Magsimula sa aktwal na mga entity
Tukuyin ang contracting provider, infrastructure operator at mga kaugnay na subprocessor. Ang isang kumpanya ay maaaring may legal na domicile na naiiba sa pisikal na lokasyon ng server. Ang iyong sariling lokasyon at ang mga tao sa iyong data ay maaari ring mahalaga.
Unawain ang rehiyonal na balangkas
Ang Sweden at Finland ay kabilang sa EU; ang Norway at Iceland ay kalahok sa EEA. Ang mga partikular na obligasyon ay nakadepende pa rin sa serbisyo, aktibidad at mga partido. Gumamit ng kwalipikadong payo para sa konkretong legal o regulatory na kinakailangan.
Suriin ang mapa ng data
Itala ang lokasyon ng pangunahing server, backups, logs at support access. Ang EU o EEA server ay hindi awtomatikong nangangahulugang nananatili sa parehong lugar ang bawat processor at administrator.
Mas mainam ang dokumentadong pangako
Ang kumpletong kontrata, processing terms at malinaw na patakaran ay mas matibay na ebidensya kaysa sa pahayag na likas na pribado ang isang rehiyon. Kumpirmahin ang operator, naaangkop na kasunduan at aktwal na pasilidad para sa order na iyong sinusuri.
Huwag magmana ng mga legal na pag-aangkin mula sa ibang provider
Ang pahayag tungkol sa isang kumpanya, pasilidad o proseso ng korte ay hindi lumilipat sa bagong branded na serbisyo. I-verify ang aktwal na operator at ipasuri ang mga kaugnay na patakaran para sa kaayusang iyon. Kumpirmahin nang direkta ang impormasyon ng operator ng KoalaVPS sa halip na iugnay dito ang pagkakakilanlan, rehistro o kasaysayan ng ibang provider.
Panatilihing napapanahon ang review
Itala ang petsa at bersyon ng kasunduan at patakarang pinagbatayan mo. Balikan ang data map pagkatapos baguhin ang isang lokasyon, payment processor, support tool o backup destination. Dapat ilarawan ng compliance review ang sistemang umiiral ngayon.
Gamitin ang apat na bansa bilang panimulang punto sa pagsusuri
Ang Sweden at Finland ay mga bansa sa EU; ang Norway at Iceland ay mga bansa sa EEA sa labas ng EU. Ang kanilang mga awtoridad sa proteksyon ng data ay nagbibigay ng kapaki-pakinabang na opisyal na panimulang punto: IMY ng Sweden, Office of the Data Protection Ombudsman ng Finland, Datatilsynet ng Norway at Persónuvernd ng Iceland. Hindi nito niraranggo ang isang bansa bilang immune sa lawful disclosure o itinatag kung aling awtoridad ang may kakayahan para sa isang partikular na reklamo.
- Stockholm / Sweden: i-verify ang aktwal na operator at ang mga kontraktwal na commitment nito bago umasa sa lokasyon.
- Helsinki / Finland: suriin nang hiwalay ang pangunahing storage, heograpiya ng backup at pag-access ng support.
- Oslo / Norway: tukuyin ang pagkakaiba ng paglahok sa EEA data-protection at pagiging miyembro ng EU.
- Reykjavík / Iceland: suriin ang contracting entity, mga ruta ng network at plano sa backup sa halip na maghinuha ng immunity mula sa pangalan ng bansa.
Opisyal na dokumentasyon: EDPB: mga pambansang awtoridad sa pangangasiwa
Itanong kung sino ang makaka-access sa data, hindi lamang kung saan nakalagay ang disk
Gumawa ng talaan ng data-flow na sumasaklaw sa production, replicas, backups, telemetry at suporta. Ang hiwalay na organisasyon sa labas ng EEA na tumatanggap o nag-a-access ng personal na data ay maaaring magtaas ng mga tanong tungkol sa international transfer sa ilalim ng mga kaugnay na kondisyon; hindi kayang lutasin ng label ng rehiyon ng server lamang ang pagsusuri. Hilingin sa provider na tukuyin ang mga subprocessor at kaayusan ng access nito. Ipa-assess ang aktwal na pagproseso at kontrata para sa iyong workload kapag lumilikha ito ng mga legal na obligasyon.
- Tukuyin ang iyong papel at ang papel ng provider para sa bawat aktibidad sa pagproseso, sa halip na ipagpalagay na magkapareho ang bawat relasyon sa serbisyo.
- Hilingin ang processing agreement, subprocessor-change procedure, deletion terms at incident contact.
- Kapag nagbago ang isang support tool o backup destination, i-update ang pagsusuri bago umasa sa lumang pahayag ng lokasyon.
Opisyal na dokumentasyon: EDPB: mga international data transfer · EDPB: mga responsibilidad ng controller at processor