Loom e GDPR: cosa devono controllare le agenzie europee

Loom si può usare nel rispetto del GDPR, ma alcuni documenti e impostazioni li devi controllare tu. Atlassian, proprietaria di Loom, applica in automatico il suo Data Processing Addendum (DPA) e da maggio 2026 offre la residenza dei dati nell’UE per i nuovi workspace, ma una parte dei trattamenti (trascrizione, funzioni di AI, dati dell’account) coinvolge fornitori e luoghi fuori dalla regione che hai scelto. Ogni dettaglio qui sotto viene dalle pagine di Atlassian, verificate a novembre 2026.

Facciamo un registratore dello schermo concorrente di Loom, quindi ci siamo limitati a quello che pubblica Atlassian, con i link. Dove Loom è la scelta migliore, lo diciamo.

La risposta breve

Domanda	Cosa dice Atlassian	Dove
C’è un DPA?	✓ Si applica in automatico con l’Atlassian Customer Agreement	DPA di Atlassian
Ruolo di Atlassian	Responsabile (o sub-responsabile) del trattamento dei tuoi dati	DPA, sezione 1.1
Residenza dei dati nell’UE?	~ Germania (Francoforte) da maggio 2026, solo nuovi workspace	Residenza dei dati di Loom
Si può cambiare regione dopo?	✗ Serve un nuovo workspace; i video non si spostano	Residenza dei dati di Loom
Trasferimenti fuori dall’UE	Clausole contrattuali tipo dell’UE ed EU-U.S. Data Privacy Framework	DPA
Sub-responsabili	✓ Elenco pubblico, con 30 giorni di preavviso agli iscritti per i nuovi	Pagina dei sub-responsabili, DPA sezione 4
Regole di conservazione	~ Solo Enterprise e Business + AI, nei workspace gestiti da Atlassian	Conservazione dei dati di Loom

Dalle pagine di Atlassian, verificate a novembre 2026. Loom è un marchio di Atlassian.

Chi risponde di cosa

Il DPA di Atlassian fissa i ruoli: il cliente è titolare del trattamento dei propri dati (o responsabile che agisce per un altro titolare), e Atlassian è responsabile o sub-responsabile del trattamento. L’informativa sulla privacy di Atlassian dice la stessa cosa dall’altro lato: copre ciò che Atlassian fa come titolare, come i dati dell’account, e non si applica quando Atlassian tratta dati per conto dei clienti.

Per un’agenzia questo significa due livelli. La tua agenzia risponde dei video che registri, e se contengono dati del tuo cliente potresti agire per conto suo. Loom, tramite Atlassian, tratta i video per te. Spieghiamo i ruoli di titolare e responsabile in parole semplici in GDPR e video per i clienti.

Dove Loom salva i tuoi dati

Di default Atlassian non garantisce un luogo di hosting preciso: la sua pagina sul GDPR dice che l’hosting viene scelto per ridurre la latenza e migliorare le prestazioni. L’elenco dei sub-responsabili indica come fornitore principale di hosting Amazon Web Services, con sedi nel SEE (Svezia, Irlanda e Germania), nel Regno Unito, in Svizzera, negli Stati Uniti e in diversi altri paesi.

Per vincolare i dati a una regione ti serve la residenza dei dati. Per Loom, la pagina di supporto di Atlassian dice:

• Regioni: Germania (Francoforte) e Stati Uniti (Oregon), attivate a maggio 2026.
• Cosa copre: video, commenti, trascrizioni, contenuti generati dall’AI come riepiloghi e documenti, impostazioni del workspace, file di lavorazione e funzioni di collaborazione vengono salvati e trattati nella regione scelta.
• Trattato a livello globale: autenticazione degli utenti, dati di sessione, impostazioni e preferenze degli utenti, appartenenza all’organizzazione, log di audit (che contengono solo ID) e funzioni trasversali ai workspace come notifiche, cronologia e “guarda più tardi”. Atlassian dice di non esportare né trattare fuori dalla regione i contenuti grezzi dei clienti durante il normale funzionamento.
• Chi può averla: i nuovi workspace Loom autonomi, i nuovi clienti della Teamwork Collection e i clienti Jira o Confluence esistenti che aggiungono un nuovo workspace Loom. Le installazioni Loom esistenti sono indicate come “future release” e i clienti Loom Legacy come “post-migration”.
• Limiti: la regione si sceglie quando si crea il workspace e non si può cambiare. I contenuti non si possono trasferire tra il workspace europeo e quello statunitense.

