Glossario · Infrastruttura cloud CPaaS (Communications Platform as a Service)
Piattaforma cloud che fornisce API per sviluppatori per SMS, chiamate vocali, codici di verifica, e-mail, video e messaggistica (WhatsApp Business, RCS). I provider CPaaS custodiscono dati sensibili di comunicazione dei clienti — numeri di telefono, contenuto dei messaggi, codici di verifica — rendendo la giurisdizione del fornitore strutturalmente importante.
## Cosa copre il CPaaS
Communications Platform as a Service (CPaaS) è il livello API che si trova tra un'applicazione e l'infrastruttura di telecomunicazioni. Uno sviluppatore chiama un endpoint REST o un metodo SDK; il provider CPaaS instrada l'SMS, la chiamata vocale, il codice di verifica, l'e-mail, il messaggio WhatsApp o il messaggio RCS risultante attraverso operatori mobili, carrier e piattaforme di messaggistica.
La categoria si è consolidata attorno a pochi grandi vendor — **Twilio** (USA, Nasdaq), **Sinch** (Svezia, Nasdaq Stockholm), **Infobip** (Croazia), **Vonage** (USA, di proprietà di Ericsson SE), **Bird / precedentemente MessageBird** (Paesi Bassi, di proprietà di private equity statunitense) e **Amazon Connect / AWS End User Messaging** (USA) — con un ecosistema più ampio di operatori specializzati.
## Perché il CPaaS è una questione di sovranità
I provider CPaaS detengono quella che è probabilmente la categoria di dati di comunicazione di routine più sensibile:
- Numeri di telefono di ogni cliente che riceve codici di verifica, ricevute, notifiche
- Contenuto dei messaggi (SMS/WhatsApp) che veicolano conferme d'ordine, promemoria di appuntamenti sanitari, codici di verifica KYC, password una tantum bancarie
- Metadati: chi ha ricevuto cosa, quando, da quale ID mittente, con quale stato di consegna
- Per l'e-mail: corpi dei messaggi, pixel di tracciamento, telemetria di engagement
- Per la voce: metadati delle chiamate e, sempre più, trascrizioni quando le funzionalità di IA conversazionale sono abilitate
Ai sensi del diritto UE, si tratta di dati personali secondo il GDPR e — per i messaggi stessi — ulteriormente protetti dal Regolamento ePrivacy. Ai sensi del diritto statunitense, un provider CPaaS costituito negli USA è soggetto al CLOUD Act, alla Sezione 702 di FISA e alle National Security Letters.
## La questione della giurisdizione in pratica
Un'azienda europea che utilizza Twilio per OTP via SMS e Twilio SendGrid per e-mail transazionali sta instradando un flusso di telemetria genuinamente sensibile attraverso Twilio Inc., una corporation del Delaware. Le autorità statunitensi possono obbligare Twilio a divulgare i dati che detiene, inclusi i dati appartenenti a clienti europei ospitati nelle regioni UE di Twilio.
Strutturalmente, solo un provider CPaaS senza capogruppo statunitense rimuove tale esposizione. In termini pratici per il 2026, le opzioni europee credibili sono:
- **Sinch** — Stoccolma, Svezia. Quotata al Nasdaq Stockholm (SINCH). Oltre 4000 dipendenti. Include Mailgun e Mailjet (e-mail) all'interno dello stesso gruppo. Strutturalmente il sostituto diretto più vicino a Twilio.
- **Infobip** — Vodnjan, Croazia. Privata, controllata dall'UE. Copertura di operatore globale comparabile. Forte nella messaggistica enterprise.
Entrambi operano con residenza dei dati UE per impostazione predefinita; entrambi sono strutturalmente di giurisdizione UE a livello di capogruppo.
## Cosa esclude il CPaaS
Il CPaaS si distingue da:
- **Contact-centre-as-a-service (CCaaS)** — piattaforme per agenti incentrate sulla voce (Genesys, Talkdesk). Il CPaaS fornisce le API; il CCaaS fornisce l'UX per gli agenti.
- **Riunioni / videoconferenze** — Zoom, Google Meet, Teams. Sono prodotti meeting-first, non API per sviluppatori.
- **Piattaforme di email marketing** — Mailchimp, GetResponse, Brevo. Gestiscono newsletter di massa; il CPaaS gestisce messaggi transazionali per utente.
Il confine si sfuma quando i provider CPaaS acquisiscono capacità adiacenti — Sinch ha acquisito Mailgun e Mailjet, Twilio ha acquisito SendGrid — ma l'inquadramento developer-API-first rimane l'ancora della categoria CPaaS.
## Pressione regolatoria nel 2026
Tre tendenze regolatorie rendono la sovranità CPaaS più concreta:
1. **PSD3 e la revisione della Direttiva sui Servizi di Pagamento** — i flussi SCA (Strong Customer Authentication) consegnati via OTP SMS o autenticazione di rete silenziosa collocano i provider di messaggistica direttamente nel flusso regolamentato dei pagamenti.
2. **Le entità essenziali NIS2** ora pongono domande dirette sulla giurisdizione dei vendor critici di comunicazioni con i clienti.
3. **Catene di trattamento AI Act** — man mano che voce, SMS ed e-mail vengono elaborati sempre più da livelli di IA conversazionale, gli obblighi dell'AI Act sul trattamento ad alto rischio si propagano al livello CPaaS.
Per le organizzazioni europee che rivedono il proprio stack di vendor sotto uno di questi regimi, il CPaaS non è un'utility di sfondo — è una categoria che merita uno scrutinio esplicito di sovranità.
Ti è stato utile?
Grazie per il tuo feedback!