Messaggistica aziendale conforme al GDPR (2026): cosa documentano davvero i fornitori

"Quale messenger è conforme al GDPR?" è una domanda a cui nessun fornitore può rispondere onestamente con "noi lo siamo". Il GDPR pone gli obblighi in capo a te, il titolare del trattamento: serve un accordo sul trattamento dei dati (art. 28), devi sapere dove si trovano i dati e se passano verso un paese terzo, devi essere in grado di cancellarli e di rispondere alle richieste di accesso. Un servizio di messaggistica può rendere questi obblighi adempibili, oppure no. Un bollino sulla homepage non dice nulla di più.

Questa guida fa quindi qualcosa di diverso dai soliti elenchi. Prende sei controlli che un responsabile della protezione dei dati (DPO) richiede comunque e li applica a dodici servizi: i messenger consumer su cui le aziende lavorano davvero (WhatsApp, Signal, Telegram), i messenger aziendali di Svizzera e Germania (Threema Work, Teamwire, Wire, Stackfield), le piattaforme self-hosted (Element, Mattermost, Rocket.Chat) e i due pacchetti (Microsoft Teams, Slack). Poi InterMIND, che sviluppiamo noi, con gli stessi criteri e la stessa regola sulle fonti. Ogni affermazione proviene dalla documentazione pubblica del fornitore, verificata ad agosto 2026 e collegata in fondo.

A questi si aggiunge un settimo controllo, che non compare mai negli elenchi sul GDPR e conta ogni giorno in un team internazionale: in quale lingua ogni membro legge il canale? Un messenger che conserva i messaggi solo nell'originale scarica la traduzione sul singolo, e su servizi che poi trattano i dati una seconda volta.

I sei controlli

Il Garante federale tedesco per la protezione dei dati (BfDI) pubblica criteri di selezione per i servizi di messaggistica, il parametro pubblico più utilizzabile. Definisce la cifratura end-to-end come messaggi "cifrati sul dispositivo del mittente e decifrati di nuovo solo sul dispositivo del destinatario", elenca impostazioni sulla privacy come l'accesso alla rubrica, la visibilità del profilo, le conferme di lettura, le analisi d'uso e la segnalazione degli errori, e richiede che la cancellazione dell'account comporti dati "cancellati immediatamente". Per l'uso aziendale si aggiungono gli obblighi dell'art. 28. Insieme:

1. Accordo sul trattamento dei dati (DPA). Il fornitore ne offre uno, ed è presente nella sua documentazione?
2. Entità e ubicazione dei server. Quale società è la tua controparte contrattuale, dove si trovano i dati, c'è un trasferimento verso un paese terzo?
3. Cifratura. End-to-end, oppure in transito e lato server? Entrambe sono legittime: basta che siano dichiarate.
4. Metadati e rubrica. La rubrica viene caricata? Quali dati d'uso e del dispositivo vengono raccolti, e con chi sono condivisi?
5. Cancellazione e conservazione. Dove risiede la cronologia, chi la cancella, cosa succede quando un dipendente se ne va?
6. Sub-responsabili. Sono pubblicati, compresi i servizi usati per le funzioni di AI e per la traduzione?

Più il settimo: la lingua per ogni membro.

I messenger consumer al lavoro

WhatsApp (e l'app WhatsApp Business)

