Alternative a Google Forms per team attenti alla privacy

Prima la risposta breve. Se la vostra obiezione a Google Forms è che un’azienda statunitense detiene copie leggibili delle vostre risposte, solo due delle otto alternative di questa pagina risolvono davvero il problema: una piattaforma cifrata end-to-end come Schweizerform o CryptPad Forms, oppure un’istanza di Nextcloud Forms, LimeSurvey o Formbricks che gestite voi stessi. Tutto il resto — Tally, Typeform, Jotform, Microsoft Forms — sposta la copia leggibile presso un’altra azienda, di norma nell’UE. Per un’organizzazione europea è un miglioramento reale, e non è lo stesso miglioramento.

Questa pagina è quindi una rosa di candidati, non un argomentario. La parola « alternativa » nasconde tre requisiti diversi — un’altra giurisdizione, un altro modello commerciale o un altro modello di minaccia — e lo strumento che soddisfa l’uno raramente soddisfa gli altri. Prendiamo gli otto candidati uno alla volta, diciamo cosa cambia davvero ciascuno rispetto a Google Forms, indichiamo i prezzi, stimiamo lo sforzo di migrazione e chiudiamo con i casi in cui restare su Google Forms è la decisione giusta.

Che cosa non va davvero in Google Forms, dal lato privacy?

Siamo precisi, perché la versione approssimativa di questa critica si confuta facilmente e indebolisce tutto il resto del ragionamento. Google Forms è cifrato: TLS in transito, cifratura a riposo nell’infrastruttura di Google, con chiavi in mano a Google. Google afferma che i dati dei clienti Workspace non vengono usati per la pubblicità né per addestrare modelli di IA generativa al di fuori del servizio. Il prodotto è gestito da una delle migliori organizzazioni di security engineering al mondo. Quasi nulla nell’elenco qui sotto batte Google sulla sicurezza operativa pura.

Il divario non è la cifratura. Riguarda l’accesso, la giurisdizione e il tipo di account. Cinque punti concreti spingono i team fuori da Google Forms:

• Il fornitore può leggere le risposte. La cifratura con chiavi in mano al fornitore protegge da un disco rubato, non dal fornitore, dai suoi strumenti di supporto o da un ordine dell’autorità a lui indirizzato. Non è un difetto di Google: funziona così quasi ogni piattaforma di moduli.
• Anche il vostro amministratore Workspace può leggerle. Gli amministratori di dominio accedono a file e risposte dell’organizzazione. Per un modulo di reclamo, un canale di segnalazione o un sondaggio sulla soddisfazione del personale è spesso il fatto dirimente, e non ha nulla a che vedere con Google.
• Non esiste una regione svizzera. Le regioni dei dati di Workspace coprono Forms, ma le scelte sono « nessuna preferenza », Stati Uniti o Europa. La Svizzera non c’è, e la regione Google Cloud di Zurigo è Google Cloud Platform, non Workspace.
• Le regioni dei dati sono una funzione a pagamento. Richiedono un’edizione Workspace supportata — Business Standard/Plus, Enterprise Standard/Plus, Education Standard/Plus, Frontline o Enterprise Essentials Plus. Nel prodotto gratuito per consumatori non esiste alcun controllo di regione.
• Gli account consumer sono un contratto diverso. Un modulo creato da un account @gmail.com personale ricade nelle condizioni consumer di Google, non in un contratto Workspace: nessun contratto di responsabile del trattamento, nessun controllo amministrativo, nessuna regione dei dati. Moltissimi moduli aziendali nascono silenziosamente così.

La questione della sicurezza la sviluppiamo in Google Forms è sicuro? e quella giuridica svizzera in Google Forms è legale in Svizzera?. In breve la seconda: non è vietato, è un esercizio di documentazione ai sensi degli art. 16 e 17 nLPD — finché non entrano in gioco un segreto professionale o una categoria di dati davvero degni di particolare protezione.

Le otto alternative — e che cosa cambia ciascuna davvero

Se il requisito è che nessuno possa leggere le risposte

Schweizerform cifra ogni invio nel browser di chi risponde, prima che lasci il dispositivo. Il server conserva testo cifrato e chiavi incapsulate; la decifratura avviene nel vostro browser con la chiave della cassaforte, che a noi non arriva mai. I moduli si creano in IT, DE, FR e EN, gli invii cifrati sono conservati in Svizzera presso Infomaniak, e la pagina pubblica del modulo non carica alcun tracciatore di terzi: fra il clic e la prima domanda non c’è quindi alcun banner di consenso. Quello che vediamo è il modulo stesso — i testi delle domande e le impostazioni sono in chiaro sul server. Quello che non vediamo è qualunque risposta. Il meccanismo è descritto in architettura a conoscenza zero spiegata.

