Messenger conforme al GDPR per le aziende (2026): cosa documentano davvero i fornitori

"Quale messenger è conforme al GDPR?" è una domanda a cui nessun fornitore può onestamente rispondere con "lo siamo noi". Il GDPR pone gli obblighi in capo a voi, il titolare del trattamento: avete bisogno di un accordo sul trattamento dei dati (art. 28), dovete sapere dove si trovano i dati e se transitano verso un paese terzo, dovete essere in grado di cancellarli e di rispondere alle richieste di accesso. Un messenger può rendere questi obblighi adempibili — oppure no. Un badge sulla homepage non dice nulla di più.

Questa guida fa quindi qualcosa di diverso dalle solite liste. Prende sei verifiche che un responsabile della protezione dei dati farebbe comunque e le applica a dodici servizi: i messenger consumer su cui le aziende effettivamente lavorano (WhatsApp, Signal, Telegram), i messenger business svizzeri e tedeschi (Threema Work, Teamwire, Wire, Stackfield), le piattaforme self-hosted (Element, Mattermost, Rocket.Chat) e i due bundle (Microsoft Teams, Slack). Poi InterMIND, che costruiamo noi — con gli stessi criteri e la stessa regola di sourcing. Ogni affermazione proviene dalla documentazione pubblica del fornitore, verificata ad agosto 2026, con i link in fondo.

A queste si aggiunge una settima verifica, che non appare mai nelle liste sul GDPR ma conta ogni giorno in un team internazionale: in quale lingua legge il canale ciascun membro? Un messenger che conserva i messaggi solo nella lingua originale scarica la traduzione sul singolo individuo — e su servizi che a quel punto elaborano nuovamente i dati.

Le sei verifiche

Il Garante federale tedesco per la protezione dei dati (BfDI) pubblica criteri di selezione per i servizi di messaggistica, il metro di paragone pubblico più utilizzabile. Definisce la crittografia end-to-end come messaggi "cifrati sul dispositivo del mittente e decifrati di nuovo solo sul dispositivo del destinatario", elenca impostazioni sulla privacy come l'accesso alla rubrica, la visibilità del profilo, le conferme di lettura, l'analisi dell'utilizzo e la segnalazione degli errori, e richiede la cancellazione dell'account dove i dati vengono "cancellati immediatamente". Per l'uso aziendale, si aggiungono gli obblighi dell'art. 28. Nell'insieme:

1. Accordo sul trattamento dei dati (DPA). Il fornitore ne offre uno — ed è presente nella sua documentazione?
2. Entità e ubicazione dei server. Quale società è la vostra controparte contrattuale, dove si trovano i dati, c'è un trasferimento verso un paese terzo?
3. Crittografia. End-to-end, oppure di trasporto e server-side? Entrambe sono legittime — devono solo essere dichiarate.
4. Metadati e rubrica. La rubrica viene caricata? Quali dati di utilizzo e del dispositivo vengono raccolti, e con chi vengono condivisi?
5. Cancellazione e conservazione. Dove si trova la cronologia, chi la cancella, cosa succede quando un dipendente lascia l'azienda?
6. Sub-responsabili del trattamento. Sono pubblicati — incluse le funzionalità AI e i servizi di traduzione?

Più la settima: la lingua per ogni membro.

I messenger consumer al lavoro

WhatsApp (e l'app WhatsApp Business)

