Migliori servizi europei di trasferimento file per la privacy

I migliori servizi europei di trasferimento file per la privacy nel 2026 sono HexaTransfer (Francia, hosting EU, E2EE AES-256-GCM, 10 GB gratuiti), SwissTransfer (Ginevra, 50 GB gratuiti, TLS + AES-256 at-rest), Tresorit Send (Svizzera/Ungheria, E2EE XChaCha20-Poly1305), Proton Drive (Ginevra, OpenPGP E2EE) e Internxt Send (Valencia, libsodium su Storj). L'hosting europeo è rilevante per tre motivi: applicabilità del GDPR, impegni di sovranità dei dati nell'UE e isolamento dal CLOUD Act statunitense. Non tutti gli strumenti "europei" sono uguali; alcuni utilizzano infrastrutture hosted negli USA dietro un dominio .eu, il che vanifica lo scopo.

Perché l'hosting europeo conta davvero

Il GDPR (Regolamento 2016/679) conferisce ai residenti UE diritti applicabili su accesso, cancellazione, portabilità e limitazione del trattamento. Gli articoli 44-50 limitano i trasferimenti di dati personali al di fuori dell'UE/SEE salvo che il paese destinatario offra una protezione "adeguata". Il CLOUD Act statunitense (Clarifying Lawful Overseas Use of Data, 2018) obbliga le aziende con sede negli USA a produrre dati ovunque siano conservati a livello globale, creando un conflitto con il GDPR. Un servizio genuinamente europeo significa sede aziendale in UE o Svizzera, hosting in UE o Svizzera, e contratti che indicano la giurisdizione europea per le controversie. Il dominio .eu da solo non significa nulla.

HexaTransfer: sede in Francia, hosting EU

HexaTransfer opera in Francia con data center EU. La crittografia AES-256-GCM avviene nel tuo browser via Web Crypto API; il server vede solo testo cifrato. Nessun account, nessuna email, nessun cookie di tracciamento. Il GDPR si applica nativamente perché l'azienda è un titolare del trattamento EU. Limite di 10 GB, conservazione di 7 giorni, protezione tramite password opzionale con PBKDF2 a 600.000 iterazioni. La combinazione più semplice disponibile: nessun account + E2EE + hosting EU.

SwissTransfer: hosting a Ginevra con legge svizzera

Infomaniak gestisce SwissTransfer da data center a Ginevra. La Legge federale svizzera sulla protezione dei dati (LPD rivista, in vigore da settembre 2023) si allinea ora al GDPR e aggiunge la non-appartenenza della Svizzera ai framework di condivisione dell'intelligence UE. La crittografia è TLS 1.3 + AES-256 at-rest, quindi lato server e non end-to-end. Per file non sensibili di grandi dimensioni, il limite di 50 GB con conservazione di 30 giorni e nessun account è il più alto della categoria. Per materiale sensibile, pre-cifra con VeraCrypt o 7-Zip AES-256 prima del caricamento.

Tresorit: sede svizzera, radici ungheresi

Tresorit è stata fondata a Budapest nel 2011 e acquisita dalla Swiss Post nel 2021. Opera da Svizzera e Germania con la sua architettura zero-knowledge intatta. Crittografia stream XChaCha20-Poly1305, derivazione della chiave HKDF-SHA-256, audit periodici di terze parti (Cure53, NCC Group). Il piano business aggiunge SAML SSO (Okta, Microsoft Entra, Google Workspace), provisioning SCIM e controlli amministrativi specifici per il GDPR incluse le garanzie di residenza dei dati. Vale il prezzo per i settori regolamentati che necessitano di E2EE e di una traccia di conformità documentata.

Proton Drive: stack PGP basato a Ginevra

Proton AG opera da Ginevra con server in Svizzera, Germania e Norvegia. Proton Drive usa OpenPGP (chiavi ECC Curve25519 + chiavi di sessione AES-256-CFB) end-to-end. L'azienda pubblica rapporti di trasparenza periodici che mostrano zero file consegnati a qualsiasi autorità (perché il modello zero-knowledge fa sì che non possano). Client open-source, verificati da SEC Consult. Il bundle con Mail, Calendar e Pass lo rende un'alternativa EU-centrica solida a Google Workspace.

