Informativa privacy

Informativa resa ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 ("GDPR") e del D.Lgs. 196/2003 e successive modifiche ("Codice Privacy").

1. Titolare del trattamento

Titolare del trattamento dei dati personali raccolti tramite locus.acquisizioniforensi.com e tramite l'app LOCUS è:

Giovanni Carrieri
Via Camillo Rosalba, 49 — 70124 Bari (BA), Italia
P.IVA 07669810728
Tel. +39 351 3608259
E-mail (privacy): locus@acquisizioniforensi.com
PEC: acquisizioniforensi@pec.it

Il Responsabile della Protezione dei Dati (RPD/DPO), data l'organizzazione individuale del Titolare, coincide con il Titolare stesso ed è raggiungibile agli stessi recapiti.

2. Modalità del trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate e adottando misure di sicurezza tecniche e organizzative idonee a prevenire la perdita, l'uso illecito o non corretto e l'accesso non autorizzato (art. 32 GDPR). Specifiche misure:

• Connessioni cifrate TLS 1.2+ tra browser/app e server.
• Password utente protette con hashing Argon2ID (memory_cost 64 MB, time_cost 4, threads 3); non è mai accessibile la versione in chiaro.
• Sessione con cookie HttpOnly, Secure, SameSite=Lax; rotazione token CSRF su ogni form.
• Protezione anti–brute force con lockout progressivo dopo 5 tentativi falliti.
• Rate-limit per IP sugli endpoint pubblici di registrazione e recupero password.
• Accesso ai server di produzione limitato al Titolare con autenticazione a più fattori.

3. Tipologie di dati raccolti e finalità

3.1 Dati di registrazione e fatturazione

Nome, cognome, indirizzo e-mail, password (in forma di hash), paese di residenza/fatturazione e — se l'utente li dichiara per ricevere ricevuta o fattura — ragione sociale, codice fiscale, partita IVA, codice univoco SDI (solo per soggetti italiani), PEC, indirizzo, città, CAP, provincia, telefono.

Finalità: erogare il servizio LOCUS, gestire l'account, emettere ricevuta del pagamento, adempiere obblighi contabili e fiscali.

Base giuridica: esecuzione del contratto (art. 6.1.b GDPR); obbligo legale per la fatturazione e la conservazione contabile (art. 6.1.c GDPR).

3.2 Dati di navigazione e log tecnici

Indirizzo IP, user-agent del browser, data e ora delle richieste, URL richiesti, codici di risposta del server, dimensione delle risposte. Questi dati sono raccolti automaticamente dai server web e dall'app per finalità di sicurezza, diagnostica, prevenzione frodi e statistiche anonime aggregate.

Base giuridica: legittimo interesse del Titolare alla sicurezza e all'integrità del servizio (art. 6.1.f GDPR). I log di accesso sono conservati per un massimo di 90 giorni, salvo necessità di conservazione più lunga per ricostruire incidenti di sicurezza.

3.3 Acquisizioni forensi generate dall'utente

Il contenuto reale della prova (foto, video, audio, fotogrammi) NON viene trasmesso né conservato sui server LOCUS. Il bundle BagIt completo — che contiene il media insieme a manifest firmato Ed25519, marca temporale RFC 3161, hash MD5/SHA-256/SHA-512 e sidecar CASE/UCO — è generato sul dispositivo e resta di proprietà esclusiva dell'utente.

Sul server LOCUS, per ogni acquisizione, viene registrato soltanto un insieme di metadati e di rappresentazioni che non rivelano il contenuto: manifest firmato, hash, marca temporale, dati del dispositivo e un'immagine dell'istogramma con i relativi hash percettivi (la waveform nel caso audio). Questo consente:

• la consultazione dall'area riservata dell'utente;
• la verifica pubblica del singolo record tramite il permalink /verify/<short_code> (link che l'utente decide se condividere e con chi) — che mostra l'istogramma, mai l'immagine reale, e non divulga la posizione GPS;
• la generazione di report PDF forensi.

I dati registrati non vengono mai utilizzati per finalità diverse dall'erogazione del servizio e non sono mai condivisi con terzi senza esplicita richiesta del Titolare dei dati (l'utente).

