«Dati ospitati in Europa» significa che il fornitore dichiara di archiviare determinati dati in datacenter situati in Europa. La frase è vera o falsa a seconda dell’elenco dei dati che copre. Non dice quale diritto si applica alla società che li detiene.
La dicitura compare su quasi tutte le offerte di posta elettronica e di archiviazione. Rassicura, ed è il suo ruolo commerciale. Per un dirigente, un CIO o un DPO, è solo un punto di partenza: il registro dei trattamenti, un questionario di un cliente o una gara d’appalto chiederanno dove si trovano i dati, ma anche chi vi accede e da dove.
Una frase troppo ampia crea due rischi. Il primo è dichiarare erroneamente che nessun dato lascia l’Europa. Il secondo è credere risolta una questione che non lo è: quella del gestore e del diritto che gli si applica. La pagina proteggere un’azienda dal CLOUD Act tratta questo secondo punto.
Le brochure mescolano quattro perimetri.
Queste distinzioni non sono dettagli da giuristi. Una gara d’appalto che esige un hosting «nell’Unione europea» non è necessariamente soddisfatta da un’offerta che dichiara «l’Europa» e include la Svizzera o un altro paese dell’AELS. Al contrario, un hosting svizzero può essere adatto a un’azienda che ha verificato il quadro applicabile. L’errore frequente è trattare la parola «Europa» come una risposta, mentre richiede un elenco.
Quando legge «Europa», chieda l’elenco dei paesi.
Un servizio di posta elettronica produce almeno sei famiglie di dati.
Molte offerte «ospitate in Europa» parlano della famiglia 1, talvolta della 2. Le famiglie da 3 a 5 sono quelle che più spesso finiscono altrove: supporto follow-the-sun (le sue richieste passano da un team all’altro in giro per il mondo a seconda del fuso orario), strumento di ticketing americano, backup presso un subfornitore, antivirus le cui firme o i cui campioni lasciano la zona.
Queste famiglie non sono secondarie. I log dicono chi lavora con chi e a che ora. Una copia di una casella trasmessa al supporto per una diagnosi contiene quanto la casella stessa. Un backup è una seconda copia completa.
Microsoft documenta, per i servizi inclusi nell’EU Data Boundary, l’archiviazione e il trattamento nell’UE e nell’AELS dei dati dei clienti e dei dati personali pseudonimizzati, nonché l’archiviazione a riposo dei dati dei servizi professionali, con trasferimenti che proseguono: accesso remoto di personale fuori zona per alcuni incidenti, archiviazione fuori zona di alcuni elementi di ticket sottoposti a escalation, funzioni opzionali attivate dall’amministratore, clienti Multi-Geo fuori perimetro. Google documenta regioni dei dati per contenuti coperti (posta, calendario, file, documenti, a seconda dell’edizione). La documentazione di Google precisa che dati non elencati, come alcuni log, non sono coperti da questa politica di regione.
Questi due produttori del software hanno un merito: pubblicano ciò che è coperto e ciò che non lo è. Un fornitore, qualunque sia la sua nazionalità, che non scrive nulla sui suoi backup, sui suoi log e sul suo supporto non offre maggiori garanzie; offre solo meno elementi da verificare.
Leggere l’elenco di ciò che è coperto richiede un’ora. È quell’ora a dare un senso alla frase.
Una PMI di servizi di 40 persone, con due filiali, confronta due offerte di posta elettronica. Entrambe dichiarano «dati ospitati in Europa». Leggendo la documentazione, il CIO constata che la prima copre le caselle e i file, ma che lo strumento di ticketing del supporto è ospitato fuori dall’Europa e che i tecnici possono connettersi da più continenti. La seconda precisa il paese delle caselle, dei backup e dei log, e indica che il supporto interviene dallo stesso perimetro, con una traccia di ogni accesso.
Entrambe le frasi erano vere. Solo la seconda permette di compilare il registro senza approssimazioni. La scelta finale può ancora basarsi su altri criteri, come le funzioni o il prezzo, ma viene fatta con cognizione di causa.
Non dimostra che il gestore sia europeo. Un produttore del software americano può ospitare i dati in Irlanda.
Non dimostra l’assenza di trasferimenti. Un’email inviata a un corrispondente fuori dall’Europa lascia l’Europa perché il mittente lo ha voluto. Un allegato aperto in uno strumento di terzi esce dal perimetro. Infine, se il cliente richiede una copia di backup verso il proprio archivio sicuro, la localizzazione e le condizioni di conservazione di tale copia dipendono dall’ubicazione e dalle caratteristiche dell’archivio scelto dal cliente.
