Ogni volta che un e-commerce ti invia la conferma dell'ordine, o un'app ti invia il codice per reimpostare la password, quell' email non esce direttamente dal server dell'azienda. Esce dall'infrastruttura di un provider specializzato nella consegna di email, un collegamento invisibile che decide, tra le altre cose, in quale paese vengono elaborati e memorizzati per settimane i metadati di quel messaggio: il tuo indirizzo, l'ora in cui l'hai aperto, se hai cliccato sul link.
SendGrid e Postmark sono due dei provider di email transazionali più utilizzati dalle aziende europee. I soliti confronti si concentrano su tassi di consegna, documentazione API o prezzo per mille e-mail. Qui ne faremo una diversa: chi controlla la giurisdizione legale di quei dati e quale margine di manovra ti lascia ciascuno se ti interessa che quel controllo sia nelle tue mani.
SendGrid: l'email machine di Twilio
SendGrid è nata nel 2009 a Boulder, Colorado, fondata da Isaac Saldana, José López e Tim Jenkins. Nel 2019, Twilio l'ha acquisita per circa 2 miliardi di dollari e ha integrato il suo motore di consegna all'interno della più ampia piattaforma di comunicazione dell'azienda, con sede a San Francisco. Gli Stati Uniti ottengono 7,85 nell'Indice di Democrazia dell'EIU: una democrazia imperfetta con istituzioni solide, ma anche con un quadro giuridico di sorveglianza che preoccupa molte aziende europee.
Twilio SendGrid elabora diverse centinaia di miliardi di e-mail all'anno, rendendolo uno dei più grandi fornitori di servizi di consegna al mondo. Dal 2023 offre una funzione chiamata Data Residency for Email (EU): consente di creare un sottoutente europeo, assegnargli un IP dedicato con origine UE e utilizzare un endpoint API specifico in modo che i dati degli eventi - aperture, clic, rimbalzi, disiscrizioni - vengano archiviati ed elaborati all'interno di data center europei, principalmente in Irlanda e Germania.
Perché la giurisdizione importa di nuovo qui
Il CLOUD Act statunitense, approvato nel 2018, obbliga le aziende tecnologiche statunitensi a fornire dati memorizzati sui propri server quando richiesto da un ordine del tribunale statunitense, indipendentemente dal paese in cui si trova il server fisico. Il Data Privacy Framework UE-USA (2023) tenta di gettare un ponte legale, ma i suoi due predecessori - Safe Harbor e Privacy Shield - sono stati invalidati dalla Corte di giustizia dell'UE a seguito di due richieste di Max Schrems.
Nell'email marketing e transazionale, questo non è astratto. Un elenco di iscritti con nome, indirizzo e-mail e comportamento di apertura è un dato personale ai sensi del GDPR. Se tale elenco viene elaborato negli Stati Uniti, qualsiasi azienda europea che lo utilizzi assume, in teoria, la possibilità che le autorità statunitensi richiedano l'accesso senza passare attraverso un tribunale dell'Unione.
Postmark: l'impegno per la semplicità transazionale
Postmark è stato creato nel 2010 da Wildbit, una società fondata a Philadelphia da Chris e Natalie Nagele. A differenza di SendGrid, Postmark si è specializzata esclusivamente nell'email transazionale - conferme, ricevute, codici di accesso, notifiche - e vieta esplicitamente l'uso della sua piattaforma per l'email marketing di massa. Questa restrizione, lungi dall'essere una limitazione, protegge la reputazione di invio condiviso di tutti i tuoi clienti e spiega gran parte dei loro alti tassi di posta in arrivo. Nel maggio 2022 Wildbit ha venduto Postmark ad ActiveCampaign, società con sede a Chicago.
Postmark è stata esplicita sulla sua posizione nei confronti dell'Europa: la sua pagina sulla privacy per l'UE riconosce che il GDPR non richiede fisicamente server europei e conferma che, ad oggi, non ha intenzione di aggiungerli. Tutti i dati dell'account, il contenuto delle e-mail, i metadati, i registri e le analisi sono archiviati negli Stati Uniti, in un data center vicino a Chicago gestito da Deft e nell'infrastruttura AWS nelle regioni degli Stati Uniti.
Analisi democratica: stesso paese, diverso margine di manovra
È opportuno correggere un errore comune nei confronti rapidi di questo tipo di strumenti: né SendGrid né Postmark sono europei e nessuno dei due ha sede al di fuori degli Stati Uniti. Entrambe le società madri - Twilio e ActiveCampaign - sono incorporate e operano sotto la stessa giurisdizione, con lo stesso punteggio EIU di 7,85. La differenza democratica rilevante non sta nella nazionalità della sede, ma nel fatto che il fornitore ti dia una leva reale per estrarre i tuoi dati da quella giurisdizione.
