Residenza dati UE per le foto degli eventi: perché è importante per il procurement B2B

Uno strumento di photo sharing per la tua prossima conferenza sembra, in superficie, un acquisto a basso rischio. Gli ospiti scansionano un QR, caricano dal telefono e voi ricevete l’album. È il tipo di cosa che un event manager può attivare in un pomeriggio — finché non arriva al team dei rischi del fornitore, e la prima domanda è: dove sono davvero memorizzati i dati?

Per un’azienda UE questa domanda non è burocratica: stabilisce se lo strumento può essere approvato. Le foto sono dati personali di dipendenti, clienti e ospiti identificabili, e quando lasciano un telefono e arrivano su un server, la giurisdizione di quel server colloca l’acquisto in un perimetro giuridico — le regole GDPR sui trasferimenti internazionali — che la procurement deve verificare prima della firma.

Questa guida è per chi risponde a questa domanda: acquisti, IT e reparti legali che valutano una piattaforma per foto di eventi. Spiega cosa significa davvero la “residenza dei dati UE” (e come differisce da “conforme RGPD”), perché toglie un preciso onere legale al vostro team, come stanno nel 2026 a metà le regole di trasferimento UE–US e come verificare l’affermazione di residenza di un fornitore anziché fidarsi della sola badge. È scritta per il contesto UE/SEE.

Cosa significa davvero la "residenza dei dati UE"?

La data residency indica in quale Paese risiedono e vengono processati fisicamente i server dei tuoi dati. Per una piattaforma foto eventi, questi dati sono gli upload stessi — foto, video, messaggi vocali — oltre ai record del database e ai backup che li descrivono.

Vale la pena separare tre cose che i fornitori spesso confondono nella comunicazione:

• Residenza dei dati — dove i dati sono archiviati ed elaborati (giurisdizione del data center).

• Sede della società: dove la società è costituita. Un’azienda con sede a Berlino può comunque conservare i tuoi dati in Virginia; una società incorporata negli Stati Uniti può ospitare a Francoforte. I due aspetti non devono coincidere.

• “Conforme al GDPR” è una dichiarazione sulla prassi del fornitore. Un tool hosted negli USA può essere compliant e comunque innescare un trasferimento transfrontaliero appena una foto di un dipendente UE arriva sui suoi server. Non è sinonimo di “residenza UE”.

Questa distinzione conta per gli acquisti perché la residenza è il punto decisivo: stabilisce se un trasferimento di dati personali fuori dall’UE è avvenuto. Mantieni i dati nell’UE e le regole del Capitolo V del GDPR non entrano in gioco. Portali in un Paese terzo e allora sì, con tutte le conseguenze.

Perché la residenza dei dati conta in modo specifico negli acquisti B2B?

Perché il GDPR considera l’uscita dall’UE un atto regolato, e la prova di liceità ricade su di voi — sul titolare, non sul fornitore.

Ai sensi del Capitolo V, un trasferimento di dati personali verso un paese terzo è lecito solo se si basa su una decisione di adeguatezza (articolo 45) oppure, in mancanza, su garanzie appropriate come le Clausole Contrattuali Standard della Commissione europea ex art. 46(2)(c), con diritti soggetti alle persone interessate e rimedi effettivi. Non è una casella che il fornitore spunta al posto tuo. Se le foto del convegno sono trattate negli Stati Uniti, la tua organizzazione deve indicare quale meccanismo ha reso tale trasferimento lecito e, dopo Schrems II, dimostrare che la destinazione è stata valutata e sono state documentate misure supplementari (vedi regole attuali sotto).

In pratica è questo il lavoro concreto che crea uno strumento ospitato negli Stati Uniti e che uno strumento ospitato nell’UE elimina: una valutazione d’impatto sul trasferimento da eseguire e documentare, una base giuridica solida già pronta per l’autorità di controllo, e un’esposizione legale in continuo mutamento — lo stato giuridico è cambiato più di una volta nell’ultimo decennio, e ogni cambio richiede una nuova valutazione per ogni fornitore statunitense che usi. Mantenendo i dati nell’UE, tutto questo si azzera: nessun trasferimento, quindi nessun meccanismo da scegliere, nessuna valutazione d’impatto e nessuna decisione di adeguatezza il cui destino devi monitorare. Per un team che vuole approvare uno strumento a basso impatto senza un mese di revisione legale, questo è il valore della residenza: la differenza tra un’approvazione rapida e un fascicolo di compliance aperto.

