Schweizerform vs Nextcloud Forms

Questo è il confronto più equo del nostro sito, quindi partiamo dalla concessione. Se la vostra organizzazione già gestisce Nextcloud su infrastruttura svizzera, avete risolto i due problemi più difficili di questo mercato — giurisdizione dell’hosting e sovranità dei dati — e l’app Forms non vi costa nulla in più. Per un comune che raccoglie iscrizioni, una scuola che sonda i genitori o un’associazione che raccoglie disponibilità, Nextcloud Forms è la risposta giusta e dovreste usarla.

Quel che segue è il perimetro preciso di ciò che non fa, perché due cose vengono ampiamente date per scontate e non sono vere. Primo: le funzioni di cifratura di Nextcloud non coprono le risposte dei moduli. La cifratura lato server tiene le chiavi sul server, quella end-to-end è una funzione lato client per i file, e la documentazione dice chiaramente che solo i file sono cifrati — voci di calendario, liste di cose da fare e altri dati applicativi no. Le risposte dei moduli sono dati applicativi, nel database. Secondo: Forms è un’app deliberatamente semplice — a luglio 2026 non ha ancora logica condizionale, quindi ogni rispondente vede tutte le domande.

Come si posiziona ciascun prodotto

Nextcloud Forms — l’app che avete già

Nextcloud Forms è un’app gratuita dentro un’istanza Nextcloud, sviluppata da Nextcloud GmbH e dalla comunità. Offre testo breve e lungo, scelta multipla, caselle di controllo, menu a tendina, date e date con ora; i moduli si condividono con un link pubblico verso persone senza account Nextcloud, e chi risponde può farlo in forma anonima senza registrarsi. Non c’è alcun limite a moduli, domande, link di condivisione o risposte — il vincolo è il vostro server. I risultati si consultano nell’app e si esportano in un foglio di calcolo nei vostri file Nextcloud. La sua virtù centrale è che eredita tutto ciò che avete già deciso per la vostra istanza: dove gira, chi la amministra, come viene salvata e quale diritto si applica.

Schweizerform — raccolta cifrata, conoscenza zero per impostazione

Schweizerform è una piattaforma di raccolta ospitata la cui proprietà distintiva è che non possiamo leggere gli invii. Ogni risposta è cifrata nel browser di chi risponde con AES-256-GCM, la chiave dell’invio è incapsulata con la chiave pubblica del modulo, e il server detiene solo testo cifrato. La decifratura avviene nel vostro browser con la chiave della cassaforte, derivata lato client e mai inviata a noi. Gli invii cifrati sono conservati in Svizzera presso Infomaniak, un’unica definizione di modulo pubblica in IT, DE, FR e EN, e la pagina pubblica non carica tracciatori di terzi né cookie. Vediamo i testi delle vostre domande — stanno lato server perché il modulo possa essere mostrato — e mai una risposta.

Che cosa copre la cifratura di Nextcloud — e perché le risposte non ci rientrano

Nextcloud ha due funzioni di cifratura, entrambe valide per ciò a cui servono. La cifratura lato server cifra il contenuto dei file a riposo, con le chiavi che restano sul server Nextcloud. Il manuale di amministrazione ne enuncia la conseguenza: poiché le chiavi stanno sul server, l’amministratore Nextcloud può accedere ai file non cifrati, e la cifratura lato server non protegge i dati da un server compromesso o da un amministratore malintenzionato. Il suo caso d’uso reale è proteggere file conservati su storage esterno che non controllate.

La cifratura end-to-end è la funzione forte: viene eseguita dai client desktop e mobili prima del caricamento, così solo il client può decifrare e né gli amministratori del server né i fornitori di storage esterni leggono il contenuto. È vera conoscenza zero — e si applica ai file, sincronizzati tramite un client, in cartelle designate. Le risposte dei moduli non prendono mai quella strada. Vengono scritte dall’applicazione web nel database come dati applicativi, e la documentazione afferma che solo i file sono cifrati; voci di calendario, liste di cose da fare e altri dati applicativi no.

