Zoom e GDPR: cosa verificare prima di utilizzarlo

Zoom archivia per impostazione predefinita negli Stati Uniti le registrazioni cloud, le trascrizioni e i messaggi delle riunioni. Un account a pagamento può scegliere un'altra regione di archiviazione, tra cui Germania o Svizzera, e selezionare i data center che elaborano il flusso delle riunioni in diretta. I dati dell'account e operativi restano negli Stati Uniti. Nella sua informativa sulla privacy, Zoom si impegna a non addestrare i propri modelli di AI sui vostri contenuti e presenta un portafoglio di certificazioni che comprende ISO 27001, ISO 27701 e SOC 2 Type 2. Zoom è un fornitore soggetto al diritto statunitense. Questa pagina è pubblicata da Leexi, il cui strumento AI per prendere appunti si utilizza su Zoom, e riporta esclusivamente ciò che documentano le pagine ufficiali di Zoom.

Dove Zoom ospita ed elabora i vostri dati

Negli Stati Uniti per impostazione predefinita. In Europa tramite configurazione, per una parte dei dati, con un account a pagamento.

La pagina GDPR di Zoom lo afferma chiaramente.

Zoom, pagina «GDPR», datata 8 agosto 2024 « Customer Content, Account Data, and Diagnostic Data are still stored in the U.S. »

Zoom propone due impostazioni distinte, ed è questo il punto che le pagine dedicate al mercato spesso confondono.

La prima riguarda l'archiviazione. Secondo la pagina «Managing Data & Storage location», «all paid customers (including Pro)» possono scegliere la posizione di archiviazione di alcuni dati: registrazioni cloud, trascrizioni, messaggi e file scambiati durante la riunione, lavagne e dati di Zoom Phone e Zoom Contact Center. Le regioni disponibili sono Australia, Brasile, Canada, Germania, Giappone, Singapore, Messico, Svizzera e Stati Uniti. I dati non coperti da questa impostazione restano nella regione in cui è stato configurato l'account. I dati dell'account e operativi restano negli Stati Uniti.

La seconda riguarda l'elaborazione del flusso in diretta. La pagina «Selecting data center for meetings, webinars, whiteboards, notes and docs» consente di scegliere i data center che elaborano «participants' real-time meeting and webinar video, audio, whiteboard, notes, docs». Il documento aggiunge una precisazione.

Zoom, «Selecting data center for meetings, webinars, whiteboards, notes and docs» «Zoom may route through traffic between data centers using industry standard network routing protocols while traversing Zoom private network connections (i.e., edge-routing).»

Cosa significa per voi: due domande da porre all'amministratore Zoom. Quale regione di archiviazione è configurata per le registrazioni cloud? Quali data center sono attivati per l'elaborazione in diretta? Un account gratuito non consente di accedere a nessuna delle due impostazioni.

Cosa fa Zoom delle vostre conversazioni

Zoom si impegna a non addestrare i propri modelli di AI, né quelli di terze parti, sui vostri contenuti.

L'impegno figura nell'informativa sulla privacy, non solo in un blog.

Zoom, informativa sulla privacy, aggiornata il 27 luglio 2026 «Zoom does not use any of your audio, video, chat, screen sharing, attachments or other communications-like Customer Content… to train Zoom's or its third-party artificial intelligence models.»

Per quanto riguarda il ruolo di Zoom, la pagina GDPR indica che Zoom agisce in qualità di responsabile del trattamento per i propri clienti e integra il proprio accordo sul trattamento dei dati nelle condizioni generali per tutti i clienti. È quanto prevede il GDPR.

GDPR, articolo 28, paragrafo 3, lettera a) «tratta i dati personali soltanto su istruzione documentata del titolare del trattamento»

Per quanto riguarda i trasferimenti, la stessa pagina indica che Zoom ha adottato le clausole contrattuali tipo del 2021 per i trasferimenti al di fuori dello Spazio economico europeo e che è registrato come partecipante attivo al Data Privacy Framework UE-USA. L'informativa sulla privacy lo conferma: Zoom tratta i dati personali a livello globale, anche negli Stati Uniti.

Cosa significa per voi: l'impegno a non utilizzare i contenuti per l'addestramento è scritto nel documento contrattuale. Ciò che non specifica è il periodo di conservazione predefinito delle vostre registrazioni cloud, che dipende dalle vostre impostazioni e dallo standard di conservazione di Zoom, da verificare nel vostro account.

Le certificazioni di Zoom

Il portafoglio è ampio e pubblico.

