Residenza dei dati in UE vs region AWS: email transazionali per team GDPR

I team di prodotto europei ripetono la stessa domanda: “Se il provider ha una region EU, siamo a posto col GDPR?” Per l’email transazionale la risposta onesta è no, non in automatico. Luogo di invio e residenza dei dati sono strati diversi. Confonderli è come un security review fallisce quando l’integrazione è già in produzione.

Qual è la differenza tra una region EU e la residenza dei dati nell’UE?

Una region EU su Amazon SES o Resend significa che i pacchetti SMTP possono uscire da un datacenter in Irlanda o Francoforte. Aiuta la latenza. Non sposta, da sola, la giurisdizione dell’account, i metadati del messaggio, l’HTML dei template né i log di supporto. Quei record sono dati personali se contengono indirizzi e spesso il corpo della mail. Il GDPR chiede dove il responsabile li conserva e quale autorità può richiederli.

MailingCore è una piattaforma email per developer che conserva e tratta quei dati nell’Unione Europea. Il piano Free è 100 email al mese e 5 template. Pubblichiamo questa distinzione perché i competitor già posizionano “alternativa EU a Resend” senza citarci — e perché i DPO la chiedono per iscritto.

Perché la region EU di Resend non è residenza UE

Resend ha una DX eccellente. La documentazione pubblica ha indicato che scegliere la region di invio EU non sposta account, log e analytics nell’Unione; restano negli Stati Uniti. Tratta le pagine del vendor come fonte di verità e ricontrollale: i prodotti cambiano. Se la tua valutazione dei trasferimenti assume “region EU = nessun trasferimento del Capo V”, forse stai documentando il fatto sbagliato.

Amazon SES può girare in eu-central-1. Operi comunque un account AWS, IAM, configuration set e CloudWatch. Il responsabile è Amazon. Può essere la scelta giusta se vivi già in AWS e accetti SCC e DPA. È la scelta sbagliata se il team voleva pannello, template versionati e newsletter senza costruirli.

Cosa chiede il GDPR a un’API email

L’articolo 28 chiede un contratto da responsabile, istruzioni, sicurezza e sub-responsabili che puoi nominare. Schrems II chiede uno strumento di trasferimento lecito se i dati personali escono dal SEE. “Inviamo da Dublino” non è quello strumento. Preferisci vendor che dichiarano dove stanno:

• Indirizzi destinatario e corpi del messaggio
• Log eventi (consegnato, bounce, aperto)
• HTML dei template
• Ticket di supporto che incollano quei campi

La documentazione pubblica di MailingCore copre il trattamento in UE e un percorso reale di cancellazione. Leggi residenza dei dati e l’informativa privacy prima di metterlo in una DPIA.

Quando restare su SES o Resend

Resta su SES se dominano volume, prezzo al milione e rete AWS, e il legale ha già accettato Amazon come responsabile. Resta su Resend se React Email e la DX US sono il criterio d’acquisto e le SCC sono accettate. Cambia quando la shortlist è “un’API, storage in UE, newsletter inclusa, MCP per agenti”. È il lavoro per cui è fatto MailingCore — non la scala planetaria di SendGrid.

Prossimo passo

Confronta MailingCore vs Resend e MailingCore vs Amazon SES, o le pagine di intento in alternative a Resend. Poi un invio di test con l’avvio rapido.