Static Web App Azure per un bando pubblico GDPR

Raccogliere domande con allegati da utenti anonimi — senza poter imporre l’autenticazione Microsoft — e restare conformi al GDPR è un problema che nessuno strumento preconfezionato risolve da solo. Per il bando di una fondazione no-profit rivolto alla cittadinanza di circa 100 comuni del nord Italia lo abbiamo risolto con una Static Web App su Azure, verifica OTP e Azure Information Protection: la raccolta si è chiusa nei tempi previsti.

I candidati dovevano presentare la domanda, inserire i dati personali e allegare la documentazione sulla situazione economica familiare. I dati dovevano confluire su SharePoint per la commissione di valutazione, con garanzie di riservatezza e conformità al GDPR, entro una scadenza fissa. Il requisito sembrava semplice — un form pubblico con allegati — ma la complessità è emersa nei dettagli, come spesso accade quando si digitalizzano moduli e allegati rivolti a utenti esterni.

Il problema: raccogliere allegati da utenti anonimi senza attrito

Il bando era aperto alla cittadinanza generica: persone esterne al tenant della fondazione, senza account Microsoft. L’esperienza doveva essere accessibile e non frammentata, perché il pubblico includeva persone in difficoltà economica. E il DPO aveva requisiti precisi: Information Protection sui documenti, retention policy di 12 mesi, accesso limitato alla commissione. Nessuno strumento preconfezionato rispondeva all’insieme di questi requisiti. Trovare la soluzione giusta ha richiesto di valutare e scartare due alternative.

La soluzione: tre ipotesi, una sola scelta

Ipotesi 1 — Microsoft Forms. Si integra nativamente con SharePoint e non richiede sviluppo. Ma in modalità per utenti non autenticati Forms non permette di raccogliere allegati: i file si possono caricare solo con un account Microsoft. Per un bando rivolto alla cittadinanza, limitazione bloccante. Scartato.

Ipotesi 2 — Forms per i dati + invito nel tenant per gli allegati. Raccogliere i dati con Forms pubblico, poi invitare l’utente come ospite nel tenant per caricare gli allegati in una seconda fase. Tecnicamente funzionava, ma generava un’esperienza frammentata: compila un form, attendi un’email, accetta l’invito, accedi a un secondo ambiente. Per una fondazione che si rivolgeva a persone già in difficoltà, inaccettabile. Scartato.

Ipotesi 3 (adottata) — Static Web App Azure con form custom. La soluzione finale ha richiesto di uscire dagli strumenti preconfezionati e costruire su misura. Abbiamo sviluppato una Static Web App su Azure con un form custom che gestisce l’intera esperienza in un’unica sessione:

• Verifica email tramite OTP. Prima di compilare, il candidato inserisce l’email e riceve un codice monouso. Ogni domanda è associata a un indirizzo verificato, senza creare un account né autenticarsi con credenziali Microsoft. La barriera di accesso resta bassa; la validità dei dati resta alta — un principio di gestione delle identità esterne affine a quello di un’architettura Azure B2C/B2B.
• Raccolta dati e allegati in un’unica sessione. Il form raccoglie i dati personali e permette il caricamento degli allegati — documenti ISEE, attestazioni economiche — senza interruzioni né redirect.
• Salvataggio su SharePoint con Azure Information Protection. Dati e file vengono salvati su SharePoint Online nel tenant della fondazione. I documenti sono marcati con un’etichetta di riservatezza: l’accesso è limitato alla commissione, e la marcatura segue il documento anche fuori da SharePoint.
• Retention policy di 12 mesi. Su richiesta del DPO, i dati vengono conservati e successivamente eliminati automaticamente secondo la normativa sulla protezione dei dati personali.

I risultati ottenuti

Il bando è stato pubblicato su circa 100 comuni del nord Italia e la raccolta si è completata nei tempi previsti. I candidati hanno presentato la domanda con un’esperienza fluida, in un’unica sessione, senza frizioni tecniche. La commissione ha trovato dati e allegati organizzati e accessibili su SharePoint. Il DPO ha ottenuto le garanzie di compliance richieste: Information Protection sui documenti, retention conforme al GDPR, accesso limitato ai soli autorizzati. La fondazione ha potuto concentrarsi sulla selezione dei beneficiari, non sulla gestione della raccolta.

A chi è utile questo approccio

Il modello è adatto a fondazioni, enti pubblici, associazioni e no-profit che devono raccogliere domande con allegati da utenti anonimi, senza poter imporre l’autenticazione Microsoft. È particolarmente rilevante quando i requisiti del DPO sono stringenti — riservatezza dei documenti, retention automatica, accesso limitato — e quando la semplicità dell’esperienza utente è un requisito funzionale, non un’opzione. La stessa logica di un’applicazione web custom su misura del cliente, applicata alla raccolta pubblica di dati sensibili.

Se gestisci un bando o una raccolta pubblica con requisiti di riservatezza e conformità al GDPR, possiamo aiutarti a costruire il sistema giusto. Contattaci per una valutazione →