Quando un server cade alle tre del mattino, la prima azienda a saperlo non è la squadra di guardia: è la piattaforma di gestione degli incidenti che decide a quale cellulare, in quale paese, inviare la chiamata. Tale routing - chi riceve l'avviso, con quale priorità e quali dati di contatto personali vengono memorizzati per renderlo possibile - passa attraverso i server di un determinato fornitore. PagerDuty, la piattaforma di gestione degli incidenti più utilizzata al mondo, elabora questi avvisi dall'infrastruttura americana gestita da una società quotata al NYSE dal 2019. Grafana OnCall, la sua alternativa open source, consente a quello stesso flusso di dati personali di turno di non uscire mai da un server europeo scelto dall'organizzazione stessa.
PagerDuty (Stati Uniti, EIU 7,85) centralizza e fattura per utente un servizio costoso ma robusto. Grafana OnCall (Svezia /open source, EIU 9,39) è gratuito nella sua versione self-hosted e decentralizza completamente il controllo del dato. La differenza tra i due non sta nel fatto che funzionino - i due svegliano un ingegnere di turno con la stessa efficacia - ma in quale legge protegge i numeri di telefono personali, i calendari di turno e le storie di incidenti del tuo team tecnico.
Perché l'origine democratica è importante nella gestione degli incidenti
Una piattaforma di gestione degli incidenti memorizza, per progettazione, uno dei set di dati personali più sensibili di qualsiasi organizzazione tecnica: i numeri di cellulare personali di ciascun ingegnere di turno, i suoi orari di disponibilità, la sua posizione approssimativa quando riceve avvisi e, in molti casi, modelli di comportamento come quanto tempo impiega ogni persona a rispondere a un incidente alle 4 del mattino. Queste informazioni, incrociate con i registri degli incidenti dell'organizzazione, consentono di ricostruire con precisione la vita personale e le abitudini del sonno di decine di dipendenti.
Inoltre, i dati degli incidenti stessi - quale sistema ha fallito, quando, con quale gravità, quale vulnerabilità è stata sfruttata in quali casi - sono informazioni competitivamente sensibili. Una violazione della cronologia degli incidenti di un'azienda rivelerebbe ai suoi concorrenti, o ad un attaccante, esattamente quali sono le sue debolezze infrastrutturali e quando sono più frequenti. Democratic Market considera questa categoria di software ad alto rischio proprio per la combinazione di dati personali sensibili e dati aziendali sensibili che elabora contemporaneamente.
Grafana OnCall: open source svedese integrato nello stack di osservabilità
Grafana OnCall è un progetto open source gestito da Grafana Labs, la stessa azienda - a maggioranza svedese, con sede duale a Stoccolma e New York - responsabile del popolare stack di osservabilità Grafana, Loki e Tempo. La Svezia ha ottenuto 9,39 punti nell'Indice di Democrazia EIU 2025, uno dei quattro punteggi più alti al mondo, con istituzioni giudiziarie completamente indipendenti e un quadro di protezione dei dati personali che va oltre i minimi richiesti dal GDPR.
Il vantaggio strutturale di Grafana OnCall è che, essendo self-hosted sotto licenza open source, l'intero database di numeri di telefono personali, calendari di turno e storie di incidenti può vivere su un server controllato direttamente dall'organizzazione, sul territorio europeo se così deciso. Questo elimina completamente la necessità di fare affidamento sulle clausole contrattuali tipo di una terza parte: non c'è una terza parte, perché non c'è trasferimento di dati al di fuori del perimetro controllato dall'azienda stessa. Inoltre, essendo integrati nativamente con Grafana e Prometheus, gli avvisi vengono generati direttamente dalle metriche dell'infrastruttura senza passare attraverso alcun intermediario aggiuntivo.
Grafana OnCall non è perfetto: la sua interfaccia di configurazione dell'arrampicata è meno lucida di quella di PagerDuty e il suo catalogo di integrazioni con strumenti di terze parti -Slack, Teams, Jira— sebbene solido, è più piccolo. Per i team che utilizzano già il resto dello stack Grafana, l'integrazione nativa compensa di gran lunga questa differenza; per i team che partono da zero con un ecosistema di strumenti eterogeneo, la curva di apprendimento iniziale è leggermente superiore rispetto a PagerDuty.
