Allegato Tecnico MIM · 28 aprile 2026
DeliberaCerta è la piattaforma con cui un'istituzione scolastica convoca, svolge e verbalizza le sedute dei propri organi collegiali — online, in presenza e miste — con presenze certificate, votazioni a valore deliberativo e verbali immodificabili. Non è una videoconferenza con un modulo per i sondaggi: è il procedimento deliberativo, messo dove deve stare.
Accesso esclusivamente con CIE ID, livello L2 · audio e video su infrastruttura propria · nessun servizio di terze parti, nessun trasferimento extra‑UE
L2
Livello minimo di autenticazione CIE verificato sull'acr del token, non solo dichiarato
0
Password nel sistema: la tabella utenti non ha proprio la colonna. Nessuna credenziale condivisa
15 s
Rotazione del QR di presenza (o 30 s), con token firmato HMAC valido per la sola finestra corrente
~200
Partecipanti in una stanza video, su server proprio: regge un collegio docenti intero
Una delibera impugnata non è un problema informatico: è un problema del dirigente che l'ha firmata, del segretario che l'ha verbalizzata e della segreteria che deve esibire gli atti. DeliberaCerta è pensata per ciascuno di loro.
Convoca, presiede, apre e chiude le votazioni. Alcune azioni — aprire e chiudere una votazione, annullarla, ripeterla — sono riservate a chi presiede dal codice, con il riferimento normativo citato: non sono un'impostazione che qualcuno può allargare per comodità.
Importano l'anagrafica da CSV, tengono la composizione degli organi, esportano presenze, esiti di voto e verbali. Quando arriva una richiesta di accesso agli atti, il fascicolo della seduta è già completo: convocazione, presenze, votazioni, verbale, firme.
Nessun client da installare: si usa il browser del telefono. Il QR si decodifica sul dispositivo, la videoconferenza sta su server dell'istituto o del fornitore, la configurazione è una matrice di interruttori con ricerca.
Il numero legale è visibile in ogni momento sui presenti rispetto agli aventi diritto, e si può ri-verificare in corso di seduta con una nuova scansione. La parola si concede da una coda ordinata, un oratore alla volta, identica online e in presenza.
La bozza si scrive in un editor di testo formattato, con presenze ed esiti già dentro e la trascrizione della discussione a fianco. Approvazione e consolidamento producono un PDF immodificabile con impronta SHA-256 registrata.
Inventario dei trattamenti pronto per il registro art. 30, bozza di DPIA per il sistema di voto (richiesta espressamente dall'Allegato), modello di informativa artt. 13-14, cancellazione automatica secondo la retention configurata per scuola.
Si entra con la propria CIE, si inquadra un QR, si vota con tre pulsanti. Interfaccia interamente in italiano, pensata prima per il telefono, con contrasti e navigazione da tastiera conformi WCAG 2.1 AA come impone la L. 4/2004.
Ogni requisito dell'Allegato è mappato su una riga di codice e su un test automatico che lo dimostra. La documentazione tecnica delle garanzie e la bozza di dichiarazione di conformità del fornitore fanno parte della fornitura.
L'Allegato Tecnico «Organi collegiali on line» del Ministero dell'Istruzione e del Merito (28 aprile 2026) fissa che cosa deve garantire una piattaforma perché una seduta a distanza produca atti validi. Qui c'è, sezione per sezione, che cosa chiede e che cosa fa DeliberaCerta.
| Sezione | Che cosa chiede la norma | Che cosa fa DeliberaCerta |
|---|---|---|
| Sez. 2 — Principi | Trasparenza e verificabilità: il procedimento deliberativo deve poter essere ricostruito a posteriori. | Registro attività in sola aggiunta, con ogni voce concatenata alla precedente da un hash: una manomissione rompe la catena e un comando di verifica la rileva. Come funziona la tracciabilità |
| Sez. 3 — Identificazione e accesso | Identità digitale, livello minimo L2, nessuna credenziale condivisa, sessioni tracciate e logout per inattività. | Unico modo di entrare: «Entra con CIE». Nessuna password esiste nel sistema. Sessioni elencate e revocabili, disconnessione automatica configurabile. Accesso con CIE ID |
| Sez. 4 — Votazioni | Un voto per avente diritto, quorum, esito verificabile; nel voto segreto separazione fra identità e scelta, non re-identificabile «neanche indirettamente». | La scheda segreta non porta l'identificativo del votante né alcuna colonna temporale, e il suo identificativo è casuale: non c'è niente con cui accoppiarla al registro dei votanti. Votazioni e scrutinio segreto |
| Sez. 5-6 — Sicurezza e GDPR | Protezioni applicative, minimizzazione, cifratura, registrazione degli accessi, DPIA «in particolare per i sistemi di voto digitale». | Cifratura per campo dei testi sensibili, sessioni e code cifrate, isolamento fra istituti a doppia barriera, cancellazione automatica secondo la conservazione impostata. GDPR, DPIA e conservazione |
| Sez. 7 — Verbali e conservazione | Verbale digitale con presenze, ODG ed esiti; versione finale immodificabile con hash registrato; esportazione strutturata. | Bozza, approvazione, consolidamento in PDF con impronta SHA-256 registrata, firma con CIE legata a quell'impronta, export in PDF, CSV e JSON. Verbale digitale e firma |
| Sez. 8 — Malfunzionamenti | Poter sospendere o ripetere una votazione; quella annullata resta agli atti con la motivazione. | L'annullamento richiede una motivazione obbligatoria e non cancella le schede; la ripetizione nasce come nuova votazione collegata a quella annullata. |
| Sez. 9 — Dichiarazione del fornitore | Documentazione tecnica delle garanzie e dichiarazione di conformità del fornitore. | La mappa requisito → implementazione → test automatico fa parte della documentazione consegnata, insieme alla dichiarazione di conformità e alla lista di verifica dell'infrastruttura. |
Una cosa che diciamo per intero
La conformità di un servizio non è solo software. La parte applicativa è realizzata e verificata da test automatici; cifratura del disco, TLS, backup, segregazione degli ambienti e conservazione a norma dipendono da come viene installata e gestita l'infrastruttura. Per questo alla fornitura si accompagnano una lista di verifica dell'infrastruttura da completare per ogni installazione e la dichiarazione di conformità del fornitore, che si firma quando quella lista è chiusa.
