Privacy e trattamento dei dati.

Egeria può trattare dati dell’account verificato, contenuto della segnalazione, luogo e data, categoria, stato della pratica, coordinate inserite o acquisite su comando, allegati scelti dall’utente, messaggi collegati e dati tecnici strettamente necessari a sicurezza, prevenzione degli abusi e continuità del servizio.

Non sono richiesti dati sanitari, informazioni su minori o altre categorie particolari di dati personali. Non inserirli se non sono strettamente necessari alla segnalazione. Anche negli allegati evita volti, targhe, conversazioni, documenti personali o altri elementi identificativi quando non servono a comprendere il fatto segnalato.

I servizi operativi di Egeria sono riservati ai profili autorizzati, compresi gli Osservatori Civici e, quando la specializzazione è stata attribuita, le Vedette Antincendio, che possiedono lo stato e il permesso operativo richiesti. IDRA gestisce l’account e la verifica del recapito, ma non attribuisce automaticamente il ruolo O.C.; la domanda, la formazione e le autorizzazioni restano separate. Le pagine e i contenuti destinati alla consultazione pubblica restano accessibili secondo le regole del Portale.

Ai profili operativi abilitati, come gli Osservatori Civici e le Vedette Antincendio, IDRA assegna un codice pubblico operatore separato dal codice O.C. interno e dai dati usati per accesso o recupero dell’identità. Il codice pubblico è un dato pseudonimizzato, non anonimo: il titolare può ricondurlo all’account attraverso informazioni conservate separatamente e accessibili solo ai soggetti autorizzati.

I dati sono trattati per ricevere e gestire la segnalazione richiesta dall’utente, verificarne gli elementi, mantenere la cronologia, prevenire abusi, documentare le attività svolte e, quando necessario, predisporre un successivo atto o una comunicazione verso soggetti competenti.

La base giuridica viene individuata in relazione alla singola finalità e può comprendere l’esecuzione del servizio richiesto, l’adempimento di obblighi applicabili e il legittimo interesse del titolare alla sicurezza, alla gestione e alla documentazione delle proprie attività. Il consenso è utilizzato soltanto per funzioni facoltative per le quali sia effettivamente richiesto. La presa visione dell’informativa non costituisce un consenso generale.

La ricezione di una segnalazione non prova la veridicità dei fatti, non attribuisce responsabilità e non sostituisce le verifiche tecniche o amministrative eventualmente necessarie.

I dati sono accessibili soltanto ai soggetti autorizzati in base al ruolo e, quando necessario, ai fornitori tecnici che supportano il servizio o ad altri destinatari ai quali la comunicazione sia necessaria o prevista dalla legge. Le segnalazioni non diventano pubbliche automaticamente.

La visualizzazione in SIBILLA DSS, nella Sala Operativa H24, nelle aree operative o nelle mappe pubbliche segue permessi distinti. La pubblicazione di un marker o di contenuti collegati richiede una decisione separata e deve applicare minimizzazione e, quando opportuno, anonimizzazione o pseudonimizzazione.

Per ogni segnalazione inviata da un profilo dotato di codice pubblico operatore, Egeria richiede una scelta esplicita e senza preselezione: mostrare il codice oppure non mostrare alcun identificativo dell’operatore. Senza una scelta l’invio non prosegue; scegliere di non comparire non impedisce l’invio. La scelta non rende automaticamente pubblica la segnalazione e non autorizza la pubblicazione di nome, email, telefono, account IDRA o codice O.C. interno.

Se viene scelto di mostrare il codice, esso può comparire soltanto nei contenuti che superano la separata verifica di pubblicazione o nelle comunicazioni esterne predisposte nell’istruttoria. Una pubblica amministrazione può citare il codice Egeria e, se presente, il codice pubblico operatore per chiedere chiarimenti al CNSBII. L’eventuale comunicazione di ulteriori dati identificativi resta soggetta a una base giuridica, alla necessità del caso e ai permessi interni; non avviene automaticamente.

All’invio Egeria assegna un codice di ricezione univoco. Il codice serve a identificare la segnalazione e non è il protocollo informatico di una pubblica amministrazione, non certifica la fondatezza del contenuto e non equivale all’avvenuta presentazione di un esposto, denuncia o istanza a un ente pubblico.

