Microsoft 365 resta la scelta solida quando i suoi reparti utilizzano davvero l’ampiezza della suite. Una soluzione gestita in Europa diventa la scelta solida quando desidera che una società europea detenga le email e i file, e i suoi usi rientrano in un perimetro più ristretto. Le due affermazioni possono essere vere contemporaneamente, per due reparti diversi della stessa azienda.
Ciascuno dei punti seguenti è un motivo razionale per restare, almeno per una parte dell’azienda.
Una «soluzione sovrana» che promette lo stesso perimetro senza riserve sopravvaluta il proprio prodotto. Le suite europee e svizzere coprono la posta, i file, la videoconferenza e talvolta la chat. Non sostituiscono questa isola.
Il costo di un cambiamento non si limita all’abbonamento: formazione, recupero dei modelli, integrazioni da ricollegare, periodo di produttività ridotta. Se il motivo della partenza è uno slogan, nulla compensa questo costo.
Esempio. Uno studio di commercialisti di 25 persone gestisce le proprie pratiche di revisione su fogli di calcolo Excel con macro. Abbandonare Microsoft 365 in blocco sarebbe un errore. La domanda utile è più ristretta: la posta elettronica generale e lo scambio di documenti con i clienti devono restare presso lo stesso gestore dei fogli di calcolo?
Microsoft è una società americana. L’EU Data Boundary, per i tenant idonei, localizza i dati dei clienti e i dati personali pseudonimizzati nell’UE o nell’EFTA, con eccezioni documentate: supporto, alcune escalation, funzioni opzionali. Un tenant Multi-Geo non vi rientra, secondo Microsoft. Ciò risponde a una parte della domanda «dove si trovano i dischi». Non risponde alla domanda «chi può essere costretto, negli Stati Uniti, a produrre dati che controlla».
Il testo derivante dal CLOUD Act (18 U.S.C. § 2713) riguarda i dati che il fornitore detiene o controlla, anche al di fuori degli Stati Uniti. L’articolo 48 del GDPR (Regolamento generale sulla protezione dei dati), dal canto suo, riconosce una decisione di un paese terzo che impone la comunicazione di dati personali solo se si basa su un accordo internazionale, ad esempio un trattato di assistenza giudiziaria, in vigore con l’Unione o con lo Stato membro. Un fornitore americano che opera in Europa può quindi trovarsi tra due ordinamenti, senza che l’esito di un caso specifico sia scritto in anticipo.
Il 10 giugno 2025, davanti alla commissione d’inchiesta del Senato francese sugli appalti pubblici, è stato chiesto al direttore degli affari pubblici e giuridici di Microsoft France se potesse garantire sotto giuramento che i dati dei cittadini francesi affidati a Microsoft tramite l’Ugap non sarebbero mai stati trasmessi, a seguito di un’ingiunzione del governo americano, senza l’accordo esplicito delle autorità francesi. La sua risposta: «No, non posso garantirlo, ma, ancora una volta, ciò non è mai accaduto finora». Entrambe le metà della frase contano, e ogni direzione le soppesa.
Resta la base giuridica dei trasferimenti. Al 5 ottobre 2026, la decisione di adeguatezza (UE) 2023/1795 è in vigore. È contestata, come rilevano alcuni commenti di avvocati (DAC Beachcroft, WilmerHale); secondo WilmerHale, il Tribunale dell’Unione europea ha respinto un ricorso di annullamento il 3 settembre 2025, ed è stata proposta un’impugnazione dinanzi alla Corte di giustizia il 31 ottobre 2025. Il dettaglio è in proteggere un’azienda dal CLOUD Act e in GDPR e Microsoft 365.
Restare su Microsoft 365 non è quindi una scelta «non conforme»: DPA, residenza e registro dei trasferimenti consentono di documentarla. È una scelta che accetta un gestore soggetto a due ordinamenti. Spetta alla direzione, non solo al reparto IT.
Sul piano giuridico. Un gestore di diritto europeo. Un contratto il cui giudice è europeo. Se questo gestore non dipende da un gruppo americano per la detenzione dei dati, né da subfornitori americani, l’ingiunzione prevista dal CLOUD Act non si rivolge a lui. Resta soggetto al diritto del proprio paese: è un cambiamento di giurisdizione, non un’immunità. Chieda l’elenco dei subfornitori (backup, supporto, invio delle email), il luogo in cui si trovano le persone che accedono ai dati, e chi detiene le chiavi di cifratura.
Sul piano operativo. Un supporto che non è, per costruzione, quello di un gruppo americano. A seconda dell’offerta: un hosting in Francia, in Germania, o presso di lei. A seconda dell’offerta, anche: la possibilità di scegliere solo la posta elettronica. Un perimetro ristretto è più semplice da descrivere nel registro e da sottoporre ad audit.
Ciò che non offre automaticamente. Una qualificazione SecNumCloud: si tratta di un’offerta precisa del catalogo ANSSI. Dalla versione 3.2 del suo referenziale (2022), SecNumCloud comprende requisiti di protezione nei confronti degli ordinamenti extraeuropei (sede, controllo del capitale, localizzazione, personale); una parola su una brochure non ne fa le veci. Né applicazioni di produttività equivalenti, né una migrazione invisibile di Teams. Infine, il produttore del software può restare straniero (Zimbra è prodotto negli Stati Uniti): il contratto deve stabilire che il produttore del software non accede ai contenuti.
