Risposta breve. I dati di Microsoft 365 non risiedono tutti nello stesso archivio né, per un’azienda italiana, necessariamente tutti in un singolo data center italiano. Exchange Online, SharePoint, OneDrive, Teams e Microsoft 365 Copilot utilizzano servizi di archiviazione differenti e sono soggetti a impegni di residenza geografica che dipendono dalla geografia predefinita del tenant, dalle condizioni Microsoft applicabili e da eventuali opzioni come EU Data Boundary, Advanced Data Residency (ADR) o Multi-Geo. La posizione effettiva e la geografia impegnata del tenant si verificano nel Microsoft 365 Admin Center, nella scheda Data location.
Per un tenant creato in Italia, quindi, la domanda corretta non è solo “in quale server sono i dati?”, ma: quale servizio li conserva, quale geografia è attualmente utilizzata e quale impegno di residenza si applica al tenant.
Per la gestione del portale amministrativo vedi anche la nostra guida al Microsoft 365 Admin Center.
Archiviazione dei dati e data residency non sono la stessa cosa
In Microsoft 365 è utile separare due livelli:
- Archiviazione logica: indica quale workload o repository conserva il contenuto. Esempi: mailbox Exchange Online, sito SharePoint, OneDrive dell’utente, servizio Teams, contenitori SharePoint Embedded.
- Residenza geografica dei dati: indica in quale geografia i dati del cliente coperti dagli impegni Microsoft vengono archiviati a riposo e quale “Committed Geography” è applicabile.
Questa distinzione evita un errore frequente: sapere che un file è in OneDrive non dice, da solo, in quale geografia sia archiviato. Allo stesso modo, sapere che il tenant è stato registrato in Italia non significa automaticamente che ogni singolo dato di ogni servizio sia vincolato all’Italia.
Dove risiedono i dati di un tenant Microsoft 365 italiano?
Per i clienti Microsoft 365 con paese o area geografica di iscrizione nell’Unione Europea o nell’EFTA, Microsoft applica gli impegni previsti per l’EU Data Boundary ai servizi in ambito, salvo condizioni ed eccezioni documentate. L’EU Data Boundary comprende i paesi UE ed EFTA e riguarda l’archiviazione e, per i servizi coperti, il trattamento dei dati del cliente e dei dati personali pseudonimizzati all’interno di tale confine, con circostanze limitate in cui possono verificarsi trasferimenti esterni.
L’Italia è inoltre una Local Region Geography supportata da Microsoft 365 Advanced Data Residency. Questo significa che le organizzazioni idonee che acquistano ADR possono ottenere, per i servizi coperti, impegni aggiuntivi di archiviazione dei dati a riposo nella geografia locale italiana. ADR non è però una proprietà automatica di ogni tenant italiano: richiede idoneità, licenze ADR e copertura del 100% delle licenze a pagamento rilevanti nel tenant.
Come verificare dove sono archiviati i dati del proprio tenant
Un amministratore globale può controllare la Data Location Card dal Microsoft 365 Admin Center seguendo questo percorso:
- Aprire https://admin.microsoft.com/ con un account amministrativo autorizzato.
- Aprire Settings > Org settings.
- Selezionare Organization profile.
- Aprire Data location.
La scheda mostra, per i servizi supportati, almeno due informazioni centrali:
- Current Geography: la geografia in cui i dati del cliente in ambito sono attualmente archiviati a riposo.
- Committed Geography: la geografia in cui Microsoft si impegna a conservare i dati in base agli impegni di data residency applicabili al tenant.
La Data Location Card non visualizza necessariamente ogni servizio Microsoft 365. Alcuni workload, inclusi servizi Purview selezionati o specifiche esperienze Copilot, possono essere coperti da impegni di residenza senza essere ancora rappresentati nella scheda con lo stesso livello di dettaglio. Per audit formali è quindi corretto leggere la Data Location Card insieme alla documentazione Microsoft Data Residency e ai Product Terms applicabili.
Sai dove risiedono davvero i dati del tuo tenant?
Nexsys verifica configurazione, governance e controlli di sicurezza Microsoft 365, inclusi i principali aspetti di protezione e gestione del dato.
