Capitolato d'oneri per un sito web in Svizzera: elementi da prevedere

Perché redigere un capitolato d'oneri per un sito web in Svizzera

Un capitolato d'oneri non è obbligatorio. I metodi di gestione del progetto variano e gli approcci agili privilegiano cicli molto brevi. Redigete tuttavia come minimo un documento breve: esso delinea il progetto e facilita le offerte delle agenzie e dei fornitori consultati.

Il documento fissa perimetro, budget, tempi e criteri di qualità. Allinea obiettivi aziendali, analisi della concorrenza, design, funzionalità front-end e back-end ed esigenze non funzionali. Strutturato attorno al contesto, agli obiettivi, alle specifiche tecniche, al budget e al calendario, rende le offerte comparabili, affidabili e conformi alle necessità.

La sfida concreta rimane la stima. Il capitolato d'oneri permette al fornitore di quantificare con precisione costi e tempi e di produrre una richiesta di offerta utilizzabile. Calcolate alcune ore di redazione per una base quanto più completa possibile: più il documento è preciso, più lo saranno le offerte.

Contesto, obiettivi e pubblici del progetto

L'introduzione presenta il committente e la sua organizzazione. Per la persona che guida il progetto: percorsi, competenze e visione. Per l'azienda: servizi e prodotti, storia, dimensioni, specializzazioni e competenze disponibili internamente. Precisa inoltre il team che seguirà il progetto.

Espone gli obiettivi a breve o lungo termine, nonché le aspettative d'uso e finanziarie. Identifica il pubblico: futuri clienti, utenti, mercato mirato e iniziative simili già esistenti.

Questa parte non dovrebbe essere esternalizzata: riguarda la vostra attività e il vostro progetto. Non sono necessari prerequisiti tecnici, ma una rilettura da parte di persone fidate con competenze varie limita le zone d'ombra.

Perimetro funzionale e struttura del sito

Il perimetro distingue esplicitamente le funzionalità pubbliche (front-end) dalle funzioni di amministrazione (back-end). Per ciascuna, precisate l'attore coinvolto, il percorso utente passo dopo passo, i punti di ingresso e di uscita, lo stato (indispensabile o desiderabile) e il criterio di completamento.

Le voci da coprire comprendono generalmente i tipi di contenuti e la loro modalità di pubblicazione. Aggiungete i moduli: campi, dati raccolti, destinatari delle notifiche, messaggi di conferma. Specificate gli spazi membri: iscrizione, ruoli e diritti, password dimenticata. Se del caso, descrivete un negozio online: catalogo, carrello, pagamento, spedizione, resi.

L'elenco delle esclusioni vale quanto quello delle funzioni incluse: redazione dei testi, produzione fotografica, traduzione, ripresa dei dati storici, connessione a un software gestionale. Quantificati separatamente se necessario, queste esclusioni evitano discussioni durante il progetto su prestazioni non budgettate.

Design, esperienza utente e contenuti

Per la charte graphique (identità visiva), indicate se esiste già (logo, colori, tipografie, elementi identitari e formato di fornitura) o se la sua creazione fa parte del mandato. Specificate i layout di schermo attesi, il comportamento responsive, i breakpoint da coprire, il numero di lingue e la gestione dei contenuti per ciascuna.

Per l'accessibilità, fissate esigenze selezionate e verificabili: contrasti sufficienti, navigazione da tastiera, struttura dei titoli, testi alternativi delle immagini, etichette dei campi dei moduli. Per il referenziamento, prevedete la struttura degli URL, i tag title e description, la sitemap e soprattutto il piano di reindirizzamento dal vecchio sito. Obiettivo: non perdere gli indirizzi esistenti.

Sui contenuti, stilate l'inventario dell'esistente. Determinate chi fornisce testi e immagini, entro quali termini, e chi li integra. Il tono editoriale e la struttura target si decidono in questa fase: condizionano il carico di ripresa o migrazione e il calendario di messa online.

Specifiche tecniche e integrazioni

Il capitolato d'oneri nomina la soluzione di gestione dei contenuti o il framework scelto, la sua licenza e le competenze necessarie per mantenerlo internamente o presso terzi. Precisa l'hosting: ubicazione dei server, backup, disponibilità attesa. Precisa il nome di dominio: titolare, gestione DNS. Copre anche gli indirizzi e-mail professionali e i certificati utilizzati per la cifratura degli scambi.

