Informativa Privacy

1. Titolare del trattamento

Valerio Notini, impresa individuale che eroga Normus, con sede in Via Emilio Salgari 34 nero, int. 22, 16156 Genova (GE), P.IVA IT03074740998, iscritta al Registro delle Imprese di Genova al n. REA GE-531140.

Contatto privacy: privacy@normus.it.

2. Titolare e responsabile del trattamento

Per i Corpi/Comandi pubblici clienti il Titolare del trattamento è la stessa Amministrazione. Valerio Notini opera come Responsabile del trattamento ex art. 28 GDPR sulla base di apposito atto di nomina (DPA). Per le richieste che riguardano i dati trattati tramite Normus: privacy@normus.it.

Il Responsabile della protezione dei dati (DPO, art. 37 GDPR) è quello della propria Amministrazione, che è il Titolare: è a lui che ci si rivolge per l'esercizio dei diritti sui dati di servizio. I suoi contatti sono pubblicati sul sito istituzionale dell'ente.

3. Dati trattati e finalità

4. Periodo di conservazione

• Documento di verifica: eliminato dai server nel momento in cui la richiesta viene approvata, respinta o rimandata indietro per un nuovo caricamento. Non esiste un archivio dei documenti di identità.
• Sessione di accesso: si chiude comunque dopo 12 ore dall'accesso. Prima, se non la usi per il tempo che scegli (da 5 a 30 minuti), si blocca: resta aperta, ma per continuare servono la password o il PIN di sblocco. Finché l'account non è approvato, invece, 30 minuti di inattività la chiudono. La riga che la teneva aperta viene poi rimossa dal sistema alla prima pulizia notturna. Un accesso da un altro dispositivo, o cinque tentativi di sblocco sbagliati, chiudono la sessione aperta: l'avviso che lo spiega resta disponibile per 12 ore.
• Dispositivi riconosciuti: finché li usi. Vengono cancellati dopo sei mesi senza accessi, o sei mesi dopo che li hai tolti dall'elenco del tuo profilo, e comunque con la cancellazione dell'account. Il codice di verifica per un dispositivo nuovo vale 15 minuti e viene cancellato il giorno dopo.
• Verbali e dati correlati: 5 anni dalla definizione del procedimento (art. 28 L. 689/1981) o termine maggiore se imposto dal Comando, che di quei dati è Titolare.
• Notifiche PEC: 5 anni, con i messaggi e le ricevute di consegna.
• Accessi: entrate, uscite, tentativi non riusciti e accessi negati vengono cancellati dopo sei mesi, insieme all'indirizzo IP e al browser con cui sono avvenuti.
• Registro delle attività: documenta chi ha fatto cosa e quando, per esempio chi ha chiuso un verbale o chi ha esportato un fascicolo. Resta anche dopo la chiusura dell'account, perché è la prova dell'attività svolta sulla piattaforma, e ogni riga viene cancellata dieci anni dopo l'operazione che documenta: è il termine ordinario di prescrizione (art. 2946 c.c.), cioè il tempo entro cui quella prova può ancora servire. L'indirizzo IP e il browser vengono però rimossi da queste righe dopo sei mesi: a dire chi ha agito bastano il nome e l'indirizzo email, e il dato di rete oltre quel termine non si conserva. Le altre informazioni dell'account vengono rimosse con la cancellazione.
• Memoria dei periodi di prova già concessi: sopravvive alla cancellazione dell'account, altrimenti basterebbe cancellarsi e riscriversi per ottenere una seconda prova. Non contiene i dati dell'account: solo l'indicazione che una prova era stata concessa.
• Fatture e documenti contabili: dieci anni dall'emissione (art. 2220 c.c.). Restano anche dopo la cancellazione dell'account, perché è un obbligo di legge e non una scelta.
• Log tecnici del sistema: le macchine che erogano il servizio scrivono un registro di diagnostica, e il registro delle richieste web vi compare con l'indirizzo IP di chi le ha fatte. Non hanno un termine di conservazione: hanno un limite di dimensione, oltre il quale la parte più vecchia viene sovrascritta dalla più recente, e al volume attuale la finestra è di poche settimane. Restano sulla macchina, non vengono trasmessi a terzi e non alimentano alcun sistema di analisi o di profilazione. I limiti esatti sono nella sez. 7 dell'accordo per il trattamento dei dati.
• Copie di sicurezza: ogni notte il database viene copiato e cifrato. Sul server restano le copie degli ultimi 14 giorni. La copia fuori sede, presso lo stesso fornitore, per ora non ha un termine di cancellazione: un dato cancellato dalla piattaforma resta nelle copie fatte prima della sua cancellazione.