CryptPad Forms è l’opzione cifrata end-to-end davvero comparabile, ed è software libero. CryptPad è una suite collaborativa a conoscenza zero della società francese XWiki SAS: cifratura e decifratura avvengono nel browser, il server conserva solo testo cifrato, e l’applicazione Moduli supporta testo, scelta multipla, sondaggi, classifiche e selettori di data, con esportazione CSV e JSON. Potete usare l’istanza pubblica cryptpad.fr o ospitarne una vostra seguendo la guida di amministrazione. Per molti team è la risposta giusta — ed è una suite per ufficio generalista più che un prodotto per moduli: pubblicazione multilingue, personalizzazione per modulo, campi di pagamento, gestione strutturata degli allegati e quote non sono il suo obiettivo.

Se il requisito è hosting europeo con un normale contratto SaaS

Tally è ciò che più si avvicina a un sostituto diretto, con il piano gratuito più generoso della categoria: moduli e invii illimitati nei limiti dell’uso corretto, inclusi logica condizionale, calcoli, caricamenti di file, firme, pagamenti e moduli multilingue. Tally BV è belga, la sua pagina GDPR pubblicata indica che i dati dei moduli sono cifrati in transito e a riposo e conservati in Europa, e un contratto di trattamento viene accettato all’apertura dell’account senza passaggio di firma. Leggete l’elenco dei subresponsabili prima di eleggerla a opzione « privacy »: conta oltre sedici voci, fra cui Google Cloud per l’hosting, Cloudflare, SendGrid, Stripe, Sentry e Mixpanel. I livelli a pagamento sono Pro a 24 USD e Business a 74 USD al mese. La nostra vista di dettaglio è nel confronto con Tally.

Typeform offre l’esperienza conversazionale, una domanda per schermata, e nulla in questo elenco eguaglia la sua cura per i moduli di marketing e di ricerca. Il quadro privacy è più debole di quanto suggerisca l’immagine europea: i server principali girano su AWS in Virginia, con un centro dati UE disponibile sui livelli superiori negoziati. I prezzi indicati a luglio 2026 sono Basic 29 USD, Plus 59 USD e Business 99 USD al mese, e il piano gratuito è sceso a dieci risposte al mese nel febbraio 2026. Dettagli nel confronto con Typeform.

Jotform è il massimalista funzionale: migliaia di modelli, integrazioni profonde, gestione dei pagamenti, generazione di PDF, flussi di approvazione. I dati delle risposte risiedono su Google Cloud in Iowa e a Francoforte, con replica di backup su AWS Virginia e Francoforte; il centro dati UE è attivato automaticamente per gli account creati nell’UE. Guardate bene i livelli: Starter è gratuito con 100 invii al mese, Bronze costa 39 USD per 1'000, Silver 49 USD per 2'500, Gold 129 USD per 10'000 e aggiunge le funzioni HIPAA, e la residenza dei dati configurabile è riservata a Enterprise. Si veda il confronto con Jotform.

Microsoft Forms è l’alternativa che la maggior parte delle organizzazioni svizzere già possiede, e per un sondaggio interno in un tenant esistente è una scelta ragionevole che non richiede alcun ciclo d’acquisto. Due fatti decidono se possa reggere di più: un tenant svizzero (AELS) atterra nella macroregione europea e non in una svizzera, e Forms figura tra i servizi senza impegno specifico di residenza dei dati — quindi un’approvazione Advanced Data Residency che copre Exchange, SharePoint e Teams non copre Forms. Gli amministratori del tenant raggiungono inoltre i dati delle risposte. Dettagli nel confronto con Microsoft Forms.

Se il requisito è gestirlo voi stessi

Nextcloud Forms è gratuito se l’istanza già ce l’avete. Se la vostra organizzazione gestisce Nextcloud su infrastruttura svizzera o europea, hosting e sovranità sono già risolti e aggiungere i moduli non costa nulla. La distinzione da vedere con lucidità: le risposte sono conservate lato server nella vostra Nextcloud, leggibili da chiunque vi abbia accesso amministrativo — è la vostra informatica invece di un fornitore, ma non è la stessa cosa di nessuno.

