Calendly è conforme al GDPR? Cosa verificare prima di usarlo

Cosa dice la documentazione di Calendly

Il contratto si firma con Calendly LLC, una società statunitense: è la controparte indicata nei termini di servizio di Calendly. Il centro assistenza di Calendly spiega che i dati di utenti e invitati sono conservati in data center negli Stati Uniti gestiti da Google Cloud e AWS.

Il DPA di Calendly copre i trasferimenti verso gli USA con il Data Privacy Framework UE-USA. Se il Framework smettesse di applicarsi, subentrerebbero le clausole contrattuali standard. Anche l'elenco dei sub-responsabili di Calendly è pubblico.

Cosa significa per te

Usare Calendly dall'Italia vuol dire trasferire dati personali negli Stati Uniti, quindi si applica il capo V del GDPR. Finché il Data Privacy Framework è in vigore, il trasferimento si appoggia a una decisione di adeguatezza della Commissione europea (art. 45). Il Framework però può cadere: il suo predecessore, il Privacy Shield, è stato dichiarato invalido dalla Corte di giustizia UE il 16 luglio 2020, con la sentenza Schrems II (causa C-311/18). Con le sole clausole contrattuali standard (art. 46), le raccomandazioni 01/2020 dell'EDPB chiedono di valutare il trasferimento caso per caso.

In pratica ci sono alcune cose da sistemare. L'informativa deve dire che i dati vanno negli Stati Uniti e con quale garanzia (art. 13). Il registro dei trattamenti deve indicare Calendly come responsabile e il trasferimento. E qualcuno deve seguire le sorti del Framework, perché se cambia vanno aggiornati anche i tuoi documenti.

Quando servono più verifiche

Se con Calendly fissi call commerciali chiedendo solo nome ed email, il lavoro in genere si ferma ai punti sopra. Il quadro cambia se la prenotazione dice qualcosa sulla salute o su un'altra categoria particolare dell'art. 9. Basta un tipo di evento chiamato «Prima visita oncologica», o una domanda sui sintomi nel modulo, per trasformare una prenotazione in un dato sanitario.

Lo stesso vale, per motivi diversi, per studi legali vincolati al segreto professionale, uffici HR e pubblica amministrazione, che spesso hanno regole interne sull'hosting fuori dall'UE. In questi casi il DPO può chiedere una valutazione d'impatto (art. 35) o un'analisi più precisa del trasferimento. Per questi settori non è un divieto di usare Calendly: è documentazione in più da produrre e tenere aggiornata.

Per i dati sanitari c'è invece anche un limite contrattuale. Il DPA pubblicato da Calendly (Allegato I, in vigore dal 1° giugno 2026) non consente ai clienti di inserire nel servizio categorie particolari di dati, come i dati sanitari. Una prenotazione che di per sé rivela una visita medica non dovrebbe quindi passare da Calendly senza aver sentito prima il DPO.

Un'alternativa con hosting in Germania

Kalendarius è gestito da Ugur Akcelik, a Torino. Applicazione e database stanno su server Hetzner in Germania, a Norimberga e Falkenstein. I data center di Hetzner sono certificati ISO/IEC 27001; la certificazione è di Hetzner, non nostra.

Questo non toglie ogni verifica. Se colleghi Google o Microsoft, quei fornitori trattano i dati del calendario secondo le loro condizioni. Le email partono tramite un servizio di invio, Paddle gestisce i pagamenti dell'abbonamento e sulle pagine di prenotazione gira Sentry per individuare gli errori (tracker pubblicitari o di analisi non ce ne sono). Base giuridica, campi del modulo e conservazione restano scelte tue come titolare. Un accordo sul trattamento dei dati (DPA, art. 28) per i piani Business ed Enterprise è in revisione legale; per informazioni scrivi a info@kalendarius.com. I nostri termini consentono di trattare dati sanitari o altre categorie particolari solo con uno di questi piani e un DPA firmato, quindi prima di raccoglierli scrivici.

Per il resto: gli appuntamenti conclusi si cancellano da soli dopo il periodo che imposti (fino a 90 giorni su Personale e Professionista, 180 su Team, 365 su Business ed Enterprise). Se un ospite chiede la cancellazione dei suoi dati, scrivi a info@kalendarius.com e anonimizziamo le sue prenotazioni partendo dal suo indirizzo email: togliamo nome, indirizzo email, note e data e ora del consenso. Il resto del record (orario, stato, risposte alle domande che hai aggiunto, motivo dell'annullamento) si cancella allo scadere del tuo periodo di conservazione. Gli eventi già scritti in un calendario collegato restano lì. Possiamo anche inviarti un'esportazione delle prenotazioni di un ospite. Prezzi e funzioni sono nella pagina sull'alternativa a Calendly. Per provarlo, inizia gratis con il piano Personale.

Fonti

Le informazioni su Calendly vengono dal suo Data Processing Addendum, dalla pagina sulla conservazione dei dati e i trasferimenti internazionali e dall'elenco dei sub-responsabili, consultati a ottobre 2026.

Per il quadro giuridico: il testo del GDPR su EUR-Lex, la sentenza della Corte di giustizia UE nella causa C-311/18, le raccomandazioni 01/2020 dell'EDPB sulle misure che integrano gli strumenti di trasferimento e il sito del Garante per la protezione dei dati personali, l'autorità di controllo italiana.