Elenca le integrazioni: interfacce con servizi terzi, CRM, strumento di fatturazione o di newsletter, misurazione dell'audience e monitoraggio delle conversioni. Descrive gli ambienti separati (sviluppo, test, produzione) e la procedura di messa in produzione. Precisa la frequenza e la durata di conservazione dei backup, nonché il modo in cui viene testato un ripristino.

Infine, ripartisce la manutenzione: chi applica gli aggiornamenti di sicurezza, con quale frequenza e secondo quale procedura di test. Quando un fornitore cloud tratta dati personali per vostro conto, agisce come subappaltatore. Il responsabile del trattamento deve assicurarsi che possa garantire la sicurezza dei dati.

Conformità LPD/nLPD: dati personali, cookie e menzioni legali

La nuova legge federale sulla protezione dei dati (LPD) è in vigore dal 1° settembre 2023, così come la sua ordinanza di applicazione (OPDo). Si applica ogniqualvolta vi sia un trattamento di dati personali da parte di privati, persone fisiche o giuridiche, nonché dall'amministrazione federale. Riguarda quindi tutte le imprese in Svizzera, indipendentemente dalle loro dimensioni.

Il sito deve contenere un'informativa sulla privacy adatta alla vostra struttura. È presente sul sito e su qualsiasi supporto utilizzato per raccogliere dati, e accettata sui moduli. Le menzioni legali devono far figurare le coordinate della società, la forma giuridica, il numero IDE/IVA se disponibili e le eventuali autorità di vigilanza.

Per le menzioni legali, prevedete un estratto dal registro di commercio. Un estratto certificato conforme costa 40 franchi, indipendentemente dalla forma giuridica. Gli estratti non certificati sono scaricabili gratuitamente tramite la ricerca di imprese o l'indice centrale delle ragioni di commercio Zefix.

I moduli impongono l'accettazione dell'informativa sulla privacy con un link alla stessa. Viene designato un responsabile dei dati per gestire le richieste di accesso, modifica e cancellazione.

Il banner di consenso ai cookie deve permettere di accettare o rifiutare determinate categorie, ad esempio il marketing. I consensi sono registrati in caso di controllo delle autorità. Prevedete quindi lo storico dei consensi e un modulo di accesso ai dati personali.

I principi applicabili restano la liceità, la buona fede, la finalità, la trasparenza, la proporzionalità, l'esattezza e la sicurezza. Chiunque tratti dati personali deve assicurarsi che siano esatti e prendere le misure appropriate per rettificarli o cancellarli.

Le informazioni dovute alla persona interessata comprendono l'identità e le coordinate del responsabile del trattamento, la finalità del trattamento e, se del caso, i destinatari o le categorie di destinatari.

I dati personali sensibili comprendono in particolare i dati sulle opinioni o attività religiose, filosofiche, politiche o sindacali, la salute, la sfera intima, l'origine razziale o etnica, i dati genetici, i dati biometrici che identificano una persona fisica in modo univoco, i dati su procedimenti o sanzioni penali e amministrative, nonché i dati su misure di assistenza sociale.

Sicurezza e ciberrresilienza

Il capitolato d'oneri descrive la gestione degli accessi: account nominali, ruoli distinti, autenticazione a due fattori, revoca degli accessi alla partenza di un collaboratore. Descrive il processo di aggiornamento del CMS e delle estensioni, con test preliminare su un ambiente separato. Precisa i backup cifrati, con ripristino regolarmente verificato, e la cifratura degli scambi.

Prevede la procedura di segnalazione. L'Ufficio federale della cibersicurezza (UFCS) è il servizio ufficiale al quale segnalare le falle di sicurezza in Svizzera.

L'UFCS è il centro di competenze della Confederazione in materia di cibersicurezza. È il primo interlocutore dell'economia, dell'amministrazione, degli istituti di formazione e della popolazione. Assicura l'attuazione coordinata della strategia nazionale di cibersicurezza.

Questo quadro evolve. Il Consiglio federale ha incaricato l'UFCS, in collaborazione con l'OFCOM e il SECO, di elaborare entro l'autunno 2026 un progetto di consultazione legislativa sulla ciberrresilienza dei prodotti digitali. Si allinea in particolare al Cyber Resilience Act europeo entrato in vigore l'11 dicembre 2024. È utile prevedere fin d'ora, nel contratto di manutenzione, una clausola di adattamento alle esigenze di cibersicurezza che deriveranno da questi lavori.

