Il riscontro dei pazienti, trattato con cura.

Cominciamo da ciò che questo prodotto non è

La sanità è il settore in cui il marketing dei fornitori fa più danni, quindi i limiti vengono prima e non in nota a piè di pagina. NumoForms non possiede alcun certificato ISO 27001, non ha completato un audit SOC 2 e non avanza alcuna dichiarazione relativa al Data Security and Protection Toolkit dell’NHS. Non dispone di single sign-on né di SAML, non offre firme elettroniche qualificate, non ha una modalità offline o chiosco e non ha connettori Zapier o Google Sheets. Non è un sistema clinico e non ha alcun ruolo nel fascicolo sanitario.

Quello che ha è un insieme di controlli verificabili, messi per iscritto nella pagina sulla sicurezza, nella pagina sul GDPR del Regno Unito e nell’elenco pubblicato dei sub-responsabili. Chi si occupa di governance delle informazioni può leggerli in dieci minuti e decidere, il che è più rapido di una conversazione commerciale.

I problemi che i team sanitari portano davvero sul tavolo

Residenza dei dati e accessi sono sempre la prima domanda

I contenuti dei questionari e le risposte sono conservati a Londra su infrastruttura britannica. I dati sono cifrati in transito con TLS e a riposo con AES-256 dalla piattaforma. La row-level security si applica ovunque e l’isolamento fra organizzazioni è fissato lato server anziché essere ricavato da un valore inviato dal browser: è la differenza fra una politica e un controllo. I ruoli sono proprietario, amministratore e membro, e l’ultimo proprietario di un’organizzazione non può essere rimosso né retrocesso, con vincolo a livello di database, così un errore amministrativo non può lasciare orfano uno spazio di lavoro pieno di risposte.

I file caricati non stanno mai su un URL pubblico. Vengono scritti in un bucket privato e letti dai membri dell’organizzazione tramite URL firmati validi 300 secondi. La cancellazione delle risposte di prova rimuove con esse i file caricati e le risposte parziali, così una fase pilota non lascia documenti dietro di sé.

Chiedete il minimo che la domanda richiede

La minimizzazione dei dati è qui più facile da ottenere che in quasi tutti gli altri strumenti, perché un questionario conserva esattamente ciò che chiedete e nulla di più. Non esiste alcuna acquisizione automatica dell’identità. Se un’indagine sull’esperienza dei pazienti non ha domande su nome, email, indirizzo o numeri, nella risposta non c’è alcun dato identificativo.

Dove serve davvero un identificativo — un riferimento di appuntamento, un codice di ambulatorio, un marcatore di coorte — i campi nascosti si dichiarano per singolo questionario e si leggono dalla stringa di query, quindi ciò che viene associato a una risposta è una decisione presa esplicitamente e indicabile in una DPIA. Usate un riferimento pseudonimizzato anziché un identificativo diretto, e tenete la chiave in un luogo che lo strumento di questionari non vede mai.

Le persone che più avete bisogno di ascoltare sono quelle che fanno più fatica con i questionari

Il lavoro sull’esperienza dei pazienti sovrarappresenta chi trova facili i moduli. Tre elementi vanno in direzione opposta. La logica condizionale fa sì che nessuno legga una domanda che non riguarda il proprio percorso di cura. Salva e continua genera un link di ripresa basato su un token di 24 caratteri, così un modulo lungo si può compilare in sedute brevi — cosa che conta quando la stanchezza è il motivo stesso della visita. E l’esperienza di chi risponde è progettata avendo come riferimento WCAG 2.2 AA, con le avvertenze esposte con chiarezza nella pagina sull’accessibilità: nessun audit indipendente e nessun VPAT.

Il layout conversazionale — una domanda per volta, con avanzamento automatico sulle domande a un tocco — è di solito la scelta giusta per un codice QR in sala d’attesa. Il classico, un’unica pagina a scorrimento nell’ordine del documento, è la struttura più prevedibile per screen reader e ingranditori. Quello a pagine, una sezione per schermata, si presta a una lunga consultazione sulla riprogettazione di un servizio.

Non c’è nulla che venga mai gestito da una sola organizzazione

Una consultazione territoriale coinvolge un ente ospedaliero, un organismo di committenza, un ente locale e un partner attuatore del terzo settore, e tutti e quattro si aspettano di comparire. I loghi dei collaboratori sono per singolo questionario, non per account, così un solo spazio di lavoro può esporre un insieme diverso di partner su ciascuna attività senza che nessuno sovrascriva gli altri. Ogni questionario porta inoltre il proprio colore d’accento.

Le finestre di consultazione devono chiudersi come si deve

Le date di chiusura e i tetti di risposte sono applicati da un trigger di database anziché dall’interfaccia, perché le risposte vengono inserite direttamente dal browser: nascondere un modulo non equivale a chiuderlo. Un messaggio di chiusura personalizzato può indirizzare le persone alla fase successiva o al servizio che dovrebbe davvero occuparsi della loro segnalazione.

Come si presenta di solito un questionario in ambito sanitario

Un ente territoriale che conduce un’indagine sull’esperienza dei pazienti dopo le visite ambulatoriali costruirebbe di norma qualcosa di simile.

1. Un campo nascosto per l’ambulatorio che trasporta il codice di sede dalla stringa di query della locandina con QR, così le risposte si suddividono per luogo senza chiedere al paziente di identificare il proprio ambulatorio.
2. Un punteggio di raccomandazione — la domanda da 0 a 10, che nell’editor si chiama «Punteggio di raccomandazione» e non NPS — come misura principale.
3. Una matrice che valuta sei aspetti della visita su un’unica scala condivisa, esportata come una colonna CSV per riga.
4. Una diramazione: a chi assegna un punteggio basso viene mostrato un breve blocco di domande di approfondimento su che cosa non ha funzionato; tutti gli altri lo saltano. Il punteggio considera soltanto ciò che la persona ha visto.
5. Un commento libero come domanda di tipo Paragrafo con lunghezza massima e contatore di caratteri in tempo reale.
6. Dati socio-demografici facoltativi in fondo, dopo un’interruzione di Sezione, con il testo libero di «Altro (specificare)» conservato separatamente dall’etichetta ed esportato in una colonna propria.
7. Una schermata di chiusura che dichiari con chiarezza che questo non è un canale per ottenere un parere clinico né per presentare un reclamo formale, e che fornisca i recapiti di entrambi.

Due aspetti da progettare deliberatamente. La notifica via email all’arrivo di una nuova risposta è disponibile, ma l’email può essere filtrata, non vista o recapitata a qualcuno in ferie: un questionario non deve quindi mai essere l’unico canale per una segnalazione urgente, e qualcuno deve comunque controllare i risultati. E la protezione dallo spam è attiva per impostazione predefinita senza CAPTCHA, anche se vale comunque la pena accompagnare un link pubblico aperto con una data di chiusura e un tetto di risposte.

Restituzione dei risultati

Grafici in tempo reale per ogni domanda con numero di risposte e completamento, esportazione CSV per chi analizza, risposte individuali consultabili una alla volta quando un commento va portato più in alto, e stampa in PDF di qualunque singola risposta tramite il browser — a chi risponde non viene inviata alcuna libreria PDF. La sintesi dei testi liberi tramite IA è prevista, non realizzata, e non va data per scontata.

Collegati

Gli enti locali condividono quasi tutto il terreno della governance, gli enti del terzo settore riguardano i partner attuatori dall’altra parte di un contratto, e i team HR e gestione del personale coprono il lato delle rilevazioni sul personale. Torna a tutte le soluzioni.