Hosting in Svizzera: cosa chiedono davvero la legge e i tuoi contratti

La legge svizzera non obbliga un'azienda a ospitare il proprio sito o i dati personali in Svizzera. Quello che chiede è che tu resti responsabile di quei dati ovunque si trovino, che ogni trasferimento all'estero sia protetto come si deve e che il tuo fornitore sia vincolato da un contratto che hai letto davvero. "Swiss hosting" è soprattutto una scelta che fai per motivi contrattuali, normativi o di clientela, e conviene capire quale di questi vale per te prima di pagare un sovrapprezzo.

Questa guida spiega cosa significa il termine, cosa dice la legge, quando il GDPR raggiunge anche un'azienda svizzera, quali settori hanno regole più severe e cosa verificare prima di firmare con un hoster.

In breve

• Nessuna norma svizzera di carattere generale impone che i dati personali siano ospitati in Svizzera. I dati possono andare all'estero se il Paese di destinazione offre una protezione adeguata o se metti in atto garanzie equivalenti.
• La responsabilità resta tua, in quanto titolare del trattamento. Scegliere, istruire e controllare il fornitore di hosting è compito tuo, non suo.
• "Swiss hosting" è un'etichetta che riguarda l'ubicazione e la giurisdizione, non uno standard tecnico di sicurezza. Un centro di calcolo svizzero gestito da una società controllata dall'estero può comunque essere esposto a pretese legali straniere.
• Banche, assicurazioni, strutture sanitarie, avvocati e altre attività regolamentate, così come chi ha contratti clienti rigidi, possono avere vincoli reali sull'ubicazione. Verifica prima le regole di settore e i contratti.
• Qualunque sia l'ubicazione, pretendi backup testati, autenticazione a più fattori, cifratura, un contratto di trattamento dei dati chiaro e una via d'uscita documentata.

Cosa significa davvero "Swiss hosting"

L'espressione viene usata in modo vago. Nella sua forma più stretta, quella sostenuta da un'etichetta, promette due cose: data stays in Switzerland, and third parties can reach it only through Swiss authorities. L'etichetta di settore gestita da Swissmadesoftware richiede che il titolare della licenza e la sua direzione abbiano sede legale e fisica in Svizzera, che l'hosting avvenga in centri di calcolo svizzeri e che ci sia protezione contro accessi o pretese dall'estero.

Da qui discendono due conseguenze.

Primo: "Swiss hosting" è un'affermazione sulla giurisdizione. Non è una certificazione ISO, né una garanzia di disponibilità, né un audit di sicurezza. Un fornitore può avere l'etichetta e fare backup pessimi, e un fornitore senza etichetta può avere un'infrastruttura eccellente.

Secondo: l'ubicazione del server non è tutta la storia. Una regione svizzera di un fornitore cloud internazionale does not guarantee sovereignty if the provider remains subject to foreign laws che possono obbligarlo a consegnare i dati. I centri di calcolo svizzeri sono una sede interessante per le aziende internazionali, ma contracts with foreign providers deserve a check, especially where support is delivered from abroad.

Quando un fornitore dice "ospitato in Svizzera", fai quattro domande di controllo:

1. Chi possiede e controlla la società che gestisce i server?
2. Dove sono conservati i backup?
3. Quali subappaltatori toccano i dati?
4. Da quale Paese si collega il personale di assistenza?

Una risposta chiara a tutte e quattro dice molto di più della frase di marketing.

La legge svizzera ti obbliga a ospitare i dati in Svizzera?

No. Il diritto svizzero sulla protezione dei dati does not guarantee sovereignty if the provider remains subject to foreign laws. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) enuncia il principio di fondo nelle sue indicazioni sull'outsourcing of data processing: i dati non possono essere comunicati a Paesi privi di una protezione paragonabile, a meno che non si adottino misure per garantire all'estero un livello di protezione adeguato.

