Il prezzo parte dal lavoro da svolgere
Una piccola impresa che tiene poche schede nel registro dei trattamenti può avere bisogni diversi da un’impresa della stessa dimensione che gestisce molti responsabili esterni, dati sanitari e richieste degli interessati. Il numero di dipendenti è un indizio, non la variabile decisiva. Prima di chiedere un’offerta, elencate i trattamenti, le entità giuridiche, i fornitori, le DPIA e le persone che dovranno usare o approvare informazioni. Segnate che cosa esiste già e dove risiede: documenti, fogli elettronici, sistemi di ticketing o cartelle condivise.
Distinguete il bisogno minimo dalle funzioni desiderabili. Se oggi il problema è ricostruire chi ha approvato una DPIA, chiedete una dimostrazione di versioni, commenti e decisioni. Se il problema sono le richieste, fate mostrare assegnazione, ricerca, scadenze e prova della risposta. Una lista di funzioni sulla pagina commerciale non prova che il flusso richiesto sia incluso nel piano offerto. Per una prima selezione potete usare la guida al software GDPR per PMI e il confronto dei software di conformità GDPR, verificando poi le condizioni attuali con ciascun fornitore. Un articolo sul miglior software GDPR può aiutare a formare una lista iniziale, ma le offerte devono essere aggiornate.
Sei voci del costo totale
Licenza. Chiedete se il prezzo è per utente nominativo, utente attivo, organizzazione, modulo o volume di documenti. Verificate minimo contrattuale, fatturazione annuale anticipata, IVA, rinnovo e aumento programmato. Un canone mensile pubblicizzato può richiedere un impegno annuale.
Avvio. La configurazione comprende ruoli, struttura delle entità, importazione, adattamento dei campi e formazione. Accertate che l’offerta distingua attività incluse, lavoro a giornata e assistenza dopo l’avvio. Un prezzo basso con molte ore di consulenza obbligatoria può diventare più costoso di una licenza maggiore ma più semplice da adottare.
Migrazione. I vecchi registri hanno spesso colonne e definizioni incoerenti. Domandate quale formato di importazione è accettato, chi pulisce i dati e come si controlla il risultato. Mantenete un campione confrontabile prima e dopo. Non assumete che un caricamento automatico sia una revisione giuridica.
Lavoro interno. Serve tempo per intervistare i proprietari dei processi, verificare le risposte generate, approvare i rischi e aggiornare i trattamenti. Il software può ridurre duplicazioni e passaggi manuali; la responsabilità del titolare rimane. Assegnate un costo orario coerente con la vostra organizzazione e misurate il tempo realmente impiegato.
Integrazioni e sicurezza. Single sign-on, esportazioni, API, ambienti separati e assistenza per più entità possono essere inclusi, opzionali o assenti. Chiedete documentazione e una prova sul vostro caso. Valutate anche il contratto di trattamento ai sensi dell’articolo 28, l’accesso dei subfornitori e i flussi internazionali.
Uscita. Stabilite prima della firma in quali formati si esportano registri, allegati, decisioni e cronologia e quanto costa ottenere un’esportazione assistita. Un prezzo annuale conveniente perde valore se, al termine, non riuscite a trasferire la prova delle decisioni.
Un esempio numerico chiaramente ipotetico
Immaginiamo una PMI che riceva un’offerta fittizia di 240 euro al mese, con pagamento annuale, 1.500 euro di avvio e 600 euro per una migrazione assistita. Non si tratta di una tariffa di mercato né di un prezzo attribuito a un venditore. La licenza del primo anno è 2.880 euro; con avvio e migrazione il costo esterno è 4.980 euro, IVA esclusa. Se due persone dedicano complessivamente 70 ore all’avvio, valorizzate internamente a 35 euro l’ora per questo esempio, aggiungete 2.450 euro. Il totale didattico del primo anno diventa 7.430 euro.
Supponiamo poi 8 ore mensili di lavoro ordinario per aggiornamenti e revisioni. Sono 96 ore annue, pari nell’esempio a 3.360 euro: il costo annuo ricorrente non è più il solo canone di 2.880 euro. Questa stima va rifatta con ore osservate e costi propri; non descrive il lavoro tipico di una PMI. Per il secondo anno eliminate le voci una tantum, ma verificate aumento di utenti, assistenza e rinnovo. Chiedete al fornitore se il preventivo comprende tasse, formazione e supporto in italiano.
