Perché un DPO la legga di venerdì.

Infrastruttura principale presso Infomaniak — data center in Svizzera. La modalità sovranità svizzera stretta disattiva ogni funzionalità che richiede un trattamento fuori dalla Svizzera — una regola applicata dal backend, non un’impostazione dell’interfaccia. I flussi che restano sono divulgati: fatturazione Stripe (Irlanda), notifiche push minimizzate. Il registro dei sub-responsabili è pubblico.

• Postgres, Redis, S3 (MinIO) · infrastruttura principale svizzera (Infomaniak)
• Modalità strict: ogni trattamento fuori dalla Svizzera disattivato, verificato dal backend
• AI Gateway sovrano di default (Llama 3.3 via Infomaniak)
• LLM di frontiera (Anthropic — inferenza possibile fuori da UE/CH, disciplinata dalle clausole contrattuali tipo e dal Data Privacy Framework), solo con opt-in esplicito

Non una casella cosmetica. Ogni decisione IA è tracciata (modello, input, output, score, alternative). Il registro di audit è append-only — imposto da un trigger PostgreSQL — conservato 10 anni, consultabile nell’applicazione ed esportabile (JSON) su richiesta del DPO o dell’ispettorato.

• Diritto all’oblio GDPR in self-service per il tenant (DELETE a cascata)
• Decisioni IA registrate: modello, input, output, alternative
• Pseudonimizzazione dei PII in tutti i log Pino
• CSP strict + header helmet sull’API NestJS

Le procedure di ripristino sono documentate in runbook versionati con il codice. Il programma di backup off-site e gli impegni quantificati (RPO/RTO) sono in fase di implementazione — li presentiamo come un cantiere in corso, non come un risultato acquisito.

• Runbook di ripristino versionati con il codice
• Dati su infrastruttura svizzera Infomaniak
• RPO/RTO contrattuali: introdotti con i piani Moyenne e Grande
• Lo stato reale del dispositivo è comunicato su richiesta — senza abbellimenti