Strumenti di sondaggio conformi a confronto

Il dato che organizza questa pagina: in tutte le piattaforme di sondaggio diffuse che abbiamo verificato, l’anonimato è un’impostazione che qualcuno deve attivare, ed è disattivata per impostazione predefinita. SurveyMonkey registra l’indirizzo IP di chi risponde finché non lo disattivate in ciascun canale di raccolta. Qualtrics registra IP e posizione finché non si attiva l’opzione « Anonymize Response ». L’impostazione « risposte anonimizzate » di LimeSurvey è impostata su No, il che lascia le risposte collegabili alla tabella dei partecipanti. Nulla di tutto ciò è uno scandalo: per molti disegni di ricerca è l’impostazione sensata. Significa però che la frase « il nostro sondaggio è anonimo » è, in quasi ogni strumento sul mercato, un’affermazione su una casella da spuntare e non sul software.

I sondaggi non sono moduli con più domande. La differenza è che in un sondaggio l’anonimato è spesso il prodotto: è ciò che porta le persone a rispondere onestamente sul proprio superiore, sulla salute, sullo stipendio o sulle molestie subite. Questo confronto è quindi organizzato attorno alle garanzie di anonimato, alle soglie minime di risposte, alle tabelle incrociate, alla gestione di panel e quote — e alla domanda che in questa categoria nessuno pone ad alta voce: dove avviene l’analisi rispetto al confine della cifratura? Diciamo con altrettanta chiarezza a che cosa rinuncia una piattaforma a conoscenza zero, perché per la ricerca per sondaggi seria la risposta è « parecchio ».

Che cosa rende « conforme » uno strumento di sondaggio?

L’espressione indica almeno sei cose diverse, e i fornitori sono ben contenti di lasciarvi supporre che le intendano tutte. In ordine decrescente di difficoltà:

1. Il fornitore non può leggere le risposte. Una proprietà architetturale. Si ottiene con la cifratura end-to-end o gestendo il software da sé.
2. Nessuno nella vostra organizzazione può collegare una risposta a una persona. Una proprietà di progettazione del sondaggio: niente token, niente cattura di IP, nessun tracciamento a livello di invito e nessuna combinazione demografica abbastanza fine da isolare qualcuno.
3. Le risposte restano in una giurisdizione che avete scelto. Una proprietà di hosting. Verificabile su un elenco di subresponsabili, non su una bandiera in home page.
4. Lo strumento non traccia chi risponde con cookie o script di terzi. Una proprietà della pagina del sondaggio, verificabile in trenta secondi con l’ispettore di rete del browser.
5. Esistono un contratto di trattamento, un elenco di subresponsabili e una regola di conservazione documentata. Una proprietà contrattuale: necessaria, e la più facile delle sei da ottenere.
6. Il fornitore ha una certificazione. Una proprietà di audit. Significativa, e spesso confusa con il primo punto di questo elenco, che non implica.

Uno strumento può soddisfare perfettamente i punti da tre a sei e fallire su uno e due: è lo stato normale di questo mercato. La nostra lista di controllo per la parte documentale è la checklist nLPD per moduli e sondaggi.

Il dato scomodo: l’anonimato è un’impostazione predefinita, e il valore predefinito è « spento »

SurveyMonkey traccia gli indirizzi IP per canale di raccolta finché non disattivate il tracciamento, e l’impostazione vive su ciascun canale — un sondaggio distribuito con link web e con invito e-mail richiede quindi di spostare l’interruttore due volte. La gestione completa delle risposte anonime, inclusa la rimozione degli indirizzi IP, è sui livelli a pagamento; in Enterprise un amministratore principale può fissare un valore predefinito per tutta l’organizzazione. Gli indirizzi IP sono inoltre registrati nei log di backend e cancellati dopo tredici mesi, questione diversa da ciò che compare nell’esportazione dei risultati.

Qualtrics registra l’indirizzo IP e i dati di posizione derivati finché per il sondaggio non si attiva l’opzione « Anonymize Response ». Una distribuzione tramite « link anonimo » non rende di per sé anonime le risposte: significa che non viene allegato alcun identificativo di panel, mentre l’IP continua a essere catturato per impostazione predefinita. Su questa distinzione esiste una piccola biblioteca di note dei comitati etici universitari che spiegano ai ricercatori come disattivarla, il che dice quanto spesso venga trascurata.

