Chi introduce una soluzione SaaS per processi di sostegno tratta dati personali — ed è per questo che prima o poi il reparto IT o l'ufficio protezione dati si presenta con un questionario. Non è un ostacolo, è parte del progetto. La buona notizia: queste verifiche possono procedere parallelamente alla valutazione tecnica, se le risposte sono preparate.

Diventa difficile solo se le domande arrivano dopo la decisione tecnica. Allora ogni risposta in sospeso blocca la partenza — e un go-live previsto in primavera diventa uno in autunno.

Le quattro domande standard

Quasi ogni questionario ruota attorno agli stessi punti:

  • Hosting: Dove si trovano i dati, chi gestisce il centro dati, quali certificazioni esistono?
  • Contratto di trattamento dei dati: Regola il trattamento per conto terzi e va messo sul tavolo insieme al contratto principale, non dopo.
  • Termini di cancellazione: Che ne è dei dossier alla fine del programma, e i termini si possono adattare alle direttive interne?
  • Accesso: Come è risolta l'autenticazione, esiste la MFA, e l'organizzazione può collegarsi via SSO?

Risposte che si possono preparare

La maggior parte di queste domande non ha una risposta specifica del progetto — dipende dal prodotto e dal fornitore. Un fornitore che ha documentato hosting, certificazioni e contratti standard risponde a metà del questionario con materiale già esistente, prima ancora che il progetto sia davvero iniziato.

Le introduzioni più rapide non sono quelle con meno domande — sono quelle in cui le risposte erano già scritte.

Non rimandare l'ambiente di test

Nella pratica conviene non rimandare l'ambiente di test alla fine della verifica. Mentre circolano le questioni contrattuali e di sicurezza, il team può già percorrere il processo in un'istanza di prova. Alla fine si incontrano così due percorsi chiariti — e la partenza diventa una formalità anziché un'impresa.

Lista di controllo per il primo colloquio con l'IT: luogo dell'hosting e certificazione, bozza del contratto di trattamento dei dati, concetto di cancellazione, autenticazione e SSO, impegni su supporto e aggiornamenti. Chi può documentare questi cinque punti al primo incontro, poi negozia solo dettagli.