• Controparte contrattuale: per lo SEE, "WhatsApp Ireland Limited".
• Crittografia e conservazione: i messaggi sono cifrati end-to-end; "non conserviamo i vostri messaggi nel normale svolgimento della fornitura dei nostri Servizi. Una volta recapitati, i vostri messaggi vengono cancellati dai nostri server." La cronologia vive quindi sui dispositivi dei dipendenti e nei loro backup.
• Metadati: vengono raccolte "informazioni sul vostro utilizzo dei nostri Servizi", dati del dispositivo ("modello hardware, informazioni sul sistema operativo, livello della batteria, intensità del segnale") e, facoltativamente, la rubrica ("caricamento dei contatti … dalla rubrica del vostro dispositivo su base regolare"). I dati vengono condivisi con le "Meta Companies negli Stati Uniti e in Irlanda" e trasferiti "a livello globale".
• DPA: l'informativa sulla privacy dell'app non menziona alcun accordo sul trattamento dei dati per le aziende (verificato ad agosto 2026). L'app Business "è pensata per il piccolo imprenditore".
• Lingua: da settembre 2025 un messaggio può essere tradotto con una pressione prolungata — sul dispositivo ("le traduzioni avvengono sul vostro dispositivo, dove WhatsApp non può vederle"); Android può tradurre automaticamente intere chat (sei lingue al lancio), iPhone usa la traduzione di Apple in oltre 19 lingue. Note vocali e chiamate non fanno parte dell'annuncio.

Signal

• Controparte contrattuale: Signal Messenger LLC, Mountain View, California — un'organizzazione non profit.
• Crittografia: "Signal non può decifrare né altrimenti accedere al contenuto dei vostri messaggi o delle vostre chiamate."
• Metadati: registrazione tramite numero di telefono; i dati tecnici sono limitati "al minimo necessario per il funzionamento dei Servizi".
• DPA: nessuno documentato nei documenti legali di Signal (verificato ad agosto 2026).
• Lingua: nessuna funzionalità di traduzione documentata.

Telegram

• Controparte contrattuale e ubicazione: "Telegram Messenger Inc.", con "Telegram FZ-LLC, un membro del gruppo con sede a Dubai"; per gli utenti UE/SEE, "i vostri dati sono conservati in data center nei Paesi Bassi". Il rappresentante GDPR è l'European Data Protection Office (EDPO) di Bruxelles.
• Crittografia: le chat cloud sono cifrate server-side — "tutti i dati sono conservati fortemente cifrati e le chiavi di cifratura sono a loro volta conservate in diversi altri data center in giurisdizioni differenti" — e solo le chat segrete sono end-to-end: "Le chat segrete usano la crittografia end-to-end."
• DPA: non documentato nell'informativa sulla privacy (verificato ad agosto 2026).
• Lingua: "Tutti gli utenti possono tradurre singoli messaggi"; gli utenti Premium "possono tradurre intere chat, gruppi e canali in tempo reale toccando la barra Translate in alto".

Tutti e tre sono strumenti in cui i team lavorano davvero. Ciò che hanno in comune: la cronologia appartiene al dispositivo o al cloud del fornitore, non all'azienda — e il DPA richiesto dall'art. 28 non compare in nessuna delle tre documentazioni.

Messenger business da Svizzera e Germania

Threema Work

• Ubicazione: Svizzera. Il fornitore rileva che un trasferimento di dati dall'UE alla Svizzera è legalmente ammesso senza ulteriori verifiche.
• Metadati: Threema Work "non richiede dati personali (come un numero di telefono o un indirizzo e-mail)" e "può essere utilizzato senza accesso alla rubrica".
• DPA: secondo il fornitore, Threema Work "soddisfa i requisiti per un trattamento conforme alla protezione dei dati per conto di un titolare, in base al GDPR e alla legge svizzera DSG".
• Prova: "30 giorni, 30 utenti. Nessun rinnovo automatico." I prezzi per utente non sono indicati sulla pagina.
• Lingua: nessuna funzionalità di traduzione documentata.

Teamwire

• Ubicazione: "public cloud tedesco (IONOS, certificato C5)", "private cloud dedicato" oppure "hosting on-premise completo"; "hosting in Germania invece che negli USA", "nessuna conservazione fuori dall'UE".
• Certificazioni: "ISO 27001, BSI C5, certificazione TÜV"; vengono citati GDPR UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA e CER.
• Metadati: "nessun accesso alla rubrica" e "nessuna analisi della comunicazione".
• GDPR: il fornitore si autodefinisce "conforme al 100% al GDPR" — un'autodichiarazione che il DPA deve poi confermare caso per caso. Nessun prezzo indicato sulla pagina.
• Lingua: nessuna funzionalità di traduzione documentata.

