Confronto sulla residenza dei dati nei servizi di trasferimento file

La residenza dei dati varia enormemente tra i servizi di trasferimento file. WeTransfer conserva i file in Irlanda e negli USA, Smash fa hosting in Francia, SwissTransfer mantiene tutto in Svizzera, Dropbox Transfer distribuisce tra regioni US ed EU. Per la conformità al GDPR Articolo 44 (trasferimenti fuori dal SEE), scegli servizi solo UE quando tratti dati personali. HexaTransfer fa hosting esclusivamente su server francesi, il che significa che i tuoi file non attraversano mai l'Atlantico. Questo conta per i team di sanità, legale e finanza soggetti a rigide regole di sovranità secondo la sentenza Schrems II.

Perché la residenza dei dati conta davvero dopo Schrems II

La sentenza Schrems II del luglio 2020 ha invalidato il Privacy Shield EU-USA, lasciando la maggior parte dei trasferimenti transatlantici su un terreno giuridico instabile. Le Clausole Contrattuali Standard funzionano ancora, ma solo se abbinate a misure supplementari che dimostrino che le leggi di sorveglianza statunitensi (FISA 702, Executive Order 12333) non compromettono i dati. Una decisione della CNIL contro Google Analytics nel febbraio 2022 ha reso questo concreto: le aziende EU sono state multate per aver instradato i dati dei visitatori su server statunitensi, anche con le SCC in vigore.

Per i trasferimenti di file, le implicazioni sono dirette. Invia un contratto cliente attraverso un servizio con sede negli USA e hai potenzialmente attivato un trasferimento transfrontaliero che richiede una Transfer Impact Assessment. Invialo attraverso un servizio francese o svizzero e sei rimasto nelle giurisdizioni con decisioni di adeguatezza o framework di privacy più solidi.

WeTransfer: Irlanda più server CDN statunitensi

L'archiviazione principale di WeTransfer si trova in Irlanda (AWS eu-west-1), il che mantiene i dati entro il confine legale dell'UE. Ma i loro edge CDN si estendono globalmente, e il routing dei metadati passa attraverso l'infrastruttura della società madre. Dal 2023, WeTransfer è stata acquisita dall'italiana Bending Spoons, che ha spostato alcune operazioni a Milano. I file stessi rimangono in Irlanda per gli utenti EU, ma i log, i token di autenticazione e le miniature possono toccare nodi statunitensi durante il transito.

Per uno studio legale francese che invia deposizioni, questo crea ambiguità. I file sono tecnicamente residenti nell'UE, ma i metadati operativi no. I registri delle attività di trattamento previsti dal GDPR Articolo 30 dovrebbero documentare questa sfumatura.

Smash: 100% hosting francese con OVH

Smash, il concorrente parigino, fa hosting esclusivamente con OVH a Roubaix e Gravelines, Francia. Nessun AWS, nessun Azure, nessun Google Cloud. Questo offre loro una storia più pulita per i clienti del settore pubblico vincolati dai requisiti SecNumCloud della Francia, che escludono qualsiasi provider soggetto alla legge extraterritoriale statunitense come il CLOUD Act. Smash ha pubblicato una pagina dettagliata sull'infrastruttura nel 2024 che conferma zero coinvolgimento statunitense nel percorso dei dati.

Il compromesso è la performance. Gli utenti a Singapore o Sydney sperimentano una latenza più alta rispetto a un servizio geograficamente distribuito. Per gli utenti europei, però, è una caratteristica, non un bug.

SwissTransfer: i data center verdi svizzeri di Infomaniak

SwissTransfer gira sull'infrastruttura Infomaniak a Ginevra e nel Giura svizzero. La Svizzera non fa parte dell'UE, ma ha una decisione di adeguatezza ai sensi del GDPR, il che significa che i trasferimenti EU-Svizzera sono trattati come intra-SEE. La Legge federale svizzera sulla protezione dei dati (LPD), aggiornata nel settembre 2023 per rispecchiare il GDPR, aggiunge un ulteriore livello di simmetria legale.

Infomaniak pubblica la sua impronta di carbonio e opera interamente con energia idroelettrica rinnovabile. Per le organizzazioni attente alla sostenibilità, questo è un bonus oltre alla storia sulla residenza. I file scadono dopo 30 giorni, con AES-256 at-rest.