In pratica questo significa tre situazioni:

Dove finiscono i dati	Cosa ti serve
Svizzera	Un contratto di trattamento in regola e misure di sicurezza adeguate
Un Paese con un livello di protezione dei dati adeguato	Lo stesso, più la consapevolezza di dove i dati circolano davvero
Un Paese senza protezione adeguata	Garanzie aggiuntive, di solito contrattuali, prima di qualsiasi trasferimento

Il punto che sfugge alla maggior parte degli imprenditori: esternalizzare non sposta la responsabilità. Quando affidi i dati a un responsabile del trattamento, outsourcing of data processing e deve assicurarsi che il responsabile sia conforme, tramite una scelta accurata, istruzioni chiare e controllo attivo.

Cosa deve coprire il contratto

L'IFPDT è esplicito: i titolari devono outsourcing of data processing e devono dare il consenso preventivo prima di qualsiasi ulteriore subappalto. Gli esperti consigliano di esaminare il contratto di trattamento dei dati del fornitore cercando clear roles and responsibilities, sufficient measures and effective remedies in case of breach.

Se le condizioni standard del tuo hoster gli permettono di aggiungere subappaltatori senza avvisarti, o lasciano i ruoli nel vago, quella è la clausola da negoziare oppure il motivo per lasciar perdere.

Quando il GDPR vale anche per un'azienda svizzera

Molte aziende svizzere danno per scontato che la Legge federale sulla protezione dei dati (LPD) sia l'unica norma che le riguarda. Spesso non è così. In base all'articolo 3 paragrafo 2, il GDPR si applica alle organizzazioni extra UE che offer goods or services to people in the EU or monitor their behavior there. Cookie di tracciamento o strumenti di analisi su pagine visitate da utenti UE possono già contare come monitoraggio.

Quindi un negozio online svizzero che spedisce in Germania, un prodotto SaaS con clienti in Francia o un sito B2B con contatti UE e strumenti di analisi possono rientrare nel GDPR anche con tutti i server a Zurigo. La stessa fonte segnala un obbligo collegato: i titolari svizzeri senza stabilimento nell'UE che rientrano nell'articolo 3 paragrafo 2 devono in genere offer goods or services to people in the EU or monitor their behavior there, salvo eccezioni limitate.

Cosa significa per l'hosting:

• Ospitare in Svizzera non ti toglie dal GDPR se ti rivolgi a persone residenti nell'UE.
• Se il tuo fornitore o i suoi sub-responsabili si trovano in Paesi terzi, potresti dover rispettare sia le regole di trasferimento del GDPR sia quelle svizzere.
• Registri, contratti di trattamento e misure di sicurezza dovrebbero soddisfare entrambi i quadri normativi. Dove divergono, segui il più severo.

Si tratta di una valutazione giuridica e la risposta dipende dalla tua reale esposizione verso l'UE. Se hai dubbi, chiedi a un avvocato specializzato in protezione dei dati di documentare una volta per tutte, per iscritto, il test di applicabilità.

Settori regolamentati e contratti con i clienti

La regola generale è permissiva. Le situazioni specifiche non lo sono.

Leggi settoriali. Alcuni settori hanno requisiti propri sul cloud, e clear roles and responsibilities, sufficient measures and effective remedies in case of breach e imporre misure tecniche e organizzative specifiche. Se tratti dati di clienti come istituto finanziario, studio legale, studio medico o simili, la tua autorità di vigilanza o il tuo ordine professionale possono porre condizioni che vanno oltre la LPD.

Conservazione dei documenti. I documenti contabili possono essere soggetti a obblighi di conservazione, clear roles and responsibilities, sufficient measures and effective remedies in case of breach. Per i documenti conservati su supporti modificabili, una fonte che riassume l'ordinanza Olico elenca come requisiti integrity, tamper-proof timestamps, documented procedures and access logs. È un livello di esigenza diverso da quello di un sito vetrina.

Contratti con i clienti. È qui che "Swiss hosting" diventa più spesso un requisito vincolante. Grandi clienti svizzeri, enti pubblici e banche mettono abitualmente nei loro capitolati l'ubicazione dei dati, i limiti sui subappaltatori e le certificazioni. Se vendi a loro, il requisito di hosting è un requisito di vendita, anche quando la legge non lo impone.

Una distinzione mentale utile, suggerita anche dallo stesso articolo di Dossivio: separa integrity, tamper-proof timestamps, documented procedures and access logs. Ciascun ambito ha aspettative diverse di conservazione e sicurezza, e non sei obbligato a ospitare tutti e tre nello stesso posto o presso lo stesso fornitore.