La frase corretta su un’installazione autogestita di Nextcloud Forms è quindi: le vostre risposte stanno nel vostro database, in chiaro, leggibili da chiunque abbia accesso amministrativo all’istanza. Non è una critica a Nextcloud — vale per ogni altro strumento per moduli convenzionale, con la differenza importante che chi può leggerle è la vostra organizzazione e non un fornitore esterno. Se quella differenza risolva il vostro problema dipende interamente da chi sia la persona da cui la raccolta protegge chi risponde.

I modelli di sicurezza a confronto

Entrambi i prodotti tolgono dal quadro il fornitore commerciale, in modi opposti. Nextcloud lo toglie rendendovi il gestore: nessun terzo detiene i vostri dati, e il confine di fiducia è il vostro server, i vostri amministratori, i vostri backup. Schweizerform mantiene un fornitore ma lo rende incapace di leggere: noi deteniamo testo cifrato, e nessuna configurazione, nessuno strumento di supporto e nessuna deroga amministrativa dalla nostra parte produce una risposta leggibile.

La domanda pratica è quale rischio residuo si addica alla vostra organizzazione. Un servizio informatico cantonale con un processo di patch, monitoraggio e un responsabile della sicurezza sta davvero meglio possedendo lo stack. Una segreteria scolastica di tre persone con una Nextcloud installata a suo tempo da un predecessore porta un rischio che non vede, e « i dati non hanno mai lasciato il nostro edificio » consola poco se il server dell’edificio è indietro di due versioni maggiori. In entrambi i casi esiste inoltre una categoria di moduli — la segnalazione di molestie, la segnalazione sul benessere di un allievo, il canale di whistleblowing — in cui la persona che non deve leggere le risposte è chi amministra l’istanza.

Confronto diretto delle funzioni

La terza riga è un pareggio, ed è meglio pianificarlo che scoprirlo: nessuno dei due prodotti dirama. Un modulo che idealmente direbbe « se sì, raccontateci di più » deve mostrare quel follow-up a tutti, aumentando l’abbandono e, cosa più rilevante per la protezione dei dati, raccogliendo campi da persone per cui non sono pertinenti. Su entrambe le piattaforme la risposta è la stessa: un modulo per scopo, e il follow-up in un secondo modulo collegato separatamente, così la proporzionalità dell’art. 6 nLPD è soddisfatta dal perimetro invece che dalla logica. Leggete piuttosto le righe sopra: è lì che i due prodotti differiscono davvero.

Hosting, sovranità e infrastruttura svizzera

Qui Nextcloud vince sul proprio terreno, e va detto chiaramente. Un’istanza Nextcloud presso Infomaniak — che offre installazioni di Nextcloud Hub con un clic nei suoi centri dati svizzeri certificati ISO 27001 — oppure presso Hostpoint, il cui hosting gira su server situati in Svizzera, vi dà residenza svizzera, giurisdizione svizzera sul gestore e nessun responsabile del trattamento nella catena. Nextcloud GmbH è una società tedesca, ma in autogestione è un fornitore di software e non un responsabile del trattamento. Per un organo pubblico soggetto al diritto cantonale sulla protezione dei dati, sulla carta è vicino all’ideale.

L’avvertenza è che sovranità e riservatezza sono garanzie diverse. La sovranità risponde a « quali autorità possono imporre l’accesso e quale diritto si applica ». La riservatezza risponde a « chi può leggere questo ». Una Nextcloud ospitata in Svizzera vi dà la prima per intero e la seconda solo nella misura in cui controllate i vostri amministratori. È esattamente il tema di strumenti per moduli e sondaggi ospitati in Svizzera, ed è il motivo per cui la risoluzione privatim del novembre 2025 sui servizi cloud internazionali ritaglia la sua eccezione ristretta per i casi in cui l’organo pubblico cifra e il fornitore non detiene alcuna chiave.

Il carico operativo che nessuno mette a prezzo

« Gratuito » qualifica la licenza, non l’esercizio. Un’istanza Nextcloud su cui sia sicuro raccogliere dati personali richiede, in continuo e sotto la responsabilità di qualcuno: aggiornamenti del server e di PHP, passaggi alle versioni maggiori di Nextcloud al ritmo delle release di sicurezza, ciclo di vita dei certificati TLS, backup verificati con un ripristino, revisione di chi detiene i diritti di amministrazione, conservazione dei log con un percorso reale per rilevare una compromissione, e routine di conservazione perché le risposte non si accumulino per sempre in un database che nessuno guarda. L’art. 8 nLPD mette le misure tecniche e organizzative in capo al titolare, e l’autogestione le concentra tutte su di voi.