Piano Collegiale
Niente livelli, niente funzioni «premium» sbloccabili a parte. Il piano Collegiale contiene la seduta e tutto ciò che vi accade dentro, più le elezioni degli organi e la bacheca delle circolari. Ogni funzione qui elencata è attiva dal primo giorno.
Calendario delle sedute, modalità in presenza, online o mista, ordine del giorno e convocazione via email ai componenti dell'organo, con l'elenco dei destinatari fotografato all'invio.
Registro presenze unico per sala e collegamento video, certificazione con QR rotante, verifica del numero legale in corso di seduta, rettifica manuale con motivazione obbligatoria.
Voto palese e scrutinio segreto sui punti all'ODG, quorum costitutivo e regola deliberativa dell'organo, esiti immutabili alla chiusura ed esportabili in CSV e JSON.
PDF allegati ai punti dell'ODG con impronta SHA-256, pubblicazione ai componenti e lettura guidata: la pagina di chi presenta diventa la pagina di chi segue.
Richiesta di lettura integrale ai presenti: la conferma si sblocca solo all'ultima pagina, e l'esito — chi ha confermato e chi no — entra nel verbale con un clic.
Bozza in editor di testo formattato, approvazione con scelta di chi dovrà firmare, consolidamento in PDF immodificabile con impronta SHA-256 registrata.
Sottoscrizione con la propria carta d'identità elettronica, previa lettura integrale obbligatoria, legata all'impronta dello snapshot firmato; attestato delle firme in PDF.
La discussione viene trascritta durante la seduta e attribuita a chi ha la parola, come ausilio alla stesura. Riconoscimento self-hosted: l'audio non lascia il server.
Stanza video della seduta su server proprio, con condivisione schermo, moderazione applicata dal server e modalità assemblea per gli organi numerosi.
Verifica che chi segue da remoto sia davvero presente: prompt a intervalli configurabili e segnalazione a chi presiede delle mancate risposte.
Coda cronologica delle richieste di parola, un oratore alla volta, concessione da parte di chi presiede. Identica per chi è in sala e per chi è collegato.
Scambi scritti durante i lavori, con moderazione: un messaggio rimosso lascia la traccia di essere esistito, perché la chat è parte dei lavori.
Dall'indizione allo scrutinio: liste e candidature, cabina di voto segreta, QR di presenza a scuola con rotazione da 3 a 60 secondi, verifica facoltativa della posizione, monitor del seggio con affluenza in tempo reale, risultati leggibili solo dopo la chiusura.
Circolari, comunicazioni e avvisi con destinatari e scadenza, e soprattutto il prospetto delle prese visione: chi ha letto, quando, e chi manca ancora. È ciò che trasforma una comunicazione in una notifica con ricevuta di ritorno.
Componenti, appartenenze, qualifiche e ruoli. Import da CSV con validazione riga per riga e anteprima prima di scrivere.
Istituzione degli organi e composizione: è da qui che escono gli aventi diritto, e quindi il numero legale.
Matrice ruoli × permessi con ricerca e reset, override per singola persona, sicurezza delle sessioni.
Ogni operazione rilevante, in sola aggiunta e concatenata da hash. Filtrabile ed esportabile in CSV.
I permessi non si allargano a piacere
Cinque permessi — aprire una votazione, aprire uno scrutinio segreto, chiudere, annullare, ripetere — appartengono a chi presiede e basta. Nella matrice compaiono con il lucchetto, l'interruttore non risponde, e nemmeno un'eccezione per singola persona li sblocca: non perché sia il valore predefinito, ma perché lo dicono le sezioni 4.1, 4.3 e 8 dell'Allegato, citate nel codice accanto al vincolo.