Budget, tempi e modalità di collaborazione

La stima si scompone per lotto: concezione e mockup, sviluppo front-end e back-end, integrazione dei contenuti, migrazione e reindirizzamenti, test, messa in produzione, formazione. Chiedete una tariffa giornaliera per profilo: direzione di progetto, design, sviluppo, contenuti. Chiedete anche due scenari quantificati, un perimetro di base e una variante estesa, piuttosto che un prezzo globale unico.

Il phased approach e il metodo di progetto figurano nel documento: fasi e milestone, deliverable attesi per ogni fase, interlocutori da entrambe le parti, strumenti di monitoraggio, istanza decisionale. Prevedete anche la procedura applicabile a qualsiasi richiesta fuori perimetro, con stima e validazione scritta prima dell'esecuzione.

Sul piano contrattuale, precisate i deliverable e la proprietà intellettuale: cessione dei diritti sul codice e sulle creazioni, licenze relative al CMS e ai componenti terzi. Precizzate le garanzie in caso di difetto e il contenuto esatto della manutenzione: prestazioni incluse, tempi di intervento in base alla gravità. Precizzate le condizioni di pagamento, con scadenziario legato alle milestone e ritenuta liberata dopo il collaudo.

Valutazione delle offerte, collaudo e manutenzione

Il confronto delle offerte guadagna ad appoggiarsi su una griglia ponderata. Questa copre la comprensione del bisogno, le referenze su progetti comparabili, le competenze del team assegnato, il metodo proposto, i tempi e il prezzo totale su diversi anni (sviluppo, hosting, licenze, manutenzione). Integra anche la conformità in materia di protezione dei dati e le misure di sicurezza. Fate rispondere per iscritto ai punti ambigui prima di decidere.

Il collaudo si prepara prima del lancio. Un piano di test riprende i percorsi descritti nel perimetro e i criteri di accettazione. È completato da test sui browser e dispositivi utilizzati dal vostro pubblico e, se necessario, da test di carico. Le anomalie sono registrate, classificate per gravità, e la loro correzione è inquadrata da termini, fino al verbale di collaudo.

Dopo la messa online, il capitolato d'oneri fissa la formazione delle persone che amministraranno il sito. Fissa la documentazione consegnata: manuale di amministrazione, procedura di backup e ripristino. Fissa le modalità di supporto: canale, orari, tempi per gravità. Prevede infine il trasferimento a vostro nome degli account essenziali: hosting, nome di dominio, misurazione dell'audience, certificati.

Checklist riassuntiva degli elementi da prevedere

Prima di diffondere il capitolato d'oneri, verificate che contenga la presentazione dell'organizzazione, la sua storia e le sue competenze interne. Verificate anche gli obiettivi a breve e lungo termine e le aspettative d'uso e finanziarie. Verificate inoltre i pubblici target, clienti e utenti, il mercato e le iniziative comparabili.

Verificate l'elenco delle funzionalità front-end e back-end con attori, percorsi, stato e criteri di accettazione. Verificate l'elenco esplicito delle esclusioni e delle prestazioni non incluse. Verificate la charte graphique o la sua creazione, i layout, il responsive, le lingue e le esigenze di accessibilità.

Verificate il piano degli URL, il piano di reindirizzamento e l'inventario dei contenuti da recuperare. Verificate il CMS o framework, l'hosting, il nome di dominio, le e-mail, le integrazioni, la misurazione dell'audience, gli ambienti e i backup.

Aggiungete l'informativa sulla privacy, il banner di consenso per categorie con storico, le menzioni legali con estratto dal registro di commercio, le caselle di accettazione sui moduli e il responsabile dei dati. Aggiungete l'identificazione dei ruoli di responsabile del trattamento e di subappaltatore, incluso per l'hosting. Verificate il riferimento alla LPD e alla sua ordinanza di applicazione (OPDo).

Aggiungete la gestione degli accessi, gli aggiornamenti, la cifratura e la procedura di segnalazione delle falle. Aggiungete la stima per lotto e per profilo, gli scenari quantificati, il phased approach, i deliverable, la proprietà intellettuale, le garanzie, la manutenzione e le condizioni di pagamento.

Aggiungete la griglia di valutazione delle offerte, il piano di test di collaudo, la formazione, la documentazione e il supporto post-lancio.