Sui piani: la pagina generale di Atlassian sulla residenza dei dati elenca Loom tra i prodotti con piani Standard, Premium ed Enterprise, mentre la pagina dei prezzi di Loom usa nomi diversi (Starter, Business, Business + AI, Enterprise) e non parla di residenza dei dati. Se la residenza nell’UE è un requisito, chiedi al commerciale di Atlassian quale piano Loom ti serve prima di comprare.

Il DPA

Il DPA di Atlassian (in vigore dal 17 agosto 2026) è l’accordo sul trattamento dei dati che copre il modo in cui Loom tratta i tuoi dati. I punti da sapere:

• Nessuna firma a parte. Le FAQ di Atlassian dicono che il DPA si applica in automatico quando la tua organizzazione accetta l’Atlassian Customer Agreement. Atlassian dice anche di non poter lavorare sul modello di DPA della tua organizzazione.
• Trasferimenti. Per i dati che lasciano l’Europa verso un paese senza decisione di adeguatezza, le clausole contrattuali tipo dell’UE sono incorporate per riferimento, ed entrambe le parti si considerano firmatarie. Atlassian aderisce anche all’EU-U.S. Data Privacy Framework. Se vuoi tenerne una agli atti, è disponibile una copia già firmata delle clausole.
• Sub-responsabili. Atlassian dà almeno 30 giorni di preavviso ai clienti iscritti prima che un nuovo sub-responsabile inizi a trattare i tuoi dati, e in quel periodo puoi opporti.
• Cancellazione. Alla fine del contratto Atlassian deve cancellare i tuoi dati personali, ma può conservarli quando la legge lo richiede o in base alle sue politiche standard di backup e conservazione dei documenti, continuando a proteggerli secondo il DPA.

Atlassian pubblica anche materiale per aiutare i clienti nelle valutazioni d’impatto sui trasferimenti, collegato dalla pagina del DPA.

I sub-responsabili che toccano Loom

L’elenco dei sub-responsabili di Atlassian (in vigore dal 15 maggio 2026) indica i fornitori per ogni prodotto. Per Loom include, tra gli altri:

Fornitore	Cosa fa per Loom	Sede indicata
Amazon Web Services	Hosting cloud	SEE, Regno Unito, Svizzera, USA e altri
Speechmatics (Cantab Research Ltd)	Trascrizione	USA
OpenAI	AI generativa per le funzioni di Loom AI	USA
Twilio Segment	Analisi dei dati	USA
Zendesk, PartnerHero	Assistenza clienti	USA; Filippine, Romania, Sudafrica

Pagina dei sub-responsabili di Atlassian, in vigore dal 15 maggio 2026, verificata a novembre 2026. Loom è un marchio di Atlassian.

L’elenco cambia nel tempo: controlla la pagina aggiornata invece di questa tabella, e iscriviti alle notifiche se lavori con Loom.

Funzioni di AI e trascrizione

È qui che nascono quasi tutte le domande, perché le trascrizioni contengono tutto quello che hai detto nel video.

La pagina di Atlassian su Loom AI dice:

• La trascrizione usa i modelli GPT di OpenAI e Gemini di Google, Whisper open source ospitato da Atlassian e il fornitore di trascrizione Speechmatics. La pagina non dice quale gestisce un determinato video.
• OpenAI riceve il testo della trascrizione per generare titoli, riepiloghi, capitoli e documenti. Non riceve video né audio, e non riceve dati di trascrizione quando Loom AI non viene usato.
• Google Gemini riceve video e audio per generare gli Action Plans for AI Agents.
• Conservazione e addestramento: secondo Atlassian, né OpenAI né altri fornitori di LLM conservano i tuoi input e output, e non li usano per migliorare i propri servizi.
• Controlli: gli amministratori dei workspace Business + AI ed Enterprise possono attivare o disattivare le impostazioni AI per tutti; gli utenti possono anche impostare i propri default o disattivare le funzioni per un singolo video.

Le trascrizioni sono disponibili in tutti i piani Loom, compreso Starter, quello gratuito. Due cose da far quadrare quando fai la tua valutazione: la pagina sulla residenza dei dati dice che trascrizioni e contenuti AI vengono salvati e trattati nella tua regione, mentre l’elenco dei sub-responsabili indica Speechmatics e OpenAI con sede negli USA. Chiedi ad Atlassian come funziona per un workspace con residenza nell’UE, e fatti dare la risposta per iscritto. Se la tua preoccupazione principale è dove finisce la tua voce, confrontiamo i due approcci in trascrizione offline o nel cloud.

