Hosting e dominio per l’e-shop svizzero: requisiti e verifica contrattuale

Dal catalogo all’esercizio: cosa richiede un e-shop svizzero al provider di hosting

Der Beobachter elenca tre punti di controllo per la scelta dell’hosting: la capacità di archiviazione necessaria, l’ampiezza del servizio clienti del provider e il prezzo più adatto alle proprie esigenze. Chi li quantifica con numeri invece di confrontare semplicemente le tariffe, negozia su grandezze concrete anziché su nomi dei pacchetti.

Il numero di prodotti determina il pacchetto: il web shop di Hostpoint è strutturato in quattro livelli con 1'000, 10'000, 100'000 e 200'000 prodotti. Il multilinguismo è previsto nel terzo livello fino a 3 lingue e nel quarto fino a 14 lingue; un collegamento a eBay e un accesso API per app proprie sono disponibili solo nel livello più grande.

Chi ha bisogno di multilinguismo o di un’integrazione con i propri sistemi solo in un secondo momento, pianifica fin dall’inizio il cambio di livello e il relativo salto di prezzo.

Anche le modalità di pagamento dipendono dal pacchetto: nel livello più piccolo è incluso PayPal; PostFinance e Saferpay si aggiungono a partire dal livello intermedio, mentre il collegamento a Trusted Shops è riservato ai pacchetti più grandi. A seconda del livello, sono inclusi 500 GB (Smart Webhosting) o 1000 GB (Business Webhosting) di spazio web. La questione dello spazio derivante dall’analisi del fabbisogno si legge al confine del pacchetto, non alla singola voce.

Alla scelta dell’hosting si accompagna la questione del dominio. Hostpoint, il principale provider di web hosting svizzero, gestisce oltre 1,3 milioni di nomi di dominio. Con FireStorm, il pacchetto FireSmall include domini illimitati, 50 GB di spazio per le e-mail e 10 account e-mail. Chi intende gestire più domini, fissa quindi il numero già nell’elenco dei requisiti.

Le aspettative sul supporto devono figurare per iscritto nell’elenco dei requisiti: Hostpoint dichiara di essere raggiungibile telefonicamente dai clienti anche nei fine settimana. Se questo canale sia sufficiente dipende da quando si vende: un e-shop che genera fatturato la domenica sera ha bisogno di una risposta al di fuori degli orari d’ufficio.

Sede dei server in Svizzera: dove risiedono i dati e perché è importante

La sede dei dati è una questione contrattuale, non di marketing. FireStorm la formula in modo concreto: archiviazione esclusivamente in data center svizzeri, nessun trasferimento di dati all’estero, pieno controllo sulla ubicazione dei dati; i prezzi partono da CHF 4.95 al mese. Chi verifica questo aspetto non si accontenta della parola «Svizzera» nel testo pubblicitario, ma chiede la sede del data center e se i dati – compresi backup e accessi di supporto – possano fluire all’estero.

La qualificazione giuridica è fornita dal provider: la Legge federale sulla protezione dei dati (LPD) sarebbe tra le più severe al mondo; l’UE riconosce il suo livello di protezione come equivalente. Dal 2023 è in vigore la nuova LPD, come ricorda il generatore per la protezione dei dati; essa è sostanzialmente vicina al Regolamento generale sulla protezione dei dati (RGPD), mentre il RGPD nel complesso contiene norme più rigorose. La sede in Svizzera è quindi un argomento a favore della sovranità sui dati, ma non esonera automaticamente dagli obblighi in materia di protezione dei dati.

La responsabilità è stabilita per legge: l’Ordinanza sulla protezione dei dati impone che il titolare del trattamento e il responsabile del trattamento determinino il bisogno di protezione dei dati personali per garantire una sicurezza dei dati adeguata. Questo è il punto di partenza per definire quali misure di protezione devono figurare nel contratto, non il catalogo del provider di hosting.

Bisogna distinguere due configurazioni: la LPD non riguarda solo le imprese svizzere, ma anche quelle tedesche o austriache e i gestori di siti web. Chi serve clienti nell’UE deve chiarire se si applichi anche il RGPD. Un server in Svizzera risponde alla questione della sede, non automaticamente a quella del diritto applicabile.

