Sviluppo

Riaprire una pratica chiusa la rende di nuovo aperta – perciò ora vale lo stesso limite previsto per una nuova. 🔒 Prima il limite si poteva aggirare: chiudere una pratica, crearne una nuova, riaprire la vecchia. ℹ️ Raggiunto il limite, il messaggio indica entrambi i numeri e la via d’uscita, esattamente come alla creazione – e chi così supera l’80 % riceve lo stesso avviso.

Quando l’80 % di un limite è occupato, la pagina iniziale lo segnala – e i titolari ricevono un’e-mail. ✨ Sotto la riga è indicato cosa succede quando il limite è raggiunto e cosa può fare: chiudere ciò che non deve più restare aperto, oppure passare a un piano superiore. Una volta raggiunto il limite, vi è indicato anche come procedere. ℹ️ L’e-mail arriva una sola volta – al passo che supera la soglia, non a ogni passo successivo. Se la sua azienda scende di nuovo sotto e poi la supera ancora, arriva di nuovo. Con un piano illimitato non c’è alcun avviso di questo tipo.

Se la sua azienda passa a un piano più economico, il cambio vale dalla fine del periodo pagato – non a metà. Fino ad allora mantiene ciò per cui ha pagato. ✉️ Il giorno prima i titolari ricevono un promemoria con la data e i limiti del nuovo piano. 🛡️ Il cambio avviene solo se quel giorno la sua azienda rientra nei nuovi limiti; altrimenti resta il piano attuale. Un cambio non interrompe mai le pratiche in corso.

Dopo l’accesso vede il suo piano con prezzo annuo e durata – e, per ogni limite, quanto ne è occupato. ✨ Pratiche aperte e posti occupati compaiono come numero e come barra, insieme alla durata di conservazione dei suoi documenti. ℹ️ Il numero che vede è lo stesso su cui si basa la decisione – non esiste un secondo conteggio che possa calcolare diversamente. Con un piano illimitato compare «illimitato» al posto di un numero.

Il suo piano stabilisce quante pratiche possono essere aperte contemporaneamente e quante persone appartengono alla sua azienda. ✨ Raggiunto un limite, non è possibile creare altre pratiche né invitare altre persone – il messaggio indica entrambi i numeri e la via d’uscita: chiudere una pratica o passare a un piano superiore. 🛡️ Le pratiche in corso proseguono sempre. Richieste, caricamenti, verifiche e scadenze restano utilizzabili, e chi le fornisce documenti non si accorge di nulla del suo piano. ℹ️ Un invito in sospeso occupa il suo posto finché non viene accettato o scade; un invito scaduto lo libera.

Ogni operazione in un progetto lascia una riga nella cronologia – e quella riga ora non va più persa se qualcosa si inceppa nel momento sbagliato. 🔒 Prima una riga poteva mancare: l’operazione veniva registrata, la scrittura della voce falliva e un secondo tentativo non aiutava più – l’azione era già avvenuta. ✨ Ora l’operazione annota la propria riga nello stesso passaggio in cui viene registrata, e un passaggio successivo la aggiunge. Compare al più tardi dopo pochi minuti. ℹ️ Nulla viene mai scritto due volte: ogni riga porta un contrassegno, e ciò che è già registrato non viene riscritto. 🛡️ E non nasce mai una riga per qualcosa che non è accaduto – meglio una lacuna che si colma di una voce che afferma qualcosa.

🛡️ Un passo annullato non esiste più per un ospite con vista limitata – nemmeno se prima gli era stato aperto esplicitamente. 🔒 La decisione avviene al momento di mostrarlo, non solo al momento di annullarlo. Annullare un passo richiede due gesti: cambiare il passo e togliere le autorizzazioni collegate. Se il secondo restava bloccato, il passo annullato rimaneva nella vista dell'ospite. ✨ Ora è la vista stessa a chiedere lo stato – per gli ospiti un passo annullato è quindi sparito, qualunque cosa sia successa durante l'annullamento. ℹ️ Per lei non cambia nulla: nella sua vista i passi annullati restano visibili, così può ricostruire che cosa è stato annullato.