«Abbiamo già una DPA» — non basta?

Una DPA e la residenza dei dati rispondono a due domande diverse, e in genere servono entrambe. Quando uno strumento esterno tratta dati personali per tuo conto e secondo istruzioni documentate, l’art. 28(3) richiede un contratto scritto vincolante —la DPA— che regoli come il responsabile tratta i dati. Ma quel contratto non risponde da solo a dove sono i dati o se un trasferimento transfrontaliero sia lecito: quella è la questione separata del Capitolo V. Un fornitore può dare una DPA art. 28 perfetta e processare comunque le tue foto in un paese terzo, lasciando aperta la questione del trasferimento. Quindi la checklist di procurement non è “DPA o residenza UE”, ma “DPA e risposta chiara sulla residenza.” (Per sapere cosa deve contenere davvero una DPA art. 28, vedi la nostra guida collegata, Data Processing Agreements for Event Tech.)

Come stanno le regole di trasferimento UE-USA a metà 2026?

Qui risiede l’attrattiva della semplicità di hosting. In breve: i trasferimenti verso gli USA sono attualmente possibili, ma il terreno è cambiato e un ricorso è in corso, quindi uno strumento hosted negli USA è una valutazione continua, non una decisione chiusa. Stato della situazione a metà 2026:

• Le clausole contrattuali standard sono rimaste valide, ma con condizioni. Schrems II ha annullato il vecchio Privacy Shield nel 2020, ma ha confermato in linea generale le SCC, con obbligo di valutazione d’impatto sul trasferimento caso per caso e misure supplementari sopra descritte.

• La decisione di adeguatezza del EU-US Data Privacy Framework è in vigore. È stata adottata il 10 luglio 2023 e consente i trasferimenti verso organizzazioni statunitensi certificate DPF sulla base dell’articolo 45. La Corte generale dell’UE ha respinto la prima impugnazione (T-553/23, Latombe c/Commissione) il 3 settembre 2025, confermando che negli USA esiste un livello adeguato di protezione.

• Tuttavia, c’è un appello pendente. C’è un ricorso contro quella decisione (C-703/25 P) presso la CGUE, senza data di udienza annunciata a metà 2026. In pratica: la DPF è utilizzabile ora, ma non è priva di rischi; SCC e una valutazione dell’impatto del trasferimento restano il fallback prudente.

Niente di tutto questo è motivo di panico per gli strumenti americani. È il motivo per capire che scegliere uno strumento significa assumersi una domanda la cui risposta è già cambiata in passato e può cambiare ancora, richiedendo di riesaminare ogni fornitore coinvolto ogni volta. Scegliere uno strumento con residenza UE evita che questa domanda resti aperta e ti toglie dal fuoco incrociato della prossima decisione sul modello Schrems.

Il mercato è nettamente diviso sulla residenza: ecco come appare

Verifica dove questi strumenti ospitano davvero i dati e il mercato si divide in tre categorie. Quanto segue riflette le informazioni aziendali e sulla privacy pubblicamente disponibili di ciascun provider, rilevate il 2026-06-08 — i vuoti sono altrettanto significativi delle affermazioni.

Esplicitamente con sede negli Stati Uniti. Diverse piattaforme popolari dichiarano chiaramente che i dati risiedono negli Stati Uniti, senza opzione UE: GuestCam (ospitato su storage cloud basato negli USA, senza hosting UE/europeo), Kululu (contenuti principali su server Google Cloud / Firebase negli USA), Fotify (gestito da Lumenlio, LLC, una società del Delaware) e Wedibox (società statunitense, Wedibox LLC). In ciascuno di questi casi, un’azienda dell’UE che processa foto di dipendenti o ospiti opera pienamente nell’area del trasferimento verso paesi terzi e deve effettuare la valutazione completa.

Esplicitamente con residenza UE. Un conjunto más pequeño indica chiaramente hosting UE/SEE: EventPics (gestito da una società austriaca, Aigner Software e. U., hosting in una regione UE), JoinMyMoment (hosting UE/SEE, con sub-responsabili in Germania [Hetzner], Francia [Scaleway] e AWS Francoforte) e Lense (server nell’Unione Europea, con dati personali principalmente conservati e trattati lì). Sono gli strumenti in cui il tema del trasferimento non si pone.