Confrontare due offerte senza mischiare i perimetri
Preparate uno scenario identico per entrambi i venditori: un trattamento HR, un fornitore cloud, una richiesta di accesso e una valutazione d’impatto con approvazione. Chiedete di mostrare chi inserisce i dati, chi corregge una risposta, chi approva, cosa resta come prova e cosa si esporta. Il confronto documentato dei fornitori può suggerire domande, ma il prezzo effettivo richiede condizioni commerciali attuali e un perimetro concordato.
Per ogni offerta compilate una tabella con licenza, avvio, migrazione, integrazioni, assistenza, formazione, numero di utenti, entità, durata minima e uscita. Segnate « non chiarito » dove manca una risposta. Non colmate i vuoti con una cifra letta in un articolo del 2024: piano, valuta e perimetro potrebbero essere cambiati. Fate confermare per iscritto i limiti che contano per la vostra organizzazione.
Quando si confrontano strumenti diversi, separate anche il software privacy da una suite di sicurezza o da un servizio di consulenza. Una piattaforma che raccoglie evidenze per certificazioni, un archivio di documenti e un sistema di gestione dei diritti possono sovrapporsi solo in parte. Il prodotto più ampio non è necessariamente migliore per una singola necessità; quello meno caro non è sufficiente se manca il flusso che volete governare.
Tempo risparmiato: misurarlo prima di chiamarlo ROI
Prendete un’attività ripetuta, ad esempio aggiornare una scheda del registro dopo l’introduzione di un nuovo fornitore. Misurate su un campione il tempo per raccogliere informazioni, verificare il contratto, ottenere approvazione e archiviare la prova. Dopo una prova del software, ripetete lo stesso caso. Valutate anche gli errori e le correzioni: una risposta rapida che richiede revisione estesa può non far risparmiare nulla.
Per una stima prudente, contate soltanto le attività che userete davvero. Se nel periodo precedente avete dedicato 120 ore annue a coordinare il registro e la prova riduce il lavoro a 90, il risparmio ipotetico è di 30 ore. A 35 euro l’ora nel nostro esempio vale 1.050 euro, prima di sottrarre licenza e avvio. Il risultato non dimostra che il software « si ripaga »: permette di capire quali altri benefici, come continuità o tracciabilità, giustificano la spesa.
Il rischio sanzionatorio non si trasforma in ROI semplicemente citando una multa elevata. Il Garante valuta fatti concreti, gravità, misure e contesto; nessun prodotto garantisce di evitare un accertamento. Il motivo sostenibile per investire è poter gestire obblighi e decisioni con evidenze verificabili. Una verifica interna della conformità può aiutare a capire dove il processo attuale fallisce prima di acquistare una piattaforma.
Dati, subfornitori e localizzazione
L’indirizzo della sede o del data center non basta a qualificare tutti i trasferimenti internazionali. Bisogna capire chi accede ai dati, da dove, con quale ruolo, se ci sono subfornitori e quali garanzie vengono applicate. Un servizio ospitato nell’UE può comportare accessi da un paese terzo; un fornitore extra-UE non implica automaticamente che ogni trattamento sia privo di garanzie. La valutazione va fatta sul flusso effettivo, alla luce del capo V del GDPR.
Prima della firma ottenete l’elenco dei subfornitori pertinenti, le condizioni per cambiarli e le informazioni utili sull’incidente e sull’uscita. Chiedete come si separano i dati dei clienti, quali ruoli amministrativi esistono e se la cronologia delle modifiche è esportabile. Per l’accordo con il responsabile, controllate che il contratto descriva assistenza, sicurezza, restituzione o cancellazione e audit, non soltanto una formula generica di conformità.
Tre domande da porre durante la demo
La prima domanda è « Da dove arrivano i dati di questa scheda? ». Fate creare una nuova attività di trattamento partendo da informazioni incomplete. Osservate se il sistema distingue fatti dichiarati, ipotesi e campi ancora da confermare. Una schermata che si riempie rapidamente non dimostra che le informazioni siano corrette. Chiedete come un proprietario del processo può correggerle e come resta visibile la versione approvata. Questo è particolarmente importante quando più reparti usano parole diverse per descrivere la stessa applicazione.
La seconda è « Che cosa accade se il revisore non approva? ». Una pratica credibile consente di individuare chi deve chiarire il punto, quali documenti sono richiesti e quale decisione è stata presa. Mostrate al venditore un caso in cui un fornitore dichiara subfornitori fuori dallo Spazio economico europeo e un altro in cui manca la durata di conservazione. Valutate se la piattaforma aiuta a rintracciare l’informazione, senza presumere che interpreti da sola il diritto dei trasferimenti o determini automaticamente una durata lecita.