Wire

• Ubicazione: "cloud, on-premises o ibrido".
• Crittografia: protocollo MLS; "messaggi, file e chiamate sono completamente E2EE per impostazione predefinita"; videochiamate "con fino a 200 partecipanti", ogni sessione cifrata end-to-end.
• Certificazioni: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "completamente conforme alle normative rigorose sulla protezione dei dati, incluso il GDPR" (autodichiarazione). Nessun prezzo per utente indicato sulla pagina.
• Lingua: nessuna funzionalità di traduzione documentata.

Stackfield

• Ubicazione: "l'intero trattamento dei dati è limitato all'UE, e i dati stessi risiedono esclusivamente in data center tedeschi"; l'azienda è soggetta "esclusivamente alla giurisdizione della Germania e dell'UE".
• Crittografia: "vera crittografia end-to-end" per messaggi, file e attività.
• Certificazioni: ISO 27001, BSI C5.
• Riunioni: conferenze audio e video incluse.
• Lingua: nessuna funzionalità di traduzione documentata.

I quattro rispondono alle domande su ubicazione e crittografia con tutta la chiarezza che un fornitore può offrire. Ciò che nessuno di loro documenta: una traduzione che permetta a un collega polacco, uno portoghese e uno tedesco di leggere lo stesso canale nella propria lingua.

Piattaforme self-hosted

Element (Matrix)

• Crittografia: "l'intera piattaforma è cifrata end-to-end per impostazione predefinita" — incluso Element Call per voce e video.
• Gestione: Community gratuito, self-hosted; Enterprise a licenza mensile per postazione, self-hosted; Sovereign per deployment, air-gapped.
• Lingua: nessuna funzionalità di traduzione documentata — con la crittografia end-to-end non c'è un punto server-side dove collocarla.

Mattermost

• Gestione: Professional ed Enterprise come licenze annuali self-hosted, prezzi su richiesta; Mattermost Cloud Enterprise come offerta single-tenant.
• Lingua: traduzione automatica del canale (beta, dalla v11.5) su Enterprise Advanced: il back-end è "LibreTranslate: un motore di traduzione automatica open source e self-hosted" oppure "Agents: utilizza il plugin Mattermost Agents con un backend LLM configurato"; la lingua di destinazione di un utente "è determinata dalla lingua di visualizzazione di Mattermost impostata". La traduzione avviene sul vostro server.

Rocket.Chat

• Gestione: il piano Starter è gratuito, "self-managed, self-hosted", "per valutazioni tecniche o piccoli team fino a 50 utenti"; i piani a pagamento sono Commercial, Government e Defense — on-premises, private cloud o air-gapped, prezzi su richiesta.
• Lingua: Auto-Translate per stanza — "ogni utente riceve le traduzioni in base alla lingua selezionata" — tramite DeepL, Google Translate, Microsoft Translator o LibreTranslate, con una chiave API fornita dall'amministratore. Il testo dei messaggi passa quindi al fornitore scelto — a meno che non si tratti di LibreTranslate sul vostro host.

Nextcloud Talk appartiene allo stesso gruppo: "un servizio di comunicazione audio/video e chat completamente self-hosted e on-premises", con trascrizione e traduzione live sul proprio hardware (dettagli nel confronto degli strumenti di comunicazione per team).