SendGrid offre questa leva, anche se non viene attivata di default: è necessario configurare esplicitamente il sottoutente europeo e l'endpoint dedicato in modo che gli eventi dei tuoi destinatari rimangano in Irlanda o Germania. Postmark non offre una leva equivalente: tutti i suoi clienti, ovunque si trovino, hanno i loro dati elaborati negli Stati Uniti, senza possibilità di configurazione alternativa nel 2026.
È una differenza reale, ma anche parziale. Sebbene i dati di SendGrid vivano fisicamente in un data center di Francoforte, Twilio rimane una società statunitense soggetta al CLOUD Act, allo stesso modo di Google e dei suoi data center europei. La residenza dei dati nell'UE riduce l'esposizione pratica e soddisfa gran parte dei requisiti delle clausole di protezione dei dati richiesti dai dipartimenti di approvvigionamento europei, ma non elimina completamente la catena di giurisdizione statunitense in ultima analisi.
Autenticazione del mittente: ciò che non cambia tra i fornitori
Indipendentemente dal fatto che tu scelga SendGrid o Postmark, entrambi richiedono di configurare SPF, DKIM e, sempre più insistentemente, una politica DMARC nel tuo dominio di invio. Dal 2024, Google e Yahoo richiedono DMARC obbligatorio a qualsiasi mittente che superi le 5.000 email al giorno verso le loro caselle di posta, un requisito fissato unilateralmente da due piattaforme private statunitensi che, di fatto, stabilisce lo standard minimo dell'intero settore, indipendentemente dalla giurisdizione del mittente.
SendGrid guida la configurazione dell'autenticazione con un wizard integrato nel dashboard e verifica automatica dei record DNS. Postmark offre un processo equivalente, più orientato agli sviluppatori, con convalida in tempo reale durante la configurazione iniziale del dominio. In entrambi i casi, un'errata configurazione di DMARC è oggi la causa più comune per cui le email transazionali legittime finiscono nella cartella spam, al di sopra di qualsiasi differenza di giurisdizione tra i fornitori.
Confronto tecnico: funzioni, prezzo e profilo democratico
SendGrid combina e-mail transazionali e marketing in un'unica piattaforma: campagne, report di deliverability, IP dedicati, ampio supporto API e SMTP e integrazione diretta con il resto dell'ecosistema di Twilio - SMS, WhatsApp, verifica. Postmark, invece, si concentra solo sulle transazioni, separa i flussi di messaggi per tipo (message streams) per proteggere la reputazione, e la sua documentazione per gli sviluppatori è considerata un riferimento del settore per la sua chiarezza.
Nel prezzo, entrambi scalano per volume mensile di invii e offrono livelli gratuiti o di entrata molto limitati, con tariffe che crescono in modo graduale in base alle e-mail inviate. È sempre consigliabile controllare le tabelle pubblicate al momento dell'acquisto, poiché entrambi i fornitori hanno modificato i loro piani più volte negli ultimi anni. A parità di volume, la differenza di costo è solitamente moderata; la decisione è raramente presa solo per prezzo.
A livello di template, SendGrid offre un editor di email design e template dinamici basati su Handlebar, con test A/B integrati per campagne di marketing. Postmark mantiene un sistema di template più austero ma con SDK nativi per più linguaggi e una console di debug per ogni singolo invio che molti team di sviluppo considerano superiore per diagnosticare problemi di consegna in produzione.
Certificazioni e trasparenza di sicurezza
Twilio, capogruppo di SendGrid, mantiene la certificazione ISO 27001 e le attestazioni SOC 2 Type II, oltre a ISO 27017 e ISO 27018 per la sicurezza e la privacy nel cloud, tutte documentate pubblicamente presso il suo centro di fiducia. È un livello di trasparenza verificabile che qualsiasi ufficio acquisti europeo può verificare senza la necessità di firmare accordi di riservatezza precedenti.
La situazione di Postmark è più sfumata. ActiveCampaign, la sua matrice, è certificata SOC 2 Type II a livello aziendale, ma Postmark come prodotto non ha superato il proprio audit SOC indipendente: chi ce l'ha è il data center che utilizza, con report SOC 1, SOC 2 e SOC 3 disponibili solo in base a un accordo di riservatezza. Non è un allarme, ma un ulteriore livello di opacità rispetto alla documentazione aperta di Twilio.
Legislazione europea che si applica nel 2026
Oltre al GDPR e al Data Privacy Framework, dal gennaio 2025 il Regolamento DORA (Digital Operational Resilience Act) obbliga gli istituti finanziari europei a verificare formalmente i propri fornitori esterni di ICT, inclusi i provider di email transazionali che inviano conferme di operazioni o avvisi di sicurezza. Per una banca o una fintech con sede nell'UE, scegliere tra SendGrid e Postmark non è più solo una decisione tecnica: fa parte di un registro di rischio di terze parti che un supervisore può chiedere di vedere.
