Accordo per il trattamento dei dati (DPA)

1. Parti

Titolare del trattamento (di seguito "Titolare"): il Comando / Ente Pubblico identificato in calce.

Responsabile del trattamento (di seguito "Responsabile"): Normus, P.IVA IT03074740998, erogatore della piattaforma Normus.

2. Oggetto, durata, natura e finalità del trattamento

• Oggetto: trattamento di dati personali per consentire al Titolare l'utilizzo delle funzionalità della piattaforma Normus.
• Durata: per tutta la durata del rapporto contrattuale e fino alla restituzione/cancellazione dei dati ai sensi della Sez. 9.
• Natura: archiviazione, consultazione, elaborazione, indicizzazione, generazione assistita da AI, esportazione su istanza del Titolare.
• Finalità: esercizio delle funzioni istituzionali del Titolare (polizia giudiziaria, accertamento illeciti, gestione pratiche).

3. Categorie di interessati e di dati

Interessati: personale autorizzato del Titolare; soggetti verbalizzati/sottoposti a indagini; testimoni; persone offese; corrispondenti in chat oggetto di analisi forense; richiedenti di servizi e atti.

Dati: dati identificativi e di contatto; estremi di documenti di identità; dati di posizione; dati di veicoli; contenuto di chat e conversazioni; immagini, audio, video; dati di natura particolare ex art. 9 GDPR (es. dati sanitari incidentali); dati relativi a condanne penali e reati ex art. 10 GDPR. Per questi ultimi si applicano le norme speciali in materia di trattamenti di polizia (D.Lgs. 51/2018).

4. Obblighi del Responsabile

Il Responsabile si impegna a:

• trattare i dati esclusivamente sulla base di istruzioni documentate del Titolare, anche in caso di trasferimento extra-SEE;
• garantire che i propri autorizzati al trattamento siano vincolati a obbligo di riservatezza e formati;
• adottare misure tecniche e organizzative adeguate ex art. 32 GDPR (cifratura at-rest e in-transit, pseudonimizzazione ove applicabile, gestione accessi su base ruolo, autenticazione forte 2FA per ruoli privilegiati, log degli accessi, backup cifrati con conservazione separata, vulnerability management);
• assistere il Titolare nell'evasione delle richieste degli interessati (artt. 15-22 GDPR);
• assistere il Titolare negli adempimenti di cui agli artt. 32-36 GDPR (data breach, DPIA, consultazione preventiva);
• notificare al Titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 24 ore dal momento in cui ne viene a conoscenza, fornendo le informazioni di cui all'art. 33 §3 GDPR;
• mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire audit con preavviso di 30 giorni.

5. Sub-responsabili

Il Titolare autorizza in via generale il ricorso a sub-responsabili per servizi di hosting, posta elettronica, modelli AI, manutenzione tecnica. Il Responsabile rende disponibile l'elenco aggiornato all'URL /dpa#sub e notifica con preavviso di 30 giorni eventuali modifiche, dando facoltà al Titolare di opporsi per motivi legittimi. Ai sub-responsabili sono imposti obblighi equivalenti.

Elenco sub-responsabili (aggiornato a luglio 2026):

• Hosting / VPS - fornitore IT con certificazione ACN AgID
• Email/PEC transazionale - provider IT
• Modelli AI per assistente e trascrizione - provider conforme GDPR
• CDN/asset statici - fornitore SEE

6. Trasferimenti extra-SEE

Il Responsabile non trasferisce dati al di fuori dello Spazio Economico Europeo, salvo che ciò sia previsto da Sub-responsabili di cui al §5, nel qual caso sono adottate Standard Contractual Clauses 2021/914/UE e misure supplementari ove applicabili.

7. Misure di sicurezza specifiche di Normus

• TLS 1.3 obbligatorio in produzione; HSTS attivo; security headers (CSP, X-Frame, Permissions-Policy).
• Autenticazione: hashing bcrypt cost 12; cookie httpOnly + secure + sameSite=lax; 2FA TOTP per ruoli admin.
• Trascrizione audio: elaborazione locale nel browser di default; modalità server attivabile solo con consenso esplicito dell'operatore.
• Analisi forense file: elaborazione interamente nel browser dell'operatore (chat, OCR, note vocali); nessun upload server dei media.
• Log applicativi: ritenzione 6 mesi; assenza di dati personali di dettaglio nei log a livello error.
• Backup giornalieri cifrati AES-256, conservazione 30 giorni.

8. Conservazione e cancellazione

Al termine del rapporto, il Responsabile a scelta del Titolare provvede a (a) restituire i dati in formato strutturato di uso comune (export ZIP) o (b) cancellarli definitivamente entro 30 giorni, salvo obblighi di legge in materia di conservazione.

9. Responsabilità

Ciascuna parte risponde dei propri inadempimenti. Nei limiti consentiti dalla legge, la responsabilità complessiva del Responsabile è limitata alla corresponsione annuale dovuta dal Titolare. Resta salvo l'art. 1229 c.c. per i casi di dolo o colpa grave.

10. Sottoscrizione

La presente DPA è efficace al momento della sottoscrizione, da rendersi preferibilmente con firma digitale qualificata (FEQ) o, in subordine, con firma elettronica avanzata. Le parti darannoà controfirma per accettazione.