia girando. Ogni ciclo sovrascrive il precedente. | Sovrascritto a ogni ciclo |
| Log tecnici | Le risposte delle piattaforme alle chiamate di pubblicazione, con i token mascherati, e gli avvisi email che riceviamo quando una pubblicazione fallisce (numero del post, piattaforma, errore). | 2 mesi per i log, fino a cancellazione per gli avvisi |
Se un cliente usa Unposted per inviare messaggi WhatsApp, l'elenco dei numeri destinatari è fornito dal cliente stesso, che ne è responsabile e deve averne raccolto il consenso. Unposted li conserva solo per recapitare i messaggi che il cliente gli chiede di inviare.
Cosa non raccogliamo
Il punto è importante quanto l'elenco precedente, quindi lo diciamo per esteso. Unposted scrive sulle piattaforme social, non le legge.
- Nessun dato dei follower, dei fan o dei visitatori delle pagine collegate.
- Nessun commento, messaggio diretto o conversazione.
- Nessuna statistica o insight riferibile a singole persone.
- Nessuna lista di contatti importata dalle piattaforme.
- Nessuna profilazione, nessuna pubblicità, nessuna cessione o vendita di dati a terzi.
I permessi richiesti alle piattaforme sono limitati a questo scopo: elencare le pagine, gli account, le bacheche o le schede su cui l'utente può pubblicare, con il loro nome, pubblicare contenuti su di essi e leggere l'esito della pubblicazione. Su LinkedIn, attraverso l'app Unposted e la Community Management API, il servizio legge solo l'elenco delle pagine aziendali di cui l'utente è amministratore e il loro nome, carica immagini e documenti dei post e li pubblica: non legge post, commenti, follower o statistiche delle pagine. Nient'altro.
Perché possiamo trattarli
Il trattamento si fonda sull'esecuzione del contratto con il cliente (art. 6.1.b GDPR): senza questi dati il servizio che ci ha chiesto non è tecnicamente possibile. Il registro delle esecuzioni e i dati di sicurezza si fondano sul legittimo interesse (art. 6.1.f) a mantenere il servizio funzionante e a individuare gli abusi.
Il collegamento di un account social avviene sempre con un'autorizzazione esplicita data dall'amministratore di quell'account attraverso la procedura ufficiale della piattaforma, ed è revocabile in ogni momento.
Chi li vede e a chi arrivano
Dentro Unposted i dati li vedono soltanto le persone di Untitled abilitate al pannello di supervisione, che serve a controllare le pubblicazioni e a risolvere gli errori. Il cliente, con la propria chiave API, vede solo i propri post e i loro esiti. I token non li vede nessuno: non compaiono né nel pannello né nelle risposte dell'API.
I contenuti che il cliente affida a Unposted vengono inviati, per definizione, alle piattaforme social su cui ha chiesto di pubblicare: Meta (Facebook, Instagram, Threads, WhatsApp Business), LinkedIn, TikTok, Pinterest e Google (Business Profile). Da quel momento valgono anche le condizioni e le informative di quelle piattaforme.
L'infrastruttura è ospitata presso un fornitore di hosting professionale nello Spazio economico europeo, che agisce come responsabile del trattamento. Non ci sono altri destinatari: nessun servizio di analytics, nessuna rete pubblicitaria, nessun trasferimento a soggetti diversi da quelli indicati.
Come sono protetti
- I token sono cifrati sul database con AES-256-CBC. Non compaiono mai nelle risposte dell'API né nelle pagine del pannello, che mostrano soltanto se un account risulta collegato.
- Le chiavi API sono conservate come impronta SHA-256. La chiave in chiaro è visibile una sola volta, al momento in cui viene generata.
- Ogni lettura e scrittura è confinata al cliente a cui appartiene la chiave usata: un cliente non può vedere né toccare i dati di un altro.
- Tutto il traffico viaggia su HTTPS, sia verso l'API sia verso le piattaforme social.
Per quanto restano
I tempi puntuali sono nella tabella qui sopra. In generale i dati restano per il tempo in cui il cliente usa il servizio, e vengono rimossi quando il rapporto finisce o quando la cancellazione viene richiesta.
Le richieste rimaste incomplete per un errore tecnico vengono eliminate automaticamente dopo sette giorni. Quando un account social viene scollegato dal pannello, i suoi token vengono cancellati subito e nessuna pubblicazione può più partire su quell'account.
Un post già pubblicato vive sulla piattaforma, non qui: cancellarlo da Unposted non lo rimuove da Facebook o Instagram. Per farlo sparire davvero va eliminato dalla piattaforma su cui è uscito.
Come revocare l'accesso
L'autorizzazione a pubblicare si può togliere in ogni momento, senza passare da noi, dalle impostazioni della piattaforma social. Da quel momento Unposted non può più pubblicare su quell'account.
- Facebook e Instagram: sul profilo Facebook apri Impostazioni e privacy → Impostazioni → App e siti web, trova Unposted e scegli Rimuovi. Vale anche per gli account Instagram collegati alle pagine.
- LinkedIn: apri Impostazioni e privacy → Privacy dei dati → Altre applicazioni → Servizi consentiti, trova Unposted e scegli Rimuovi.
- TikTok, Pinterest e Threads: nelle impostazioni di sicurezza o privacy dell'account c'è l'elenco delle app autorizzate, dove si rimuove Unposted. Google: la pagina è myaccount.google.com/permissions.