Come Democratic Market valuta gli strumenti B2B
Per questo tipo di prodotti - software, non beni fisici - applichiamo un criterio equivalente a quello che utilizziamo con i produttori: paese di incorporazione della matrice, punteggio EIU di quella giurisdizione, esistenza di opzioni reali di residenza dei dati, trasparenza dell'elenco dei subprocessori e disponibilità di certificazioni di sicurezza verificate in modo indipendente, come SOC 2 o ISO 27001, che verificano gli impegni oltre il testo di marketing.
Nessuna delle due aziende è esclusa per origine: entrambe operano da un paese con punteggio EIU di 7,85, al di sopra della soglia di 6,0 che applichiamo nel Democratic Market. La differenza si traduce in sfumature, non in esclusione, e la sfumatura qui favorisce chi ti lascia decidere.
Guida pratica alla scelta
Se la tua azienda ha sede nell'UE e deve dimostrare a un cliente, a un revisore dei conti o all'ufficio acquisti che i dati dei destinatari vengono elaborati all'interno dell'Unione, l'opzione più valida è SendGrid, configurando esplicitamente il sotto-utente europeo fin dal primo giorno: per impostazione predefinita, l'account instrada il traffico attraverso gli Stati Uniti come qualsiasi altro.
Se invii solo email transazionali pure - conferme, ricevute, codici monouso - e dai la priorità al massimo tasso di recapito nella casella di posta in arrivo rispetto alla posizione esatta dell'elaborazione, Postmark rimane un'opzione solida. In tal caso, riduci il rischio riducendo al minimo i dati personali che includi nel corpo del messaggio e rivedi periodicamente l'elenco pubblico dei subprocessori, che può cambiare senza preavviso in primo piano.
In entrambi i casi, richiedi al tuo fornitore l'elenco aggiornato dei sub-processori e chiedigli esplicitamente se i tuoi dati di formazione sui modelli di IA sono esclusi dalla residenza geografica contrattata: diverse aziende del settore hanno iniziato a sfumare questa stampa fine nel 2026.
Migrare da uno all'altro: più facile di quanto sembri
Un vantaggio poco commentato di questo mercato è che entrambi i fornitori parlano protocolli standard: SMTP e API REST ben documentate. Migrare l'invio tecnico da SendGrid a Postmark, o viceversa, di solito si risolve in giorni, non in mesi, riconfigurando i record DNS e adattando il nome delle variabili del modello. Il vero attrito non è nel codice, ma nella reputazione di invio: un nuovo dominio in qualsiasi fornitore inizia senza cronologia e richiede un periodo di riscaldamento graduale del volume prima di raggiungere tassi di consegna ottimali.
Questa facilità di migrazione tecnica è, di per sé, una buona notizia dal punto di vista del Democratic Market: significa che la scelta tra SendGrid e Postmark non è una decisione che ti imprigiona a vita. Se le tue esigenze di residenza dei dati cambiano - ad esempio perché firmi un cliente del settore pubblico europeo con requisiti più severi - il costo del cambio di fornitore è basso rispetto a quello della rinegoziazione di un contratto di infrastruttura cloud più ampio.
È bene ricordare, inoltre, che la responsabilità non ricade solo sul provider di posta elettronica. Il modello di responsabilità condivisa che governa l'intera infrastruttura cloud implica che, sebbene SendGrid offra una residenza europea o Postmark pubblichi il proprio elenco di subprocessori, la società che invia le e-mail rimane la responsabile legale del trattamento di tali dati personali ai sensi del GDPR, con obblighi propri di documentazione, minimizzazione e risposta alle richieste degli interessati.
Molte piccole e medie imprese europee senza un team legale o di compliance dedicato saltano direttamente questa analisi e utilizzano il fornitore che ha consigliato loro un tutorial o un collega. È comprensibile, ma significa anche che la leva di residenza europea offerta da SendGrid non viene attivata in una parte significativa degli account che tecnicamente potrebbero abilitarla. Configurarla durante la registrazione iniziale è uno sforzo di soli dieci minuti per colmare questo divario senza dover cambiare fornitore.
Conclusione: anche la giurisdizione è configurata
SendGrid e Postmark condividono un passaporto: entrambe sono statunitensi, entrambe hanno un punteggio di 7,85 nell'indice EIU, nessuna è un'autocrazia mascherata da infrastruttura tecnica. Ciò che le separa è se ti danno o meno una leva per spostare i tuoi dati in una giurisdizione diversa quando ti interessa. Utilizzare quella leva quando esiste, e richiederla quando no, è un modo piccolo ma concreto per far sì che il tuo stack tecnologico rifletta i tuoi valori, mail per mail.