Dove vengono conservati i contenuti dei principali servizi Microsoft 365
Il dato “Microsoft 365” è distribuito tra workload differenti. La mappa seguente distingue il repository principale dal meccanismo di data residency.
| Servizio | Dove vive principalmente il contenuto | Nota di data residency |
| Exchange Online | Mailbox Exchange Online: messaggi, calendario, contatti, allegati e altri elementi della casella. | Il contenuto mailbox è tra i dati coperti dagli impegni di residenza di Exchange Online; verificare Data Location Card e impegno applicabile. |
| SharePoint Online | Siti SharePoint e document library. | I contenuti dei siti e i file sono coperti dagli impegni SharePoint/OneDrive; ADR può impegnarli nella Local Region Geography. |
| OneDrive for Business | Spazio personale dell’utente basato su SharePoint. | La posizione può seguire la geografia primaria o una geografia satellite in scenari Multi-Geo. |
| Microsoft Teams | Messaggistica Teams nel servizio Teams; file e registrazioni appoggiano anche su SharePoint/OneDrive. | Teams usa la geografia/PDL prevista dalla configurazione; i record di conformità sono copiati in Exchange per eDiscovery/retention. |
| Microsoft 365 Copilot | Interazioni e dati di compliance nei servizi Microsoft 365; file caricati in OneDrive; Copilot Pages in SharePoint Embedded. | Copilot supporta impegni Product Terms, EU Data Boundary, ADR e Multi-Geo nei casi previsti. |
| Forms e altri servizi | Servizi dedicati, con dati di compliance e allegati che possono appoggiarsi anche a Exchange/SharePoint. | Per i servizi aggiuntivi la posizione dipende dalla Default Geography e dalla matrice Microsoft “Other Microsoft 365 Services”. |
Exchange Online: posta, calendari e copie di conformità
La mailbox di Exchange Online conserva il contenuto della posta elettronica, calendario, contatti e allegati. Exchange svolge inoltre un ruolo importante nella compliance: Microsoft 365 utilizza cartelle nascoste delle mailbox per conservare copie o record di conformità di alcuni contenuti prodotti da Teams, Copilot e altri servizi, rendendoli ricercabili tramite Microsoft Purview eDiscovery e soggetti alle policy di retention.
Questo non significa che Exchange sia sempre il database primario dell’applicazione: per Teams, ad esempio, il messaggio operativo rimane nel servizio Teams/Azure Cosmos DB, mentre Exchange conserva i record di conformità acquisiti dal substrato.
SharePoint Online e OneDrive: documenti, registrazioni e contenuti collaborativi
I documenti dei siti di team e delle intranet risiedono in SharePoint Online; i file personali degli utenti risiedono in OneDrive for Business. Molte esperienze Microsoft 365 si appoggiano a questi repository: i file condivisi nei canali Teams vengono memorizzati in SharePoint, mentre molti file personali o legati a chat e riunioni vengono memorizzati in OneDrive in base allo scenario.
In un ambiente Multi-Geo, OneDrive, siti SharePoint e altri workload supportati possono essere assegnati a geografie differenti attraverso la Preferred Data Location (PDL), mantenendo un unico tenant Microsoft 365.
Microsoft Teams: messaggi, file e registrazioni non stanno tutti nello stesso posto
Teams è un buon esempio di architettura distribuita. I dati dei messaggi Teams sono gestiti dal servizio Teams e Microsoft documenta l’uso di Azure Cosmos DB per il dato dei messaggi. Per esigenze di compliance, Exchange Online conserva record di conformità nascosti che eDiscovery può interrogare. I file dei team sono invece archiviati in SharePoint Online e i contenuti personali o alcune registrazioni possono utilizzare OneDrive.
Per questo la domanda “dove sono i dati di Teams?” non ha una risposta con un unico repository: occorre distinguere messaggi, file, registrazioni e copie di conformità.
Microsoft 365 Copilot: interazioni, file caricati e Copilot Pages
Microsoft 365 Copilot opera all’interno del perimetro di Microsoft 365 e rispetta i controlli di accesso dei contenuti a cui l’utente può accedere. Le interazioni Copilot vengono conservate per finalità di audit, retention ed eDiscovery nei servizi Microsoft 365; Microsoft documenta le richieste e le risposte come elementi ricercabili nella mailbox Exchange Online dell’utente. I file caricati dall’utente in Copilot Chat vengono archiviati in OneDrive, mentre i contenuti creati con Copilot Pages possono essere conservati in contenitori SharePoint Embedded.