• Controparte contrattuale: per il SEE, "WhatsApp Ireland Limited".
• Cifratura e archiviazione: i messaggi sono cifrati end-to-end; "non conserviamo i tuoi messaggi nell'ordinario svolgimento dei nostri Servizi. Una volta consegnati, i messaggi vengono eliminati dai nostri server." La cronologia risiede quindi sui dispositivi dei dipendenti e nei loro backup.
• Metadati: vengono raccolte "informazioni sull'utilizzo dei nostri Servizi", dati del dispositivo ("modello hardware, informazioni sul sistema operativo, livello della batteria, intensità del segnale") e, in via facoltativa, la rubrica ("caricamento dei contatti … dalla rubrica del dispositivo con regolarità"). I dati sono condivisi con le "società Meta negli Stati Uniti e in Irlanda" e trasferiti "a livello globale".
• DPA: l'informativa sulla privacy dell'app non cita alcun accordo sul trattamento dei dati per le aziende (verificato ad agosto 2026). L'app Business "è pensata per il titolare di una piccola impresa".
• Lingua: da settembre 2025 un messaggio può essere tradotto con una pressione prolungata, sul dispositivo ("le traduzioni avvengono sul tuo dispositivo, dove WhatsApp non può vederle"); Android può tradurre automaticamente intere chat (sei lingue al lancio), iPhone usa la traduzione di Apple in più di 19 lingue. Messaggi vocali e chiamate non rientrano nell'annuncio.

Signal

• Controparte contrattuale: Signal Messenger LLC, Mountain View, California, un'organizzazione senza scopo di lucro.
• Cifratura: "Signal non può decifrare né accedere in altro modo al contenuto dei tuoi messaggi o delle tue chiamate."
• Metadati: registrazione tramite numero di telefono; i dati tecnici sono limitati "al minimo necessario per far funzionare i Servizi".
• DPA: nessuno documentato nei documenti legali di Signal (verificato ad agosto 2026).
• Lingua: nessuna funzione di traduzione documentata.

Telegram

• Controparte contrattuale e ubicazione: "Telegram Messenger Inc.", con "Telegram FZ-LLC, un membro del gruppo con sede a Dubai"; per gli utenti UE/SEE, "i tuoi dati sono archiviati in data center nei Paesi Bassi". Il rappresentante GDPR è lo European Data Protection Office (EDPO) a Bruxelles.
• Cifratura: le chat cloud sono cifrate lato server ("tutti i dati sono archiviati con cifratura robusta e le chiavi di cifratura sono in ogni caso conservate in diversi altri data center in giurisdizioni differenti") e solo le chat segrete sono end-to-end: "Le chat segrete usano la cifratura end-to-end."
• DPA: non documentato nell'informativa sulla privacy (verificato ad agosto 2026).
• Lingua: "Tutti gli utenti possono tradurre singoli messaggi"; gli utenti Premium "possono tradurre intere chat, gruppi e canali in tempo reale toccando la barra Traduci in alto".

Tutti e tre sono strumenti in cui i team lavorano davvero. Hanno in comune questo: la cronologia appartiene al dispositivo o al cloud del fornitore, non all'azienda; e il DPA richiesto dall'art. 28 non compare in nessuna delle tre documentazioni.

Messenger aziendali di Svizzera e Germania

Threema Work

• Ubicazione: Svizzera. Il fornitore osserva che un trasferimento di dati dall'UE alla Svizzera è legalmente ammesso senza ulteriori verifiche.
• Metadati: Threema Work "non richiede dati personali (come un numero di telefono o un indirizzo e-mail)" e "può essere usato senza accesso alla rubrica".
• DPA: secondo il fornitore, Threema Work "soddisfa i requisiti per un trattamento conforme alla protezione dei dati per conto di un titolare ai sensi del GDPR e della DSG svizzera".
• Prova: "30 giorni, 30 utenti. Nessun rinnovo automatico." I prezzi per utente non sono sulla pagina.
• Lingua: nessuna funzione di traduzione documentata.

Teamwire

• Ubicazione: "cloud pubblico tedesco (IONOS, certificato C5)", "cloud privato dedicato" o "hosting completamente on-premise"; "hosting in Germania invece che negli USA", "nessuna archiviazione al di fuori dell'UE".
• Certificazioni: "ISO 27001, BSI C5, certificato TÜV"; sono citati GDPR UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA e CER.
• Metadati: "nessun accesso alla rubrica" e "nessuna analisi della comunicazione".
• GDPR: il fornitore si definisce "conforme al GDPR al 100 %", un'autodescrizione che il DPA deve confermare caso per caso. Nessun prezzo sulla pagina.
• Lingua: nessuna funzione di traduzione documentata.

