Uno URL shortener conforme al GDPR fa quattro cose: firma un accordo sul trattamento dei dati che copre l'articolo 28(3), archivia solo i dati di click che servono allo scopo, può cancellarli su richiesta e non attiva pixel di terze parti durante il redirect. Tutto il resto su una pagina dei prezzi ("conforme al GDPR", un badge) è marketing finché non vedi questi quattro punti per iscritto.
Un click crea una riga di log: indirizzo IP, timestamp, user agent, di solito un referrer. Ai sensi dell'articolo 4(1) può trattarsi di un dato personale, e la Corte di giustizia dell'UE lo ha affermato per gli IP dinamici in Breyer (C-582/14). Il tuo shortener conserva quel log, quindi è un responsabile del trattamento e tu sei il titolare. Questo articolo è la versione breve della revisione contrattuale: dieci verifiche, cosa pubblicano tre fornitori noti e dove Elido stesso è carente. Per il ragionamento giuridico articolo per articolo, leggi la guida pilastro su GDPR per gli URL shortener. Per dove gli altri tuoi strumenti di marketing archiviano i dati, vedi data residency UE per i tool di marketing; qui non lo ripeto.
Cosa chiede il GDPR a uno shortener di link
Quattro obblighi ricadono sul lato dello shortener, e ciascuno corrisponde a qualcosa che puoi richiedere.
Un contratto conforme all'articolo 28(3). L'articolo 28(3) richiede istruzioni documentate, riservatezza, sicurezza, controlli sui sub-responsabili, assistenza per le richieste degli interessati, assistenza per gli obblighi di violazione dei dati e DPIA, cancellazione o restituzione alla cessazione e diritti di audit. Nessun contratto del genere, nessun deployment nell'UE.
Una base giuridica per il livello di analytics. Il redirect è necessario per consegnare il link. Registrare il click per la reportistica è un'operazione distinta. La maggior parte dei team si affida al legittimo interesse (articolo 6(1)(f)) per i semplici conteggi. Quando il redirect carica un pixel pubblicitario, si entra nel territorio del consenso.
Minimizzazione. L'articolo 5(1)(c) ti limita a ciò che è necessario. Paese, classe del dispositivo, referrer e timestamp rispondono alla maggior parte delle domande sulle campagne. L'IP completo e una stringa user agent grezza di solito non si meritano il posto.
Un percorso lecito per i trasferimenti. Se i dati dei click lasciano il SEE, si applicano gli articoli 44 e 46: SCC con una valutazione del trasferimento, oppure una certificazione Data Privacy Framework, che resta contestata.
Cosa pubblicano Bitly, Rebrandly e TinyURL
Ho letto le pagine legali di ciascun fornitore il 2026-10-24 (consultate il 2026-10-24). Dove una pagina non si caricava o non diceva nulla, non faccio alcuna affermazione.
| Fornitore | Ubicazione dei dati | Meccanismo di trasferimento | DPA |
|---|---|---|---|
| Bitly | L'informativa sulla privacy dice che i dati "may be transferred outside the European Union and the European Economic Area, including, but not limited to, the United States" | SCC e una certificazione EU-U.S. DPF dichiarata | L'informativa sulla privacy non menziona un DPA; cita un accordo di contitolarità tra Bitly Inc. e Bitly Europe GmbH |
| Rebrandly | Allegato 1 del DPA: server AWS "located mainly in the United States"; sezione 6.3.1: strutture di trattamento primarie negli USA; nessuna regione UE indicata | SCC (Modulo Due, da titolare a responsabile); DPF non menzionato | Sì, il DPA fa parte del Subscription Agreement (i Terms of Use) |
| TinyURL | Le pagine delle policy non si sono caricate (è tornato solo il titolo della pagina) | Non indicato | Non indicato |
Fonti: informativa sulla privacy di Bitly, DPA di Rebrandly, termini di TinyURL e informativa sulla privacy.
Leggi la tabella per quello che è. Bitly e Rebrandly si affidano entrambi a strumenti di trasferimento riconosciuti e lo dicono apertamente; nessuno dei due pubblica un impegno di trattamento solo UE nelle pagine che ho controllato, anche se un contratto enterprise personalizzato potrebbe offrirlo. Per TinyURL non posso dirti nulla, perché le pagine recuperate non hanno restituito alcun testo di policy. Se per te conta, chiedi direttamente a TinyURL il DPA e l'elenco dei sub-responsabili e aspetta la risposta prima di acquistare. Il prezzo è una questione a parte e per questo articolo non ho verificato i prezzi dei piani di alcun fornitore.