Gli stati non si saltano e ogni passaggio ha il suo permesso: bozza, convocata, in corso, chiusa. Ecco che cosa si vede davvero.
Organo, oggetto, modalità (in presenza, online o mista), data e ora. Per le sedute con persone in sala si sceglie anche ogni quanti secondi ruota il QR delle presenze. L'ODG si modifica solo finché la seduta è in bozza o convocata: ad apertura avvenuta i punti sono fissati.
La convocazione parte via email ai componenti attivi dell'organo. L'elenco viene fotografato al momento dell'invio: se la composizione cambia il mese dopo, la convocazione resta quella che è stata fatta.
Il QR sul proiettore ruota; ciascun componente lo inquadra dal proprio telefono e la presenza è registrata. La decodifica avviene sul dispositivo: nessuna immagine viene inviata. Un QR di una finestra passata viene rifiutato.
All'apertura la votazione fotografa aventi diritto e regole di quorum; alla chiusura conta le schede, verifica il quorum costitutivo e applica la regola deliberativa dell'organo. Da lì in avanti conteggi ed esito non cambiano più.
La bozza si scrive in un editor di testo formattato, con gli esiti della seduta già disponibili da inserire. Approvata la bozza, il consolidamento produce un PDF immodificabile e ne registra l'impronta SHA-256.
Chi deve firmare legge il verbale per intero — il pulsante compare solo sull'ultima pagina — poi si autentica con la stessa federazione CIE del login. La firma è legata all'impronta di ciò che ha letto.
Ogni istituzione scolastica è titolare del trattamento dei dati dei propri organi. Il fornitore è responsabile ai sensi dell'art. 28 GDPR. Fra istituti diversi non c'è comunicazione: l'isolamento è garantito da due barriere indipendenti, un filtro sulle query e un controllo di autorizzazione che nega per difetto — e a un identificativo di un altro istituto la piattaforma risponde «non trovato», non «non autorizzato».
La segreteria carica un CSV con i componenti. La validazione è riga per riga, con anteprima: si vede che cosa entrerà prima che entri.
Si istituiscono gli organi e se ne definisce la composizione. È la composizione, non l'elenco dei presenti, a dare gli aventi diritto.
L'onboarding presso la federazione CIE si fa una volta, partendo dall'ambiente di collaudo. Non serve distribuire credenziali a nessuno.
Si parte da una seduta reale, con l'assistenza in affiancamento. La matrice dei permessi si adatta alle abitudini dell'istituto, non il contrario.
La validità di una delibera dipende dal rispetto delle regole dell'organo — convocazione regolare, numero legale, maggioranza richiesta — e dalla possibilità di dimostrarlo dopo. DeliberaCerta è costruita per rendere quella dimostrazione automatica: la convocazione con i suoi destinatari, le presenze con metodo e orario, la votazione con aventi diritto e regola fotografati all'apertura, il verbale consolidato con la sua impronta. È esattamente ciò che l'Allegato Tecnico chiede quando parla di ricostruzione ex post del procedimento.
No. Si usa il browser, sul telefono come sul computer. Lo scanner del QR usa la fotocamera dal browser e decodifica sul dispositivo; la videoconferenza è WebRTC, quindi anch'essa dentro al browser. Chi non riesce a inquadrare il codice ha sempre l'inserimento manuale.
Oggi l'unico modo di entrare è «Entra con CIE», al livello di autenticazione L2 verificato sul token restituito dalla federazione. È una scelta di conformità alla sezione 3 dell'Allegato: identità digitale forte, nessuna credenziale condivisa e nessuna auto-registrazione — chi non è in anagrafica non entra, e il tentativo resta agli atti in forma non identificante.
No, e la ragione è nello schema dei dati, non in una promessa. La scheda segreta non ha l'identificativo del votante, non ha alcuna colonna temporale e il suo identificativo è casuale, quindi non contiene un ordine da cui dedurre l'istante. L'orario resta solo sul registro dei votanti, che serve a impedire il doppio voto e non ha nulla con cui accoppiarsi. Il registro attività annota che una persona ha votato, mai che cosa ha votato. La spiegazione per esteso.
Una votazione chiusa non si «corregge»: si annulla indicando una motivazione — obbligatoria — e le schede restano agli atti; se serve, se ne apre una nuova collegata a quella annullata. È il comportamento previsto dalla sezione 8 dell'Allegato per i malfunzionamenti.
Fino a circa 200 partecipanti, sufficiente per un collegio docenti. Oltre una soglia configurabile (25 per impostazione predefinita) la stanza passa in modalità assemblea: la telecamera resta attiva solo per chi ha la parola, per chi presiede e per i moderatori, così la banda e l'attenzione vanno dove servono.
Una dimostrazione dura mezz'ora e si fa sui vostri organi: il vostro consiglio, i vostri numeri, una votazione vera dall'apertura all'esito.
