Fiducia e trattamento dei dati

Che cosa è OrbiVigil — e che cosa non è

OrbiVigil è uno strumento di supporto alla decisione. Integra rilevazioni termiche satellitari, dati meteorologici e dati aperti sulla pericolosità in una scala graduata di confidenza, e non emette mai direttamente un'istruzione di evacuazione alla popolazione. L'allertamento della popolazione e l'impiego delle risorse di soccorso restano di competenza esclusiva dei servizi antincendio, delle prefetture e dei centri operativi che lo utilizzano.

La fusione automatica può portare una rilevazione al massimo al Livello 2 («probabile»). Il passaggio dal Livello 2 a un evento confermato di Livello 3 richiede sempre un analista identificato.

OrbiVigil non scrive ai cittadini, non sostituisce una catena di allertamento ufficiale, e dichiara la copertura nuvolosa invece di nasconderla dietro un «nessun incendio».

Dove risiedono i dati

OrbiVigil funziona su una piattaforma edge globale gestita, con punti di presenza nell'Unione Europea: non gestiamo alcun server di origine di nostra proprietà.

• Archiviazione a oggetti — configurata esplicitamente come archiviazione con giurisdizione UE per gli artefatti satellitari grezzi, le istantanee GeoJSON in cache, i tile e le esportazioni di provenienza.
• Dati di account e di territorio — i record degli account, le sessioni e le aree monitorate salvate risiedono in un database e in uno spazio dei nomi chiave-valore dedicati, associati unicamente al servizio di autenticazione. A differenza dell'archiviazione a oggetti di cui sopra, tale database non riporta un indicatore esplicito di giurisdizione: non possiamo ancora dichiarare una garanzia contrattuale di localizzazione esclusivamente UE e trattiamo il punto come aperto finché non sarà confermato per iscritto.
• La posta transazionale viene inviata tramite il servizio di posta nativo della piattaforma, non tramite un fornitore di posta terzo.

Quali dati personali trattiamo

Per un account di cittadino o istituzionale conserviamo:

• Nome e indirizzo di posta elettronica (l'identità dell'account).
• Metadati di sessione utilizzati per l'accesso e la sicurezza: indirizzo IP, user agent e localizzazione approssimativa derivata dalla rete (città, regione, Paese, latitudine/longitudine e il punto di presenza edge che ha servito la richiesta).
• Aree monitorate salvate: un nome e un punto centrale con raggio per ciascuna area, con un limite per piano (Cittadino Pro: 1 area; piani business e istituzionali: più aree) fino a un raggio di 50–100 km.
• Un identificativo cliente del fornitore di pagamento per gli account su piano a pagamento, e lo stato di abbonamento/piano/periodo di prova. Nessun dato di carta di pagamento è conservato da OrbiVigil; il pagamento è trattato direttamente dal fornitore di pagamento.
• Per i piloti istituzionali (comuni, province, prefetture, protezione civile): un nome di contatto, un indirizzo di posta professionale, un eventuale numero di telefono e il comune (o codice INSEE, per la Francia) usato per preconfigurare il territorio monitorato.

Un'area monitorata non viene mai dedotta da un nome di località: le coordinate provengono dalla richiesta, oppure dal centroide comunale ufficiale, oppure l'area viene creata vuota. Per l'Italia non esiste oggi una risoluzione automatica da indirizzo a coordinate: le coordinate devono essere fornite, altrimenti nessuna area viene creata.

Sub-responsabili del trattamento

• La piattaforma edge gestita che ospita e conserva il servizio.
• Il fornitore di pagamento, per gli account su piano a pagamento.

Entrambi sono nominati, con il loro ruolo e le categorie di dati trattati, nel DPA firmato e su richiesta degli acquirenti istituzionali.

Nessun altro soggetto terzo riceve oggi dati di account come parte del prodotto, per quanto ci risulta da questo codice sorgente. Una modifica di questo elenco costituirebbe una modifica strutturale e comporta l'aggiornamento di questa pagina nello stesso commit (secondo le regole di contribuzione di questo repository).

Conservazione dei dati

Sul caso specifico di un periodo di prova istituzionale scaduto possiamo essere precisi: la scadenza rimuove l'abilitazione a pagamento (gli avvisi via posta elettronica si interrompono) e non cancella nulla — l'account, le aree salvate e lo storico restano esattamente come sono, e la riattivazione di un pilota ripristina il servizio invece di ricostruirlo.

Al di là di questo caso specifico, questo repository non definisce oggi nel codice un calendario generale di conservazione (ad esempio per quanto tempo sono mantenuti un account inattivo o le sue sessioni). I periodi di conservazione diversi dal comportamento alla scadenza descritto sopra sono documentati su richiesta — usi il modulo di contatto.

Ogni titolare di account può inoltre cancellare in autonomia, in qualsiasi momento, il proprio account e i propri dati dal cruscotto: viene prima inviato un messaggio di conferma, e solo il clic sul collegamento ricevuto per posta elettronica produce la cancellazione — a quel punto ogni abbonamento attivo viene annullato immediatamente e l'account, le aree salvate e la configurazione della doppia autenticazione sono rimossi in modo permanente. Per quanto non coperto da questa procedura, usi il modulo di contatto.

Stato del servizio e trasparenza

Lo stato di salute della piattaforma è pubblico e consultabile su api.orbivigil.com/health. Riporta lo stato dei servizi e, per i flussi di dati pubblicati fuori banda (ad esempio l'acquisizione dello stato di nuvolosità canadese, pubblicata fuori banda), un blocco di freschezza per ciascun pubblicatore, così che una sorgente non aggiornata sia visibile invece che servita in silenzio.

Su questa pagina non pubblichiamo un impegno numerico di disponibilità o un SLA: l'endpoint di stato è una superficie di trasparenza, non un contratto. Uno SLA è disponibile nell'ambito di un accordo istituzionale; rivolgersi al proprio referente OrbiVigil.

Per le domande a cui questa pagina non risponde, o per un documento formale da inserire in un fascicolo: usi il modulo di contatto.