Potete andarvene? Esportazione, portabilità e cancellazione definitiva

Ogni valutazione seria di un fornitore finisce con due domande, e arrivano quasi sempre nell'ordine sbagliato — per ultime anziché per prime. Posso esportare i miei dati e andarmene quando voglio? E posso cancellare tutto, definitivamente, e dimostrarlo? Quando qualcuno le pone, la piattaforma contiene quattro anni di invii, tre team ne dipendono, e la risposta onesta è diventata costosa da sentire.

Due domande diverse che vengono continuamente confuse

In una riunione d'acquisto «portabilità dei dati» di solito significa «possiamo migrare altrove». Non è di questo che tratta il diritto di legge, e la confusione genera discussioni che nessuno vince.

Conseguenza pratica: se chi ha risposto chiede i propri dati, l'obbligo è vostro, e lo assolvete con l'esportazione della piattaforma. Un fornitore che non sa produrre un singolo invio in formato portabile vi ha consegnato un problema di conformità di cui risponderete voi. E la vostra uscita — il vero tema della riunione — va scritta nel contratto, perché il diritto svizzero non la fornisce. L'art. 28 par. 3 lett. h GDPR impone almeno a un responsabile UE di cancellare o restituire tutti i dati al termine della prestazione, a scelta del titolare; l'art. 9 nLPD non prescrive alcun elenco di clausole, ed è esattamente per questo che deve stare nel vostro accordo. Vedi serve un contratto di trattamento dei dati per il vostro strumento di moduli.

Che cosa contiene davvero un'esportazione utilizzabile

«Supportiamo l'esportazione CSV» non è una risposta, è un formato. La domanda è che cosa sopravvive all'andata e ritorno.

Cinque cose che raramente sopravvivono a una migrazione

1. La logica del modulo. Diramazioni condizionali, regole di validazione, punteggi e calcoli sono specifici del fornitore e praticamente mai esportabili. Mettete a budget la ricostruzione di ogni modulo: è il vero costo del cambio, non lo spostamento dei dati.
2. Gli allegati, per il motivo appena visto.
3. Le firme. Acquisite come immagine o dati vettoriali in un campo proprietario. Possono uscire come immagine, come segnaposto testuale o non uscire affatto. Se la firma è la parte giuridicamente interessante, verificatelo prima che conti.
4. Metadati e marche temporali. Data di arrivo, di lettura, etichette, note interne, stato. Molte esportazioni portano via le risposte e lasciano tutto ciò che il team ha costruito attorno — cioè spesso proprio ciò che rendeva utile il record.
5. La continuità del link. L'URL pubblico di un modulo appartiene al vecchio fornitore. Ogni QR stampato, ogni link in un contratto firmato, ogni segnalibro sull'intranet di un partner punta lì. Prevedete una finestra di reindirizzamento, o il costo della ristampa.

Cancellare un record non è cancellare i dati

È sulla cancellazione che il divario fra ciò che un prodotto mostra e ciò che fa è più ampio. Quando cliccate su elimina può accadere tutto ciò che segue, o parte — ed è del tutto legittimo chiedere al fornitore che cosa:

• La riga viene marcata come nascosta e resta nel database. Frequente, raramente dichiarato, ed è il motivo per cui la «cancellazione logica» va in ogni questionario fornitori.
• La riga se ne va, il file resta. L'orfano classico: l'invio sparisce dalla casella mentre i suoi allegati restano a tempo indeterminato nello storage a oggetti, referenziati da nulla e cancellati da nessuno.
• Vanno entrambi, ma i backup conservano una copia per la durata della loro conservazione. È normale e difendibile — ma va detto, con la durata, e accompagnato dalla regola per cui i ripristini riapplicano le cancellazioni.
• Le copie uscite dalla piattaforma restano intatte: esportazioni sui portatili, e-mail di notifica con le risposte, una sincronizzazione verso un data warehouse, un'integrazione CRM, un ticket di assistenza con uno screenshot.
• I dati derivati persistono — indici di ricerca, statistiche aggregate, voci di audit. Alcuni devono persistere: un registro di audit modificabile cancellando ciò che ha registrato non è un registro di audit.

Prova della cancellazione — che cosa chiede davvero un controllo

Né la nLPD né il GDPR chiedono un certificato per ogni record cancellato. Chiedono, in sostanza, che sappiate dimostrare la regola e la sua esecuzione. In Svizzera la pretesa di cancellazione passa dall'art. 32 nLPD e dalle norme del Codice civile a tutela della personalità, anziché da un articolo autonomo di «diritto all'oblio», ma l'aspettativa pratica è la stessa dell'art. 17 GDPR. Sappiate mostrare quattro cose:

1. La regola, per iscritto e per categoria di dati: quanto a lungo restano gli invii, che cosa accade alla fine, chi decide.
2. Il meccanismo — automatico dove possibile. Una regola eseguita da una persona quando se ne ricorda è già fallita al primo mese intenso.
3. Una traccia che sia stata eseguita: data, perimetro, numero di record, chi l'ha avviata. Non il contenuto cancellato, che vanificherebbe l'operazione.
4. La conferma del fornitore per la cancellazione di fine contratto, con la data. Chiedetela per iscritto; un fornitore che non conferma per iscritto vi ha detto qualcosa di importante.

