Alternative a Formstack per dati HR riservati

Le risorse umane sono la categoria di moduli più difficile di questo mercato, e il motivo è strutturale più che tecnico. In ogni altro caso d’uso « chi può leggere i dati » significa il fornitore e la vostra informatica. In HR significa anche il dirigente citato nel reclamo, la referente HR il cui reparto è oggetto del colloquio di uscita, e l’amministratore che siede due scrivanie più in là di chi presenta la segnalazione. Uno strumento può essere di livello enterprise, certificato e ben cifrato e fallire comunque in HR perché a questo non ha risposta.

Questa pagina valuta quindi Formstack e cinque alternative su cinque soli criteri: chi può leggere gli invii dal lato fornitore, quanto finemente si può separare l’accesso all’interno della vostra organizzazione, quali controlli di conservazione esistono per reclami e colloqui di uscita, se l’hosting è europeo o svizzero, e se esiste una traccia di chi ha guardato che cosa. Ampiezza funzionale, modelli e integrazioni sono deliberatamente fuori elenco.

I cinque criteri che decidono un impiego HR

1. Chi può leggere gli invii dal lato fornitore. Per un canale di segnalazione anonimo è la differenza fra una promessa e una proprietà. Cifratura a riposo con chiavi del fornitore significa che il fornitore può decifrare; cifratura end-to-end significa che non può.
2. Separazione dei ruoli nella vostra organizzazione. Si può impedire a chi amministra l’account di leggere le risposte di un modulo specifico? Chi indaga può ottenere accesso in lettura senza diritti di modifica? La maggior parte degli strumenti risponde « no » e « no ».
3. Controlli di conservazione. Fascicoli di reclamo, colloqui di uscita e atti d’indagine hanno durate definite. La domanda è se lo strumento aiuti a farle rispettare o se la cancellazione dipenda dalla memoria di qualcuno.
4. Hosting e giurisdizione. Per un datore di lavoro svizzero con personale nell’UE, o per uno europeo soggetto alla direttiva whistleblowing, dove stanno i dati determina con quale autorità e con quale meccanismo di trasferimento avete a che fare.
5. Registrazione di audit. Chiusa un’indagine, « chi ha aperto questo fascicolo e quando » è una domanda a cui potreste dover rispondere davanti a un tribunale, a una rappresentanza del personale o a un’autorità di controllo.

Sotto tutti e cinque c’è un punto giuridico, ed è il motivo per cui i dipendenti svizzeri esitano prima di presentare qualsiasi cosa. Secondo l’art. 336a CO un licenziamento abusivo resta valido — il rapporto di lavoro finisce — e l’indennità è limitata a sei mensilità, con importi in pratica di solito ben inferiori. Chi valuta se segnalare il proprio superiore valuta contro quel numero. Tutto ciò che nel vostro processo lascia l’identità rintracciabile viene letto in quella luce. La posizione svizzera per esteso è in whistleblowing in Svizzera.

Formstack — e che cosa è cambiato con Intellistack

Formstack è stata a lungo la risposta predefinita per i moduli HR aziendali, e per ragioni reali: flussi e instradamenti di approvazione profondi, generazione documentale e firma elettronica nella stessa famiglia di prodotti, logica condizionale, e un modello di vendita e supporto enterprise che gli uffici acquisti riconoscono. Se la vostra raccolta HR è un processo a più passaggi con approvazioni e documenti generati, quel lavoro lo fa bene.

Tre cose da avere chiare prima di un impiego HR. Primo, l’hosting è negli Stati Uniti: il materiale di sicurezza di Formstack indica AWS negli USA come fornitore di hosting, e non abbiamo trovato alcuna opzione pubblicata di residenza UE o svizzera. Per un titolare svizzero è una comunicazione all’estero ai sensi dell’art. 16 nLPD che richiede un meccanismo documentato — spesso disponibile tramite lo Swiss–U.S. Data Privacy Framework, ma va messo per iscritto. Secondo, le funzioni di conformità più forti stanno in cima al listino: copertura HIPAA e BAA arrivano con accordi di livello enterprise, e il prodotto è modulare, quindi un flusso che copre moduli, documenti e firma accumula più abbonamenti. Terzo, la cifratura è a riposo con chiavi del fornitore — buona prassi, e non un ostacolo per il fornitore stesso.

Le ricerche « formstack china » che ruotano attorno a questo prodotto, nella nostra lettura, non parlano davvero della Cina. Sono la domanda che ogni acquirente HR prima o poi pone in qualche forma: dove vanno questi dati, e chi — supporto e sviluppo compresi — può raggiungerli? A quella domanda rispondono un elenco di subresponsabili e una politica di accesso del supporto, non un’ipotesi geografica. Chiedete entrambi per iscritto; un fornitore che li produce in fretta vi sta dicendo qualcosa di utile. La nostra vista di dettaglio è nel confronto con Formstack.