LimeSurvey e Formbricks sono i motori per sondaggi open source seri. LimeSurvey è l’installato di università, ospedali e amministrazioni cantonali svizzere, con una profondità di logica delle domande che qui nessuno raggiunge. Formbricks è il progetto moderno — AGPLv3, risposte illimitate in autogestione, con un piano cloud il cui livello gratuito si ferma a 250 risposte al mese. Installati su hosting svizzero come Infomaniak o Hostpoint, entrambi danno ai vostri dati una casa svizzera e il controllo completo sulla conservazione. Il costo onesto: le risposte finiscono in chiaro nel vostro database, e patch, backup, rinnovo TLS, revisioni degli accessi e rilevamento degli incidenti diventano obblighi vostri ai sensi dell’art. 8 nLPD. Sviluppiamo il compromesso nel confronto con i moduli autogestiti.

Le otto alternative a confronto

Leggete prima la terza colonna e il resto dopo. Divide l’elenco in due gruppi che in realtà non competono fra loro: cinque prodotti in cui un fornitore detiene dati leggibili sotto contratto, e quattro in cui i dati leggibili sono fuori portata matematicamente o fisicamente sul vostro hardware. Scegliere fra Tally e Typeform è una decisione di prodotto. Scegliere fra Tally e CryptPad è una decisione sul modello di minaccia.

Privacy: il criterio che ordina l’elenco

In questo mercato esistono esattamente tre architetture di privacy, e ogni prodotto di questa pagina è una di esse. Chiavi in mano al fornitore: la piattaforma cifra con chiavi che controlla, il che ferma chi ruba un disco e non ferma la piattaforma. Autogestione in chiaro: nessun fornitore esterno è coinvolto, e il vostro database contiene risposte leggibili raggiungibili dai vostri amministratori, dai backup e da qualunque compromissione del server. Cifratura end-to-end: la chiave non lascia mai il client, quindi il gestore conserva materiale che non può aprire. Le differenze sono esposte in crittografia a riposo vs end-to-end.

Questo ordine conta più di qualsiasi griglia di funzioni, perché tutto ciò che sta sulla pagina privacy di un fornitore — certificazioni, contratti di trattamento, elenchi di subresponsabili — descrive promesse su dati leggibili. Sono sensate, azionabili e vale la pena averle. Sono però una categoria di protezione diversa da un’architettura in cui non c’è nulla di leggibile su cui promettere. Entrambe sono legittime. Solo una sopravvive a un ordine indirizzato al fornitore, come raccontiamo in provvedimenti, mandati e i dati dei vostri moduli.

Hosting e giurisdizione: dove atterrano davvero le risposte

Nessuna delle alternative mainstream offre la Svizzera. Tally è in Europa su Google Cloud in Belgio; il default di Typeform è la Virginia con opzione UE sui livelli negoziati; Jotform è in Iowa e a Francoforte; Microsoft colloca i tenant svizzeri nella macroregione UE/AELS. Per un’organizzazione svizzera significa che lasciare Google Forms porta di solito da « Stato terzo adeguato più la questione del Data Privacy Framework » a « Stato terzo adeguato sotto la decisione di adeguatezza UE » — un alleggerimento burocratico, non un’uscita dall’analisi dei trasferimenti. Il test giuridico è in quali dati dei moduli possono lasciare legalmente la Svizzera.

Una residenza svizzera autentica arriva solo da tre fonti: un prodotto ospitato in Svizzera, un’istanza installata da voi su infrastruttura svizzera come Infomaniak o Hostpoint, o un CryptPad autogestito su hardware svizzero. Chi soddisfa davvero questi requisiti, fornitore per fornitore, è in strumenti per moduli e sondaggi ospitati in Svizzera, inclusi gli strumenti dall’immagine svizzera che trattano su AWS in Irlanda.

Prezzi: quanto costa lasciare Google Forms

Uno schema merita di essere nominato, perché si ripete nei prodotti commerciali: la funzione rilevante per la privacy è quella dietro il paywall più alto. Jotform vende la residenza configurabile con Enterprise. L’hosting UE di Typeform sta sui livelli negoziati. Le regioni dei dati di Google richiedono un’edizione Workspace supportata. Se per voi la residenza dei dati è un requisito giuridico e non una preferenza, mettete a budget il livello che la contiene — o scegliete un prodotto in cui non è affatto un livello. La nostra posizione è la più semplice: gli invii cifrati sono conservati in Svizzera su ogni piano, anche quello gratuito, perché non c’è nessun’altra regione da vendere. I limiti sono nella pagina dei prezzi.

L’altro schema è quello dietro Google Forms stesso. Gli strumenti gratuiti non sono opere di beneficenza, e la moneta di solito è l’attenzione, il lock-in o i dati. Lo smontiamo in il costo nascosto degli strumenti per moduli « gratuiti » — notando di passaggio che Tally, CryptPad, Nextcloud Forms e Formbricks sono veri controesempi, in cui il piano gratuito è semplicemente generoso.