Non dimostra chi può leggere. La cifratura del trasporto (TLS) protegge il tragitto. La cifratura a riposo protegge il disco rubato. Finché il gestore detiene la chiave per fornire il servizio, può tecnicamente accedere al contenuto. È il quadro abituale di un servizio di posta elettronica, presso un operatore americano come presso un operatore europeo. La posta in gioco è allora la regola di accesso, la traccia e il diritto che si applica al gestore.
Il quadro cambia quando la chiave è detenuta dal cliente, o conservata nel suo account dietro una password che il gestore non possiede: il gestore non può più leggere il contenuto senza un’azione che il cliente noterebbe. È la scelta di Klytic, descritta più avanti.
Non dimostra la reversibilità. Dati ospitati a Marsiglia che non può esportare restano difficili da abbandonare.
Queste domande si pongono per iscritto per una ragione semplice: la risposta può essere ripresa nel contratto o nel registro.
Le pagine GDPR e Microsoft 365 e GDPR e Google Workspace applicano queste domande alle due suite più diffuse. Per la sola posta elettronica, si veda scegliere un’email aziendale europea.
Geograficamente, sì. Giuridicamente, la Svizzera non fa parte dell’Unione europea, ma la Commissione ha adottato una decisione di adeguatezza nei suoi confronti. Se il suo contratto o una gara d’appalto esige l’Unione europea, occorre verificarlo prima di firmare.
Non senza verificare. I backup, i log, i ticket di supporto e le funzioni opzionali seguono spesso regole diverse da quelle delle caselle. Microsoft stessa elenca trasferimenti che proseguono nonostante il suo confine europeo dei dati.
La domanda è mal posta. Il luogo di archiviazione è solo un elemento; contano anche la base giuridica dei trasferimenti, i subfornitori e l’accesso del supporto. Il luogo, inoltre, non dice nulla del diritto che si applica al produttore.
Protegge il tragitto e il disco. Non rende i dati illeggibili per il gestore che detiene la chiave. Ciò che conta è quindi chi detiene la chiave, che cosa ne dice il contratto, e a quali funzioni si applica la cifratura.
Quando il servizio è ospitato da Klytic per un cliente europeo, i dati sono ospitati in Europa. Per un cliente della zona Mauritius, l’hosting dichiarato è Mauritius o Europa. Per gli altri clienti, l’hosting è assicurato in una zona geografica conforme alla giurisdizione applicabile, salvo disponibilità dei servizi richiesti. Il cliente può anche far ospitare il servizio presso di sé. Per la telefonia, il server dedicato è ospitato in un cloud europeo, a Mauritius o in una zona geografica conforme alla giurisdizione applicabile, secondo la richiesta o l’esigenza del cliente. I backup seguono lo stesso gestore: ogni ora per la posta elettronica, i documenti e il CRM, ogni giorno per la telefonia, conservazione 30 giorni.
Presso Klytic, la chiave di cifratura è detenuta dal cliente, o conservata nel suo account. Klytic non vi ha accesso: per ottenerla, dovrebbe distruggere o cambiare la password dell’account, che non possiede, e il cliente se ne accorgerebbe. Le fasi in cui la cifratura è gestita da Klytic (quarantena del filtraggio, trattamento nel CRM, email quando il cliente non ha attivato la propria chiave) sono descritte in dettaglio nella pagina proteggere un’azienda dal CLOUD Act. Il contratto deve descrivere questa detenzione e questa cifratura. I dettagli pubblicati si trovano nelle pagine hosting e sovranità e domande frequenti.
Questa pagina descrive un quadro generale. Non sostituisce l’analisi del suo contratto.
Situazione giuridica al 5 ottobre 2026. Questo testo non sostituisce l’analisi di un contratto. La decisione di adeguatezza UE–Stati Uniti (UE) 2023/1795 è in vigore. È oggetto di contestazione. Per SecNumCloud fa fede il catalogo dell’ANSSI.
Consultate a ottobre 2026.
Email, documenti, videoconferenza, CRM e telefonia, ospitati nell’area che corrisponde alla sua giurisdizione, per esempio in Europa o a Mauritius, o presso la sua sede.
Offerta di benvenuto
Offerta di prova senza impegno. Un consulente la ricontatterà per comprendere le sue esigenze e preparare il suo spazio Klytic.