I bundle: Microsoft Teams e Slack

Microsoft Teams

• DPA: "Quando sottoscrivete un Prodotto secondo i termini del sito Product Terms, le condizioni di trattamento dei dati e di sicurezza sono definite nel Microsoft Online Services Data Protection Addendum (DPA)."
• Ubicazione: i dati di Teams risiedono "nella regione geografica associata alla vostra organizzazione Microsoft 365 o Office 365"; la residenza per paese (Germania, Francia, Italia, Norvegia, Polonia, Svezia, Svizzera e altri) vale "solo per i nuovi tenant", i tenant UE esistenti restano nella regione EMEA. L'EU Data Boundary impegna Microsoft a conservare ed elaborare i Dati dei Clienti per Microsoft 365 all'interno di UE/EFTA — "salvo circostanze limitate" con eccezioni documentate; i clienti con Multi-Geo sono esclusi dall'ambito.
• Lingua: i messaggi di chat e canale si traducono su richiesta o automaticamente ("Teams può tradurre automaticamente i messaggi ricevuti"), oltre 100 lingue, nessuna licenza specifica indicata; nelle riunioni, i sottotitoli tradotti richiedono la licenza Teams Premium o Copilot dell'organizzatore, e l'agente Interpreter (10 lingue) richiede una licenza Copilot per ogni ascoltatore, 20 ore al mese. Dettagli: Traduzione in tempo reale in Teams.

Slack

• DPA: "Slack offre un Data Processing Addendum che integra i Customer Terms of Service" — attivato tramite un modulo, non incorporato automaticamente.
• Ubicazione: residenza dei dati a partire da Business+: Francoforte, Parigi, Stoccolma, Zurigo, Londra. Coperti: messaggi, canvas, file e indice di ricerca; non coperti: profili dei membri e analisi di utilizzo. Il piano Free conserva 90 giorni di cronologia messaggi.
• Lingua: "Translate message" su Business+ ed Enterprise+, su richiesta per singolo messaggio; "le traduzioni sono visibili solo a voi, quindi le altre persone vedranno sempre il messaggio originale."

InterMIND

Costruiamo uno spazio di comunicazione in cui ogni membro legge riunioni, chat, documenti e la relativa cronologia nella propria lingua — e lo sottoponiamo alle stesse sette verifiche:

1. DPA: firmato per ogni cliente — condizioni da responsabile del trattamento ai sensi dell'art. 28, con preavviso di 30 giorni per i nuovi sub-responsabili e una finestra di 72 ore per le violazioni; una copia firmata è disponibile per il procurement (/legal/dpa).
2. Entità e ubicazione: gestito da una OÜ estone; il runtime è nell'UE a ogni passaggio — traduzione di voce e chat sul nostro motore proprietario su server dedicati in Francia, orchestrazione delle riunioni a Parigi, database a Francoforte, storage e analytics residenti nell'UE. La mappa, fornitore per fornitore: dove gira davvero una riunione InterMIND.
3. Crittografia: crittografia di trasporto — audio e video su DTLS/SRTP, chat e file su HTTPS/WSS e cifrati at rest sui nostri server. Nessuna crittografia end-to-end: la traduzione è un trattamento, e avviene sul nostro motore, non presso terzi. Se la E2EE è per voi il criterio prioritario su tutto il resto, Element, Wire o Threema sono la scelta più adatta — lo diciamo apertamente.
4. Metadati e rubrica: nessun caricamento della rubrica; i partecipanti entrano tramite link, senza account e senza numero di telefono.
5. Cancellazione e conservazione: il criterio di conservazione è scritto nell'informativa sulla privacy — i dati restano finché voi o il responsabile del vostro team non li cancellate; cancellare un account cancella i suoi dati. Abbiamo verificato il nostro codice rispetto agli obblighi del GDPR e documentato ciò che abbiamo chiuso: audit GDPR.
6. Sub-responsabili del trattamento: pubblicati, con funzione e sede per ogni fornitore. L'unico fornitore esterno di modelli linguistici (per il recap) è un fornitore UE con condizioni di zero conservazione dei dati; la traduzione dei documenti passa attraverso DeepL come sub-responsabile UE dichiarato. Nessun contenuto delle riunioni raggiunge un modello con sede negli Stati Uniti.
7. Lingua per ogni membro: chat e note in 23 lingue, documenti in 30, parlato live per ogni partecipante nella propria lingua — come comportamento predefinito della stanza, senza add-on o licenze per ascoltatore. La qualità viene pubblicata mensilmente per coppia linguistica: /benchmark.