Altre alternative democratiche nella gestione degli incidenti
Oltre a Grafana OnCall, Democratic Market individua altre due alternative di origine pienamente democratica. Zenduty, sebbene di origine indiana (EIU 7,18, democrazia difettosa ma al di sopra della nostra soglia), offre opzioni di residenza dei dati nell'UE sotto contratto specifico. iLert, sviluppata a Colonia, in Germania (EIU 8,53), è una piattaforma commerciale di gestione degli incidenti con hosting esclusivamente europeo sin dalla sua fondazione, progettata specificamente per le aziende che necessitano di una rigorosa conformità normativa senza assumersi l'onere di ospitare autonomamente la propria infrastruttura.
PagerDuty: sede americana, infrastruttura AWS, closed source
Gli Stati Uniti hanno ottenuto 7,85 punti nell'Indice di Democrazia EIU 2025, classificato come democrazia difettosa - al di sopra della soglia di 6,0 applicata da Democratic Market, ma penalizzato nelle dimensioni di partecipazione politica e funzionamento del governo per la persistente polarizzazione istituzionale del paese. PagerDuty, con sede a San Francisco e quotata al NYSE da aprile 2019, ospita la sua infrastruttura su Amazon Web Services, e non offre alcuna opzione di self-hosting: è una piattaforma completamente chiusa e gestita esclusivamente dall'azienda.
PagerDuty offre la residenza dei dati nell'Unione Europea (data center in Irlanda) come opzione contrattuale nei suoi piani Business ed Enterprise, ma questa opzione non è disponibile nel suo piano di ingresso, il più comune tra le startup e le PMI con budget limitato. Come società statunitense soggetta al CLOUD Act, anche i dati fisicamente ospitati in Irlanda rimangono legalmente accessibili alle autorità statunitensi in determinate ipotesi, una sfumatura che PagerDuty riconosce nella sua documentazione legale ma che raramente viene comunicata in modo prominente ai clienti al momento dell'assunzione.
Confronto tecnico: affidabilità, integrazioni e costi
PagerDuty ha un vantaggio storico nell'affidabilità dimostrata su larga scala: elabora avvisi per migliaia di aziende Fortune 500 con una storia di disponibilità pubblica verificata in modo indipendente e il suo motore di routing degli avvisi basato sull'apprendimento automatico (Event Intelligence) riduce il rumore degli avvisi duplicati in modo più sofisticato rispetto alla maggior parte delle alternative open source. Il suo catalogo di integrazioni supera i 700 strumenti di terze parti. Il prezzo, tuttavia, è notevolmente più alto: da 21 dollari per utente al mese sul piano Professional, e notevolmente di più su Enterprise con residenza dati nell'UE.
Grafana OnCall, nella sua versione self-hosted, è gratuita tranne il costo dell'infrastruttura del server in cui viene distribuita; la sua versione in Grafana Cloud parte da un livello gratuito limitato e scala con prezzi significativamente inferiori a PagerDuty per volumi equivalenti di avvisi. Il gap di affidabilità dimostrato su scala Fortune 500 si sta rapidamente colmando man mano che sempre più operatori di telecomunicazioni e infrastrutture critiche europee adottano lo stack Grafana completo, ma PagerDuty conserva ancora un vantaggio storico verificabile per le organizzazioni più grandi e con SLA più esigenti.
Legislazione europea 2026 applicabile alla gestione degli incidenti
La Direttiva NIS2 richiede esplicitamente agli operatori di servizi essenziali di disporre di capacità di risposta agli incidenti con scadenze di notifica molto ravvicinate - 24 ore per la notifica anticipata, 72 ore per la notifica completa all'autorità competente - il che rende la piattaforma di gestione degli incidenti un pezzo di infrastruttura critica soggetto a audit normativo. Il GDPR, da parte sua, classifica i numeri di telefono personali e i modelli di disponibilità oraria dei dipendenti come dati personali soggetti alle stesse garanzie di qualsiasi altro dato sensibile, con l'ulteriore obbligo che qualsiasi trasferimento internazionale di tali dati - come avviene di default con PagerDuty al di fuori del suo piano Enterprise - deve essere legalmente giustificato dinanzi all'autorità di controllo competente.