Internxt: spagnolo, archiviazione decentralizzata

Internxt ha sede a Valencia, Spagna, soggetta al GDPR. Il prodotto Send cifra i file con libsodium secretbox (XSalsa20-Poly1305) lato client, poi distribuisce i chunk codificati con erasure coding sui nodi di archiviazione decentralizzata Storj. Nessun singolo nodo vede un file completo. Si applica la giurisdizione legale spagnola, il GDPR si applica, e il modello decentralizzato aggiunge un secondo strato di complessità legale per qualsiasi parte che cerchi la divulgazione forzata. Limite gratuito di 5 GB per Send.

Matrice di confronto

| Servizio | Sede | Hosting | Crittografia | Regolamento | |---|---|---|---|---| | HexaTransfer | Francia | EU | E2EE AES-256-GCM | GDPR | | SwissTransfer | Ginevra | Svizzera | TLS + at-rest | LPD svizzera + adeguatezza GDPR | | Tresorit | Svizzera (fondata a Budapest) | CH + DE | E2EE XChaCha20-Poly1305 | LPD svizzera + GDPR | | Proton Drive | Ginevra | CH + DE + NO | E2EE OpenPGP | LPD svizzera + adeguatezza GDPR | | Internxt | Spagna | Storj (distribuito) | E2EE libsodium | GDPR |

Servizi che sembrano europei ma non lo sono

WeTransfer è stato fondato nei Paesi Bassi, il che suona ideale, ma è stato acquisito dall'italiana Bending Spoons nel 2024. La sua infrastruttura gira su AWS (con sede negli USA), il che espone i dati al CLOUD Act. Il piano Dropbox Business EU usa AWS Irlanda e Francoforte ma rimane un'azienda statunitense. Box ha la residenza dei dati EU per i piani enterprise, sempre su AWS. Un nome di dominio europeo senza struttura aziendale europea e hosting controllato dall'UE non equivale a sovranità dei dati.

Diritti GDPR in pratica

L'articolo 15 ti dà il diritto di accedere a tutti i dati personali che un titolare del trattamento detiene. L'articolo 17 ti dà il diritto alla cancellazione ("diritto all'oblio"). L'articolo 20 ti dà la portabilità. Per un servizio di trasferimento file, questo significa che puoi richiedere (via email al DPO) un dump di tutto ciò che è collegato al tuo IP o alla tua email, richiedere la cancellazione immediata e aspettarti una risposta entro 30 giorni. I servizi genuinamente basati nell'UE onorano questo di routine. I servizi con sede negli USA con residenza dei dati EU tecnicamente devono farlo, ma l'applicazione è più complessa.

Schrems II e le sue conseguenze

La sentenza Schrems II (CGUE, luglio 2020) ha invalidato il Privacy Shield EU-USA, e il Data Privacy Framework EU-USA (2023) è già sotto sfida legale. Per i titolari del trattamento EU che trasferiscono dati personali a processori USA, il fondamento giuridico è perpetuamente incerto. Usare uno stack esclusivamente europeo aggira tutto questo. Se il tuo workflow coinvolge dati di categoria speciale ex GDPR Articolo 9 (salute, biometrici, opinioni politiche), evitare l'infrastruttura statunitense non è paranoia: è due diligence.

Prezzi per gli stack europei

HexaTransfer è gratuito. SwissTransfer è gratuito con supporto volontario a Infomaniak. Tresorit Business parte da circa €14 per utente al mese per 1 TB. Proton for Business costa €7.99 per utente al mese per il piano Business (500 GB per utente) e €12.99 per Business Plus (illimitato). Internxt Essentials è €2.99 per utente al mese per 1 TB. Per i piccoli team che vogliono uno stack europeo senza dipendenze statunitensi, Proton più HexaTransfer per gli invii effimeri esterni è difficile da battere.

Quando la Svizzera batte l'UE

La Svizzera non è nell'UE, quindi ricade fuori dal GDPR direttamente, ma ha ottenuto l'adeguatezza UE. Il framework legale svizzero aggiunge la non-appartenenza ai Five Eyes e un supervisore federale (IFPDT) con poteri concreti. Per i clienti preoccupati per qualsiasi backdoor degli stati membri (le leggi sull'intelligence francesi, i poteri del BND tedesco), l'hosting svizzero offre un ulteriore margine. Per gli appalti strettamente nazionali EU (gare del settore pubblico che richiedono dati esclusivamente EU), un servizio hosted EU come HexaTransfer è più adatto.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.