Trattamento dei dati per conto terzi e accessi: cosa deve figurare nel contratto

FireStorm indica come punti di prestazione verificabili: crittografia SSL per il trasferimento dei dati inclusa gratuitamente, backup giornalieri contro la perdita di dati, controlli di accesso e registrazione per la tracciabilità del trattamento dei dati, protezione DDoS nonché un data center certificato ISO 27001.

Decisive sono la parola «crittografato» riferita ai backup e la combinazione di controllo degli accessi e registrazione: un backup consultabile da qualsiasi collaboratore del supporto non soddisfa il requisito della tracciabilità.

Il contratto di trattamento dei dati per conto terzi (CTD) presso questo provider è «disponibile su richiesta»: non viene quindi fornito automaticamente con l’ordine. Chi non lo richiede prima della firma, potrebbe non ottenerlo in seguito. Il contratto dovrebbe inoltre stabilire chi è tenuto ad adottare quali misure.

Prezzo, durata e disdetta: le clausole contrattuali sotto la lente

Le offerte di hosting svizzere sono calcolate in modi molto diversi. FireStorm vende pacchetti con una durata di 36 mesi, a scelta con 12 o 24 mesi. FireSmall costa CHF 5.90 al mese con un abbonamento triennale; FireLarge CHF 4.95 al mese nel primo anno e successivamente CHF 8.90 al mese, pubblicizzato come sconto del 50% nel primo anno.

Il web shop di Hostpoint è offerto con una durata di 1 mese o 12 mesi, con 3 mesi omaggio; in seguito, Webshop S costa CHF 29.00, M CHF 49.00, L CHF 99.00 e XL CHF 149.00 al mese. La gamma va quindi dall’impegno mensile al contratto di 36 mesi.

Per la verifica contrattuale ne deriva un calcolo sull’intera durata invece che sul prezzo iniziale. Determinanti sono i costi dopo la scadenza della promozione e eventuali salti di prezzo, non il prezzo iniziale pubblicizzato.

Parallelamente, va letta la clausola di disdetta: presso Hostpoint è possibile disdire in qualsiasi momento durante i primi 3 mesi; questa fase corrisponde ai mesi omaggio. Come modello alternativo al vincolo di lunga durata, Metanet propone una garanzia di rimborso entro 30 giorni per il suo web hosting dalla Svizzera: un termine di restituzione non sostituisce tuttavia un breve termine di disdetta, se l’e-shop cresce dopo la fase di test.

Il dominio rientra nello stesso contratto: FireSmall include domini illimitati ed è venduto con una durata di 36 mesi, a scelta con 12 o 24 mesi. Chi desidera trasferire il dominio presso un altro provider in un secondo momento, deve quindi conoscere non solo il termine di disdetta dell’hosting, ma anche quelli del contratto di dominio.

Dominio e indicazioni obbligatorie: cosa deve essere visibile su ogni pagina dell’e-shop

L’obbligo figura all’art. 3 cpv. 1 lett. s n. 1 della Legge federale contro la concorrenza sleale (LCSl): chi offre merci, opere o prestazioni su Internet o altrimenti nel commercio elettronico deve fornire indicazioni chiare e complete sulla propria identità e sul proprio indirizzo di contatto, inclusa la posta elettronica. È in vigore da oltre un decennio.

Non importa se le offerte siano totalmente o parzialmente gratuite: un indirizzo e-mail deve obbligatoriamente figurare nelle informazioni legali («Impressum»).

La cerchia dei soggetti interessati è più ampia di quanto molti pensino: non sono coinvolti solo i classici e-shop, ma anche piattaforme di file sharing e social media, nonché le offerte di fornitori di servizi cloud e di web hosting. Non sono soggette all’obbligo delle informazioni legali le attività puramente private o altre attività non commerciali.

Secondo Metanet, i siti web commerciali e gli e-shop sono sempre soggetti all’obbligo; anche i siti aziendali, pure in assenza di vendita diretta. I liberi professionisti e gli indipendenti che promuovono i loro servizi online devono pubblicare le informazioni legali. Non appena vengono inserite pubblicità o link di affiliazione, la situazione cambia anche per un sito originariamente privato.