Sicurezza, disponibilità e ripristino: cosa aspettarsi

L'ubicazione fa titolo, ma gli incidenti succedono per via delle basi deboli. does not guarantee sovereignty if the provider remains subject to foreign laws, non soltanto un indirizzo svizzero.

Una base ragionevole da pretendere da qualsiasi fornitore:

• Backup che si ripristinano davvero. I backup devono permettere il recupero dopo una perdita di dati, e dovresti vedere un ripristino provato sul serio, non solo una riga nell'elenco delle funzionalità.
• Cifratura dei dati in transito e a riposo.
• Autenticazione a più fattori sul pannello di controllo e su ogni accesso del personale.
• Gestione degli incidenti. Gli operatori di determinate infrastrutture critiche devono segnalare does not guarantee sovereignty if the provider remains subject to foreign laws. Chiedi come il tuo fornitore gestisce rilevamento e notifica, e in quanto tempo lo verresti a sapere.
• Certificazioni dove il tuo settore se le aspetta. Per gli enti regolamentati, la guida tecnica dell'IFPDT indica certifications such as ISO 27001 and ISAE 3402 and a review of incident response procedures come parte della verifica preliminare.

C'è un altro obbligo da tenere d'occhio. Per i trattamenti che comportano probabilmente un rischio elevato, compresa la gestione su larga scala di dati sensibili, i titolari devono svolgere una valutazione d'impatto sulla protezione dei dati ai sensi dell'clear roles and responsibilities, sufficient measures and effective remedies in case of breach. Fallo prima di scegliere l'assetto di hosting, non dopo.

Una checklist pratica prima di firmare

Usala prima di impegnarti con qualsiasi fornitore di hosting, svizzero o no.

1. Ubicazione di server e backup. Fatti mettere per iscritto il Paese e il gestore del centro di calcolo, sia per la produzione sia per i backup.
2. Controllo societario. Scopri chi controlla in ultima istanza il fornitore, perché una proprietà straniera può portare con sé pretese legali straniere.
3. Subappaltatori. Chiedi l'elenco e una clausola che richieda il tuo consenso preventivo per ogni modifica.
4. Accesso dell'assistenza. Devi sapere dove si trova il personale di supporto e se può vedere i tuoi dati dall'estero.
5. Misure di sicurezza. Autenticazione a più fattori, cifratura, registrazione degli accessi e backup testati.
6. Contratto. Un contratto di trattamento con ruoli definiti, misure tecniche e organizzative e rimedi in caso di violazione.
7. Uscita. Come recuperi i tuoi dati alla fine del contratto, in quale formato e dopo quanto tempo vengono cancellati. La does not guarantee sovereignty if the provider remains subject to foreign laws elenca il recupero dei dati a fine contratto tra i punti da verificare.
8. I tuoi obblighi. Termini di conservazione, regole di settore ed eventuali clausole nei contratti con i clienti.

Se tratti documenti per investitori, operazioni di fusione e acquisizione o documenti sensibili dei clienti, un piano di hosting da solo non basta. Conta anche avere strumenti separati per condividerli, e vale la pena conoscere le secure data rooms for startups accanto alla scelta dell'hosting principale.

Quando l'hosting svizzero vale il sovrapprezzo

I fornitori svizzeri non sono automaticamente più cari né migliori, quindi decidi in base alla tua situazione.

Ha senso quando:

• I tuoi clienti o le regole d'appalto esigono dati in Svizzera.
• Operi in un settore regolamentato dove gli obblighi di segreto rendono la giurisdizione straniera un rischio.
• Il tuo marchio vende fiducia e "i dati restano in Svizzera" fa parte di ciò che prometti.
• Vuoi la giurisdizione svizzera sulle richieste di accesso.

Conta meno quando:

• Gestisci un sito vetrina senza dati personali oltre a un modulo di contatto.
• Il tuo pubblico è per lo più fuori dalla Svizzera e una CDN lo servirebbe meglio.
• I tuoi clienti non pongono vincoli di ubicazione e il tuo fornitore offre solide garanzie contrattuali.

