Per la pubblica amministrazione

La scheda di Votia per un ufficio comunale: che cosa è, che dati tocca, come è protetto, che garanzie dà e che cosa non ha ancora.

Questa pagina è per il segretario, il responsabile dei sistemi informativi o il RUP che deve capire in dieci minuti se Votia può essere usato dal comune. Si stampa bene. Ultimo aggiornamento: 25 ottobre 2026.

Scheda del servizio

Voce	Scheda
Servizio	Votia: pagina pubblica dei risultati, maxischermo, registro pubblico delle correzioni, strumenti per chi lavora in sezione (telefono e tablet) e per la sala di controllo.
Fornitore	Associazione Piazza Viva, con sede in Pietraviva (NA). Contatto: info@esempio.it.
Modello	Software come servizio: si usa dal browser, non si installa niente presso il comune. Il programma è nostro e funziona su server in Unione europea.
Prezzo	Gratuito per il comune e per i cittadini. Il servizio è sostenuto da banner di attività locali, sempre etichettati «Pubblicità» e mai sopra i risultati; il comune può chiedere una diretta senza banner.
Come si adotta	Con il patrocinio del comune e un referente. Non serve una gara né un acquisto; il comune non versa niente e non cede dati. Se preferisce, può firmare le condizioni e l'accordo sul trattamento dei dati (art. 28), che sono già pronti.
Chi lo usa	I cittadini (pagina pubblica, senza account e senza cookie); gli operatori di sezione (volontari con una tessera QR e PIN); gli addetti e i responsabili (account con verifica in due passaggi).
Dati trattati	Conteggi per sezione e per candidato, dichiarati dagli operatori; nomi di candidati e liste (già pubblici); nome, email e telefono di chi lavora alla diretta. Mai nome, indirizzo o voto di un elettore: le schede contestate hanno solo il motivo.
Natura dei dati (ai fini della classificazione cloud)	Riteniamo che siano dati ordinari: conteggi che diventano pubblici nel giro di minuti e dati di contatto di volontari. La classificazione la fa l'amministrazione, che può chiederci chiarimenti.
Dove stanno i dati	Server di OVHcloud in un data center europeo (Francia o Germania); copia di sicurezza cifrata in un secondo luogo, sempre nell'Unione europea. Tutti i fornitori, con dove stanno e che accordi abbiamo, sono in I nostri fornitori.
Lingua e accessibilità	Italiano. Parzialmente conforme alle WCAG 2.1 livello AA: la Dichiarazione di accessibilità dice cosa è fatto e cosa no.
Assistenza	Per email durante tutto l'anno; durante lo spoglio la sala di controllo risponde ai referenti in tempo reale.

Che cosa non fa

Non conta le schede: raccoglie quello che gli operatori dichiarano e lo mostra. I risultati ufficiali sono quelli proclamati dagli uffici elettorali e restano gli unici validi.
Non registra il voto di nessuno: non c'è mai il nome di un elettore.
Non decide: l'intelligenza artificiale, se accesa, scrive testi di racconto e spiega numeri, ma non inserisce, non corregge e non controlla i voti.
Non usa cookie sulle pagine pubbliche, non ha statistiche di terzi, non carica niente da altri siti.

Protezione dei dati

Titolare e responsabile sono distinti e scritti: nelle Condizioni e accordo sul trattamento dei dati l'associazione tratta i dati per conto del cliente, con le istruzioni, la riservatezza, i sub-responsabili e la restituzione dei dati.
L'informativa dice per ogni dato perché lo trattiamo, per quanto tempo lo teniamo e come far valere i diritti. Il programma cancella da solo i dati scaduti ogni notte e lo scrive nel registro.
Chi lavora alla diretta accetta l'informativa e un impegno di riservatezza; per i comitati elettorali (l'incarico rivela un'opinione politica) serve il consenso esplicito.
Una violazione dei dati viene registrata, comunicata al cliente entro 24 ore e, se serve, notificata al Garante entro 72 ore.
Alla fine, il cliente scarica tutto in formati aperti; dopo 30 giorni i suoi dati sono cancellati, e dalle copie di sicurezza entro circa 60.

Sicurezza

Misura	Come
Connessione	Sempre cifrata (HTTPS con HSTS); intestazioni di sicurezza e una politica dei contenuti stretta su ogni pagina.
Accessi	Password salvate solo come impronta (scrypt); verifica in due passaggi per chi amministra; PIN a tempo che si blocca dopo cinque errori; sessioni salvate solo come impronta; limiti ai tentativi.
Separazione	Ogni cliente vede solo le sue tornate; ogni ruolo vede solo ciò che gli serve e ogni operazione è firmata.
Registro	Le correzioni ai conteggi e le azioni di amministrazione restano in un registro a catena di firme, che non si cambia di nascosto.
Copie di sicurezza	Cifrate (AES-256), con impronta di controllo, conservate per 60 giorni e copiate fuori dal server. Il ripristino si prova con uno script, non si presume.
Aggiornamenti	Le librerie sono controllate a ogni modifica (falle note, chiavi dimenticate nel codice) e aggiornate con regolarità. Ogni modifica passa da oltre novecento prove automatiche e da una prova nel browser dell'intera serata di spoglio.
Dati personali	Pochi e protetti: i recapiti degli avvisi e i nomi nei registri si cancellano o si rendono anonimi dopo il voto.

Continuità e uscita

Lo spoglio non si ferma se il servizio cade. Gli operatori contano sul dispositivo e i dati partono da soli quando la rete torna; la pagina pubblica continua a mostrare l'ultima copia, con scritto da quanti minuti.
Obiettivi, non garanzie. La sera dello spoglio le copie di sicurezza partono ogni 10 minuti: nel caso peggiore si perdono gli ultimi 10 minuti di dati del server, che gli operatori comunque hanno ancora sul dispositivo. In una giornata normale la copia è giornaliera. Se il server è perso, in circa due ore se ne prepara uno nuovo con l'ultima copia.
Uscita. L'area cliente permette di scaricare tutto (risultati, registro, persone, impostazioni) in formati aperti, in qualunque momento. Le dirette concluse restano come pagine statiche, senza database, finché il cliente non chiede di toglierle.
Stato misurato. La pagina Stato del servizio mostra la disponibilità vera degli ultimi 90 giorni e le interruzioni passate.

Certificazioni: a che punto siamo

Quello che c'è: i data center del fornitore sono qualificati dall'ACN; il servizio è offerto in patrocinio e per informare, non per gestire dati dell'amministrazione; i dati trattati sono pochi e ordinari; le misure sopra sono quelle che un comune si aspetta da un fornitore, e sono provate e scritte.

Quello che manca, e il percorso: una verifica di sicurezza esterna (penetration test), poi la certificazione ISO/IEC 27001 e 27701 e, quando un comune lo richiedesse come condizione per usare il servizio, la qualificazione o l'adeguamento secondo il Regolamento ACN sul cloud per la PA (in vigore dal 1° agosto 2024). Se un comune vuole usare Votia per dati propri, e non soltanto per informare, ne parliamo prima: serve la qualificazione.

I documenti

Per un documento diverso (una scheda sul modello del comune, una dichiarazione, un accordo) scrivi a info@esempio.it: la versione firmata sostituisce quella standard.