Ciò che non affermiamo: una certificazione ISO che non possediamo ancora. La nostra risposta alla checklist è architetturale e verificabile nel codice; le certificazioni sono sulla roadmap.

Il quadro d'insieme

Quale messenger per quale caso

• La crittografia end-to-end è il vostro primo criterio e la traduzione non è rilevante: Threema Work (Svizzera, nessun numero di telefono), Wire (MLS, chiamate incluse), Stackfield (data center tedeschi) oppure Element (self-hosted, gratuito nell'edizione Community).
• Tutto deve girare sui vostri server, e avete lo staff per gestirlo: Rocket.Chat (gratuito fino a 50 utenti, traduzione tramite la chiave del proprio fornitore), Mattermost Enterprise Advanced (traduzione del canale in beta sul proprio LibreTranslate o LLM), Nextcloud Talk.
• Siete già clienti Microsoft o Slack: entrambi documentano un DPA e la residenza UE — Teams tramite la regione del tenant e l'EU Data Boundary, Slack a partire da Business+. La traduzione è per singolo lettore, su richiesta; la lingua delle riunioni in Teams dipende dalle licenze Copilot.
• Il team lavora su WhatsApp, Signal o Telegram: servizi documentati per la comunicazione privata, in parte cifrati end-to-end — ma senza un DPA documentato, con la cronologia sui dispositivi o nel cloud del fornitore, e su WhatsApp con dati di utilizzo e del dispositivo che finiscono alle società Meta negli USA. Un DPO farà domande a cui la documentazione non risponde.
• Il canale stesso è multilingue — colleghi e clienti che si rispondono in tre lingue, ospiti senza le vostre licenze, e un team compliance che vuole poter indicare l'ubicazione: è per questo che costruiamo InterMIND — UE a ogni passaggio, DPA per ogni cliente, sub-responsabili pubblicati, e ogni membro che legge lo spazio nella propria lingua.

Vedetelo invece di leggerne

• Provate la demo live — nessuna registrazione; parlate, e ascoltate la stanza tradotta per ogni ascoltatore in una qualsiasi delle 23 lingue.
• Consultate il benchmark — qualità della traduzione mensile per coppia linguistica su traffico reale, con metodologia pubblica.
• Leggete i sub-responsabili — funzione e sede per ogni fornitore, senza bisogno di richiesta.

FAQ

Quali messenger sono conformi al GDPR?

Nessuno lo è di per sé — gli obblighi restano in capo all'azienda. Ciò che si può verificare è se il fornitore li rende adempibili: un DPA è documentato da Microsoft Teams (tramite i Product Terms), Slack (tramite un modulo), Threema Work (fornitore: trattamento conforme a GDPR/DSG) e InterMIND (per ogni cliente, art. 28); Teamwire e Wire si autodefiniscono conformi al GDPR. Per WhatsApp, Signal e Telegram la documentazione non menziona alcun DPA (verificato ad agosto 2026). I servizi self-hosted — Element, Mattermost, Rocket.Chat, Nextcloud — spostano la questione nella vostra gestione.

Signal è conforme al GDPR?

Signal documenta la crittografia end-to-end ("Signal non può decifrare né altrimenti accedere al contenuto dei vostri messaggi o delle vostre chiamate") e dati tecnici limitati al minimo; la controparte contrattuale è Signal Messenger LLC in California, la registrazione avviene tramite numero di telefono. I documenti legali non menzionano alcun accordo sul trattamento dei dati per le aziende. L'uso privato è un quadro diverso dall'uso aziendale, che deve soddisfare l'art. 28.

WhatsApp è conforme al GDPR per l'uso aziendale?