- Per qualsiasi piattaforma, WhatsApp compreso: scrivici a info@andreacalegari.it e scolleghiamo l'account, cancellandone i token.
Revocare l'accesso ferma le pubblicazioni ma non cancella lo storico. Per cancellare anche quello c'è la procedura di cancellazione dei dati.
I tuoi diritti
Chi è interessato dal trattamento può in ogni momento chiedere accesso ai propri dati, la loro rettifica o cancellazione, la limitazione del trattamento, la portabilità, e opporsi al trattamento fondato sul legittimo interesse (artt. 15-22 GDPR).
Le richieste vanno inviate a info@andreacalegari.it e ricevono risposta entro 30 giorni. Per la sola cancellazione dei dati c'è una procedura dedicata che spiega anche come revocare l'accesso direttamente dalle impostazioni di ogni piattaforma.
Resta sempre possibile presentare reclamo al Garante per la protezione dei dati personali.
Modifiche
Se il servizio cambia in modo da incidere su questa informativa, la pagina viene aggiornata e la data in alto lo riflette. Le modifiche sostanziali vengono comunicate ai clienti collegati.
Privacy policy in English
This is the English version of the policy above. If the two ever differ, the Italian text prevails.
Who we are
The data controller is Untitled di Andrea Calegari, Via Esterna del Molino 3B, 24040 Stezzano (BG), Italy, VAT IT04928120163, which develops and runs Unposted. Contact: info@andreacalegari.it.
What Unposted does
Unposted is an automated social publishing service for business clients. Content is created by the client's own systems and sent to Unposted through an API; Unposted publishes it, immediately or at the scheduled time, to the accounts the client has connected: Facebook Pages, Instagram Business accounts, Threads profiles, LinkedIn Pages, TikTok accounts, Pinterest boards, Google Business Profile listings, WhatsApp Business numbers. There is no editor and no end-user sign-up.
Data we store
- Client business details: company name, technical identifier, contact person, operational notes.
- Access tokens issued by the platform when the client connects an account, plus, where the platform provides one, the token used to renew them and its expiry date. All tokens are encrypted at rest with AES-256-CBC.
- Identifiers and names of the connected Pages, accounts, boards and listings, and of WhatsApp phone numbers.
- Content to publish: post text, URLs of images, videos or documents, scheduled date, optional platform-specific settings (such as a reel cover), the identifier assigned by the sending system. Media files are not stored: usually the platform fetches them from the given URL; for LinkedIn the service downloads and forwards them without keeping a copy.
- Publishing outcomes: status per platform, attempts, error messages, the ID of the post created, and a history of operations on each post.
- WhatsApp recipients, only if the client uses WhatsApp: phone numbers supplied by the client, who is responsible for having collected their consent.
- API keys, stored only as SHA-256 hashes; panel users' name and email.
- Technical logs of platform responses, with tokens masked, kept for 2 months; email alerts we receive when a publication fails.
What we do not collect
Unposted writes to social platforms, it does not read them. We do not access follower, fan or visitor data, comments, direct messages, person-level insights or contact lists. Data is used only to publish and schedule the posts the client sends: never for advertising, profiling, or any other purpose, and it is never sold or shared with third parties. Platform permissions are limited to listing the Pages, accounts, boards or listings the user can publish to, with their names, publishing to them and reading the result. On LinkedIn, through the Unposted app and the Community Management API, the service only reads the list of company Pages the user administers and their names, uploads post images and documents, and publishes posts: it does not read posts, comments, followers or analytics of those Pages.
Legal basis
Performance of the contract with the client (Art. 6(1)(b) GDPR); for logs and security, our legitimate interest in keeping the service running and detecting abuse (Art. 6(1)(f)). Every account is connected through the platform's official authorization flow by an administrator of that account.
Who can see the data
Only Untitled staff authorized to use the supervision panel. Each client, through its API key, sees only its own posts and their outcomes, and can never access another client's data. Tokens are never shown in the panel or returned by the API. Content is sent to the platforms the client chose (Meta, LinkedIn, TikTok, Pinterest, Google), whose own terms then apply. The service is hosted by a professional hosting provider in the European Economic Area, acting as data processor.
Retention
Data is kept while the client uses the service and deleted when the relationship ends or upon request. Incomplete requests are deleted automatically after seven days. When an account is disconnected from the panel, its tokens are erased immediately. A post already published lives on the platform: deleting it from Unposted does not remove it from the platform where it was published.
Revoking access
- Facebook and Instagram: Settings & privacy → Settings → Apps and websites, find Unposted and choose Remove.
- LinkedIn: Settings & Privacy → Data privacy → Other applications → Permitted services, find Unposted and choose Remove.
- TikTok, Pinterest and Threads: remove Unposted from the list of authorized apps in the account's security or privacy settings. Google: myaccount.google.com/permissions.
- Any platform, WhatsApp included: write to info@andreacalegari.it and we disconnect the account and erase its tokens.
Your rights
You can ask for access, rectification, erasure, restriction, portability, or object to processing (Arts. 15-22 GDPR) by writing to info@andreacalegari.it; we reply within 30 days. See also the data deletion instructions. You can lodge a complaint with the Italian Data Protection Authority (Garante per la protezione dei dati personali).