Un progetto concluso può ora essere eliminato – con tutto ciò che vi è collegato. 📄 Prima la richiesta di conferma le mostra che cosa sparisce esattamente: quanti documenti, richieste, fasi, autorizzazioni e righe di registro. Queste cifre provengono dallo stesso punto che poi elimina – non da ciò che è visualizzato sullo schermo. Solo il secondo clic esegue l'operazione. 🔒 I contenuti vanno per primi. Per ogni documento le chiavi vengono rimosse e il contenuto cifrato viene cancellato presso il servizio di archiviazione; dopodiché nessuno può più aprirlo, nemmeno lei. 🛡️ Un progetto in corso non viene eliminato. Lo chiuda prima, oppure lo metta su «annullato» se viene interrotto – altrimenti i partecipanti lavorano su termini che non esistono più. ✨ Scarichi prima il rapporto di progetto. Dopo non sarà più ottenibile qui; le copie che ha inviato restano presso i destinatari.

Per ogni progetto è ora disponibile un rapporto da scaricare. Registra quando sono stati richiesti quali documenti, con quali termini, quando e da chi sono stati consegnati e come sono stati valutati – l'intero svolgimento in un unico rapporto, non lo stato odierno. 📄 Una copia a un partecipante si invia con un secondo pulsante, e soltanto con quello: finché non lo premete, non parte nulla. Lo decidete per ogni rapporto e per ogni destinatario singolarmente. 🌍 Il destinatario riceve il suo foglio nella sua lingua, con gli eventi generali del progetto e le operazioni che riguardano lui stesso – non ciò che è avvenuto fra voi e altri partecipanti. 🔒 Nel rapporto non compare alcun contenuto dei vostri documenti. Non è una mancanza, è la promessa di questo strumento: non possiamo leggere i vostri file. Il rapporto porta ciò che è accaduto e quando, nient'altro.

Sopra il suo elenco di progetti si trovano ora un campo di ricerca e un filtro per stato. Finora chi seguiva venti progetti doveva scorrere. 📄 La ricerca copre numero di progetto, nome e descrizione – il numero per primo, perché è quello che ha in mano da un'e-mail o da un giustificativo. Maiuscole e minuscole non contano, e nemmeno gli accenti: digitando `zurich` trova «Audit Zürich». Più parole possono essere inserite in qualsiasi ordine. 🔒 La ricerca avviene nel suo browser – per essa non parte alcuna richiesta. Sopra l'elenco è indicato quanti progetti su quanti sta vedendo, così che un filtro attivo non passi mai inosservato. Se la ricerca non trova nulla, la pagina lo dice esattamente – e non che lei non ha progetti.

Chi le richiede documenti può ora indicare in quale lingua viene contattata. Finora ogni e-mail a una persona di contatto partiva nella lingua predefinita – anche verso una destinataria nella Svizzera romanda o in Ticino. 📄 Nella registrazione di una persona di contatto compare ora un campo «Lingua» con le quattro lingue dello strumento. Se non ne viene scelta alcuna, resta tutto come prima; l’indicazione è facoltativa e può essere aggiunta in qualsiasi momento. 🔒 La lingua appartiene alla persona, non al singolo procedimento: se viene corretta, anche i solleciti già pianificati partono nella nuova – e così pure l’avviso di revoca.

Quando un’azienda le sottopone qualcosa, ora può rispondere – con un clic. Finora il link ricevuto per e-mail permetteva solo di caricare un file. Se l’azienda chiede il suo consenso, compaiono due pulsanti: accettare o rifiutare. Non è richiesta alcuna motivazione; chi non ha nulla da dire non deve scrivere nulla. 📄 Se l’azienda ha autorizzato una controproposta, può allegare al suo rifiuto un documento proprio – viene cifrato nel suo browser prima di lasciare questo computer, come tutto il resto. 🔒 La sua risposta e la controproposta partono insieme e costano un solo tentativo, non due. Ciò che ha risposto resta poi visibile sulla pagina – *chi non vede che la sua dichiarazione è arrivata la invia di nuovo.* Finché restano tentativi, può modificare la sua risposta.

Su questa pagina si leggeva che nemmeno noi possiamo leggere i suoi file – senza fare una distinzione che invece esiste. Per i documenti che la controparte consegna non cambia nulla: la chiave nasce nel suo browser e non ci raggiunge mai. 🔒 Quando è lei a mettere a disposizione un documento, la chiave viaggia nel link verso il destinatario. Affinché l’e-mail possa essere composta, passa una sola volta dal nostro server – e non viene conservata da nessuna parte: né sulla pratica, né nel registro, né in un messaggio di errore. Un banco di prova esamina ogni uscita di questo percorso e lo verifica invece di affermarlo. *Una promessa che vale per un percorso e non per l’altro non è una promessa ma un’interpretazione* – per questo ora dice «non la conserviamo mai» invece di «non la riceviamo mai».

