Schweizerform vs LimeSurvey

LimeSurvey è lo strumento di sondaggio predefinito in gran parte delle università, degli ospedali e delle amministrazioni cantonali svizzere, e il motivo è semplice: è software libero con una logica delle domande che in questo mercato nessuno eguaglia, senza costi per risposta, con un’installazione che possedete da cima a fondo. Se il requisito è uno strumento da 200 domande con diramazioni, quote, randomizzazione e versioni multilingue, LimeSurvey lo fa e noi no.

Il confronto utile non è quindi « quale è migliore » ma « che cosa rende impossibile ciascuno ». LimeSurvey rende impossibile che un fornitore esterno detenga i vostri dati, perché non c’è alcun fornitore esterno. Schweizerform rende impossibile che qualcuno legga una risposta — noi compresi, e compreso un ordine dell’autorità indirizzato a noi — perché la decifratura avviene nel vostro browser con una chiave che non riceviamo mai. Sono garanzie diverse, e la scelta onesta parte dalla funzione di cifratura di LimeSurvey stessa, più spesso data per scontata che letta.

Come si posiziona ciascun prodotto

LimeSurvey — il motore di sondaggi open source

LimeSurvey Community Edition è software GPL che installate sul vostro server; LimeSurvey Cloud è la versione commerciale ospitata, gestita da LimeSurvey GmbH ad Amburgo. La dotazione funzionale è davvero profonda: decine di tipi di domanda, logica condizionale ed espressioni complesse, quote, randomizzazione, token di partecipazione e inviti, integrazione con panel, sondaggi multilingue, statistiche ed esportazioni in ogni formato che uno statistico possa chiedere. Per la ricerca accademica è l’implementazione di riferimento di uno strumento di sondaggio online, e una pagina che sostenesse il contrario non vi servirebbe a nulla.

Schweizerform — raccolta cifrata, conoscenza zero per impostazione

Schweizerform è uno strato di raccolta cifrata, non una piattaforma di ricerca. Ogni invio è cifrato nel browser di chi risponde con AES-256-GCM, la chiave dell’invio è incapsulata con la chiave pubblica del modulo, e il server conserva testo cifrato che non ha modo di aprire. La decifratura avviene nel vostro browser con la chiave della cassaforte, derivata lato client e mai inviata a noi. Gli invii cifrati sono conservati in Svizzera presso Infomaniak, una definizione di modulo pubblica in IT, DE, FR e EN, e la pagina pubblica non carica tracciatori di terzi. Vediamo i testi delle vostre domande — sono in chiaro sul server perché il modulo possa essere mostrato — e non vediamo nessuna risposta.

L’opzione di cifratura di LimeSurvey — che cosa fa e che cosa non fa

È la sezione che decide gran parte di questo confronto, perché « LimeSurvey supporta la cifratura » è tecnicamente vero e diffusamente frainteso. La funzione cifra i dati personali nel database centrale dei partecipanti, i dati nelle tabelle dei partecipanti al sondaggio e le singole risposte dove l’attributo « cifrato » della domanda è attivato. Richiede la libreria PHP Sodium. È una funzione reale e utile, usata da istituzioni serie.

Ciò che cambia l’analisi è dove sta la chiave. Secondo il manuale di LimeSurvey, la chiave pubblica e quella segreta si trovano in /application/config/security.php e vengono generate automaticamente al primo uso della funzione. In altre parole, la chiave sta in un file sullo stesso server del database che protegge — che è la progettazione corretta per lo scopo di questa funzione, e che significa che protegge da un dump di database rubato, non da chi ha accesso al server. Il manuale è altrettanto netto sulla conseguenza della perdita: fate backup delle chiavi, perché senza di esse i dati diventano inutilizzabili e non sono più recuperabili. E una volta create, le chiavi non vanno mai cambiate, altrimenti i dati esistenti diventano illeggibili.

• È cifratura a riposo con chiave in mano al gestore. Chi può leggere il filesystem del server legge la chiave, e quindi i dati. Questo include i vostri amministratori, il vostro hoster in caso di hosting gestito e un attaccante che abbia ottenuto accesso al server e non solo al database.
• Vi costa la ricerca. Il manuale indica che la ricerca su sottostringa non è possibile nelle colonne cifrate — solo la corrispondenza esatta. Se cifrate un campo di testo libero, non potete più cercarci dentro.
• È per domanda e su attivazione. La cifratura delle risposte è un attributo di domanda che qualcuno deve attivare, sondaggio per sondaggio e domanda per domanda. L’impostazione predefinita è « spento », come per l’anonimizzazione.
• La perdita della chiave è irreversibile e la rotazione non è prevista nel senso consueto. È lo stesso scambio che accetta una piattaforma a conoscenza zero — conviene conoscerlo prima di scoprirlo durante un incidente.