Come il software di gestione degli incidenti valuta il Democratic Market
Per questa categoria, Democratic Market pondera con particolare peso l'esposizione dei dati personali dei dipendenti - numeri di telefono, modelli di disponibilità - rispetto al resto delle dimensioni abituali. Un fornitore con sede in piena democrazia, codice verificabile e opzione di self-hosting sul territorio europeo riceve il punteggio più alto possibile; un fornitore con sede in democrazia difettosa, codice chiuso e residenza dati europea disponibile solo su piani premium riceve un punteggio intermedio, mai il massimo, indipendentemente dalla sua qualità tecnica.
Per chi è ciascuno?
PagerDuty ha senso per le grandi organizzazioni con requisiti di disponibilità estremamente esigenti, budget ampio per il piano Enterprise con residenza dei dati nell'UE e necessità di un motore di routing degli avvisi maturo con anni di messa a punto fine in ambienti su larga scala. È anche ragionevole per le aziende che già si affidano intensamente al loro marketplace di oltre 700 integrazioni e non vogliono sostenere il costo della migrazione del loro intero ecosistema di avvisi.
Grafana OnCall è la scelta naturale per qualsiasi team che già utilizza lo stack Grafana per l'osservabilità, per startup e PMI con budget limitato che non possono permettersi il piano Enterprise di PagerDuty, e per qualsiasi organizzazione - specialmente in settori regolamentati come banche, sanità o infrastrutture critiche - che abbia bisogno di essere in grado di dimostrare davanti a un revisore esattamente su quale server, sotto quale giurisdizione, vivono i numeri di telefono
Trasferimenti internazionali: l'approccio del GDPR ai dati di guardia
I numeri di telefono personali e i calendari di guardia sono dati personali ai sensi dell'articolo 4 del GDPR, e quando PagerDuty li elabora al di fuori del suo livello Enterprise con residenza nell'UE, tali dati vengono trasferiti a livello internazionale ai sensi degli articoli da 44 a 49, basandosi su Clausole Contrattuali Tipo più le misure tecniche aggiuntive richieste dalla sentenza Schrems II. L'onere di verificare che tali misure siano adeguate ricade sull'organizzazione cliente, non su PagerDuty. Con Grafana OnCall self-hosted su un server europeo, non vi è alcun trasferimento internazionale da documentare in primo luogo — una semplificazione significativa per qualsiasi responsabile della protezione dei dati che debba tenere un registro delle attività di trattamento ai sensi dell'articolo 30.
Guida pratica all'acquisto: come scegliere la tua piattaforma di guardie
Per i team che già utilizzano lo stack di osservabilità Grafana, la raccomandazione di Democratic Market è chiara: adottare Grafana OnCall self-hosted fin dal primo giorno, sfruttando l'integrazione nativa ed eliminando qualsiasi trasferimento di dati personali al di fuori dell'Unione. Per organizzazioni di grandi dimensioni con requisiti di affidabilità estremamente rigidi e budget per il piano Enterprise con residenza dati nell'UE, PagerDuty rimane un'opzione tecnicamente solida, anche se strutturalmente meno favorevole dal punto di vista della sovranità del dato rispetto alle sue alternative europee.
Conclusione: chi sveglia la tua squadra e sotto quale legge
La piattaforma che decide quale cellulare personale chiamare alle tre del mattino gestisce, senza che la maggior parte delle organizzazioni lo percepisca come tale, uno dei set di dati personali più sensibili della sua infrastruttura tecnica. Grafana OnCall non è l'opzione con più anni di storia sul mercato, ma è quella che permette di rispondere con certezza alla domanda che conta davvero: sotto quale legge sono protetti i dati personali del tuo team di guardia. Per la maggior parte dei team europei che già costruiscono su strumenti aperti e self-hosted, questa certezza vale più del decennio aggiuntivo di lucidatura di PagerDuty.