Chi segue un progetto per l’intero suo svolgimento può ora creare un account e vedere tutti i progetti per cui è autorizzato – senza un nuovo link ricevuto per e-mail. Per il resto nulla cambia: per consegnare documenti non serve alcun account, e un account è sempre gratuito. 🔒 L’autorizzazione segue l’indirizzo, ma solo una volta confermato. Non è una formalità: senza questa condizione basterebbe registrarsi con l’indirizzo di un’altra persona per vederne i progetti. *In questo punto la conferma dell’indirizzo è il controllo dei diritti.* Ciò che l’azienda ha revocato non compare nell’elenco, e ciò che il suo livello non mostra non viene caricato nemmeno qui.

Un record senza nome e senza funzione faceva cadere l’intera vista del progetto – e proprio per chi la guarda con un account, cioè per chi ne vede di più. Lo schema prevede una stringa vuota per entrambi i campi, ma ciò vale alla creazione: *un valore predefinito è una promessa sui record nuovi, non un’affermazione su quelli che ci sono già.* Un record scritto o importato prima non ha quei campi. L’elenco ora lo salta, il conteggio continua a includerlo – quella persona partecipa, è soltanto senza nome.

Chi deve consegnare un documento vede anche di che cosa si tratta – in cinque livelli che l'azienda imposta per ogni persona: solo il titolo, poi la breve descrizione, le sezioni espressamente aperte, tutte le sezioni, infine anche i loro testi completi. Il livello più basso è quello predefinito: *chi non imposta nulla non rivela nulla.* Budget e ore non compaiono a nessun livello — non vengono nemmeno caricati. 🔒 I nomi degli altri partecipanti compaiono solo con un proprio account, altrimenti il semplice numero con una spiegazione: *un link dimostra solo che qualcuno ha avuto accesso a una casella di posta* — un'e-mail inoltrata, un collega davanti allo stesso schermo bastano. Legarvi dei nomi sarebbe una divulgazione senza verifica. Un account è sempre gratuito.

Un link valido sette giorni, con un termine fra venti giorni, è un indirizzo morto per quattordici giorni, con un compito aperto accanto. Può essere voluto – ci sono ragioni – e per questo viene segnalato e non vietato. Al momento della richiesta e allo spostamento di un termine, l'azienda apprende che cosa ha appena impostato. *Un'impostazione che si nota solo dalle sue conseguenze la si nota quando qualcuno telefona.* Se la validità finisce esattamente con il termine non c'è nulla da segnalare: chi può consegnare entro la data non ha davanti un link morto.

Un termine si può spostare senza che i vecchi promemoria restino indietro. L'azienda fissa un nuovo termine, con validità, tentativi di caricamento e preavvisi – e i promemoria già pianificati vengono scartati nella stessa operazione: *un promemoria su un termine che non esiste più arriva puntuale, e nessuno si accorge che indica la data sbagliata.* Scartato significa annotato, non cancellato. Il destinatario riceve un'e-mail con la nuova data e un nuovo link. E «il termine attuale resta valido» non vale più per uno scaduto: chiedere una correzione il cui termine è già passato viene rifiutato, invece di inviare un'e-mail che chiede qualcosa entro ieri.

L’azienda valuta ora un documento consegnato – accettato, serve un’altra versione o respinto. Gli ultimi due richiedono una motivazione, imposta dal servizio e non dalla maschera: *un documento respinto senza motivo non è un risultato per il mittente, è un vicolo cieco.* Se serve una nuova versione, il nuovo collegamento viaggia nella stessa email; accettato significa concluso. Viene annotato anche quale versione è stata valutata – *un «accettato» che non dice su cosa diventa, al caricamento successivo, un’affermazione su qualcosa che nessuno ha guardato.*

Quando un’azienda ritira una richiesta, il collegamento muore nello stesso istante – non alla prossima esecuzione. Chi lo apre dopo legge che la richiesta è stata ritirata, non «sconosciuto»: *un collegamento morto che non dice perché è morto manda il destinatario al telefono.* Parte un’email, e quanto già consegnato resta – a essere ritirato è l’accesso, non la consegna.

