EU Email API: cosa significa GDPR by design

"GDPR-compliant" è diventato un badge marketing. Ogni servizio SaaS lo sbandiera. Pochi lo costruiscono davvero.

In Tratto, GDPR non è una checkbox di compliance. È il fondamento architetturale.

Cosa significa in pratica

Hosting EU-native. I tuoi dati risiedono in Google Cloud, regione europe-west1 (Belgio), con il database nella multi-region europea eur3. Non "esportati agli US e poi sincronizzati". Restano in Europa. Punto.

Nessuno script di analytics prima del consenso. Il Consent Mode parte con tutti i consensi negati, e il container di Google Tag Manager non viene proprio iniettato nella pagina finché non dai il consenso analytics: non è "caricato ma silenziato", è assente. Se non acconsenti, nessuno script di terze parti viene scaricato.

Disiscrizione one-click nelle campagne. Ogni campagna inviata tramite Tratto porta l'header List-Unsubscribe one-click conforme a RFC 8058, oltre al link nel footer. Le email dei flow e le transazionali legate a un contatto ricevono il link alla pagina preferenze, non l'header: l'one-click a livello di header, oggi, è sulle campagne.

Sospensione contatti. Disiscrivi un contatto e smette immediatamente di ricevere email: lo stato è tracciato esplicitamente, non è una retention policy nascosta.

Il problema con "regione EU"

Molti servizi permettono di scegliere la regione di invio. Vale la pena leggere che cosa copre davvero quella scelta.

Resend, per esempio, consente di inviare dall'Irlanda (eu-west-1), ma la sua documentazione sulle region è esplicita:

All account data, including email metadata, logs, and API records, is stored in the United States regardless of the sending region you select.

Cioè: la regione sposta il punto da cui la mail parte, non il luogo in cui i dati restano. Destinatari, oggetti, log di consegna e record API continuano a essere conservati negli Stati Uniti.

È conforme alla lettera della legge. Ma se ti serve che tutto il trattamento resti in UE, "invio dall'Irlanda" non è la stessa cosa. Il confronto completo, con le fonti, è in Tratto vs Resend.

I trasferimenti verso paesi terzi sono materia del Capo V del GDPR (artt. 44-49): fuori dallo SEE servono garanzie adeguate, e qualcuno deve dimostrarle. L'Articolo 32, che viene spesso citato a sproposito in questo contesto, riguarda un'altra cosa — la sicurezza del trattamento. Il modo più semplice di non dover dimostrare garanzie per un trasferimento resta non farlo.

Come l'abbiamo implementato

Storage: Google Cloud EU, cifrato at-rest con la cifratura gestita da Google. Per essere precisi: sono le chiavi di Google, non nostre — non usiamo CMEK.

Processing: Tutti i worker, le queue e lo storage restano in EU. Zero dati esportati per analitiche.

Invio email: AWS SES, regione EU (eu-west-1, Irlanda). Anche il livello di delivery resta in giurisdizione UE, non solo lo storage.

Analytics del sito: Google Tag Manager, dietro il gate di consenso descritto sopra. Non è GA4 cablato direttamente, ed è l'unico punto in cui questo sito parla con Google.

Tracking pixel nelle email: cosa richiede il Garante

Il Provvedimento del Garante Privacy n. 284 del 17 aprile 2026 (doc. web n. 10241943) chiarisce gli obblighi per chi usa tracking pixel nelle email. Riguarda direttamente chi invia campagne o flussi tramite Tratto. Tre obblighi:

1. Informativa chiara e trasparente. Il destinatario deve sapere che apertura e click sull'email vengono tracciati.
2. Consenso libero e specifico. Non basta il consenso generico all'iscrizione alla newsletter: il tracciamento richiede un consenso proprio.
3. Diritto di revoca granulare. L'utente deve poter revocare il consenso al tracciamento in modo agevole.

Cosa fa Tratto tecnicamente. Il pixel di apertura (GIF trasparente 1×1) e il tracciamento click si attivano solo su email legate a un contatto noto (campagne, flussi), mai sulle transazionali pure come un reset password: lì non c'è uno scopo di engagement che lo giustifichi. L'evento di apertura non porta con sé l'indirizzo del destinatario, solo un identificativo interno risolto lato server.

Chi deve fare cosa. L'informativa e il consenso specifico verso i tuoi destinatari restano responsabilità tua: sei tu il titolare del trattamento per le tue campagne, Tratto è responsabile del trattamento (vedi la documentazione privacy per la distinzione completa).

Sul terzo obbligo, la revoca granulare, l'infrastruttura fa la sua parte. Oltre alla disiscrizione completa dalla lista, il destinatario ha un opt-out separato dal solo tracciamento: dalla pagina preferenze linkata nelle sue email può dire "continua a scrivermi, ma smetti di tracciarmi". La scelta viene applicata al momento dell'invio e spegne insieme il pixel di apertura e la riscrittura dei link, non solo il pixel.

E la revoca è a senso unico: una volta che il destinatario ha revocato, il mittente non può riattivargli il tracciamento via API — il tentativo riceve un 403. Solo il destinatario può tornare indietro, dalla stessa pagina da cui aveva revocato. Se il tuo workflow di compliance ha bisogno di altro, scrivici a [email protected].

Perché questo importa

Se lavori con clienti europei, specialmente nel fintech o nell'healthcare, la sovranità dei dati è una richiesta, non un nice-to-have.

Con Tratto:

• ✅ Puoi firmare contratti con clausole "dati restano in EU"
• ✅ Zero esportazioni verso gli US dei dati di prodotto: contatti, email, log di consegna, record API
• ✅ Un audit di compliance è consultare un log, non gestire un'emergenza
• ✅ Puoi dormire sapendo che i dati dei tuoi utenti restano in Europa

Una precisazione onesta sul secondo punto: riguarda i dati di prodotto. Questo sito di marketing, se acconsenti, carica Google Tag Manager come qualunque altro sito — il gate di consenso decide se succede, ma è giusto dirlo invece di far finta che non esista.

---

GDPR non è una barriera. È un design constraint che rende i servizi migliori. In Tratto, l'abbiamo costruito nel DNA, non aggiunto dopo.

Vuoi vedere l'architettura completa? Approfondisci nella documentazione privacy, o leggi cosa copre l'API email con i dati in UE.