La pagina «Legal & compliance» del Trust Center di Zoom indica, per l'offerta commerciale: ISO 27001, ISO 27017 e 27018, ISO 27701, SOC 2 Type 2, SOC 2 + HITRUST, CSA STAR livello 2, BSI C5, ENS, UK Cyber Essentials Plus e HDS, la certificazione francese per l'hosting dei dati sanitari. Si aggiungono certificazioni governative statunitensi (FedRAMP Moderate, DoD IL4).

Va riconosciuto: pochi fornitori di videoconferenze mostrano contemporaneamente C5 tedesco, ENS spagnolo e HDS francese. Ciò che la pagina non indica sono gli ambiti e le date di ciascun certificato, da richiedere insieme al rapporto SOC 2.

La giurisdizione del fornitore

Zoom è un fornitore soggetto al diritto statunitense e i dati dei suoi account restano negli Stati Uniti.

18 U.S. Code § 2713, aggiunto dalla legge Pub. L. 115-141 del 23 marzo 2018 «A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.»

Cosa significa per voi: scegliere la Germania come regione di archiviazione risponde alla domanda «dove». La domanda «quale diritto» resta legata alla sede del fornitore, e Zoom lo scrive chiaramente indicando che i dati dell'account restano negli Stati Uniti. Il punto è stato espresso una volta.

Cosa cambia per un team europeo

Su Zoom, Leexi costituisce un ambito separato, distinto da quello di Zoom: il bot partecipa alla riunione, l'audio viene trascritto e riassunto sull'infrastruttura di Leexi (regione AWS di Parigi, modello linguistico eseguito tramite Azure France in circuito chiuso, nessun addestramento sulle vostre riunioni), con un DPA pubblico e dieci subfornitori nominati. La pagina di integrazione Zoom descrive come collegare Leexi a Zoom. Il dossier di conformità e il glossario forniscono definizioni e documenti.

Domande frequenti

Dove vengono archiviate le mie registrazioni cloud di Zoom?

Negli Stati Uniti per impostazione predefinita. Un account a pagamento, incluso Pro, può scegliere un'altra regione per le registrazioni cloud, le trascrizioni e i messaggi delle riunioni: Australia, Brasile, Canada, Germania, Giappone, Singapore, Messico, Svizzera o Stati Uniti. I dati dell'account e operativi restano negli Stati Uniti.

Scegliere un data center europeo è sufficiente per mantenere le mie riunioni in Europa?

No, non da solo. La scelta dei data center riguarda l'elaborazione del flusso in diretta e Zoom indica che il traffico può transitare attraverso altri data center della propria rete privata. L'archiviazione delle registrazioni dipende da una seconda impostazione. Servono entrambe e, in ogni caso, i dati dell'account restano negli Stati Uniti.

Zoom utilizza le mie riunioni per addestrare la propria AI?

No. L'informativa sulla privacy del 27 luglio 2026 esclude audio, video, chat, condivisione dello schermo e allegati dall'addestramento dei modelli di Zoom e di quelli di terze parti. L'impegno figura nel documento contrattuale.

I partecipanti devono acconsentire alla registrazione?

Zoom lo richiede. All'avvio della registrazione, oppure quando entrano in una riunione già registrata, i partecipanti visualizzano una richiesta di consenso e scelgono se continuare o uscire. L'amministratore può limitare la richiesta ai partecipanti esterni o personalizzarne il testo. Questa richiesta non sostituisce l'informativa che il GDPR vi impone di fornire sulle finalità e sulla conservazione.

Zoom è certificato HDS?

La pagina «Legal & compliance» di Zoom include HDS, la certificazione francese per l'hosting dei dati sanitari, tra le certificazioni commerciali. L'ambito esatto del certificato, i servizi e le regioni coperti devono essere richiesti a Zoom prima di qualsiasi utilizzo su dati sanitari.

Zoom è sufficiente per un requisito di sovranità rigoroso?

No. Zoom è un fornitore soggetto al diritto statunitense, sottoposto al 18 U.S. Code § 2713 indipendentemente dal luogo di archiviazione, e i dati dei suoi account restano negli Stati Uniti. Le impostazioni regionali localizzano una parte dei dati, ma non modificano la giurisdizione del fornitore.

Fonti

Dati verificati il 2 settembre 2026 sulle pagine ufficiali di Zoom.

• Zoom, «Managing Data & Storage location», centro assistenza
• Zoom, «Selecting data center for meetings, webinars, whiteboards, notes and docs», centro assistenza
• Zoom, «Providing consent to be recorded», centro assistenza
• Zoom, pagina «GDPR», datata 8 agosto 2024
• Zoom, informativa sulla privacy, aggiornata il 27 luglio 2026
• Zoom, Trust Center, pagina «Legal & compliance»
• GDPR, articoli 5 e 28, testo pubblicato dalla CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Questa pagina descrive il quadro applicabile. Non costituisce un parere legale.

Prova Leexi gratis