Anche Microsoft 365 Copilot è incluso negli impegni di data residency previsti dai Product Terms e, nei casi applicabili, nelle offerte ADR e Multi-Geo. Per i clienti UE, Copilot rientra nell’EU Data Boundary secondo la documentazione Microsoft corrente.
Forms, Planner e altri servizi: evitare liste statiche di data center
Per Forms, Planner e altri servizi non core è preferibile non pubblicare una lista rigida di paesi o data center destinata a diventare rapidamente obsoleta. Microsoft mantiene una matrice aggiornata delle posizioni per gli “Other Microsoft 365 Services”. Per esempio, per Forms i tenant con Default Geography in paesi UE/EFTA sono oggi associati alla macro-regione EU/EFTA. La regola editoriale corretta è quindi indicare la dipendenza dalla Default Geography e rimandare alla documentazione Microsoft aggiornata, non fissare una lista di regioni nella pagina.
EU Data Boundary: cosa significa per Microsoft 365
L’EU Data Boundary è un confine geografico che comprende Unione Europea ed EFTA. Per i servizi Microsoft enterprise online in ambito, Microsoft si impegna a conservare e trattare all’interno del confine i dati coperti, con limitate circostanze documentate in cui alcuni dati possono essere trasferiti al di fuori del confine.
Per Microsoft 365, i clienti con paese/area di iscrizione in UE o EFTA rientrano nell’ambito dell’EU Data Boundary secondo le condizioni documentate da Microsoft. Gli ambienti Multi-Geo richiedono una valutazione separata perché introducono intenzionalmente più geografie e la documentazione Microsoft specifica condizioni differenti per l’applicabilità dell’EU Data Boundary.
Advanced Data Residency: quando serve la residenza locale in Italia
Advanced Data Residency è un add-on Microsoft 365 pensato per organizzazioni con requisiti più stringenti sulla posizione dei dati. L’Italia è tra le Local Region Geographies idonee. Per i clienti che soddisfano i requisiti e coprono il 100% delle licenze a pagamento rilevanti con ADR, Microsoft offre impegni aggiuntivi per dati a riposo di servizi quali Exchange Online, SharePoint/OneDrive, Teams, Microsoft 365 Copilot, Microsoft 365 web apps, servizi Microsoft Purview selezionati e altri workload documentati.
Se i dati coperti non sono già nella Local Region Geography applicabile, l’amministratore può utilizzare la Data Location Card per verificare la situazione e, quando previsto, avviare il processo di migrazione dei dati ADR.
Multi-Geo: un solo tenant, più aree geografiche
Microsoft 365 Multi-Geo consente di utilizzare più geografie all’interno dello stesso tenant, assegnando workload supportati a una Preferred Data Location. È una funzione pensata per organizzazioni internazionali o con requisiti specifici di residenza dei dati in paesi diversi. Exchange Online, SharePoint, OneDrive, Teams e Microsoft 365 Copilot rientrano tra i workload supportati nei limiti documentati da Microsoft.
Multi-Geo non va confuso con la normale georedundancy del servizio e non significa “backup geografico”: è una capacità di placement/residenza dei dati del tenant.
Data residency, retention, backup e GDPR: quattro concetti diversi
La posizione geografica del dato è solo una componente della governance. In un progetto Microsoft 365 vanno distinti almeno quattro livelli:
- Data residency: dove i dati coperti vengono archiviati a riposo e quale impegno geografico si applica.
- Retention: per quanto tempo un contenuto deve essere mantenuto o eliminato secondo policy Microsoft Purview e requisiti aziendali.
- Backup e recovery: disponibilità di copie indipendenti e possibilità di ripristino in caso di cancellazione, ransomware o errore operativo.
- Compliance/GDPR: insieme complessivo di basi giuridiche, ruoli, misure tecniche e organizzative, minimizzazione, sicurezza, trasferimenti e gestione del ciclo di vita dei dati.
Conservare i dati in UE o in Italia non rende automaticamente un tenant conforme al GDPR. Allo stesso modo, la retention nativa di Microsoft 365 non sostituisce necessariamente un servizio di backup indipendente.