Quando un operatore autorizzato prende in carico la segnalazione, i dati necessari possono essere trasferiti a SIBILLA DSS e alla Sala Operativa H24 per classificazione, verifica territoriale e istruttoria. Insieme alla segnalazione viaggia anche la preferenza di attribuzione, così le viste ridotte non espongono il codice quando l’utente ha scelto di non comparire. Le viste interne in chiaro restano riservate ai ruoli autorizzati. La presa in carico può generare una registrazione in Entrata nel registro documentale generale GIANO. GIANO è un sistema interno di registrazione, classificazione e fascicolazione del CNSBII e del soggetto gestore.

Per le segnalazioni pertinenti a incendi boschivi, incendi di rifiuti o fumi/combustioni anomale, Egeria alimenta inoltre il bridge interno verso ARDEA Fire analisi. ARDEA riceve soltanto i dati necessari alla correlazione: codice pseudonimo della segnalazione, categoria e sottocategoria, stato e priorità, data/ora, coordinate, luogo, un estratto descrittivo limitato, modalità/fonte dell’osservazione, indicatori di qualità, numero e tipologia degli allegati e accuratezza della posizione quando disponibile. Nome, email, telefono, account IDRA e file originali non vengono trasferiti ad ARDEA. Le segnalazioni non pubbliche possono essere usate internamente per la correlazione; la mappa pubblica ARDEA mostra soltanto i record esplicitamente autorizzati alla pubblicazione e con la precisione geografica prevista.

Al termine dell’invio Egeria può inviare all’indirizzo email verificato una ricevuta di servizio con codice Egeria, data, ambito, categoria, luogo indicato e collegamenti allo Storico e alla ricevuta personale. Se la pratica viene registrata in GIANO può essere inviata una successiva comunicazione di presa in carico con il riferimento documentale interno. Quando gli avvisi agli operatori sono attivati, i destinatari autorizzati configurati dal titolare possono ricevere via email codice, categoria, luogo, priorità e data della nuova segnalazione; il messaggio non include automaticamente i recapiti del segnalante.

Gli allegati acquisiti vengono mantenuti nel deposito originario e, quando entrano nel fascicolo, possono essere copiati nel deposito documentale GIANO. L’impronta SHA-256 viene utilizzata per verificare che una copia non sia cambiata durante il trasferimento. L’impronta non certifica, da sola, l’autenticità, la provenienza o la veridicità del contenuto.

La posizione non viene acquisita automaticamente all’apertura del servizio. È richiesta dal browser soltanto quando l’utente attiva la funzione e può essere sostituita con una descrizione manuale. Quando il servizio consente livelli di precisione diversi, la pubblicazione deve usare il livello meno preciso compatibile con la finalità.

Le mappe operative usano Leaflet servita localmente dal CNSBII. Le tessere cartografiche vengono richieste dal browser a un endpoint sul dominio CNSBII, che applica una cache server-side e contatta soltanto provider cartografici inseriti in una allowlist tecnica. Il browser del visitatore non contatta direttamente tali provider e il proxy non inoltra cookie, referrer o l’indirizzo IP del visitatore.

Le bozze restano esclusivamente sul dispositivo e scadono automaticamente entro 48 ore dall’ultimo salvataggio. I campi tecnici e di sessione non vengono conservati nella bozza. Le coordinate precise, quando presenti, sono separate dai normali dati della bozza e conservate localmente nello storage del browser con la stessa scadenza. Allegati e coordinate vengono eliminati anche dopo invio riuscito, cancellazione manuale o rimozione della bozza. Prima di allegare immagini, video, audio o PDF verifica che siano pertinenti e che non contengano dati di terzi non necessari.

Quando viene scelta una fotografia, Egeria può leggere sul dispositivo i metadati tecnici incorporati nel file, se presenti, come data e ora dello scatto, marca e modello del dispositivo, dimensioni e parametri fotografici. Le coordinate GPS contenute nella fotografia possono essere acquisite insieme agli altri metadati. Dopo l’invio, questi dati vengono associati all’originale in un file separato conservato nell’area riservata, con controlli di integrità. I metadati e le coordinate così acquisiti non vengono pubblicati automaticamente e restano soggetti ai permessi e alle verifiche previste per la segnalazione.

