Accordo per il trattamento dei dati (DPA)

1. Parti

Titolare del trattamento (di seguito "Titolare"): il Comando / Ente Pubblico identificato in calce.

Responsabile del trattamento (di seguito "Responsabile"): Valerio Notini, impresa individuale con sede in Via Emilio Salgari 34 nero, int. 22, 16156 Genova (GE), P.IVA IT03074740998, REA GE-531140, che eroga la piattaforma Normus.

2. Oggetto, durata, natura e finalità del trattamento

• Oggetto: trattamento di dati personali per consentire al Titolare l'utilizzo delle funzionalità della piattaforma Normus.
• Durata: per tutta la durata del rapporto contrattuale e fino alla restituzione/cancellazione dei dati ai sensi della Sez. 9.
• Natura: archiviazione, consultazione, elaborazione, indicizzazione, generazione assistita da AI, esportazione su istanza del Titolare.
• Finalità: esercizio delle funzioni istituzionali del Titolare (polizia giudiziaria, accertamento illeciti, gestione pratiche).

3. Categorie di interessati e di dati

Interessati: personale autorizzato del Titolare; soggetti verbalizzati/sottoposti a indagini; testimoni; persone offese; corrispondenti in chat oggetto di analisi forense; richiedenti di servizi e atti.

Dati: dati identificativi e di contatto; estremi di documenti di identità; dati di posizione; dati di veicoli; contenuto di chat e conversazioni; immagini, audio, video; dati di natura particolare ex art. 9 GDPR (es. dati sanitari incidentali); dati relativi a condanne penali e reati ex art. 10 GDPR. Per questi ultimi si applicano le norme speciali in materia di trattamenti di polizia (D.Lgs. 51/2018).

4. Obblighi del Responsabile

Il Responsabile si impegna a:

• trattare i dati esclusivamente sulla base di istruzioni documentate del Titolare, anche in caso di trasferimento extra-SEE;
• garantire che i propri autorizzati al trattamento siano vincolati a obbligo di riservatezza e formati;
• adottare misure tecniche e organizzative adeguate ex art. 32 GDPR (cifratura in transito e, a riposo, dei contenuti delle analisi forensi e dei segreti di autenticazione; pseudonimizzazione ove applicabile, gestione accessi su base ruolo, autenticazione forte 2FA per ruoli privilegiati, log degli accessi, backup cifrati con conservazione separata, vulnerability management);
• assistere il Titolare nell'evasione delle richieste degli interessati (artt. 15-22 GDPR);
• assistere il Titolare negli adempimenti di cui agli artt. 32-36 GDPR (data breach, DPIA, consultazione preventiva);
• notificare al Titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 24 ore dal momento in cui ne viene a conoscenza, fornendo le informazioni di cui all'art. 33 §3 GDPR;
• mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire audit con preavviso di 30 giorni.

5. Sub-responsabili

Il Titolare autorizza in via generale il ricorso a sub-responsabili per servizi di hosting, posta elettronica, modelli AI, manutenzione tecnica. Il Responsabile rende disponibile l'elenco aggiornato all'URL /dpa#sub e notifica con preavviso di 30 giorni eventuali modifiche, dando facoltà al Titolare di opporsi per motivi legittimi. Ai sub-responsabili sono imposti obblighi equivalenti.

Elenco sub-responsabili (aggiornato a ottobre 2026):

Non è impiegata alcuna rete di distribuzione dei contenuti: il server web eroga direttamente dalla macchina indicata sopra.

6. Trasferimenti extra-SEE

Server e database sono a Milano, in Italia, e i backup in Finlandia. Escono dallo Spazio Economico Europeo, e solo quando la relativa funzione viene usata: il testo inviato ai modelli linguistici, i dati di pagamento verso Stripe, LLC e le email di servizio consegnate tramite Postmark. Per questi fornitori i trasferimenti avvengono sulla base delle Standard Contractual Clauses 2021/914/UE e, dove il fornitore vi ha aderito, del quadro UE-Stati Uniti, con le misure supplementari applicabili.