LimeSurvey è il più esplicito dei tre e merita una lettura attenta, perché mostra che aspetto ha una vera garanzia di anonimato dentro un database convenzionale. « Risposte anonimizzate » è impostato su No. Impostato su Sì, non esiste alcuna relazione di chiave esterna fra tabella dei partecipanti e risposte, e la data di invio e la data di completamento del token vengono entrambe fissate a 1980-01-01 00:00 — perché altrimenti due marche temporali a pochi secondi di distanza ricollegherebbero l’invito alla risposta. Quel dettaglio è il segno di una progettazione che ha preso sul serio il problema, ed è anche l’illustrazione più chiara di quanto facilmente l’anonimato sfugga attraverso metadati che nessuno considerava dati.

Le sette piattaforme, una alla volta

SurveyMonkey e Qualtrics — le suite di ricerca

SurveyMonkey è il leader di volume e la risposta predefinita per un sondaggio di marketing o sulla clientela. Gira su AWS con gli Stati Uniti come regione predefinita, una regione UE a Dublino e una canadese; il centro dati europeo è limitato a SurveyMonkey Enterprise e GetFeedback Direct, e gli account aperti prima del 2019 non possono spostare domande e risposte. La nostra vista di dettaglio è nel confronto con SurveyMonkey.

Qualtrics è la piattaforma di ricerca per grandi organizzazioni: la logica più profonda, la migliore gestione di panel e quote e funzioni di analisi a cui nulla in questo elenco si avvicina. È una piattaforma con sede negli Stati Uniti, con centri dati regionali disponibili e regione fissata contrattualmente — la risposta a « dove sono i nostri dati » sta quindi nel vostro ordine e non in un articolo di supporto, e conviene farsela dare per iscritto. Se il requisito è uno studio longitudinale con campioni ponderati e quote complesse, lo strumento è Qualtrics, e nessuna piattaforma di raccolta cifrata lo sostituisce.

LimeSurvey — l’installato autogestito

LimeSurvey è lo standard di università, ospedali e amministrazioni cantonali svizzere, per buone ragioni: profondità della logica delle domande ineguagliata, nessun costo per risposta e un’installazione che controllate da cima a fondo. Due cose vanno dette con precisione. Primo, le risposte arrivano in chiaro nel vostro database MySQL — « autogestito » risponde alla domanda sulla giurisdizione e non a quella sulla riservatezza, e chi ha accesso al database legge tutto. Secondo, LimeSurvey Cloud offre hosting in Australia, Canada, Finlandia, Germania, Singapore, Regno Unito e Stati Uniti — la Svizzera non c’è — e il fornitore è LimeSurvey GmbH ad Amburgo. Residenza svizzera con LimeSurvey significa installarlo voi su infrastruttura svizzera.

onlineumfragen.com e Findmind — le piattaforme svizzere

onlineumfragen.com è la suite svizzera per sondaggi più seria. onlineumfragen.com GmbH ha sede a Sarnen (OW), le sue condizioni indicano che tutti i dati — dati personali, dati dei sondaggi e dati dell’account — sono conservati in centri di calcolo propri e protetti a Zurigo, con all’estero solo server di monitoraggio, e possiede una certificazione ISO/IEC 27001:2022 che noi non abbiamo. Se la vostra griglia d’acquisto dice letteralmente « piattaforma svizzera per sondaggi certificata ISO 27001 », la risposta onesta è onlineumfragen.com e non noi.

Findmind è l’opzione svizzera gratuita. Il Navigatore educa, curato dall’agenzia svizzera per la digitalizzazione nella formazione, indica Basilea come luogo di conservazione, Fabian Keller come partner contrattuale senza subresponsabili, diritto svizzero e foro a San Gallo; la directory BF-Tools dell’Università di Zurigo riporta funzioni gratuite complete senza limite di partecipanti e un abbonamento premium una tantum di 49 CHF per sondaggio. Per una valutazione di corso o un sondaggio di associazione è difficile da battere, e pagare un abbonamento mensile per una cifratura che non serve sarebbe sovradimensionare.

Microsoft Forms — quello che avete già

Microsoft Forms va davvero bene per una rilevazione interna rapida, ed è già pagato. I due fatti che decidono se possa reggere un sondaggio sensibile: un tenant svizzero (AELS) atterra nella macroregione europea e non in una svizzera, e Forms non porta alcun impegno specifico di residenza dei dati benché la Svizzera sia una geografia Advanced Data Residency — un’approvazione di tenant che copre Exchange, SharePoint e Teams non copre quindi Forms. Aggiungete la questione dell’amministratore del tenant, che per un sondaggio ai dipendenti è di solito decisiva. Dettagli in Microsoft Forms è conforme al diritto svizzero e nel confronto con Microsoft Forms.