Wire

• Ubicazione: "cloud, on-premises o ibrido".
• Cifratura: protocollo MLS; "messaggi, file e chiamate sono completamente E2EE per impostazione predefinita"; videochiamate "fino a 200 partecipanti", ogni sessione cifrata end-to-end.
• Certificazioni: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "pienamente conforme alle rigorose normative sulla protezione dei dati, incluso il GDPR" (autodescrizione). Nessun prezzo per utente sulla pagina.
• Lingua: nessuna funzione di traduzione documentata.

Stackfield

• Ubicazione: "tutto il trattamento dei dati è limitato all'UE e i dati stessi risiedono esclusivamente in data center tedeschi"; la società è soggetta "esclusivamente alla giurisdizione della Germania e dell'UE".
• Cifratura: "vera cifratura end-to-end" per messaggi, file e attività.
• Certificazioni: ISO 27001, BSI C5.
• Riunioni: conferenze audio e video incluse.
• Lingua: nessuna funzione di traduzione documentata.

I quattro rispondono alle domande su ubicazione e cifratura nel modo più chiaro che un fornitore possa permettersi. Quello che nessuno documenta è una traduzione che permetta a un collega polacco, a uno portoghese e a uno tedesco di leggere lo stesso canale nella propria lingua.

Piattaforme self-hosted

Element (Matrix)

• Cifratura: "l'intera piattaforma è cifrata end-to-end per impostazione predefinita", compreso Element Call per voce e video.
• Modalità di gestione: Community gratuita, self-hosted; Enterprise per postazione al mese, self-hosted; Sovereign per deployment, air-gapped.
• Lingua: nessuna funzione di traduzione documentata; con la cifratura end-to-end non esiste un luogo lato server in cui collocarla.

Mattermost

• Modalità di gestione: Professional ed Enterprise come licenze annuali self-hosted, prezzi su richiesta; Mattermost Cloud Enterprise come offerta single-tenant.
• Lingua: traduzione automatica dei canali (beta, dalla v11.5) su Enterprise Advanced: il back-end è "LibreTranslate: un motore di traduzione automatica open source e self-hosted" oppure "Agents: usa il plugin Mattermost Agents con un backend LLM configurato"; la lingua di destinazione dell'utente "è determinata dalla lingua di visualizzazione di Mattermost". La traduzione gira sul tuo server.

Rocket.Chat

• Modalità di gestione: il piano Starter è gratuito, "self-managed, self-hosted", "per la valutazione tecnica o per piccoli team fino a 50 utenti"; i piani a pagamento sono Commercial, Government e Defense: on-premises, cloud privato o air-gapped, prezzi su richiesta.
• Lingua: Auto-Translate per stanza ("ogni utente riceve le traduzioni nella lingua che ha selezionato") tramite DeepL, Google Translate, Microsoft Translator o LibreTranslate, con una chiave API fornita dall'amministratore. Il testo dei messaggi va quindi al provider che hai scelto, a meno che non si tratti di LibreTranslate sul tuo host.

Nextcloud Talk rientra nello stesso gruppo: "un servizio di comunicazione audio/video e chat completamente self-hosted e on-premises", con trascrizione e traduzione live sul tuo hardware (dettagli nel confronto tra strumenti di comunicazione per team).

