Sovranita' extra-UE

SOV-EXTRA copre i casi in cui parte del sistema, o l'intero workload, risiede su piattaforme fuori dall'Unione Europea. Tipicamente si tratta di servizi managed di hyperscaler statunitensi (AWS us-east, GCP us-central, Azure US) o modelli AI proprietari (OpenAI, Anthropic, Google) il cui endpoint risiede fuori UE.

Quando ricorriamo a SOV-EXTRA, il trasferimento internazionale di dati personali e' governato da Standard Contractual Clauses approvate dalla Commissione UE, integrate da un Transfer Impact Assessment che valuta i rischi specifici del paese di destinazione. Per i trasferimenti verso gli USA, post-Schrems II le SCC da sole spesso non sono sufficienti a causa di CLOUD Act e FISA 702: per questo affianchiamo supplementary measures tecniche concrete — tipicamente crittografia at-rest e in-transit con chiavi gestite dal cliente (BYOK/HYOK), tokenizzazione dei campi sensibili, pseudonimizzazione e minimizzazione del payload trasferito.

Il cliente riceve documentazione esplicita su cosa e' trasferito, dove, perche', e quali misure tecniche supplementari sono state applicate. E' una scelta consapevole: la usiamo quando una feature non e' replicabile in UE (es. modelli AI di frontiera) o quando il committente accetta il trade-off in cambio di capacita' tecniche specifiche. Non e' mai la scelta di default.