WhatsApp Ireland documenta la crittografia end-to-end e il fatto che i messaggi recapitati vengano cancellati dai suoi server — e, al tempo stesso, dati di utilizzo e del dispositivo, caricamento facoltativo della rubrica e condivisione con le "Meta Companies negli Stati Uniti e in Irlanda". L'informativa sulla privacy non menziona alcun DPA per l'app; l'app Business è, secondo il fornitore, pensata per piccoli imprenditori. Chi usa WhatsApp in azienda deve giustificare autonomamente questi punti al DPO.

Telegram è conforme al GDPR?

Telegram dichiara che i dati UE sono conservati nei Paesi Bassi e nomina un rappresentante UE (EDPO, Bruxelles); le chat cloud sono cifrate server-side con chiavi "in diversi altri data center in giurisdizioni differenti", solo le chat segrete sono end-to-end. Nessun DPA è documentato. Si tratta di una situazione dei dati documentata, non di conformità al GDPR nel senso dell'art. 28.

Microsoft Teams è conforme al GDPR?

Microsoft documenta il DPA come parte dei Product Terms, la conservazione dei dati di Teams nella regione del tenant — residenza per paese solo per i nuovi tenant — e l'EU Data Boundary per i clienti Microsoft 365 con sede in UE/EFTA, con eccezioni documentate. Per le aziende già su Teams si tratta di una base solida; le funzionalità di traduzione nelle riunioni dipendono dalle licenze Copilot per organizzatore e ascoltatore.

Cosa deve offrire un messenger conforme al GDPR per le aziende?

Sei risposte documentate invece di un badge: un DPA ai sensi dell'art. 28, un'entità e un'ubicazione dei server dichiarate senza trasferimenti verso paesi terzi non spiegati, un modello di crittografia dichiarato, il controllo su rubrica e metadati, un concetto di cancellazione che copre l'uscita di un dipendente, e un elenco pubblicato dei sub-responsabili del trattamento — inclusi i servizi AI e di traduzione. Per i team internazionali si aggiunge un settimo punto: un messenger che conserva il canale solo nella lingua originale scarica la traduzione su ogni singolo individuo.

Esiste un messenger gratuito conforme al GDPR per le aziende?

Gratuito e self-hosted: Rocket.Chat Starter (fino a 50 utenti) ed Element Community — gli obblighi del GDPR restano allora interamente nella vostra gestione. Threema Work offre 30 giorni per 30 utenti senza dati di pagamento. Con InterMIND, la partecipazione è gratuita per ogni partecipante — accesso tramite link senza account — e la demo live non richiede registrazione; è l'host a pagare per la stanza.

Fonti: BfDI — Criteri di selezione per i servizi di messaggistica (in tedesco), WhatsApp — Informativa sulla privacy (SEE), WhatsApp — Informativa sulla privacy, Blog WhatsApp — Introduzione delle traduzioni dei messaggi, App WhatsApp Business, Signal — Termini e informativa sulla privacy, Telegram — Informativa sulla privacy, Blog Telegram — Traduzione in tempo reale, Threema — Messenger conforme al GDPR (in tedesco), Teamwire — Messenger conforme al GDPR (in tedesco), Wire — Wire vs. MS Teams (in tedesco), Stackfield — Alternativa a Microsoft Teams (in tedesco), Element — Prezzi, Mattermost — Prezzi, Mattermost — Configurare la traduzione automatica (Beta), Rocket.Chat — I nostri piani, Rocket.Chat — Traduzione automatica dei messaggi, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Ubicazione dei dati in Microsoft Teams, Microsoft Learn — Cos'è l'EU Data Boundary?, Microsoft — Tradurre un messaggio in Microsoft Teams, Microsoft — Interpreter nelle riunioni e chiamate di Teams, Slack — Data Processing Addendum, Slack — Residenza dei dati per Slack, Slack — Prezzi, Slack — Guida alle funzionalità AI in Slack. I fornitori modificano piani, ubicazioni, funzionalità e autodichiarazioni nel tempo; verificate le loro pagine per lo stato attuale. Tutti i fatti sono stati verificati ad agosto 2026.