5. Destinatari

Dentro l'organizzazione. I dati sono accessibili agli agenti del Comando di appartenenza e all'Admin di Corpo. Vi accedono inoltre gli amministratori della piattaforma, per la sola assistenza e sicurezza, con secondo fattore obbligatorio e ogni accesso registrato.

Fornitori che trattano dati per nostro conto (responsabili ex art. 28 GDPR, ciascuno con il proprio accordo):

• Fornitore del server: da indicare: server applicativo e database, in un data center a Milano (Italia). Database e file caricati sono conservati solo su questo server.
• Hetzner Online GmbH: la copia di sicurezza fuori sede, cifrata prima di lasciare il server, in Finlandia.
• Stripe Payments Europe Ltd (Irlanda), con Stripe, LLC (Stati Uniti): incasso dell'abbonamento. I dati della carta non passano dai nostri server e non li conserviamo.
• Postmark (AC PM LLC, Stati Uniti): invio delle email di servizio, come la conferma dell'indirizzo e la reimpostazione della password.
• Google: ricezione della posta indirizzata alle nostre caselle, quindi anche dei messaggi che ci scrivi tu.
• I fornitori dei modelli linguistici elencati qui sotto.

Per obbligo di legge. L'Agenzia delle Entrate riceve, attraverso il Sistema di Interscambio, la fattura elettronica di ogni pagamento. La fattura la genera Normus, e oggi la carichiamo noi sul portale dell'Agenzia: nessun intermediario la tratta per nostro conto.

Servizi pubblici di terzi raggiunti durante l'uso. Non trattano dati per nostro conto e non hanno un accordo con noi: ricevono ciò che serve alla richiesta e lo trattano secondo le proprie regole.

• jsDelivr (Volentio JSD Limited, Regno Unito): alcune funzioni che lavorano nel browser (mappe, lettura di PDF e documenti, riconoscimento del testo nelle immagini, video e foto) scaricano da questa rete le librerie di codice. Riceve l'indirizzo IP del browser e i dati tecnici della richiesta. I file su cui la funzione lavora non gli arrivano.
• OpenStreetMap Foundation (Regno Unito): le mappe caricano le tessere dai suoi server, che ricevono così l'indirizzo IP del browser e la zona visualizzata. Nella mappa dei comandi il browser le manda anche il testo cercato e, se usi «Vicino a me», la tua posizione. Dal nostro server riceve le coordinate di un sinistro, per ricavarne l'indirizzo. I server pubblici Overpass, che distribuiscono gli stessi dati, ricevono dal nostro server la zona cercata sulla mappa dei comandi.
• Open-Meteo (OpenMeteo GmbH, Svizzera): riceve dal nostro server le coordinate e la data di un sinistro, per restituirne il meteo.
• Il servizio di notifiche del tuo browser (Google, Mozilla, Apple o Microsoft), solo se attivi le notifiche dal profilo: riceve l'identificativo del dispositivo e i messaggi, cifrati in modo che non possa leggerli.
• NHTSA (National Highway Traffic Safety Administration, Stati Uniti): riceve dal nostro server il numero di telaio di un veicolo, quando chi usa il servizio chiede di decodificarlo con il catalogo vPIC.
• VIES, il servizio della Commissione europea per le partite IVA: riceve dal nostro server la partita IVA di cui chi usa il servizio chiede il controllo.
• rdap.org e i registri regionali degli indirizzi IP: per verificare un indirizzo IP o un nome di dominio, il nostro server lo manda a rdap.org. Per un indirizzo IP, rdap.org indica il registro regionale che lo gestisce, e il nostro server manda l'indirizzo a quel registro: uno fra ARIN (Stati Uniti), RIPE NCC (Paesi Bassi), APNIC (Australia), LACNIC (Uruguay) e AFRINIC (Mauritius). Lo stesso indirizzo IP va poi a RIPEstat, il servizio di statistiche del RIPE NCC.

