Un cloud sovrano, in una pratica di acquisto, è un servizio di cui sono noti il gestore, il diritto applicabile e gli accessi di amministrazione, e i cui dati possono essere ripresi. La definizione di marketing varia. I criteri, invece, si prestano a una griglia.
Scrivere «cloud sovrano» in una richiesta di offerta equivale a porre una domanda alla quale ogni candidato risponde sì. Le risposte diventano non confrontabili, e la scelta si fa sul prezzo o sull’impressione lasciata dalla presentazione.
Una griglia obbliga ogni candidato a rispondere alla stessa domanda, con un documento. Protegge anche l’acquirente dopo la firma: un impegno scritto nella risposta alla gara può essere ripreso nel contratto, mentre un aggettivo non si può verificare. La nozione in sé è spiegata in che cos’è un cloud sovrano. Questa pagina serve all’acquisto.
Adotti questa.
Un servizio digitale è trattato come sovrano, per un acquirente europeo, quando la società che lo gestisce rientra in un diritto europeo, i dati affidati e i relativi backup restano nel perimetro geografico dichiarato, gli accessi di esercizio sono identificati e il cliente può esportare e poi far cancellare i propri dati.
Questa frase è uno strumento di lavoro. Non è un articolo del GDPR (Regolamento generale sulla protezione dei dati). Il regolamento definisce dei ruoli (titolare del trattamento, responsabile del trattamento), dei trasferimenti e dei diritti degli interessati. Non assegna alcuna etichetta «sovrano».
Ogni parte della frase rimanda a uno o più dei criteri seguenti. È questo che la rende utilizzabile: la si può scomporre in domande e dare un punteggio alle risposte.
Ogni criterio si dimostra con un documento, non con un aggettivo.
I dieci criteri non hanno lo stesso peso per tutti gli acquirenti. Per la posta elettronica e la condivisione di file, i criteri 1, 3, 4, 5 e 9 fanno in genere la differenza tra le offerte. Il criterio 10 è eliminatorio quando è richiesto, e neutro altrimenti. Decida la ponderazione prima di aprire le risposte, non dopo.
Il luogo non equivale al diritto. Un datacenter a Francoforte gestito da una società americana resta un servizio di quella società. Il CLOUD Act americano riguarda i dati detenuti da un fornitore soggetto alle giurisdizioni degli Stati Uniti, qualunque sia il paese del disco. Si veda proteggere un’azienda dal CLOUD Act e il confronto cloud europeo o cloud americano.
Il diritto europeo non equivale all’assenza di richieste giudiziarie. Un giudice francese, tedesco o olandese può ordinare la comunicazione di dati a un operatore di sua competenza. La differenza riguarda il giudice, la procedura e i mezzi di ricorso. Una griglia che lasciasse credere il contrario indurrebbe in errore l’acquirente.
Il software e il gestore sono distinti. Nextcloud è prodotto da Nextcloud GmbH, in Germania. Zimbra è prodotto da Synacor, negli Stati Uniti. BlueMind è una società francese. In tutti e tre i casi, la sovranità del suo servizio dipende da chi lo installa, chi ne fa il backup e chi risponde al telefono. La nazionalità del produttore del software conta soprattutto se ha accesso ai dati: in tal caso si tratta al criterio 7.
SecNumCloud è ristretto. È una qualifica ANSSI, offerta per offerta, con un perimetro e una data di scadenza. È spesso richiesta per dati sensibili dello Stato. È sproporzionata come unico criterio per una PMI che cerca la posta elettronica e la condivisione di file. È insufficiente se la si invoca senza leggere la decisione.
Nessuna offerta copre tutti gli usi di Microsoft 365. Excel avanzato, Power BI, l’ecosistema Teams e i componenti aggiuntivi di settore non hanno un equivalente generale presso gli operatori europei. Il criterio della sovranità non risolve questo punto. Vi si aggiunge. Se questi usi sono centrali, la griglia può portare a mantenere Microsoft 365 con piena cognizione di causa: si veda Microsoft 365 a confronto con una soluzione sovrana.