Nel secondo caso, costi e fatica rendono di più se investiti in backup, controllo degli accessi e un contratto di trattamento decente. Queste cose ti proteggono in molti più incidenti del codice postale di un centro di calcolo.

Come affrontiamo il tema in Ampersand

Le scelte di hosting sono decisioni di architettura, non solo questioni su dove sta un server. Quando costruiamo un sito, un'applicazione web o una piattaforma, gli ingegneri senior restano sul progetto dalla prima consulenza fino alla consegna, così l'assetto di hosting, la strategia di backup, il modello di accesso e la via d'uscita vengono progettati insieme al prodotto invece di essere aggiunti all'ultimo momento. Costruiamo anche in modo che tu non resti bloccato: devi poter spostare il tuo sistema e i tuoi dati quando cambiano le tue esigenze o le richieste dei tuoi clienti.

Se hai già qualcosa in funzione e vuoi mantenerlo in salute, il nostro piano Run & monitor costa 750 CHF al mese. Se stai valutando una migrazione, per esempio spostare un sistema datato su un'infrastruttura ospitata in Svizzera, guarda le opzioni sulla nostra pagina dei prezzi, oppure dai un'occhiata ai nostri lavori come studio di software di Zurigo per vedere per quali team costruiamo.

Errori frequenti

• Scambiare l'etichetta per un certificato di conformità. Descrive giurisdizione e ubicazione. Non sostituisce un contratto di trattamento né le misure di sicurezza.
• Dimenticare i backup. La produzione è in Svizzera, il backup si replica silenziosamente altrove.
• Ignorare l'accesso dell'assistenza. Un server svizzero gestito interamente da un team all'estero può sollevare le stesse domande sui trasferimenti di un hosting straniero.
• Dare per scontato che il GDPR non si applichi. Se ti rivolgi a residenti UE o li tracci, potrebbe applicarsi.
• Nessun piano di uscita. Se non puoi esportare i tuoi dati in un formato utilizzabile, sei bloccato a prescindere da dove si trovano.

Domande frequenti

È obbligatorio per legge ospitare il mio sito in Svizzera?

No. Non esiste does not guarantee sovereignty if the provider remains subject to foreign laws di ospitare i dati personali in Svizzera. Puoi usare un hosting estero se il Paese di destinazione offre una protezione adeguata o se ottieni garanzie equivalenti. In casi specifici, regole di settore e contratti con i clienti possono comunque imporre l'hosting in Svizzera.

L'hosting svizzero mi protegge dalle autorità straniere?

Non in automatico. Un fornitore controllato dall'estero può restare does not guarantee sovereignty if the provider remains subject to foreign laws, anche da un centro di calcolo svizzero. L'etichetta Swissmadesoftware nasce proprio per affrontare questo punto, richiedendo che il fornitore e la sua direzione siano giuridicamente e fisicamente in Svizzera.

Il GDPR si applica se i miei server sono in Svizzera?

Può darsi. Il GDPR si applica in base a chi ti rivolgi o chi monitori, non in base a dove stanno i tuoi server. Se offer goods or services to people in the EU or monitor their behavior there, potresti rientrarci e potresti aver bisogno di un rappresentante nell'UE. Un avvocato specializzato in protezione dei dati può confermare la tua posizione.

Cosa deve contenere un contratto di hosting?

Come minimo, un contratto di trattamento dei dati con ruoli chiari, outsourcing of data processing, consenso preventivo per i subappaltatori e rimedi in caso di violazione. Aggiungi l'ubicazione dei backup, l'accesso dell'assistenza e il modo in cui recuperi i tuoi dati alla fine del contratto.

Fonti

• data stays in Switzerland, and third parties can reach it only through Swiss authorities
• does not guarantee sovereignty if the provider remains subject to foreign laws
• outsourcing of data processing
• certifications such as ISO 27001 and ISAE 3402 and a review of incident response procedures
• clear roles and responsibilities, sufficient measures and effective remedies in case of breach
• contracts with foreign providers deserve a check, especially where support is delivered from abroad
• integrity, tamper-proof timestamps, documented procedures and access logs
• offer goods or services to people in the EU or monitor their behavior there