I pacchetti: Microsoft Teams e Slack

Microsoft Teams

• DPA: "Quando sottoscrivi un Prodotto secondo i termini del sito Product Terms, i termini sul trattamento e sulla sicurezza dei dati sono definiti nel Microsoft Online Services Data Protection Addendum (DPA)."
• Ubicazione: i dati di Teams risiedono "nell'area geografica associata alla tua organizzazione Microsoft 365 o Office 365"; la residenza per paese (Germania, Francia, Italia, Norvegia, Polonia, Svezia, Svizzera e altri) vale "solo per i nuovi tenant", mentre i tenant UE esistenti restano nell'area EMEA. L'EU Data Boundary impegna Microsoft ad archiviare ed elaborare i Dati del Cliente di Microsoft 365 all'interno di UE/EFTA, "fatte salve circostanze limitate" con eccezioni documentate; i clienti con Multi-Geo sono fuori ambito.
• Lingua: i messaggi di chat e dei canali si traducono su richiesta o automaticamente ("Teams può tradurre automaticamente i messaggi ricevuti"), in più di 100 lingue, senza licenza indicata; nelle riunioni i sottotitoli tradotti richiedono la licenza Teams Premium o Copilot dell'organizzatore, mentre l'agente Interpreter (10 lingue) richiede una licenza Copilot per ogni ascoltatore, 20 ore al mese. Dettagli: traduzione dal vivo in Teams.

Slack

• DPA: "Slack offre un Data Processing Addendum che integra i Termini di servizio del Cliente", sottoscritto tramite modulo, non incorporato automaticamente.
• Ubicazione: residenza dei dati da Business+: Francoforte, Parigi, Stoccolma, Zurigo, Londra. Coperti: messaggi, canvas, file e indice di ricerca; non coperti: profili dei membri e analisi d'uso. Il piano Free conserva 90 giorni di cronologia dei messaggi.
• Lingua: "Traduci messaggio" su Business+ ed Enterprise+, su richiesta per singolo messaggio; "le traduzioni sono visibili solo a te, quindi gli altri vedranno sempre il messaggio originale."

InterMIND

Sviluppiamo uno spazio di comunicazione in cui ogni membro legge riunioni, chat, documenti e cronologia nella propria lingua, e lo sottoponiamo agli stessi sette controlli:

1. DPA: firmato per ogni cliente: condizioni da responsabile del trattamento ai sensi dell'art. 28, con preavviso di 30 giorni per i nuovi sub-responsabili e una finestra di 72 ore per le violazioni; una copia firmata è disponibile per gli acquisti (/legal/dpa).
2. Entità e ubicazione: gestito da una OÜ estone; il runtime è nell'UE a ogni passaggio: traduzione di voce e chat sul nostro motore, su server dedicati in Francia, orchestrazione delle riunioni a Parigi, database a Francoforte, archiviazione e analytics residenti nell'UE. La mappa, fornitore per fornitore: dove gira davvero una riunione InterMIND.
3. Cifratura: cifratura in transito: audio e video su DTLS/SRTP, chat e file su HTTPS/WSS e cifrati a riposo sui nostri server. Nessuna cifratura end-to-end: la traduzione è un trattamento e avviene sul nostro motore, non presso terzi. Se per te l'E2EE viene prima di tutto, Element, Wire o Threema sono la scelta più adatta, e lo diciamo apertamente.
4. Metadati e rubrica: nessun caricamento della rubrica; i partecipanti entrano tramite link, senza account e senza numero di telefono.
5. Cancellazione e conservazione: il criterio di conservazione è scritto nell'informativa sulla privacy: i dati restano finché tu o il responsabile del tuo team non li cancellate; eliminare un account elimina i suoi dati. Abbiamo verificato il nostro codice rispetto agli obblighi del GDPR e documentato ciò che abbiamo chiuso: audit GDPR.
6. Sub-responsabili: pubblicati, con funzione e sede per ogni fornitore. I passaggi con modelli linguistici (riepilogo, sintesi dei documenti, assistente di scrittura, Ask AI) girano sul gateway AI scelto dall'organizzazione (Azure OpenAI nella EU Data Zone per impostazione predefinita, Vertex AI EU o Amazon Bedrock Francoforte a scelta), nel tenant di InterMIND, con zero conservazione dei dati e nessun addestramento sui contenuti dei clienti; i fornitori sono aziende statunitensi che operano regioni UE, come dichiarato nella pagina di trasparenza. La traduzione dei documenti passa da DeepL, indicato come sub-responsabile europeo.
7. Lingua per ogni membro: chat e note in 23 lingue, documenti in 30, voce live per ogni partecipante nella propria lingua, come comportamento predefinito della stanza, senza componenti aggiuntivi né licenze per ascoltatore. La qualità è pubblicata ogni mese per coppia di lingue: /benchmark.