Sforzo di migrazione: quanto costa ciascun passaggio?

Due note oneste. Primo, nessuno in questo mercato ha un importatore Google Forms affidabile: mettete a budget una ricostruzione invece di una migrazione — ed è il momento giusto per eliminare i campi che non vi servono più da tre anni. Secondo, il passo aggiuntivo su una piattaforma cifrata end-to-end è reale: poiché non possiamo leggere i vostri dati, non possiamo nemmeno recuperarli se la chiave della cassaforte va persa. È lo scambio che questa architettura accetta, e richiede una decisione sulla custodia della chiave prima del primo modulo, non dopo.

Come lasciare Google Forms senza perdere nulla

Quale alternativa per quale team

Scegliete Tally, Typeform o Jotform quando…

…i dati sono normali dati aziendali e il requisito è un prodotto migliore con un contratto europeo. Tally è la scelta qualità-prezzo e la più vicina a un sostituto uno a uno di Google Forms, Typeform vince dove l’esperienza di chi risponde incide sul tasso di completamento, e Jotform vince dove servono pagamenti, PDF e flussi di approvazione nello stesso posto. Tutti e tre offrono un contratto di trattamento e un hosting europeo dichiarato. Nessuno cambia chi può leggere le risposte.

Scegliete Nextcloud Forms, LimeSurvey o Formbricks quando…

…il controllo è il requisito vero e avete la capacità operativa per sostenerlo. Schema, conservazione, formato di esportazione e percorso di aggiornamento sono vostri, e nella catena non c’è alcun responsabile del trattamento. Sceglietelo perché volete quel controllo, non perché l’autogestione suona più sicura per default: le risposte sono in chiaro in un database che ora difendete voi, e l’art. 8 nLPD mette a vostro carico le misure tecniche e organizzative.

Scegliete CryptPad Forms quando…

…volete cifratura end-to-end, software libero e nessuna relazione con un fornitore, e il vostro flusso di lavoro sta bene dentro una suite per ufficio. È un progetto serio e credibile, e per un collettivo, una piccola associazione o un gruppo di ricerca che già usa CryptPad per i documenti è un’ottima risposta. Quello a cui rinunciate rispetto a un prodotto dedicato è la meccanica specifica dei moduli: pubblicazione multilingue dello stesso modulo, personalizzazione, quote e statistiche, gestione strutturata degli allegati — e qualcuno da chiamare.

Scegliete Schweizerform quando…

…gli invii contengono qualcosa che un fornitore non dovrebbe detenere in forma leggibile, e non volete diventare amministratori di sistema per ottenerlo. Accettazione di pazienti, segnalazioni di collaboratori, canali di whistleblowing, entrata in relazione con la clientela, tutto ciò che tocca il segreto professionale dell’art. 321 CP — che vincola non solo il professionista ma anche i suoi ausiliari. Invii cifrati conservati in Svizzera, moduli pubblicati in quattro lingue da un’unica definizione, nessun tracciatore sulla pagina del modulo, e nessun modo per noi di leggere una risposta, nemmeno se fossimo costretti a provarci.

Dove Google Forms resta la risposta giusta

In molti casi, e una pagina di confronto che finge il contrario non merita di essere letta. Un sondaggio per il pranzo del team, un feedback di workshop, l’iscrizione a una sessione di conferenza, un quiz in classe, una verifica interna di disponibilità in un dominio Workspace: Google Forms è gratuito, lo conoscono tutti, è affidabile e i dati non sono sensibili. Cambiare strumento costa formazione e abitudini, e spendere quel costo per raccolte innocue è un cattivo affare. La domanda giusta non è mai « dobbiamo lasciare Google Forms » in astratto, ma « quali dei nostri moduli non avrebbero mai dovuto starci ».

Qual è l’alternativa a Google Forms più rispettosa della privacy?

Secondo la definizione stretta — il numero più piccolo di soggetti in grado di leggere una risposta — è un pareggio fra una piattaforma cifrata end-to-end e un’istanza gestita da voi, e quale delle due sia giusta dipende interamente dall’avere o meno qualcuno che sappia far girare un server. Fra le opzioni cifrate end-to-end, CryptPad Forms è la risposta del software libero e Schweizerform la risposta di prodotto con invii archiviati in Svizzera. Fra i prodotti commerciali europei, Tally offre la combinazione più forte di prezzo, funzioni e contratto europeo. E se da questa pagina prendete una cosa sola: leggete l’elenco dei subresponsabili, non la pagina di marketing, di quello che mettete in rosa.