Inviare di nuovo un documento non sovrascrive il primo. Ogni consegna viene registrata come versione a sé: 1, 2, 3 – e ciascuna resta per tutta la durata di conservazione. L’azienda vede nel registro che è arrivato qualcosa di più recente, e chi ha consegnato vede di quale versione si tratta. *Chi vuole verificare che cosa esisteva in una certa data non può più farlo dopo una sovrascrittura.*

Chi deve consegnare un documento ora può caricarlo. Viene cifrato nel browser prima di lasciare il computer; contenuto e nome del file escono solo sigillati. La pagina indica quanti tentativi restano. Un tentativo viene registrato nella scrittura stessa, prima che il file venga archiviato, e non viene mai riaccreditato; due clic nello stesso istante non possono quindi superare il limite.

Progetti aperti, documenti richiesti e quanti di questi sono in ritardo – già nella pagina iniziale. I numeri provengono dagli stessi calcoli dei promemoria e del controllo delle scadenze, così la panoramica non dice mai qualcosa di diverso dal sistema. Se «In ritardo» mostra più di zero, diventa rosso.

Chi deve consegnare un documento riceve automaticamente un promemoria – dieci giorni e due giorni prima della scadenza. Ogni promemoria viene fissato come voce a sé nel momento della richiesta; se il giro orario salta una volta, viene recuperato dopo invece che tralasciato. Se la scadenza è già troppo vicina, il primo promemoria decade invece di partire subito.

Quando si cancella, spariscono prima le buste e poi il file cifrato. In quest’ordine, così non resta nulla che si possa ancora aprire. Esiste inoltre una prova che il server non può leggere il contenuto – nemmeno con un account dell’operatore che si attribuisca diritti in un secondo momento.

I documenti vengono cifrati nel browser di chi li consegna – il contenuto e il nome del file. Da quel momento possono leggerli solo le persone autorizzate; ognuna riceve una propria busta attorno alla stessa chiave. Anche i file grandi passano a pezzi, così un documento da dieci megabyte non si blocca per mancanza di memoria.

Un file chiamato `.pdf` non è ancora un PDF. Durante il caricamento il file viene ora esaminato dall’interno e la dimensione viene verificata due volte – nel browser, perché nessuno trasferisca per dieci minuti per poi leggere un rifiuto, e di nuovo sul server, perché un controllo nel browser è una comodità e non una garanzia.

Chi riceve una richiesta da lei arriva ora su una pagina dedicata. Indica il documento richiesto, il progetto, il suo nome, il termine e quanti caricamenti restano – senza account e senza accesso.

🔒 Il gettone di accesso si trova nell’indirizzo dopo il cancelletto e non lascia mai il browser. Non compare quindi in alcun registro del server e non viene trasmesso quando da lì si apre un’altra pagina.

ℹ Un link che non funziona più dice anche perché. Copiato in modo incompleto, scaduto o ritirato sono tre risposte diverse con tre seguiti diversi – e l’autorizzazione viene verificata a ogni accesso, non solo alla spedizione.

⚠ Il caricamento vero e proprio arriverà con il passo successivo.

Ora decide lei stesso chi guarda un progetto dall’esterno. Inserisca l’indirizzo, aggiunga nome e funzione e soprattutto: uno dei cinque livelli di visibilità – da «solo il numero dei passi» a «tutto tranne i tempi interni».

ℹ L’impostazione predefinita è il livello più riservato. Chi non imposta nulla non rivela nulla; ogni informazione in più è una decisione che prende lei.

⚠ Una revoca ha effetto subito e resta visibile. La voce non scompare, porta il momento – così che in seguito nessuno debba indovinare da quando qualcuno non ha più visto nulla.

L'impaginazione e l'aspetto di questa pagina sono stati rielaborati. Ogni modifica ora sta su una scheda propria, invece di essere separata dalla successiva soltanto da un filetto sottile, e l'intestazione indica quale versione è in esercizio.

ℹ Tipo, data e versione stanno uno accanto all'altro, l'argomento nella riga sottostante. In più un'icona per ogni tipo, una legenda che li spiega tutti e quattro e un titolo per ogni mese – così una voce si trova invece di cercarla.

⚠ E le descrizioni sono diventate più ampie. Una cronologia fatta di parole chiave dice che qualcosa è cambiato, ma non che cosa – ed è metà di un'informazione.