La scelta non è binaria. Tre configurazioni sono comuni.
Mantenere un’isola Microsoft per un mestiere, spostare la posta elettronica generale. Una PMI industriale con due sedi mantiene licenze Microsoft 365 per la finanza e l’ufficio tecnico; la produzione, il commerciale e l’amministrazione passano a una posta elettronica e a una condivisione di file gestite in Europa. Occorre allora gestire due directory, l’instradamento di uno stesso dominio tra due sistemi, gli inviti di calendario incrociati, e una regola scritta: quali dati vanno dove. L’errore frequente è lasciare che ciascuno scelga strada facendo.
Mantenere la suite e porre un filtro davanti. Se la decisione sul gestore non è matura ma il phishing è urgente, un MTA posto davanti a Exchange filtra la posta in arrivo senza toccare le caselle. I contenuti, invece, restano presso Microsoft. È una misura di sicurezza, non un cambio di gestore.
Uscire per fasi. Prima la posta elettronica, perché si basa su protocolli standard; poi i file; Teams finché i clienti lo impongono. Ogni fase si valuta sui risultati prima di avviare la successiva. Le pagine migrare da Microsoft 365 e migrare senza interruzioni descrivono l’ordine delle operazioni.
| Se la frase seguente è vera | Orientamento |
|---|---|
| Alcuni team producono in Excel avanzato o Power BI | Mantenere Microsoft 365 per questi team |
| Clienti e fornitori impongono Teams | Mantenere Teams, o assumersi la scelta di proporre loro un altro canale |
| L’esigenza generale è la posta, i file e la loro modifica online, la videoconferenza, un CRM, un telefono | Una suite europea su misura è adatta |
| La gara d’appalto richiede un’offerta espressamente qualificata SecNumCloud | Scegliere tale offerta nel catalogo ANSSI, non un servizio di email che usa la parola «sovrano» |
| Desidera un filtro davanti alle caselle, senza lasciare Exchange | Un MTA posto davanti a Microsoft 365 è sufficiente. La suite può restare |
| La direzione vuole che una società europea detenga le email e i file di uso corrente | Spostare la posta elettronica e i file generali, mantenere un’isola per i mestieri che lo richiedono |
| Il tenant è Multi-Geo, oppure Copilot e alcuni connettori sono attivati | Leggere le eccezioni dell’EU Data Boundary prima di concludere che la residenza basta |
| La capogruppo impone Entra ID e le sue applicazioni | Mantenere Microsoft 365; la questione si tratta a livello di gruppo |
| Nessuno internamente è in grado di amministrare un server | Scegliere un gestore che eroga il servizio, non un software da installare da sé |
Se nella sua azienda sono vere due righe contraddittorie, la risposta è quasi sempre uno scenario misto.
L’errore frequente è affidare la prova al solo reparto IT: convalida la tecnica, non l’uso. Una prova gratuita serve a questo.
Può essere utilizzato in un quadro conforme al GDPR. Il regolamento non vieta i produttori del software americani; impone un DPA che copra i servizi attivati, una base giuridica per i trasferimenti e un registro aggiornato. La nazionalità del gestore è una decisione distinta. Veda GDPR e Microsoft 365.
No. Descrive dove alcuni dati sono archiviati e trattati. Il CLOUD Act riguarda il fornitore che detiene o controlla i dati, indipendentemente dal luogo in cui si trova il disco.
Sì, conservando le licenze per le persone che ne hanno bisogno. Verifichi prima che cosa accade ai calendari, alle riunioni Teams pianificate dalla posta elettronica e alle caselle condivise.
No. SecNumCloud qualifica un’offerta precisa del catalogo ANSSI. Un servizio di email gestito in Europa può essere pertinente anche senza, a meno che la sua gara d’appalto non lo richieda.
Klytic è una delle soluzioni europee possibili, non la risposta unica. Gestito da Dedicace Software, società francese, è adatto se desidera combinare posta elettronica, documenti (un’istanza Nextcloud dedicata per cliente, non uno spazio condiviso, con condivisione, modifica online da soli o in più persone e cronologia delle versioni), videoconferenza, CRM e telefonia. Hosting in qualsiasi area geografica corrispondente alla giurisdizione applicabile, fatta salva la disponibilità dei servizi richiesti, ad esempio in Europa o a Mauritius, oppure sui server del cliente.
Non è adatto se il progetto consiste nel ritrovare Office: non sostituisce Excel avanzato, Power BI né Teams. Klytic non è qualificato SecNumCloud, e un operatore francese resta soggetto al diritto francese. Il panorama degli altri operatori è la guida 2026.
Questa pagina descrive un quadro generale. Non costituisce una consulenza legale.
Consultate a ottobre 2026.
Provi Klytic per 30 giorni con le sue email e i suoi file, senza impegno.
Offerta di benvenuto
Offerta di prova senza impegno. Un consulente la ricontatterà per comprendere le sue esigenze e preparare il suo spazio Klytic.