Una sfumatura da mettere bene a fuoco: le piste di audit e i log di cancellazione devono sopravvivere alla cancellazione. Conservare «l'invio 4f2a è stato cancellato il 12 marzo da A. Müller» non è un difetto di cancellazione: è la prova che la cancellazione è avvenuta. Ciò che non deve sopravvivere è il contenuto.

Dove la cifratura aiuta — e dove taglia da entrambi i lati

La cifratura end-to-end cambia entrambe le metà di questo articolo, e non in una sola direzione. Sul fronte della cancellazione è un vantaggio reale: se il fornitore ha sempre e solo detenuto testo cifrato e la chiave non ha mai lasciato il vostro lato, le copie residue in un backup gli sono inerti. Questo non vi esime dal cancellarle, ma cambia sensibilmente il rischio di una copia che non avete ancora raggiunto.

Sul fronte dell'esportazione impone una domanda progettuale che il settore per lo più schiva: se il server non può leggere i dati, l'esportazione va costruita nel browser dopo la decifratura locale. È più lavoro di sviluppo — ed è il motivo per cui alcune piattaforme «cifrate» decifrano silenziosamente lato server per le esportazioni, il che dice che cosa sia davvero la loro cifratura. E il costo onesto: con una vera cifratura end-to-end, perdere la chiave significa perdere i dati. Non è lock-in, ma è un rischio operativo reale, e la risposta è la disciplina nella custodia delle chiavi, non un prodotto più debole.

Come Schweizerform gestisce entrambe le cose

Stesso principio del resto della serie: lo pubblichiamo perché lo chiediamo agli altri.

Far uscire i dati

• L'esportazione CSV è disponibile in ogni piano, gratuito compreso. UTF-8 con byte order mark e quoting RFC-4180, così accenti e dieresi si aprono correttamente in Excel invece di diventare illeggibili.
• Excel, PDF e ZIP sono formati dei piani a pagamento. Preferiamo dirlo apertamente: il formato che porta con sé gli allegati sta nei livelli a pagamento — il CSV, che funziona sempre, no.
• L'archivio ZIP contiene i byte reali: un foglio con le risposte più una cartella files/ organizzata per invio con i nomi originali, le immagini delle firme, una password AES-256 opzionale sull'archivio e un file di errori che elenca ciò che non si è potuto decifrare anziché fallire in silenzio.
• La decifratura avviene nel vostro browser. Il server invia testo cifrato e chiavi incapsulate; il browser decifra, formatta il file e lo salva. L'unico testo in chiaro che esiste è il file che avete deliberatamente salvato — momento in cui iniziano i vostri obblighi di conservazione su quella copia.

Far cancellare i dati

• La cancellazione dell'account è una cancellazione dura delle righe di database e degli oggetti cifrati nello storage svizzero — non un flag e non solo le righe.
• Nessun orfano, nessuna cancellazione sbagliata. Gli oggetti da eliminare sono annotati con il percorso memorizzato all'interno della stessa transazione che cancella le righe: una pulizia può quindi toccare solo dati le cui righe sono già sparite, e nessun byte può restare indietro. Ciò che un guasto manca resta in coda e viene smaltito da uno sweeper che in produzione gira automaticamente.
• I dati altrui sono protetti dal vostro pulsante. Se possedete uno spazio di lavoro con altri membri, la cancellazione è rifiutata finché non lo trasferite o lo rimuovete; i moduli creati da voi nello spazio di un'altra persona vengono riassegnati al proprietario di quello spazio anziché essere distrutti con il vostro account.
• Le voci di audit sopravvivono, senza di voi. Le tracce delle azioni passate restano con l'id dell'autore rimosso e un'istantanea dell'indirizzo: la prova resta, l'account no.
• L'avvertenza onesta: la cancellazione è immediata e irreversibile, e in seguito non possiamo recuperare un account cancellato né i suoi invii. Esportate prima, se i dati potrebbero ancora servirvi. E poiché le risposte sono cifrate verso la vostra chiave della cassaforte, perderla rende i dati illeggibili — il percorso di recupero esiste, ma dipende dalla vostra disciplina, non dal nostro database.

Ciò che deliberatamente non affermiamo qui è una durata di conservazione dei backup: un numero che non abbiamo pubblicato non è una promessa su cui dovreste fare affidamento. Chiedetelo a noi — e a ogni fornitore — per iscritto, e conservate la risposta con la data. È esattamente lo standard che questo articolo vi invita ad applicare a noi.

Fate il test di uscita prima di averne bisogno

Una piattaforma che non potete lasciare non è una piattaforma che avete scelto. È una che state ancora scegliendo, ogni mese, senza che ve lo chiedano.

In sintesi

La portabilità appartiene a chi risponde; la vostra uscita appartiene al contratto e a ciò che il pulsante di esportazione produce davvero. «Cancellato» ha quattro significati e i fornitori raramente precisano quale offrono. Entrambe le domande costano poco finché le cose vanno bene e molto quando non vanno — fate quindi il test di uscita adesso, in un'ora, su un modulo vero.

Il punto di fondo è che il lock-in raramente è una clausola: è un accumulo. Allegati che esistono solo dietro un URL autenticato, moduli la cui logica nessuno ha documentato, link stampati su materiale non richiamabile, contenuti di risposte sparsi fra le caselle di posta. Nulla è stato deciso. Tutto ciò spiega perché le organizzazioni restino con strumenti di cui hanno smesso di fidarsi anni fa — uno schema ormai familiare dopo il costo nascosto degli strumenti per moduli «gratuiti».