Un conto nuovo crea da sé la propria organizzazione. Prima ciò era possibile soltanto dietro le quinte.

ℹ Chi lavora in più organizzazioni passa dall'una all'altra. Progetti, fasi e documenti appartengono sempre esattamente a un'organizzazione.

⚠ I collaboratori vengono invitati con un ruolo. Il ruolo decide che cosa qualcuno può vedere e modificare – un invito senza ruolo sarebbe una decisione che nessuno ha preso.

Progetti, fasi e liste di controllo si vedono e si modificano ora anche nell'area di lavoro. Non più soltanto dove sono stati creati.

ℹ Per ogni progetto è indicato il numero dei punti aperti. È la domanda con cui si apre un elenco del genere – già risposta, senza aprire ogni progetto uno per uno.

Ogni modifica a un progetto viene registrata. Chi ha impostato quale stato e quando, chi ha creato quale fase, chi ha spuntato quale punto.

⚠ La cronologia si integra, non si modifica. Una prova che si può ritoccare a posteriori non è una prova.

La cronologia che sta leggendo in questo momento. In quattro lingue, integrata a ogni rilascio, e ogni voce porta data, ora e numero di versione.

⚠ Scritta a mano e non ricavata dal registro interno. Internamente annotiamo a partire da quale versione qualcosa non ha funzionato e perché; pubblicato, sarebbe un'istruzione per chi cerca un'installazione non ancora aggiornata.

Per ogni fase si può registrare quando e per quanto tempo vi si è lavorato. Con un'annotazione, dove senza di essa la riga più tardi non sarebbe comprensibile.

ℹ Un budget è facoltativo – chi ne indica uno vede quanto resta. Se è superato, il superamento è quantificato. Senza budget non c'è alcun residuo, perché « nessun budget » è altra cosa da « zero ore ».

Cinque stati: aperto, in lavorazione, chiuso con successo, chiuso senza successo, annullato. Gli stessi valgono per la singola fase e per l'intero progetto.

⚠ Finché una fase è aperta, il progetto non si può chiudere con successo. E in un progetto chiuso nessuna fase si può riaprire – due regole che si sorreggono a vicenda.

Un progetto, fasi con un nome, per ogni fase una lista di controllo. Creare, rinominare, riordinare – la struttura segue il suo processo, non il contrario.

ℹ La lista di controllo è l'elenco dei documenti di cui ha bisogno. Da essa nascono le richieste che più tardi raggiungono la sua controparte.

Tedesco, francese, italiano e inglese – ovunque la stessa affermazione. L'interfaccia, i messaggi alla sua controparte e anche questa pagina.

⚠ A garantirlo è una verifica in fase di compilazione. Se manca una frase in una delle quattro lingue, la versione non esce affatto – una traduzione di cui bisogna ricordarsi regge fino alla prima aggiunta frettolosa.

L'accesso si può proteggere con un codice inviato per posta elettronica. Dopo indirizzo e password arriva un secondo passaggio che raggiunge soltanto chi ha accesso alla sua casella.

⚠ In più i codici di riserva, se la casella non è raggiungibile. Vengono mostrati una sola volta e restano poi solo presso di lei. Ciascuno vale esattamente una volta e dopo è consumato.

Entrambe le cose sono possibili senza rendere illeggibili i documenti cifrati. A essere richiuso è l'involucro attorno alla chiave; i file restano intatti.

⚠ Il ripristino è la più delicata delle due strade. Chi ha dimenticato la password non ha più nulla da mostrare – la strada passa perciò dall'indirizzo confermato e non da una domanda che qualcuno potrebbe indovinare.

La coppia di chiavi nasce sul suo dispositivo, non da noi. La parte pubblica va al server, quella privata resta qui – chiusa con la sua password.

⚠ Nemmeno noi possiamo quindi leggere i suoi documenti. Da noi c'è il contenuto cifrato e una chiave che senza la sua password non apre nulla.

Creare un conto, confermare l'indirizzo, accedere. Il primo percorso che funziona dall'inizio alla fine – con messaggio di conferma, regole per la password e una sessione che si può chiudere.

ℹ L'indirizzo di posta è l'ancoraggio del suo conto. Vi arrivano la conferma, gli inviti successivi e ogni notifica – per questo già alla creazione si verifica che sia davvero un indirizzo.