Il telaio, la partita IVA, l'indirizzo IP e il dominio che si verificano riguardano di solito una persona diversa da chi usa il servizio: il proprietario di un veicolo, il titolare di una partita IVA, chi usa una connessione o ha registrato un dominio.

5b. Modelli linguistici

L'assistente normativo manda a un modello linguistico di terze parti la domanda che scrivi (da 3 a 2.000 caratteri) e, se è il seguito di una domanda precedente, fino a tre turni precedenti della stessa conversazione: le domande e i primi 600 caratteri di ogni risposta. Con la domanda partono gli estratti degli articoli di legge trovati nella nostra banca dati. Il fornitore attivo è Google (Gemini), con ripiego automatico su Groq quando Google non risponde. Con la ricerca web accesa, il modello di Google può trasformare la domanda in ricerche su Google per citarne le fonti.

Prima dell'invio la domanda e i turni precedenti vengono controllati: se contengono un codice fiscale, una partita IVA, un IBAN, un numero di carta, un IMEI, una targa, un numero di telefono, un indirizzo email, un profilo social, un indirizzo IP, un portafoglio di criptovalute o un numero di telaio, la richiesta non parte e ti viene chiesto di riscriverla. Nomi, cognomi e indirizzi non si riconoscono in automatico: non vanno scritti.

L'arricchimento degli articoli manda agli stessi fornitori il testo di articoli di legge, per prepararne una scheda: nessun dato di chi usa il servizio. Nel software sono predisposti anche Anthropic e GitHub Models, oggi non attivi. Sono tutti a controllo statunitense.

Cosa non passa di lì. La trascrizione vocale si fa nel browser: l'audio non esce dal dispositivo. L'elaborazione con AI di dati forensi e giudiziari, compresa l'analisi delle chat e la resa in italiano standard di una trascrizione in dialetto, è bloccata per impostazione predefinita e si sblocca solo dichiarando di aver configurato un modello conforme e coperto da accordo sul trattamento. Il blocco non riguarda l'assistente normativo né l'arricchimento degli articoli, descritti sopra.

Il percorso separato per i dati di polizia giudiziaria. Quando quel blocco viene sbloccato, le funzioni che trattano atti, denunce, analisi delle chat e la resa in italiano standard di una trascrizione non usano i fornitori qui sopra: hanno una configurazione propria che accetta soltanto un modello nell'Unione Europea, presso Mistral AI, Scaleway o OVHcloud (Francia), oppure un modello installato sull'infrastruttura di Normus, e nessun ripiego verso gli altri. Nella riscrittura dell'annotazione di un intervento, prima dell'invio codici fiscali, targhe, numeri di telefono, indirizzi email, IBAN e i nominativi degli operanti sono sostituiti da segnaposto, e i valori originali vengono rimessi solo sul nostro server, al ritorno. Il testo di una denuncia, i messaggi di una chat e il testo di una trascrizione partono invece come sono, nomi compresi. Il testo prodotto è una proposta: diventa parte di un atto solo quando un operatore la legge e la accetta.