Le cinque alternative

Jotform — ampiezza, con HIPAA dietro un livello

Jotform è il sostituto funzionalmente più vicino e nettamente più economico: migliaia di modelli, approvazioni, generazione di PDF, integrazioni. Per l’HR contano i livelli — le funzioni HIPAA partono da Gold a 129 USD al mese, e la residenza dei dati configurabile è riservata a Enterprise, mentre altrimenti i dati delle risposte stanno su Google Cloud in Iowa e a Francoforte. Jotform propone anche agenti IA rivolti a chi risponde; attivarli su un canale HR aggiunge un fornitore di modelli al percorso, come sviluppiamo in generatori di moduli con IA a confronto.

Microsoft Forms — gratuito, già presente e qui di solito la scelta sbagliata

È nel tenant, non costa nulla in più e per una rilevazione interna va bene. Per una raccolta HR riservata fallisce di solito già al secondo criterio: gli amministratori del tenant raggiungono i dati delle risposte, e nella maggior parte delle organizzazioni siedono nella stessa azienda del dirigente segnalato. Aggiungete che un tenant svizzero (AELS) atterra nella macroregione europea e che Forms non porta alcun impegno specifico di residenza — un’approvazione Advanced Data Residency per Exchange, SharePoint e Teams non vi si estende. Dettagli in Microsoft Forms è conforme al diritto svizzero.

Tally — ospitata nell’UE ed economica, senza controlli specifici per l’HR

Tally BV è belga, i dati dei moduli sono cifrati in transito e a riposo e conservati in Europa, un contratto di trattamento viene accettato all’apertura dell’account, e il piano gratuito è insolitamente generoso. Per l’amministrazione HR ordinaria — iscrizione a una formazione, richiesta di materiale, adesione ai benefit — è una risposta sensata ed economica che tiene i dati nell’UE. Non è pensata per raccolte riservate: leggete l’elenco dei subresponsabili, che supera le sedici voci, e notate che il fornitore può leggere gli invii come qualunque piattaforma convenzionale.

Autogestito (Nextcloud Forms, LimeSurvey) — sovranità senza riservatezza

Gestire lo strumento da soli elimina del tutto il fornitore, il che ha valore reale — e per l’HR sposta il problema più che risolverlo. Le risposte stanno in chiaro in un database amministrato dalla vostra informatica, e la cifratura lato server ed end-to-end di Nextcloud non copre affatto le risposte di Forms, perché sono dati applicativi e non file. Per una linea reclami, « solo la nostra informatica può leggerlo » è spesso l’obiezione e non la rassicurazione. Il dettaglio è in Schweizerform vs Nextcloud Forms e Schweizerform vs LimeSurvey.

Schweizerform — costruito per il caso in cui il lettore è il rischio

Le risposte sono cifrate nel browser della persona che le invia; il server conserva testo cifrato e la decifratura avviene nel browser di chi detiene la chiave della cassaforte. È la proprietà di cui un canale anonimo ha davvero bisogno: non una policy secondo cui l’HR non guarderà, ma un’architettura in cui noi non possiamo e in cui solo chi detiene la chiave può. L’accesso all’interno della vostra organizzazione è separato da ruoli di workspace — proprietario, amministratore, membro e visualizzatore, quest’ultimo in sola lettura — così che chi indaga possa ricevere accesso a un solo workspace senza diritti sul resto. Gli invii cifrati sono conservati in Svizzera, la pagina del modulo non porta tracciatori né cookie, e una definizione pubblica in IT, DE, FR e EN, il che conta per qualunque datore di lavoro distribuito sulle regioni linguistiche.

Faccia a faccia sui criteri HR

La prima colonna separa un canale HR da un modulo HR. Tutto il resto della tabella si può comprare o configurare; la prima colonna è una proprietà dell’architettura e non si compra.

Conservazione — il criterio che tutti specificano troppo poco

Fascicoli di reclamo, atti d’indagine e colloqui di uscita hanno durate, e quella durata raramente è « per sempre ». Diritto del lavoro, accordi con la rappresentanza del personale e la vostra policy fissano il periodo; il fallimento pratico è che nulla lo impone, così una cartella di colloqui di uscita del 2019 resta leggibile nel 2026 da chi ha ereditato l’account. Ponete a ogni fornitore due domande: si può impostare un periodo di conservazione per modulo, e la cancellazione rimuove i dati anche da backup ed esportazioni oltre che dall’interfaccia?

La nostra posizione onesta, formulata come chiediamo ai fornitori di formulare la loro: al momento non offriamo una regola di conservazione automatica per modulo. La cancellazione è un’azione che compite voi — singolarmente o in blocco — e quando la compite è una cancellazione definitiva dei record e degli oggetti archiviati, non una bandierina nascosta. Quel che non faremo è lasciare intendere un’automazione che non esiste. Fissate il periodo nella vostra policy, mettetelo in agenda e usate la cancellazione in blocco; il quadro per scegliere periodi difendibili è in la conservazione dei dati dei moduli, e che cosa significhi davvero « cancellato » sulle varie piattaforme in esportare, migrare e cancellare i dati.