La terza è « Che cosa possiamo esportare a fine contratto? ». Chiedete un esempio reale di file esportato con almeno una scheda, i documenti collegati e la storia delle approvazioni. Verificate che sia leggibile senza continuare a pagare la licenza. Una semplice stampa PDF delle schermate può non essere sufficiente per migrare in un altro sistema. Segnate il lavoro manuale necessario: è un costo di uscita, anche se non compare come voce commerciale.
Il preventivo scritto che permette di decidere
Inviate ai fornitori una richiesta di offerta di una pagina. Indicate il numero di entità giuridiche, gli utenti che inseriscono dati, quelli che approvano, il numero indicativo di trattamenti e fornitori, le lingue necessarie, le integrazioni irrinunciabili e la quantità di documenti da migrare. Chiedete prezzo del primo anno, del secondo e del rinnovo successivo; precisate se il prezzo varia al superamento di soglie di utenti o volumi. Una risposta che rimanda tutto a una successiva trattativa non è ancora confrontabile.
Richiedete condizioni sul trattamento dei dati, ubicazione dei servizi e accessi di assistenza, disponibilità dell’esportazione, assistenza durante un incidente e tempi di supporto contrattuali. Non assumete che una parola come « enterprise » includa ogni funzione o che un piano « base » escluda tutto ciò che serve: le etichette commerciali variano. Conservate l’offerta e i chiarimenti, così chi approva l’acquisto vede quale capacità è stata effettivamente promessa.
Se la piattaforma è venduta insieme a consulenza, formazione o funzione di RPD, fate indicare il prezzo di ogni parte. L’organizzazione può così capire se sta acquistando uno strumento, un servizio professionale o entrambi, e chi risponde di ciascuna attività. Questa separazione aiuta anche al rinnovo: un canone apparentemente invariato può coprire meno ore di supporto o meno verifiche rispetto all’anno precedente.
Dopo l’acquisto: controllare il valore
Definite già nel contratto un riesame dopo il primo ciclo di utilizzo. Scegliete pochi indicatori osservabili: tempo per aggiornare una scheda, richieste in ritardo, documenti privi di proprietario, decisioni senza evidenza e accessi non più necessari. Confrontateli con i dati di partenza, senza trasformare ogni miglioramento in una somma di denaro arbitraria. Un prodotto può valere per la riduzione delle informazioni perse o la continuità tra persone, anche quando le ore risparmiate sono modeste.
Quando il programma privacy cresce, controllate che l’aumento di entità, attività o utenti produca il prezzo previsto dall’offerta. Chiedete le nuove condizioni prima di attivare moduli extra. Se un reparto continua a usare fogli separati, capire il motivo può rivelare un problema di configurazione o di formazione. Il valore deriva dall’adozione concreta e dalle decisioni verificabili, non dalla mera presenza della licenza in bilancio.
Domande frequenti
Esiste un prezzo medio affidabile per un software GDPR?
Non senza definire almeno moduli, utenti, entità, assistenza e condizioni di rinnovo. Un valore medio di mercato ricavato da piani non comparabili può essere fuorviante. Usate preventivi attuali ottenuti sullo stesso scenario, con costi del primo anno e di regime separati.
Un foglio di calcolo è vietato dal GDPR?
No. Il GDPR richiede che il titolare rispetti e dimostri i propri obblighi, non che acquisti un tipo di software. Un foglio ben governato può essere adeguato per trattamenti semplici; versioni disperse, diritti di modifica incontrollati e approvazioni non tracciate possono renderlo fragile. La scelta dipende dal vostro volume e dalla capacità di mantenere evidenze aggiornate.
Un prezzo di licenza comprende il DPO esterno?
Non presumetelo. La funzione di RPD comporta competenze, indipendenza, risorse e compiti previsti dagli articoli 37-39. Un’applicazione può aiutare il lavoro del titolare e del RPD; non diventa essa stessa il RPD. Chiedete se la proposta comprende una persona incaricata, il suo contratto e il relativo costo separato.
Quando conviene chiedere un preventivo?
Quando avete un inventario minimo delle attività e due o tre casi da far vedere in demo. Potete iniziare prima di avere un registro perfetto, ma dovete sapere quali decisioni vorrete tracciare e chi le approverà. Chiedete al fornitore di indicare ciò che non è incluso e l’eventuale costo di aggiungerlo.
Conclusione
Il costo utile per decidere è quello del primo anno, dei successivi e dell’uscita, insieme al tempo che resta alle persone. Un confronto onesto usa lo stesso perimetro e distingue dati verificati da esempi ipotetici. Il software può aiutare a organizzare il lavoro; le scelte di base giuridica, rischio e risposta alle persone restano in capo all’organizzazione.