Confrontare gli strumenti per moduli: criteri per le PMI svizzere

Un’impresa di giardinaggio di Sursee riceve finora le richieste di preventivo per telefono e vorrebbe raccoglierle tramite un modulo sul proprio sito: nome, indirizzo, numero di telefono, superficie del terreno, un campo per le osservazioni e una foto del giardino. Restano in lizza tre fornitori. Tutte e tre le pagine iniziali sono curate, tutte e tre parlano di sicurezza e di protezione dei dati, e dopo un’ora di lettura la scelta non è avanzata di un passo.

Raramente dipende da informazioni mancanti. Dipende dal fatto che quelle indicazioni non stanno mai una accanto all’altra. Un confronto utile è quindi meno un parere che una tabella: le stesse domande, poste a ogni fornitore, con risposte ricavate da ciò che ciascuno pubblica per conto proprio.

Com’è fatta questa tabella

Una colonna per fornitore, una riga per criterio. In ogni casella tre cose: la risposta in mezza frase, l’indirizzo della pagina da cui proviene e la data in cui è stata consultata. La data sembra burocrazia ed è la parte più utile dell’intero esercizio: la documentazione cambia, e un appunto senza data non si colloca più.

Due regole mantengono la tabella utilizzabile. La prima: in una casella entra solo ciò che sta nella documentazione del fornitore, non ciò che ne scrive un portale di confronto né ciò che è stato detto in una trattativa. La seconda: ciò che non si trova resta vuoto. Una casella vuota non è un giudizio sul fornitore; registra che una domanda è aperta e che si può porre per scritto.

Otto criteri

Criterio	La domanda che c’è dietro	Dove si trova di solito la risposta
Luogo di conservazione	In quale Paese stanno le risposte — e i file caricati?	Pagina sicurezza o privacy, guida
Sub-responsabili	Chi altro collabora, e chi di loro vede le risposte?	Elenco pubblico, informativa privacy
Contratto	Esiste un contratto di trattamento su incarico, e da quando vale?	CG, pagina contrattuale, registrazione
Esportazione	In quale formato escono di nuovo le risposte?	Guida del prodotto, voce «Export»
Cancellazione e fine contratto	Cosa succede cancellando, e cosa disdicendo?	CG, pagine di guida sulla conservazione
Diritti degli interessati	Il software ritrova i dati di una singola persona?	Guida del prodotto, contratto
Lingue	Il modulo esiste in tedesco, francese e italiano?	Pagina della funzione, guida
Caricamenti e integrazione	Quali file sono ammessi, e come arriva il modulo sul sito?	Guida del prodotto

L’ordine non è una graduatoria. Per uno studio decidono le lingue, per un’altra azienda il luogo di conservazione. La tabella non dice cosa conti di più: garantisce soltanto che nulla venga dimenticato.

Luogo di conservazione: l’indicazione vale per qualcosa di preciso

La domanda sul luogo di conservazione ha raramente una risposta di una parola, perché è quasi sempre legata a una variante del prodotto, a una regione o a un’impostazione.

Jotform, per esempio, descrive un’opzione europea su una pagina dedicata e la formula così: «The data will be kept exclusively in our EU servers in Germany.» È un’indicazione precisa, e vale per quell’opzione, non in generale per ogni account. Tally scrive nella propria guida che tutti i dati dei moduli sono cifrati in transito e a riposo e conservati in Europa. E Formsly, un fornitore con sede in Svizzera, indica nelle sue domande frequenti che tutti i dati, le risposte e i file caricati sono conservati esclusivamente su server dedicati in Svizzera, in un centro di calcolo di Zurigo, con Exoscale come partner infrastrutturale.

Tre fornitori, tre risposte formulate in modo diverso, e in tutti e tre i casi una risposta citabile e databile. È esattamente ciò che va nella casella. Che cosa risponde «dati in Svizzera» e che cosa lascia aperto, l’abbiamo scomposto in un articolo a parte.

Sub-responsabili: la colonna che fa la differenza

Dietro ogni servizio di moduli stanno altri fornitori: un centro di calcolo, un servizio di invio e-mail, un registro degli errori, uno strumento di assistenza. Giuridicamente non è un dettaglio: il responsabile del trattamento può affidare il trattamento a un terzo solo previa autorizzazione del titolare (art. 9 cpv. 3 LPD). Se l’autorizzazione è generale, il responsabile informa di ogni prevista aggiunta o sostituzione e il titolare può opporsi (art. 7 OLPD). Nella sua lista di controllo sui servizi cloud, l’IFPDT chiede di conseguenza se il fornitore abbia una visione d’insieme dei propri sub-responsabili e se dalla documentazione risulti in quali Paesi avviene il trattamento.

Per la tabella non conta solo che un elenco esista, ma quanto sia dettagliato. Tally pubblica i propri sub-responsabili come tabella con nome, scopo, Paese e una colonna intitolata «May process form submissions», cioè la distinzione fra chi entra in contatto con le risposte dei moduli e chi no. Diverse voci rimandano lì a un’impostazione, per esempio i caricamenti di file o le e-mail di notifica. Così si risponde a una domanda altrimenti difficile: quale parte della catena si attiva davvero quando si usa proprio quel modulo?