Non dichiarato o poco chiaro: ed è un vero segnale di rischio. Molti strumenti importanti non indicano chiaramente dove sono conservati i dati. Diverse app commercializzate in Germania o nell’UE si appoggiano a espressioni come "Made in Germany" o "server europei" senza una dichiarazione esplicita del server; altre, con sede societaria non divulgata o in esecuzione su Google Cloud senza indicare una regione UE, lasciano il quadro giurisdizionale davvero incerto. Per la procurement, la residenza dei dati non indicata è un riscontro, non una neutralità. Se un fornitore non può indicarti per iscritto la giurisdizione dell’hosting, non puoi completare l’analisi dei trasferimenti e lo strumento non dovrebbe superare la revisione finché non lo fa.

Un avvertimento onesto: dire che si è ospitati in UE su una pagina marketing è solo un punto di partenza, non una prova. La sezione successiva colma questa lacuna.

Come verifico la dichiarazione di data residency UE di un fornitore?

“Conforme al GDPR” in homepage è un’affermazione di marketing. Un team acquisti ha bisogno di prove da inserire in un dossier. Cinque domande trasformano una promessa in qualcosa di verificabile:

1. Indica per iscritto la regione del centro dati. Non basta “Europa” in generale: la giurisdizione effettiva (es. Germania/Francoforte) sia per gli upload memorizzati sia per il database. Richiedila nel DPA o in un modulo d’ordine, così diventa vincolante e non solo un’affermazione di principio.

1. Richiedi l’elenco dei sub-responsabili del trattamento. La maggior parte delle piattaforme opera su infrastrutture di terze parti: archiviazione cloud, host del database, invio di email e SMS, e ogni sub-responsabile ha la propria sede. Un fornitore che ospita nell’UE ma instrada le notifiche tramite un sub-responsabile negli Stati Uniti sposta comunque alcuni dati personali oltre confine. Chiedi l’elenco completo e la posizione di ciascun soggetto.

1. Chiedi dove sono backup e log. Lo storage primario in UE non basta se i backup notturni vengono replicati in una regione degli Stati Uniti. La residenza dei dati deve coprire anche le copie, non solo i dati live.

1. Verifica che la DPA lo preveda. L’impegno sulla permanenza e i sub-processor devono comparire nel contratto ex Articolo 28 che firmi davvero, così l’obbligo è applicabile, non solo descritto in un post.

1. Chiedi il percorso di cancellazione. La residenza non riguarda solo dove sono i dati, ma anche per quanto tempo e come rimuoverli. Verifica che il fornitore possa eseguire una richiesta di cancellazione da parte dell’interessato entro i termini di legge: secondo l’art. 17 il titolare deve cancellare senza indebito ritardo, e l’art. 12(3) prevede un mese di risposta (estendibile di due mesi per richieste veramente complesse, con notifica). Una finestra di conservazione definita e un percorso di cancellazione chiaro è ciò che in pratica richiede la limitazione della conservazione (Art. 5(1)(e)).

Rispondi in modo chiaro e per iscritto a tutte e cinque le domande, e avrai una residenza difendibile. Punta solo su un badge, e avrai una rivendicazione solida.

Dove si colloca Gathmo in questo confronto

Gathmo è stato costruito proprio per la domanda di procurement di questo articolo. La residenza dei dati è in UE, con object storage in giurisdizione UE, database principale a Francoforte, compute in UE e DPA con i processori. Una DPA è disponibile su richiesta per i piani per-evento ed è inclusa su B2B Studio, Agency ed Enterprise. La retention è definita e finita, non aperta (i livelli per-evento vanno da una finestra di 30 giorni fino a 1 anno a seconda del tier), che è esattamente l’impostazione richiesta dall’art. 5(1)(e). Per procurement o IT che chiedono "questi dati restano in Europa?", questa è una risposta positiva con evidenza: un data center nominato e DPA dei processori, non solo un badge marketing.

Due punti di onestà, perché l’acquirente deve saperli da noi e non scoprirli dopo. Primo: Gathmo non offre riconoscimento o ricerca facciale al lancio — è una funzionalità della fase 2, non una feature live. Per un buyer corporate è un vantaggio: gallerie foto ordinarie che non costruiscono template facciali evitano l’obbligo separato di consenso biometrico che il face-matching può attivare ai sensi dell’art. 9. Secondo: la residenza sta diventando un claim affollato — diversi vendor dichiarano server europei — quindi presentiamo il vantaggio di Gathmo non come "l’unica opzione UE", ma come EU residency verificabile: giurisdizione nominata, trasparenza dei sub-processor e DPA firmata. Esegui il check in cinque punti sopra con noi: è per questo che esiste.