Le organizzazioni con informatica professionale lo assorbono senza fatica: è il senso di un reparto IT. Il modo di fallire che vediamo in comuni e scuole svizzere non è spettacolare: un’istanza indietro di due versioni maggiori, con un account amministratore di qualcuno che se n’è andato, che eroga ancora un modulo che raccoglie informazioni sanitarie sui bambini. Sviluppiamo il compromesso generale nel confronto con i moduli autogestiti e la vista sul parco — inventario, titolarità, versionamento, conservazione, accessibilità — in gestione dei moduli digitali.

Prezzi

Nextcloud Forms è gratuito se l’istanza esiste, e costa il prezzo dell’istanza se non esiste: hosting più il tempo di personale sopra descritto. Schweizerform offre Gratuito, Pro a 19 CHF al mese e Business a 49 CHF al mese, con cifratura end-to-end e conservazione in Svizzera degli invii cifrati su ogni piano, gratuito incluso — non sono livelli, perché non esiste una modalità non cifrata da vendere. I limiti attuali sono nella pagina dei prezzi.

Quale strumento per quale compito

Usate Nextcloud Forms quando

• l’istanza esiste già ed è davvero mantenuta da una persona responsabile
• il modulo è semplice: iscrizioni, sondaggi di disponibilità, feedback, liste, richieste interne
• i dati non metterebbero in imbarazzo né in pericolo nessuno se un amministratore li leggesse
• volete costo marginale zero e nessun nuovo rapporto con un fornitore, contratto o accordo di trattamento
• il requisito è la sovranità dei dati e non la riservatezza rispetto alla vostra informatica

Usate Schweizerform quando

• le risposte sono sensibili: dati sanitari, accesso ai servizi sociali, benessere degli allievi, segnalazioni di molestie o whistleblowing, dichiarazioni finanziarie
• la persona che non deve leggere le risposte ha accesso amministrativo ai vostri sistemi
• siete vincolati al segreto professionale dell’art. 321 CP, che lega il professionista e i suoi ausiliari
• lo stesso modulo deve essere attivo in IT, DE, FR e EN senza mantenere quattro copie
• il modulo richiede convalide più ricche o caricamenti cifrati
• non avete nessuno che gestisca un server, e fingere il contrario è il rischio vero

Quando ha senso usarli entrambi

È l’esito che consiglieremmo alla maggior parte di comuni e scuole che usano Nextcloud, e non costa quasi nulla. Tenete Nextcloud Forms come impostazione predefinita per tutto ciò che è ordinario — il novanta per cento dei moduli in cui il contenuto è amministrativo e il pubblico interno. Aggiungete un canale cifrato per i pochi con contenuto sensibile: il modulo di segnalazione della scuola, l’accesso ai servizi sociali, la linea reclami del personale, la dichiarazione sanitaria per la settimana verde. Delimitare due strumenti per sensibilità non è un fallimento del consolidamento: è lo stesso ragionamento che mette certi documenti in un armadio chiuso a chiave e il resto su uno scaffale. Per la versione settoriale si vedano il caso d’uso pubblica amministrazione, il caso d’uso istruzione e — per il contesto scolastico svizzero, dove il diritto sulla protezione dei dati è cantonale e non federale — le scuole possono usare Google Forms.

Spostare un modulo sensibile fuori da Nextcloud Forms

In sintesi

Nextcloud Forms è un’app buona, onesta e gratuita dentro una piattaforma che risolve bene la sovranità dei dati, e se già gestite Nextcloud dovreste usarla per la maggior parte dei vostri moduli. Non proveremo a dissuadervi, e una pagina di confronto che ci provasse non varrebbe nulla per voi.

L’affermazione ristretta che facciamo è fattuale: in Nextcloud le risposte dei moduli sono dati applicativi in un database, quindi la cifratura lato server e quella end-to-end dell’istanza non le coprono, e ogni amministratore può leggerle. Quando il senso del modulo è che nessuno — inclusa la vostra informatica — possa leggere ciò che le persone inviano, non è un’impostazione da attivare in Nextcloud. È un’altra architettura.