Schweizerform — raccolta cifrata, non una suite di ricerca

Schweizerform cifra ogni risposta nel browser di chi risponde; il server conserva testo cifrato che non può aprire, e la decifratura avviene nel vostro browser con la chiave della cassaforte. Gli invii cifrati sono conservati in Svizzera presso Infomaniak, la pagina del sondaggio non carica tracciatori di terzi, e una sola definizione pubblica in IT, DE, FR e EN. Siamo uno strato di raccolta cifrata — non una piattaforma di ricerca per sondaggi. Che cosa significhi in concreto è oggetto della sezione qui sotto, e preferiamo che la leggiate prima di sceglierci, non dopo.

Le sette a confronto

Le ultime due colonne tirano in direzioni opposte, e questa tensione è il riassunto onesto dell’intera categoria. La profondità di ricerca nasce dal fatto che la piattaforma può vedere, collegare e modellare i dati. Le garanzie di anonimato nascono dal fatto che non può. Non esiste un prodotto che massimizzi entrambe, e chi sostiene il contrario sta descrivendo una policy, non un’architettura.

Garanzie di anonimato: impostazione, progettazione o architettura?

Tre gradi, e vale la pena sapere quale si sta comprando. Un’impostazione — la piattaforma può identificare chi risponde e le è stato detto di non farlo; reversibile, tracciabile al più nei log del fornitore e dipendente dal fatto che nessuno la riattivi. Una progettazione — il sondaggio non raccoglie alcun identificativo: nessun token, nessun link d’invito legato a una persona, nessun campo libero che inviti a firmarsi. Un’architettura — la piattaforma è strutturalmente incapace di leggere le risposte, quindi la questione dell’anonimato si riduce a ciò che chi conduce il sondaggio ha scelto di chiedere. La distinzione fra anonimato e pseudonimato, che i testi sui sondaggi confondono quasi sempre, è esposta in moduli anonimi o pseudonimi.

Per un sondaggio fra i dipendenti il grado conta più che in qualunque altro caso d’uso, perché la persona da cui si protegge sta dentro l’organizzazione e spesso controlla lo strumento. Un sondaggio approvato dalla rappresentanza del personale in cui l’amministratore HR può tecnicamente riattivare il tracciamento ha un problema di governance che nessuna informativa risolve. È esattamente la lacuna che colma una piattaforma cifrata: non perché siamo più affidabili, ma perché non c’è alcun interruttore su cui fidarsi.

Soglie di risposta e tabelle incrociate — dove l’anonimato si rompe davvero

L’anonimato raramente fallisce nella piattaforma. Fallisce nel reporting, e fallisce per aritmetica. Dimensioni minime di cella di cinque o dieci risposte sono una convenzione di controllo della divulgazione statistica e non una soglia giuridica svizzera; esistono perché un team di nove persone suddiviso per reparto, anzianità e genere produce celle da uno. Ogni dimensione incrociata in più moltiplica i modi in cui qualcuno diventa l’unico membro del proprio gruppo. Il testo libero è ancora peggio: le persone descrivono episodi vissuti solo da loro, con il proprio stile di scrittura, e nessuna regola sulle celle intercetta questo.

La capacità che conta non è quindi « supporta risposte anonime » ma « mi impedisce di pubblicare una tabella incrociata che identifica qualcuno ». Le suite di ricerca vi danno gli strumenti per costruire proprio quel rapporto e, nella migliore delle ipotesi, un avviso. Noi facciamo l’opposto: ogni dimensione è contata in modo indipendente e mai incrociata — un limite reale per la ricerca e il comportamento corretto per un sondaggio su popolazioni piccole. L’aritmetica, con esempi, è in quante risposte servono perché l’anonimato regga.

A che cosa rinuncia una piattaforma a conoscenza zero

È la sezione su cui il mandato di questa pagina insisteva, giustamente. Se il server non può leggere le risposte, non può calcolare nulla che dipenda dal loro contenuto. Ecco quanto costa, senza giri di parole:

Leggete le ultime due righe contro le prime quattro. Se il vostro sondaggio è una ricerca di mercato sulla percezione del marchio, la metà alta di questa tabella è il vostro mestiere e dovreste comprare Qualtrics o SurveyMonkey. Se il vostro sondaggio chiede ai dipendenti se il loro superiore attua ritorsioni, ai pazienti i sintomi o agli studenti se subiscono bullismo, è la metà bassa a essere il vostro mestiere — e l’analisi che perdete era per lo più un’analisi che su quei dati non avreste dovuto fare.

Dove avviene l’analisi rispetto al confine della cifratura

È la domanda che separa davvero i prodotti, e quasi nessuno la pone. In una piattaforma convenzionale il confine è al bordo della rete: i dati sono cifrati in transito e a riposo, e tutto ciò che sta dentro — archiviazione, indicizzazione, reportistica, cruscotti, esportazioni, strumenti di supporto — lavora su testo in chiaro. In una piattaforma cifrata end-to-end il confine è il browser di chi risponde, quindi tutto ciò che richiede di leggere il contenuto deve avvenire su un dispositivo che possiede la chiave. L’analisi non sparisce: si sposta verso di voi.