Escono inoltre, senza un accordo con il Responsabile, i dati che alcuni servizi pubblici di terzi ricevono durante l'uso:

• verso OpenStreetMap (Regno Unito): dal browser dell'operatore, con il suo indirizzo IP, le tessere delle mappe e le ricerche e la posizione chieste dalla mappa dei comandi; dal server, le coordinate di un sinistro;
• verso Open-Meteo (Svizzera): le coordinate e la data di un sinistro;
• verso jsDelivr (Regno Unito): l'indirizzo IP del browser, che ne carica alcune librerie;
• verso l'NHTSA (Stati Uniti): il numero di telaio di un veicolo; verso i registri regionali di Internet, fra cui ARIN (Stati Uniti): gli indirizzi IP oggetto di accertamento;
• verso il servizio di notifiche del browser dell'operatore che le ha attivate, gestito da una società statunitense: le notifiche, cifrate.

Regno Unito e Svizzera sono coperti da una decisione di adeguatezza della Commissione europea.

Blocco predefinito sui dati forensi e giudiziari. L'elaborazione con AI di tali dati è disabilitata e si abilita solo attestando la configurazione di un modello conforme e coperto da accordo. Una volta abilitata, quei dati, compreso il testo di una trascrizione da rendere in italiano standard, vanno soltanto a un modello nell'Unione Europea o installato sull'infrastruttura del Responsabile, senza ripiego sui fornitori di modelli linguistici elencati nella Sez. 5; la trascrizione dell'audio avviene nel browser (Sez. 7). Il Titolare che non intenda autorizzare alcun trasferimento verso modelli linguistici lo indica in Sez. 1: in tal caso le funzioni assistite da AI restano disattivate per i suoi utenti.

Ai sensi dell'art. 31 del D.Lgs. 51/2018 i trasferimenti relativi ai trattamenti di polizia sono soggetti a condizioni ulteriori rispetto al Capo V GDPR: per i dati di cui alla Sez. 3 il Titolare valuta e autorizza espressamente, e in mancanza vale il blocco di cui sopra.

7. Misure di sicurezza specifiche di Normus

• TLS 1.3 obbligatorio in produzione; HSTS attivo; security headers (CSP, X-Frame, Permissions-Policy).
• Autenticazione: hashing bcrypt cost 12; cookie httpOnly + secure + sameSite=lax; 2FA TOTP per ruoli admin.
• Trascrizione audio: nel browser del dispositivo, senza invio dell'audio al server.
• Analisi forense dei file: l'export della chat si carica sul server, che lo elabora e ne conserva i testi cifrati; il file originale resta sul server, così com'è, finché l'analisi non viene cancellata.
• Registro degli accessi e delle attività (nella base dati): gli accessi - entrate, uscite, tentativi non riusciti, dinieghi - sono cancellati dopo sei mesi, e allo stesso termine l'indirizzo IP e il browser vengono rimossi da tutte le righe. Le righe che documentano un'operazione su un atto restano dieci anni (art. 2946 c.c.), private dei dati di connessione. Le scadenze sono applicate da un giro automatico giornaliero, non da una procedura manuale.
• Log tecnici dei container (diagnostica di sistema): non hanno un termine di conservazione, hanno un tetto di dimensione - 100 MB per il proxy, 50 MB per l'applicazione, 30 MB per gli altri servizi - oltre il quale la parte più vecchia viene sovrascritta. Al volume attuale il tetto del proxy corrisponde a circa due settimane, e il log dell'applicazione viene comunque azzerato a ogni rilascio. Restano sulla macchina che eroga il servizio, non sono trasmessi a terzi e non alimentano nessun sistema di analisi. Il registro degli accessi del proxy vi compare con l'indirizzo IP del chiamante; i messaggi dell'applicazione a livello error riportano il modulo e l'errore, non i dati trattati.
• Backup giornalieri cifrati con GPG e copiati in una seconda sede nell'UE. La copia in sede si conserva 14 giorni, quella fuori sede per ora non ha un termine di cancellazione.

8. Conservazione e cancellazione

Al termine del rapporto, il Responsabile a scelta del Titolare provvede a (a) restituire i dati in formato strutturato di uso comune (export ZIP) o (b) cancellarli definitivamente entro 30 giorni, salvo obblighi di legge in materia di conservazione.

9. Responsabilità

Ciascuna parte risponde dei propri inadempimenti. Nei limiti consentiti dalla legge, la responsabilità complessiva del Responsabile è limitata alla corresponsione annuale dovuta dal Titolare. Resta salvo l'art. 1229 c.c. per i casi di dolo o colpa grave.

10. Sottoscrizione

La presente DPA è efficace al momento della sottoscrizione, da rendersi preferibilmente con firma digitale qualificata (FEQ) o, in subordine, con firma elettronica avanzata. Le parti daranno controfirma per accettazione.