I modelli di sicurezza a confronto

Tolte le liste di funzioni restano due domande: chi può tecnicamente leggere una risposta, e che cosa deve andare storto perché ciò cambi?

LimeSurvey — il gestore siete voi, e il confine di fiducia è il vostro server

In autogestione nessun fornitore vede i vostri dati: un vantaggio reale e spesso decisivo. In cambio, la riservatezza di ogni risposta poggia sul vostro hardening, sul ritmo delle patch, sul controllo degli accessi al database e sulla gestione dei backup. Le risposte stanno nel vostro database MySQL, in chiaro finché non è attiva la cifratura per domanda, e leggibili da chiunque abbia accesso al database o al filesystem. Per un sondaggio istituzionale condotto da un gruppo di ricerca sotto la stessa governance dei ricercatori è del tutto appropriato. Per un sondaggio sull’istituzione — molestie, condotta dei dirigenti, segnalazioni — le persone con accesso al database fanno spesso parte del gruppo da cui il sondaggio protegge chi risponde.

Schweizerform — la chiave non raggiunge mai il server

Noi deteniamo testo cifrato e chiavi incapsulate. Non esiste configurazione, strumento di supporto o deroga amministrativa che produca una risposta leggibile dalla nostra parte, perché il materiale necessario a decifrare deriva da una chiave della cassaforte che non riceviamo mai. Questa proprietà non dipende dal nostro buon comportamento, dai controlli sul personale o da quale autorità chieda. Taglia anche nell’altro senso: se perdete la chiave della cassaforte non possiamo aiutarvi, e le risposte sono perse. Il meccanismo è descritto in architettura a conoscenza zero spiegata.

Confronto diretto delle funzioni

Hosting e giurisdizione — incluse le regioni di LimeSurvey Cloud

È qui che le istituzioni svizzere scoprono più spesso uno scarto fra ciò che davano per scontato e ciò che hanno comprato. LimeSurvey Cloud offre una scelta di regione di hosting su tutti i piani, e l’insieme pubblicato comprende Germania, Finlandia, Regno Unito, Stati Uniti, Canada, Australia e Singapore. La Svizzera non c’è, e la controparte contrattuale è LimeSurvey GmbH ad Amburgo. Un’università svizzera che voglia LimeSurvey con residenza dei dati in Svizzera ha una sola strada: installare la Community Edition su infrastruttura svizzera — Infomaniak offre installazioni LimeSurvey con un clic nei suoi centri dati svizzeri, e Hostpoint gestisce il proprio hosting su server in Svizzera.

Se il vostro sondaggio tratta dati coperti da segreto professionale o da una legge cantonale sulla protezione dei dati, la questione della residenza è solo metà dell’analisi; l’altra metà è chi può leggere i dati una volta lì. Il nostro elenco fornitore per fornitore è in strumenti per moduli e sondaggi ospitati in Svizzera, e la vista di categoria in strumenti di sondaggio conformi a confronto.

Il costo reale di gestire LimeSurvey da soli

« Gratuito » qualifica la licenza, non l’esercizio. Un’installazione LimeSurvey su cui si possa davvero mettere un sondaggio sensibile richiede, in continuo e sotto la responsabilità di qualcuno:

• aggiornamenti di PHP, del database e di LimeSurvey, comprese le versioni che rompono la compatibilità, a un ritmo che stia al passo con le vulnerabilità pubblicate
• ciclo di vita dei certificati TLS, intestazioni di sicurezza HTTP e una configurazione del web server irrobustita
• backup del database e del filesystem verificati con un ripristino, più conservazione sicura delle chiavi di cifratura separata dal server se la funzione è in uso
• controllo degli accessi e revisione periodica — chi ha la shell, chi ha le credenziali del database, chi ha lasciato l’istituzione lo scorso trimestre
• conservazione dei log, monitoraggio e un vero percorso di rilevamento delle compromissioni, perché l’art. 24 nLPD impone di notificare all’IFPDT al più presto le violazioni che comportano probabilmente un rischio elevato
• routine di conservazione e cancellazione, perché le risposte si accumulano in un database che nessuno guarda più una volta finito lo studio

Secondo l’art. 8 nLPD le misure tecniche e organizzative sono un obbligo del titolare, e l’autogestione le concentra tutte su di voi. Le istituzioni con un’informatica professionale lo assorbono senza fatica: è il loro mestiere. Un gruppo di ricerca di quattro persone, uno studio o una direzione scolastica spesso no, e il modo di fallire non è spettacolare: un’istanza senza patch che tre anni dopo eroga ancora un sondaggio chiuso. La versione generale di questo compromesso è nel confronto con i moduli autogestiti, e la vista sul parco moduli in gestione digitale dei moduli.