Lato server sopravvive tutto ciò che è un problema di conteggio e non di lettura: visualizzazioni, avvii, completamenti, punto di abbandono, durata, ripartizione per dispositivo, lingua scelta e risposte date per ciascuna domanda. Sono le metriche che cambiano le decisioni sullo strumento di rilevazione, e nessuna richiede di sapere che cosa qualcuno abbia risposto. Che cosa viene contato, e che cosa deliberatamente non viene mai incrociato, è descritto in statistiche dei moduli senza tracciamento.

Il flusso pratico è quindi: lanciare il sondaggio, seguire dal vivo le metriche aggregate, esportare alla chiusura e analizzare nello strumento che i vostri statistici già usano. È un vero passo indietro rispetto a un cruscotto Qualtrics in tempo reale e un vero passo avanti rispetto a una piattaforma che può essere costretta a produrre risposte leggibili. Quale dei due sia il passo avanti dipende interamente dal sondaggio.

Qual è lo strumento di sondaggio migliore per una PMI svizzera?

Per la maggior parte delle PMI svizzere, quasi sempre: una piattaforma generalista ospitata in Svizzera per i sondaggi ordinari e uno strumento cifrato per i due o tre sondaggi in cui l’anonimato è portante. In concreto — onlineumfragen.com se volete una suite svizzera certificata con vere funzioni di ricerca, Findmind se il sondaggio è piccolo e il budget è zero, Microsoft Forms per la rilevazione interna in un tenant che già gestite, e Schweizerform per il sondaggio ai dipendenti, il canale di segnalazione, il questionario ai pazienti e tutto ciò in cui l’onestà della risposta dipende dall’impossibilità di risalire a chi l’ha data. Gestire due strumenti è perimetrazione, non un fallimento del consolidamento.

Quale strumento per quale sondaggio

Scegliete Qualtrics o SurveyMonkey quando…

…il sondaggio è ricerca: campioni rappresentativi, quote, ponderazione, ondate, brand tracking, programmi di customer experience. L’analisi è il risultato, chi risponde è un partecipante consenziente e non una persona esposta dall’interno, e la piattaforma deve vedere i dati per fare il suo lavoro. Fatevi confermare per iscritto la regione di hosting e verificate le impostazioni di anonimato per canale prima del lancio.

Scegliete LimeSurvey quando…

…avete un’informatica istituzionale, una logica delle domande complessa e la preferenza per possedere lo stack. Installatelo su infrastruttura svizzera se la residenza conta, impostate « risposte anonimizzate » su Sì deliberatamente e non per caso, e ricordate che i vostri amministratori di database leggono ogni risposta — cosa che va benissimo quando sono soggetti alle stesse regole istituzionali dei ricercatori, e per niente bene quando il sondaggio riguarda loro.

Scegliete onlineumfragen.com o Findmind quando…

…volete una piattaforma svizzera senza gestirne una. onlineumfragen.com per ricerca professionale con l’ISO/IEC 27001:2022 nell’elenco dei requisiti; Findmind per un sondaggio gratuito, piccolo e poco sensibile in cui bastano una conservazione a Basilea e il foro svizzero. Sono due risposte svizzere oneste, e per buona parte del lavoro di sondaggio in Svizzera sono quelle giuste.

Scegliete Schweizerform quando…

…il motivo dell’anonimato è che la risposta sincera potrebbe costare qualcosa a chi la dà. Sondaggi ai dipendenti il cui esito riguarda un dirigente identificabile, questionari sulla salute, raccolta di segnalazioni, sondaggi fra pazienti, studenti o richiedenti l’asilo, ricerca su comportamenti stigmatizzati. Rinunciate all’analisi lato server e ottenete una garanzia che sopravvive a un cambio di direzione, a un ordine dell’autorità e a un amministratore curioso. La pagina sicurezza ne espone il meccanismo.

In sintesi

Tutte le piattaforme di questo confronto possono essere gestite in modo conforme, e la maggior parte delle organizzazioni svizzere ci arriverà più in fretta con una suite ospitata in Svizzera più una regola di conservazione scritta. La domanda più stretta — la promessa di anonimato sopravvive al fatto che qualcuno cambi idea al riguardo — qui ha solo due risposte: gestire il software da sé controllando chi tocca il database, oppure usare una piattaforma che non può leggere le risposte. Decidete quali dei vostri sondaggi richiedono quel grado di promessa prima di standardizzare un unico strumento per tutti.