Dieci verifiche prima di firmare
Poni ciascuna di queste al fornitore per iscritto. Ognuna mette alla prova un articolo specifico.
1. Dove sono archiviati i dati dei click e questo è un termine contrattuale?
Chiedi la regione, non il marchio del cloud. "AWS" non è una risposta. Poi chiedi se la regione è nel contratto o solo nella prassi attuale, che il fornitore può cambiare.
2. Il DPA copre tutto l'articolo 28(3)?
Leggilo confrontandolo con gli otto punti. Guarda con attenzione l'ingaggio dei sub-responsabili e i diritti di audit; un linguaggio vago sulla "sicurezza secondo gli standard di settore" al loro posto è un campanello d'allarme.
3. I sub-responsabili sono indicati con regioni e un periodo di preavviso?
Ogni sub-responsabile allunga la catena dei trasferimenti. Un elenco breve e aggiornato con le regioni si può rivedere in una seduta. Chiedi quanto preavviso ricevi per un nuovo sub-responsabile e se puoi opporti.
4. Cosa viene archiviato esattamente per ogni click?
Ottieni l'elenco dei campi. L'IP è archiviato per intero, troncato o sottoposto a hash? Viene conservata la geolocalizzazione a livello di città? La minimizzazione predefinita è il progetto giusto; la minimizzazione su richiesta lascia il rischio a te.
5. Il redirect carica script di terze parti?
L'iniezione di pixel al momento del redirect per i visitatori UE richiede prima il consenso. Apri la scheda Network, clicca un link di prova in un profilo browser pulito e guarda cosa si carica prima della destinazione.
6. Come funziona la cancellazione sui dati dei click?
L'articolo 17 dice "senza ingiustificato ritardo". Le righe dei click di rado riportano un nome, quindi chiedi come il fornitore trova e cancella le righe di una persona e quali sono i tempi.
7. Qual è la finestra di notifica delle violazioni?
Hai 72 ore per informare l'autorità di controllo da quando ne vieni a conoscenza. Il tuo responsabile del trattamento ha bisogno di un impegno più breve e numerico nel DPA. "Tempestivamente" non è un numero.
8. Il redirect imposta cookie o identificativi persistenti?
Un redirect che ricava paese e dispositivo dalle intestazioni della richiesta e non imposta nulla sul browser è facile da difendere. Uno che imposta un identificativo richiede una barriera di consenso. Controlla tu stesso le intestazioni della risposta.
9. I destinatari possono sapere del tracciamento?
La trasparenza dell'articolo 13 è soprattutto compito tuo come titolare: la tua informativa sulla privacy deve coprire la catena di tracciamento dei link. Una policy del fornitore scritta dal punto di vista del fornitore non lo farà al posto tuo.
10. Puoi esportare e cancellare senza un ticket?
Esporta gli eventi di click, elimina i link con la loro cronologia e chiudi l'account con una cancellazione documentata. Se una qualsiasi di queste operazioni richiede una richiesta al supporto, ottieni i tempi di risposta nel contratto.
I compromessi
I dati minimizzati ti costano un po' di analytics. Senza l'IP completo e lo user agent grezzo perdi la precisione a livello di città e l'identità tra sessioni. Per l'attribuzione delle campagne bastano paese, dispositivo e referrer. Per il retargeting a livello di persona, usa l'inoltro delle conversioni lato server basato su un identificativo che l'utente ti ha già fornito, come un ID di login, invece di tracciare al redirect.
Rinunci anche ad alcune funzioni. L'iniezione di pixel e il tracciamento cross-domain dipendono da una raccolta che si concilia male con la minimizzazione. Una configurazione conforme al GDPR mantiene il redirect semplice e sposta la misurazione sull'evento di conversione, dove hai un rapporto diretto con l'utente. Gli acquisti richiedono comunque impegno: aspettati di leggere il DPA, l'elenco dei sub-responsabili e il processo di cancellazione qualunque fornitore tu scelga. Vedi anche attribuzione dei click dopo Safari ITP e Schrems II e i pixel di tracciamento.
A che punto è Elido oggi
Ho verificato tutto nel codice il 2026-11-12, e alcune parti non sono lusinghiere.
- Dati dei click. L'archivio degli eventi di click conserva l'IP del visitatore così come inviato dall'edge, più paese e, al meglio delle possibilità, regione, città e coordinate quando è configurato un database delle città. Oggi non tronchiamo gli IP.
- Pixel. Un redirect semplice non carica alcuno script di terze parti. Un link può attivare una splash page che fa scattare i pixel di Meta, Google, LinkedIn o TikTok prima del redirect; se la usi per i visitatori UE, serve una base di consenso. Anche l'inoltro dei pixel lato server alle piattaforme pubblicitarie invia l'IP del visitatore.