Contratto, esportazione e fine del percorso

Tre righe che quasi mai compaiono al momento della scelta e tanto più spesso dopo.

Il contratto. Interessa meno se un contratto di trattamento su incarico esista — presso molti fornitori è standard — che se sia leggibile prima della registrazione e come entri in vigore. Tally descrive che chi usa il servizio a titolo professionale, accettando le condizioni al momento dell’apertura del conto, è vincolato anche al suo contratto di trattamento, e che il documento non deve essere firmato. Formsly scrive che un contratto di trattamento viene messo a disposizione direttamente alla registrazione. In entrambi i casi sono indicazioni consultabili prima di aprire un account.

L’esportazione. La LPD riconosce a ogni persona il diritto di ottenere i dati personali che ha comunicato al titolare in un formato elettronico di uso corrente, purché il trattamento sia automatizzato e si fondi sul consenso o su un contratto (art. 28 LPD). Che cosa significhi «di uso corrente» lo precisa l’ordinanza: formati che permettono di trasmettere e riutilizzare i dati con un onere proporzionato (art. 21 OLPD). Per la tabella è una riga concreta: CSV, Excel, un’interfaccia, oppure nient’altro che una stampa in PDF.

La fine. Due domande distinte che spesso vengono confuse: che cosa succede quando si cancella una singola risposta, e che cosa quando finisce il contratto. Per la prima, Tally descrive un termine: i dati cancellati vengono rimossi definitivamente dalle copie di sicurezza entro 90 giorni, salvo che il cestino sia stato svuotato prima a mano. Per la seconda, l’IFPDT pone la domanda esplicitamente nella sua lista di controllo: se il contratto disciplini, o si possa stabilire, che il fornitore cancelli o restituisca i dati personali dopo la fine del contratto.

Quando qualcuno chiede accesso

Una riga di cui non si ha bisogno per anni e poi subito. Ogni persona può chiedere se vengono trattati dati personali che la riguardano e riceve fra l’altro i dati stessi, lo scopo, la durata di conservazione e i destinatari (art. 25 LPD). Destinataria della richiesta è l’azienda: se il titolare fa trattare dati da un responsabile, resta tenuto a fornire l’informazione (art. 25 cpv. 4 LPD). Il responsabile lo assiste, salvo che risponda lui stesso alla richiesta su suo incarico (art. 17 cpv. 2 OLPD).

Nella tabella diventa una domanda molto pratica: il software permette di cercare una persona attraverso tutti i moduli? Un’azienda con sette moduli e cinque anni di risposte avverte nettamente la differenza fra una ricerca e sette esportazioni.

I criteri di tutti i giorni

Compaiono di rado nei confronti sulla protezione dei dati e nell’uso quotidiano pesano spesso di più.

Le lingue. Un’azienda di Bienne o dei Grigioni ha bisogno dello stesso modulo in due o tre lingue. La domanda è se un modulo possa contenere più versioni linguistiche e quanto di questo avvenga automaticamente. Jotform promuove la funzione con traduzioni in oltre 130 lingue. Qui conviene una seconda riga, più fine: vengono tradotti anche i messaggi d’errore, gli elenchi a discesa e la pagina di conferma, o soltanto le domande?

I caricamenti. Appena un modulo accetta file, nasce un secondo luogo di conservazione con regole proprie. Tally indica un limite di 10 MB per file nel piano gratuito e descrive che i file caricati restano finché il conto esiste e la risposta non viene cancellata. La stessa documentazione mostra che i caricamenti passano da un determinato fornitore: un buon esempio del fatto che la riga sui caricamenti e quella sui sub-responsabili vanno lette insieme.

L’integrazione. Il modo in cui il modulo arriva sul sito è insieme una questione di presentazione e una questione di dati. Tally documenta tre varianti: integrato in una pagina, come finestra, a pagina intera. Per chi visita il sito, la variante integrata sembra parte del sito stesso; tecnicamente, all’invio la risposta va comunque all’indirizzo del fornitore. Saperlo cambia il modo in cui si scrive l’informativa sulla privacy.

Che cosa dà la tabella alla fine

Questi esempi non sono una selezione dei migliori fornitori, e l’elenco non è completo. Sono tre fornitori la cui documentazione su questi punti è pubblica e leggibile senza account. I fornitori le cui indicazioni non abbiamo potuto leggere noi stessi li abbiamo tralasciati, invece di scriverne di seconda mano: il che non giudica il loro lavoro, ma le nostre fonti.

Ciò che resta alla fine non è una graduatoria, ma una base decisionale che si può mostrare: a un partner commerciale, al fiduciario, alla cliente che telefona e chiede dove stiano le foto del suo giardino. E poiché ogni casella porta un indirizzo e una data, fra due anni si aggiorna in mezz’ora invece di ricominciare da capo.

L’app per moduli online che stiamo sviluppando dovrà rispondere alle stesse righe. Le nostre risposte su luogo di conservazione, cifratura ed esportazione staranno sulla pagina dell’app, con la stessa verificabilità che qui chiediamo agli altri: è l’unico metro che vale allo stesso modo per tutti.