Prezzi

Il modello di LimeSurvey

La Community Edition è software libero: nessun canone di licenza, nessun costo per risposta; i vostri costi sono hosting e tempo del personale. LimeSurvey Cloud è ad abbonamento e misurato su risposte e spazio — come indicato a luglio 2026: Basic a 44 CHF al mese per 1'000 risposte al mese e 250 MB, Expert a 40 CHF al mese con fatturazione annuale per 10'000 risposte l’anno e 1 GB, Business a 70 CHF al mese con fatturazione annuale per 50'000 risposte l’anno e 3 GB, e Corporate su richiesta. Notate la forma: i piani cloud contano le risposte, quindi un solo studio ampio può consumare la dotazione di un anno.

Il modello di Schweizerform

Gratuito, Pro a 19 CHF al mese e Business a 49 CHF al mese. La cifratura end-to-end e la conservazione in Svizzera degli invii cifrati non sono un livello: sono il funzionamento del prodotto su ogni piano, anche quello gratuito, perché non esiste una modalità non cifrata da vendervi. I piani differiscono per volume, postazioni e funzioni avanzate; i limiti attuali sono nella pagina dei prezzi.

Quale strumento per quale caso

Scegliete LimeSurvey quando

• lo strumento è complesso: diramazioni, espressioni, quote, randomizzazione, misure ripetute, più versioni linguistiche con logiche diverse
• vi servono token di partecipazione, gestione di inviti e solleciti, o integrazione con panel
• l’analisi deve avvenire nello strumento, con statistiche e tabelle incrociate lato server
• avete un’informatica istituzionale che già gestisce lo stack, o un hosting in cui qualcuno ne risponde
• il sondaggio è ricerca con partecipanti consenzienti e non un canale che qualcuno usa a rischio personale

Scegliete Schweizerform quando

• una risposta sincera potrebbe costare qualcosa a chi la dà — sondaggi ai dipendenti su dirigenti identificabili, raccolta di segnalazioni, questionari ai pazienti, sondaggi fra studenti o gruppi vulnerabili
• siete vincolati al segreto professionale dell’art. 321 CP, che lega il professionista e i suoi ausiliari
• volete invii cifrati conservati in Svizzera senza diventare gestori di infrastruttura
• il modulo è raccolta e non ricerca: candidature, invii, segnalazioni, entrata in relazione, consegna di documenti
• vi serve lo stesso modulo attivo in IT, DE, FR e EN senza mantenere quattro strumenti

Quando ha senso usarli entrambi

È l’esito frequente nelle istituzioni svizzere, ed è sensato. LimeSurvey resta dove si merita il proprio posto — strumenti di ricerca, valutazioni dei corsi, studi longitudinali con panel e quote. Una piattaforma di raccolta cifrata si prende l’insieme ristretto di canali in cui il contenuto è sensibile e la disponibilità a essere sinceri dipende dall’impossibilità di risalire: la linea etica, il sondaggio sulle molestie, il questionario di reclutamento dei pazienti, il modulo di feedback del centro sperimentale. Due strumenti delimitati per sensibilità non sono un fallimento del consolidamento: sono la risposta giusta a due problemi diversi. Dove passa il confine per la ricerca è esposto in protezione dei dati nella ricerca clinica — inclusa l’ammissione onesta che una piattaforma a conoscenza zero è lo strumento sbagliato per un eCRF regolamentato, perché monitor, auditor e ispettori devono poter leggere i record.

Spostare un sondaggio sensibile fuori da LimeSurvey

Difficilmente migrerete l’intero parco LimeSurvey, e non dovreste provarci. La mossa realistica è individuare la manciata di sondaggi che non sarebbero mai dovuti stare in un database leggibile e spostare solo quelli.

In sintesi

LimeSurvey è uno strumento di sondaggio migliore di Schweizerform e lo resterà: logica più profonda, vera gestione di panel, statistiche lato server e un canone di licenza pari a zero. Se il vostro lavoro è la ricerca per sondaggi, installatelo, mettetelo su infrastruttura svizzera se la residenza conta, impostate « risposte anonimizzate » su Sì deliberatamente e attivate l’attributo di cifratura sui campi che ne hanno bisogno.

Ciò che LimeSurvey non può darvi — in nessuna configurazione, a causa di dove sta la chiave — è la garanzia che chi gestisce il server non possa leggere le risposte. Quando è quello il requisito, non si sceglie fra due strumenti di sondaggio. Si sceglie fra uno strumento di sondaggio e un’architettura.