Sostituisca «cloud sovrano» con i dieci criteri, ciascuno con una prova attesa. Potrà allora confrontare un’offerta Microsoft con confine europeo dei dati, un’offerta Google con regione dei dati, un’offerta svizzera come Infomaniak e un’offerta gestita in Francia. Il confronto diventa una lettura di prove, non una battaglia di aggettivi.
| Criterio | Domanda posta al candidato | Documento atteso |
|---|---|---|
| 1. Società che gestisce il servizio | Quale società gestisce il servizio, e chi la controlla? | Visura camerale, organigramma del gruppo |
| 2. Diritto del contratto | Quale legge, quale foro? | Clausola delle condizioni generali e dell’accordo sul trattamento |
| 3 e 4. Perimetro e luogo | Quali categorie di dati, in quali paesi? | Tabella per categoria: contenuto, backup, log, supporto |
| 5. Amministrazione | Chi amministra, da dove, con quale traccia? | Descrizione dei team e della registrazione nei log |
| 6. Chiavi | Chi può decifrare, e in quali casi? | Descrizione dello schema di cifratura |
| 7. Subfornitori | Chi riceve una copia o un accesso? | Elenco nominativo con paese |
| 8. Autorità | Che cosa fa di fronte a una richiesta? | Procedura scritta |
| 9. Reversibilità | Come recuperiamo tutto, e in quanto tempo? | Procedura di esportazione, formati, prova |
| 10. Qualifica | L’offerta proposta è qualificata? | Riferimento al catalogo ANSSI, se richiesto |
Il dettaglio del solo criterio geografico è trattato in Che cosa significa davvero «dati ospitati in Europa».
Caso ipotetico. Un’azienda di servizi di medie dimensioni rinnova la propria posta elettronica e la condivisione di file. La prima versione del suo capitolato chiede «una soluzione di cloud sovrano ospitata in Europa». I tre candidati rispondono sì.
La direzione IT riscrive la richiesta di offerta con la griglia. Le risposte diventano leggibili. Il primo candidato ospita in Europa ma appartiene a un gruppo soggetto al diritto americano: criterio 1 non soddisfatto, criteri 3 e 4 ben documentati. Il secondo è una società europea, ma affida il supporto notturno a un subfornitore fuori zona: criterio 5 da negoziare. Il terzo soddisfa i criteri giuridici ma non copre un uso di settore: la direzione deve decidere. La griglia non ha scelto al posto dell’azienda. Ha reso esplicita la scelta.
No. Il GDPR non assegna alcuna etichetta «sovrano». SecNumCloud è una qualifica di offerta rilasciata dall’ANSSI, non una definizione generale. La definizione proposta qui è uno strumento di lavoro per un acquirente.
In genere no. Il criterio riguarda la società che gestisce il servizio e quella che la controlla. Una filiale può fatturare in euro e ospitare in Europa pur appartenendo a un gruppo soggetto al diritto americano. La pagina cloud europeo o cloud americano illustra in dettaglio questa differenza.
Bisogna porli tutti, per ottenere risposte confrontabili. Il loro peso, invece, dipende dai suoi dati e dai suoi obblighi. Una ponderazione fissata in anticipo evita di adattare la griglia al candidato preferito.
Sì, ed è proprio questo il suo interesse. I meccanismi di residenza dei dati di questi produttori del software si leggono ai criteri 3 e 4. La nazionalità del produttore si legge al criterio 1. Le pagine GDPR e Microsoft 365 e GDPR e Google Workspace applicano queste domande.
Klytic soddisfa una parte della griglia e non un’altra. Il gestore è Dedicace Software, società francese. Il cliente sceglie un hosting Klytic in qualsiasi zona geografica corrispondente alla giurisdizione applicabile, salvo disponibilità dei servizi richiesti, ad esempio in Europa o a Mauritius, oppure sui server del cliente. Il produttore del software di posta elettronica è americano (Zimbra / Synacor), quello dei documenti è tedesco (Nextcloud), con un’istanza dedicata per cliente.
Per quanto riguarda il criterio delle chiavi, i dati sono detenuti interamente dal cliente, o da Klytic per conto del cliente, in una zona geografica che rientra nella giurisdizione applicabile. Sono cifrati in modo nativo, o secondo la scelta del cliente. La chiave è detenuta dal cliente o conservata nel suo account, e Klytic non vi ha accesso. Le fasi in cui la cifratura è gestita da Klytic sono descritte in dettaglio nella pagina proteggere un’azienda dal CLOUD Act. Il contratto deve descrivere questa detenzione e questa cifratura.
Klytic non detiene una qualifica SecNumCloud. Presentarlo diversamente sarebbe inesatto.
Questa pagina descrive un quadro generale. Non sostituisce l’analisi del suo contratto.
Situazione giuridica al 5 ottobre 2026. Questo testo non sostituisce l’analisi di un contratto. La decisione di adeguatezza UE–Stati Uniti (UE) 2023/1795 è in vigore. È oggetto di contestazione. Per SecNumCloud fa fede il catalogo dell’ANSSI.
Consultate a ottobre 2026.
Email, documenti, videoconferenza, CRM e telefonia, ospitati nell’area che corrisponde alla sua giurisdizione, per esempio in Europa o a Mauritius, o presso la sua sede.
Offerta di benvenuto
Offerta di prova senza impegno. Un consulente la ricontatterà per comprendere le sue esigenze e preparare il suo spazio Klytic.