Base giuridica: esecuzione del contratto (art. 6.1.b GDPR). Il mancato trasferimento del contenuto della prova realizza il principio di minimizzazione dei dati (art. 5.1.c GDPR).

3.4 Dati di telemetria errori (opzionale)

L'app LOCUS può inviare al server app-locus/error-locus messaggi diagnostici in caso di crash o anomalie. Questi messaggi contengono lo stack trace, l'identificativo installazione (UUID casuale generato sul dispositivo, non collegato all'utente) e la versione dell'app. Non vengono inviati i contenuti dei bundle, le password o dati personali identificativi.

Base giuridica: legittimo interesse del Titolare al miglioramento del prodotto (art. 6.1.f GDPR).

3.5 Comunicazioni commerciali (newsletter)

Solo previo consenso esplicito espresso al momento della registrazione o successivamente dall'area account. Il consenso è revocabile in qualunque momento dall'area riservata o cliccando su "Annulla iscrizione" in calce alle e-mail commerciali.

Base giuridica: consenso dell'interessato (art. 6.1.a GDPR).

4. Conferimento dei dati

Il conferimento dei dati di registrazione e fatturazione è necessario per accedere al servizio; il rifiuto comporta l'impossibilità di creare un account. Il conferimento dei dati per finalità di marketing è facoltativo e la mancata adesione non pregiudica in alcun modo l'utilizzo del servizio.

5. Comunicazione a terzi e trasferimento extra-UE

I dati sono trattati su server in Unione Europea (infrastruttura Hostinger) e non vengono trasferiti al di fuori dello Spazio Economico Europeo (SEE). I soggetti che possono trattare i dati come Responsabili esterni (art. 28 GDPR) sono:

• Hostinger International Ltd. — hosting web e database (privacy policy).
• Stripe Payments Europe Ltd. — elaborazione pagamenti tramite checkout in redirect (i dati della carta di credito NON transitano sui server LOCUS; privacy policy).
• InfoCert S.p.A. — marcatura temporale qualificata eIDAS, solo se l'utente la richiede esplicitamente (privacy policy).
• Sectigo Limited, DigiCert e GlobalSign — autorità di marca temporale RFC 3161 in cascata di fallback (al servizio TSA viene inviato solo l'hash del documento, mai il contenuto).

Le e-mail transazionali partono dalla casella robot@acquisizioniforensi.com tramite il server SMTP di Hostinger; non sono utilizzati provider e-mail di terze parti esterni all'UE.

6. Periodo di conservazione

• Dati di registrazione e fatturazione: per la durata del rapporto contrattuale e per i 10 anni successivi (obbligo di conservazione contabile ex art. 2220 c.c.).
• Log di accesso e telemetria: 90 giorni.
• Bundle forensi: finché l'account è attivo; in caso di chiusura account, i bundle vengono cancellati entro 30 giorni salvo diversa richiesta dell'utente (es. necessità giudiziaria documentata che richieda conservazione prolungata).
• Dati per marketing: fino a revoca del consenso e comunque non oltre 24 mesi dall'ultimo contatto.

7. Diritti dell'interessato

L'interessato ha diritto, in qualunque momento, di:

• ottenere conferma dell'esistenza di trattamenti che lo riguardano e accedere ai dati (art. 15);
• chiedere la rettifica dei dati inesatti (art. 16);
• chiedere la cancellazione (diritto all'oblio — art. 17);
• chiedere la limitazione del trattamento (art. 18);
• opporsi al trattamento per finalità di marketing (art. 21);
• ricevere i dati in formato strutturato e di uso comune per trasferirli ad altro titolare (portabilità, art. 20);
• revocare in qualunque momento il consenso prestato per finalità di marketing.

Per esercitare i propri diritti è sufficiente scrivere a locus@acquisizioniforensi.com oppure inviare una PEC a acquisizioniforensi@pec.it. Risposta entro 30 giorni.

L'interessato ha inoltre il diritto di proporre reclamo all'autorità di controllo competente: Garante per la protezione dei dati personali (protocollo@gpdp.it).

8. Modifiche all'informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualunque momento, dandone pubblicità su questa pagina. Si invitano gli utenti a consultarla regolarmente.

9. Cookie

Per il dettaglio dei cookie utilizzati si rimanda alla cookie policy dedicata.

Ultima revisione: 07/10/2026