Anonimato: che cosa richiedono davvero i moduli HR

Due cose diverse si chiamano anonime, e confonderle è il modo in cui le promesse HR si rompono. Anonimo significa che nulla di raccolto può identificare la persona, metadati e testo libero inclusi. Pseudonimo significa che l’identità esiste ma è separata — un numero di caso, un canale di risposta, la possibilità di chiedere chiarimenti. I canali di segnalazione di solito richiedono il secondo, perché una segnalazione che non si può chiarire spesso non si può indagare; i sondaggi ai dipendenti di solito il primo. Sbagliate scelta e non potrete agire sulle segnalazioni oppure non potrete mantenere la promessa. La distinzione è in moduli anonimi o pseudonimi.

Qualunque cosa scegliate, tre cose rompono l’anonimato nella pratica, in ordine di frequenza: le scomposizioni demografiche nel reporting, dove team piccoli incrociati per anzianità e funzione producono celle da una persona; il testo libero, dove le persone descrivono episodi vissuti solo da loro; e i metadati, dove una marca temporale e un indirizzo IP bastano a capire chi ha inviato alle 23:14 dalla rete dell’ufficio. L’aritmetica è in quante risposte servono perché l’anonimato regga, e la questione dei metadati — incluso che cosa conserviamo per ogni invio e che cosa deliberatamente no — in indirizzi IP e metadati dei moduli.

Prezzi — e perché la tariffazione modulare fa male proprio in HR

Formstack è posizionata nettamente sopra il mercato generale dei costruttori di moduli e si vende in modo modulare: un flusso HR che copre moduli, documenti generati e firma può finire con più abbonamenti; la copertura HIPAA e i controlli enterprise più forti stanno in cima e si preventivano invece di essere listati. Verificate la struttura attuale direttamente, tanto più data la transizione a Intellistack. Le funzioni HIPAA di Jotform partono da Gold a 129 USD al mese, con la residenza dei dati riservata a Enterprise. Tally costa 24 USD per Pro e 74 USD per Business. Microsoft Forms è incluso in un abbonamento che già avete. L’autogestione costa infrastruttura più il tempo del personale per gestirla in sicurezza.

Schweizerform offre Gratuito, Pro a 19 CHF al mese e Business a 49 CHF al mese, con cifratura end-to-end, conservazione in Svizzera degli invii cifrati e il modello di ruoli di workspace senza una trattativa enterprise. Non siamo il prodotto di workflow più capace — siamo quello in cui la proprietà di riservatezza non è un livello di piano. I limiti attuali sono nella pagina dei prezzi.

Quale alternativa per quale compito HR

Restate su Formstack quando

• il valore è il flusso: approvazioni a più passaggi, documenti generati, firma elettronica e integrazione con un sistema HR
• i moduli sono amministrativi e non riservati — pratiche di inserimento, materiale, benefit, formazione
• l’hosting statunitense è documentato e accettato nella vostra valutazione dei trasferimenti, e il contratto con il nuovo nome dell’entità è in essere

Passate a Jotform o Tally quando

• il costo è il fattore decisivo e i dati sono normale amministrazione HR
• volete hosting europeo senza una trattativa enterprise — Tally in particolare
• avete letto l’elenco dei subresponsabili e accettate che il fornitore possa leggere gli invii

Passate a Schweizerform quando

• il canale è una linea reclami, una raccolta di segnalazioni, una denuncia di molestie, un colloquio di uscita o una dichiarazione sanitaria
• la persona da cui il modulo protegge i collaboratori potrebbe plausibilmente avere accesso amministrativo allo strumento
• volete che i collaboratori credano alla promessa di anonimato — e « cifrato nel vostro browser; qui nessuno può leggerlo » è la frase che li convince
• vi serve lo stesso canale in IT, DE, FR e EN attraverso le regioni linguistiche
• invii cifrati in Svizzera contano per la rappresentanza del personale, il responsabile della protezione dei dati o l’ufficio legale

La risposta realistica: dividere il parco

Nessuno dovrebbe migrare un intero parco di moduli HR per soddisfare tre moduli, e nessuno dovrebbe far girare un canale di segnalazione sullo stesso strumento della richiesta di posteggio perché il consolidamento sembrava ordinato. Tenete il prodotto di workflow per il workflow — inserimento, approvazioni, documenti, firma — e mettete la raccolta riservata su una piattaforma in cui la riservatezza è strutturale. Nella maggior parte delle organizzazioni sono da tre a sei moduli su sessanta, ed è la riduzione di rischio più economica che la tecnologia HR possa offrire. La vista verticale è nel caso d’uso HR e segnalazioni, e gli obblighi europei — riscontro entro 7 giorni, riscontro finale entro 3 mesi, raccolta multilingue — in la direttiva UE sul whistleblowing.