Dropbox Transfer: US predefinito, EU opzionale

Dropbox Transfer, incluso nei piani Dropbox a pagamento, ha come predefinito l'archiviazione negli USA. I clienti enterprise possono optare per la residenza EU a pagamento aggiuntivo, instradando i dati alle regioni AWS tedesche. Ma il control plane (metadati dell'account, fatturazione, audit log) rimane hosted negli USA. Questo è il pattern che seguono la maggior parte degli hyperscaler: data plane regionali, control plane centralizzati.

Nell'ambito dell'EU-US Data Privacy Framework (luglio 2023), Dropbox è certificata, il che fornisce una base legale per i trasferimenti. Ma il DPF è già sotto sfida legale, e una sentenza Schrems III potrebbe invalidarlo entro due anni. I contratti a lungo termine dovrebbero tenere conto di questo rischio.

HexaTransfer: semplicità a giurisdizione singola

HexaTransfer conserva tutto su server francesi senza replica al di fuori dell'UE. I file si cifrano lato client con AES-256-GCM prima del caricamento, il che significa che anche l'infrastruttura francese detiene solo testo cifrato. La derivazione della chiave usa PBKDF2 con 600.000 iterazioni, e l'URL di download contiene la chiave di decifratura come frammento URL (mai trasmessa al server).

Per i requisiti del GDPR Articolo 32 (sicurezza del trattamento), questa architettura combina minimizzazione dei dati, crittografia e hosting a giurisdizione singola in un unico pacchetto. Una Transfer Impact Assessment diventa banale: non esiste alcun trasferimento internazionale.

Tabella di confronto

| Servizio | Posizione principale | Posizioni secondarie | Stato GDPR | Zero-Knowledge | |---------|-----------------|---------------------|-------------|----------------| | WeTransfer | Irlanda (AWS) | Edge CDN USA | Residente EU | No | | Smash | Francia (OVH) | Nessuna | Residente EU | No | | SwissTransfer | Svizzera | Nessuna | Adeguatezza | Parziale | | Dropbox Transfer | US predefinito, EU opt-in | Globale | Certificato DPF | No | | HexaTransfer | Francia | Nessuna | Residente EU | Sì | | Tresorit | Irlanda, Svizzera | US (opt-out enterprise) | Residente EU | Sì |

Considerazioni specifiche per settore

Le organizzazioni sanitarie che gestiscono cartelle cliniche sotto HIPAA affrontano la complicazione aggiuntiva che l'HHS Office for Civil Rights non si preoccupa della residenza EU, ma si preoccupa dei Business Associate Agreement. Un servizio solo francese potrebbe non firmare un BAA se non opera nel mercato statunitense. Per la sanità europea sotto l'EHDS (regolamento European Health Data Space, in vigore dal 2026), il calcolo si inverte: la residenza EU diventa un prerequisito.

I team legali che inviano file .pdf e .docx di casi a co-counsel all'estero dovrebbero verificare le regole locali del foro. Il New York State Bar, per esempio, ha espresso l'opinione che conservare file di clienti con servizi hosted all'estero richieda il consenso informato. Gli avvocati francesi sotto il RGPD si orientano al contrario: l'hosting statunitense è l'anomalia che richiede giustificazione.

I servizi finanziari sotto DORA (Digital Operational Resilience Act, applicabile da gennaio 2025) devono mappare tutti i fornitori ICT terzi e le loro catene di subappaltatori. Un servizio che fa hosting in un paese con un unico fornitore è più semplice da documentare rispetto a un setup multi-regione con cinque sub-processori.

Cosa chiedere al tuo provider attuale

Prima di rinnovare qualsiasi contratto di trasferimento file, richiedi il data processing agreement e verifica tre cose. Primo, l'elenco dei sub-processori e i loro paesi. Secondo, il diagramma del flusso di dati che mostra dove viaggiano contenuto e metadati. Terzo, la postura di crittografia — nello specifico se il provider detiene chiavi che potrebbero decifrare i tuoi file sotto ingiunzione.

Se le risposte rivelano sorprese, cambiare è semplice per il trasferimento file effimero (a differenza della migrazione di un archivio cloud storage). Non devi spostare dati storici; cambia semplicemente l'endpoint di upload.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.