Il servizio principale è ospitato sull’infrastruttura Aruba utilizzata dal CNSBII; la PEC operativa è anch’essa fornita nell’ambito dei servizi Aruba. Il titolare mantiene separati i ruoli di titolare e responsabile e riesamina condizioni, sicurezza e sub-fornitura in occasione di modifiche sostanziali o rinnovi.

SIBILLA DSS resta utilizzabile con le regole deterministiche e con decisione umana. L’integrazione Gemini API non viene attivata sui dati Egeria finché il progetto Google effettivamente utilizzato non supera la verifica account-specific di servizio a pagamento, DPA, sub-responsabili, localizzazione/trasferimenti, retention e sicurezza. L’assenza di questa verifica blocca la funzione analisi, non il servizio Egeria.

IRIS live tramite LiveKit Cloud resta disabilitato finché non sono verificati sul progetto effettivo DPA, sub-responsabili, data region e configurazioni di minimizzazione. I messaggi vocali differiti gestiti localmente restano soggetti alla retention configurata e alle autorizzazioni interne.

La ricerca testuale esterna dei luoghi tramite Nominatim pubblico non effettua nuove richieste finché il relativo trattamento non è approvato o sostituito con un servizio controllato. Restano disponibili GPS, posizionamento manuale sulla mappa ed eventuali risultati già presenti nella cache locale del server.

Le librerie opzionali per anteprima HEIC e lettura EXIF possono essere richieste a CDN esterni soltanto dopo un’azione pertinente dell’utente. Il file selezionato viene elaborato nel browser e non viene inviato al CDN; se la libreria non è disponibile, Egeria conserva il file originale senza forzare la funzione opzionale.

Le segnalazioni e i relativi allegati sono conservati per il tempo necessario alla verifica, all’eventuale istruttoria, alla documentazione delle attività svolte, alla tutela dei diritti e agli obblighi applicabili. La piattaforma non elimina segnalazioni soltanto perché viene raggiunto un numero massimo di record. Le regole di cancellazione o archiviazione devono essere definite e mantenute coerenti con il registro dei trattamenti e con gli atti del titolare.

Un messaggio vocale differito IRIS viene conservato, nella configurazione attuale, per 24 ore, salvo diversa impostazione autorizzata e documentata. La comunicazione vocale in diretta non viene registrata automaticamente dal sistema CNSBII. Possono essere conservati eventi tecnici essenziali di ingresso, uscita, canale e durata per sicurezza e diagnosi.

Le librerie necessarie alla normale consultazione vengono preferibilmente servite localmente. Le dipendenze tecniche esterne residue, quando indispensabili a una funzione specifica come IRIS, non devono essere caricate in modo passivo dalla shell: l’avvio è collegato a una richiesta esplicita dell’utente e resta soggetto alla relativa configurazione tecnica.

Sono applicati controlli di accesso, limitazione dei tentativi, validazione degli allegati, log tecnici e verifiche di integrità. Gli audit operativi possono collegare account, ruolo, codice della segnalazione, modalità di invio, presenza del GPS e numero di allegati quando necessario a sicurezza, accountability e ricostruzione delle operazioni; tali registrazioni non sono destinate alla pubblicazione. Nessuna misura elimina ogni rischio: eventuali anomalie devono essere gestite attraverso le procedure di sicurezza e, quando applicabile, di gestione delle violazioni dei dati personali.

Nei casi previsti dalla normativa è possibile esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità e proporre reclamo al Garante per la protezione dei dati personali. Per Egeria, le richieste formali e le comunicazioni riferite al progetto possono essere inviate alla PEC operativa CNSBII cnsbii@pec.cnsbii.it. Il titolare del trattamento resta Nuove Prospettive ODV ETS, quale ente titolare del progetto CNSBII.

Il titolare mantiene un registro delle attività di trattamento e una valutazione d’impatto/di rischio dedicata all’ecosistema Egeria, da riesaminare almeno annualmente e prima di modifiche sostanziali a dati, posizione, media, analisi, voce, fornitori o pubblicazione. La documentazione di governance non equivale a una certificazione generale di conformità e deve essere aggiornata quando cambiano fatti, servizi o norme applicabili.