Metanet indica come basi giuridiche l’interazione tra Codice delle obbligazioni (CO), LCSl e l’Ordinanza sull’indicazione dei prezzi (OIP) e tratta il posizionamento e la reperibilità delle informazioni legali come punto a sé. Per la verifica contrattuale, ciò significa considerare tempestivamente posizionamento e reperibilità; la concretizzazione dipende dal caso singolo.

La fonte sottolinea inoltre che un’assenza o un’ambiguità nelle informazioni legali costituisce un indizio di offerte poco serie; la stessa aspettativa vale da parte della clientela verso il proprio e-shop.

Informativa sulla privacy, CGC e diritto d’autore: non mescolare tutto

Informazioni legali e informativa sulla privacy vengono spesso confuse, ma sono due documenti distinti: le informazioni legali rispondono alla domanda su chi sta dietro al sito web; l’informativa sulla privacy spiega cosa accade ai dati personali. Metanet dedica espressamente una sezione a questa distinzione.

Der Beobachter elenca ulteriori componenti di una presenza web da verificare a seconda del contenuto e dello scopo: contenuti di partner, diritto d’autore incluso il diritto alla propria immagine, diritto al nome, obbligo delle informazioni legali, condizioni generali di contratto (CGC), informativa sulla privacy, pubblicità e siti web internazionali. Determinante è se si pratichi o meno l’e-commerce: un e-shop attiva più punti di controllo rispetto a una pura pagina informativa.

Per il diritto d’autore, la linea di demarcazione è chiara: sono protetti i contenuti che costituiscono una creazione intellettuale individuale, tra cui foto, video, musica e testi. Tali contenuti non possono essere diffusi pubblicamente senza il consenso dell’autore; è ammesso solo l’uso per fini privati. Un sito web è considerato pubblico, pertanto l’inserimento di un’immagine altrui costituisce generalmente una violazione.

Der Beobachter segnala che avvocati e agenzie fotografiche cercano sistematicamente immagini utilizzate illegalmente, inviando diffide ai gestori di siti web e chiedendo il risarcimento dei danni. Le immagini dei prodotti e i testi devono quindi essere documentati con indicazione della provenienza e dei diritti di utilizzo.

Checklist di verifica prima della firma

Per il colloquio contrattuale emerge una sequenza. Primo: dove risiedono i dati e la sede del data center in Svizzera è garantita in modo tale che anche i backup e gli accessi di supporto non comportino trasferimenti all’estero? Secondo: il contratto di trattamento dei dati per conto terzi è disponibile, non come promessa, ma come documento da richiedere prima della firma? Terzo: l’entità e la frequenza dei backup, la crittografia, i controlli di accesso e la registrazione sono menzionati nell’ambito delle prestazioni?

Quarto: durata e termine di disdetta, inclusa la questione se la possibilità di disdetta valga solo durante una fase promozionale. Quinto: il prezzo dopo la scadenza della promozione, calcolato sull’intera durata e non sul prezzo iniziale. Sesto: la reperibilità del supporto, specialmente al di fuori degli orari d’ufficio, se si vende in questi orari.

L’ultimo punto esula dal contratto di hosting, ma viene spesso trascurato: il controllo del proprio dominio. Va verificato chi è registrato come titolare, chi gestisce DNS e nameserver, quali termini di rinnovo e disdetta si applicano e come è regolato un trasferimento. Per i domini .ch, occorre chiarire quali prescrizioni impone l’ente di registrazione.

Se dominio e hosting provengono dallo stesso fornitore è di per sé una decisione contrattuale. Insieme facilita la gestione, ma vincola il dominio al contratto di hosting e alla sua durata. Titolarità, gestione DNS e rinnovo devono quindi essere disciplinati separatamente per iscritto.

Va inoltre verificato se le informazioni legali riportino completamente l’identità e l’indirizzo di contatto, incluso l’indirizzo e-mail, se siano raggiungibili da ogni pagina dell’e-shop e se le informazioni legali e l’informativa sulla privacy siano tenute separate. Per un e-shop con clientela estera, si aggiunge la questione di quali ulteriori normative si applichino.