Conservazione e cancellazione

Il GDPR chiede di non conservare i dati personali più a lungo del necessario. In Loom la cancellazione automatica è una regola di conservazione dei dati, e la pagina di Atlassian dice:

• Le regole di conservazione sono disponibili nei piani Enterprise e Business + AI, e solo per i workspace gestiti da Atlassian (non per quelli ancora sulla vecchia console di amministrazione di Loom).
• Gli amministratori possono tenere i video per sempre o impostare un periodo in giorni o anni, per l’intero workspace o per singolo spazio.
• Il periodo parte dalla data di creazione del video.
• La cancellazione riguarda registrazioni, trascrizioni, riepiloghi AI e commenti, ed è definitiva. Ogni giorno vengono cancellati fino a 2.000 video per workspace.

Nei piani Starter e Business, quindi, i video restano finché qualcuno non li cancella. È il modello dell’archivio permanente di cui parliamo in perché i link video con scadenza sono più sicuri.

Le domande da fare a qualsiasi strumento video

Gli stessi controlli valgono per Loom, per JustRec e per qualsiasi altro strumento che la tua agenzia usa per mandare video ai clienti. Ogni risposta sta in un documento che il fornitore dovrebbe pubblicare.

Domanda	Perché conta	Dove guardare
Esiste un DPA per questo prodotto? Devo firmarlo?	L’articolo 28 del GDPR richiede un contratto con ogni responsabile del trattamento	DPA o pagina legale
Il fornitore è responsabile del trattamento per i miei video? Cosa fa come titolare?	Stabilisce chi risponde di cosa	DPA (ruoli), informativa privacy
Dove vengono salvati video, trascrizioni e commenti? Posso scegliere l’UE?	L’hosting nell’UE evita un trasferimento per quel passaggio	Documentazione su residenza dei dati o sicurezza
Cosa viene trattato fuori da quella regione, e da chi?	Trascrizione e AI sono spesso il punto in cui i dati escono	Elenco dei sub-responsabili
Vengo avvisato prima che un nuovo sub-responsabile inizi?	Potresti volerti opporre, o avvisare i tuoi clienti	Elenco dei sub-responsabili, DPA
Quale meccanismo copre i dati che lasciano l’UE?	Va nel tuo registro dei trattamenti	DPA (trasferimenti)
La mia voce va a un fornitore di trascrizione o di AI? Posso disattivarlo?	Una trascrizione contiene tutto quello che hai detto	Documentazione su AI o trascrizione
I miei contenuti servono ad addestrare modelli, del fornitore o dei suoi partner?	I dati del tuo cliente potrebbero finire nei dati di addestramento di qualcuno	Documentazione AI, termini di servizio
Per quanto tempo restano i video condivisi? Si possono cancellare in automatico?	I dati personali non vanno conservati più a lungo del necessario	Documentazione sulla conservazione, confronto dei piani
Cosa succede ai miei dati se disdico?	Cancellazione o restituzione alla fine fanno parte del contratto con il responsabile	DPA (cancellazione)
La pagina del video usa cookie o traccia chi guarda?	La persona tracciata è il tuo cliente	Cookie policy, la pagina del video stessa

Scrivi le risposte: vanno nel tuo registro delle attività di trattamento, e i tuoi clienti potrebbero chiedertele.

Quando Loom è la scelta migliore, e quando no

Loom fa molte cose che un registratore piccolo non fa: una libreria video per il team, commenti, integrazioni con Jira, Confluence e Slack, riepiloghi e documenti generati con l’AI, controlli per gli amministratori e un contratto enterprise con DPA ed elenco dei sub-responsabili pubblicati. Se la tua agenzia vive dentro gli strumenti Atlassian, sono vantaggi reali.

Va meno bene se vuoi che i video restino online solo per il tempo che serve al cliente, se preferisci che la tua voce non venga trascritta da terzi, o se hai un workspace esistente che non può passare alla residenza nell’UE. Il nostro confronto tra JustRec e Loom li mette fianco a fianco, e la pagina sull’alternativa a Loom per Mac spiega cosa abbiamo costruito in modo diverso.