Gli allegati all'assistente. Se la funzione è attivata, a una domanda all'assistente si possono allegare foto, video, vocali e documenti. Seguono solo il percorso europeo descritto sopra, mai i fornitori extra-UE. Il file originale resta sul dispositivo di chi lo carica: partono le foto ridotte e prive dei metadati (compresa la posizione GPS), alcuni fotogrammi dei video, il testo dei documenti e la trascrizione dei vocali e, se chi carica lo chiede, dell'audio dei video, fatta sul dispositivo stesso: l'audio non esce. Gli allegati non vengono conservati sui nostri server, e nel testo gli identificativi sono sostituiti da segnaposto come sopra. Nelle immagini questo non è possibile: per questo la funzione ha un'attivazione separata.

I risultati generati vanno sempre verificati sulle fonti ufficiali: i limiti e le responsabilità sono nell'art. 8 dei Termini di servizio.

5c. Trasferimenti fuori dall'Unione Europea

Server e database sono a Milano, in Italia, e la copia di sicurezza in Finlandia. Escono dall'Unione Europea, e solo quando la relativa funzione viene usata:

• il testo inviato ai modelli linguistici (Stati Uniti). Per Google vale l'adesione di Google LLC al quadro UE-Stati Uniti per la protezione dei dati. Per Groq valgono le clausole contrattuali standard della Commissione europea, che il suo accordo sul trattamento dei dati incorpora;
• i dati di pagamento verso Stripe, LLC (Stati Uniti), sulla base delle clausole contrattuali standard della Commissione europea e dell'adesione di Stripe al quadro UE-Stati Uniti;
• le email di servizio che ti inviamo, consegnate tramite Postmark (Stati Uniti): contengono il tuo indirizzo e il testo del messaggio. Valgono l'adesione di AC PM LLC, la società che gestisce Postmark, al quadro UE-Stati Uniti e le clausole contrattuali standard del suo accordo sul trattamento dei dati;
• le notifiche, se le attivi: il servizio di notifiche del tuo browser, gestito da una società statunitense, riceve l'identificativo del dispositivo e i messaggi, cifrati;
• verso jsDelivr e OpenStreetMap, l'indirizzo IP del browser e gli altri dati descritti nella sez. 5: i due gestori hanno sede nel Regno Unito, per cui vale una decisione di adeguatezza della Commissione europea, e consegnano i file attraverso reti di server in più paesi;
• le coordinate e la data di un sinistro verso Open-Meteo, in Svizzera, anch'essa coperta da una decisione di adeguatezza;
• i dati delle verifiche su registri pubblici descritte nella sez. 5, quando chi usa il servizio le chiede: il numero di telaio di un veicolo verso la NHTSA (Stati Uniti), e l'indirizzo IP verificato verso il registro regionale che lo gestisce, quando è ARIN (Stati Uniti), APNIC (Australia), LACNIC (Uruguay) o AFRINIC (Mauritius).

Per i Comandi ed Enti che affidano a Normus dati di cui sono Titolari, le garanzie e l'elenco dei sub-responsabili sono nella sez. 5 dell'accordo per il trattamento dei dati, che il Titolare sottoscrive e può contestare.

7. Sicurezza

• Connessioni cifrate (TLS), con certificati rinnovati automaticamente.
• Password conservate come hash bcrypt, fattore di costo 12.
• Secondo fattore (TOTP) obbligatorio per gli amministratori di piattaforma e di Corpo: senza, il pannello di amministrazione non si apre.
• Backup giornalieri del database cifrati con GPG, con una copia fuori sede. Quanto si conservano è scritto nella sez. 4.
• Registro degli accessi con indirizzo IP e browser utilizzato, conservato sei mesi.
• Valutazione d'impatto (DPIA) disponibile su richiesta del Titolare.

8. Documenti collegati

• Cookie policy
• Termini di servizio - condizioni d'uso e limitazioni di responsabilità sui contenuti generati da AI.
• Accordo per il trattamento dati (DPA) - nomina di Valerio Notini a Responsabile ex art. 28 GDPR per i Comandi/Enti clienti.

9. Modifiche

Eventuali modifiche saranno pubblicate su questa pagina con la data di entrata in vigore. Ultima revisione: 29 settembre 2026.