Videoconferenze conformi al GDPR: la checklist pratica
Ogni fornitore dichiara la conformità al GDPR in un banner; pochi sanno mostrarla in un'architettura. Se trattate dati personali UE — e ogni riunione con nomi, voci e volti è un dato personale — ecco cosa verificare davvero prima di adottare uno strumento di videoconferenza.
Cosa chiede davvero il GDPR a uno strumento per riunioni
Quattro cose: un titolare del trattamento a cui chiedere conto, una base giuridica e trasparenza per le registrazioni, misure tecniche proporzionate al rischio (crittografia, controllo degli accessi, conservazione) e — la parte di cui la maggior parte dei fornitori parla sottovoce — una risposta difendibile su dove vanno i dati e sotto quale diritto si trovano.
La checklist
Fate a qualsiasi candidato queste cinque domande:
- Chi è il titolare/responsabile — e il DPA è offerto anche senza un contratto enterprise?
- Dove vivono fisicamente registrazioni e trascrizioni? Data center UE o «regione UE disponibile su richiesta»?
- Esiste una vera crittografia end-to-end per le riunioni che non dovrebbero essere registrate affatto?
- Gli host possono controllare la conservazione — e gli utenti possono esercitare il diritto di cancellazione senza un ticket al supporto?
- Se il fornitore è statunitense: qual è la sua risposta alla domanda sul CLOUD Act?
Il problema del trasferimento verso fornitori USA, in un paragrafo
Da Schrems II, spostare dati personali UE verso provider statunitensi significa meccanismi di trasferimento, valutazioni d'impatto e un rischio residuo che il vostro DPO deve assumersi — perché il CLOUD Act statunitense può obbligare un'azienda USA a divulgare i dati anche quando sono archiviati in Europa. La via d'uscita pulita è strutturale: un fornitore UE sotto il diritto UE. Cosa cambia davvero in quel passaggio lo abbiamo raccontato nella nostra pagina sull'alternativa europea.
Come lo implementa Spotrum
Azienda UE (registro estone, pubblico), server UE per media, registrazioni e file, GDPR come diritto di casa, DPA su richiesta per qualsiasi cliente business, stanze private E2EE in ogni piano incluso Free, conservazione controllata dall'host ed esportazione e cancellazione dell'account integrate. Ogni affermazione qui è documentata nella nostra pagina sulla sicurezza — inclusi i limiti onesti.
È lecito registrare le riunioni secondo il GDPR?
Sì, con una base giuridica e trasparenza: i partecipanti devono saperlo. In Spotrum la registrazione è avviata dall'host e visibile a tutti nella stanza, e le stanze E2EE non possono essere registrate affatto.
Spotrum offre un DPA?
Sì — qualsiasi cliente business può richiederlo a legal@spotrum.com. Il titolare è un'azienda UE (estone), quindi per i dati principali non servono meccanismi di trasferimento transfrontaliero.
Dove sono archiviati esattamente i dati delle riunioni?
Server media, registrazioni, trascrizioni e file girano in data center dell'Unione Europea. Le funzioni AI opzionali usano un sub-responsabile extra-UE indicato per nome, sono disattivate per impostazione predefinita e documentate nella Privacy Policy.
Videoconferenze che il vostro DPO approverà