Per il tema recovery vedi perché è fondamentale fare backup di Office 365 e il servizio Data Protection as a Service. Per verificare configurazione, DLP, Purview e postura del tenant vedi il Microsoft 365 Security Assessment.
La data residency non è un backup
La posizione geografica del dato non garantisce una copia indipendente né il ripristino dopo cancellazioni, ransomware o errori operativi.
Checklist per verificare correttamente la localizzazione dei dati Microsoft 365
- Controllare il paese/area geografica di iscrizione e la Default Geography del tenant.
- Aprire la Data Location Card e annotare Current Geography e Committed Geography per ogni servizio visibile.
- Verificare se il tenant rientra nell’EU Data Boundary e quali servizi sono effettivamente in ambito.
- Verificare la presenza di Advanced Data Residency e la copertura licenze richiesta.
- Verificare eventuali configurazioni Multi-Geo e Preferred Data Location di utenti, gruppi e siti.
- Distinguere il repository primario del workload dalle copie di conformità utilizzate da Purview/eDiscovery.
- Documentare separatamente retention, backup/recovery e requisiti GDPR/NIS2: non dedurli dalla sola data residency.
- Riesaminare periodicamente la documentazione Microsoft perché servizi e impegni di residenza evolvono nel tempo.
Governance, retention ed eDiscovery con Microsoft Purview
Per gli amministratori e i responsabili della protezione delle informazioni: corso Microsoft SC-401 Information Security Administrator.
Domande frequenti
I dati Microsoft 365 di un’azienda italiana sono sempre conservati in Italia?
No. Un tenant italiano può avere impegni UE/EFTA o locali a seconda del servizio e delle condizioni applicabili. L’Italia è idonea ad Advanced Data Residency, ma la residenza locale italiana non va presunta: va verificata nella Data Location Card e negli impegni del tenant.
Come posso vedere dove risiedono i dati del mio tenant Microsoft 365?
Un Global Administrator può aprire Microsoft 365 Admin Center > Settings > Org settings > Organization profile > Data location. La scheda mostra la Current Geography e la Committed Geography per i servizi supportati.
EU Data Boundary significa che nessun dato può mai uscire dall’Unione Europea?
No. Microsoft descrive l’EU Data Boundary come un impegno a conservare e trattare i dati coperti all’interno di UE/EFTA, ma documenta circostanze limitate in cui alcuni dati possono essere trasferiti all’esterno del confine.
Che differenza c’è tra EU Data Boundary e Advanced Data Residency?
L’EU Data Boundary riguarda il confine UE/EFTA per i servizi in ambito. Advanced Data Residency è un add-on che può fornire impegni più granulari nella Local Region Geography del cliente, per esempio l’Italia, per i workload supportati.
Dove vengono conservati i file di Teams?
I file condivisi nei canali Teams sono archiviati in SharePoint Online; diversi contenuti personali e scenari di riunione utilizzano OneDrive. I messaggi Teams sono gestiti dal servizio Teams, mentre Exchange conserva record di conformità per eDiscovery e retention.
Dove vengono conservate le interazioni di Microsoft 365 Copilot?
Microsoft archivia le interazioni Copilot nei servizi Microsoft 365 e le rende disponibili a Purview per audit, retention ed eDiscovery. Le richieste e le risposte sono rappresentate come elementi nella mailbox Exchange Online dell’utente; file caricati e Copilot Pages possono utilizzare OneDrive e SharePoint Embedded.
Data residency significa che non serve fare il backup di Microsoft 365?
No. Data residency definisce la posizione geografica dei dati; backup e recovery definiscono la disponibilità di copie indipendenti e la capacità di ripristino. Sono requisiti differenti.
La data residency rende automaticamente Microsoft 365 conforme al GDPR?
No. La localizzazione dei dati è solo una parte del quadro. La conformità richiede anche basi giuridiche, minimizzazione, controllo accessi, retention, sicurezza, gestione dei trasferimenti, audit e misure organizzative.
Cos’è Microsoft 365 Multi-Geo?
È una capacità che consente a un singolo tenant di archiviare dati di workload supportati in più geografie, assegnando una Preferred Data Location a utenti e risorse. È utile per organizzazioni internazionali con requisiti di residenza distinti.