Ciò che non dichiariamo: un certificato ISO che non abbiamo ancora. La nostra risposta alla checklist è architetturale e verificabile nel codice; le certificazioni sono nella roadmap.

Il quadro d'insieme

Quale messenger per quale caso

• La cifratura end-to-end è il tuo primo criterio e la traduzione non conta: Threema Work (Svizzera, nessun numero di telefono), Wire (MLS, chiamate incluse), Stackfield (data center tedeschi) o Element (self-hosted, gratuito nell'edizione Community).
• Tutto deve girare sui tuoi server e hai il personale per farlo: Rocket.Chat (gratuito fino a 50 utenti, traduzione tramite la chiave del tuo provider), Mattermost Enterprise Advanced (traduzione dei canali in beta sul tuo LibreTranslate o LLM), Nextcloud Talk.
• Sei comunque cliente Microsoft o Slack: entrambi documentano un DPA e la residenza UE: Teams tramite l'area del tenant e l'EU Data Boundary, Slack da Business+. La traduzione è per lettore, su richiesta; la lingua delle riunioni in Teams dipende dalle licenze Copilot.
• Il team lavora su WhatsApp, Signal o Telegram: servizi documentati per la comunicazione privata, in parte cifrati end-to-end, ma senza DPA documentato, con la cronologia sui dispositivi o nel cloud del fornitore e, su WhatsApp, dati d'uso e del dispositivo che vanno alle società Meta negli USA. Un DPO farà domande a cui la documentazione non risponde.
• Il canale stesso è multilingue: colleghi e clienti che si rispondono in tre lingue, ospiti senza le tue licenze e un team di conformità che vuole poter indicare l'ubicazione: è per questo che sviluppiamo InterMIND, con ogni membro che legge lo spazio nella propria lingua e gli ospiti che entrano tramite link senza le tue licenze; UE a ogni passaggio, DPA per ogni cliente e sub-responsabili pubblicati sono la riga unica per il DPO.

Vedilo invece di leggerlo

• Prova la demo live: senza registrazione; parla e ascolta la stanza tradotta per ogni ascoltatore in una qualsiasi delle 23 lingue.
• Guarda il benchmark: qualità di traduzione mensile per coppia di lingue su traffico reale, con metodologia pubblica.
• Leggi i sub-responsabili: funzione e sede per ogni fornitore, senza bisogno di farne richiesta.

FAQ

Quali messenger sono conformi al GDPR?

Nessuno lo è da solo: gli obblighi ricadono sull'azienda. Ciò che si può verificare è se il fornitore li rende adempibili: un DPA è documentato da Microsoft Teams (tramite i Product Terms), Slack (tramite modulo), Threema Work (fornitore: trattamento conforme a GDPR/DSG) e InterMIND (per ogni cliente, art. 28); Teamwire e Wire si descrivono come conformi al GDPR. Per WhatsApp, Signal e Telegram la documentazione non cita alcun DPA (verificato ad agosto 2026). I servizi self-hosted (Element, Mattermost, Rocket.Chat, Nextcloud) spostano la questione nella tua gestione.

Signal è conforme al GDPR?

Signal documenta la cifratura end-to-end ("Signal non può decifrare né accedere in altro modo al contenuto dei tuoi messaggi o delle tue chiamate") e dati tecnici limitati al minimo; la controparte contrattuale è Signal Messenger LLC in California, la registrazione avviene tramite numero di telefono. I documenti legali non citano alcun accordo sul trattamento dei dati per le aziende. L'uso privato è un quadro diverso dall'uso aziendale, che deve soddisfare l'art. 28.

WhatsApp è conforme al GDPR per uso aziendale?