- Cancellazione. Il flusso di amministrazione per gli interessati può esportare e cancellare un account (il record utente viene anonimizzato; i record di fatturazione sono conservati ai sensi dell'articolo 17(3)(b)). La stessa richiesta può eliminare i dati dei click dei workspace di cui la persona è l'unica proprietaria e, per un visitatore di un link, ogni click dalla sua rete troncata, ristretto a un solo browser quando fornisce lo user agent. Le righe dei click scadono inoltre secondo una finestra per piano: 90 giorni su Free, un anno su Pro, due anni su Business.
- Contratto e sub-responsabili. Un DPA con le SCC UE è disponibile su richiesta in ogni piano, compreso il gratuito; non è accettato al checkout e non è pubblicato alcun download. L'elenco dei sub-responsabili (13 fornitori) e l'informativa sulla privacy sono pubblicati. I dati sono archiviati nell'UE, ma i nodi di redirect fuori dall'UE elaborano comunque le richieste dei visitatori e non esiste ancora una scelta di regione per workspace. Leggili tu stesso alla luce delle verifiche da 1 a 3, e per le attestazioni vedi la trust page.
Se stai lasciando un altro fornitore, la guida alla migrazione da Bitly copre l'importazione dei link e il passaggio del DNS. Dopo il passaggio, invia al vecchio fornitore una richiesta di cancellazione per il tuo workspace, aggiorna l'informativa sulla privacy con il nuovo responsabile e rivedi qualsiasi banner di consenso che facesse riferimento al tracciamento del vecchio strumento. Per i piani, vedi i prezzi.
Cosa verificare prima di fidarsi di un'affermazione "conforme al GDPR"
L'etichetta non è regolamentata e non ha alcun peso giuridico. Gli artefatti che ce l'hanno: un DPA allineato all'articolo 28(3), un elenco dei sub-responsabili con le regioni, una descrizione a livello di campo di ciò che archivia un click, un processo di cancellazione che puoi testare e una finestra numerica per le violazioni. Se un fornitore non riesce a inviarteli entro un giorno lavorativo, considera il badge come puro testo promozionale.
Correlati sul blog
Domande frequenti
Uno URL shortener è un responsabile del trattamento ai sensi del GDPR?
Sì, nella configurazione abituale. Sei tu a decidere perché e come si misurano i click, quindi sei il titolare del trattamento, e lo shortener tratta i dati dei click secondo le tue istruzioni. Serve un contratto scritto ai sensi dell'articolo 28(3).
L'indirizzo IP in un log dei click è un dato personale?
Sì. La Corte di giustizia dell'UE ha stabilito nella causa Breyer (C-582/14) che un indirizzo IP dinamico è un dato personale quando chi lo detiene dispone di mezzi legali per identificare la persona che vi sta dietro. Uno shortener che registra l'IP completo accanto a un timestamp si trova in questa posizione.
Mi serve il consenso per tracciare i click sui link brevi?
Non sempre. Il conteggio dei click lato server con campi minimi si fonda spesso sul legittimo interesse ai sensi dell'articolo 6(1)(f), ma caricare pixel pubblicitari o impostare identificativi per i visitatori UE richiede di solito il consenso, e per l'accesso al dispositivo si applicano le norme ePrivacy.
Uno shortener ospitato negli USA viola il GDPR?
Non automaticamente. I trasferimenti verso gli USA sono leciti con un meccanismo valido come le Clausole contrattuali standard più una valutazione del trasferimento, oppure con una certificazione Data Privacy Framework. Comportano però burocrazia e rischio legale che uno strumento ospitato nell'UE non ha.
Cosa dovrebbe contenere il DPA di uno shortener?
Tutto ciò che elenca l'articolo 28(3): istruzioni documentate, riservatezza, sicurezza, regole sui sub-responsabili, assistenza per le richieste degli interessati, assistenza per DPIA e violazioni, cancellazione o restituzione al termine e diritti di audit.
Come cancello i dati dei click di una persona da uno shortener?
Chiedi al fornitore come vengono identificate e cancellate le righe dei click. I log dei click raramente contengono un nome, quindi la cancellazione di solito significa eliminare per IP, link o intervallo di tempo. Se il fornitore può gestirlo solo tramite un ticket di supporto, ottieni per iscritto i tempi di risposta.
Prova Elido
Incolla un URL, ottieni un link breve
Senza registrazione. Il link vive 30 giorni. Iscriviti per conservarlo.
Senza registrazione. Crea un account gratuito per 50 link al mese.