WhatsApp Ireland documenta la cifratura end-to-end e che i messaggi consegnati vengono eliminati dai suoi server e, allo stesso tempo, dati d'uso e del dispositivo, caricamento facoltativo della rubrica e condivisione con le "società Meta negli Stati Uniti e in Irlanda". L'informativa sulla privacy non cita alcun DPA per l'app; l'app Business è, secondo il fornitore, pensata per i titolari di piccole imprese. Chi usa WhatsApp in azienda deve giustificare da sé questi punti al DPO.

Telegram è conforme al GDPR?

Telegram dichiara che i dati UE sono archiviati nei Paesi Bassi e indica un rappresentante UE (EDPO, Bruxelles); le chat cloud sono cifrate lato server con chiavi "in diversi altri data center in giurisdizioni differenti", solo le chat segrete sono end-to-end. Nessun DPA è documentato. È una situazione dei dati documentata, non conformità al GDPR nel senso dell'art. 28.

Microsoft Teams è conforme al GDPR?

Microsoft documenta il DPA come parte dei Product Terms, l'archiviazione dei dati di Teams nell'area del tenant (residenza per paese solo per i nuovi tenant) e l'EU Data Boundary per i clienti Microsoft 365 con sede in UE/EFTA, con eccezioni documentate. Per le aziende già su Teams è una base solida; le funzioni di traduzione nelle riunioni dipendono dalle licenze Copilot per organizzatore e ascoltatore.

Cosa deve offrire un messenger aziendale conforme al GDPR?

Sei risposte documentate invece di un bollino: un DPA ai sensi dell'art. 28, un'entità e un'ubicazione dei server indicate, senza trasferimenti verso paesi terzi inspiegati, un modello di cifratura dichiarato, controllo su rubrica e metadati, un concetto di cancellazione che copra l'uscita di un dipendente e un elenco pubblicato dei sub-responsabili, compresi i servizi di AI e di traduzione. Per i team internazionali si aggiunge un settimo punto: un messenger che conserva il canale solo nell'originale scarica la traduzione su ogni singolo.

Esiste un messenger gratuito conforme al GDPR per le aziende?

Gratuiti e self-hosted: Rocket.Chat Starter (fino a 50 utenti) ed Element Community; gli obblighi del GDPR ricadono allora interamente sulla tua gestione. Threema Work offre 30 giorni per 30 utenti senza dati di pagamento. Con InterMIND la partecipazione è gratuita per ogni partecipante (si entra tramite link senza account) e la demo live non richiede registrazione; a pagare la stanza è l'host.

Fonti: BfDI — Criteri di selezione per i servizi di messaggistica (in tedesco), WhatsApp — Informativa sulla privacy (SEE), WhatsApp — Informativa sulla privacy, Blog di WhatsApp — Introduzione alla traduzione dei messaggi, App WhatsApp Business, Signal — Termini e informativa sulla privacy, Telegram — Informativa sulla privacy, Blog di Telegram — Traduzione in tempo reale, Threema — Messenger conforme al GDPR (in tedesco), Teamwire — Messenger conforme al GDPR (in tedesco), Wire — Wire vs. MS Teams (in tedesco), Stackfield — Alternativa a Microsoft Teams (in tedesco), Element — Prezzi, Mattermost — Prezzi, Mattermost — Configurare la traduzione automatica (beta), Rocket.Chat — I nostri piani, Rocket.Chat — Traduzione automatica dei messaggi, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Ubicazione dei dati in Microsoft Teams, Microsoft Learn — Che cos'è l'EU Data Boundary?, Microsoft — Tradurre un messaggio in Microsoft Teams, Microsoft — Interpreter nelle riunioni e nelle chiamate di Teams, Slack — Data Processing Addendum, Slack — Residenza dei dati per Slack, Slack — Prezzi, Slack — Guida alle funzioni di AI in Slack. Nel tempo i fornitori modificano piani, ubicazioni, funzioni e autodescrizioni; consulta le loro pagine per lo stato attuale. Tutti i fatti sono stati verificati ad agosto 2026.